← España

PS-00393-2016

1/13 Procedimiento Nº PS/00393/2016 RESOLUCIÓN: R/00688/2017 En el procedimiento sancionador PS/00393/2016, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., TELEFONICA MOVILES ESPAÑA, S.A.U., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 2/10/2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<Al logarme en la página de MOVISTAR con mi DNI y mi contraseña, me aparecen datos de otro usuario. Mis datos están mezclados con los de otra familia. Puedo ver su número de teléfono, su número de móvil, su dirección, su NIF, su Usuario, el tipo de contrato que ellos tienen, fechas de alta, consumos, me aparece el link para ir a sus datos bancarios, puedo activar el servicio de Televisión Yomvi. En la misma página aparece mi nombre con su NIF, email... Mi número de teléfono no es ***TEL.1, ni vivo en Salamanca. Creo que es una brecha de seguridad muy importante y quiero denunciar este hecho ya que este usuario u otras personas podrían ver y acceder a mis datos personales.>> Aporta copia de la siguiente documentación: - Captura de pantalla MI MOVISTAR denominada “mis productos y servicios”, en las que aparece que el titular de la cuenta es el denunciante, mostrándose su nombre y apellidos, NIF e identificador de usuario ***USUARIO.1. Fecha contratación 16/03/2012. Aparece asociada al denunciante la línea ***TEL.1, con fecha de última factura 4/10/2015 y direcciones de facturación e instalación en (C/...1) Salamanca. La captura muestra que el usuario puede tener acceso a los detalles de consumo, ver todas las facturas, modificar los datos de facturación, darse de alta en la factura sin papel o ver su facturación de móvil. Al posicionarse sobre el campo activo Contrato Móvil Fusión que figura en el menú “Mis productos y servicios” aparece una ventana emergente en la que se muestra un número de teléfono móvil ***TEL.2 y la tarifa Fusión aplicable. - Captura de pantalla MI MOVISTAR, denominada “Mis datos” en la que aparece el nombre del denunciante como titular de la línea ***TEL.1, pero con un NIF distinto del declarado por éste, en concreto el ***NIF.1. Aparece un código de usuario ***USUARIO.2, distinto del anterior, así como una dirección de correo electrónico,”***CORREO.1” fecha de última factura 4/10/2015 y direcciones de facturación e instalación en (C/...1) Salamanca. La pantalla muestra que el usuario tiene acceso a cambiar la dirección de facturación, la forma de pago y datos bancarios, activar la factura sin papel o modificar el estado de inclusión en páginas blancas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Captura de pantalla de MI MOVISTAR denominada Resumen, Fusión TV contigo 30 MB en la que bajo la línea ***TEL.1 se ven algunos de los daos ya referidos y que la factura de 4/10/201 5 es de 50,7 €”. En la pantalla de “mis productos y servicios”, si se coloca sobre el apartado fusión se ve en el hipervínculo “Fusión-soporte banda ancha fibra óptica-velocidad 30 Mb- número de teléfono móvil ***TEL.2 tarifa móvil fusión lite”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, el 14/04/2016 se realizó visita de inspección conjunta a las operadoras telefónicas TELEFÓNICA DE ESPAÑA, S.A.U (TDE) y TELEFÓNICA MÓVILES ESPAÑA, S.A.U. (TME). Los inspectores de la Agencia solicitaron al representante de TDE que les permita el acceso a sus sistemas de información en donde se realizan las siguientes comprobaciones: a. Se realiza una consulta respecto del cliente con DNI ***DNI.1 verificándose que corresponde a D. A.A.A. con fecha de alta 3/9/2002. Se verifica que no tiene asociadas líneas en la actualidad. Se accede al sistema de facturación, verificándose que la última factura emitida es de fecha 10/11/2015 por los servicios de la línea ***TEL.3. Aporta copia de una factura de 1/10/2015 por 75,88 euros, “factura fusión” incluyendo la línea fija referida y la móvil ***TEL.4. b. Se realiza una consulta respecto del número de teléfono ***TEL.1, comprobándose que se corresponde con el DNI ***NIF.1, correspondiente a D. B.B.B.. Con domicilio en (C/...1) Salamanca Se realiza una consulta respecto del DNI ***NIF.1 verificándose que tiene asociada la línea número ***TEL.5. Manifiesta el inspeccionado que este cliente tiene contratado el servicio de MOVISTAR FUSION, y es por ello que tiene servicio simultáneo tanto de fijo como de móvil. c. Se realiza una consulta respecto de las reclamaciones presentadas por D. A.A.A. verificándose que aparecen dos reclamaciones relativas a cuotas mensuales. 