← España

PS-00567-2015

1/15 Procedimiento Nº PS/00567/2015 RESOLUCIÓN: R/00386/2016 En el procedimiento sancionador PS/00567/2015, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 11/11/2014, tuvo entrada en esta Agencia un escrito de D. A.A.A.a (en lo sucesivo el denunciante), en el que denuncia a la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A.U. (en lo sucesivo MOVISTAR), de la que es cliente, por remitir a su línea de telefonía móvil C.C.C., desde hace más de un año, numerosos mensajes en los que se incluyen datos personales como el DNI/CIF y las claves de seguridad para operar a través de Internet de personas y entidades con las que no tiene relación. El número remitente de tales mensajes es el ******. Añade que desconoce si sus claves son reveladas por MOVISTAR a otras persona y que contactó con dicha entidad a través del número 1004 para advertir de la incidencia, pero continúa recibiendo mensajes. Con su la denuncia aporta imágenes de un terminal con mensajes recibidos en los que el origen es el número ******. El 02/12/2014 se recibió un correo electrónico del denunciante con el que aporta nuevas imágenes de su terminal y los mensajes recibidos desde el ******, señalando que los operadores del 1004 le han reconocido que la entidad utiliza sus líneas para realizar pruebas. Las imágenes aportadas por el denunciante muestran un total de 109 mensajes recibidos con origen en el número ******. Cada mensaje muestra el texto “Gracias por utilizar nuestro servicio. Tu usuario es [USUSARIO] y tu claves de acceso [CLAVE]” donde el texto [USUARIO] es sustituido por un NIF o CIF y el texto [CLAVE] por una cadena alfanumérica de 10 caracteres de longitud. El primer mensajes que muestran las imágenes fue recibido el 6 de febrero de 2014 y el último el 1 de diciembre de 2014. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes comprobaciones: 1. El número corto ****** es un número de uso exclusivo de MOVISTAR, que aparece como remitente cuando se envía un SMS a un usuario del canal cliente que ha olvidado su clave. 2. Los 109 mensajes contienen NIF/CIF de 106 entidades. Una de ellas es el propio denunciante, 4 son personas físicas catalogadas por MOVISTAR como clientes residenciales, 3 son personas físicas catalogadas por MOVISTAR como mediana empresa, otra persona física está catalogada como empresario autónomo y el resto, 97, son personas jurídicas (sociedades de distintos tipos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 fundaciones y otros organismos). La lista de personas y entidades y tipos de clientes se detalla en el Anexo I del Informe de Actuaciones Previas de Investigación. Los mensajes remitidos a los 4 usuarios que están clasificados como del segmento residencial fueron enviados según la siguiente tabla: NIF G.G.G. H.H.H. F.F.F. I.I.I. Fecha 06/02/2014 07/02/2014 24/02/2014 19/10/2014 3. Analizadas las claves que se muestran en los mensajes, la Inspección actuante observa las siguientes características: . Todos los mensajes recibidos un día determinado proporcionan la misma clave a los distintos clientes. Una de las imágenes muestra 4 mensajes recibidos el día 15/07/2014, con la misma clave para tres clientes distintos (uno de los clientes solicitó la clave dos veces). Otras imágenes muestran tres mensajes recibidos el 22 y 23/07/2014 y cuatro mensajes recibidos el 31 de julio y el 1 de agosto, correspondientes a siete clientes distintos a los que también se asigna la misma clave. . Los 109 mensajes utilizan un total de 21 claves distintas. . A pesar de que la longitud de las claves es de 10 caracteres, la mayor parte de las claves utilizadas comienza o termina por series predecibles de números o caracteres, lo que las hace sensibles a un ataque por fuerza bruta o que utilice diccionarios. 4. De la información obtenida durante la inspección realizada el 11/06/2015 en los locales de MOVISTAR y de la información aportada posteriormente se constata lo siguiente: . El denunciante es titular de las líneas C.C.C., E.E.E., B.B.B. y D.D.D.. . Entre el 01/11/2014 y el 01/05/2015, a la entidad le constan como recibidos por el C.C.C. un total de 365 mensajes con origen en el número corto ******. MOVISTAR aporta copia del listado de SMS recibidos por dicho número en los 12 meses anteriores a la inspección, ya que es de los que dispone en virtud de la Ley 25/2007, de 18 de octubre, de Conservación de Datos. . No constan en los sistemas de la entidad registro de ninguna reclamación oficial en relación con la incidencia denunciada. . A pesar de que los contactos mantenidos por el denunciante con el teléfono de atención al cliente de MOVISTAR son numerosos (96 a lo largo del año 2014) no consta registro alguno de que éste notificase la incidencia denunciada. . La entidad manifiesta conocer en el momento de la inspección la existencia de la incidencia. 