← España

PS-00386-2015

1/17 Procedimiento Nº PS/00386/2015 RESOLUCIÓN: R/01545/2016 En el procedimiento sancionador PS/00386/2015, instruido por la Agencia Española de Protección de Datos a D.A.A.A., vista la denuncia presentada por PARTNERS ENTERTAINTMENT, S.L., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14 de agosto de 2014 tiene entrada en esta Agencia un escrito de PARTNERS ENTERTAINMENT, S.L., propietaria de la revista online especializada en videojuegos www.alfabetajuega.com, en el que se denuncia una intrusión en su base de datos de usuarios, consecuencia de una vulnerabilidad en sus sistemas, la cual fue atacada mediante una técnica de inyección de código SQL. SEGUNDO: A la vista de los hechos denunciados, los Servicios de Inspección de esta Agencia en fase de actuaciones previas tiene conocimiento de los siguientes extremos, conforme al informe de actuaciones de inspección E/071/84/2014: “ACTUACIONES PREVIAS Respecto de la vulnerabilidad explotada por los atacantes 1. PARTNERS ENTERTAINMENT, S.L. ha aportado a la Agencia una copia de la denuncia presentada al Grupo de Delitos Telemáticos (GDT) de la Guardia Civil, fechada el 9 de agosto. Según este documento, la empresa tuvo conocimiento de la intrusión en fecha 8 de agosto, a través de los mensajes que empezaron a recibir los usuarios, instándoles a cambiar su contraseña de acceso, los cuales fueron enviados por una web estadounidense especializada en alertar a los internautas sobre la exposición pública de sus datos (www.survela.com). A través de Twitter, esta web identificó al usuario @....... como autor de la difusión pública de los datos. Este usuario había publicado tuits exponiendo la vulnerabilidad y difundiendo un enlace al sitio web Pastebin.com, tras reconocer que habían intentado “negociar” con la compañía. De la documentación aportada se desprende que los datos fueron expuestos en la web TinyUpload.com, aunque fueron eliminados tras la solicitud de la compañía. 2. PARTNERS ENTERTAINMENT, S.L. ha aportado a la Agencia copia impresa, certificada por EGARANTE, S.L., de varios mensajes publicados en Twitter por los usuarios participantes en la intrusión y/o en la publicación de los datos extraídos: @......., @.......1, @.......2, @.......3 (***USUARIO.1). De este último, del que se acompaña copia impresa de una fotografía con su imagen publicada por él mismo el 14 de junio en Twitter, se han aportado varios tuits, entre ellos uno en el que reconoce: “Tienen varios SQLi y sacamos 15k users cuando son 30k. Nos faltan los otros 15k que es difícil sacarlos por time based Sqli”. 3. Entre la documentación aportada junto a la denuncia figuran asimismo los detalles de la vulnerabilidad explotada que fueron publicados en Pastebin.com: “1 > Se encuentra síntoma de vulnerabilidad frente a SQLi, se testea siguiendo el protocolo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 habitual. 2 > Se halla que el tipo de Inyección es Time-Based, se testea usando este mismo método (Tanto manualmente como automáticamente). 3 > Se accede sorprendentemente a la base de datos del Website (siendo una web seria, tendría que estar bien hecha y no tener este tipo de errores). 4 > Se obtiene la tabla […] de la misma, extrayendo solo quince mil usuarios y contraseñas. 5 > Se notifica al administrador y propietario de la web, sin obtener respuesta. 6 > Se publica la vulnerabilidad. Proof of Concept (PoC) […]” A continuación, se incluye una dirección web asociada al sitio www.alfabetajuega.com y el texto: “(Aún inyectable)”. Junto a estos detalles se publicaba un enlace con una dirección web del dominio Tinyupload.com. 4. A requerimiento de la Inspección de Datos, PARTNERS ENTERTAINMENT, S.L. ha aportado copia del documento de seguridad asociado a su fichero “USUARIOS ALFABETAJUEGA”, inscrito en el Registro General de Protección de Datos. Asimismo ha aportado copia impresa del contenido de la incidencia de seguridad registrada al respecto de la intrusión denunciada, detallando las medidas correctoras aplicadas sobre la vulnerabilidad explotada. Respecto de los mensajes de aviso remitidos por SURVELA, LLC 5. PARTNERS ENTERTAINMENT, S.L. ha aportado a la Agencia una copia del mensaje recibido por sus usuarios, remitido desde info@survela.center el 8 de agosto, a las 11:47. En este mensaje, dirigido a la lista usuarios@alfabetajuega.com, se informa de lo siguiente: “Hello, As you may know, a cyberattack against AlfaBetaJuega exposed the private information, including email, password and username of 13,791 users. Our records show that your email address (usuarios@alfabetajuega.com) is among those included in the documents that were released publicly. Since many people use the same password for multiple websites, we strongly recommend that you change your password for this account or any other accounts with the same user/password combination. Survela is a new company that aims to protect users from security incidents that expose private information including credentials, credit card or sensitive private information. To know about this event and how your security may have been compromised can be seen in the following link: […] We feel it is our duty to inform your of these types of incidents. Please click the link located in the bottom panel to opt-out from any future