← España

PS-00470-2022

1/16  Procedimiento Nº: EXP202200368 (PS/0470/2022) RESOLUCION DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18/11/21, D. A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra la entidad, ICNEA TECNOLOGÍA, S.L. con CIF.: B62479126 (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). Los motivos que exponía en la reclamación versaban sobre que, al realizar una reserva de un apartamento a través de la plataforma de Alquivir Aojamientos Turísticos” (https://www.alquivir.com/) se recibe un enlace: https://app.icnea.net/guests/{idNumerico}?id={idAlfanumerico} para introducir datos personales de todos huéspedes: DNI, nombre y apellidos, fecha de nacimiento, foto y firma manuscrita sin que la web tenga ningún enlace a la política de privacidad y a las URL aparece el identificador del número de reserva y se puede modificar fácilmente accediendo a datos personales contenidos en otra reserva. SEGUNDO: Con fecha 03/02/22, de conformidad con lo estipulado en el artículo 65.4 de la LOPDGDD, por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. - Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el escrito de solicitud enviado a la parte reclamada, el día 03/02/22, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue rechazado en destino el día 14/02/

  1. - Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal el día 14/02/22, que fue notificado en destino el día 02/03/
  2. TERCERO: Con fecha 18/02/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 CUARTO: Con fecha 06/05/22, se recibe en esta Agencia escrito de contestación a la solicitud realizada en su día a la entidad reclamada, en el cual se indica lo siguiente: 1.- Debido a la paralización de las actividades especialmente del subsector de alojamientos turísticos un parón de actividad ante el cese de actividad. Con la reactivación, esta empresa ha procedido a modernizar la plataforma de gestión de alojamientos turísticos y producto de esta empresa y a adaptar sus productos del Real Decreto 933/
  3. A tal fin se introdujo una versión beta en desarrollo en algunos clientes para realizar el beta-tester, sin que fuera una plataforma de explotación todavía. Esta empresa detectó que algún cliente realizó la explotación, porque no podían hacer pruebas de otro modo debido al poco conocimiento informático. En la versión de prueba, sí estaba visible la información de las extensiones en la ventana de la URL, pero sólo un técnico informático, con conocimientos muy avanzados sería capaz de descifrar su contenido y el acceso al código. La fase de prueba duró un mes y se incorporaron las mejoras detectadas a la plataforma, que se incorporó a nivel de explotación a todos los dientes bloqueando cualquier información en la ventana de URL que pudiera ofrecer algún tipo de información sobre el sistema. Del texto de la denuncia presentada describe que en la url aparece un “ídnumérico”, y que por tanto “es posible acceder a una reserva arbitraria únicamente cambiando el id-numérico por uno anterior”. Este íd-numérico, podría ser perfectamente un hash generado por un algoritmo y no un número auto incrementado, como describe el informático denunciante. Si lo ha testeado para averiguar que es un número autoincrementado, esto es, que ha accedido a los datos de otro cliente, probando diferentes opciones numéricas, significa a nuestro entender que ha cometido un delito de los descritos en el art. 197.2 del Código Penal. Cada vez más nos encontramos con supuestos justicieros en materia de informática y protección de datos, que “SE VEN OBLIGADOS A INTERPONER DENUNCIAS”, y basadas en intereses espurios, como es en este caso. 2º.- La versión de beta test de nuestro producto estuvo un mes para ser testeado por algunos clientes y luego se pasó a la versión de explotación, que se instaló como versión definitiva y que ya no ofrece información alguna en la url. 3.- Entendemos que no se ha producido acceso alguno a los datos de nuestros clientes, fuera del acceso ilegal y penalmente punible que ha podido realizar el denunciante al testear que el número que figura en la url es un número auto incremental. Desconocemos si ha probado con uno o varios números anteriores de registros, lo cual se podrá averiguar en el procedimiento de instrucción penal que se incoará. 4.- Los datos que se recogen en un alta de cliente cuando adquiere un alojamiento turístico son meramente identificativos y los obligatorios que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 seguridad ciudadana y, así como la adaptación que se ha realizado en nuestro producto para cumplir lo ordenado por el Real Decreto 933/