5. Los Servicios de Inspección solicitaron a MOVISTAR información sobre la incidencia denunciada y su gestión. En respuesta a este requerimiento, MOVISTAR realizó las siguientes manifestaciones: . Las solicitudes de clave olvidada pueden realizarse a través de la web de MOVISTAR y a través de otros medios (chat o teléfono). . En el primer caso, el sistema utiliza los datos facilitados por el solicitante consistente en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 comprobar la coincidencia entre el número de la línea y el NIF/CIF del titular de la misma, funciona correctamente. . En el segundo caso, en el que el cliente por diferentes causas no puede obtener la clave mediante el formulario web y las solicitudes son atendidas por operadores, se ha producido un fallo puntual y en alguno casos de emitieron indebidamente SMS al número C.C.C.. En este tipo de casos se informa al cliente de su nueva clave durante el transcurso de la llamada. A pesar de que ello hace innecesario el envío de un SMS con la clave, el proceso en el sistema de información lo requiere para poder cerrar la operación. “En los casos detectados los operadores pueden haber utilizado el número 666 para cumplimentar el campo obligatorio, pensando en algún caso que el número no pertenecía a ningún cliente real.” . Como aspectos mitigantes de la incidencia destacan que: . Se informa verbalmente al cliente de que la clave es genérica y la primera vez que se utiliza para acceder a la web se le invita a cambiarla. . El incidente se produjo fundamentalmente en los proceso de empresas. . El 1 y 2 de julio se informa a los responsables de las áreas afectadas para que adopten las medidas oportunas para solventar el incidente producido. Entre el 6 y el 10 de julio éstos realizaron comunicaciones reforzando y aclarando la operativa para evitar los fallos que han conducido a la incidencia, produciéndose una nueva comunicación de refuerzo el 4 de agosto. . Desde el 14/07/2015 no ha habido ningún envío de SMS a la línea C.C.C. desde el número ******. . En cuanto al número de afectados clasificados como clientes residenciales, el total es de 9: 8 entre enero y mayo de 2014 y uno después de mayo de 2014 (el detalle de estos afectados consta en el Anexo 2 del Informe de Actuaciones Previas. 6. La entidad no ha aportado documentación que acredite ninguna de las manifestaciones del punto anterior. Los Servicios de Inspección señalan los siguientes documentos que podrían haber aportado MOVISTAR: . Copia de una muestra representativa de los registros de actividad del departamento de atención al cliente que acredite que los SMS se correspondes con solicitudes de claves de clientes . Copia de las comunicaciones emitidas por los responsables de las áreas de atención al cliente afectadas. . Listado de los SMS remitidos desde el ****** al C.C.C. entre la fecha de la inspección (11/06/2015) y el 31 de julio. . Por otra parte, advierten los Servicios de Inspección que a la fecha de emisión del Informe de Actuaciones Previas (21/09/2015), no consta que MOVISTAR haya notificado a esta agencia quiebra de seguridad alguna. Como resultado de la investigación, en el citado Informe de Actuaciones Previas, los Servicios de Inspección de esta Agencia hacen constar las siguientes observaciones: A. Unos envíos que han sucedido en al menos 365 ocasiones en un periodo de 6 meses no deberían describirse como un “fallo puntual”. B. MOVISTAR fue informada el 11/06/2015 de la existencia de una incidencia que estaba poniendo en conocimiento de uno de sus clientes, el denunciante, las credenciales de acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 a los datos de más de 100 clientes. Fueran la mayoría de éstos residenciales o no, la incidencia representa una quiebra de las medidas de seguridad que proporcionó al denunciante acceso a los datos de dichos clientes y que hasta el momento no ha sido notificada a esta Agencia. C. MOVISTAR no tomó acciones correctivas hasta el 06/07/2015, 25 días después de serle notificada la incidencia. D. Según la propia entidad manifiesta, la