notifications. Otherwise, if you want to be alerted if your information is exposed in future incidents, simply add info@survela.center to your address book. We apologize for any inconvenience this may cause. Please contact us if you have any doubt or question. Survela, LLC 901 Campisi Way, Suite 254. Campbell CA 95008 USA www.survela.com This email has been sent through Survela Alerts Service Clear text data is only sent to the owner of the data. Click here to opt-out from this alerts”. Según ha declarado PARTNERS ENTERTAINMENT, S.L., al tener conocimiento de estos mensajes la compañía instó al remitente para que rectificara el contenido de los mensajes, advirtiéndole de la falta de legitimación para su envío. La compañía ha aportado copia de un segundo mensaje enviado el 11 de agosto de acuerdo con lo requerido por PARTNERS ENTERTAINMENT, S.L., informando de lo siguiente: “Estimado usuario de AlfaBetaJuega.com. Como continuación al anterior email que desde www.survela.com te hemos enviado acerca de un ataque sufrido a la web alfabetajuega.com, en el que afirmábamos que había quedado expuesta la información privada, incluyendo email, password y username de 13.791 de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 usuarios, entre los que se encontraba tu dirección. Tras conversaciones con los administradores del portal creemos nuestro deber comunicarte que desde AlfaBetaJuega se han tomado las medidas técnicas y jurídicas oportunas para salvaguardar la seguridad de tu información. Atentamente.” 6. PARTNERS ENTERTAINMENT, S.L. ha aportado copia del mensaje que la propia compañía remitió también el 11 de agosto a sus usuarios con el siguiente contenido: “Estimado usuario: Debido a una incidencia ajena a AlfaBetaJuega, el dato personal de tu correo electrónico ha sido hecho público en un archivo en el que aparece un código encriptado que según dicho documento es el password de acceso que indicaste para acceder a www.alfabetajuega.com, aunque el uso específico de ese código no permite el acceso como tal. También te informamos que se ha hecho público tan sólo un número limitado de correos electrónicos de la totalidad de usuarios registrados en AlfaBetaJuega, aunque lamentablemente tu correo electrónico ha sido incluido. Ante este hecho, desde AlfaBetaJuega, además de todos los sistemas de seguridad con los que cuenta el site establecidos por la ley, y que son revisados periódicamente, se han tomado medidas técnicas adicionales y llevado a cabo las acciones jurídicas oportunas, interponiendo denuncia ante la Unidad de Delitos Informáticos de la Guardia Civil, en fecha 10 de agosto de 2.014, para salvaguardar la seguridad del site y de toda la información incluida en el mismo. Aun así, si lo deseas, puedes dar de baja el usuario que registraste con este correo electrónico hasta que se esclarezca esta situación, momento a partir del cual contactaremos de nuevo contigo para si lo deseas restituir tu perfil de usuario. Para solicitar la baja tienes que enviarnos un email desde el correo electrónico con el que te diste de alta a lopd@alfabetajuega.com, indicándonoslo. De igual forma, una vez dado de baja este perfil de usuario, puedes proceder a dar de alta un nuevo usuario con otro correo electrónico, sabiendo que están implementadas todas las medidas de seguridad pertinentes para tu tranquilidad. Lamentamos haber tenido que hacerte esta comunicación, y las molestias ocasionadas. Te agradecemos la confianza depositada en nuestra web. Atentamente. Usuarios AlfaBetaJuega.” 7. Por la Inspección de Datos se verificó en fecha 29 de agosto que en el documento Terms and conditions del sitio web www.survela.com se incluían los siguientes datos del prestador del servicio: “Survela is Brand and service provided by Survela LLC, a Company registered in USA, and address: 901 Campisi Way. Suite 245. Campbell, CA 95008 You can contact Survela by email to info@surela.com.” 8. En respuesta al requerimiento de la Inspección, la sociedad SURVELA DIGITAL SURVEILLANCE, S.L. (SDS) ha manifestado: “SDS es una empresa española cuya actividad es el desarrollo y venta de software informático. En concreto, SDS desarrolla algoritmos de búsqueda y extracción de información en Internet, que vende a terceros para la gestión de la reputación y detección de amenazas en Internet. El principal cliente de SDS es Survela, empresa fundada en California por uno de los socios de SDS. De esta forma, Survela explota en Estados Unidos el software que se desarrolla en España por SDS.” 9. SURVELA DIGITAL SURVEILLANCE, S.L. también ha trasladado a la Agencia las manifestaciones realizadas por SURVELLA LLC en relación con los mensajes enviados: “[…] Survela LLC no tiene ningún servicio dirigido específicamente a usuarios radicados en España. Los sitios web a los que se hace referencia en la solicitud de información fueron registrados por Survela LLC, y únicamente están publicados en inglés. Nuestro foco de negocio es el público estadounidense pero no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 impedimos que usuarios de otros países utilicen nuestros servicios. A través de estas webs los usuarios pueden comprobar si han sido afectados por alguna de las brechas de seguridad detectadas por Survela LLC. Nosotros solo vendemos a empresas, pero está dentro de nuestra