  4. Por tanto, la información se recoge con consentimiento del interesado y por obligación legal, como bases legales del tratamiento. 5º.- Estimamos que el denunciante, que a su vez ha cometido el delito del art.197,2, no ha procedido utilizar o alterar los datos a los que ha tenido acceso por su manipulación informática, por lo que hubiera agravado su delito, y por tanto el acceso inconsentido a los datos por parte del denunciante, no ha tenido consecuencia alguna. 6.- Al tiempo de conocer los hechos a través de este expediente, ya se había puesto en marcha la versión de explotación de nuestro sistema informático y por tanto no hemos tenido que realizar ulteriores modificaciones de la plataforma. 7.- Se adjunta como documento número 1, el informe de riesgos de la empresa, en el que se describen las medidas de seguridad que se adoptan en el tratamiento de los datos personales. 8.- Se adjuntan como anexos 2 y 3 los Registros de Actividades de Tratamiento como Responsable y como Encargado de Tratamiento. 9.- No se ha comunicado la brecha de seguridad a ningún afectado, dado se han revisado los logs de acceso, y el único acceso ha sido el que ha realizado el informático denunciante al haber hecho la prueba para averiguar que el número que aparece en la URL no es un hash si no un número auto incremental, por tanto, no ha habido afectados. 10.- La violación de seguridad no ha sido comunicada puesto que no ha existido tal brecha. La versión de prueba no estaba instalada para su utilización como versión de explotación con datos reales, como anteriormente hemos reiterado, y por tanto no se podría haber registrado ninguna brecha (aparte de los accesos ilícitos y penalmente reprobables que ha realizado el denunciante). 11.- No están previstas nuevas actualizaciones sustanciales de nuestra plataforma, puesto que no conocemos que la Administración vaya a imponer nuevas solicitudes de control al sector turístico/hotelero y nuestro software actualmente está adaptado al nuevo Real decreto que entra en vigor en abril. 12.- La última manifestación que queremos realizar es volver a precisar que la única acción ilícita que se ha realizado aquí, y que es penalmente punible como indica el art. 197.2 de nuestro Código Penal, es el acceso a información de terceros sin consentimiento por parte del informático que presenta la denuncia, y que queda totalmente probada por la documentación que él mismo presenta (por mucho que intente difuminar información confidencial). Ha accedido a datos de terceros sin consentimiento, ha entrado en el código fuente de la plataforma y además lo pone en conocimiento de la Administración, en prueba de su honestidad y buena ciudadanía. No sólo nos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 queda claro que ha cometido un delito, si no que encima nos entrega la prueba de su comisión. QUINTO: Con fecha 04/10/20, por parte de esta Agencia se accede a la página web, https://www.alquivir.com/ comprobándose las siguientes características sobre su “Política de Privacidad” y sobre su “Política de Cookies”: - a).- Sobre la obtención de los datos personales de los usuarios.- A través del enlace <<Reservar>>, la web redirige al usuario a una nueva página, https://workandfunsevilla.icnea.net/ donde aparece una relación de apartamentos que se ofertan para su alquiler vacacional. Si se cliquea en cualquiera de los apartamentos ofertados, la web abre un formulario para que el usuario introduzca sus datos personales, como, el nombre, apellidos, correo electrónico, dirección, número de teléfono y número de tarjeta de crédito con el objeto de reservar el apartamento elegido, pero no existe ningún campo donde se puede obtener u observar el “idnumérico” denunciado en la reclamación. Antes de poder enviar el formulario de reserva, se debe cliquear en la opción: “_ He leído y acepto las <<condiciones generales de contratación>>” Si se cliquea en este enlace: <<condiciones generales de contratación>>, la web despliega un documento con información relativo al prepago; la reserva del apartamento, el número de ocupantes; la limpieza del mismo; el equipamiento que encontraran los inquilinos; las modificaciones del contrato; la garantía o la cancelación. Sobre la información proporcionada en relación a los datos personales obtenidos del formulario de reserva, se indica lo siguiente: “5.ª DATOS.