clave que se proporciona al cliente por chat o teléfono es genérica y “se invita” al cliente a cambiarla al usarla por primera vez. Al decir que se invita al cliente a cambiarla se deduce que la clave no es de un solo uso, ya que en ese caso éste se vería obligado y no invitado a cambiarla. No es una buena práctica que un operador proporcione una clave al cliente, ya que al conocerla el operador se encuentra en disposición de acceder y tratar sus datos. Si por los motivos que sean, se estima que la operativa más acertada en determinado tipo de casos debe de ser la descrita previamente, deberían de utilizarse claves de un solo uso. De esa forma en el momento en que el cliente entrase por primera vez en la web con los datos facilitados, la clave dejaría de ser válida y tanto el denunciante como el propio operador (que hasta ese momento dispone de las credenciales de acceso del cliente) perderían la capacidad de acceder a sus datos. E. Al ser conocedora de la incidencia, MOVISTAR debería de haber iniciado un proceso de análisis que debería de haber incluido tanto la identificación de los clientes afectados como la revocación de las claves de éstos. De esa forma el denunciante habría perdido la capacidad de acceder a los datos. MOVISTAR no ha informado que haya revocado las claves y sólo tras serle requerido el número de clientes residenciales afectados ha identificado a la totalidad de éstos. F. MOVISTAR parece haber identificado, como fuente del problema, unos determinados operadores del servicio de atención al cliente, que utilizaron un número de línea que creían no asignado, cuando el problema real se encuentra en la operativa de la entidad. Si está previsto que un operador proporcione claves de usuario por un medio que no requiere del envío de SMS, el sistema no debería de exigir que se enviase uno. Aún en el caso de que el envío de ese SMS fuese necesario, nunca debería de poder enviarse a una línea de la que el usuario no fuera titular. MOVISTAR no ha informado que haya tomado ninguna medida correctiva en relación su operativa o los sistemas de información que la soportan. G. No es una buena práctica que las claves proporcionadas a los clientes sean “genéricas” o que se proporcione a distintos clientes la misma clave, aunque éstas puedan cambiarse. Las claves deberían de generarse de manera automática y ser distintas para cada cliente de forma que en todo momento cumpliesen con unos mínimos criterios en materia de seguridad. TERCERO: Con fecha 04/11/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MOVISTAR, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. h)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, MOVISTAR presentó escrito de alegaciones en el que solicitó que la sanción se establezca según la escala correspondiente a las infracciones leves, atendiendo al reconocimiento de la culpabilidad, según se establece en el artículo 45.5 de la LOPD y artículo 8.1 del Real Decreto 1398/1 993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora. En dicho escrito reconoce que se produjo una incidencia respecto de la solicitud telefónica del reseteo de las claves para “Mi Movistar” emitiendo indebidamente una serie de SMS,s al número del que es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 titular el denunciante. Añade que, para graduar la sanción, cabe apreciar que no ha existido beneficio alguno, ni intencionalidad, el volumen de tratamientos efectuados, que únicamente resulta afectado el denunciante y que se ha regularizado la situación mediante la actuación siguiente: . Se realizaron comunicaciones a los responsables de las áreas afectadas durante julio y agosto de 2015. . Desde el área de sistemas se confirmó que la incidencia había quedado controlada, no produciéndose ningún envío más al número del denunciante. . Se ha realizado un desarrollo de inminente implantación para que sea obligatorio cambiar las claves facilitadas al cliente, por lo que la clave inicial sería de un único uso. . De todos los medios existentes para la solicitud del reseteo de las claves únicamente se ha producido un error en el medio telefónico, realizándose una revisión de la operativa a fin de verificar que el sistema actúe correctamente. QUINTO: Con fecha 28/01/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se sancione a la entidad MOVISTAR con multa de 20.000 euros (veinte mil euros) por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h), y