misión ayudar gratuitamente a los usuarios particulares que en muchos casos no son notificados ya sea por falta de obligación o diligencia de las empresas hackeadas. […] En agosto de 2014, hicimos un test puntual consistente en informar de forma proactiva a usuarios que habían sido afectados por brechas de seguridad. Sin ser abogados ni expertos legales, en nuestro conocimiento no hay ninguna norma estatal o federal que nos obligue a pedir el consentimiento de los usuarios siempre que cumplamos con los requisitos de la ley CAN SPAM y el sitio que publica la información no lo exija explícitamente. Tened también en cuenta que los correos no eran comerciales; simplemente actuamos movidos por el interés legítimo de informar a algunos usuarios afectados por esta brecha.” En su escrito aclaran que el segundo mensaje fue enviado “por exigencias de los servicios jurídicos de www.alfabetaiuega.com”. Respecto del origen los datos utilizados, aclaran que es “un mensaje del usuario @....... que detectamos publicado en twitter el 6 de agosto. En dicho mensaje, se puso un enlace a una página de descarga que presuntamente contenía la información de los usuarios de www.alfabetajuega.com, obtenida supuestamente por este usuario de twitter a través de una brecha de seguridad. Nosotros hicimos un test puntual, e informamos de forma proactiva a algunos de los usuarios afectados por esta brecha a través de correo electrónico. La información de los usuarios fue eliminada. En ningún momento usamos herramientas, información o recursos de Survela Digital Surveillance S.L para ello.” Respecto de los tratamientos efectuados por los autores de la intrusión 10. De las informaciones aportadas a la Agencia por DINAHOSTING, S.L., compañía que gestiona el alojamiento del sitio web www.alfabetajuega.com, se desprende que los días 3 y 5 de julio de 2014 se produjeron accesos al sitio web mediante código SQL que explotaba la vulnerabilidad expuesta. Concretamente, el día 3 se detallan accesos producidos entre las 21:59 y las 22:27 horas, desde equipos que tenían asignadas tres direcciones IP diferentes. Una de estas 3 direcciones IP figura también asociada a accesos producidos el día 5, en dos franjas horarias: en torno a la 1:27 y en torno a las 22:46. 11. De las informaciones proporcionadas por el operador de telecomunicaciones que tiene asignado el uso de las tres direcciones IP, se desprende que el titular de la línea de telecomunicaciones que tenía asociada la dirección IP utilizada tanto el día 3 como el día 5 es una sociedad mercantil con domicilio social en la localidad castellonense de ***LOCALIDAD.1. 12. Por la Inspección de Datos se ha verificado que el usuario de Twitter ***USUARIO.1 (@.......3), que reconoció en ese medio la publicación de los datos de los usuarios de www.alfabetajuega.com, se presenta en su perfil público como “greyhat hacker”, incluyendo su fecha de nacimiento, del año 1994, domicilio en ***LOCALIDAD.1, diseñador web y “CEO de Hunting Security”. Similar descripción se incluye en otros perfiles con idéntica denominación en Ask.fm y en Instagram, donde tiene como lema: “Hacking is not a crime”. Se ha comprobado que a través de Twitter volvió a publicar la referida fotografía con su imagen el 19 de octubre de 2014. 13. Por la Inspección de Datos se ha constatado que en el sitio web www.buho21.com C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 figura un perfil con el nombre A.A.A., que presenta idéntica fecha de nacimiento y localidad de residencia que las consignadas en Twitter por el usuario ***USUARIO.1 (@.......3), habiéndose confirmado a la Agencia por la Policía Nacional que una persona con ese nombre y apellidos tiene su domicilio precisamente en el domicilio de instalación de la citada línea de telecomunicaciones. 14. A partir del resto de las informaciones proporcionadas por el mencionado operador de telecomunicaciones, no ha logrado determinarse fehacientemente la identidad de las otras dos personas a las que cabría imputar responsabilidad por el tratamiento indebido de los datos de los usuarios del sitio web www.alfabetajuega.com. 15. De las informaciones facilitadas a la Agencia por la Dirección General de la Guardia Civil y por distintos Juzgados, se desprende que la denuncia penal presentada por PARTNERS ENTERTAINMENT, S.L. habría ocasionado la tramitación de las diligencias ***1 y ***2 por el Juzgado de 1ª Instancia e Instrucción nº 5 de Collado Villalba, de cuya resolución no se ha tenido constancia hasta la fecha.” TERCERO: Con fecha 22/07/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a D. A.A.A. (en lo sucesivo el denunciado), por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma. CUARTO: Notificado el acuerdo de inicio, el denunciado formuló alegaciones: las siguientes 1ª.Se avisó de la vulnerabilidad SQLi en tres ocasiones sin obtener respuesta de AlfaBetaJuega. 2ª.- La cuenta @....... no es propietaria ni de mi (@.......3) o de @.......1. 3ª.El supuesto documento que subieron a la red, era un archivo HTML con un meme de internet, llamado Trollface. En ningún momento publicaron la base de datos en su totalidad. 4ª.El/La autor del Pastebin con los detalles de la vulnerabilidad explotada desconocemos quién es. 5ª.La cuenta @.......2 ha dejado de existir a día de hoy (30/07/2015). Esa cuenta la usaban los dueños de @....... como un robot para hacer Retweets. 