- Todos los datos introducidos por el usuario se graban en un servidor seguro y garantizamos que el acceso a esta información es exclusivo por parte del personal de reservas y únicamente se hará a efectos de la propia reserva y para comunicar al cliente futuras promociones y ofertas”. PROTECCIÓN DE DATOS: todos los datos solicitados lo son como parte del contrato. CONTRATACIÓN ELECTRÓNICA: el contrato se efectúa exclusivamente mediante los correos electrónicos enviados entre las partes. ARCHIVO DEL CONTRATO: las partes pactan que Icnea Tecnología SL (Mandri 38, Barcelona) actúe como tercero de confianza y tenga bajo custodia los registros del contrato. AUTORIZACIÓN DE COMUNICACIONES PROMOCIONALES: el cliente autoriza que le puedan enviar comunicaciones de promociones por correo electrónico siempre que pueda darse de baja en cualquier momento. PROCEDIMIENTO DE RECLAMACIONES: El procedimiento de reclamaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 es por correo electrónico, poniendo el número de reserva y el motivo de la reclamación, dirigido al correo propietarios@workandfunsevilla.com. - b).- Sobre la “Política de Privacidad”.- No existe en esta página web ninguna información o enlace a la “Política de Privacidad”. La información que se suministra a los usuarios sobre el tratamiento de sus datos personales es proporcionada en el documento, “Condiciones Generales de Contratación”, indicado en el punto anterior. - c).- Sobre la “Política de Cookies”.- Al entrar en la web por primera vez a la página web https://workandfunsevilla.icnea.net/ denunciada, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página, se ha comprobado que solamente se utiliza la cookie técnica: “JSESSIONID” cuyo dominio pertenece a “.nr-data.net” y cuya misión es mantener la sesión en modo de anonimato. No se detectan cookies que no sean técnicas o necesarias. SEXTO: Con fecha 26/10/22, por parte de la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la entidad reclamada, al apreciar indicios razonables de vulneración de lo establecido en los artículos: 5.1.f del RGPD, por el tratamiento de datos personales sin una adecuada seguridad para ello, pues estuvieron a disposición de los usuarios que modificasen el número en el campo correspondiente; del artículo 32 del RGPD, por no aplicar las medidas técnicas necesarias que garantizasen un nivel de seguridad adecuado a la hora de gestionar los datos personales del artículo 13 del RGPD, por la falta de información proporcionada a los usuarios, según se establece en el citado artículo. SÉPTIMO: Con fecha 14/11/22, la entidad reclama presenta escrito de alegaciones a la incoación del expediente en el cual, entre otras, indica: PRIMERA.- ICNEA TECNOLOGÍA SL, no es titular del dominio ni de la página web https://www.alquivir.com/ . Este dominio y web es una franquicia de su cliente WORKANDFUN SEVILLA, la cual se dedica al alquiler de apartamentos turísticos en diversas ciudades de Andalucía. ICNEA TECNOLOGÍA SL, es un proveedor de soluciones informáticas, en concreto de una plataforma de reservas online (al igual que hay otras empresas que proveen de plataformas de pago, como puede ser Paypal o Stripe), que se integra en las páginas web de sus clientes. El cliente es WORKANDFUNSEVILLA (B.B.B.) que subarrienda el uso de la plataforma a ALQUIVIR GESTION DE APARTAMENTOS TURISTICOS (alquivir.com). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 Por tanto, ICNEA TECNOLOGÍA tan solo es un ENCARGADO DE TRATAMIENTO, que no decide sobre la captación de datos de clientes, su uso, información ni tutela de los derechos de los interesados (no ha de cumplir los requisitos de los art. 12 y siguientes RGPD, al no ser responsable) y tan solo ha de seguir las instrucciones de su mandante, que se resumen en la custodia de los datos que se captan a través de la plataforma tecnológica que utiliza alquivir.com en los servidores de ICNEA, donde sus clientes tienen reservado un espacio de almacenamiento (cobra por su uso y en función del espacio ocupado), en la extensión que tiene reservada para ellos a la que se accede por la url workandfunsevilla.icnea.net y a los que aplica las medidas de seguridad necesarias (accesos restringidos, encriptación y medidas lógicas necesarias). ICNEA es un mero proveedor de servicios y espacio de almacenamiento y cumple con las medidas de seguridad necesarias. Como se puede apreciar en la propia página web de alquivir.com, se indica que esta página ha sido realizada por B.B.B. (ver el footer de la web), que es el nombre fiscal que factura bajo la marca WORKANDFUNSEVILLA. En la mencionada plataforma, está habilitado un espacio para que el responsable de tratamiento, en este caso alquivir.com, coloque su propia política de privacidad y las condiciones de contratación de sus servicios, sobre los que ni asesora ni interviene en modo alguno ICNEA TECNOLOGÍA. Se adjunta como Doc. 1, contrato de servicio en el que se indica claramente