1/24 Expediente N.º: EXP202414304 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. con NIF ***NIF.1 (en adelante, la parte reclamante) con fecha 13 de noviembre de 2022 presentó denuncia ante la Agencia Española de Protección de Datos. El reclamante que afirma dedicarse profesionalmente a la seguridad ofensiva, pone de manifiesto ciertas vulnerabilidades de un software de ticketing denominado JANTO, el cual se encuentra presente mediante un IFRAME en multitud de sitios web de venta de entradas a nivel nacional. La propietaria de dicho software es la empresa IMPRONTA SOLUCIONES S.L con NIF B84092196 (en adelante, el IMPRONTA) la cuál es encargada del tratamiento de diversas entidades privadas y públicas, entre ellas, el AYUNTAMIENTO DE RIBA-ROJA DE TÚRIA con NIF P4621600H ((en adelante, AYUNTAMIENTO DE RIBA-ROJA). Afirma en su escrito que, como usuario que adquirió una entrada en dichos portales, ha comprobado que los datos de cualquier persona que haya comprado una entrada a través del mencionado software de ticketing quedan expuestos sin ningún tipo de autenticación. Sostiene que puso en conocimiento de tales circunstancias a IMPRONTA a través de correo preguntando, de forma adicional, si existía algún tipo de recompensas por su labor, no habiendo obtenido respuesta alguna. Junto a la reclamación, se aportan los siguientes documentos: - - Capturas de pantalla correspondientes a diversos correos electrónicos conteniendo el remitido por el reclamante al delegado de protección de datos (DPD) del encargado del tratamiento, poniendo en conocimiento de las vulnerabilidades encontradas en el software y en los cuales se adjuntaba, asimismo, capturas de las presuntas evidencias de tales vulnerabilidades. Capturas de pantalla de presuntas evidencias de las vulnerabilidades detectadas y pruebas de las posibilidades de filtración de datos personales. Entre dichas capturas se encuentra una entrada correspondiente al AUDITORI RIBA-ROJA donde se muestra un localizador a través del cual se pueden acceder a los datos personales correspondientes a la compra. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al encargado del tratamiento, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En fecha 19 de enero de 2023 y registro de entrada se recibe respuesta al traslado anterior por parte de IMPRONTA. El contenido de esta respuesta se analizará en el apartado referente a las actuaciones de investigación realizadas por la presente autoridad. TERCERO: Con fecha 13 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. QUINTO: En fecha 25/04/2024 se dictó resolución de caducidad por la Directora de la presente autoridad fundamentado en lo siguiente: “En las presentes actuaciones, la investigación se ha evidenciado como un proceso de enorme complejidad tanto desde el punto de vista técnico, como por el volumen de documentación que debe ser objeto de análisis y estudio. Además, han ido apareciendo nuevas líneas de investigación que han de ser evaluadas, por lo que, se debe completar la investigación iniciada con nuevas actuaciones complementarias. En consecuencia, dado que los hechos objeto de investigación no se encuentran prescritos, se dan instrucciones a la Subdirección General de Inspección de Datos para que inicie nuevas actuaciones de investigación.” SEXTO: En virtud de lo anterior, el 26/04/2024 se procedió por parte de la Subdirección General de Inspección de Datos la realización de nuevas actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las cuales se dictó el informe del cual destacaba lo siguiente: El caso tiene como antecedente las actuaciones previas de investigación abiertas a raíz de reclamación recibida en esta Agencia contra la empresa responsable del software de ticketing (Software JANTO), utilizado por múltiples servicios y terceras empresas para la venta de entradas de actividades y eventos a través de internet. Tras las actuaciones previas de investigación realizadas se hace necesario decretar resolución de caducidad y abrir estas nuevass actuaciones previas de investigación. Siendo el presente informe complementario al de la actuación de investigación anterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 Fecha de entrada de la reclamación: 13 de noviembre de 2022. Reclamante: A.A.A. (en adelante, la parte reclamante) Reclamado: AYUNTAMIENTO DE RIBA-ROJA DE TÚRIA, (en adelante, la parte reclamada) Hechos según manifestaciones de la parte reclamante: “Hechos según manifestaciones de la parte reclamante: “La empresa IMPRONTA SOLUCIONES S.L (http://impronta.
- es)es propietaria de JANTO, un software de ticketing que está presente mediante un IFRAME en multitud de sitios web de venta de entradas a nivel nacional, resaltando las siguientes, que cobran especial importancia al tratarse de bancos: - https://entradas.janto.es - https://tickets.kutxabank.es - https://compraentradas.ibercaja.es - https://www.unientradas.es Al ser un usuario que ha comprado una entrada en dichos portales, he visto cómo los datos de cualquier persona que compra una entrada a través de su software de ticketing quedan expuestos sin ningún tipo de autenticación. Profesionalmente me dedico a la seguridad ofensiva, por lo que es una comprobación que podría realizar cualquier atacante y en ningún momento se trata de un ataque intrusivo contra la infraestructura tecnológica de IMPRONTA SOLUCIONES S.L. El 17 de octubre, con ánimo de reportarles sus vulnerabilidades y preguntando por si tenían algún tipo de programa de recompensas dado que es un software instaurado a nivel nacional, me puse en contacto con su DPD según pone en su página web (http://impronta.es/politica-de-privacidad/) comentándole los problemas que tenían en su aplicación, sin obtener respuesta alguna. Adicionalmente envié otros dos correos, cada uno con una semana de tiempo de diferencia, sin obtener respuesta alguna” Fecha en la que tuvieron lugar los hechos reclamados: 17 de octubre de 2022. Documentación relevante aportada por la parte reclamante: - Se adjunta captura de pantalla conteniendo el correo electrónico remitido por el reclamante al DPD de impronta (dpd@impronta.
