PS-00536-2024

1/31  Expediente Nº: EXP202409828 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a OCI CINE, S.L. (en adelante, OCINE), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202409828 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 5 de junio de 2024 A.A.A. (en adelante, A.A.A.) interpuso un escrito ante la Agencia Española de Protección de Datos por una posible infracción imputable a OCI CINE, S.L. con NIF B17070707 (en adelante, OCINE). Los hechos que se pusieron en conocimiento de esta autoridad fueron: A.A.A. manifiesta que el 1/6/24 abrió la aplicación de Ocine en su móvil y que su cuenta estaba iniciada automáticamente, porque en la información de usuario estaba su tarjeta Fidelity (Nº: ***TARJETA.1). Indica que sabía que era la suya porque los últimos dígitos son los de su DNI. Seleccionó la película, la hora y eligió los asientos del cine. En el siguiente paso de la compra había un campo para poner la tarjeta Fidelity o el email. En su caso, ese campo apareció autorellenado, no prestó atención al número suponiendo que era su tarjeta de socia, y en la siguiente pantalla (después de saltar el paso de elegir comida) salió un resumen de la compra y datos de contacto, pero rellenos con nombre, apellidos, email y teléfono de otra persona. Junto al escrito, se aporta, entre otra información: - Captura de pantalla con los datos de su cuenta Fidelity nº ***TARJETA.

1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 - Captura de pantalla en la que puede verse que se están comprando unas entradas de cine y el campo “Número de tarjeta Fidelity o E-mail” aparece completado con el siguiente dato: “***TARJETA.2”. - Captura de pantalla con el “Resumen de las entradas” en el que puede verse como “Datos de contacto”: o “Nombre: B.B.B.” o “Email: ***EMAIL.1.” o “Teléfono móvil: ***TELÉFONO.1” - Imagen del DNI de la denunciante, con los siguientes datos: o “Apellidos: (…)” o “Nombre: (…)” o “DNI ***NIF.1” - Captura de pantalla de un correo electrónico recibido por A.A.A. desde “infoOCINE” con el asunto “RE: Formulari Suggeriments- A.A.A.” y el siguiente contenido: “Buenos días, Disculpe la espera. Sentimos enormemente lo ocurrido, pasamos inmediatamente su incidencia al servicio informático para que lo solucionen cuanto antes y no vuelva ocurrir. (…) Por otro lado, necesitamos que nos adjunte la entrada o un comprobante de la compra para poder incluir la compra en su historial. (…) Atentamente, OCINE”. - Captura de pantalla de un correo electrónico recibido por A.A.A. desde “infoOCINE” con el siguiente contenido: “Hola de nuevo, Disculpe las molestias. El equipo técnico nos comenta si puede adjuntar capturas de los fallos que está teniendo en la web para saber en qué momento le aparecen. (…) Saludos, OCINE”. - Captura de pantalla de un correo electrónico recibido por A.A.A. desde “infoOCINE” con el siguiente contenido: “Buenas. Agradecemos su colaboración. Hemos enviado los datos al servicio técnico para que solventen el error informático cuanto antes y no vuelva a ocurrir. (…) Saludos, OCINE”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicho escrito a OCINE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de tal escrito, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 17/07/2024 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/31 Con fecha 12 de agosto de 2024 se recibió en esta Agencia escrito de respuesta indicando:
2. Descripción detallada y cronológica de los hechos A continuación, se reseñan los hechos más relevantes de los enumerados por OCINE: - - - - 19/03/2024: ***EMPRESA.1 con NIF ***NIF.2 (***EMPRESA.1) reportó a OCINE que Google notificaba un error en la configuración del borrado de cuentas, impidiendo la publicación de nuevas versiones de la aplicación y alertando sobre posibles sanciones, como la retirada de la APP de la plataforma. En un primer momento, OCINE no consideró que hubiera un problema de seguridad de los datos. ***EMPRESA.1 pidió con urgencia este formulario de eliminación de cuenta Fidelity Plus a ***EMPRESA.2 con NIF ***NIF.3 (***EMPRESA.2). El 20 y 28/03/2024 OCI CINE volvió a reclamar a ***EMPRESA.2 el citado formulario. 03/04/2024: ***EMPRESA.2 hizo llegar a OCINE el citado solo para Ocine Girona (prueba) y pidió conformidad a OCINE para implementarlo de igual manera al resto de cines. 