PS-00713-2014

1/21 Procedimiento Nº PS/00713/2014 RESOLUCIÓN: R/00800/2015 En el procedimiento sancionador PS/00713/2014, instruido por la Agencia Española de Protección de Datos a la entidad JAZZ TELECOM, S.A.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 08/02/2014, tuvo entrada en la Agencia Española de Protección de Datos un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que se pone de manifiesto que, con fecha 01/11/2012, contactó con la entidad JAZZ TELECOM, S.A. (en lo sucesivo JAZZTEL) para informar a la misma que había detectado una brecha de seguridad en el Panel de Clientes y que, aunque en aquella ocasión le confirmaron posteriormente que el fallo había sido resuelto, en el momento de poner la denuncia ante la Agencia comprueba que sigue existiendo la misma incidencia, la cual permite acceder a los documentos de las facturas que se encuentran en formato pdf de todos los clientes modificando el dato de “id” de la URL que se genera en el acceso a una factura. Adjunto a la denuncia aportó dos facturas de terceros, en las que constan sus datos personales relativos a nombre, apellidos, NIF, domicilio, entidad bancaria y datos del servicio contratado y consumos; y copia del correo electrónico remitido por el denunciante a la dirección B.B.B., en fecha 06/11/2012, poniendo en conocimiento de la entidad la brecha de seguridad detectada y advirtiendo que el acceso a las facturas se obtiene al modificar la variable asociada a la misma, así como el correo de respuesta que le fue remitido desde la misma dirección citada, perteneciente al Área de Seguridad Tecnológica, en el que se indica lo siguiente: “Muchísimas gracias por la información. Se ha solucionado el problema de seguridad”. SEGUNDO: A la vista de los hechos denunciados, en fase previa de investigación, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: 1. En Acta de Inspección realizada en la sede de JAZZTEL en fecha 11/06/2014, consta lo siguiente: . Se acredita que el acceso al Área de Clientes de la web de JAZZTEL en la dirección https://clientes.jazztel.com obliga a la identificación y autenticación del cliente mediante un código de usuario y una contraseña y permite la consulta de sus facturas en varios formatos, entre ellos en formato “PDF”, generándose una URL con la configuración https://clientes.jazztel.com/ajaxcuenta/xxxxxxxx/idFactura/yyyyyyyyyy/tipo/pdf donde xxxxxxx corresponde con el código interno del cliente y yyyyyyyyyy corresponde con el código de factura. Dicha URL se visualiza en la última línea de la pantalla. . Se verifica que una vez identificado y autenticado un cliente en el Área de Clientes, modificando el campo de código de factura en la URL mencionada se accede a las facturas de otros clientes. Así mismo, se comprobó que utilizando el código de una de las facturas aportadas por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 denunciante en la URL mencionada se accede a la factura en formato pdf, que coincide con la aportada. . Con motivo de la Inspección, JAZZTEL procedió a subsanar la incidencia mencionada, comprobándose por parte de la inspección que, una vez identificado y autenticado en al Área de Clientes de JAZZTEL, se continua generando la URL: https://clientes.jazztel.com/ajaxcuenta/xxxxxxxx/idFactura/yyyyyyyyyy/tipo/pdf y que al modificar el identificador de la factura se genera un documento pdf vacío. . Respecto de los correos electrónicos intercambiados con el denunciante, en los que éste informó sobre la incidencia de seguridad, de fecha 06/11/2012, JAZZTEL manifestó que se dio traslado al Departamento de Sistemas para su evaluación y solución, el cual procedió a solucionar dicha incidencia en ese mismo día, por ese motivo se informó al denunciante que la incidencia había sido resuelta. Asimismo, se procedió a su registro en el Registro de Incidencias de JAZZTEL en esa misma fecha. En el informe sobre la incidencia, de fecha 06/11/2012, se indica lo siguiente: “. Resumen de la incidencia. Nos informa un usuario de Jazztel, que existe un problema en nuestro panel de clientes, los clientes no ven únicamente su factura, cambiando el ID en la URL del navegador pueden ver facturas consecutivas. . Descripción de los hechos. Nos informan desde comunicación, que un usuario está accediendo a facturas de otros clientes. Desde el área privada de www.jazztel.com se accede a las facturas de los clientes, el acceso a las facturas se hace mediante El paso de variables a través del navegador permite cambiando las mismas acceder a otras facturas de clientes. . Medidas tomadas Se habla con desarrollo para que inmediatamente soluciones el problema, la solución llega a las pocas horas. Se crea un documento de buenas prácticas para la gente de desarrollo en el que se prohíbe expresamente desarrollo con pasos de variables o través de url de navegador”. Entre las medidas tomadas al respecto consta la modificación, en fecha 20/11/2012, del documento de “Procedimiento de Seguridad en el Desarrollo de Aplicaciones”, llevada a cabo por el Departamento de Seguridad Tecnológica y aprobado por el Comité de Seguridad, prohibiendo expresamente “desarrollos con paso de variables a través de URL de navegador”. . Los servicios de la Agencia solicitaron a los representantes de la entidad la cumplimentación del formulario previsto por la Unión Europea que figura en el Anexo 1 del Reglamento nº 611/2013 de, de 24 de junio de 2013, relativo a las medidas aplicables a la notificación de casos de violación de datos personales en el marco de la Directiva 2902/58/CE del Parlamento Europeo y del Consejo sobre la privacidad y las comunicaciones electrónicas. 