2. Los representantes de las entidades inspeccionadas realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Conocen los representantes de la entidad de la existencia de una incidencia informada por D. A.A.A., pero lo fue por canales informales, al tener amistad con una persona de TDE, a la que informó de la incidencia por la que había tenido acceso a datos de otro cliente. b. Investigada la incidencia se llegó a la conclusión de que el origen de la misma era debido a que, para la identificación de las sesiones se estaba usando un Timestamp. En su momento, los diseñadores del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 sistema consideraron que, dado que se usaba una precisión de milisegundos, era imposible que dos usuarios se identificasen ante el sistema en el mismo milisegundo, por lo que estaban convencidos de que tal precisión sería suficiente. c. Tras el incidente, se ha mejorado el sistema de identificación, se continúa utilizando el Timestamp más una información agregada, asociada al usuario concreto, que consideran que será imposible que genere nuevas colisiones de identificación. Igualmente, se ha ampliado la funcionalidad del sistema que recibe las consultas, que actualmente verifica que, de los datos recuperados, los identificadores se corresponden efectivamente con los del usuario que realiza la consulta. d. Solicitado acceso al sistema de gestión de incidencias, informan los representantes de la entidad que no es accesible desde las instalaciones en que actualmente se realiza la inspección. 3. Mediante escrito con entrada en la Agencia en fecha 27/4/2016 TDE aporta la siguiente documentación: a. Correo electrónico remitido por el responsable de Desarrollo de Sistemas Canal Internet dando autorización para implantación de un correctivo. Dicho correo electrónico, fechado el 19/10/2015 <<Necesitamos subir un correctivo esta noche para aseguramos de que no tenernos problemas en los procesos de autorización de Canal tras la implantación de mejoras de login. Os anexo el correo que nos enviaron hace unos días sobre un cliente que podría estar viendo datos de sesión de otro. No hemos podido conseguir claves para reproducirlo por lo que hemos decidido robustecer la validación desde COL para asegurarnos de que no se pueda producir el problema en tanto seguimos viendo si la situación que nos denuncian se produce por alguna causa concreta. El código de entrega es L1041601…., sería necesario instalarlo urgentemente … necesitaríamos autorización para la subida esta noche.>> b. Aporta imágenes de la aplicación de implantaciones de correctivos donde se ve la entrega L1041601 y la fecha y hora de implantación, a las 3:48 del día 20/10/ 2015. 4. Consultadas las quiebras de seguridad informadas a esta Agencia, no figura ninguna quiebre notificada por TDE ni por TME.” TERCERO: Con fecha 28/09/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a: -TELEFÓNICA DE ESPAÑA, S.A.U. por la comisión de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 91 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD) tipificada como grave en el artículo 44.3.

  1. h)de dicha LOPD, así, como por la infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  2. d)de dicha LOPD. -TELEFÓNICA MÓVILES ESPAÑA, S.A.U. por la comisión de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 91 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD) tipificada como grave en el artículo 44.3.
  3. h)de dicha LOPD, así, como por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  4. d)de dicha LOPD CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 27/10/2016 TDE manifiesta: 1) El acceso a datos de otra persona por el denunciante se debió a la confección del sistema de identificación de sesiones, que usaba un Timestamp, y que contando con una precisión de milisegundos, hacía imposible que dos usuarios se identificasen ante el sistema en el mismo milisegundo, estando convencidos que tal precisión sería suficiente. Tras el incidente, se ha mejorado el sistema de identificación, se sigue utilizando el Timestamp mas una información agregada asociada al usuario, pareciendo imposible que se generen nuevas colisiones de identificación. 2) Cita el artículo 8 del REPEPOS respecto al artículo 9 de la LOPD y alude a la aplicación del artículo 45.5.