que WORKANDFUNSEVILLA se compromete a cumplir con las disposiciones legales vigentes en cada momento respecto al contenido de sus bases de datos. En el propio documento se especifica que la plataforma está planteada para el mantenimiento de 20 apartamentos, por lo que se cobran 175€ mensuales, lo cual es un dato importante puesto que pone de manifiesto que no nos encontramos ante el manejo de un “elevado volumen de datos” como se indica en la propuesta de sanción, si no que WORKANDFUNSERVILLA es un pequeño propietario que gestiona sus apartamentos y los de algún franquiciado, como es el caso de alquivir.com. Un gran gestor de apartamentos y que a su vez maneja un gran volumen de datos es Airbnb que gestiona más de 200.000 apartamentos en toda la Península. Por tanto, una propuesta de sanción tan grave y lesiva, debido al alto número de datos que maneja es absolutamente desproporcionada porque parte de dos premisas falsas: que ICNEA es un gran propietario y que ICNEA es responsable de tratamiento, cuando tan solo es un proveedor de servicios informáticos para un pequeño tenedor de apartamentos turísticos. En resumen, ICNEA TECNOLOGÍA SL, no es responsable de tratamiento y no está obligada en este caso a realizar las informaciones y avisos sobre privacidad de los art. 12 y siguientes RGPD en la página web de alquivir.com, ni en la de workandfunsevilla.icnea.net, por lo que no ha cometido ninguna infracción y no es sancionable por este motivo, indicada en la propuesta de sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 SEGUNDA.- La propuesta de sanción, no analiza ni evalúa correctamente los hechos que se presentan en la maliciosa denuncia efectuada por el técnico informático D. A.A.A., de la empresa (...). La suite de reservas se entregó a B.B.B., de Workandfunsevilla para que la evaluara, ya que estaba en fase beta, y éste, unilateralmente la instaló en modo operativo con datos reales en la web que gestionaba de su franquiciado más pequeño, alquivir.com. Cuando ICNEA se dio cuenta de los hechos, desconectó la suite y la sustituyó por la actual, que ya había finalizado su fase de testeo interna. Tan sólo se tiene conocimiento, por los logs de acceso, que un único usuario (el informático denunciante) había accedido al dato de la reserva anterior. Por tanto, UN SOLO DATO, habría quedado expuesto, y sin que ICNEA tuviera conocimiento, puesto que la suite de reservas no se entregó para que fuera utilizada en explotación, si no en modo demo. Y este dato, al que se accedió, lo realizó un informático experto, con el único fin de perjudicar a ICNEA, que no había querido contratar a su empresa como asesor en materia de protección de datos. Huelga decir, que ese acceso no autorizado es un ilícito penal, y más utilizando sus habilidades profesionales. Un usuario normal, que acceda a la plataforma es imposible que hubiera podido visualizar los datos. La posibilidad de visualizar ese único dato no fue culpa de ICNEA, sino de su cliente WORKANFUNSEVILLA, que lo instaló en la web de uno de sus franquiciados, alquivir.com. Y ni tan siquiera puede acceder a ese dato indivualizadamente, porque sólo ofrece el servicio de almacenamiento. Por tanto, este procedimiento debe archivarse porque no se produjo infracción por parte de ICNEA TECNOLOGIA. TERCERA.- A nivel jurídico y de aplicación de los art. 5.1 y 32.1 ambos del Reglamento Europeo 679/2016 (RGPD), a pesar de considerar esta parte que no son de aplicación puesto que no ha habido un hecho que pueda estar contenido en ambos artículos, hay que considerar que, su aplicación individualizada al mismo hecho incumple radicalmente el principio de proporcionalidad del artículo 29.5 de la LRJAP. Si ambas normas fueran de aplicación al hecho que aquí nos ocupa, nos encontraríamos ante un concurso medial de sanciones administrativas y no deben imponerse ambas, si no tan sólo una de ellas, puesto que ambas son causa-efecto. Cuando una infracción se realiza como medio o instrumento necesario para realizar otra distinta solo se puede castigar la más grave de las infracciones en concurso, y no ambas. CUARTA.- En la presente propuesta de sanción se está realizando una aplicación errónea de los artículos 83 RGPD y 70 y siguientes LOPD, además de no tener en cuenta el considerando 148 RGPD, ni el Art. 58,2 b RGPD. No tan sólo, somo ya hemos alegado, no se ha producido un hecho sancionable, ni conducta dolosa ni malintencionada, si no que no estamos ante un supuesto de gravedad, ni de un gran volumen de datos tratados (además de que nunca esta empresa ha sido sancionada ni tan siquiera investigada por esta Agencia). