PS-00537-2017

1/5 Procedimiento Nº: PS/00537/2017 RESOLUCIÓN R/00161/2018 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00537/2017, instruido por la Agencia Española de Protección de Datos a la entidad CRUZ ROJA ESPAÑOLA, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 11/01/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad CRUZ ROJA ESPAÑOLA, mediante el Acuerdo que se transcribe: Procedimiento Nº: PS/00537/2017 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CRUZ ROJA ESPAÑOLA, en virtud de denuncia presentada ante la misma por Don A.A.A., y en base a los siguientes HECHOS PRIMERO: Con fecha 29/04/2017 tuvo entrada una denuncia remitida por Don A.A.A. indicando que la entidad CRUZ ROJA ESPAÑOLA fue sancionada en el procedimiento PS/0008/2017 por infracción de medidas de seguridad del artículo 9 de la LOPD, y a pesar de indicar, en fecha 6 de abril de 2017, que habían subsanado la irregularidad, ésta persiste. Expone que accediendo a la web ***URL.1, en la parte superior derecha de la pantalla hay una línea con un buscador con una lupa a la derecha. Si se teclea “un nombre al azar”, el sistema refleja nombres y apellidos de la base de datos. Si se incluye además del nombre un apellido, salen los e-mails de las personas. En algunos casos, aparece una pantalla de una supuesta autenticación, pero tecleando X “de salir de esa página” y se sigue tecleando en el buscador, aparecen datos. Aporta impresión de pantalla de 29/04/2017 en la que se reflejan con “ D.D.D.” 3 resultados de personas que incluyen tales términos. Realiza también la simulación con otros nombres y se reflejan datos de personas y sus direcciones de correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tiene conocimiento de: A) Con fecha 3/05/2017 se accede a la web ***URL.1 y se consulta con el nombre “ B.B.B.” arrojando como resultado cuatro personas que reúnen en el nombre dicho termino. Si además la búsqueda se realiza con nombre y apellido, se visiona el correo electrónico. B) En fecha 21/09/2017, en la sede de la Cruz Roja se realiza visita de Inspección, manifestando la denunciada: 1) ***URL.1 es una red social cuya finalidad es facilitar a los usuarios que se han dado de alta, medios para encontrar sinergias, formación, puntos de encuentro y espacios de trabajo. Esta red social se crea en el año 2010 teniendo buena aceptación en un principio, no obstante en los últimos años ha experimentado una caída en su uso. En la actualidad cuentan con 26.652 usuarios registrados. El mantenimiento de la web está parcialmente externalizado a SEIDOR. Para solicitar el alta en ***URL.1 no es necesario ser socio de Cruz Roja. En la propia web existe un enlace denominado “únete hoy” que solicita entre otros el nombre y apellidos, la dirección de correo electrónico y DNI. Antes de que se realice el alta es necesario aceptar la política de uso donde se establece que “informamos que su cuenta de correo electrónico y nombre será visible por los miembros de MCR cuando haga su inscripción” La red social Mundocruzroja permite crear “comunidades”. Estas comunidades son plataformas de encuentro de temas comunes, en las que grupos de trabajo con los mismos intereses disponen de herramientas (blogs, documentos, correos electrónicos, etc.), para interactuar entre los miembros que lo componen. Estas comunidades pueden ser públicas, si los usuarios dados de alta en Mundocruzroja pueden acceder a todo el contenido, o privadas que son de uso restringido para los usuarios que las componen. Las comunidades públicas pueden ser moderadas, si el usuario debe solicitar autorización al administrador, o públicas cuando el acceso es sin restricciones. En la web www.***URL.1 existe un buscador que contiene el literal “comunidades públicas”. Los representantes de Cruz Roja manifiestan que la búsqueda se realiza sobre toda la base de datos de la entidad, que incluye las comunidades, documentos y directorio de usuarios. Si se quiere localizar sólo una comunidad, hay que realizar una búsqueda avanzada. Las búsquedas sólo las pueden realizar usuarios dados de alta tras autenticar su identidad mediante el usuario y contraseña que tienen asignado 2) Sin realizar una autenticación de usuario se realiza una búsqueda en “comunidades públicas”. Se introduce en el campo cercano a la lupa, la letra p, y se comprueba que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 sistema, antes de dar ninguna información, solicita autenticación de usuario. Los inspectores actuantes cierran la ventana que solicita autenticación y se obtiene un listado que contiene datos personales de miembros que contienen el carácter introducido en la búsqueda. Si se aporta un nuevo carácter vuelve a solicitar autenticación sin aportar más información, pero al cerrarla aparecen datos personales de miembros que cumplen el criterio de búsqueda. Si se prosigue de esta manera, tras introducir un nombre propio común, un espacio en blanco y el comienzo de lo que puede ser un apellido, del mismo modo, tras cancelar la pantalla de autenticación, aparece un listado de nombres y apellidos que cumplen el criterio de búsqueda aportando además en este caso la dirección de correo electrónico. 3) A la vista de esta documentación los representantes de CRUZ ROJA manifiestan que se trata de un error técnico del que no eran conscientes hasta el momento de la realización de la presente inspección. Delante de los Inspectores actuantes, realizan una llamada a la empresa SEIDOR, encargada del soporte técnico y solicitan la inmediata corrección del error y una estimación de tiempo que tardará en solucionarse. Los técnicos de SEIDOR dan un plazo de dos días para realizar las modificaciones necesarias. TERCERO: En fecha 28/09/2017, CRUZ ROJA ESPAÑOLA aporta certificado indicando que se ha solucionado de forma definitiva la incidencia de seguridad con fecha 22/09/2017, en un plazo de 24 horas desde que tuvieron conocimiento de la incidencia por la visita de Inspección realizada el 21/09/

1. En fecha 10/10/2017, el Servicio de Inspección verifica que la citada página web no permite acceder a datos de comunidades sin acreditar debidamente la identidad. CUARTO: Se reciben escritos del denunciante indicando que la infracción persiste a 16/06, 25/07, 7/08, 10 y 20/09/2017 con las mismas fechas de impresión de las pantallas que aporta excepto en las de 10 y 20/09/
2. Con fecha 22/05/2017, se registra la primera petición del denunciante sobre situación en que se halla su denuncia y el procedimiento sancionador. Dicha petición se reproduce en: 13/08, 31/08 y 2/11/2017 y por correo electrónico el 3/01/
3. QUINTO: Con fecha 11/01/2018 la Directora de la AEPD acuerda iniciar procedimiento sancionador contra CRUZ ROJA ESPAÑOLA por la infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 93 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD).tipificada como grave en el artículo 44.3.h) de la LOPD. La sanción prevista en el acuerdo de inicio a efectos de los artículos
4. 2.b) de la Ley 39/2015 de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPCAP) y del artículo 127 b) del RLOPD se cuantificó en 4.500 euros. Con fecha 24/01/2018, la denunciada ha procedido al pago de la sanción en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 cuantía de 2.700 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la LOPD. II El artículo 85 de la LPACAP, bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “
5. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda.
6. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción.
7. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00537/2017, de SEGUNDO: NOTIFICAR la presente resolución a CRUZ ROJA ESPAÑOLA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es