PS-00687-2014

1/29 Procedimiento Nº PS/00687/2014 RESOLUCIÓN: R/00477/2015 En el procedimiento sancionador PS/00687/2014, instruido por la Agencia Española de Protección de Datos a la entidad ANDALEX SERVICIOS JURÍDICOS, S.L., vista la denuncia presentada por DÑA. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 31/01/2014, tuvo entrada en la Agencia Española de Protección de Datos un escrito de Dña. A.A.A. (en lo sucesivo la denunciante), refiriéndose a una denuncia previa de 01/10/2013 (E/06248/2014), en la que exponía la publicación en el sitio web www.andalex.es de varios documentos con sus datos personales y los de sus familiares, vinculados con una empresa familiar. Aquella denuncia fue archivada en fecha 22 de octubre, al no hallarse constancia por la Inspección de Datos de la publicación de tales datos. En el nuevo escrito la afectada manifiesta haber accedido a la documentación obtenida publicada en la citada página web, en la que figuraban sus datos, los de su esposo y los de su suegra. La afectada ha aportado a la Agencia copia impresa de un documento localizado a través del buscador Google, cuya dirección web aparece vinculada al dominio andalex.es y que contiene el texto de una demanda de ejecución dineraria presentada ante el Juzgado de 1ª instancia de Cazorla por la procuradora de Caixabank, S.A. (en lo sucesivo Caixabank) contra la empresa de la denunciante. En el documento figura el domicilio, número de DNI y el nombre y apellidos de la afectada y de otras dos personas, vinculadas todas ellas con la mercantil citada, y se incluyen detalles del contrato de préstamo suscrito con la entidad bancaria, así como la deuda asociada. El documento contiene el pie de firma de la procuradora y de un abogado, junto a su número de colegiado y su vinculación con la entidad ANDALEX SERVICIOS JURÍDICOS, S.L. (en lo sucesivo ANDALEX). En el documento aportado consta la URL “www.andalex.es...............”. El resultado de la búsqueda realizada a través de Google, con el nombre y apellidos del cónyuge de la denunciante como criterio, contiene un enlace al citado documento con el siguiente detalle: [DOC] Demanda XXXX.doc www.andalex.es............... DON B.B.B., con DNI numero… y con… de 2007, se formalizó entre mi mandante y la mercantil Agea Escobar S.L.,…”. SEGUNDO: A la vista de los hechos denunciados, en fase previa de investigación, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: 1. En fecha 28/02/2014, por la Inspección se realizó un requerimiento de información a la entidad ANDALEX al domicilio social que figura en el Registro Mercantil, no lográndose C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/29 practicar la notificación. 2. En fechas 18/03 y 06/05/2014, por la Inspección se solicitó información a la entidad Caixabank acerca del incidente de seguridad denunciado por su cliente. En fecha 21/05/2014, tuvo entrada en la Agencia una contestación al requerimiento de la Inspección, informando, en síntesis, lo siguiente:  Actualmente, esta Entidad tiene declarado el fichero “Clients”, con número de registro […], y finalidad “Datos de relación contractual del cliente con la Entidad, evolución histórica, informaciones externas de riesgo y morosidad, datos para análisis de riesgo, gestión financiera comercial y estadística”.  Los datos de carácter personal de la denunciante se almacenan en el fichero interesado por su condición de titular de productos y servicios de Caixabank, tal como la propia finalidad del fichero indica.  Caixabank tiene encomendada a ANDALEX SERVICIOS JURÍDICOS, S.L. (ANDALEX”) su representación procesal y asesoramiento técnico en relación a la llevanza letrada de determinados procedimientos judiciales ejecutivos, ordinarios e hipotecarios.  De acuerdo con la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil (“LEC”), la llevanza letrada de tales procedimientos es obligatoria (artículos 31 y 33 LEC).  La encomienda de Caixabank a ANDALEX, se realizó en el marco de un concurso convocado por la Entidad, abierto a despachos de abogados especializados, al que concurrió la firma interesada […]. 3. En relación con los datos de la denunciante, la entidad bancaria interpreta que “son objeto de tratamiento, exclusivamente, en su calidad de contraparte de Caixabank en un proceso judicial, constituyéndose ANDALEX en responsable del citado tratamiento, de acuerdo con la normativa de protección de datos […] con la única finalidad que este despacho profesional pueda prestar la debida asistencia jurídica a Caixabank”. 4. Respecto del incidente de seguridad, Caixabank ha declarado que el despacho de ejercicio colectivo de la abogacía puso en su conocimiento las siguientes circunstancias: “(

1. i)Que mantiene un dominio corporativo para la gestión del correo electrónico, donde se recibe información relacionada con los procedimientos judiciales en los que representa a Caixabank. (
2. ii)Que como sistema o protocolo de continuidad de la actividad profesional, ante eventuales ausencias o impedimentos de alguno de los letrados que integran el despacho colectivo que no pudiera atender su labor, y para poder garantizar el mantenimiento del servicio a Caixabank, tienen establecido un sistema unificado de copias de seguridad que se realizan en un espacio ftp habilitado en el mismo dominio. (iii) Que el sistema de acceso al sistema informático está protegido mediante medidas que condicionan la entrada a la identificación personal de usuario y contraseña, que se encuentran a disposición de cada uno de los despachos profesionales que integran la sociedad de prestación de servicios. (
3. iv)Que todos estos servicios los tiene contratados a un Datacenter denominado DataRush IT Services SL ya que no disponen de medios propios para ello. (
4. v)Que con fecha 5 de julio de 2013, uno de los letrados integrantes de la actividad al parecer habría experimentado problemas de acceso a dicho espacio para actualizar el contenido de algunas carpetas. Con tal motivo solicitó al proveedor informático que presta servicios en su despacho que le auxiliara para la solución del problema. (
5. vi)Que dicho proveedor informático se puso en contacto con el departamento técnico de DataRush para coordinar la solución del problema, lo que exigiría, de manera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/29 momentánea, una deshabilitación puntual de algunas medidas de acceso a esas carpetas. (vii) Que, tras la reparación de la incidencia informática el sistema de acceso habría quedado restablecido con todas las medidas de acceso originales. (viii) Que, para extremar la cautela ante cualquier eventual acceso no autorizado que hubiera podido producirse en el curso de la reparación de la incidencia informática, Andalex habría dado instrucciones al proveedor para cursar solicitudes a los buscadores con objeto de que eliminaran de cualquier anotación relativa al dominio andalex.es. Finalmente, que ANDALEX ofreció asimismo a Caixabank el ponerse a disponibilidad de cualquier persona que entendiera que podía haberse visto afectada por la incidencia para presentarle disculpas y exonerar a Caixabank de toda responsabilidad.” 5. En fecha 26/05/2014, por la Inspección se solicitó nuevamente a Caixabank que aportara copia del contrato suscrito con ANDALEX y de las comunicaciones intercambiadas al respecto entre ambas entidades. En fecha 18/08/2014, tuvo entrada un escrito de la entidad bancaria, al que se acompaña copia del documento denominado “Pliego de condiciones para la dirección letrada de los procedimientos ejecutivos de Caixabank, S.A.”, así como copia de un documento de aceptación suscrito por ANDALEX el 28/08/2012 al respecto del que se denomina Concurso de Letrados de Morosidad de CAIXABANK, S.A. 6. En el pliego aportado por Caixabank se establece como objeto del servicio: “llevanza letrada de procedimientos judiciales ejecutivos, ordinarios e hipotecarios”. Entre las tareas que asume la firma adjudicataria, detalladas en el apartado 3 (contenido del servicio) figura el acceso diario al aplicativo “Procedimientos Judiciales” PJU de la extranet de la entidad bancaria, como herramienta básica de trabajo, información, evaluación de la calidad del servicio y conocimiento de la actividad procesal y desarrollo de los expedientes, así como de la prestación del servicio por parte de dicha firma. El apartado 8, por su parte, prevé que la firma “dependerá funcionalmente” de la Asesoría Jurídica y Fiscal, concretamente del Departamento de Contencioso, con quien mantendrá contacto directo y a quien remitirá todas y cada una de las cuestiones y dudas de contenido jurídico que se planteen en el desarrollo de su trabajo. También se prevé que el abogado dispondrá de: acceso vía extranet de “la Caixa” a la aplicación PJU donde deberá informar la situación de los procedimientos que se le asignen; normativa interna dirigida a los letrados con las instrucciones a realizar en el transcurso de los procedimientos, y criterios específicos sobre resolución de consultas habituales. En el apartado 9 del pliego declara el carácter confidencial del servicio y de cualquier información, documentación o datos relativos al mismo, así como aquellos que la firma adquiera o reciba de la entidad con motivo de la prestación del servicio. También se prevé que la firma, “previamente a iniciar la prestación del servicio, deberá suscribir el acuerdo de confidencialidad que le suministre la entidad el cual no se apartará de los estándares del mercado en cuanto sus términos”. 7. Entre la documentación aportada por Caixabank a la Agencia figura una comunicación electrónica de su Asesoría Jurídica, fechada el 14/08/2013, en el hilo “MUY MUY URGENTE.