6ª.Hubo un ataque a mi red WiFi en el cual el atacante hizo varias injecciones SQLi que se produjeron el día 3 y 5 de julio, recogidas por el log del Firewall, que se estropeó, con la consiguiente causa de no encenderse, al recibir una descarga de una tormenta eléctrica. 7ª.Se me envió a mi dirección email, desconociendo el remitente y sabiendo que se estaba usando una cuenta de correo desechable, una captura de los mensajes directos de la cuenta @......., haciendo alusión al punto 3. Aporta dos capturas de pantalla, una del contenido del archivo HTML y otra de los mensajes directos que se me enviaron a mi email por una cuenta de correo desechable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 8ª.De hecho no existe ningún tweet desde la cuenta @.......3 que diga que es el autor de los hechos entre los días 3 y 5 de julio de 2014. 9ª.El tweet que se menciona en el documento enviado por la Agencia no existe, puede ser un sofisticado montaje fotográfico hecho con Photoshop. Aporta partes del archivo de la cuenta de Twitter de fechas 14 de junio de 2014 y 3 y 5 de julio de 2014. QUINTO: El denunciando remitió escrito formulando nuevas alegaciones: 1ª.Existencia de prejudicialidad penal al existir diligencias seguidas en el Juzgado de primera instancia e instrucción número 5 de Collado Vallaba con motivo de la denuncia presentada por PARTNERS ENTERTAINMENT, S.L.. 2ª. No queda suficientemente probado que el denunciante haya sido el autor de los citados tweet, ni tampoco que haya participado en el ataque al sistema informático. De las actuaciones inspectoras se desprende que el titular de la línea de comunicaciones que tenía asociada la IP utilizada tanto el día 3 como el día 5 de junio de 2014, es una sociedad mercantil con domicilio en ***LOCALIDAD.1, pero ello no es suficiente para imputar al denunciado la infracción del artículo 6.1 de la LOPD, ya que su identidad pudo ser suplantada. El denunciado se puso en contacto con la Policía el 14 de junio de 2014 para manifestar que él no vulneró el sistema de seguridad, ni “hackeo” el sistema de la citada red de telecomunicaciones. Se aporta copia de registro de entradas y salidas desde su dirección IP desde junio de 2014 hasta julio del mismo año. 3ª.Existencia de non bis in ídem al existir un procedimiento penal por los mismos hechos que imputa la Agencia. SEXTO: En fecha 08/09/2015 por la Directora de la Agencia Española de Protección de Datos se acordó la suspensión del procedimiento sancionador incoado al denunciado al existir diligencias seguidas en el Juzgado de primera instancia e instrucción número 5 de Collado Villalba con ocasión de la denuncia presentada por los mismos hechos por PARTNERS ENTERTAINMENT, S.L.., y ello de conformidad con los dispuesto en el artículo 7 de Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. SEPTIMO: En fecha 09/09/2015 se solicitó al Juzgado de primera instancia e instrucción número 5 de Collado Villalba información del estado de tramitación de las diligencias practicadas con ocasión de la denuncia presentada por PARTNERS ENTERTAINMENT, S.L... por una intrusión en su base de datos de usuarios, así como la identificación de los sujetos que, en su caso, hubieran sido investigados como presuntos autores de la intrusión denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 OCTAVO: El Juzgado de primera instancia e instrucción número 5 de Collado Villalba informó que las diligencias seguidas con ocasión de la denuncia presentada por PARTNERS ENTERTAINMENT, S.L. se encontraban sobreseídas y archivadas provisionalmente desde fecha 19/08/2014 por no conocerse la identidad de los autores de los hechos denunciados. NOVENO: En fecha 25/01/2015 por la Directora de la Agencia Española de Protección de Datos se acordó el levantamiento de la suspensión del procedimiento sancionador incoado al denunciado. DECIMO: En fecha 19/05/2016 se emitió propuesta de resolución en el sentido de imponer al denunciando una multa de 6.000 € por la infracción del artículo 6.1 de la LOPD. UNDÉCIMO: Notificada la propuesta el 25/05/2016 el denunciado presentó alegaciones, reiterando las manifestaciones ya realizadas en el procedimiento. En el escrito presentado alude a la vulnerabilidad que presentaba el fichero de usuarios del sitio web atacado y a la facilidad con la que el autor de la intrusión pudo detectarla. Hace referencia a los intercambios de declaraciones que al respecto de la intrusión se realizaron en la plataforma Twitter por parte de varios usuarios y al hecho de que solo se le haya imputado a él como responsable del acceso indebido, estimando que no ha quedado suficientemente acreditado su participación en los hechos. Según expone, durante las actuaciones de inspección practicadas solo se ha analizado el tráfico de red referido a tres direcciones IP involucradas en el ataque, no investigándose el resto. Alega el denunciado que la dirección web indicada por la mercantil denunciante no incluía los datos que fueron objeto de intrusión sino tan solo una imagen (meme) y que la base de datos no fue realmente publicada. Alude a una falta de colaboración por parte de esta Administración con la autoridad judicial respecto de las actuaciones instruidas en el Juzgado de Primera