- es)en fecha 17 de octubre de 2022 y con el siguiente texto: “Soy un investigador de seguridad que he encontrado una vulnerabilidad en vuestro software JANTO, y explotando esta vulnerabilidad quedan al descubierto datos personales de clientes que han comprado una entrada en alguno de los eventos en los que vuestra aplicación gestiona los tickets. Entre estos campos se puede identificar el nombre de la persona, tarjeta de crédito en la que solo se ocultan 6 caracteres, correo electrónico, evento de la entrada, referencia, forma de pago, etc… Al ser un software de referencia en cuento a la venta de entradas a nivel nacional, ¿tenéis algún programa de recompensa”. - Se adjunta captura de pantalla con un segundo correo electrónico remitido por la parte reclamante a las direcciones dpd@impronta.es y impronta@impronta.es en fecha 24 de octubre de 2022, aportando información detallada de la vulnerabilidad encontrada y adjuntando capturas con evidencias del hallazgo. - Se adjunta captura de pantalla aportando evidencias adicionales de la vulnerabilidad detectada en el software con pruebas de las posibilidades de filtración de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 De las actuaciones previas de investigación que se llevaron a cabo con carácter previo a que se dictara resolución de caducidad de estas de 25/04/2024 se obtuvieron las siguientes conclusiones: 1. En relación con el vector de entrada, la brecha de de datos personales estuvo causada por una vulnerabilidad existente en el software de venta de entradas (JANTO) que permitía el acceso no autorizado a entradas de terceras personas modificando los valores de algunos parámetros de la URL, este fallo fue detectado por un investigador de seguridad independiente haciendo uso de herramientas de testeo y seguridad informática. Ha quedado constatado que este investigador de seguridad puso en conocimiento de IMPRONTA (empresa propietaria del software JANTO) todos los detalles del hallazgo encontrado, avisando de la vulnerabilidad y adjuntando capturas de pantalla que evidenciaban el error, remitiendo varios correos electrónicos tanto a IMPRONTA como a su DPD en fechas 17, 24 y 31 de octubre de 2022, en estos correos también preguntaba por la posible existencia en la organización de un programa de recompensas por el descubrimiento de este tipo de vulnerabilidades. Esta misma persona interpone reclamación ante esta Agencia aportando capturas de los correos electrónicos remitidos a IMPRONTA e información adicional sobre la vulnerabilidad encontrada. 2. Se ha constatado que IMPRONTA actúa como encargado de tratamiento en relación con los datos personales que se obtienen a través de la venta de entradas con el software JANTO, actuando siempre el cliente de IMPRONTA (empresa que contrata el uso del software) como responsable de tratamiento. 3. Se ha investigado la formalización de los contratos de encargo con algunas empresas (responsables de tratamiento) de los que disponíamos de alguna evidencia de afectación por las pruebas aportadas en la reclamación, no obstante, es importante destacar que JANTO es un Software como Servicio (SaS) por lo que la vulnerabilidad afectaba a todos los clientes de IMPRONTA que utilizaban este software. 4. En relación con la notificación de la brecha por parte de IMPRONTA a los responsables afectados, se ha constatado que IMPRONTA notificó por escrito únicamente a los responsables para los que existía evidencia de filtración (por las pruebas aportadas por el investigador de seguridad), no obstante, esta notificación se realizó el 3 de enero de 2023 y 25 de abril de 2023, fechas posteriores al incidente investigado e incluso al traslado de la reclamación realizado por esta Agencia. Para los responsables de tratamiento de los que no existían evidencias de filtración IMPRONTA afirma que la notificación se realizó de manera verbal, no acreditándose más detalles sobre ello. 5. IMPRONTA afirma que el número de personas afectadas ha sido de 30 al ser las únicas de las que se disponía evidencia de filtración (por las pruebas aportadas por el investigador), no obstante, ha quedado constatado que el número de personas potencialmente afectadas pudo ser superior ya que la vulnerabilidad permitía extraer C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/24 datos de cualquier persona que hubiera comprado entrada. A pesar de ello, no consta que se hubiera explotado esta vulnerabilidad por un tercero distinto al reclamante. 6. Las pruebas aportadas por el investigador revelan que a través de la vulnerabilidad se podían filtrar los siguientes tipos de datos personales: nombre completo, email, teléfono, número DNI, tarjeta bancaria ofuscada con 6 dígitos en claro. 7. Se ha constatado que IMPRONTA contactó con las personas afectadas vía email, aportándole nuevas entradas del evento para evitar la suplantación de identidad, no obstante, no consta que se le informara de la brecha de datos personales ni de la filtración de sus datos personales. 8.- Ha quedado constatado que IMPRONTA implantó las siguientes medidas reactivas: - (…). - (…). - (…). - (…). - (…). - (…). 9.