- EN LA WEB DE ANDALEX SE VEN DEMANDAS DE CAIXABANK Y OTRA DOCUMENTACIÓN”, exponiendo que “al parecer, el causante de la incidencia es el proveedor de servicios informáticos del propio despacho, Data Rush IT Services, S.L., que dejó (no sabemos si a instancias del propio despacho) un espacio ftp abierto sin contraseña. Por lo que hemos podido saber hasta ahora, la información del despacho ha podido estar sin proteger desde el 5 hasta el 7 de julio, y aun no sabemos exactamente como ha acabado referenciada en Google, aunque suponemos que, al no estar protegida, los motores de búsqueda la han encontrado e indexado […] Como medidas correctoras, nos consta que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/29 propio despacho insto que los documentos no se encontraran en la red, y nos dicen que ha solicitado a Google que retire también la información que pueda quedar en cache”. 8. Entre la documentación aportada figura otra comunicación anterior, de 12/08/2013, dentro del mismo hilo, de un representante de ANDALEX con el siguiente texto: “Andalex no tiene una estructura informática centralizada ni publica página web, sino que mantiene un dominio corporativo para la gestión de correo. Igualmente, y para poder garantizar el mantenimiento del servicio a Caixa, aún en el caso de que por cualquier causa alguno de los letrados que integran el despacho se viera impedido de continuar con su labor, se estableció un sistema unificado de copias de seguridad que se realizan a un espacio ftp habilitado en el mismo dominio. Al mismo sólo se puede acceder mediante identificación de usuario y contraseña, que se encuentra a disposición de cada uno de los despachos profesionales que integran la sociedad de prestación de servicios los cuales pueden notificar directamente al proveedor, cualquier problema que puedan tener. Todos estos servicios los tiene contratados con un Datacenter denominado DataRush IT Services SL ya que no tiene medios propios para ello. Con fecha 5 de Julio de 2013, uno de los letrados integrantes de la actividad venía teniendo problemas de acceso al dicho espacio para actualizar el contenido de algunas carpetas. Así que pidió al informático que presta servicios en su despacho que le auxiliara para la solución del problema. Este se puso en contacto con el departamento técnico de DataRush y solicitó que deshabilitaran el acceso con contraseña para esas carpetas Así se realizó y durante varios días estuvo realizando tareas hasta solucionar el problema. Probablemente por olvido no se dieron instrucciones claras al proveedor de cerrar el acceso a dichas carpetas, y las mismas quedaron abiertas. El día 30 de Julio a las 23.00 aproximadamente de la noche se recibió llamada de un procurador amigo que había detectado el problema, y antes de las 24.00 horas del mismo día se cerró dicho acceso de tal manera que no era posible desde internet el acceso a dicho contenido sin contraseña. Tras recibir vuestro mail deI 7 de Agosto […] se dieron también instrucciones de que no aparecieran ninguna publicación en el dominio, ni siquiera los índices.” Esta respuesta se ofrece después de otros correos de 9 y 12/08/2013, en los que ANDALEX informa a Caixabank que está a la espera del informe de su proveedor para enviar el suyo. 9. También se incluye entre la documentación aportada por Caixabank a la Agencia una copia impresa del mensaje que, al parecer, inició el citado hilo, fechado el 7 de agosto y remitido por un representante de la entidad bancaria a varios destinatarios, entre ellos el representante de ANDALEX, advirtiendo de una queja de un cliente que había sido demandado y cuyos datos, junto a los de otros clientes demandados, figuraban accesibles a través de internet. En esta comunicación se hace referencia a la filtración de diversos documentos de varios clientes: telegramas de requerimiento de pago, escritura de hipoteca, acta notarial de certificación de la deuda, demanda hipotecaria. El remitente de la comunicación advierte que el asunto es altamente gravoso por atentar contra la LOPD y solicita la adopción de determinadas medidas, “en evitación de serios problemas de índole reputacional (si nos denuncian ante la Agencia Española de Protección de Datos)”. En dicho correo se indica lo siguiente: <<1.-… nos traslada en el correo que sigue al presente que el cliente… (nombre y primer apellido de un tercero, en lo sucesivo el tercero) se ha dirigido a su Oficina… pidiéndole explicaciones de por qué la demanda hipotecaria que habíamos interpuestos contra él… aparece visible para todo el mundo en la web de andalex.es, y no sólo la suya sino que también es visible la de otros clientes demandados: - los 2 correos adjuntos al presente… evidencian lo anterior, sobre todo el primero de ellos que incorpora 5 capturas de documentos: los telegramas de requerimiento de pago, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/29 escritura de hipoteca, el acta notarial de certificación de la deuda, así como un Word consistente en la demanda hipotecaria… interpuesta contra los Sres… (nombre y apellidos de otro cliente) y otros - como os digo, éstas capturas las ha facilitado… (el tercero) a la Oficina, ignoramos si… (otro cliente) u otras personas (clientes o
6. no)lo han advertido también o no, - esta tarde también he intentado contactar, sin éxito, con DATARUSH (el proveedor… que tenéis para la web), - no hace falta que os diga que ello es altamente gravoso por atentar contra la LOPD y, en caso de denuncia, la indemnización por daños y perjuicios es muy elevada. 2.- De hecho, acabo de acceder a google, pincho en Andalex.es y a las 19:03 h el pantallazo que veo es el siguiente…: (detalle de los enlaces obtenidos a través de Google como resultado de la búsqueda) Si bien es cierto que cuando pincho encima de alguno de los contenidos marcados en amarillo aparece "NO SE PUEDE ENCONTRAR LA PÁGINA WEB", NINGUNO DE ELLOS DEBERÍA NI TAN SIQUIERA SER VISIBLE Confío que lo que dice el cliente… (el tercero) no sea cierto y que él tampoco puede abrir tales documentos ("Nosotros no podemos abrir la página, pero el cliente dice que el sí y que están todos sus datos...". 3.- Por favor, en evitación de serios problemas de índole reputacional (si nos denuncian ante la Agencia Española de Protección de Datos) así como de elevadas sanciones económicas, con la máxima urgencia posible precisamos que: 3.1.- nos hagáis llegar un INFORME lo más exhaustivo posible sobre esta incidencia que asumo que ya habíais advertido y que remediasteis (parcialmente) de inmediato: porqué ocurrió, qué datos se colgaron, de que asuntos y letrados, durante cuantos días, etc. , 3.2.- verifiquéis que efectivamente es imposible acceder al contenido de lo marcado en amarillo de la web andalex.es (para tranquilidad nuestra y argumentación al cliente), 3.3.- así como, a la mayor urgencia, hagáis lo oportuno para que inmediatamente desaparezcan de vuestra web todas esas entradas, que no queden ni rastro de ellas a pesar de que, por lo menos yo, no pueda acceder a su contenido>>. 10. Desde el 10/10/2014 la mercantil ANDALEX figura inscrita en el Registro General de Protección de Datos como responsable del fichero denominado “EXPEDIENTES JURIDICOS”, con nivel de seguridad medio, cuya finalidad se describe así: “Gestión y control de los datos recogidos de los distintos expedientes y procesos judiciales cuya gestión y/o, en su caso, representación procesal, es encargada al responsable del fichero por un tercero”. 11. En respuesta al requerimiento de la Inspección de Datos, en fecha 18/11/2014 ANDALEX ha aportado a la Agencia una copia del pliego de condiciones para la dirección letrada de los procedimientos ejecutivos suscrito con Caixabank, que incluye una cláusula específica de confidencialidad. También ha aportado copia de un acuerdo específico de confidencialidad, fechado el 28/08/2012. En este documento se especifica que los datos de carácter personal facilitados por la entidad bancaria “serán integrados en ficheros de los que el DESPACHO es responsable para ser tratados con la única y exclusiva finalidad de dar cumplimiento a la representación procesal encomendada”. En el mismo documento ANDALEX declara haber inscrito en el Registro de la Agencia los ficheros de los que es titular. En su contestación a la Inspección, la compañía ha declarado que el fichero al que se han incorporado los datos facilitados por la entidad bancaria es el denominado “Clientes y/o Proveedores”, inscrito en el Registro General de Protección de Datos “antes del inicio de esta relación en 2012”. En el citado Registro existe constancia de 3 ficheros notificados por ANDALEX, todos con fecha de inscripción de 2014: el citado, inscrito el 9 de mayo y otros dos (“Expedientes jurídicos” y “Facturación, contabilidad y Hacienda Pública”), inscritos el 10 de octubre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/29 12. ANDALEX ha aportado a la Agencia una copia de la documentación que acredita la relación establecida con DATA RUSH IT SERVICES, S.L., la cual incluye una oferta económica, aceptada en fecha 18/12/2012, por el concepto: “HP3 – PACK Linux Ad-Hoc”, así como una factura de 29/10/2014, por el mismo concepto. En el extracto de condiciones generales que figura en el primer documento se hace constar: “En la contratación de servicios ofrecidos por DataRush, los datos serán tratados con la finalidad de mantener la relación contractual que en su caso se establezca, de conformidad con la naturaleza y características del servicio contratado y exclusivamente a tal fin, DataRush contactará con el cliente a través de email, sms u otros medios indicados por este último, así como para el mantenimiento de históricos de relaciones comerciales durante los plazos legalmente establecidos. En los casos en que DataRush deba acceder y/o tratar datos de carácter personal responsabilidad y titularidad de sus clientes, para la adecuada prestación de los servicios contratados tratará los datos correspondientes en calidad de encargado de tratamiento”. En el documento no se incluyen previsiones específicas sobre la adopción de medidas de seguridad en el supuesto indicado. 13. En relación con la quiebra de seguridad, ANDALEX alude a un supuesto “malware” o “virus” como causa probable y que la vía de entrada del virus o software malicioso fue el correo electrónico, aunque no aporta ningún tipo de documentación sobre el análisis pericial que, en su caso, hubiera permitido obtener esta conclusión. 14. Con fecha 07/02/2014, por la Inspección de Datos se realizaron búsquedas a través de Google vinculadas al dominio andalex.es, con el nombre y apellidos de la denunciante y su cónyuge como criterio, no obteniéndose resultados. TERCERO: Con fecha 19/12/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ANDALEX, por la presunta infracción de los artículos 9 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