Instancia e Instrucción nº 5 de Collado Villalba. Se reiteran nuevamente los fundamentos de la Sentencia del Tribunal 987/2012, de 3 de diciembre, que considera paradigmática en el contexto de la valoración de la prueba electrónica, entendiendo que la IP proporcionada en el presente asunto no determina que sea el denunciado quien realizara ninguno de los actos imputados en el presente procedimiento, debiendo archivarse al no haber quedado acreditada la autoría de tales actos. HECHOS PROBADOS PRIMERO: Con fecha de 14 de agosto de 2014 tiene entrada en esta Agencia un escrito de PARTNERS ENTERTAINMENT, S.L., propietaria de la revista online especializada en videojuegos www.alfabetajuega.com, en el que se denuncia una intrusión en su base de datos de usuarios, consecuencia de una vulnerabilidad en sus sistemas, la cual fue atacada mediante una técnica de inyección de código SQL. SEGUNDO: En fecha 09/08/2014 PARTNERS ENTERTAINMENT, S.L., presentó ante la Guardia Civil de Hoyo de Manzanares (Madrid) denuncia dirigida al Grupo de Delitos Telemáticos (GDT) de la Guardia Civil. En la denuncia se reflejaba que la empresa tuvo conocimiento de la intrusión en fecha 8 de agosto de 2014, a través de los mensajes que empezaron a recibir los usuarios, instándoles a cambiar su contraseña de acceso, los cuales fueron enviados por una web estadounidense especializada en alertar a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 internautas sobre la exposición pública de sus datos (www.survela.com). A través de Twitter, esta web identificó al usuario @....... como autor de la difusión pública de los datos. Este usuario había publicado tuits exponiendo la vulnerabilidad y difundiendo un enlace al sitio web Pastebin.com, tras reconocer que habían intentado “negociar” con la compañía. De la documentación aportada se desprende que los datos fueron expuestos en la web TinyUpload.com, aunque fueron eliminados tras la solicitud de la compañía. Con ocasión de la citada denuncia se tramitaron diligencias previas por el Juzgado de primera instancia e instrucción número 5 de Collado Villalba que en fecha 19/08/2014 acordó su sobreseimiento y archivo provisional por no conocerse la identidad de los autores de los hechos denunciados por PARTNERS ENTERTAINMENT, S.L., TERCERO: DINAHOSTING, S.L., compañía que gestiona el alojamiento del sitio web www.alfabetajuega.com, certifica que los días 3 y 5 de julio de 2014 se produjeron accesos al sitio web mediante código SQL accediéndose a la base de datos de usuarios de Alfabetajuega. Concretamente, el día 3 se detallan accesos producidos entre las 21:59 y las 22:27 horas, desde equipos que tenían asignadas tres direcciones IP diferentes (***IP.1, - ***IP.2 - ***IP.3). Una de estas 3 direcciones IP (***IP.2) figura también asociada a accesos producidos el día 5, en dos franjas horarias: en torno a la 1:27 y en torno a las 22:46. CUARTO: VODAFONE ESPAÑA, S.A.U., operador de telecomunicaciones que tenía asignado el uso de las tres direcciones IP (***IP.1, - ***IP.2 - ***IP.3) informa que en los días 3 y 5 de julio de 2014 en las franjas horarias señaladas en el hecho anterior, la dirección IP ***IP.2 se encontraba asignada a la empresa B.B.B., S.L. con domicilio en (C/...1) de ***LOCALIDAD.1 (Castellón) QUINTO: En el Registro Mercantil Central consta que la mercantil B.B.B., S.L. tiene su domicilio social en (C/...1) de ***LOCALIDAD.1 (Castellón), siendo sus administradores C.C.C.y D.D.D.). SEXTO: El denunciado tiene domicilio en (C/...1) de ***LOCALIDAD.1 (Castellón) según informa la Dirección General de la Policía, y manifiesta el propio denunciado en su escrito de alegaciones al acuerdo de inicio del procedimiento. SEPTIMO: Consta en el expediente copia impresa, certificada por EGARANTE, S.L., de varios mensajes publicados en Twitter por los usuarios participantes en la intrusión y/o en la publicación de los datos extraídos de la base de datos de usuarios de Alfabetajuega: @......., @.......1, @.......2, @.......3 (***USUARIO.1). El usuario @.......3 (***USUARIO.1) publicó un tuit en fecha 07/08/2014 (8:59
  2. h)con el texto: “SQLi Alafabetajuega Pastelbin.com/5FachitX” es decir la URL de descarga con el contenido de la base de datos de usuarios de Alfabetajuega. El mismo usuario publicó otro tuit en fecha 08/08/2014 (16
  3. h)con el siguiente texto: “Tienen varios SQLi y sacamos 15k users cuando son 30k. Nos faltan los otros 15k que es difícil sacarlos por time based Sqli”. OCTAVO: El usuario de Twitter ***USUARIO.1 (@.......3), que reconoció en ese medio la publicación de los datos de los usuarios de www.alfabetajuega.com, se presenta en su perfil público como “greyhat hacker”, incluyendo su fecha de nacimiento, 19/06/1994 (20 años), domicilio en ***LOCALIDAD.1, diseñador web y “CEO de Hunting Security”. Similar descripción se incluye en otros perfiles con idéntica denominación en Ask.fm y en Instagram, donde tiene como lema: “Hacking is not a crime”. NOVENO: En el sitio web www.buho21.com figura un perfil con el nombre A.A.A., que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 presenta idéntica fecha de nacimiento 19/06/1994) y localidad de residencia (***LOCALIDAD.1) que las consignadas en Twitter por el usuario ***USUARIO.1 (@.......3). DECIMO: El denunciado manifiesta que no es el autor de los tuits citados en punto 7 y que su identidad pudo ser suplantada. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Este precepto debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