  5. d)de la LOPD “Cuando el infractor haya reconocido espontáneamente su culpabilidad”. Respecto al artículo 10 consideran que no hay infracción al considerar que en este tipo debe concurrir una acción u omisión del responsable del fichero, como si se produjera una entrega de datos a un tercero por cualquier medio. Además, indica que concurre el supuesto que señala del artículo 4.4 del REPEPOS (concurso ideal de infracciones), el miso hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica necesariamente la comisión de la otra. 3) Subsidiariamente solicita la aplicación del artículo 45.5 de la LOPD en concreto del apartado b que reza: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.”, pues consta en el expediente el correo de 20/10 que puso en marcha la corrección de la incidencia. El error producido se considera puntual y como casi imposible técnicamente, no se produjeron perjuicios para el afectado. QUINTO: Con fecha 27/10/2016, TME efectúa las siguientes alegaciones: 1) El producto que tenía el denunciante contratado era MOVISTAR FUSION, de TELEFONICA DE ESPAÑA, no de TME. Las verificaciones durante la Inspección se hicieron en relación con la línea fija ***TEL.3 2) Falta de tipicidad en las infracciones imputadas a TME. No se acredita conducta alguna por parte de TME. SEXTO: Con fecha 9/02/2017 se emite propuesta de resolución con el literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Datos se sancione a TELEFÓNICA DE ESPAÑA, S.A.U (TDE) con multa de 20.000 €, por la infracción del artículo 9.1 de la LOPD, en relación con el 91 del RLOPD, tipificada como grave en el artículo 44.3.
  6. h)de dicha norma, de conformidad con el artículo 45.1), 2), 4 b), c),
  7. d)y j), y 5.
  8. b)de dicha LOPD. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se declare el ARCHIVO de la infracción imputada a TELEFÓNICA DE ESPAÑA, S.A.U (TDE) por el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  9. d)de la LOPD. TERCERO: Que por la Directora de la Agencia Española de Protección de Datos se declare el ARCHIVO de la infracción imputada a TELEFÓNICA MÓVILES ESPAÑA, S.A.U. por el artículo 9.1 de la LOPD, en relación con el 91 del RLOPD, tipificada como grave en el artículo 44.3.
  10. h)de dicha norma. CUARTO: Que por la Directora de la Agencia Española de Protección de Datos se declare el ARCHIVO de la infracción imputada a TELEFÓNICA MÓVILES ESPAÑA, S.A.U. por el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  11. d)de la LOPD.” SEPTIMO: Con fecha 22/02/2017, TME manifiesta su conformidad con la propuesta. OCTAVO: Con fecha 23/02/2017, TDE manifiesta:
  12. a)La propuesta de sanción es desproporcionada teniendo en cuenta que la incidencia se puede considerar como casi imposible técnicamente, un error puntual y no de la falta de medidas de seguridad específicas. Se ha de tener en cuenta que en el acceso a la web estaba configurada la aplicación de modo que fuera casi imposible que dos usuarios se identificasen ante el sistema en el mismo milisegundo. En cuanto al volumen de tratamientos efectuados, operaria como atenuante pues este expediente solo afecta al denunciante.
  13. b)No es cierto lo contenido en el punto 3 del antecedente SEXTO, pues en la Inspección de 14/04/2016 los datos asociados al denunciante, así como a B.B.B. eran correctos, no se visualizó en ningún momento que los datos que podía visionar el denunciante correspondían a otro usuario, en concreto a B.B.B., puesto que la incidencia se encontraba solucionada desde octubre 2015. HECHOS PROBADOS 1. El denunciante era cliente de TDE al disponer de un contrato fusión (fijo acabado en 40, móvil en 01 según se recogía en los sistemas de información de TDE) según factura de 1/10/2015 que aportó TDE

(22), indicando esta que la línea fija se dio de baja, siendo la última factura emitida la de 10/11/2015, y accedió a la plataforma que permite gestionar y consultar datos en la web, entrando en MI MOVISTAR, figurando como fecha orientativa octubre de 2015, al figurar en el acceso “ultima factura 4/10/2015”, o consumo actual 1/10/2015
(4).