7. h)y 44.3.d), respectivamente, de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ANDALEX presentó escrito de alegaciones en el que niega los hechos que se tienen por ciertos y añade que ha dado estricto cumplimiento a las obligaciones y directrices establecidas en la vigente normativa, incluidas las relativas a las medidas de seguridad. La vulneración que se le atribuye no se sustenta en una página web de acceso libre, puesto que se trata de un repositorio de documentos con servicio FTP (File Transfer Protocol), al que se accede a través del dominio www.anadlex.es empleando una identificación de usuario y contraseñas alfanuméricas de 12 caracteres, según se indica en el Informe de Peritaje Técnico que acompaña. Por tanto, el acceso a la dirección web no muestra contenido alguno, por lo que no se ha producido difusión pública o puesta a disposición de terceros de contenido alguno a través del citado dominio. ANDALEX presta servicio de representación procesal a Caixabank que conlleva el tratamiento, almacenamiento y uso de información, dentro de las finalidades del ejercicio de la abogacía, que requiere el empleo de un sistema de gestión informático, al cual se accedía a través de la URL www.andalex.es, que se configura como el inicio de la ruta de acceso al sistema de información mediante servicio FTP que dispone de medidas tendentes y suficientes en orden a impedir que terceros no autorizados pudieran acceder a estos datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/29 La indicación inicial facilitada por uno de los letrados, a petición de Caixabank, sobre las posibles causas de la indexación de determinados datos obrantes en el sistema de ANDALEX por parte del buscador Google, relacionada con la eliminación de la contraseña de acceso a petición de un usuario, es una afirmación errónea efectuada por desconocimiento y ausencia de conocimientos técnicos suficientes de dicho letrado. El sistema de información no quedó desprotegido, como se puede comprobar en los históricos de “login”, y en todo momento se exigía contraseña e identificación de usuario para acceder a los documentos. Es más, si tal hecho se hubiera producido, se hubiera comprometido no solo la seguridad del sistema de ANDALEX, sino la de la totalidad de los sistemas de información alojados en el Centro de Proceso de Datos (CPD) de la empresa suministradora del servicio de alojamiento (hosting), cosa que en modo alguno sucedió. Ese hecho viene igualmente refrendado en el Informe de Peritaje aportado, que pone de manifiesto que el sistema de información al que se accedía mediante FTP, y que disponía de las debidas credenciales, sufrió un “ataque” de los denominados por “fuerza bruta”, donde mediante un programa de ordenador, se alternan secuencias aleatorias a fin de identificar la contraseña de acceso a cualquier sistema, el cual se llevó a cabo desde una dirección IP geolocalizada en China, tal y como nos indica la entidad RIPE. Se trata de ataques aleatorios y automatizados realizados por programas de ordenador que rastrean sitios y direcciones web sin un patrón predefinido, en orden simplemente a desactivar las medidas de seguridad de servidores y sistemas de información. Durante ese nexo temporal que hubo entre el ataque y las medidas correctivas puestas en marcha automáticamente por ANDALEX, los servicios de indexación de Google procedieron a la incorporación del contenido obrante en las cabeceras de la estructura del FTP en un solo resultado de búsqueda. Aun habiéndose procedido a la indexación de determinado contenido, este solo se refería a la estructura y directorios del sistema de FTP, y en ningún momento se indexaban documentos u otro tipo de informaciones o datos personales; solo se limitaban estos resultados de búsqueda a identificar determinadas rutas de acceso a la información contenida en el FTP de ANDALEX, tal y como queda patente en las capturas de pantalla que obran en este Procedimiento. Desde el mismo instante en que ANDALEX tuvo conocimiento de esta quiebra de seguridad, procedió diligentemente a ejercitar todas y cada una de las medidas que se encontraban a su alcance en orden a limitar y subsanar la misma, procediendo a través de la empresa suministradora de los servicios de “hosting” y almacenamiento informático a renovar todas las contraseñas y credenciales de acceso en apenas 2 horas; requiriendo de forma inmediata al buscador Google para que eliminara el resultado que aparecía en el listado de su buscador. Una de las exigencias que se establecen por parte del RD 1720/2007 es el control, registro y adecuado tratamiento de los incidentes de seguridad; es decir, partiendo de la base de que pueden ocurrir imponderables que escapan del control y de la exigencia debida de la que responden los responsables y encargados del tratamiento de los datos personales, estos deben ser adecuadamente identificados y subsanados, redundando estas medidas en un proceso de mejora continua y optimización de los sistemas y medidas de seguridad aplicables en los sistemas de tratamiento de los datos de carácter personal. Este hecho viene refrendado, aunque sea de forma analógica, en las obligaciones impuestas por la LOPD, RLOPD y Ley General de Telecomunicaciones, a los prestadores de servicios de comunicaciones electrónicas, en orden a que identifiquen las quiebras e incidencias de seguridad que pudieran tener sus sistemas de información, en orden a limitar las repercusiones y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/29 consecuencias derribadas de las mismas, sin que ello implique necesariamente, la inobservancia, incumplimiento o vulneración de la normativa sobre Protección de Datos. Invoca la STC 246/1991, que exige literalmente para el ámbito del Derecho administrativo sancionador la existencia de una responsabilidad con culpa expresa, siendo inadmisible lo contrario, que matiza y limita la posibilidad establecida por el art. 130.1 de la Ley 30/1992, que permite la responsabilidad por la simple inobservancia, cosa que en modo alguno se podría asimilar a la conducta desarrollada por parte de ANDALEX, puesto que ha dado correcta observancia a las medidas y cuidados exigidos, sin que pueda serle exigido obviamente, el control de lo imprevisible, tal y como es un ataque cometido por un tercero. De la misma forma la STS 16 de abril de 1991 y STS de 22 de abril de 1991, nos vienen a indicar que “,..Ia acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable...” Insiste en resaltar que no se produjo una indexación por parte del buscador Google de datos personales del denunciado, sino que se procedió a mostrar la ruta donde se contenía el acceso a determinada documentación que contenía su nombre. De la misma forma, tal y como queda recogido en la documentación obrante, solo se mostraba un único resultado que pudiera interpretarse como coincidente con los datos del denunciante, de entre todos los resultados ofrecidos por el buscador. Finalmente, señala que, en todo caso, la información que hubiera podido ser accedida se contenía en documentos judiciales llamados a ser de disposición pública, tal y como recoge Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial. Subsidiariamente, solicita la aplicación del artículo 45.5 de la LOPD considerando que cumplían las obligaciones que se derivan del tratamiento de datos personales, que los hechos acontecidos exceden totalmente de las funciones de control y responsabilidad “in vigilando” que puede ser exigible en el tratamiento de datos personales y los esfuerzos y actividades realizadas en orden a subsanar el incidente de seguridad provocado, así como para limitar en lo máximo posible la repercusión que pudieran tener las consecuencias del indicado incidente. En el informe de peritaje técnico aportado se indica lo siguiente: “Con fecha 18 de Diciembre de 2012, Andalex solicita servicios de hosting a la empresa DataRush IT Services S.L. El objeto de este contrato de servicios tiene el fin de prestar servicios de email corporativo, registro del dominio andalex.es y servicio de FTP (File Transfer Protocolo) para el intercambio de ficheros entre los letrados de Andalex… • El dominio en producción, carece de página web, por lo que la url http://www.andalex.es no presta servicio alguno ni muestra contenido html. • Se configura el servicio de FTP con contraseñas seguras de 12 caracteres y signos alfanuméricos. • El servicio de hosting está protegido por un servicio de cortafuegos que impide el acceso aleatorio y controla el acceso por un puerto de datos específico… A petición de un usuario autorizado de Andalex la empresa suministradora del servicio modifica la contraseña del servicio FTP para el acceso al intercambio de ficheros. No