de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, el plazo concedido a la entidad TME para formular alegaciones transcurrió sin que en esta Agencia se haya recibido escrito alguno. HECHOS PROBADOS 1. MOVISTAR tiene habilitado un canal online para clientes, denominado “Mi Movistar”, al que estos pueden acceder mediante una calve de acceso de usuario. Los clientes que olviden su clave de acceso disponen de varios canales para solicitarla una nueva clave, entre los que figuran los servicios de atención telefónica, que la facilitan al cliente durante el transcurso de la llamada y, posteriormente, remiten un SMS con la clave (el proceso en el sistema de información requiere este envío para poder cerrar la operación). 2. El número corto ****** es un número de uso exclusivo de MOVISTAR, que aparece como remitente cuando se envía un SMS a un usuario del canal cliente que ha olvidado su clave. 3. El denunciante es titular de la línea de telefonía móvil C.C.C.. 4. Con fecha 06/11/2012, el denunciante formuló denuncia contra MOVISTAR por remitir a su línea de telefonía móvil C.C.C. numerosos mensajes en los que se incluyen datos personales como el DNI/CIF y las claves de seguridad para operar a través de Internet de personas y entidades con las que no tiene relación. El número remitente de tales mensajes es el ******. Según las imágenes aportadas por el denunciante, recibió 109 mensajes con origen en el número ******. Cada mensaje muestra el texto “Gracias por utilizar nuestro servicio. Tu usuario es [USUSARIO] y tu claves de acceso [CLAVE]” donde el texto [USUARIO] es sustituido por un NIF o CIF y el texto [CLAVE] por una cadena alfanumérica de 10 caracteres de longitud. El primer mensajes que muestran las imágenes fue recibido el 6 de febrero de 2014 y el último el 1 de diciembre de 2014. De estos menajes, 4 corresponden a personas físicas catalogadas por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 MOVISTAR como clientes residenciales, 3 son personas físicas catalogadas por MOVISTAR como mediana empresa, otra persona física está catalogada como empresario autónomo. Los mensajes correspondientes a los 4 usuarios del segmento residencial fueron enviados los días 06, 07, 24/02/2014 y el 19/10/2014. 5. MOVISTAR ha reconocido que entre el 01/11/2014 y el 01/05/2015 fueron remitidos a la línea de telefonía móvil del denunciante un total de 365 mensajes con origen en el número corto ******. Según dicha entidad, los afectados clasificados como clientes residenciales fueron nueve (8 entre enero y mayo de 2014 y uno después de mayo de 2014). 6. En relación con la incidencia reseñada, MOVISTAR manifestó que “En los casos detectados los operadores pueden haber utilizado el número 666 para cumplimentar el campo obligatorio, pensando en algún caso que el número no pertenecía a ningún cliente real”. 7. MOVISTAR informó a los Servicios de Inspección de la AEPD que la clave que proporciona a los usuarios de “Mi Movistar” es genérica y que “invita” al cliente a cambiarla después del primer uso. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
  3. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
  4. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero al que pertenecen los datos personales en cuestión, atendiendo a su contenido (datos personales contenidos en la plataforma “Mi Movistar” relativos a usuarios de la misma), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
  5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
  6. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. IV Se imputa a la entidad MOVISTAR el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  7. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  8. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
  9. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
  10. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  11. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 Sintetizando las previsiones legales puede afirmarse que:
  12. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  13. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  14. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  15. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal tratados por la entidad MOVISTAR por los servicios contratados por sus clientes, correspondiendo adoptar las calificadas de nivel bajo, teniendo en cuenta el tipo de datos que incluye, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