04/04/2024: OCINE pidió a ***EMPRESA.2 una serie de explicaciones y no se volvió a recibir respuesta hasta el 17/04/2024, que se volvió a reclamar este tema. 07/04/2024: OCINE recibió la primera incidencia reportada por cruzamiento de datos (caso C.C.C.). El 08/04/2024: OCINE le dio respuesta. 08/04/2024: ***EMPRESA.2 diagnosticó y localizó el problema, que se producía durante la sincronización de las BBDD entre cines: clientes que se habían registrado el mismo día en cines diferentes que coincidían en n.º de registro podían visualizar datos que no eran los suyos, solo desde la APP. Solamente se visualizaba nombre, apellidos, teléfono y mail. Y la incidencia era de uno a uno. Se analizó que el potencial de alcance de la incidencia no era muy grande, por lo tanto, se descartó el hecho de tener que informar a la AEPD y a la BBDD de nuevos registros Fidelity Plus. Se utilizó el recurso Asesora Brecha de la página web de la AEPD. El resultado en su momento fue que no era necesario comunicar la violación de seguridad ya que no se afectaban a los derechos y libertades de las personas. 10/04/2024: OCINE recibió una nueva incidencia idéntica a la del 8 de abril (caso D.D.D.). Ese mismo día OCINE dio respuesta al cliente. Se analizaron las consecuencias a nivel del tratamiento de los datos personales y se consideró que no variaba el nivel de riesgo. ***EMPRESA.2 implementó un sistema que invalidaba el token en los casos en que se producía el cruce de los datos y solicitó a la empresa ***EMPRESA.1 que, siempre que se recibiera un error 401 se tenía que repetir el llamamiento de login para poder invalidar el token, tal y como se planteó la solución después del diagnóstico. 17/04/24: OCINE recibió la tercera incidencia (caso E.E.E.), en que la clienta comentaba que una persona de Mallorca la había contactado diciéndole que le habían aparecido todos sus datos de usuario. Por tanto, se trata de una incidencia reportada no por la persona que ha visualizado datos de otra persona, sino de la propia persona que ha visto sus datos vulnerados. Ese mismo día OCINE dio respuesta al cliente. Se analizaron las consecuencias a nivel del tratamiento de los datos personales y se consideró que no variaba el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 - - - nivel de riesgo. ***EMPRESA.2 respondió a OCINE que: el error está corregido (refiriéndose al cruce de datos), pero sin gestión del error por parte de la app (es decir, de ***EMPRESA.1), no se puede forzar a los clientes a volver hacer login. Si no hay gestión por parte de la app, quedarán todos los clientes sin poder utilizar la app. A todos los logins nuevos no les puede pasar, pero todos los que ya estaban iniciados no se pueden forzar. Ahora mismo, la app no gestiona si hay un error de autenticación del usuario, muestra un mensaje de error y el usuario no sabe qué está pasando. Ese mismo día, OCINE reportó a ***EMPRESA.2 un nuevo caso de un cliente que no indicaba nada respecto a la visualización de datos de otro cliente, sino que indicaba que no tenía sus puntos de una compra reciente debidamente reflejados en su cuenta cliente desde la APP y que desde la web sí que le salía la información correcta. ***EMPRESA.2 respondió que: La APP no gestiona los errores de autenticación, por lo tanto, el primero que tienen que hacer todos los clientes que tengan una incidencia con los datos es cerrar sesión y volver a entrar. OCINE indicó al departamento de atención al cliente que, si se recibía alguna reclamación relacionada con la visualización de datos desde la APP por parte de alguno otro cliente, que los tenían que indicar que tenían que cerrar sesión y volver a iniciarla. Desde ***EMPRESA.1 se informó a OCINE de que la solución más plausible era forzar a todos los usuarios Fidelity que estaban logados a la APP a hacer logout + login automáticamente. Haciendo esto, el problema derivado del cruzamiento de visualización de datos incorrectos no se volvía a producir. Como alternativa a que no se podía hacer el procedimiento login + logout automático porque no se podían aplicar actualizaciones en Play Store, se comentó la posibilidad de informar a los usuarios APP a través de una notificación PUSH que tenían que hacer login + logout manualmente. No fue una idea que gustara a OCINE y se descartó, dado que tampoco