es correcto que, como se ha afirmado a la Agencia de Protección de Datos, se eliminara la segundad del acceso FTP como parece deducirse del documento aportado por CAIXABANK. De hecho, ello no es posible dado que esa situación podría comprometer el servicio de otros clientes alojados en el mismo DataCenter ya que los servicios de packs de alojamiento web o hosting se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/29 prestan desde servidores comunes, según indica la empresa prestadora del servicio. Por este motivo, no podrían nunca atender una solicitud de este tipo. Por lo tanto, NO se deshabilitó el acceso por contraseña. Probablemente, dicha afirmación se basa en el desconocimiento técnico de ANDALEX o CAIXABANK… La contraseña modificada es proporcionada por el usuario autorizado de ANDALEX al personal técnico de la empresa suministradora del servicio y ésta con la autorización del cliente, procede a su cambio o modificación… Se solicita a la empresa suministradora del servicio, la contraseña proporcionada en su día por dicho usuario y se procede a la comprobación de las medidas de seguridad La longitud de la nueva contraseña es de 8 caracteres y solo contiene caracteres alfabéticos. Probablemente por sencillez para el usuario final. Se procede a la comprobación de la contraseña modificada: El resultado tras dicha comprobación con las herramientas disponibles en internet, se determina que la nueva contraseña por sus características y extensión, no era la adecuada, ya que se cataloga como contraseña con un nivel de seguridad etiquetado como “regular” (también conocido como débil) Reparación propuesta. Modificación de la contraseña por una contraseña fuerte como la inicialmente provisionada: 12 caracteres alfanuméricos. No es necesaria realizar la referida modificación, ya que, hoy en día, todas las contraseñas han sido sustituidas por nuevas contraseñas con adecuado nivel de seguridad. Servicio FTP comprometido. La contraseña débil de uno de los usuarios con privilegios de totales (escritura, lectura y modificación) permitió que cualquier jacker con un ataque denominado “por fuerza bruta mediante librería” es decir genere con un software malicioso, multitud de contraseñas, en poco tiempo vulnere la seguridad del acceso ftp del dominio andalex.es Tras solicitar los log de acceso a dicho hosting a la empresa suministradora y ser analizados, se determina que, con posterioridad a la solicitud de cambio de contraseña se accedió al site desde ip cuyo origen son proveedores chinos. Se llega a esta conclusión tras consultar a la entidad RIPE, llegando a determinar que el sistema autónomo responsable de publicar dicho direccionamiento ip, siendo el origen del ataque de procedencia CHINA. Se comprueba que, tras comprometer el site, procedieron a desactivar la seguridad del hosting y modificaron los encabezados de configuración de apache (servidor web) haciendo que se publicara la estructura de carpetas del sitio FTP… En este punto debe explicarse que la indexación de contenidos supone catalogar la información. En este caso en particular, dicha indexación afecta a mostrar la estructura de carpetas y los nombres de las mismas, pero nunca a mostrar el contenido de los ficheros de datos tipo Excel, Word, access, etc, etc, ya que este contenido posee un formato distinto al html, por lo que para acceder a dicho contenido hay que realizar una descarga del fichero en cuestión y abrirlo en el pc del interesado con el aplicativo adecuado para dicho formato de fichero obtenido. En lo que afecta a Andalex, se puede comprobar como algunos de los ficheros llevan el nombre de persona física, por lo que si existe la posibilidad que google o bing indexara este nombre y lo asociara a site www.andalex.es pero se insiste que no se publicaba por la indexación ningún otro dato. Por lo anteriormente expuesto, se concluye que lo que los datos sensibles, no han sido nunca publicados a internet, sino que lo que fue publicado en este caso en concreto es la estructura de carpetas y directorios del site FTP que al ser hackeado se convierte en la estructura de carpetas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/29 del “publichtml” accesible por el puerto 80 en TCP/IP… Reparación propuesta • Solicitud a google de la NO indexación del directorio FTP y “public HTML”. No es precisa ya que se ha verificado dicha medida. • Aumentar la seguridad en el acceso FTP mediante certificado o contraseñas fuertes. No es precisa ya que se ha verificado dicha medida. • Inspección del hosting del cliente Andalex. No es precisa ya que se ha verificado dicha medida. • Reposición de ficheros de apache modificados • Restauración de la seguridad con contraseñas fuertes y seguras. No es precisa ya que se ha verificado dicha medida. • Acceso al site FTP desde ubicaciones especificas por ip origen. He de hacer constar que tras la subsanación, a través de www.andalex.es se accede al puerto 80 de publicación web y nunca se puede acceder a directorios de archivos publicados por FTP (puerto 21) aunque se haya vulnerado la seguridad de este servicio”. En el apartado “Conclusiones”, este informe pericial añade: “Debo añadir que no existe el 100% de seguridad en Internet y que dependiendo de la habilidad del atacante, se puede vulnerar la seguridad de cualquier site, modificar y/o corromper los datos del mismo entre otros, así como otros efectos como suplantación de identidad. Si a este hecho la añadimos que en un momento en concreto se relaja la seguridad de la contraseña del acceso ftp, esto permite que el jacker o software malicioso se instale en un directorio con permisos para ejecutar ficheros o script con malas intenciones causando perjuicios para el propietario de dicho site y como en este caso a terceros, con la publicación de la jerarquía de directorios y ficheros del site FTP convirtiendo esta información en html accesible por puerto 80. Entiendo según mi criterio, que ANDALEX ha sido una víctima más de la inseguridad que hay en internet aumentando la probabilidad de serlo al relajar uno de los usuarios la contraseña de acceso al servicio FTP y que ha sido de manera no intencionada y por desconocimiento de este, de los efectos secundarios de dicha modificación”. QUINTO: Con fecha 14/04/2015, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos que integran el expediente de investigación previa E/01221/2014, incluido el Informe de Actuaciones Previas de Inspección emitido, y por presentadas las alegaciones al acuerdo de inicio formuladas por ANDALEX y la documentación que a ellas acompaña. Por otra parte, el instructor del procedimiento acordó incorporar al procedimiento copia de la denuncia interpuesta por un cliente de Caixabank (el tercero) contra ANDALEX con registro de entrada número *****/2013, de fecha 11/08/2013. Según consta en esta denuncia, Mediante correos electrónicos de fecha 5 y 07/08/2013, el tercero informó a Caixabank sobre una incidencia de seguridad que posibilitaba acceder a información que le concernía y adjuntó cinco capturas de pantalla con los documentos accedidos. Asimismo, con su denuncia ante la AEPD acompañó copia de los documentos accedidos (demanda de ejecución hipotecaria, notificación de saldo deudor y un documento notarial, en los que constan los datos personales de este denunciante); y los resultados de la búsqueda realizada con el buscador Google con su nombre y apellidos como criterio, relacionados con dos enlaces al dominio andalex.es que conducen al documento de la demanda y a un archivo en pdf con el rótulo “copia certificada de uniburofax”. Asimismo, se acordó requerir a ANDALEX para que aportase la documentación que sirvió C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/29 de soporte al Informe de Peritaje Técnico aportado con su escrito de alegaciones, incluidos los log de acceso al servicio de hosting de andalex.es y las direcciones IP que pudieron acceder al sistema de información, para la que se le concedió un plazo de diez días hábiles, que ha transcurrido sin que en esta Agencia se haya recibido escrito alguno. En cuanto a la prueba instada por ANDALEX, para que se requiriese información en relación con los hechos denunciados a las Fuerzas y Cuerpos de Seguridad del Estado, se advirtió a dicha entidad que en esta materia corresponde a la Agencia Española de Protección de Datos la potestad de inspección, desarrollada por los funcionarios que ejercen esta función, los cuales tienen la consideración de autoridad pública conforme a lo dispuesto en el artículo 40 de la LOPD. SEXTO: Con fecha 12/05/2015, se emitió propuesta de resolución en el sentido de que por el Director de la AEPD se sancione a la entidad ANDALEX con multa de 20.000 euros (veinte mil euros), por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