  16. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad MOVISTAR está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas previstas para sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, la citada entidad incumplió esta obligación, al haber quedado acreditada la posibilidad de acceder a los datos personales relativos sus clientes a través del área “Mi Movistar” habilitada en el sitio web de la entidad, por cuanto facilitó al denunciante las claves de acceso correspondientes a varios clientes usuarios de dicha plataforma, que figuraban detalladas en SMSs enviados desde el servicio de atención telefónica al número de móvil del mismo. En concreto, consta en los Hechos Probados que MOVISTAR tiene habilitada un su web un área de clientes(“Mi Movistar”) que permite a los mismos, una vez identificados y autenticados a través de un código de usuario y una contraseña, acceder a diversa información, efectuar consultas y otros trámites. Asimismo, consta que el usuario puede obtener nuevas claves de acceso a través del servicio de atención telefónica, habiéndose diseñado un sistema que requiere el envío posterior al cliente de un SMS para cerrar la operación, en el que se detallan las nuevas claves asignadas al mismo. Dentro de este proceso, se ha comprobado que en diversas ocasiones, que constan detalladas en los Hechos Probados, el envío de estos mensajes se realizó a la línea de telefonía móvil del denunciante sin que existiese ninguna justificación para ello. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 Con la información facilitada en los SMSs, el denunciante podría acceder a “Mi Movistar” y conocer todos los datos relativos a los clientes a los que pertenecían realmente las claves. Cabe destacar, por otra parte, algunas de las conclusiones reseñadas por los Servicios de Inspección de la AEPD en su Informe de Actuaciones Previas: . Los envíos de SMSs han sucedido en al menos 365 ocasiones en un periodo de 6 meses, por lo que la incidencia no puede describirse como un “fallo puntual”. . MOVISTAR fue informada el 11/06/2015 de la existencia de una incidencia que estaba poniendo en conocimiento de uno de sus clientes, el denunciante, las credenciales de acceso a los datos de más de 100 clientes, y no tomó acciones correctivas hasta el 06/07/2015, 25 días después. Hubiese sido conveniente el inicio de un análisis para la identificación de los clientes afectados, así como la revocación de las claves para impedir el acceso a los datos al denunciante. MOVISTAR no informó que hubiese revocado las claves y sólo tras serle requerido el número de clientes residenciales afectados identificó a la totalidad de éstos. . La propia entidad MOVISTAR manifestó que la clave que proporciona al cliente por chat o teléfono es genérica y que “invita” al cliente a cambiarla al usarla por primera vez. De ello se deduce que la clave no es de un solo uso, ya que en ese caso el cliente se vería obligado y no invitado a cambiarla, cuando lo recomendable es utilizar claves de un solo uso. De esa forma, en el momento en que el cliente entra por primera vez en la web con los datos facilitados, la clave dejaría de ser válida. . MOVISTAR parece haber identificado, como fuente del problema, la utilización de la línea de telefonía del denunciante por determinados operadores del servicio de atención al cliente, que creyeron que la misma no estaba asignada a ningún cliente, cuando el problema real se encuentra en la operativa de la entidad: si está previsto que un operador proporcione claves de usuario por un medio que no requiere del envío de SMS, el sistema no debería de exigir que se enviase uno; y si el envío del SMS se establece como necesario, el sistema no debería permitir que pudiera enviarse a una línea de la que el usuario no fuera titular. MOVISTAR no ha informado que haya tomado ninguna medida correctiva en relación su operativa o los sistemas de información que la soportan. . No es una buena práctica que las claves proporcionadas a los clientes sean “genéricas” o que se proporcione a distintos clientes la misma clave, aunque éstas puedan cambiarse. Las claves deberían de generarse de manera automática y ser distintas para cada cliente de forma que en todo momento cumpliesen con unos mínimos criterios en materia de seguridad. . Fueran residencia les o no los clientes afectados por la incidencia, ésta representa una quiebra de las medidas de seguridad que proporcionó al denunciante acceso a los datos de dichos clientes. Hasta