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 ICNEA no es responsable de tratamiento de los datos que se obtienen a través de alquivir.com ni que se almacenan en workandfunsevilla, por tanto, no hay obligación de informar con arreglo al art. 12 y siguientes RGPD por parte del encargado de tratamiento, sino que la obligación es del responsable de la web alquivir.com y workandfunsevilla, esto es, de D. B.B.B., que es su titular. ICNEA no es responsable de la utilización en abierto de su plataforma que estaba en fase de pruebas, porque se entregó para hacer pruebas fuera del entorno de explotación y fue su cliente el que la instaló en alquivir.com. la intromisión en un único dato de cliente de alquivir.com, fue realizado por un técnico informático de forma maliciosa, utilizando medios que no están al alcance de un usuario normal de una plataforma de reservas (ni de ningún tipo de plataformas), por tanto, a nivel de análisis de riesgos, el riesgo ha sido mínimo. En ningún caso ha existido un riesgo grave y que afecte a un gran volumen de datos. Ha afectado a un sólo dato, y a él se ha accedido de manera ilícita por parte del denunciante. Imponer una sanción en este supuesto es bendecir las acciones ilegales de terceros, que precisamente realizan este tipo de denuncias para beneficio o venganza de sus actividades comerciales (por analogía si la prueba se ha obtenido de forma ilícita, no es aplicable la norma sancionadora). QUINTA.- Tampoco se han aplicado correctamente las normas moderadoras de las sanciones administrativas (gravedad, daño, asiduidad, reparación del daño, etc): se ha establecido que es una empresa de reservas turísticas y por tanto, manejan gran volumen de datos, como si estuviéramos hablando de Airbnb, en lugar de una empresa local que maneja exclusivamente 13 apartamentos turísticos (volvemos a recordad que ICNEA no realiza esta actividad, si no que tan solo es una plataforma tecnológica que facilita la gestión a sus clientes). El Considerando 148 RGPD indica claramente (y se recoge en el art. 58.2, b RGPD) que, en función de la gravedad, volumen de datos, reparación de daño, medio por el cual ha tenido conocimiento la Autoridad de control, para el caso de que la sanción supusiera una carga desproporcionada, puede imponerse un apercibimiento. Imponer una sanción de 23.000€ a una pyme, que escasamente supera los 500.000€ de facturación, supone, en estos momentos de crisis y recesión, no tan sólo una carga desproporcionada, si no que la aboca a su desaparición. En virtud de lo expuesto SOLICITO A LA AGENCIA DE PROTECCIÓN DE DATOS, tenga por realizadas estas alegaciones frente a la propuesta de sanción EXP202200368 (PS/0470/2022), y en sus méritos deje sin efecto dicha propuesta, archivando el presente procedimiento y subsidiariamente, aplicar el art. 58.2,b RGPD, efectuando un apercibimiento a ICNEA TECNOLOGIA, todo ello en virtud de lo anteriormente expuesto. En el contrato de servicios que presenta la entidad ICNEA TECNOLOGÍA SL contiene, entre otra, la siguiente información: Contrato del gestor de reservas y channel manager: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 Nombre.Empresa Dirección Población.NIF Teléfono Email C.C.C. ICNEA TECNOLOGIA SL Mandri 38 Barcelona 08022 (…) (…) admin©icnea.com Cliente: Nombre Empresa Dirección Población, NIF Teléfono Email: B.B.B. WORK & FUN SEVILLA C/ BOGOTA Nº 11 41701 - DOS HERMANAS (...) (…) propietarios@workaanunsevilla.com workaanunsevilla.com Por el presente contrato el Cliente contrata a Icnea el uso, alojamiento y mantenimiento de los programas de reservas y channel manager: Número máximo de propiedades o unidades 20; Buscador y motor de reservas en iFrame 0€; Mantenimiento del sistema y channel manager, formación básica y servicio de soporte 175€/ mes. (…) NATURALEZA: En base a este contrato, Icnea prestará los servicios de alojamiento de páginas web y de las bases de datos asociadas, correo electrónico, imágenes, documentos y programas. Icnea contrata este servicio exclusivamente a empresas y profesionales, no a particulares, por lo que hace los máximos esfuerzos a su alcance y que la tecnología actual permite para que el nivel de respuesta sea óptimo; así como el nivel de seguridad de los datos que tiene en custodia. (…) OCTAVO: Con fecha 02/04/23, por parte de esta Agencia, se accede a la página web https://www.alquivir.com/ obteniendo la siguiente información sobre su titularidad: - En la parte inferior de la página existe la siguiente información: ALQUIVIR es una empresa especializada en la Gestión y Alquiler de Apartamentos Turísticos en Córdoba, que nace de la inquietud de B.B.B. e D.D.D por ofrecer un servicio