  5. c)y 3,
  6. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. III El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y entre esas excepciones contempla a quienes son parte de una relación contractual siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. Son pues elementos característicos de este derecho fundamental, los derechos del afectado a consentir la recogida y el uso de sus datos personales y a saber de los mismos. Respecto a la carga de la prueba del consentimiento, la Audiencia Nacional, en diversas Sentencias, (por todas la STAN de 27 de enero de 2011, Rec 349/2009, Fundamento de Derecho Tercero), declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. En consecuencia el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, - entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). En este punto cabe recordar que en su artículo 3.
  7. c)la LOPD define: “Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso ha quedado acreditado que en fechas 3 de julio (entre las 21:59 y las 22:27 horas) y 5 de julio (en torno a la 1:27 y en torno a las 22:46) de 2014 se produjeron accesos al sitio web www.alfabetajuega.com accediéndose a la base de datos de usuarios de Alfabetajuega. Dichos accesos (la instrucción GET, que implica el acceso y obtención de copia) se produjeron, entre otros, desde un equipo que tenía asignada la dirección IP ***IP.2 que se encontraba asignada a la empresa B.B.B., S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 con domicilio en (C/...1) de ***LOCALIDAD.1 (Castellón), mismo domicilio que el del denunciado según acredita la Dirección general de la Policía y el propio denunciante reconoce. Por otra parte en el sitio web www.buho21.com figura un perfil con el nombre A.A.A., con fecha de nacimiento 19/06/1994 y localidad de residencia (***LOCALIDAD.1), datos que coinciden con el usuario de Twitter ***USUARIO.1 (@.......3), se presenta en su perfil público como “greyhat hacker”, incluyendo su fecha de nacimiento, 19/06/1994 (20 años), domicilio en ***LOCALIDAD.1, diseñador web y “CEO de Hunting Security”. Similar descripción se incluye en otros perfiles con idéntica denominación en Ask.fm y en Instagram, donde tiene como lema: “Hacking is not a crime”. El usuario ***USUARIO.1 (@.......3), publicó un tuit en fecha 07/08/2014 (8:59
  8. h)con el texto: “SQLi Alafabetajuega ............” es decir la URL de descarga con el contenido de la base de datos de usuarios de Alfabetajuega. El mismo usuario publicó otro tuit en fecha 08/08/2014 (16
  9. h)con el siguiente texto: “Tienen varios SQLi y sacamos 15k users cuando son 30k. Nos faltan los otros 15k que es difícil sacarlos por time based Sqli”. Alega el denunciado que no fue el autor de los citados tuits y que su identidad pudo ser suplantada al producirse un ataque en su red WiFi de lo cual no aporta prueba alguna En este sentido la sentencia de la Audiencia Nacional de fecha 20/10/2014 señala: “La citada dirección IP según la información proporcionada por Telefónica –folio 79- figuró asignada de forma dinámica el día 29 de octubre de 2007 desde las 18:39 h del día 29 de octubre de 2007 al número … cuyo titular es el recurrente con domicilio en Majadahonda (Madrid). Cuestiona la parte actora la eficacia como prueba de cargo, de esa información facilitada por Telefónica sobre la asignación al recurrente de la IP desde la que se creó la cuenta de usuario fshm en YouTube, argumentando que la IP se podría haber manipulado o suplantado, ya que las direcciones IP son fácilmente manipulables por terceros ajenos a la misma. Sin embargo, como acertadamente argumenta el Abogado del Estado en el escrito de contestación a la demanda, no basta con efectuar un alegato genérico sobre la posibilidad de suplantación o manipulación de las direcciones IP, sino que, una vez acreditado por la Administración que la citada dirección IP estaba asignada al recurrente, es éste el que debe aportar algún indicio plausible de que se ha producido dicha manipulación y no una mera argumentación genérica, pues a él le corresponde, en su descargo, aportar una mínima prueba de los hechos impeditivos de la responsabilidad, frente a la prueba previamente aportada por la AEPD, sin que nada haya acreditado sobre el particular (ni en vía administrativa ni jurisdiccional), lo que explica el silencio de la resolución recurrida en este punto. En este sentido y sobre las reglas de la carga de la prueba en el ámbito administrativo sancionador, interesa traer a colación lo señalado en la STC 14/1997, “(….) Por idénticas razones, tampoco se le ha causado indefensión porque la Administración no haya desvirtuado sus afirmaciones de descargo. El ente que impone la sanción tiene la carga de ofrecer al Juez las pruebas de cargo que justifican el acto sancionador; pero no le incumbe a la Administración, sino al sancionado acreditar la verdad de los hechos ofrecidos como descargo”. El denunciado alude a la vulnerabilidad que presentaba el fichero de usuarios del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 sitio web atacado y a la facilidad con la que el autor de la