el momento, dicha incidencia no ha sido notificada a esta Agencia por MOVISTAR mediante la cumplimentación del formulario previsto por la Unión Europea, que figura en el Anexo 1 del Reglamento nº 611/2013 de, de 24 de junio de 2013, relativo a las medidas aplicables a la notificación de casos de violación de datos personales en el marco de la Directiva 2902/58/CE del Parlamento Europeo y del Consejo sobre la privacidad y las comunicaciones electrónicas. Se trata de deficiencias apreciadas en el sistema de información diseñado por la propia entidad MOVISTAR que quedaron acreditadas por la documentación aportada por el denunciante y por las comprobaciones realizadas por los Servicios de Inspección de la AEPD, habiendo sido reconocidos por la propia entidad imputada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 Así, los datos personales de los clientes de MOVISTAR, usuarios de “Mi Movistar”, resultaron accesibles por parte de otro cliente tercero, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que MOVISTAR ha incurrido en la infracción grave descrita. MOVISTAR es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad. V En este caso, se concluye que MOVISTAR no había adoptado las medidas técnicas y organizativas apropiadas, habiéndose acreditado la existencia de una relación entre el acceso y la inexistencia o ineficacia de las medidas. En todo caso, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional en la misma Sentencia citada en el Fundamento de Derecho anterior, así como en su Sentencia de 11/12/2008 (recurso 36/08), en la que indica lo siguiente: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 Por otra parte, ha de señalarse que es la entidad MOVISTAR la responsable del fichero y, por tanto, la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. VI El artículo 44.3.
  17. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que MOVISTAR ha incurrido en la infracción grave descrita. VII El artículo 45.1, 2, 4 y 5 LOPD, establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 entidad imputada, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. Habida cuenta que MOVISTAR ha reconocido su culpabilidad conforme a lo dispuesto en el apartado
  33. d)del artículo 45.5, procede la aplicación de lo dispuesto en el citado precepto y por lo tanto imponer una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de infracción grave, para sancionarse con el importe de las multas correspondientes a las infracciones leves. Por otra parte, en cuanto a los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, se tiene en cuenta, por un lado, la negligencia apreciada en la conducta de MOVISTAR por el no establecimiento de las medidas técnicas y organizativas que hubiesen impedido el envío de los SMSs objeto de la denuncia (según se expuso anteriormente, consta acreditada la existencia de una relación entre el acceso a los datos de los clientes y la inexistencia de las medidas adecuadas para impedirlo), así como la vinculación de su actividad con la realización de tratamientos de datos de carácter personal y el volumen de negocio o actividad del infractor, que obligan a exigir un nivel de cautela y diligencia más alto; y, por otro lado, la ausencia de beneficios que deriven directamente de la comisión de la infracción, la ausencia acreditada de perjuicios causados a los afectados distintos de los que conlleva el fallo de seguridad, el volumen de tratamientos efectuados y la ausencia de intencionalidad, así como las medidas adoptadas para regularizar la situación irregular, procediendo la imposición de una multa por importe de 20.000 euros por la infracción del artículo 9 de la LOPD. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto. En cuanto a los precedentes invocados, que se resolvieron imponiendo una multa inferior a la propuesta, cabe señalar que ninguno de ellos es asimilable al presente caso, bien por tratarse de infracciones distintas (PS/00323/2013 y PS/00565/2011) o porque no concurren las mismas circunstancias que determinan la graduación de la multa, como la alta vinculación de MOVISTAR con la realización de tratamientos de datos personales y su volumen de negocio o actividad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA MÓVILES ESPAÑA, S.A.U., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  34. h)de la LOPD, una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA MÓVILES ESPAÑA, S.A.U. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.