PS-00467-2015

1/16 Procedimiento Nº PS/00467/2015 RESOLUCIÓN: R/02986/2015 En el procedimiento sancionador PS/00467/2015, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ONO, S.A.U., vistas las denuncias presentadas, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 30/09/2014, tuvieron entrada en esta Agencia dos denuncias presentadas por los denunciantes 1 y 2, cuya identidad consta en los Anexos a este Acuerdo, en las que ponen de manifiesto que el mismo día 30/09/2014, al tratar de acceder a sus facturas a través del área de clientes habilitada en el sitio web de la entidad CABLEUROPA, S.A.U., actualmente denominada VODAFONE ONO, S.A.U. (en lo sucesivo VODAFONE ONO), pudieron acceder y descargar facturas correspondientes a otros clientes. Ambos denunciantes aportaron copia de las facturas accedidas. El Denunciante 1 adjuntó copia de una factura a nombre de un tercero persona física, y el Denunciante 2 aportó copia de una factura emitida a nombre de una Comunidad de Propietarios. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las actuaciones siguientes: . El 15/01/2015 se realizó una visita de inspección a la sede de VODAFONE ONO, en la que se constataron los siguientes hechos: 1. Los datos de los cuatro implicados en los hechos denunciados constan en el fichero de clientes de VODAFONE ONO. 2. Al acceder a los sistemas de facturación de la entidad se verificó que las facturas aportadas por los denunciantes, ambas de fecha 23/09/2014, son reales. Además de los datos identificativos y de contacto, contienen el detalle de los productos contratados y las llamadas realizadas. 3. Vinculadas a los titulares de las facturas aportadas, el tercero persona física y la Comunidad de Propietarios, constan dos reclamaciones interpuestas el día 30/09/2014 por los mismos hechos denunciados ante esta Agencia. En estas reclamaciones señalan que al acceder al área web de clientes y tratar de descargar su factura pudieron descargar la de otro cliente. 4. La facturación de los clientes de VODAFONE ONO, unos dos millones, se realiza en nueve ciclos en los que se divide el total de facturas a generar, que pueden pertenecer, según la clasificación interna de la entidad, a tres grandes grupos de clientes: residencial (personas físicas), pyme y grandes cuentas. En su momento se notificó a todos los clientes que, a menos que expresaran su deseo en sentido contrario, las facturas se generarían únicamente en formato electrónico. En diciembre de 2013 se decidió que los clientes que habían seleccionado facturación en papel también pudiesen acceder a sus facturas en formato pdf a través del área de clientes de la web, previo registro de alta. 5. El 30/09/2014 se detectó una incidencia en la generación de las facturas digitales, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 resultaron accesibles a través del área web de clientes. A pesar de que la incidencia únicamente afectaba al ciclo de las facturas emitidas el 23/09/2014, a las 11:49, el Área de Atención al Cliente de VODAFONE ONO bloqueó el acceso a las facturas a través de la web e informó a sus clientes mediante una nota publicada en la página bloqueada. La incidencia se solucionó a las 15:49 del mismo día 30/09/2014, generando de nuevo las facturas del ciclo de facturación afectado. Las facturas no estuvieron disponibles hasta 24 horas después en el área web de clientes. 6. El ciclo de facturación del 23 de septiembre contenía 473.206 facturas pero la incidencia afectó a 185.521 facturas, de las que 178.347 corresponden al grupo de clientes residencial (personas físicas). La entidad entiende que el número de clientes afectados es menor al número de facturas ya que, por un lado, un mismo cliente puede tener más de una factura (p.e. facturas en distintos domicilios o por servicios móviles y fijos), y por otro, no todos los clientes con facturas electrónicas están dados de alta en el área de clientes, requisito necesario para acceder a sus facturas, ya que el alta en el área de clientes es voluntaria. 7. La incidencia produjo dos efectos, que afectaron de forma diferente a los clientes de VODAFONE ONO. Por un lado, impidió a algunos clientes el acceso a las facturas afectadas durante unas pocas horas. A la hora de estimar este número de clientes afectados son relevantes tanto el hecho de que un cliente pueda tener varias facturas como el hecho de que si no posee usuario del área de clientes no se ve afectado por la inaccesibilidad. Por otro lado, la incidencia también permitió a unos clientes ver las facturas de otros. En este caso, al estimar el número de clientes afectados, el primer argumento (un cliente puede tener más de una factura) es válido, pero no el segundo, ya que lo relevante es que quienes sí tenían usuario del área de clientes pudieron acceder a datos de otros que no tenían por qué tenerlo. En el presente caso, el Denunciante accedió a los