- En relación con las medidas preventivas implantadas por IMPRONTA se ha acreditado: - (…). - (…). El principal objeto de esta nueva investigación es investigar la adecuación de los contratos formalizados y las posibles autorizaciones para contratar subencargos de tratamiento entre las entidades IMPRONTA SOLUCIONES S.L y, AYUNTAMIENTO DE RIBA-ROJA DE TÚRIA y SERVICIOS DE TICKETING INSTANTICKET SLU. En fecha 2 de mayo de 2024 se realiza requerimiento de información al AYUNTAMIENTO DE RIBA-ROJA DE TÚRIA marcado por la siguiente línea de investigación: - Investigar contrato de encargo que se formalizó con IMPRONTA SOLUCIONES SL. - Solicitar acreditación de los contratos administrativos, PPT y PCAP en relación con el uso del software JANTO. - Investigar la existencia de subencargos de tratamientos y la existencia de las correspondientes autorizaciones por parte del responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 En fecha 13 de mayo de 2024 y registro de entrada REGAGE24e00035149164 se recibe respuesta al requerimiento anterior por parte del AYUNTAMIENTO DE RIBAROJA DE TÚRIA, de la documentación aportada se extrae la siguiente información relevante: - Proporciona las siguientes afirmaciones: o IMPRONTA SOLUCIONES S.L ha estado prestando servicios al AYUNTAMIENTO DE RIBA-ROJA DE TURIA a través del software Janto Ticketing Software utilizado para la venta de bonos y/o entradas a través de su portal web (https://entradas.instanticket.es/ayto-ribaroja/public/janto). o En la actualidad, consta la existencia de un contrato que se adjunta como Anexo número 1 del presente. El acuerdo o contrato es del 26 de marzo de 2019. En el contrato aparece como prestador de servicios la entidad BANCO DE SABADELL SA. Según consta del propio acuerdo, el citado Banco es el titular de la marca Instant Ticket. o Con fecha de febrero de 2020 se recibe un comunicado en el que Banco Sabadell SA informa acerca de la transmisión del servicio de venta de entradas de Instant Ticket SLU. Se aporta como Anexo número 2, el citado correo electrónico. Se detalla que la gestión del servicio se mantiene invariable, siendo la única diferencia la facturación con otros datos fiscales” aportando un nuevo CIF. o Con relación al acuerdo suscrito a fecha de 26 de marzo de 2019 entre BANCO SABADELL SA y el Ayuntamiento, la relación jurídica se prevé en la cláusula decimoséptima. Según la misma: “(…)”. o En ningún caso, el Ayuntamiento ha recibido ninguna notificación por el cual se comunique acceso alguno por el tratamiento de datos de carácter personal. o El AYUNTAMIENTO DE RIBA-ROJA DE TURIA dispone de un procedimiento que es aplicado, especialmente por el Área de Contratación, en Pliegos de Prescripciones Técnicas (PPT) y Pliegos de Cláusulas Administrativas Particulares (PCAP) para la contratación con proveedores con y/o sin acceso a datos de carácter personal. Este procedimiento que se aporta como Anexo número 3 contempla, entre otras cuestiones, las exigencias de garantías adecuadas o la suscripción de contratos de encargo con aquellos prestadores de servicios que requieran el acceso a datos de carácter personal teniendo en cuenta particularidades como la subcontratación de parte de los servicios. - Se aporta documento que acredita el contrato formalizado en marzo de 2019 entre el AYUNTAMIENTO DE RIBA-ROJA DE TÚRIA y BANCO SABADELL S.A, que actúa bajo la marca Instant Ticket. De este documento se extrae la siguiente información relevante: o La venta de entradas se realizará por cualquiera de los siguientes canales: internet, teléfono, dispositivos móviles, taquilla Recinto, cualesquiera otros. Canales integrados JANTO. o Incorpora Apartado 17 Tratamiento de datos de carácter personal que incluye el siguiente contenido: “(…).” - Se aporta captura de pantalla de un correo electrónico remitido desde la dirección info@instanticket.es en fecha 5 de febrero de 2020 y dirigido a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 - destinatarios B.B.B.y C.C.C. (no se muestran sus direcciones de email), con el siguiente contenido: “Buenos días, B.B.B., C.C.C., En referencia al comunicado realizado por Banco Sabadell, S.A. sobre la transmisión del servicio de venta de entradas a Servicios de Ticketing Instant Ticket, S.L.U., os informamos que la gestión del servicio se mantiene invariable, siendo la única diferencia la facturación con otros datos fiscales (nuevo CIF B-88553763). Al tratarse de un Ayuntamiento, por favor indicadnos las instrucciones para poder realizar la facturación y cobro de facturas desde enero de 2020. La cuenta indicada en el comunicado sustituye a la anterior que utilizabais para los ingresos por venta de entradas de eventos ‘a taquilla’. Cualquier duda, por favor contactad conmigo. Muchas gracias. Un saludo” Se aporta documento interno del AYUNTAMIENTO DE RIBA-ROJA DE TÚRIA que incorpora los modelos de clausulado para incluir en los pliegos y contratos de encargo de tratamiento que se formalizan con prestadores de servicios con y sin acceso a datos personales, este documento tiene fecha de creación 17 de febrero de 2023. De lo anterior, se concluye: - El AYUNTAMIENTO DE RIBA-ROJA DE TÚRIA formalizó contrato con BANCO SABADELL SA, en fecha 26 de marzo de 2019, contratando el servicio de venta de entradas que proporcionaba el banco a través de su plataforma digital, haciendo uso de la marca Instant Ticket, este contrato incluía una cláusula sobre protección de datos donde ambas partes hacían constar que para la realización de estos servicios no se precisaba tratamiento alguno de datos personales. Posteriormente, en el año 2020 la empresa SERVICIOS DE TICKETING INSTANTICKET, S.L.U (B88553763) adquirió el servicio de venta de entradas de BANCO SABADELL SA, no obstante, el contrato firmado en 2019 permaneció en vigor al acordarse prórrogas automáticas anuales si las partes no manifestaban por escrito lo contrario. CUARTO: Con fecha 17 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 28 del RGPD, Artículo 32 del RGPD y Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD, Artículo 83.4 del RGPD y Artículo 83.4.