intrusión pudo detectarla. Expone: asimismo que “Se avisó de la vulnerabilidad SQLi en tres ocasiones sin obtener respuesta de AlfaBetaJuega”, quizá para justificar la intrusión, lo que no hace sino confirmar su participación en los hechos. Respecto del hecho de que solo se le haya imputado a él como responsable del acceso indebido y de las manifestaciones realizadas por el denunciado respecto a que en las actuaciones de inspección practicadas solo se hubiera analizado el tráfico de red referido a tres direcciones IP involucradas en el ataque, procede aclarar lo siguiente. En el informe de actuaciones de inspección (apartado 10) se concluye que de las informaciones aportadas a la Agencia por DINAHOSTING, S.L., compañía que gestiona el alojamiento del sitio web www.alfabetajuega.com, se desprende que los días 3 y 5 de julio de 2014 se produjeron accesos al sitio web mediante código SQL que explotaba la vulnerabilidad expuesta. Por la Inspección de Datos se analizaron todas las direcciones IP detalladas por dicha compañía, habiéndose identificado a los 3 titulares de las líneas de telecomunicaciones asociadas a las 3 direcciones IP involucradas en el ataque. De las actuaciones practicadas solo en el caso del denunciado se obtuvieron otras informaciones coadyuvantes que permitían concluir su participación en los hechos. Al no existir informaciones concluyentes en el caso de los titulares de las otras dos líneas de telecomunicaciones implicadas, por la Agencia no se inició procedimiento sancionador respecto de esos titulares. El denunciado alega también que el fichero accedido en la intrusión no fue publicado. A este respecto, que por la Inspección no pudo contrastarse la publicación en internet de los datos personales contenidos en el fichero. Sin embargo, como se recoge en los apartados 5 al 9 del informe de actuaciones de inspección, los afectados por la intrusión recibieron un correo electrónico de un tercero advirtiéndoles de que su dirección de correo electrónico había sido expuesta, confirmando así que a tales datos habían accedido otros terceros no autorizados. No obstante, conviene precisar que, como ya se ha indicado, la consulta y la transferencia de datos de carácter personal constituyen por sí solos tratamientos de datos, conforme a lo previsto en la LOPD, siendo preciso para esos tratamientos el consentimiento de los afectados. El denunciado alude a una supuesta falta de colaboración por parte de esta Administración con la autoridad judicial en relación con las actuaciones instruidas en el Juzgado de Primera Instancia e Instrucción nº 5 de Collado Villalba. A este respecto, conviene precisar que, en fecha 8 de septiembre de 2015, por la Directora de la Agencia se acordó suspender el presente procedimiento, lo que se comunicó al Juzgado, solicitándose por el instructor que se indicara el estado de tramitación de las actuaciones judiciales practicadas y que se identificara a los sujetos que, en su caso, hubieran sido investigados como presuntos autores de la intrusión denunciada. Mediante escrito de 8 de septiembre de 2015 el Juzgado fue convenientemente informado de que el denunciado había sido identificado por la Inspección como presunto autor de la intrusión, sin que con posterioridad el Juzgado hubiera requerido a esta Agencia información más detallada al respecto. De todo ello no se desprende que esta Administración no hubiera colaborado con la Administración de Justicia. De la información proporcionada por el Juzgado se desprende que las actuaciones judiciales fueron sobreseídas el 19 de agosto de 2014, es decir, 9 días después de que la denuncia de PARTNERS ENTERTAINTMENT, S.L. fuera presentada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 en dependencias de la Guardia Civil, desconociéndose por esta Agencia el contenido de las investigaciones policiales practicadas para identificar a los autores de la intrusión. El denunciado alude a los fundamentos de la Sentencia del Tribunal Supremo 987/2012, de 3 de diciembre, que considera paradigmática en el contexto de la valoración de la prueba electrónica y que valora que la dirección IP no es prueba suficiente para atribuir la autoría de unos hechos. Así, el denunciado entiende que la IP proporcionada en el presente asunto no determina que sea él quien realizara ninguno de los actos imputados en el presente procedimiento, debiendo archivarse al no haber quedado acreditada la autoría de tales actos. A este respecto, procede destacar que, en el presente caso, el denunciado, que no niega ser titular de la cuenta ***USUARIO.1 (@.......3), rechaza haber accedido en los días señalados a los datos personales contenidos en el fichero del que es responsable la compañía denunciante y rechaza también haberlos hecho públicos en internet. Sin embargo, como se ha expuesto, en contra de lo manifestado por el denunciado, la documentación aportada junto a la denuncia incluía una copia certificada por un tercero de confianza (eGarante) de varios tuits publicados desde dicha cuenta, en los que el usuario correspondiente reconocía su participación en el acceso y copia del fichero (“sacamos 15k users”) y en la posible difusión posterior de los datos, al publicar el enlace de descarga del sitio web Pastebin, donde al parecer se habían publicado los datos, cuestión esta