  1. En el acceso producido son su clave y su usuario, el denunciante pudo visionar los datos de otra línea fija de la que no es titular, ***TEL.1, a la que se asocia la línea móvil ***TEL.2 e Internet. En modalidad “contrato móvil fusión” El alta como fecha contratación de la línea fija consta 16/03/2012, y de la línea móvil C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 23/05/
  2. El denunciante pudo visionar y aportó impresión los siguientes datos que no le pertenecían a el: línea fija y móvil asociada, dirección, e mail de contacto, NIF y usuario, importe de última factura, tarifa, no viendo directamente el nombre y apellidos de la persona.
  3. Los servicios de Inspección pudieron verificar en Inspección ante TDE el 16/04/2016 y en sus sistemas de información, que los datos que podía visionar el denunciante correspondían a otro usuario, en concreto a B.B.B. que tenía contratado también el servicio MOVISTAR FUSION (14, 23, 24). También en dichos sistemas figuraba de alta pero con otra línea el denunciante (13,16 a 22). De acuerdo con lo manifestado por TME, dicho servicio MOVISTAR FUSION es implementado y gestionado por TDE.
  4. Según TDE, el sistema de login del canal on line tuvo un fallo, pues en el momento en que entró el denunciante en dicho sistema, en MI MOVISTAR con sus datos, al acceder al sistema en el mismo milisegundo otra persona, uno de ellos al menos, el denunciante podía ver los datos del otro
(14). 5. Con fecha 19/10/20165 los servicios de TDE conocían la cuestión, pues TDE aportó en previas un correo electrónico de dicha fecha, detallando que una persona podía ver los datos de sesión de otra, y que “hemos decidido robustecer la validación desde COL para asegurarnos de que no se pueda producir el problema en tanto seguimos viendo si la situación que nos denuncian se produce por alguna causa concreta.”
(26). 6. TDE reconoce en alegaciones al acuerdo la incidencia acontecida al denunciante con el resultado que se podía visualizar datos de otro cliente
(57). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Se imputa a TDE La comisión de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12 de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que señala: ”El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural”, El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, en este caso el RLOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 En lo que respecta al concepto de fichero, el art. 3.
  2. b)de la LOPD los define como “todo conjunto organizado de datos de carácter personal, cualesquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte, la letra
  3. c)del mismo artículo define tratamiento de datos como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El artículo 9.1 de la LOPD, según reiterada jurisprudencia de la Audiencia Nacional, impone una obligación de resultado, así se determina en múltiples sentencias, entre otras la de 28/06/2006 en que se indica: “la obligación que dimana del artículo 9 de la LOPD no se cumple con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto, en concreto recoge "Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva y como manifiesta el Abogado del Estado en la contestación, la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de como los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva toda responsable de un fichero (o encargada del tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios o cualquier otro datos de carácter personal pueda llegar a manos de terceras personas." TDE con los datos de los clientes posibilita el acceso a través de su plataforma en MI MOVISTAR con una previa autenticación de claves que consta el denunciante introdujo la suya. Al acceder, se interconecta para visualizar sus datos y la información derivada del contrato, consumo y resto de elementos. En el presente supuesto, al conectarse como como resultado obtiene, no sus datos, sino los datos de otro cliente. El denunciante tenía contratado el producto MOVISTAR FUSION, consistente en un paquete de línea fija a la que se asocia ADSL y línea móvil. Cabe reseñar que el denunciante era cliente de TDE al disponer de un contrato fusión. Según manifestó la otra denunciada, TME, dicho producto es ofertado por TELEFONICA DE ESPAÑA. Según TDE, los hechos se produjeron por el tipo de implementación del sistema que en aquel momento existía en los accesos virtuales en la plataforma MI MOVISTAR. Este tipo de accesos se basaba entonces que dos usuarios accedían al sistema en el mismo milisegundo, posibilitando lo que el denunciante ha denunciado, que consiste en la visualización de datos de otro usuario que estaba conectando en el mismo instante, dando como resultado la visualización de la sesión. Así, TDE es “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 III El aspecto de seguridad vulnerado por TDE se relaciona en el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); artículo 91: Control de acceso, que indica:” Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.”, que en este caso se habrían de limitar a sus propios datos. Acreditado que TDE ofrece el servicio MI MOVISTAR para consultar y/o modificar datos, en este supuesto la configuración de acceso al sistema arrojó un resultado fallido en la seguridad en el contenido de los datos, pues pese a introducir la propia autenticación del cliente-denunciante, se dio lugar a la visualización de datos de otro cliente. Este problema técnico se originó por la configuración implementada en el sistema de acceso de dicha página. Ello dio lugar precisamente a un acceso en modo visión. Con posterioridad, según indica la denunciada se ha fortalecido el sistema de acceso sumando una información agregada al usuario concreto. En el presente supuesto, se acredita la comisión de la infracción de TDE del artículo 9.1 de la LOPD, en relación con el artículo 91 del ROPD. En cuanto a la participación de los hechos de TME en la infracción del artículo 9.1, como se ha apreciado, la responsabilidad recae en TDE, no apreciándose algún tipo de participación por parte de TME, por lo que procede el archivo de la infracción imputada a TME del artículo 9.1 de la LOPD. IV La infracción figura tipificada como grave en el artículo 44.3.