había garantías de que todo el mundo lo hiciera y no volviera a ocurrir la visualización de datos otros clientes, dado que mucha gente ignoraba las PUSH. Ese mismo día, ***EMPRESA.2 pidió a OCINE información y textos para borrarse de la BBDD de cliente Fidelity Plus. 18/04/24: OCINE envió las especificaciones de textos a implementar en la página para borrarse de la BBDD de cliente Fidelity Plus. ***EMPRESA.2 les reportó que ya estaban todos los cambios aplicados a las webs y que el formulario para darse de baja de la BBDD Fidelity Plus de cualquier cine también estaba implementada a ocinegirona.es. OCINE detectó unos errores y comunicó a ***EMPRESA.1 que solo estaba aplicado a Ocine Girona y que quizás habría que aplicarlo sobre la página de ocine.es, que en el footer de ocine.es no estaban vinculadas las políticas y que cuando hacían el cambio de idioma a ESP sobre la propia página del formulario, redirigía a la home. 24/04/24: ***EMPRESA.2 contestó a OCINE indicando que estaba aplicado a Ocine Girona porque era la web enlazada a la ficha de la Play Store y que de cara a Google, era suficiente. No se podía poner en ocine.es porque, igual que las altas, las bajas se hacían en el cine. En ocine.es nunca habían estado las políticas porque siempre se había tratado como una landing para encaminar los usuarios hacia un cine u otro. El punto del cambio de idioma es como había funcionado siempre en todas las páginas, el cambio de idioma lleva a la home en el idioma que se ha escogido. 07/05/24: OCINE envió a ***EMPRESA.1 los enlaces para darse de baja de la BBDD de cliente Fidelity Plus para implementar en Play Store y poder aplicar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31 - - - solución pactada (logout + login automático) y dejar resuelta la incidencia para que no volviera a ocurrir que ningún cliente pudiera ver datos de otro cliente derivadas del cruce que se había dado previamente (dado que ya no se estaban produciendo nuevos cruces, todas las visualizaciones de datos cruzados venían ya dadas por el cruce anterior). 09/05/24: OCINE reclamó respuesta a ***EMPRESA.1, pero nunca se llegó a recibir respuesta y OCINE lo dio por hecho, dado que dejó de recibir quejas de clientes durante todo el mes. 01/06/24: OCINE recibe la cuarta incidencia (caso A.A.A.). Caso de la denunciante. El 03/06/24 OCINE dio respuesta al cliente a través de varios correos. Se analizaron las consecuencias a nivel del tratamiento de los datos personales y se consideró que no variaba el nivel de riesgo. Se reportó el cuarto caso a ***EMPRESA.2 y ***EMPRESA.1, dado que ya no tendría que haber vuelto a pasar. Desde OCINE se pensó que o bien se ha vuelto a producir el cruce de datos (que, según ***EMPRESA.2 ya estaba resuelto desde el primer día que se reporta el primer caso) o bien que la solución de login + logout a los usuarios de Android no se había efectuado cuando se solicitó a ***EMPRESA.
3. ***EMPRESA.2 reportó a OCINE que: 'Teniendo en cuenta que no le muestra los datos, la app no se está pudiendo autentificar con el servidor. Por lo tanto, tiene que estar usando una versión antigua de la app. La parte de compra de entradas no dispone de validación adicional, por lo tanto, si tiene un token antiguo, entra con datos de otro usuario. Por este motivo era tan importante forzar a repetir el login. Si no ha actualizado la app, le pasará lo mismo indefinidamente'. 17/07/24: OCINE recibió el requerimiento de la AEPD y la Dirección de OCINE requirió un informe sobre el estado de la incidencia. ***EMPRESA.1 informó que el ritmo de las actualizaciones era bueno pero no todos los usuarios se habían actualizado a la última versión de la APP. Dirección insistió en que debía de encontrarse una solución definitiva. 06/08/24: ***EMPRESA.2 en coordinación con ***EMPRESA.1 intervino a nivel de software en los componentes del webservice que suministraba los datos a la app bloqueando la posibilidad de visualizar datos a las apps no actualizadas. Como conclusión general, indica OCINE que el 19/03/2024 detectó un problema técnico en la implementación de su APP. Y que este problema ha sido solucionado definitivamente y concluye también que, teniendo en cuenta el análisis realizado a nivel de los derechos y libertades de las personas implicadas, que no ha habido violación al respecto.