cercano a viajeros y a propietarios que desean rentabilizar su vivienda en el alquiler turístico. (…) Estaremos encantados de atender cualquier pregunta que tengas. (…) / (…) Web hecho con mucho cariño por B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 NOVENO: Con fecha 02/04/23, por parte de esta Agencia, se accede a la información existente en el Registro Mercantil Central, en el cual se obtiene, entre otra, la siguiente información: DATOS REGISTRALES: Denominación Social: ICNEA TECNOLOGIA SL CIF: B62479126 OBJETO SOCIAL: “EL DESARROLLO Y COMERCIALIZACION DE PROGRAMAS Y PRODUCTOS INFORMATICOS Y LA PRESTACION DE SERVICIOS PROFESIONALES DE INFORMATICA Y CONSULTORIA”. DÉCIMO: Con fecha 06/04/23, se notifica a la entidad reclamada la propuesta de resolución en la cual, se proponía que, por parte de la Directora de la Agencia Española de Protección de Datos se procediera a ARCHIVAR el presente procedimiento sancionador a la entidad, ICNEA TECNOLOGÍA, S.L. con CIF.: B62479126, con arreglo a lo dispuesto en los artículos 63.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por las presuntas infracciones de los artículos: 5.1.f del RGPD; del Artículo 32 del RGPD, y del artículo 13 del RGPD, al no ser el titular-responsable de la página web https://www.alquivir.com/ sino un proveedor de soluciones informática, donde sus clientes tienen reservado un espacio de almacenamiento (cobra por su uso y en función del espacio ocupado). SÉPTIMO: Notificada la propuesta de resolución a la parte reclamada, a fecha de hoy no se ha recibido en esta Agencia ningún tipo de alegaciones a la misma. HECHOS PROBADOS. De las actuaciones practicadas en el presente procedimiento y de la información y documentación presentada por las partes, ha quedado acreditados los siguientes hechos: Primero: Con fecha 04/10/20, en la comprobación que esta Agencia hizo en la página web, https://www.alquivir.com/ se constataron las siguientes características 1º.- Sobre la obtención de los datos personales de los usuarios.- La página web podía obtener datos personales de los usuarios a través del formulario existente en el enlace <<Reservar>>, (https://workandfunsevilla.icnea.net/ ) obteniendo datos como, el nombre, apellidos, correo electrónico, dirección, número de teléfono y número de tarjeta de crédito, pero no existe ningún campo donde se puede obtener u observar el “id-numérico” indicado en la reclamación. Antes de poder enviar el formulario de reserva, se debe cliquear en la opción, situada en la parte inferior del formulario: “_ He leído y acepto las <<condiciones generales de contratación>>” 2º.- Sobre la “Política de Privacidad”.- No existe en esta página web ninguna información o enlace a la “Política de Privacidad”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 3º.- Sobre la “Política de Cookies”.- Al entrar en la web por primera vez a la página web sin aceptar nuevas cookies ni realizar ninguna acción sobre la página, se ha comprobado que solamente se utiliza la cookie técnica: “JSESSIONID” cuyo dominio pertenece a “.nr-data.net” y cuya misión es mantener la sesión en modo de anonimato. Segundo: En el escrito de alegaciones presentado como consecuencia de la apertura del expediente sancionador a la entidad ICNEA TECNOLOGÍA, S.L., ésta manifiesta, entre otras que: - El dominio https://www.alquivir.com/ es una franquicia de su cliente WORKANDFUN SEVILLA, la cual se dedica al alquiler de apartamentos turísticos en diversas ciudades de Andalucía. - ICNEA TECNOLOGÍA SL, es un proveedor de soluciones informáticas, en concreto de una plataforma de reservas online y su cliente es WORKANDFUNSEVILLA (B.B.B.) que subarrienda el uso de su plataforma https://www.alquivir.com/ a su franquiciado ALQUIVIR GESTION DE APARTAMENTOS TURISTICOS (alquivir.com). - ICNEA TECNOLOGÍA SL adjunta el contrato de servicio en el que aparece como logotipo el de la entidad “ICNEA” y contiene, entre otra, la siguiente información: Contrato del gestor de reservas y channel manager: Nombre.Empresa Dirección Población.NIF Teléfono Email C.C.C. ICNEA TECNOLOGIA SL Mandri 38 Barcelona 08022 (…) (…) admin©icnea.com Cliente: Nombre Empresa Dirección Población, NIF Teléfono Email: C/ Jorge Juan, 6 28001 – Madrid B.B.B. WORK & FUN SEVILLA C/ BOGOTA Nº 11 41701 - DOS HERMANAS (...) (…) propietarios@workaanunsevilla.com workaanunsevilla.com www.aepd.es sedeagpd.gob.es 12/16 Por el presente contrato el Cliente contrata a Icnea el uso, alojamiento y mantenimiento de los programas de reservas y channel manager: Número máximo de propiedades o unidades 20; Buscador y motor de reservas en iFrame 0€; Mantenimiento del sistema y channel