- a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: - El Ayuntamiento sostiene que no existe una relación en los términos del artículo 28 del RGPD entre la entidad local e Instant Ticket. Argumenta que Instant Ticket no actúa siguiendo instrucciones del Ayuntamiento, sino con plena autonomía, determinando de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24 manera independiente los fines y medios del tratamiento de datos personales necesarios para la gestión y venta de entradas. En consecuencia, defiende que Instant Ticket no es encargado del tratamiento, sino responsable autónomo del mismo. - En relación con el contrato firmado en 2019 con Banco Sabadell SA (posteriormente sustituido por Instant Ticket SLU), el Ayuntamiento destaca que en su cláusula decimoséptima se especifica expresamente que “para la realización de los servicios objeto del contrato no se precisa comunicación ni tratamiento alguno de datos personales” y que, solo en caso de ser necesaria tal comunicación, se suscribiría el correspondiente contrato de encargo. Alega que, en la práctica, nunca se llegó a formalizar dicho encargo de tratamiento porque no se consideró preciso. - Argumenta que el Ayuntamiento no ha participado en la decisión de qué datos personales serían recabados ni en las condiciones del tratamiento. Sostiene que no se le informó en el contrato qué categorías de datos serían recogidas, ni pudo decidir sobre el almacenamiento, la duración, el acceso ni las medidas de seguridad aplicadas. Por tanto, considera que carece de un control real y efectivo sobre la gestión de datos personales vinculados al servicio de ticketing. - Señala que Instant Ticket fija unilateralmente los medios de pago, la información exigida a los compradores, el funcionamiento de la plataforma, el tratamiento de incidencias y devoluciones, la duración del tratamiento de los datos y las medidas de seguridad aplicables. Incluso estaría facultada para imponer al Ayuntamiento la aceptación de nuevos medios de pago en el futuro. Todo ello demostraría, según el Ayuntamiento, que es Instant Ticket quien decide los fines y medios del tratamiento, lo que refuerza su posición como responsable independiente. El Ayuntamiento apoya su tesis en las Directrices 7/2020 del Comité Europeo de Protección de Datos, que recuerdan que no todo prestador de servicios que trata datos personales debe ser considerado encargado. Indican que cuando el tratamiento de datos no constituye el elemento esencial del servicio, y es el prestador quien decide fines y medios, corresponde calificarlo como responsable del tratamiento. Con base en este criterio, entienden que Instant Ticket no puede considerarse encargado, sino responsable independiente. Como prueba adicional, el Ayuntamiento cita la política de privacidad publicada en la web de Vivaticket/Instant Ticket, en la que la propia empresa se reconoce a sí misma como responsable del tratamiento de los datos personales de los usuarios para finalidades como la gestión de entradas, el mantenimiento de clientes, la gestión de cobros, la promoción y la publicidad de eventos. Esto, según el Ayuntamiento, evidencia que la empresa asume directamente la condición de responsable. - Sobre la brecha de datos personales producida en el software JANTO, el Ayuntamiento sostiene que no le resulta imputable, ya que no ha participado en la determinación de los medios del tratamiento ni en la gestión de la seguridad de los datos. Afirma que la exposición de datos como el DNI o la tarjeta bancaria corresponde exclusivamente a Instant Ticket, en tanto que responsable de los tratamientos realizados a través de la plataforma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 - En base a todo lo anterior, el Ayuntamiento solicita expresamente el archivo del procedimiento sancionador frente a la entidad local, alegando que la responsabilidad de las infracciones imputadas corresponde en exclusiva a Instant Ticket, y que el Ayuntamiento ha actuado conforme a derecho. - De manera subsidiaria, el Ayuntamiento solicita que, en caso de que la AEPD considere que sí existe una relación de encargo de tratamiento, no se le imputen las infracciones de los artículos 5.1
- f)y 32 del RGPD. Argumenta que, aun en ese supuesto, la brecha de datos personales y las vulneraciones del principio de confidencialidad derivan de la actuación de Instant Ticket en el desarrollo de su actividad como prestador del servicio, por lo que las infracciones no deben recaer sobre la entidad local. QUINTO: Con fecha 1 de septiembre de 2025 se formuló propuesta de resolución, a través del cual se proponía: “Que por la Presidencia de la Agencia Española de Protección de Datos se declare que AYUNTAMIENTO DE RIBA-ROJA, con NIF P0906100C. ha infringido lo dispuesto en los artículos 28, y 5.1.
- f)del RGPD, tipificadas en el artículo 83.4 del RGPD y en el artículo 83.5 del RGPD respectivamente. Que por la Presidencia de la Agencia Española de Protección de Datos se archive la infraccion imputada al AYUNTAMIENTO DE RIBA-ROJA, con NIF P0906100C, del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a AYUNTAMIENTO DE RIBA-ROJA, con NIF P0906100C que en virtud del artículo 58.2.
- d)del RGPD, en el plazo máximo de tres meses, acredite haber procedido al cumplimiento de las siguientes medidas: - La formalización de un contrato de encargo de tratamiento conforme al artículo 28.3 del RGPD entre el Ayuntamiento de Riba-roja e Impronta Soluciones S.L., o el encargado actual, que incluya todos los extremos exigidos por la normativa y las condiciones previstas en los pliegos de licitación. - Adoptar las medidas técnicas y organizativas necesarias para garantizar la confidencialidad de los datos personales tratados.” SEXTO: Notificado la citada propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) en fecha 12/09/2025 tuvo entrada en el registro de la presenta autoridad escrito de alegaciones de la parte reclamada frente a la citada propuesta, del cual destacaba lo siguiente: 1. Sobre la obligación de formalizar contrato de encargo. El Ayuntamiento manifiesta que, en el momento de contratar el servicio de venta de entradas con Impronta Soluciones S.L. (Instant Ticket), entendió que esta entidad actuaba como responsable del tratamiento de datos personales y no como encargado. Afirma que la interpretación se sustentaba en que la empresa decidía de forma autónoma aspectos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 esenciales del tratamiento, como los medios de pago aceptados, los datos a recabar de los usuarios, la duración del tratamiento, las medidas de seguridad y las obligaciones derivadas del cumplimiento del artículo 5 del RGPD. Bajo esa premisa, manifiesta que no consideró necesario formalizar un contrato de encargo ni ejercer un control directo sobre las actuaciones del proveedor. Sin embargo, atendiendo al criterio de la AEPD, afirma que ha reclasificado a Impronta como encargado del tratamiento y ha elaborado un contrato de encargo conforme al artículo 28.3 RGPD, que ya se ha remitido al proveedor para su firma. Dicho contrato incorpora cláusulas reforzadas de supervisión y control, auditorías documentadas y garantías adicionales en materia de seguridad. Además, concluye indicando que se ha iniciado un proceso de revisión de pliegos de contratación, homologación de proveedores y actualización del registro de encargados para evitar situaciones similares en el futuro. 