4. Especificación detallada de las causas que han hecho posible el incidente Indica OCINE que la causa del problema ha sido de origen técnico: - Al realizar un alta de un usuario se le asigna un identificador asignado por el cine donde se da de alta. - Cada 24 horas los datos de las altas (y además las modificaciones de datos) se replican a un servidor central y posteriormente se replican al resto de cines, con el objetivo de que el usuario pueda disfrutar de los beneficios de Fidelity en todos ellos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/31 - Este sistema de asignar identificadores al cliente de forma descentralizada provoca en algunas ocasiones coincidencias de identificadores, que se resuelven en el momento de la replicación asignando un identificador distinto al cliente que se ha registrado más tarde. - En la situación de reasignación de identificador, el usuario, tiene una situación transitoria en la que: o Si ha realizado el proceso de alta a través de la página web no tiene incidencia. o Si ha realizado el proceso de alta a través de la app, tiene una ventana de tiempo marcada por el login inicial que hizo al realizar el alta hasta un nuevo login, en la que este usuario tiene en la app, por defecto el número de usuario inicial y no el que se le ha reasignado. De modo que cuando se conecta con la app ve los datos relativos al otro cliente que tiene asignado este identificador. ▪ Los datos que visualiza del otro cliente son: • Nombre y apellidos • Mail • Teléfono • Número de tarjeta ▪ El resto de los datos que disponemos del cliente, no son visibles: • Dirección • Fecha de nacimiento • Datos comerciales de uso Se aporta como ANEXO: 1 un documento titulado “Especificación detallada de las causas que han hecho posible el incidente”.
5. Número de personas afectadas por la violación de seguridad de los datos personales OCINE aporta una tabla en la que indica que “No existe manera de poder saber concretamente los identificadores re-asignados. Por tanto, deberemos de hacer estimaciones”. Se indica como total de usuarios de Fidelity: 390.
6. Y como total de usuarios de la app (que representa el universo máximo de afectados sin la restricción de cruce de indicadores): 26.
7. OCINE indica que como máximo existió un total de 34 afectados en el momento del incidente (clientes dados de alta desde la fecha, que debieron entrar a la app y no hubiesen hecho un nuevo login desde la fecha en que se detectó el incidente), lo cual representa un 0,01% del total de usuarios de Fidelity.
8. Categoría de los datos personales involucrados OCINE indica que las categorías de los datos y los datos personales concretos afectados fueron los siguientes: Nombre y apellidos, teléfono y mail.
9. Posibles consecuencias para las personas afectadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31 Indica OCINE que el 7/04/2024 recibió el primer caso y el 8/04/2024 se realizó un análisis sobre las consecuencias para las personas afectadas y la conclusión fue que el incidente no ha tenido ninguna afectación sobre sus derechos y libertades. Indica que el incidente ha ocasionado inquietud y ciertas molestias a los usuarios, que se ha intentado mitigar desde el departamento de atención al cliente, manteniendo una comunicación fluida con los interesados, y dando feedback de la forma más ágil posible. Se adjunta una imagen de una tabla en la que puede verse como “resultados de un posible impacto sobre los derechos y libertades de las personas” que “No hay riesgo para los derechos y libertades”. Respecto a la extensión y alcance del tratamiento se indica “El colectivo impactado es muy pequeño y no hay impacto en sus derechos y libertades, solamente impacta en datos que no son de tipo especial”. En cuanto a los “efectos colaterales del tratamiento” se menciona “Se pueden visualizar datos de la persona que pueden permitir recibir el contacto de una persona que ha accedido a estos datos (teléfono y correo electrónico), pudiendo suponer ello una cierta molestia.” En el apartado “seguridad en los tratamientos” puede verse “Los hechos no están relacionados ni con la materialización de amenazas ni de fallos en las medidas de seguridad aplicadas”. Como ANEXO 2 se acompaña un documento titulado “Detalle del análisis de riesgos sobre el posible impacto sobre los derechos y libertades de las personas realizado”.
10. Descripción detallada de las acciones tomadas para solucionar el incidente y minimizar su impacto sobre las personas afectadas Se reitera OCINE en lo dicho en la cronología de los hechos sobre las actuaciones a nivel de la APP realizadas por ***EMPRESA.1 y concluye: “Por tanto, resumiendo, la actuación final que ha solucionado el problema es la siguientes: En las últimas versiones de la aplicación, al detectar un token inválido, se fuerza la identificación del usuario. Además, se añaden verificaciones adicionales al proceso de compra para evitar que usuarios de versiones obsoletas puedan identificarse como otros clientes. Estas medidas aseguran que solo los usuarios con tokens válidos y actualizados puedan completar transacciones, mejorando así la seguridad y la precisión del sistema.”