8. h)de la citada Ley Orgánica, y de conformidad con lo establecido en los apartados 1, 2, 4 y 5 del artículo 45 de la misma. SEPTIMO: Con fecha 13/05/2015, tuvo entrada en la AEPD un escrito de la entidad ANDALEX, que fue presentado en una oficina de registro en fecha 27/04/2015, que da respuesta al requerimiento que le fue formulado por el instructor del procedimiento para que aportase la documentación que sirvió de soporte al informe técnico aportado por la misma, incluidos los log de acceso al servicio de hosting de andalex.es y las direcciones IP que pudieron acceder al sistema de información. La documentación aportada consiste en un listado de los logs de acceso al site andalex.es, con detalle de la IP origen del acceso, la fecha en que tuvo lugar y la ruta visitada, así como un anexo resumen con las IPs que accedieron durante el período comprendido entre el 7 de julio y el 13 de agosto de 2013, con indicación del número de visitas por IP. Examinada dicha documentación se comprueba que los primeros accesos del 07/07/2013 fueron realizados por la entidad desde una IP cuya titularidad corresponde a Google, con las siguientes rutas visitadas: . “GET.................”. . “GET/.................1.” OCTAVO: Notificada la propuesta reseñada en el Antecedente Sexto, la entidad ANDALEX presentó escrito de alegaciones en el que solicita nuevamente el archivo de las actuaciones y, subsidiariamente, la aplicación de lo dispuesto en el artículo 45.5 de la LOPD con la imposición de una multa por importe inferior al propuesto, considerando la limitada repercusión del incidente, que los resultados ofrecidos por Google sólo fueron visualizados por el denunciante y el bajo nivel de facturación de ANDALEX, así como la falta de intencionalidad y la diligencia mostrada en subsanar el incidente. Después de advertir que atendió puntualmente el requerimiento realizado por el instructor y que la propuesta, al no considerar su respuesta, no ha tenido en cuenta todas las circunstancias relativas al supuesto que demuestran que se trata de un caso totalmente fortuito y ajeno a la voluntad de la entidad, señala que la autenticidad de la única prueba existente (impresiones de pantalla aportada por el denunciante) no pudo comprobarse por la Agencia y tampoco por la Guardia Civil ni por instancias judiciales, que procedieron al archivo de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/29 denuncia presentada por la misma denunciante, igual que la propia Agencia en dos ocasiones. Además, dicha documentación tampoco se corrobora por las manifestaciones de ANDALEX o Caixabank (consta como un empleado de esta entidad manifiesta “Si bien es cierto que cuando pincho encima de alguno de los contenidos marcados en amarillo, no se puede acceder…”. Esta falta de prueba supone, a juicio de ANDALEX, una vulneración de la presunción de inocencia. La propia Agencia procedió el 22/10/2013 a dictar resolución de archivo de la denuncia de referencia, al no estimar prueba suficiente para la incoación de un procedimiento sancionador, y posteriormente un nuevo escrito de denuncia, que no a través de la vía del recurso, determinó las presentes actuaciones, lo que puede entenderse como un cambio de criterio aleatorio que vulnera la debida seguridad jurídica y las normas procedimentales. Por otra parte, alega ANDALEX que los documentos supuestamente publicados se refieren a la mercantil Agea Escolar, S.L. y los datos personales en cuestión se tratan dentro de un ámbito exclusivamente empresarial, como representantes de la mercantil citada, excluidos del ámbito de aplicación de la LOPD. En cuanto a las medidas de seguridad aplicadas por ANDALEX en su sistema de información, reitera que Google no accedió al contenido de los documentos, sino a las rutas de ubicación de los mismos, con la responsabilidad de los “robots” de indexación; que el funcionamiento de un sistema FTP está limitado a las personas debidamente acreditadas; que las primeras explicaciones fueron aportadas por una persona sin conocimientos técnicos; y que no es posible deshabilitar temporalmente las contraseñas de acceso al FTP. Además, los logs de registro del sistema aportados acreditan que el sistema no estaba sin protección. Rechaza lo expuesto en la propuesta de resolución sobre la debilidad de la contraseña y señala que no responde a criterios objetivos, añadiendo que la necesidad de identificación y autenticación establecida reglamentariamente estaba cumplida a parte de la contraseña que se pudiera establecer, no pudiendo esgrimirse déficit o dejadez. No puede interpretarse como responsabilidad de ANDALEX la posibilidad de ser objeto de un ataque informático y el informe pericial aportado puso de manifiesto las causas por las que Google pudo indexar las cabeceras de la estructura del FTP (ataque aleatorio de los denominados de fuerza bruta desde una IP geolocalizada en China). La Agencia no concreta las medidas que se han incumplido y no ha de entenderse que la mera existencia de un incidente de seguridad suponga una deficiente implantación de las medidas, debiendo aplicarse la debida proporcionalidad en la interpretación de las normas. El propio reglamento de desarrollo de la LOPD establece la implantación de un registro de incidencias, en base a la posibilidad de que ocurran estos accidentes. Finalmente, reitera la propuesta de prueba formulada en sus alegaciones a la apertura del procedimiento. HECHOS PROBADOS 1. La entidad ANDALEX es titular del dominio “andalex.es”, al que los usuarios acceden mediante su identificación y contraseña. Este dominio dispone de un sistema unificado de copias de seguridad en un espacio ftp habilitado en el mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/29 2. ANDALEX tiene contratados los servicios de hosting, intercambio de ficheros y correo electrónico corporativo con la entidad DataRush IT Services, S.L., que interviene como encargado del tratamiento. En la documentación correspondiente a esta contratación no se incluyen previsiones específicas sobre la adopción de medidas de seguridad. 3. ANDALEX presta servicios a Caixabank para la dirección letrada de los procedimientos ejecutivos, ordinarios e hipotecarios de la entidad. En el apartado 9 del pliego de condiciones que rige la contratación se establece el carácter confidencial del servicio y de cualquier información, documentación o datos relativos al mismo, así como aquellos que la firma adquiera o reciba de la entidad con motivo de la prestación del servicio. Este compromiso consta formalizado, asimismo, en el acuerdo de confidencialidad suscrito en fecha 28/08/2012, en el que además se especifica que los datos de carácter personal facilitados por la entidad bancaria “serán integrados en ficheros de los que el DESPACHO es responsable para ser tratados con la única y exclusiva finalidad de dar cumplimiento a la representación procesal encomendada”. 4. Según la información facilitada por Caixabank, con fecha 05/07/2013, uno de los letrados de ANDALEX solicitó al proveedor informático que solucionara unos problemas advertidos en el acceso al dominio andalex.es y en la actualización del contenido de algunas carpetas, lo que exigió una deshabilitación puntual de algunas medidas de acceso a esas carpetas. 5. Con fecha 07/08/2013, un representante de Caixabank remitió un correo electrónico a varios destinatarios, entre ellos al representante de ANDALEX, con el asunto “MUY MUY URGENTE.EN LA WEB DE ANDALEX SE VEN DEMANDAS DE CAIXABANK Y OTRA DOCUMENTACIÓN”, advirtiendo sobre una queja de un cliente (el tercero) que había sido demandado y cuyos datos, junto a los de otros clientes demandados, figuraban accesibles a través de internet. En esta comunicación se hace referencia a la filtración de diversos documentos de varios clientes: telegramas de requerimiento de pago, escritura de hipoteca, acta notarial de certificación de la deuda, demanda hipotecaria. En dicho correo se indica lo siguiente: <<1.-… nos traslada en el correo que sigue al presente que el cliente… (nombre y primer apellido del tercero) se ha dirigido a su Oficina… pidiéndole explicaciones de por qué la demanda hipotecaria que habíamos interpuestos contra él… aparece visible para todo el mundo en la web de andalex.es, y no sólo la suya sino que también es visible la de otros clientes demandados: - los 2 correos adjuntos al presente… evidencian lo anterior, sobre todo el primero de ellos que incorpora 5 capturas de documentos: los telegramas de requerimiento de pago, la escritura de hipoteca, el acta notarial de certificación de la deuda, así como un Word consistente en la demanda hipotecaria… interpuesta contra los Sres… (nombre y apellidos de otro cliente) y otros - como os digo, éstas capturas las ha facilitado… (el tercero) a la Oficina, ignoramos si… (otro cliente) u otras personas (clientes o
9. no)lo han advertido también o no, - esta tarde también he intentado contactar, sin éxito, con DATARUSH (el proveedor… que tenéis para la web), - no hace falta que os diga que ello es altamente gravoso por atentar contra la LOPD y, en caso de denuncia, la indemnización por daños y perjuicios es muy elevada. 2.- De hecho, acabo de acceder a google, pincho en Andalex.es y a las 19:03 h el pantallazo que veo es el siguiente…: (detalle de los enlaces obtenidos a través de Google como resultado de la búsqueda) Si bien es cierto que cuando pincho encima de alguno de los contenidos marcados en amarillo aparece "NO SE PUEDE ENCONTRAR LA PÁGINA WEB", NINGUNO DE ELLOS DEBERÍA NI TAN SIQUIERA SER VISIBLE Confío que lo que dice el cliente… (el tercero) no sea cierto y que él tampoco puede abrir tales documentos ("Nosotros no podemos abrir la página, pero el cliente dice que el sí y que están C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/29 todos sus datos...". 3.- Por favor, en evitación de serios problemas de índole reputacional (si nos denuncian ante la Agencia Española de Protección de Datos) así como de elevadas sanciones económicas, con la máxima urgencia posible precisamos que: 3.1.- nos hagáis llegar un INFORME lo más exhaustivo posible sobre esta incidencia que asumo que ya habíais advertido y que remediasteis (parcialmente) de inmediato: porqué ocurrió, qué datos se colgaron, de que asuntos y letrados, durante cuantos días, etc. , 3.2.- verifiquéis que efectivamente es imposible acceder al contenido de lo marcado en amarillo de la web andalex.es (para tranquilidad nuestra y argumentación al cliente), 3.3.- así como, a la mayor urgencia, hagáis lo oportuno para que inmediatamente desaparezcan de vuestra web todas esas entradas, que no queden ni rastro de ellas a pesar de que, por lo menos yo, no pueda acceder a su contenido>>. 