2. Sobre la confidencialidad y las medidas de seguridad. En relación con la vulneración de la confidencialidad y el acceso no autorizado a datos personales a través del software JANTO, el Ayuntamiento alega que no tuvo conocimiento de la brecha en el momento en que se produjo, ya que el reclamante la comunicó directamente a Impronta y a su Delegado de Protección de Datos, sin que esta información fuera trasladada al propio Ayuntamiento. Como consecuencia, sostiene que no pudo activar medidas de contención ni cumplir con las obligaciones de notificación. No obstante, y en aplicación del principio de responsabilidad proactiva, afirma haber adoptado medidas complementarias: el encargado dispone de certificación básica del Esquema Nacional de Seguridad (ENS), el contrato de encargo incorpora cláusulas de trazabilidad y control de operaciones, se ha impartido formación específica al personal del Ayuntamiento en materia de protección de datos y se ha emitido un comunicado interno al personal del Auditorio Municipal para extremar la precaución en la contratación de servicios externos, recordando la importancia de contar con el asesoramiento del Delegado de Protección de Datos en caso de duda. 3. Conclusión. El Ayuntamiento sostiene que actuó inicialmente de acuerdo con una interpretación del rol del proveedor, aunque errónea a la luz del criterio de la AEPD, lo que, a su juicio, explica la ausencia de contrato de encargo y de medidas de supervisión. Subraya que, una vez conocida la valoración de la Agencia, ha procedido a subsanar las deficiencias mediante la formalización del contrato de encargo, la adopción de medidas reforzadas de seguridad, la formación del personal y el establecimiento de mecanismos de control sobre proveedores. En este contexto, el Ayuntamiento manifiesta su compromiso con la normativa de protección de datos y solicita el archivo del procedimiento sancionador, entendiendo que las carencias detectadas han sido corregidas y que se ha reforzado su capacidad de prevención y cumplimiento futuro. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditado que el Ayuntamiento de Riba-roja de Túria contrató en fecha 26 de marzo de 2019 con Banco Sabadell S.A., bajo la marca Instant Ticket, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 prestación del servicio de venta de entradas, contrato que posteriormente pasó a ser ejecutado por la entidad Servicios de Ticketing Instant Ticket S.L.U., vinculada a Impronta Soluciones S.L. Este extremo se desprende de la documentación aportada por el Ayuntamiento en su respuesta al requerimiento de información de fecha 13 de mayo de 2024), donde se incorpora copia del contrato suscrito y comunicaciones posteriores con Instant Ticket. SEGUNDO: Ha quedado acreditado que, en la práctica, para la venta de entradas de eventos del Ayuntamiento de Riba-roja a través de la plataforma JANTO gestionada por Instant Ticket se requería el tratamiento de datos personales de los compradores, tales como nombre y apellidos, dirección de correo electrónico, número de teléfono, DNI y datos de la tarjeta de pago parcialmente visibles. Ello se constata en las capturas de pantalla aportadas por el reclamante junto con su denuncia de fecha 13 de noviembre de 2022, donde se visualizan las entradas adquiridas a través del sistema y los datos que se exponen al usuario. TERCERO: De las actuaciones de investigación se desprende que el software JANTO presentaba vulnerabilidades que permitían el acceso no autorizado a datos personales de compradores de entradas mediante la simple manipulación de parámetros en la URL de descarga de los billetes electrónicos. Este extremo se basa en el informe de la Subdirección General de Inspección de Datos incorporado al expediente, que recoge las pruebas remitidas por el investigador de seguridad en sus correos de 17, 24 y 31 de octubre de 2022. CUARTO: La vulnerabilidad fue comunicada a Impronta Soluciones S.L., empresa desarrolladora del software, por el investigador de seguridad en las citadas fechas de octubre de 2022. Ello resulta del contenido de los correos electrónicos aportados por el reclamante y de la propia manifestación de Impronta en su escrito de respuesta de 19 de enero de 2023, donde admite haber comunicado la incidencia a algunos responsables afectados únicamente en enero y abril de 2023. QUINTO: Consta acreditado que los datos expuestos por la vulnerabilidad incluían información identificativa y financiera de los interesados (nombre, email, teléfono, DNI, tarjeta de pago parcialmente visible, referencias de operación, datos del evento y PDF de la entrada adquirida). Así se desprende de las capturas de pantalla aportadas por el reclamante y de la descripción contenida en el informe de actuaciones previas de la Subdirección General de Inspección de Datos de 12 de diciembre de 2023. SEXTO: El Ayuntamiento de Riba-roja de Túria no aportó contrato de encargo de tratamiento con contenido ajustado al artículo 28.3 del RGPD que regulara las obligaciones de las partes respecto al tratamiento de datos personales derivados del uso de la plataforma. Se aporta en su lugar documento interno del Ayuntamiento que incorpora los modelos de clausulado para incluir en los pliegos y en los contratos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 encargo de tratamiento que se formalicen con prestadores de servicios con y sin acceso a datos personales, el cual tiene fecha de creación 17 de febrero de 2023. Este hecho se desprende tanto del contrato aportado por el propio Ayuntamiento en mayo de 2024, como de sus alegaciones de 5 de noviembre de 2024, en las que insiste en que “no se da ninguna relación del tipo responsable–encargado” y que Instant Ticket es responsable independiente del tratamiento. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: - Respecto a la alegación de inexistencia de relación de responsable–encargado, no puede compartirse el planteamiento del Ayuntamiento. El contrato de 2019 suscrito inicialmente con Banco Sabadell bajo la marca Instant Ticket, y posteriormente continuado por Servicios de Ticketing Instant Ticket S.L.U., tenía por objeto la prestación de un servicio de venta de entradas municipales, tanto para eventos culturales como deportivos y de otra índole organizados o promovidos por el propio Ayuntamiento. Dicho objeto contractual implica necesariamente un tratamiento de datos personales de los compradores, pues sin la recogida de información como el nombre, apellidos, dirección de correo electrónico, número de teléfono, DNI o medios de pago, sería materialmente imposible identificar al comprador, asignar las entradas adquiridas, tramitar devoluciones o atender posibles incidencias derivadas de la compra. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 Ello convierte al Ayuntamiento, en tanto que organizador de los eventos y beneficiario último del servicio, en quien determina los fines esenciales del tratamiento: identificar, autenticar y gestionar a los compradores de entradas a sus actividades municipales. Debe destacarse que el hecho de que Instant Ticket aporte los medios técnicos, determine aspectos operativos de la plataforma o incluso gestione cuestiones de carácter instrumental (métodos de pago, funcionamiento de la aplicación, soporte técnico) no le otorga la condición de responsable autónomo del tratamiento en lo que respecta a la venta de entradas de los eventos municipales. Conforme al artículo 4.7 del RGPD, el criterio decisivo para determinar la condición de responsable es quién define los fines del tratamiento, no quién provee los medios materiales o tecnológicos. En este caso, el fin último del tratamiento (la gestión de los compradores de entradas de eventos organizados por el Ayuntamiento de Riba-roja de Túria) está indisolublemente vinculado a las competencias y objetivos propios de la entidad local. En otras palabras, es el Ayuntamiento quien decide qué eventos se ofertan, qué entradas se ponen a la venta, en qué condiciones se comercializan y cómo se organizan los servicios municipales que justifican el uso del sistema de ticketing. Todo ello convierte a la corporación local en el verdadero responsable del tratamiento de los datos de los compradores. Instant Ticket, por su parte, actúa como un mero prestador de servicios que trata datos por cuenta del Ayuntamiento y siguiendo sus finalidades, lo que encaja plenamente en la definición de “encargado del tratamiento” del artículo 4.8 del RGPD. No puede aceptarse, por tanto, la tesis defendida por el Ayuntamiento de que Instant Ticket debe ser considerado responsable independiente del tratamiento. - En cuanto a la cláusula contractual incluida en el contrato de 2019 con Banco Sabadell, posteriormente asumido por Servicios de Ticketing Instant Ticket S.L.U., en la que se establece que “para la realización de los servicios objeto del presente contrato no se precisa comunicación ni tratamiento alguno de datos personales”, debe señalarse que tal previsión no puede ser utilizada como elemento eximente de responsabilidad por parte del Ayuntamiento. La naturaleza de las obligaciones derivadas del RGPD no depende de lo que formalmente se plasme en un contrato, sino de la realidad material del tratamiento llevado a cabo. La prestación del servicio de ticketing implica, de forma indiscutible, la recogida y tratamiento de datos personales de los usuarios que adquieren entradas: nombre y apellidos, dirección de correo electrónico, teléfono de contacto, documento de identidad y datos asociados al pago. La cláusula contractual que excluye el tratamiento de datos es, por tanto, meramente declarativa y no refleja la actividad real desarrollada a través de la plataforma JANTO. Además, el propio contrato prevé que, en caso de ser necesaria la comunicación de datos personales, debería formalizarse el correspondiente contrato de encargo de tratamiento. El hecho de que el Ayuntamiento no promoviera ni formalizara dicho contrato cuando era evidente que la prestación del servicio conllevaba tratamiento de datos de carácter personal constituye un incumplimiento directo de lo dispuesto en el artículo 28.3 del RGPD. La falta de previsión y de supervisión contractual no exonera al responsable de su obligación de garantizar que los encargados del tratamiento actúen conforme a las instrucciones impartidas y bajo las garantías adecuadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 En definitiva, la cláusula decimoséptima del contrato no puede interpretarse como una exclusión real del tratamiento de datos, sino como un reconocimiento implícito de que, llegado el caso, debían adoptarse medidas contractuales específicas de protección de datos que nunca llegaron a implementarse. La invocación de esta cláusula por parte del Ayuntamiento manifiesta, más bien, una falta de diligencia en el cumplimiento de sus obligaciones, al no haber adaptado su relación contractual con Instant Ticket a las exigencias establecidas por el RGPD desde el momento en que resultaba patente que se estaban tratando datos personales de los usuarios. - La alegación del Ayuntamiento relativa a la supuesta falta de control sobre el tratamiento no solo no constituye un argumento eximente de responsabilidad, sino que pone de manifiesto, precisamente, la infracción apreciada en este procedimiento. El artículo 28 del RGPD establece de manera expresa que corresponde al responsable del tratamiento seleccionar encargados que ofrezcan garantías suficientes, suscribir un contrato con el contenido mínimo exigido y supervisar de forma continua que el encargado cumple con las obligaciones impuestas por la normativa de protección de datos. El hecho de que el Ayuntamiento manifieste que no participó en la determinación de los datos recogidos, en las medidas de seguridad implantadas o en las condiciones de conservación de la información, revela un incumplimiento del deber de control que como responsable le corresponde. En este sentido, la falta de control alegada no es un hecho neutral, sino un indicio claro de que el Ayuntamiento no adoptó las medidas exigidas para asegurar que el servicio de venta de entradas se desarrollara conforme a las exigencias legales. No basta con delegar la gestión en un proveedor; resulta imprescindible ejercer una supervisión efectiva que permita verificar la licitud de las operaciones de tratamiento y la adecuación de las medidas de seguridad aplicadas. Por ello, la invocación de la ausencia de control no exonera al Ayuntamiento, sino que constituye la confirmación de la infracción atribuida. - El Ayuntamiento sostiene que la propia página web de Instant Ticket/Vivaticket reconoce a la empresa como responsable del tratamiento, lo que evidenciaría que no existe una relación de encargo y que el Ayuntamiento queda exento de responsabilidad. Este planteamiento no puede compartirse. En este sentido, que Instant Ticket se identifique como responsable en relación con determinados tratamientos (por ejemplo, la gestión de su base de clientes, el envío de comunicaciones comerciales, la publicidad de eventos o la fidelización de usuarios) no implica que ostente esa condición en todos los supuestos. El propio Comité Europeo de