11. Medidas de seguridad de los tratamientos de datos personales adoptadas con anterioridad al incidente, así como la documentación acreditativa del análisis de riesgos que ha conllevado la implantación de dichas medidas de seguridad y, en su caso, copia de las evaluaciones de impacto de los tratamientos donde se ha producido la violación de seguridad de los datos personales. Indica OCINE que dispone de dos niveles de medidas de seguridad implantadas: - Medidas de gobernanza - Medidas de seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31 En cuanto a las medidas de gobernanza, destaca que cuenta con una política de protección de datos, que se proporciona a los interesados información sobre el tratamiento de sus datos personales, que todo el personal firma unas cláusulas de deber de secreto (se aporta como Anexo 3-1 la documentación que firma el personal) y que se le comunican todas la medidas organizativas, que cuenta con contratos de encargados del tratamiento con las empresas que gestionan datos en nombre de OCINE (como Anexo 3-2 se aportan contratos de encargados del tratamiento), e indica que cuenta con un procedimiento de ejercicio de derechos y con un procedimiento de gestión de incidencias y de notificación de violaciones de seguridad. También señala que ha realizado un análisis de riesgos, el cual aporta como ANEXO
12. Y que ha efectuado un análisis sobre la necesidad de realizar un análisis de impacto, el cual dio como resultado que no era necesario. En cuanto a las medidas de seguridad, indica que cuenta con medidas destinadas a protegerse de desastres naturales e industriales, medidas destinadas a la prevención y errores y fallos no intencionados y medidas destinadas a la protección de ataques intencionados.
13. Copia del registro de actividad de los tratamientos donde se ha producido el incidente El tratamiento donde se ha producido el incidente es el de Fidelity. Se proporciona información sobre el registro de actividad de tal tratamiento, en la que se indica que se tratan los siguientes datos: - Datos identificativos: Nombre y apellidos, teléfono, dirección postal, DNI y mail. - Características personales: Sexo y fecha de nacimiento - Información comercial: Entradas compradas y servicio de cafetería consumidos
14. Si la violación de seguridad ha sido comunicada a las personas afectadas, indique el canal utilizado, fecha de comunicación y detalle del mensaje enviado. En caso negativo, indicar los motivos Manifiesta OCINE que ha considerado desde el inicio que los incidentes eran producidos por un problema técnico en la APP que gestionaba los clientes Fidelity, y por tanto todas las comunicaciones que se han mantenido con ellos, han sido gestionadas como tales y desde el departamento de atención al cliente. Se aporta captura de imagen de un correo electrónico recibido en info@ocine.es desde ***EMAIL.2 el 7 de abril de 2024 con el siguiente contenido: “Buenos días, me he creado una cuenta nueva y al entrar hoy me han salido los datos de otra clienta vuestra. Mis datos son ***EMAIL.2 y mi nombre es C.C.C. (…)” En respuesta, puede verse que desde info@ocine.es se respondió el 8 de abril de 2024: “Buenos días, Disculpe la demora. Sentimos comunicar que actualmente la app es un prototipo y estamos solventando los errores que están surgiendo. Le damos las gracias por el feedback, ya que nos permite mejorar y tener un control de los fallos. Hemos abierto una incidencia para que revisen su caso. Sentimos desconocer cuando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31 puede estar solucionado, por lo que recomendamos ir a las taquillas o utilizar la web para realizar la compra. Le adjuntamos los datos que tenemos asociados a su tarjeta por si necesita entrar a su zona Fidelity desde la web: - Número de tarjeta: ***TARJETA.3 Contraseña: (...) Email asociado: ***EMAIL.