datos del tercero sin importar que éste tuviese o no un usuario dado de alta. 8. VODAFONE ONO notificó la quiebra de seguridad a través de la sede electrónica de esta Agencia el 27/01/2015. En dicho documento los representantes de la entidad indican que el retraso en la notificación se debió a “Un fallo interno de comunicación entre los departamentos. No se comunicó el acaecimiento de la incidencia al departamento encargado de notificarla a la AEPD. En la notificación se informa que la incidencia tuvo lugar el día 29 de septiembre, a las 16:15, pero que no fue detectada hasta el día 30 a las 8:00. Según lo notificado, la quiebra se debió a un error en el fichero que contiene la numeración de facturas y que vincula éstas a los clientes. Con el fin de evitar que se reproduzca la incidencia, se han tomado medias destinadas a impedir la ejecución simultánea de dos procesos de renumeración de facturas. TERCERO: Con fecha 15/09/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE ONO, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. h)de dicha norma, pudiendo ser sancionada con multa de con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento sancionador, se recibe escrito de la entidad VODAFONE ONO en el que reconoce voluntariamente su responsabilidad por la infracción imputada, en loe términos recogidos en el artículo 8 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 potestad sancionadora, y solicita que el importe de la sanción se determine considerando las circunstancias siguientes: . La celeridad con la que se resolvió la incidencia, el mismo día 30/09/2015 en el que se produjo, y las acciones tomadas de forma inmediata para paliar los efectos de la misma, procediéndose al bloqueo del acceso a las facturas . La incidencia se produce por un error informático en el sistema de numeración de facturas y de su asociación con el cliente titular, que no afectó a la totalidad de clientes (sólo a parte de la facturación emitida el 23 de septiembre y para clientes con facturación electrónica). . Procedió a la notificación de la incidencia en cuanto el departamento legal tuvo conocimiento de la misma. . El reconocimiento voluntario de la responsabilidad, según el criterio mantenido por la AEPD en otras actuaciones precedentes que cita. QUINTO: Con fecha 04/11/2015, se emitió propuesta de resolución en el sentido de que se sancione a la entidad VODAFONE ONO con multa de 20.000 euros (veinte mil euros) por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h), y de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, se recibió escrito de alegaciones de la entidad VODAFONE ONO en el que expresamente “se aviene a la propuesta de resolución del presente procedimiento sancionador por la que se propone una multa de 20.000 euros”. HECHOS PROBADOS 1. La entidad VODAFONE ONO es titular del sitio web www.ono.es, que dispone de una zona a la que pueden acceder los clientes, a través de sus cuentas de usuarios, para obtener información sobre facturación. 2. Los datos de los denunciantes constan en el fichero de clientes de VODAFONE ONO. 3. Con fecha 30/09/2014, a través del sitio web www.ono.es, en el área de clientes habilitada en el mismo, los denunciantes pudieron acceder y descargar facturas correspondientes a otros clientes (una persona física y una comunidad de propietarios), en las que constan los datos identificativos y de contacto de los afectados, así como el detalle de los productos contratados y el consumo realizado (llamadas realizadas). 4. En el sistema de información de VODAFONE ONO constan dos reclamaciones interpuestas el día 30/09/2014 por el tercero persona física y la Comunidad de Propietarios titulares de las facturas aportadas por los denunciantes. Estas reclamaciones señalan que al acceder al área web de clientes y tratar de descargar su factura pudieron descargar la de otro cliente. 5. Los representantes de la entidad VODAFONE ONO, durante la visita de inspección efectuada el 15/01/2015, manifestaron a los Servicios de Inspección de la AEPD que el día 30/09/2014 se detectó una incidencia en la generación de las facturas digitales, que resultaron accesibles a través del área web de clientes, y que, con este motivo, se bloqueó el acceso a las facturas a través de la web y se solucionó la incidencia a las 15:49 del mismo día generando de nuevo las facturas del ciclo afectado. Según VODAFONE ONO, la incidencia afectó a 185.521 facturas, de las que 178.347 corresponden al grupo de clientes residencial (personas físicas). Durante la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 misma inspección se admitió que la incidencia permitió a unos clientes ver las facturas de otros. 6. Con fecha 27/01/2015, VODAFONE ONO notificó la quiebra de seguridad a través de la sede electrónica de la AEPD señalando que la incidencia tuvo lugar el día 29 de septiembre, a las 16:15, pero que no fue detectada hasta el día 30 a las 8:00. Según lo notificado, la quiebra se debió a un error en el fichero que contiene la numeración de facturas y que vincula éstas a los clientes. Asimismo, añadieron que se tomaron medias destinadas a impedir la ejecución simultánea de dos procesos de renumeración de facturas para evitar que vuelva a producirse una incidencia similar. 7. En su escrito de alegaciones a la apertura del procedimiento, VODAFONE ONO ha reconocido espontáneamente su responsabilidad. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
3. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
4. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 En el presente caso, ha quedado acreditado que el fichero accedido, atendiendo a su contenido (datos identificativos y de contacto de clientes de VODAFONE ONO, así como el detalle de los productos contratados y el consumo realizado), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece la definición de responsable de fichero o tratamiento: “
5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. IV Se imputa a la entidad VODAFONE ONO el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
6. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
7. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
8. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
9. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
10. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
11. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
12. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16
13. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
14. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal de los clientes de la entidad VODAFONE ONO, correspondiendo adoptar las calificadas de nivel básico, en atención al tipo de información básica que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
15. b)del citado Reglamento define la “autenticación” como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la “identificación” como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad VODAFONE ONO está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, por cuanto el sistema de gestión de accesos al Área de Clientes de la entidad, a la que se accede a través de la web ono.es, no impidió de manera fidedigna que los denunciantes pudieran acceder a datos personales de otros clientes usuarios de dicha web. En concreto, consta que los denunciantes accedieron en fecha 30/09/2014 a la citada web, al área de clientes habilitada en la misma, y pudieron visualizar y descargar facturas correspondientes a otros clientes, algunos de ellos personas físicas, en las que constan los datos identificativos y de contacto de los afectados, así como el detalle de los productos contratados y el consumo realizado (llamadas realizadas). Por tanto, el mecanismo de acceso a la información contenida en el sistema no cumplió las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, identificación y autenticación de usuarios, por cuanto mostró datos personales que no pertenecían al usuario identificado. Así, los datos personales de los usuarios del Área de Clientes de la entidad eran accesibles desde la zona habilitada para los mismos, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas. Dado que ha existido vulneración del “principio de seguridad de los datos”. Tales hechos quedaron acreditados por la documentación aportada por los denunciantes, que incluía el detalle de la información accedida por los mismos, que muestra los datos personales identificativos de otros clientes, por las comprobaciones realizadas por los Servicios de Inspección y han sido reconocidos por la propia entidad imputada. En consecuencia, dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que VODAFONE ONO ha incurrido en la infracción grave descrita. VODAFONE ONO es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 Este acceso por terceros a los datos personales reseñados supone la comisión, por parte de VODAFONE ONO, de una infracción del artículo 9.1 de la LOPD, al haberse constatado que tales hechos se producen por una deficiente implementación de las medidas de seguridad obligatorias según la naturaleza y el nivel de seguridad asignado al fichero en cuestión. V En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. En Sentencia de 19/10/2010, la Audiencia Nacional considera conforme la resolución recurrida, en la que se graduó la multa tomando en consideración la existencia de medidas de seguridad. En dicha Sentencia se declara que “La Administración le impuso, no obstante, una sanción de… utilizando los criterios de corrección del art. 45.4 de la LOPD, al haber ponderado que la empresa tenía medidas de seguridad…”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad VODAFONE ONO la responsable del fichero y, por tanto, la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 VI El artículo 44.3.
16. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que VODAFONE ONO ha incurrido en la infracción grave descrita. VII La Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de fecha 25/02/2010, en relación con un caso en el que se examina un posible fallo de seguridad en los sistemas de información, señala lo siguiente: “…la recurrente no realizó actividad alguna, pese a que era consciente del riesgo de una posible revelación o publicidad del fichero…”. “… un comportamiento adecuado y activo de la misma pudo impedir o, al menos, minimizar el riesgo real de revelación de los datos personales de los usuarios. Es decir, su comportamiento omisivo (no advirtiendo de la fuga a los usuarios, no presentando denuncia, no cambiando la contraseña etc.) facilitó o, al menos, no obstaculizó la revelación de los datos…”. “La recurrente, como garante de los datos personales de terceros que figuraban en sus ficheros, no tuvo la diligencia exigible sino que propició la revelación como cooperador necesario por omisión. Siendo ello así, la Sala entiende cometida, como también recoge la resolución impugnada, la infracción del artículo 10 de la LOPD, tipificada en el artículo 44.3.
17. g)de la citada norma, es decir la vulneración del deber de guardar secreto…”. Los criterios contenidos en la Sentencia citada se han tenido en cuenta para no imputar a VODAFONE ONO una infracción de lo dispuesto en el artículo 10 de la LOPD, por incumplimiento del deber de secreto en relación con los datos personales de sus clientes y usuarios de su web, considerando la actuación desarrollada por la misma con posterioridad al incidente para regularizar la situación y minimizar los riesgos, que consta detallada en los hechos probados. VIII El artículo 45.1, 2, 4 y 5 LOPD, según su redacción aprobada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, aplicable al presente supuesto, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
18. a)El carácter continuado de la infracción.
19. b)El volumen de los tratamientos efectuados.
20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 carácter personal.
21. d)El volumen de negocio o actividad del infractor.
22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
23. f)El grado de intencionalidad.
24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad imputada, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. Habida cuenta que VODAFONE ONO ha reconocido su culpabilidad conforme a lo dispuesto en el apartado
33. d)del artículo 45.5, procede la aplicación de lo dispuesto en el citado precepto y por lo tanto imponer una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de infracción grave, para sancionarse con el importe de las multas correspondientes a las infracciones leves. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 Por lo que respecta a la graduación de la sanción y tomando en consideración, por un lado, la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción, el grado de intencionalidad, la diligencia en la subsanación de la situación irregular (restringió de forma inmediata el acceso a la información de sus clientes e implementó las mejoras necesarias para que no se reproduzca la incidencia) y el escaso tiempo de respuesta empleado, la ausencia acreditada de perjuicios causados a los afectados distintos a los que conlleva el fallo de seguridad, y que el fallo de seguridad no resulta de una ausencia total de medidas de seguridad; y por otro lado, el volumen de negocio o actividad de VODAFONE ONO y la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad (las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos; procede la imposición de una multa por importe de 20.000 euros por la infracción del artículo 9 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ONO, S.A.U., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
34. h)de dicha norma, una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución y el Anexo 0 a la entidad VODAFONE ONO, S.A.U. TERCERO: NOTIFICAR a cada uno de los denunciantes la presente resolución y exclusivamente el Anexo que le corresponda, en el que se incluye su identificación. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 ANEXO 0: relación de denunciantes del procedimiento PS/00467/2015. Denunciante 1: D. B.B.B. Denunciante 2: D. A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 ANEXO 1 Identidad del denunciante 1 en el PS/00467/2015: Denunciante 1: D. B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 ANEXO 2 Identidad del denunciante 2 en el PS/00467/2015: Denunciante 2: D. A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es