manager, formación básica y servicio de soporte 175€/ mes. (…) NATURALEZA: En base a este contrato, Icnea prestará los servicios de alojamiento de páginas web y de las bases de datos asociadas, correo electrónico, imágenes, documentos y programas. Icnea contrata este servicio exclusivamente a empresas y profesionales, no a particulares, por lo que hace los máximos esfuerzos a su alcance y que la tecnología actual permite para que el nivel de respuesta sea óptimo; así como el nivel de seguridad de los datos que tiene en custodia. (…) Tercero: Si se accede a la página web https://www.alquivir.com/ se puede obtener información relevante sobre su titularidad: - En la parte inferior de la página existe la siguiente información: ALQUIVIR es una empresa especializada en la Gestión y Alquiler de Apartamentos Turísticos en Córdoba, que nace de la inquietud de B.B.B. e D.D.D. por ofrecer un servicio cercano a viajeros y a propietarios que desean rentabilizar su vivienda en el alquiler turístico. (…) Estaremos encantados de atender cualquier pregunta que tengas. (…) / (…). Web hecho con mucho cariño por B.B.B.. Cuarto: la información existente en el Registro Mercantil Central sobre la entidad ICNEA TECNOLOGIA SL, es, entre otra, la siguiente información: - DATOS REGISTRALES: Denominación Social: ICNEA TECNOLOGIA SL CIF: B62479126 - OBJETO SOCIAL: “EL DESARROLLO Y COMERCIALIZACION DE PROGRAMAS Y PRODUCTOS INFORMATICOS Y LA PRESTACION DE SERVICIOS PROFESIONALES DE INFORMATICA Y CONSULTORIA”. FUNDAMENTOS DE DERECHO I.Competencia: Es competente para resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. II.Síntesis de los hechos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 Según manifiesta el reclamante, al realizar una reserva, a través de la plataforma “AirBnB”, de un apartamento en la empresa “Alquivir Alojamientos Turísticos”, (www.alquivir.com) el sitio web reenviaba al usuario a otra dirección: https://app.icnea.net/guests/{idNumerico}?id={idAlfanumerico} donde debía introducir sus datos personales para completar la reserva y manifestaba que el campo denominado “idNumerico” que aparecía en la URL era auto incremental y que era posible modificarlo accediendo a la ficha de reserva de otro cliente. También manifestaba que se carecía de política de privacidad y de política de cookies. Solicitada, en un principio, información sobre la reclamación a la entidad ICNEA TECNOLOGÍA, S.L., al considerarla titular de la web www.alquivir.com, al ser esta página raíz de la URL https://app.icnea.net …, ésta manifestó, entre otras, que, con el objetivo de adaptar sus productos del Real Decreto 933/2021, se introdujo una versión beta en desarrollo en algunos clientes para realizar el beta-tester, sin que fuera una plataforma de explotación todavía. En la versión de prueba, sí estaba visible la información de las extensiones en la ventana de la URL, pero sólo un técnico informático, con conocimientos muy avanzados sería capaz de descifrar su contenido y el acceso al código. Según manifiestan, La fase de prueba duró un mes y se incorporaron las mejoras detectadas a la plataforma, que se incorporó a nivel de explotación a todos los clientes bloqueando cualquier información en la ventana emergente de URL que pudiera ofrecer algún tipo de información sobre el sistema. Por parte de esta Agencia se comprobó que, en la página web www.alquivir.com si se deseaba alquilar uno de los apartamentos ofrecidos, la misma redirigía a una nueva página, https://workandfunsevilla.icnea.net para la gestión de las reservas y donde se debían introducir los datos personales de los clientes, sin que en ésta la página existiera enlace alguno a la “Política de Privacidad”. Iniciado el expediente sancionador a la entidad ICNEA TECNOLOGÍA, S.L. al considerarla responsable y titular de la web raíz (www.alquivir.com) ésta manifiesta en sus alegaciones que el dominio https://www.alquivir.com/ es una franquicia de uno de sus clientes, la entidad WORKANDFUN SEVILLA, la cual se dedica al alquiler de apartamentos turísticos y que ICNEA TECNOLOGÍA SL, solamente es un proveedor de soluciones informáticas, en concreto de una plataforma de reservas online y su cliente es WORKANDFUNSEVILLA (B.B.B.) subarrienda el uso de su plataforma https://www.alquivir.com/ a su franquiciado ALQUIVIR GESTION DE APARTAMENTOS TURISTICOS (alquivir.com). Para corroborar esta afirmación, ICNEA TECNOLOGÍA SL adjunta el contrato de servicio en el que aparece como cliente B.B.B. (WORK & FUN SEVILLA) y donde se especifica que la naturaleza del contrato es que ICNEA prestará los servicios de alojamiento de la página web y de las bases de datos