15. (…)” Se aporta captura de imagen de un correo electrónico recibido en info@ocine.es desde ***EMAIL.3 el 10 de abril de 2024 con el siguiente contenido: “Buenos días, Como os comente me pude loguear ya en la app, cual es mi sorpresa cuando entro hoy a mis datos personales por curiosidad en la app y no se corresponden con los míos… además intento logearme en la web con mis datos y me da un error, adjunto pantallas tanto de la app con otros datos que no son los míos y con el error al intentar logearme” (sic) En respuesta, puede verse que desde info@ocine se respondió el 10 de abril de 2024: “Buenos días, Disculpe la demora. Disculpe la demora. Sentimos comunicar que actualmente la app es un prototipo y estamos solventando los errores que están surgiendo. Le damos las gracias por el feedback, ya que nos permite mejorar y tener un control de los fallos. Abrimos incidencia de su cuenta para que revisen y lo solucionen lo antes posible. Recomendamos ir a las taquillas o utilizar la web para realizar la compra. Sentimos las molestias ocasionadas.” (sic) Se aporta captura de imagen de un correo electrónico recibido en fidelity@ocine.es desde ***EMAIL.4 el 17 de abril de 2024 con el siguiente contenido: “Hola buenas noches vamos a ver, una persona de Mallorca me acaba de enviar una captura de la targeta vuestra con mi nombre apellidos dni dirección… que pasa si ahora me vienen a robar o algo? Que tengo hijos! Esto es muyyyy grabe!!!!!!! E.E.E. dni ***NIF.4 vamos a ver si lo solucionamos porque vaya tela.” En respuesta, puede verse que desde info@ocine.es se respondió el 17 de abril de 2024: “Buenos días, Disculpe la espera. Sentimos enormemente lo ocurrido, pasamos inmediatamente su incidencia al servicio informático para que lo solucionen cuanto antes y no vuelva ocurrir. Le damos las gracias por el feedback, ya que nos permite mejorar y tener un control de los fallos. Una vez más, sentimos la experiencia vivida y las molestias ocasionadas.” Se aporta otra captura de imagen de un correo electrónico enviado desde info@ocine.es a ‘E.E.E.’ el 18 de abril de 2024 con el siguiente contenido: “Buenos días, Le informamos que el incidente está en manos del equipo técnico. El usurario ya no podrá acceder a sus datos, sino que le aparecerán los correctos. Una vez más sentimos las molestias por el incidente informático.” Se aporta captura de imagen de un correo electrónico recibido en info@ocine.es desde web@ocine el 1 de junio de 2024 con el asunto “Formulari SuggerimentsA.A.A.” y el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 Nombre y apellidos: A.A.A. Email: ***EMAIL.4 (…) Sugerencias: Hola, quiero ponerme en contacto con atención al cliente ya que estáis infringiendo la ley de protección de datos en la app. ¿Podéis facilitarme un mail para poder enviar mi reclamación? Cuando he ido a comprar mis entradas me salían datos personales de otra persona porque el número de la tarjeta que se pone automáticamente cuando compras no es el mío. (…) si yo he podido ver los datos de otra persona, alguien está pudiendo ver los míos. (….)” Se aporta captura de imagen de un correo electrónico enviado desde info@ocine.es a ***EMAIL.4 el 3 de junio de 2024 con el siguiente contenido: “Buenos días, Disculpe la espera. Sentimos enormemente lo ocurrido, pasamos inmediatamente su incidencia al servicio informático para que lo solucionen cuanto antes y no vuelva ocurrir. Le damos las gracias por el feedback, ya que nos permite mejorar y tener un control de los fallos. Una vez más, sentimos la experiencia vivida y las molestias ocasionadas.” Se aporta captura de imagen de un correo electrónico enviado desde info@ocine.es a ***EMAIL.4 el 3 de junio de 2024 con el siguiente contenido: “Hola de nuevo, Disculpe las molestias. El equipo técnico nos comenta, si puede adjuntar capturas de los fallos que está teniendo en la web y saber en qué momento le aparecen. (…)” Se aporta captura de imagen de un correo electrónico enviado desde ***EMAIL.4 a info@ocine.es el 3 de junio de 2024 con el siguiente contenido: “Hola, Sí, el problema es en la pantalla donde se autorrellena la tarjeta de Fidelity, que en vez de la mía apareció la de otra persona, más adelante en el proceso de compra aparecieron sus datos. Como podéis ver en mi cuenta además se han borrado mis datos. La mía es la que acaba en ***TARJETA.1 (que es mi DNI por lo que también ese es un dato sensible que se ha compartido de B.B.B.) y la que se autorrellenó en la compra es la que acaba en ***TARJETA.
16. Adjunto y pondré una reclamación en la agencia de protección de datos. Saludos” Se aporta captura de imagen de un correo electrónico enviado desde info@ocine.es el 3 de junio de 2025 con el siguiente contenido: “Buenas, Agradecemos su colaboración. Hemos enviado los datos al servicio técnico para que solventen el error informático cuando antes y no vuelva a ocurrir. (…) Sentimos la incidencia. Saludos” Se aporta captura de imagen de un correo electrónico enviado desde info@ocine.es a ‘A.A.A.’ el 3 de junio de 2025 con el siguiente contenido: “Buenas tardes, Disculpe la demora. (…) Le recomendamos que actualice la app o visitar la web para consultar el historial de puntos. Un saludo”.