  4. h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” TDE mantuvo, al menos así lo acreditan los hechos probados un fallo en las condiciones de seguridad en el contenido del acceso objeto de la denuncia, ajustándose al tipo señalado. V La infracción imputada a TDE por el artículo 10 de la LOPD por posibilitar la visión de datos de otra persona se debió a la deficiente configuración en el acceso, que se basaba solo en la consideración temporal del mismo considerando que dos usuarios no lo harían al mismo tiempo exactamente, debiéndose haber añadido alguna otra variable adicional para que el contenido que se visionara tras el acceso fuera realmente el de la persona que consulta los datos. El artículo 10 de la LOPD indica: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” En el presenté caso, el denunciante al efectuar el login para acceder a la aplicación pudo ver una serie de datos que hacían identificable a ese otro cliente, NIF, dirección de correo electrónico, dirección física, y líneas de teléfono, pudiendo contactar con el mismo. De acuerdo con el artículo 4.4 del Real Decreto 1398/1993 “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida.” Se aprecia en este caso, que la débil consistencia derivada del sistema de acceso por el fallo de seguridad da lugar conforme determina el artículo 9.1 a poder visionar los datos de otro usuario, manifestándose o poniéndose de manifiesto con la posibilidad de visionar dichos datos. Si no se hubiera producido el resultado de visión de otros datos por parte del denunciante probablemente no se habría detectado el fallo de configuración del Timestamp. En este caso, un acceso al sistema de la denunciada correcto, esto es con la clave y contraseña del denunciante, supone a continuación, un acceso a datos de terceros para los que el denunciante no debiera estar autorizado, motivado por un fallo de seguridad. Si bien ambas infracciones son igual de graves, se impondrá solamente la sanción correspondiente del artículo 9.1 de la LOPD. La infracción imputada a TME por el artículo 10 debe ser archivada al verificarse durante el procedimiento que tanto el contrato que tenía suscrito el denunciante como a los datos a los que accede son datos almacenados en los sistemas de TDE que son los que alimentan los datos que se observan en la plataforma on line MI MOVISTAR. VI Respecto a la disconformidad del hecho probado 3 contenido en la propuesta: que TDE alegó, cabe indicar: “Los servicios de Inspección pudieron verificar en Inspección ante TDE el 16/04/2016 y en sus sistemas de información, que los datos que podía visionar el denunciante correspondían a otro usuario, en concreto a B.B.B. que tenía contratado también el servicio MOVISTAR FUSION (14, 23, 24). También en dichos sistemas figuraba de alta pero con otra línea el denunciante (13,16 a 22). De acuerdo con lo manifestado por TME, dicho servicio MOVISTAR FUSION es implementado y gestionado por TDE.” Aunque la incidencia quedó subsanada, lo que se aprecia contrastando lo aportado por el denunciante en su denuncia y lo comprobado durante la Inspección es que: - La línea que el denunciante podía ver, ***TEL.1, no era la suya, sino la de B.B.B., según se verifica en la Inspección, aunque el denunciante no viera directamente dicho nombre, vio de dicha línea: su NIF, su e mail de contacto y usuario y la dirección junto con las dos líneas, fija y móvil que tenía. Por tanto, aunque no pudiera ver el dato de nombre y apellidos, tenía suficientes elementos reunidos para poder hacer identificable a B.B.B., del que conocía los teléfonos y las direcciones como forma de contactar. Datos todos ellos que no correspondían al denunciante y que ponían de manifiesto ante la entrada en dicha aplicación, la falta de coincidencia con los datos propios del denunciante. VII El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  5. a)El carácter continuado de la infracción.