última que, como se ha indicado, no ha sido contrastada por la Inspección. El denunciado alude a un fenómeno atmosférico, una tormenta eléctrica, que habría inutilizado el dispositivo de seguridad instalado. También alude a un ataque en su propia red wifi en los días en que se produjo la intrusión, para justificar que esta se hiciera desde, entre otras, la línea telefónica instalada en su domicilio, de la que no niega ser usuario. Sin embargo, el denunciado no ha aportado a la Agencia ninguna documentación que sustente sus afirmaciones, ni existe constancia de que hubiera denunciado en los órganos competentes el ataque informático al que alude o la suplantación de identidad en Twitter a la que alude, circunstancias estas que hacen poner en duda su veracidad. En el presente caso, el acceso indebido a los datos no se le atribuye al denunciado solo por su condición de usuario de una línea de telecomunicaciones, sino también por las manifestaciones realizadas en la plataforma social Twitter presumiendo de tales hechos, acto para el que esa plataforma requiere la conexión previa y la autenticación. Por otra parte, entre la documentación aportada por el denunciado figura una hoja de cálculo que, según manifiesta, relaciona el tráfico de su equipo informático en los citados días. Sin embargo, esta documentación, que no ha sido autenticada por ningún tercero de confianza y cuyo contenido es fácilmente editable, no reúne los requisitos necesarios para asegurar su autenticidad y exhaustividad. Así pues, ha quedado acreditado que el denunciado penetró en la base de datos de usuarios de Alfabetajuega teniendo acceso, en modo consulta y obtención de copia, a los datos personales comprometidos, no contando con el consentimiento de los usuarios afectados para la realización de estos tratamientos de datos. IV El artículo 44.3.
  10. b)de la LOPD, considera infracción grave: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 “
  11. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En este caso el denunciado ha incurrido en la infracción descrita, ya que ha vulnerado el principio del consentimiento consagrado en el artículo 6.1 de la LOPD, cuando a través de la web www.alfabetajuega.com accedió a los datos personales contenidos en la base de datos de usuarios de la citada web, y ello sin contar con el consentimiento de los mismos, lo cual constituye un tratamiento de datos para el cual no estaba legitimado, encontrando dicha conducta su tipificación en el referido artículo 44.3.
  12. b)de la citada Ley Orgánica. V El artículo 45 de la LOPD, en sus apartados 2 a 5, establece, que: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  13. a)El carácter continuado de la infracción.
  14. b)El volumen de los tratamientos efectuados.
  15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  16. d)El volumen de negocio o actividad del infractor.
  17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  18. f)El grado de intencionalidad.
  19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17
  23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En el presente caso, cabe aplicar lo dispuesto en el artículo 45.5.
  28. a)de la LOPD al confluir varios de los criterios establecidos en el artículo 45.4 de la citada norma como el hecho de que el denunciado es una persona física, (apartado
  29. j)y que no se han acreditado la existencia de perjuicios a terceros por cuanto no consta en esta Agencia denuncia formulada por los afectados (usuarios de Alfabetajuega). En consecuencia conforme al artículo 45.5 de la LOPD precede imponer una multa en cuantía de 900 € a 40.001 € al tener la infracción cometida la consideración de grave (art. 45.2 LOPD), pero sancionarse conforme al importe correspondiente a las infracciones leves (art. 45.1 LOPD) En relación a la graduación de la sanción a imponer, debe acudirse a los criterios establecidos en el artículo 45.4 de la LOPD, y en el caso concreto a sus apartados
  30. e)y
  31. g)que operarían como atenuantes por cuanto no se acredita beneficio obtenido por la comisión de la infracción, y no consta reincidencia del denunciando en la comisión de infracciones de la misma naturaleza que la imputada. Por el contrario debe considerarse como agravante el grado de intencionalidad (apartado
  32. f)pues el acceso indebido por el denunciado a la base de datos de usuarios de alfabetajuega no puede calificarse como un hecho fortuito sino como una acción ejecutada de manera plenamente consciente. Por último debe considerarse la relevancia de los datos personales objeto de tratamiento sin consentimiento: se circunscribe a las direcciones de correo e identificador de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 usuarios registrados en la base de datos de www.alfabetajuega.com, revista de juegos on line. Por todo ello, teniendo en cuenta lo dispuesto en el artículo 45.4 y 5 de la LOPD procede imponer al denunciado de una sanción de 6.000 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. A.A.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  33. b)de la LOPD, una multa de 6.000 € (seis mil euros), de conformidad con lo establecido en el artículo (HUECO) de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A., y a PARTNERS ENTERTAINTMENT, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.