Protección de Datos ha señalado que una misma entidad puede ser responsable en unos tratamientos y encargada en otros, debiendo analizarse siempre el contexto específico y, sobre todo, quién determina los fines del tratamiento. En el caso que nos ocupa, la finalidad del tratamiento es inequívoca: la gestión de la venta de entradas de eventos promovidos por el Ayuntamiento de Riba-roja de Túria. Es la corporación municipal quien decide qué eventos se ofrecen, cuántas entradas se ponen a la venta, cuáles son sus precios, qué colectivos tienen acceso y bajo qué C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/24 condiciones. Estos elementos constituyen la determinación de los fines del tratamiento, y no corresponden a Instant Ticket, que se limita a aportar los medios técnicos para que dichos fines puedan alcanzarse. En el presente caso, dichos medios técnicos para lograr la finalidad los ha elegido y decidido el Ayuntamiento. Por tanto, aunque Instant Ticket pueda ser responsable de los tratamientos vinculados a sus propios intereses comerciales, en lo que se refiere a la venta de entradas de eventos municipales actúa como encargado del tratamiento,, siendo el Ayuntamiento de Riba-roja de Túria el responsable último de garantizar la licitud, seguridad y confidencialidad de los datos personales tratados. III Alegaciones frente a la propuesta de resolución 1. Sobre la formalización del contrato de encargo (art. 28.3 RGPD) el Ayuntamiento alega que consideró inicialmente a Impronta Soluciones S.L. como responsable autónomo del tratamiento, por lo que no formalizó contrato de encargo. Sin embargo, este planteamiento no puede considerarse como eximente de responsabilidad. El contrato suscrito en 2019 entre el Ayuntamiento de Riba-roja de Túria y Banco Sabadell S.A., bajo la marca Instant Ticket, posteriormente continuado por Servicios de Ticketing Instant Ticket S.L.U., vinculada a Impronta Soluciones S.L., tenía por objeto la venta de entradas de eventos organizados por el Ayuntamiento. Dicha finalidad (identificar y gestionar a los compradores de entradas de actividades municipales) fue decidida en todo momento por el Ayuntamiento, como organizador de los eventos y beneficiario del servicio. El hecho de que la empresa proveedora fijara determinados aspectos técnicos o de ejecución (sistemas de pago, funcionamiento de la plataforma) no la convierte en responsable autónomo del tratamiento, pues no era ella quien determinaba los fines, sino que actuaba en el marco de la finalidad decidida por el Ayuntamiento. De acuerdo con el artículo 4.7 y 4.8 del RGPD, corresponde al Ayuntamiento la condición de responsable del tratamiento, mientras que Impronta Soluciones S.L. actuaba como encargado, ejecutando el contrato bajo las finalidades establecidas por la entidad local. En consecuencia, la ausencia de un contrato de encargo de tratamiento conforme al artículo 28.3 RGPD constituye una infracción, al no haberse plasmado por escrito las obligaciones y garantías exigidas para este tipo de relación. No obstante, esta Agencia toma en consideración la documentación aportada por la entidad reclamada, acreditativa de la formalización posterior del contrato de encargo con Impronta Soluciones S.L. conforme a lo dispuesto en el artículo 28.3 RGPD. En consecuencia, sin perjuicio de la declaración de infracción por el periodo en que no existió dicho contrato, no se mantiene la medida correctiva de ordenar su formalización al haber quedado ya cumplida. 2. Sobre la confidencialidad y las medidas de seguridad (art. 5.1
- f)RGPD) El Ayuntamiento sostiene que desconocía la existencia de la vulnerabilidad del software JANTO, dado que fue comunicada directamente a Impronta Soluciones S.L. por el investigador de seguridad y no trasladada a la entidad local. No obstante, este hecho no exime de responsabilidad. Precisamente el desconocimiento de la incidencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24 hasta el momento en que se materializó la brecha pone de manifiesto la ausencia de mecanismos de supervisión y control por parte del Ayuntamiento como responsable del tratamiento. De acuerdo con el artículo 5.1
- f)RGPD, el responsable está obligado a garantizar la integridad y confidencialidad de los datos personales tratados, lo que incluye establecer medidas técnicas y organizativas, así como mecanismos de supervisión suficientes para prevenir accesos no autorizados, aun cuando estos se produzcan en el ámbito técnico gestionado por un encargado. Ahora bien, debe tenerse en cuenta que la entidad reclamada ha acreditado la adopción de medidas posteriores para reforzar la seguridad, tales como la formalización de un contrato de encargo con cláusulas específicas de supervisión, la exigencia de certificación básica del Esquema Nacional de Seguridad (ENS) al encargado, la impartición de formación específica al personal y la emisión de instrucciones internas para extremar la precaución en la contratación de servicios externos. Estas actuaciones, aunque no enervan la infracción cometida, sí corrigen la situación detectada y refuerzan la protección de datos en el futuro. En consecuencia, sin perjuicio de la declaración de infracción de dicha infracción, al haberse acreditado ya la implementación de actuaciones suficientes que subsanan la deficiencia observada, no se mantiene la orden de adoptar las medidas técnicas y organizativas necesarias para garantizar la confidencialidad de los datos personales tratados. IV Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: «Datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; «Tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; En el caso que nos ocupa, el reclamante adjunta diversa información que acredita el acceso a varias entradas en las cuales se encuentra un localizador que permite acceder a diversos datos personales. Concretamente, se aporta una entrada correspondiente al AUDITORI RIBA-ROJA y donde se muestra la fecha de la obra, el precio y el mencionado localizador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/24 «Responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; «Encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; En el presente caso, tal y como se desprende de las actuaciones de investigación tiene la consideración de responsable del tratamiento el AYUNTAMIENTO DE RIBAROJA en cuanto es quien determina los fines y medios del tratamiento consistentes en la identificación del comprador de las entradas. Por su parte, IMPRONTA, tiene la consideración de encargado del tratamiento en relación con los datos personales que se obtienen a través de la venta de entradas con el software JANTO, actuando por cuenta de los diversos clientes responsables del tratamiento, entre los cuales se encuentra el AYUNTAMIENTO DE RIBA-ROJA. V Obligación incumplida del artículo 5.1
- f)del RGPD. De acuerdo con el apartado 1.