  6. b)El volumen de los tratamientos efectuados.
  7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  8. d)El volumen de negocio o actividad del infractor.
  9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  10. f)El grado de intencionalidad.
  11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13
  19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» TDE solicita que se aplique el artículo 45.5 de la LOPD, pues ha reconocido la infracción, y regularizó la situación de modo diligente. En primer lugar, se debe señalar que una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido.(SAN de fecha 28/04/2015) El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Audiencia Nacional (AN) tiene establecido en multitud de sentencias en relación al art. 45.5 LOPD, que no es sino una manifestación del llamado principio de proporcionalidad ( art. 131.1 de la Ley 30/1992 ), incluido en el mas general de prohibición de exceso, y reconocido por la jurisprudencia como principio general del derecho. Ha añadido la AN que dicha regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual, insistimos, puede darse, por excepción, en casos muy extremos (de aquí la expresión "especialmente cualificada") y concretos (por todas SAN, Sec. 1ª, de 24 de septiembre de 2010 (Rec 245/2010). Figura un correo entre empleados de TDE el 19/10/2015 tomando las acciones que correspondían para la subsanación de la infracción, pudiendo aplicarse el artículo 45.5.
  20. b)de la LOPD. Además, solicita en la propuesta que se aplique una sanción inferior a los 20 mil euros, al considerar que lo sucedido no es producto de la falta de medidas de seguridad, sino que fue un error puntual por el modo en que se produjo, producto de que el acceso al login de la web estaba configurado de modo que fuera casi imposible que dos usuarios se identificasen ante el sistema en el mismo milisegundo, y en volumen de tratamientos considera que este expediente solo afecta al denunciante. En el presente caso, a efectos del artículo 45. 4 de la LOPD, se debe tener en cuenta: 1) El elevado volumen por TDE de tratamientos efectuados y la habitualidad con que lo desarrolla operan como circunstancia agravante, dado el mayor rigor que, para dichas empresas 45.4.
  21. b)y c). La manifestación de que en este expediente solo se observa un volumen de tratamiento referente al denunciante y que no tiene un gran volumen de tratamientos no puede acogerse. De dar luz verde a este argumento, no se consideraría que cada denuncia es solo un tratamiento relacionado con el denunciante, e indefectiblemente se observan pocos tratamientos a el referidos. Sin embargo, lo que se tiene en cuenta es la forma de la denunciada en el desenvolverse del tráfico de datos, los cuales son tratados en general por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 denunciada en elevado volumen y de forma habitual. Asimismo, destaca en este caso que el denunciante al efectuar su login pudo visionar datos de otra persona hasta que se solventó el problema. Estos datos eran: -Las dos líneas que no eran de su titularidad, así como las fechas de sus altas junto con el nombre del titular de las líneas, su NIF, el e-mail de contacto y su dirección e importe de la última factura. Todos estos datos reunidos respecto a una persona identificable lo que supone un considerable número de referencias, que no se limitan a uno o dos datos. 2) El volumen de negocio o actividad que se le presupone a TDE, estando entre las primeras posiciones de operadores de telefonía (45.4 d). Razones todas ellas que conducen a imponer a TDE por la infracción del artículo 9.1 de la LOPD, una sanción de 20.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFONICA DE ESPAÑA, S.A.U., por una infracción del artículo 9.1 de la LOPD en relación con el artículo 91 del RLOPD, tipificada como grave en el artículo 44.3.
  22. h)de la LOPD, una multa de 20.000 euros, de conformidad con lo establecido en el artículo 45.1,. 2, .4 b),
  23. c)
  24. d)y .5
  25. b)de dicha LOPD. SEGUNDO: El ARCHIVO de las actuaciones referentes a la imputación de las infracciones de los artículos 9.1 y 10 de la LOPD a TELEFONICA MOVILES ESPAÑA, S.A.U., tipificadas como graves en los artículo 44.3.
  26. h)y 44.3.
  27. d)de la LOPD. TERCERO: NOTIFICAR la presente resolución a TELEFÓNICA DE ESPAÑA, S.A.U., a TELEFONICA MOVILES ESPAÑA, S.A.U., y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26711, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.