17. Indique si la violación de seguridad ha sido notificada a esta autoridad de control. En cado contrario, indique los motivos por los que la violación de seguridad no ha sido comunicada antes del transcurso de 72 horas Indica OCINE que en el momento que se recibió a primera incidencia el 7 de abril de 2024 se realizó un análisis de la misma desde diferentes puntos de vista y se concluyó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 “que no estábamos frente a una violación de seguridad; sí ante un problema técnico de software.” Se aporta una captura de imagen de un análisis de riesgos respecto al tratamiento Fidelity, donde se concluyó que no existían riesgos para los derechos y libertades de las personas o que estos riesgos habían sido mitigados. Señala OCINE que el 8 de abril de 2024 utilizó el recurso Asesora Brecha de la página web de la AEPD y que el resultado en su momento fue “NO ES NECESARIO NOTIFICAR LA BRECHA DE DATOS PERSONALES A LA AEPD”. Se aporta como ANEXO 5 la consulta a tal herramienta. Indica OCINE que realizó también un análisis la afectación sobre los derechos y libertades de los afectados, concluyendo que no había afectación al respecto.
18. Medidas que piensa tomar para que no se vuelva a producir un incidente similar en el futuro MEDIDA 1: Manifiesta OCINE que, debido a que la causa raíz del problema residía en el desarrollo de software y en su aplicación precipitada a producción, la Dirección decidió implantar buenas prácticas de desarrollo de software adicionales, inspiradas en la norma ISO 27002: 2022 Seguridad de la información, ciberseguridad y protección de la privacidad. Y concretamente los controles 8.30 relativo a la externalización del desarrollo y 8,31 separación de los entornos de desarrollo, prueba y producción. Entre otras recomendaciones de la norma para dichos controles menciona: - 8.30 relativo a la externalización del desarrollo Cuando se subcontrata el desarrollo del sistema, la organización debería comunicar y acordar los requisitos y expectativas, y monitorizar y revisar continuamente si la entrega del trabajo subcontratado cumple con estas expectativas. Indica que se deberían considerar en toda la cadena de suministro externa de la organización, entre otros, la provisión de evidencias de que se han establecido niveles mínimos aceptables de seguridad y de privacidad (por ejemplo, informes de aseguramiento), la provisión de evidencias de que se han realizado pruebas suficientes para protegerse frente a la presencia de vulnerabilidades conocidas, la toma en consideración de la legislación aplicable (por ejemplo, sobre protección de datos personales). - 8.31 separación de los entornos de desarrollo, prueba y producción Debería identificarse e implementarse el nivel necesario de separación entre los entornos de producción, prueba y desarrollo para evitar problemas en producción. Indica que se deberían considerar, entre otros, separar adecuadamente los sistemas de desarrollo y de producción y operarlos en diferentes dominios (por ejemplo, en entornos físicos o virtuales separados), probar los cambios a los sistemas y las aplicaciones en producción en un entorno de pruebas o de ensayo antes de aplicarlos a los sistemas de producción (véase 8.29), no realizar pruebas en entornos de producción excepto en circunstancias que hayan sido definidas y aprobadas, MEDIDA 2: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 La Dirección también decidió que durante este 2024 se nombrara a un Delegado de Protección de Datos para todo el Grupo OCINE con el objecto de mejorar el cumplimiento de la normativa de protección de datos y coordinar todas las acciones entre las distintas empresas del grupo. MEDIDA 3: Realizar una auditoría interna extraordinaria para revisar el grado de cumplimiento y detectar mejoras que serían la base del plan de trabajo para posteriores fechas. TERCERO: Con fecha 5 de septiembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR el 8 de mayo de 2025, la entidad OCINE es una empresa constituida en el año 1983, y con un volumen de negocios de 5.216.496 euros en el año
19. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/31 Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que OCINE realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellidos, teléfono, dirección postal, número de DNI y correo electrónico. OCINE realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Exactitud La letra d) del artículo 5.1 del RGPD propugna: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 "
20. Los datos personales serán: (…) d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);" Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones indica que: “