6. Con fechas 9 y 12/08/2013, la entidad ANDALEX remitió sendos correos electrónicos en los que informa a Caixabank que está a la espera del informe de su proveedor para enviar su propio informe sobre la incidencia. 7. Con fecha 12/08/2013, en relación con la comunicación reseñada en el Hecho Probado Quinto, dentro del mismo hilo, un representante de ANDALEX remitió un correo electrónico con el siguiente texto: “Andalex no tiene una estructura informática centralizada ni publica página web, sino que mantiene un dominio corporativo para la gestión de correo. Igualmente, y para poder garantizar el mantenimiento del servicio a Caixa, aún en el caso de que por cualquier causa alguno de los letrados que integran el despacho se viera impedido de continuar con su labor, se estableció un sistema unificado de copias de seguridad que se realizan a un espacio ftp habilitado en el mismo dominio. Al mismo sólo se puede acceder mediante identificación de usuario y contraseña, que se encuentra a disposición de cada uno de los despachos profesionales que integran la sociedad de prestación de servicios los cuales pueden notificar directamente al proveedor, cualquier problema que puedan tener. Todos estos servicios los tiene contratados con un Datacenter denominado DataRush IT Services SL ya que no tiene medios propios para ello. Con fecha 5 de Julio de 2013, uno de los letrados integrantes de la actividad venía teniendo problemas de acceso al dicho espacio para actualizar el contenido de algunas carpetas. Así que pidió al informático que presta servicios en su despacho que le auxiliara para la solución del problema. Este se puso en contacto con el departamento técnico de DataRush y solicitó que deshabilitaran el acceso con contraseña para esas carpetas. Así se realizó y durante varios días estuvo realizando tareas hasta solucionar el problema. Probablemente por olvido no se dieron instrucciones claras al proveedor de cerrar el acceso a dichas carpetas, y las mismas quedaron abiertas. El día 30 de Julio a las 23.00 aproximadamente de la noche se recibió llamada de un procurador amigo que había detectado el problema, y antes de las 24.00 horas del mismo día se cerró dicho acceso de tal manera que no era posible desde internet el acceso a dicho contenido sin contraseña. Tras recibir vuestro mail deI 7 de Agosto […] se dieron también instrucciones de que no aparecieran ninguna publicación en el dominio, ni siquiera los índices.” 8. Con fecha 14/08/2013, la Asesoría Jurídica de Caixabank remitió una comunicación electrónica, en el mismo hilo, exponiendo que “al parecer, el causante de la incidencia es el proveedor de servicios informáticos del propio despacho, Data Rush IT Services, S.L., que dejó (no sabemos si a instancias del propio despacho) un espacio ftp abierto sin contraseña. Por lo que hemos podido saber hasta ahora, la información del despacho ha podido estar sin proteger desde el 5 hasta el 7 de julio, y aun no sabemos exactamente como ha acabado referenciada en Google, aunque suponemos que, al no estar protegida, los motores de búsqueda la han encontrado e indexado […] Como medidas correctoras, nos consta que el propio despacho insto que los documentos no se encontraran en la red, y nos dicen que ha solicitado a Google que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/29 retire también la información que pueda quedar en cache”. 9. Con fecha 31/01/2014, la denunciante formuló denuncia ante la AEPD por la publicación en el sitio web www.andalex.es de varios documentos con sus datos personales y los de sus familiares, vinculados con una empresa familiar. En este escrito de denuncia, la afectada manifiesta haber accedido a la documentación obtenida publicada en la citada página web, en la que figuraban sus datos, los de su esposo y los de su suegra; y aportó copia impresa de un documento localizado a través del buscador Google, cuya dirección web aparece vinculada al dominio andalex.es (en la URL www.andalex.es...............) y que contiene el texto de una demanda de ejecución dineraria presentada ante el Juzgado de 1ª instancia de Cazorla por la procuradora de Caixabank contra la empresa de la denunciante. En el documento figura el domicilio, número de DNI y el nombre y apellidos de la afectada y de otras dos personas, vinculadas todas ellas con la mercantil citada, y se incluyen detalles del contrato de préstamo suscrito con la entidad bancaria, así como de la deuda asociada. El documento contiene el pie de firma de la procuradora y de un abogado, junto a su número de colegiado y su vinculación con la entidad ANDALEX. La denunciante aportó el resultado de la búsqueda realizada a través de Google, con el nombre y apellidos del cónyuge de la denunciante como criterio, contiene un enlace al citado documento con el siguiente detalle: [DOC] Demanda XXXX.doc www.andalex.es............... DON B.B.B., con DNI numero… y con… de 2007, se formalizó entre mi mandante y la mercantil Agea Escobar S.L.,…”. 10. Con fecha 07/02/2014, por la Inspección de Datos se realizaron búsquedas a través de Google vinculadas al dominio andalex.es, con el nombre y apellidos de la denunciante y su cónyuge como criterio, no obteniéndose resultados. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
10. g)en relación con el artículo 36 de la LOPD. II Con fecha 01/10/2013, la denunciante presentó una denuncia ante la Agencia Española de Protección de Datos, que fue señalada con el número de expediente E/06248/2014, en la que exponía la publicación en el sitio web www.andalex.es de varios documentos con sus datos personales y los de sus familiares, vinculados con una empresa familiar, aunque no aportaba documentación alguna que sirviera de prueba de tales manifestaciones. Con motivo de esa denuncia, el día 14/10/2013, por la Subdirección General de Inspección de Datos se realizó una búsqueda a través de Google, con los apellidos de la denunciante como criterio y vinculada a la web reseñada, que no ofreció resultado alguno. En consecuencia, la denuncia de 01/10/2013 fue archivada por resolución de la AEPD de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/29 en fecha 22 de octubre, “al no haberse hallado elementos probatorios que permitan establecer de forma fehaciente que se hayan producido los hechos denunciados”. Posteriormente, en fecha 31/01/2014, se recibió una nueva denuncia por los mismos hechos, es decir, por la publicación en la citada página web de los datos personales de la denunciante, los de su esposo y los de su suegra. Esta nueva denuncia, a diferencia de la anterior, se presentó acompañada del resultado de la búsqueda realizada a través de Google y un documento localizado a través del dicho buscador de Internet, cuya dirección web aparece vinculada al dominio andalex.es. Se acordó, por tanto, la realización de actuaciones previas de investigación, que se siguieron con el número E/01221/2014, y cuyo resultado ha dado lugar a la apertura del presente procedimiento sancionador. Ninguna irregularidad formal se aprecia en las actuaciones anteriores. III El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
11. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
12. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero accedido, atendiendo a su contenido (datos personales relativos a domicilio, número de DNI y el nombre y apellidos de la afectada y de otras dos personas, así como detalles del contrato de préstamo suscrito con Caixabank, la deuda asociada y bienes cuya titularidad les corresponde), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/29 IV De los artículo 1 y 2.1 de la LOPD citados se deduce claramente que el ámbito subjetivo de aplicación de la LOPD no ampara a las personas jurídicas, que no gozarán de ninguna de las garantías establecidas en la Ley, y que tan sólo resulta aplicable al tratamiento de datos de carácter personal relacionados con personas físicas. El fundamento de la delimitación de este ámbito de aplicación reside en que si la protección de los datos personales se refiere a la intimidad personal y familiar, no puede entenderse que las empresas gocen de la citada intimidad y, por tanto, no puede ser aplicable a éstas, aun cuando la actividad de la empresa en el tráfico jurídico se deba realizar necesariamente a través de un apoderamiento a favor de una persona física. De este modo, quedarán excluidos de las garantías de la LOPD los datos que se refieran a personas jurídicas, en todos los casos, así como los relativos a los profesionales (en aquellos casos en los que organicen su actividad bajo la forma de empresa, ostentando, en consecuencia, la condición de comerciante a la que se refieren los artículos primero y siguientes del Código de Comercio) y a los empresarios individuales siempre que su actividad comercial o profesional pueda diferenciarse en cada caso, de manera clara y determinante, de su propio entorno de privacidad como persona física. En definitiva, tanto las personas jurídicas, en todo caso, como los profesionales y los comerciantes individuales, cuando realizan una actividad que pueda distinguirse sin duda de su actividad privada, quedarán fuera del ámbito de aplicación subjetivo de la LOPD. Estos dos últimos sólo en los estrictos términos anteriormente señalados, esto es, cuando sus datos hayan sido tratados tan sólo en su consideración de empresarios o profesionales individuales. En sentido contrario, tanto los profesionales como los comerciantes individuales quedarán bajo el ámbito de aplicación de la LOPD y, por tanto, amparados por ella, cuando los primeros no tuvieran organizada su actividad profesional bajo la forma de empresa, no ostentando, en consecuencia, la condición de comerciante (es el caso de los profesionales liberales), y los segundos cuando no fuera posible diferenciar