- f)del artículo 5 RGPD los datos deben ser: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)” Como puede observase, la finalidad del principio de integridad y confidencialidad consiste en garantizar que los datos personales sean tratados de manera que se protejan contra el acceso no autorizado o ilícito, su pérdida, destrucción o daño accidental. La integridad se refiere a la precisión y totalidad de los datos tratados, mientras que la confidencialidad se ocupa más bien de asegurar que dichos datos personales no sean accesibles para personas no autorizadas. En el presente caso, se desprende una presunta vulneración por parte del AYUNTAMIENTO DE RIBA-ROJA de este principio a raíz de las actuaciones de investigación previas realizadas por esta autoridad. Según dichas actuaciones, ha existido un acceso no autorizado a determinados datos personales de los clientes que compraron diversas entradas de consumo. Entre dichos datos se encontraba el nombre completo, email, teléfono, seis dígitos de la tarjeta bancaria con la que se ha llevado a cabo el pago e incluso el número de DNI. En el caso concreto del AYUNTAMIENTO DE RIBA-ROJA el reclamante ha aportado diversa información que acredita la exposición de dichos datos, entre las cuales se encuentra una entrada para una obra en el AUDITORI RIBA-ROJA en el cual figura un localizador. A través de dicho localizador puede obtenerse la entrada que ha sido adquirida por un usuario respecto al cual constan datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/24 En este sentido, debe de recordarse que, en virtud del principio de responsabilidad proactiva consagrada en el apartado segundo del citado artículo 5, el responsable del tratamiento es el sujeto obligado a garantizar el respeto y cumplimiento de los principios enumerados por el artículo 5 en relación con el tratamiento de los datos personales que realicen en su gestión, incluyendo los realizados por el encargado del tratamiento que actúe por cuenta de dicho responsable. En virtud de las exigencias normativas y jurisprudenciales mencionadas, la parte reclamada, como responsable del tratamiento de los datos personales, es quien está obligada a garantizar el respeto y cumplimiento de los principios enumerados por el artículo 5 respecto al tratamiento de los datos personales en su gestión, incluyendo los realizados por el encargado del tratamiento por cuenta de dicho responsable. En consecuencia, en el presente caso se desprende una violación del principio de integridad y confidencialidad exigido por el artículo 5 del RGPD por la parte reclamada al no haber sido adoptadas medidas adecuadas y para evitar la exposición de datos de clientes que adquirieron entradas a través de la página web de su titularidad y ello con independencia de que la brecha tuviera lugar como consecuencia de una vulnerabilidad en el software de la empresa encargada del tratamiento que actuaba por cuenta aquella. VI Tipificación y calificación a efectos de prescripción de la infracción del artículo 5.1
- f)del RGPD La citada infracción del artículo 5.1.
- f)del RGPD supone la comisión de la infraccion tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/24 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VII Artículo 32 del RGPD El artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. VIII Archivo de la infracción del artículo 32 del RGPD Revisada la documentación obrante en el expediente administrativo, se evidencia que no se ha producido una conculcación del artículo 32 de RGPD, al no haberse acreditado la ausencia de otras medidas técnicas y organizativas de seguridad independientes de las que están relacionadas con la pérdida de confidencialidad que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/24 supone una vulneración del art. 5.1
- f)del RGPD, por lo que se confirma el archivo propuesto respecto a la infracción del artículo 32 del RGPD. IX Obligación incumplida del artículo 28.3 del RGPD. El apartado tercero del artículo 28 del RGPD establece lo siguiente: “El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
- a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
- b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
- c)tomará todas las medidas necesarias de conformidad con el artículo 32;
- d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
- e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
- f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
- g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
- h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
- h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/24 La importancia del contrato de encargo del tratamiento de datos personales, conforme al citado artículo, resulta fundamental para asegurar la protección de los derechos y libertades de los interesados cuyos datos personales son tratados. Este contrato supone la base legal y operativa para establecer las responsabilidades y obligaciones específicas entre el responsable y el encargado del tratamiento. Sin él, no existen garantías de que los datos se tratarán con las medidas de seguridad y confidencialidad adecuadas, lo que puede poner en riesgo los derechos de los titulares de dichos datos. En el caso que nos ocupa, tal y como se desprende de las actuaciones de investigación, el AYUNTAMIENTO DE RIBA-ROJA formalizó contrato con BANCO SABADELL SA, en fecha 26 de marzo de 2019, contratando el servicio de venta de entradas que proporcionaba el banco a través de su plataforma digital, haciendo uso de la marca Instant Ticket. A pesar de lo que manifiesta el AYUNTAMIENTO DE RIBAROJA, el objeto del contrato conlleva un tratamiento de datos personales pues para la adquisición de las mismas, resulta necesario indicar diversos datos personales del comprador. En este sentido, no disponer de contrato de encargo de tratamiento constituye una omisión directa respecto a las obligaciones legales descritas en el artículo 28.3 del RGPD. Resulta conveniente destacar que un contrato entre el responsable y el encargado del tratamiento, aunque formalmente exista, no implica necesariamente que se cumplan los requisitos de un contrato de encargo de tratamiento conforme al artículo 28.3 del RGPD. No basta con que haya un acuerdo contractual entre las partes; este contrato debe contener disposiciones específicas que regulen el tratamiento de datos personales y que están perfectamente delimitadas por el precepto. En consecuencia, la existencia de un contrato genérico entre las partes en ningún caso garantiza por sí sola que se hayan abordado adecuadamente las cuestiones de protección de datos En este sentido de aporta documento interno del AYUNTAMIENTO DE RIBA-ROJA DE TÚRIA que incorpora los modelos de clausulado para incluir en los pliegos y contratos de encargo de tratamiento que se formalizan con prestadores de servicios con y sin acceso a datos personales, el cual tiene fecha de creación 17 de febrero de 2023. En este caso, aunque exista un contrato del sector público se ha evidenciado que no se incluyó un encargo de tratamiento de datos personales, lo cual es un incumplimiento directo de la normativa. Sin las cláusulas específicas exigidas por el RGPD, no se puede asegurar que el encargado del tratamiento esté cumpliendo con las medidas de protección adecuadas, lo que deja a los datos personales de los interesados potencialmente vulnerables. En definitiva, de los hechos probados ha quedado acreditado la ausencia de un contrato de encargo del tratamiento con el contenido exigido el artículo 28.3 del RGPD, lo cual implica una vulneración de dicho artículo. X C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/24 Tipificación y calificación a efectos de prescripción de la infracción del artículo 28.3 del RGPD La citada infracción del artículo 28 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. XI Declaración de las infracciones El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: […]
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. […] 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/24 proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Por consiguiente, puesto que el AYUNTAMIENTO DE RIBA-ROJA, en tanto que responsable del tratamiento está encuadrado en el apartado
- c)del artículo 77.1. de la LOPDGDD (es una entidad local), se ha de declarar las infracciones de los artículos 5.1
- f)y 28.3 del RGPD tipificadas respectivamente en los artículos 83.5 y 83.4 del RGPD. Atendiendo a lo anterior, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que AYUNTAMIENTO DE RIBA-ROJA, con NIF P0906100C. ha infringido lo dispuesto en los artículos 5.1
- f)y 28.3 del RGPD, tipificadas en el artículo 83.5 del RGPD y en el artículo 83.4 del RGPD respectivamente. SEGUNDO: ARCHIVAR el procedimiento sancionador iniciado por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. TERCERO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE RIBA-ROJA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/24 CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es