asociadas, correo electrónico, imágenes, documentos y programas del cliente, en su servidor: Contrato del gestor de reservas y channel manager: Nombre.Empresa Dirección C/ Jorge Juan, 6 28001 – Madrid C.C.C. ICNEA TECNOLOGIA SL Mandri 38 www.aepd.es sedeagpd.gob.es 14/16 Población.NIF Teléfono Email Barcelona 08022 (…) (…) admin©icnea.com Cliente: Nombre Empresa Dirección Población, NIF Teléfono Email: B.B.B. WORK & FUN SEVILLA C/ BOGOTA Nº 11 41701 - DOS HERMANAS (...) (…) propietarios@workaanunsevilla.com workaanunsevilla.com Por el presente contrato el Cliente contrata a Icnea el uso, alojamiento y mantenimiento de los programas de reservas y channel manager: Número máximo de propiedades o unidades 20; Buscador y motor de reservas en iFrame 0€; Mantenimiento del sistema y channel manager, formación básica y servicio de soporte 175€/ mes. (…) NATURALEZA: En base a este contrato, Icnea prestará los servicios de alojamiento de páginas web y de las bases de datos asociadas, correo electrónico, imágenes, documentos y programas. Icnea contrata este servicio exclusivamente a empresas y profesionales, no a particulares, por lo que hace los máximos esfuerzos a su alcance y que la tecnología actual permite para que el nivel de respuesta sea óptimo; así como el nivel de seguridad de los datos que tiene en custodia. (…) Por otra parte, si se accede a la página web https://www.alquivir.com /, en la parte inferior de la página existe la siguiente información: “ALQUIVIR es una empresa especializada en la Gestión y Alquiler de Apartamentos Turísticos en Córdoba, que nace de la inquietud de B.B.B. e D.D.D. por ofrecer un servicio cercano a viajeros y a propietarios que desean rentabilizar su vivienda en el alquiler turístico.” Estaremos encantados de atender cualquier pregunta que tengas. (…) / (…) e indica que: “Web hecho con mucho cariño por B.B.B.”. Además, si se accede a los datos registrales de la entidad ICNEA TECNOLOGIA SL, se puede leer, como Objeto Social de la entidad “EL DESARROLLO Y COMERCIALIZACION DE PROGRAMAS Y PRODUCTOS INFORMATICOS Y LA PRESTACION DE SERVICIOS PROFESIONALES DE INFORMATICA Y CONSULTORIA”. III.Según especifica el artículo 4.2 del RGPD, debemos entender el tratamiento de datos personales como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 “Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; También se especifica en los puntos 7 y 8 de dicho artículo lo que se debe entender por responsable del tratamiento y encargado del tratamiento. Así tenemos, como: 7) «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; En definitiva, el responsable del tratamiento es la persona física o jurídica o autoridad pública, que decide sobre el tratamiento de los datos personales, determinando los fines y los medios de dicho tratamiento. En virtud del principio de responsabilidad proactiva el responsable del tratamiento tiene que aplicar medidas técnicas y organizativas para, en atención al riesgo que implica el tratamiento de los datos personales, cumplir y ser capaz de demostrar el cumplimiento. Por su parte, el encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable que conlleva el tratamiento de datos personales por cuenta de éste. En el presente caso, la web https://www.alquivir.com/ es titularidad de WORKANDFUN SEVILLA, la cual se dedica al alquiler de apartamentos turísticos e ICNEA TECNOLOGÍA SL, es un proveedor de soluciones informáticas, cuya misión es prestar servicios de alojamiento de la página web y de las bases de datos asociadas, correo electrónico, imágenes, documentos y programas de su cliente WORKANDFUN SEVILLA . Por tanto, de conformidad con las evidencias de las que se dispone, tras el análisis realizado sobre los documentos aportados por la entidad ICNEA TECNOLOGÍA SL, se puede constatar que no existen evidencia de la vulneración del RGPD por parte de esta entidad al actuar, en este caso, como encargado del tratamiento de los datos personales obtenidos en la página web https://www.alquivir.com/. A la vista de lo expuesto se: RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 ARCHIVAR: el presente procedimiento sancionador a la entidad ICNEA TECNOLOGÍA, S.L. con CIF.: B62479126, por las presuntas infracciones de los artículos: 5.1.f del RGPD; del Artículo 32 del RGPD, y del artículo 13 del RGPD, al no ser el titular-responsable de la página web https://www.alquivir.com/ sino un proveedor de soluciones informática, donde el responsable de dicha página tiene reservado un espacio de almacenamiento. NOTIFICAR: la presente resolución a la entidad, ICNEA TECNOLOGÍA, S.L. e informar al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.