en cada caso, clara y terminantemente, su actividad mercantil del propio entorno de su privacidad como persona física. En estos dos casos deberán aplicarse siempre las garantías y principios reconocidos en la LOPD dada la naturaleza fundamental del derecho a proteger. A este respecto, el artículo 2.3 del Real decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece lo siguiente: “3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal”. En base a lo expuesto, será necesario analizar cada caso individualizadamente, para determinar si la actuación de que se trate afecta al derecho fundamental a la protección de datos de los interesados personas físicas, o, por el contrario, incide tan sólo en la esfera de la actividad comercial o profesional. En el presente caso, la información relativa a los afectados (la denunciante, su esposo y su suegra) aparecen en una demanda de ejecución dineraria motivada por un contrato de préstamo formalizado por la entidad Agea Escobar, S.L. con Caixabank. Dicha demanda se dirige contra la citada mercantil y contra los tres afectados indicados. Sin embargo, en ninguna C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/29 parte del documento se refiere que los afectados, todos ellos, intervengan en calidad de empresarios, ni siquiera en calidad de representantes de la sociedad, de modo que no puede decirse que la información relativa a los mismos incide tan solo en la esfera de la actividad empresarial de forma clara y diferenciada de su entorno privado. Tampoco existe ninguna indicación sobre los bienes que se relacionan en el documento de demanda y su naturaleza de bienes afectos a actividades económicas o pertenecientes al patrimonio personal de los afectados. En consecuencia, el tratamiento de los datos de que traen causa las presentes actuaciones de inspección se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD. V El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
13. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
14. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. VI Se imputa a la entidad ANDALEX el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/29 aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
15. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
16. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
17. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
18. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
19. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/29 Sintetizando las previsiones legales puede afirmarse que:
20. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
21. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
22. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
23. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal tratados por la entidad ANDALEX para la ejecución de los servicios de asistencia letrada que presta a Caixabank, correspondiendo adoptar las calificadas de nivel medio, teniendo en cuenta el tipo de datos que incluye, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Los artículos 91 y 93 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/29 personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
24. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad ANDALEX está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas previstas para sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, la citada entidad incumplió esta obligación, al haber quedado acreditada la posibilidad de acceder a través del dominio andalex.es, sin restricción alguna, a los datos personales relativos a clientes de Caixabank contra los que esta entidad inició acciones judiciales cuya formalización se encomendó a ANDALEX, que fueron indexados por el buscador de Internet Google en el dominio andalex.es. En concreto, consta que, a través de este buscador y con el nombre y apellidos de los afectados como criterio de búsqueda, se pudo acceder a los datos personales de la denunciante y otros dos familiares suyos contenidos en un documento localizado a través del buscador Google, cuya dirección web aparece vinculada al dominio andalex.es (en la URL www.andalex.es...............), el cual contiene el texto de una demanda de ejecución dineraria presentada por la procuradora de CAIXABANK contra la empresa de la denunciante. En el documento figura el domicilio, número de DNI y el nombre y apellidos de la afectada y de otras dos personas, vinculadas todas ellas con la mercantil citada, y se incluyen detalles del contrato de préstamo suscrito con la entidad bancaria, así como de la deuda asociada. El documento contiene el pie de firma de la procuradora y de un abogado, junto a su número de colegiado y su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/29 vinculación con la entidad ANDALEX. La entidad ANDALEX ha manifestado que la documentación y su contenido no eran accesibles, produciéndose la indexación por Google únicamente sobre las cabeceras de la estructura ftp y directorios del sistema, mostrando la ruta que contenía el acceso a determinada documentación que estaba referenciada con el nombre del afectado. Sin embargo, la documentación aportada con la denuncia permite concluir lo contrario, al igual que el contenido de los correos electrónicos remitidos a ANDALEX por Caixabank, aportados por esta entidad a los Servicios de Inspección durante la fase previa de investigación, en los que se hace referencia a otros correos electrónicos de terceros que habían adjuntado cinco capturas de pantalla relativas a los documentos accedidos. Por otra parte, el acceso al contenido de los documentos por parte de Google se acredita igualmente por los enlaces obtenidos como resultados de las búsquedas realizadas con dicho buscador de Internet, que muestra parte de ese contenido. La denunciante aportó el resultado de la búsqueda realizada a través de Google, con el nombre y apellidos de su cónyuge como criterio, obteniendo un enlace al documento denominado Demanda XXXX.doc” con detalle de otra información distinta a la referencia del documento obtenida de su contenido, como el nombre completo del cónyuge de la denunciante, su DNI y la entidad mercantil constituida por los mismos: [DOC] Demanda XXXX.doc www.andalex.es............... DON B.B.B., con DNI numero… y con… de 2007, se formalizó entre mi mandante y la mercantil Agea Escobar S.L.,…”. Lo expuesto prueba que Google accedió al contenido de los documentos. Por otra parte, se concluye que la incidencia se produce por deficiencias de seguridad apreciadas en el sistema de información de ANDALEX. Así consta en el informe aportado a Caixabank por representantes de esta entidad, en un correo electrónico de 12/08/2013, en el que se ofrece una explicación sobre las causas que la motivaron, relacionadas con la modificación de una contraseña y con unas carpetas que quedaron abiertas, con acceso no restringido. En dicho correo se indica lo siguiente: “Con fecha 5 de Julio de 2013, uno de los letrados integrantes de la actividad venía teniendo problemas de acceso al dicho espacio para actualizar el contenido de algunas carpetas. Así que pidió al informático que presta servicios en su despacho que le auxiliara para la solución del problema. Este se puso en contacto con el departamento técnico de DataRush y solicitó que deshabilitaran el acceso con contraseña para esas carpetas. Así se realizó y durante varios días estuvo realizando tareas hasta solucionar el problema. Probablemente por olvido no se dieron instrucciones claras al proveedor de cerrar el acceso a dichas carpetas, y las mismas quedaron abiertas. El día 30 de Julio a las 23.00 aproximadamente de la noche se recibió llamada de un procurador amigo que había detectado el problema, y antes de las 24.00 horas del mismo día se cerró dicho acceso de tal manera que no era posible desde internet el acceso a dicho contenido sin contraseña. Tras recibir vuestro mail deI 7 de Agosto […] se dieron también instrucciones de que no aparecieran ninguna publicación en el dominio, ni siquiera los índices”. En sus alegaciones a la apertura del procedimiento, ANDALEX niega esta causa de la incidencia señalando que la explicación se ofreció por una persona sin cualificación técnica, a pesar de que las comunicaciones remitidas por dicha entidad a Caixabank hacen referencia a la consulta que ANDALEX realiza a su proveedor de servicios informáticos para explicar lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/29 sucedido. En dichas alegaciones, amparándose en un informe pericial aportado al efecto, ANDALEX se refiere a un “ataque” de los denominados por “fuerza bruta” sufrido por su sistema de información, realizado por programas de ordenador que rastrean sitios y direcciones web sin un patrón predefinido para desactivar las medidas de seguridad, y que escapan del control y de la exigencia debida de la que responden los responsables y encargados del tratamiento de los datos personales. No obstante, dicha entidad fue requerida expresamente para que aportase la documentación de soporte de dicho informe pericial, incluidos los log de acceso al servicio de hosting de andalex.es y las direcciones IP que pudieron acceder al sistema de información, y en respuesta a este requerimiento aportó un listado de los logs de acceso al site andalex.es, con detalle de la IP origen del acceso, la fecha en que tuvo lugar y la ruta visitada, así como un anexo resumen con las IPs que accedieron durante el período comprendido entre el 7 de julio y el 13 de agosto de 2013, con indicación del número de visitas por IP. Examinada dicha documentación se comprueba que los primeros accesos, que tuvieron lugar el 07/07/2013, fueron realizados desde una IP cuya titularidad corresponde a Google, con las siguientes rutas visitadas: . “GET.................”. . “GET/.................1.” Por tanto, no es cierto que el sistema hubiera sufrido un ataque automatizado y los servicios de Google hubieran indexado la información durante el nexo temporal que hubo entre dicho ataque y las medidas correctivas puestas en marcha por ANDALEX. En cualquier caso, el mismo informe pericial coincide con la explicación ofrecida inicialmente, antes reseñada, al señalar una deficiencia apreciada en una contraseña de acceso como una debilidad del sistema que permitió el “ataque” al que se refiere: “A petición de un usuario autorizado de Andalex la empresa suministradora del servicio modifica la contraseña del servicio FTP para el acceso al intercambio de ficheros… La contraseña modificada es proporcionada por el usuario autorizado de ANDALEX al personal técnico de la empresa suministradora del servicio y ésta con la autorización del cliente, procede a su cambio o modificación… Se solicita a la empresa suministradora del servicio, la contraseña proporcionada en su día por dicho usuario y se procede a la comprobación de las medidas de seguridad La longitud de la nueva contraseña es de 8 caracteres y solo contiene caracteres alfabéticos. Probablemente por sencillez para el usuario final. Se procede a la comprobación de la contraseña modificada: El resultado tras dicha comprobación con las herramientas disponibles en internet, se determina que la nueva contraseña por sus características y extensión, no era la adecuada, ya que se cataloga como contraseña con un nivel de seguridad etiquetado como “regular” (también conocido como débil)… La contraseña débil de uno de los usuarios con privilegios de totales (escritura, lectura y modificación) permitió que cualquier jacker con un ataque denominado “por fuerza bruta mediante librería” es decir genere con un software malicioso, multitud de contraseñas, en poco tiempo vulnere la seguridad del acceso ftp del dominio andalex.es” (el subrayado es de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/29 En el apartado “Conclusiones”, este informe pericial añade: “Debo añadir que no existe el 100% de seguridad en Internet… Si a este hecho la añadimos que en un momento en concreto se relaja la seguridad de la contraseña del acceso ftp, esto permite que el jacker o software malicioso se instale en un directorio con permisos para ejecutar ficheros o script con malas intenciones causando perjuicios para el propietario de dicho site y como en este caso a terceros, con la publicación de la jerarquía de directorios y ficheros del site FTP convirtiendo esta información en html accesible por puerto 80. Entiendo según mi criterio, que ANDALEX ha sido una víctima más de la inseguridad que hay en internet aumentando la probabilidad de serlo al relajar uno de los usuarios la contraseña de acceso al servicio FTP y que ha sido de manera no intencionada y por desconocimiento de este, de los efectos secundarios de dicha modificación”. Así, según este informe, existe una relación entre el acceso a los datos personales y la inexistencia de las medidas adecuadas para impedirlo. No se trata, por tanto, en contra de las manifestaciones realizadas en los escritos de alegaciones, de imponderables que escapen del control y de la exigencia debida, como manifiesta ANDALEX. No se trata de ningún caso fortuito, ni la actividad probatoria se limita a las impresiones de pantalla aportadas por la denunciante. Se trata de deficiencias apreciadas en el sistema de información de la entidad ANDALEX, en su ámbito de responsabilidad, que quedaron acreditadas por la documentación aportada por el denunciante y por las comprobaciones realizadas por los Servicios de Inspección, relativas a la identificación y autenticación de las personas que acceden al sistema. Así, los datos personales de los clientes de Caixabank tratados por ANDALEX resultaron accesibles, sin restricción, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que ANDALEX ha incurrido en la infracción grave descrita. ANDALEX es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad. VII En todo caso, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional en la misma Sentencia citada en el Fundamento de Derecho anterior, así como en su Sentencia de 11/12/2008 (recurso 36/08), en la que indica lo siguiente: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/29 El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad ANDALEX la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. VIII El artículo 44.3.
25. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que ANDALEX ha incurrido en la infracción grave descrita. IX El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan de la difusión a través de Internet de los documentos afectados por la incidencia de seguridad. Por tanto, procede analizar el cumplimiento por parte de dicha entidad del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/29 El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que la entidad ANDALEX vulneró este deber de confidencialidad en relación con los datos personales de la denunciante y otros clientes de Caixabank, entre ellos, dos familiares de la denunciante, según el detalle recogido en el Hecho Probado Noveno. Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los clientes afectados. X La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
26. d)de la LOPD. En este precepto se establece lo siguiente: “
27. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los afectados fueron divulgados a terceros por la entidad ANDALEX, no habiéndose acreditado que aquéllos hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a ANDALEX se ajusta a la tipificación prevista en el 44.3.
28. d)de la LOPD. XI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/29 Los hechos constatados, que resulta del acceso por parte de terceros a los datos personales registrados en los ficheros de ANDALEX sin el consentimiento de sus titulares, constituye una base fáctica para fundamentar la imputación a dicha entidad de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, si una información contenida en un fichero sale del ámbito de la entidad responsable de su confidencialidad, se está produciendo un incumplimiento de las medidas de seguridad exigidas a dicho responsable que, a su vez, deriva en una vulneración del deber de secreto profesional. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción correspondiente a la infracción del artículo 9 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. XII El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
29. a)El carácter continuado de la infracción.
30. b)El volumen de los tratamientos efectuados.
31. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
32. d)El volumen de negocio o actividad del infractor.
33. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
34. f)El grado de intencionalidad.
35. g)La reincidencia por comisión de infracciones de la misma naturaleza.
36. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
37. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
38. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
39. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
40. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
41. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
42. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/29
43. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad imputada, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. La imputada ha solicitado la aplicación de este artículo considerando que cumplían las obligaciones que se derivan del tratamiento de datos personales, que los hechos acontecidos exceden totalmente de las funciones de control, así como los esfuerzos realizadas para subsanar el incidente de seguridad y limitar su repercusión. Aunque no puede aceptarse que los hechos excedan de las funciones de control que corresponden a la entidad responsable de un sistema de información, alegada por ANDALEX, a juicio de esta Agencia se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando que los hechos denunciados se producen por un fallo puntual de las medidas de seguridad adoptadas y por la diligencia mostrada por ANDALEX en la subsanación de la incidencia, una vez tuvo conocimiento de la misma (se modifican las contraseñas y se solicita al buscador de Internet la eliminación de la información), así como por la ausencia de reincidencia. En cuanto a la graduación de la sanción, según los criterios establecidos en el artículo 45.4, se tiene en cuenta, por un lado, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal; y el volumen de datos personales afectados por la incidencia; y por otro lado, la naturaleza de la información afectada por la incidencia y el tipo de actividad que desarrolla ANDALEX, que le obligan a adoptar diligentemente las cautelas necesaria para garantizar su confidencialidad; por lo que procede la imposición de una multa por importe de 20.000 euros. La entidad ANDALEX ha solicitado la imposición de una multa inferior considerando circunstancias que ya han sido valoradas anteriormente, como la escasa repercusión del incidente y la falta de intencionalidad (volumen de tratamientos afectados por la incidencia y fallo puntual) y otras que no acredita, como el volumen de facturación. Sin embargo, no considera otras de las expuestas, que actúan como agravantes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/29 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ANDALEX SERVICIOS JURÍDICOS, S.L., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
44. h)de dicha norma, una multa de 20.000 euros (veinte mil euros) de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ANDALEX SERVICIOS JURÍDICOS, S.L. y a DÑA. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es