2. Respecto de la notificación de la brecha de seguridad . Con fecha 20/06/2014, JAZZTEL remitió a esta Agencia la información a la que se refieren los apartados 1 al 15 del Anexo I del citado Reglamento nº 611/2013 de la Comisión Europea, que entró en vigor el 25/08/2013. En dicho escrito se expone que la incidencia de seguridad, detectada el 11/06/2014, permitía “la visualización de facturas de otros clientes a través del área C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 de clientes de la web de Jazztel”, que tiene como consecuencia el “acceso no autorizado a datos personales”. JAZZTEL manifiesta que ha tenido conocimiento de la violación de datos personales con motivo de la Inspección llevada a cabo por parte de la Agencia Española de Protección de Datos y que desconoce el número de afectados. Añade que se ha remitido una notificación al denunciante que puso en conocimiento de la Agencia la brecha de seguridad. En dicho documento, JAZZTEL manifiesta que se ha procedido a la “sustitución del código que permitía la visualización de las facturas” y que se ha emitido un documento de buenas prácticas para la creación de aplicaciones. Ambas medidas, técnicas y organizativas, tomadas como consecuencia de la brecha de seguridad. TERCERO: Con fecha 23/12/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a JAZZTEL, por la presunta infracción de los artículos 9 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.

1. h)y 44.3.d), respectivamente, de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, JAZZTEL presentó escrito de alegaciones en el que solicitó que se acuerde el apercibimiento, con arreglo a lo dispuesto en el artículo 45.6 LOPD, o, subsidiariamente, la imposición de una sanción según la escala prevista para las infracciones leves, de conformidad con lo dispuesto en el artículo 45.5 LOPD y en virtud de la concurrencia de varias circunstancias previstas en el artículo 45.4 LOPD. En primer término, JAZZTEL alega que nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, procediendo subsumir ambas en una, adoptando las medidas correspondientes a la infracción del artículo 9 de la LOPD, que se trata de la infracción originaria que ha implicado la comisión de la otra. Esto es, el incumplimiento de las medidas de seguridad deriva en una vulneración del deber de secreto profesional. Advierte que la incidencia denunciada el 01/11/2012 fue solucionada por JAZZTEL el día 6 siguiente, por lo que entiende que la incidencia detectada el día 11/06/2014 debió de surgir como consecuencia de las diferentes actualizaciones periódicas del Área de Clientes de la Web de JAZZTEL y es independiente de la incidencia detectada y solucionada en noviembre de 2012. Las medidas de seguridad adoptadas por JAZZTEL antes del incidente de seguridad de 11/06/2014 fueron las siguientes: . Dispone de un Documento de Seguridad debidamente actualizado. . Dispone de la Certificación UNE-ISO1IEC 27001 sobre sus Sistemas de Gestión de la Información y Certificación ISO 22301 sobre los Sistemas e Infraestructuras que dan soporte técnico al cliente de la red fija de voz y datos. . Los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someten, cada dos años, a una auditoría externa que verifica el cumplimiento de las medidas de seguridad. . Dispone de un Registro de Incidencias actualizado, en el que está consignada, entre otras, la anterior incidencia denunciada por el denunciante el día 01/11/2012, cuya subsanación le fue comunicada mediante correo electrónico de 06/11/2012. . JAZZTEL tenía implantado, antes de la detección del incidente, un Procedimiento de Gestión de Incidencias y un Procedimiento de Seguridad en el Desarrollo de Aplicaciones, elaborado por el Departamento de Seguridad Tecnológica de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 Con posterioridad a la detección de dicha incidencia de 11/06/2014, se adoptaron las siguientes medidas correctoras: . Corrección de la incidencia durante el transcurso de la propia Inspección realizada por la Agencia el día 11/06/2014, tal y como se pone de manifiesto en el Acuerdo de Inicio. . Consignación del incidente en el Registro de Incidencias de JAZZTEL el día 13/06/2014 (adjunta copia del informe). . Comunicación interna del Departamento de Seguridad Tecnológica al Departamento de Tecnología con el detalle de la Incidencia, enviada al día siguiente de la detección de la misma. . Mejora y actualización del Procedimiento de Seguridad en el Desarrollo de Aplicaciones. Por otra parte, considera JAZZTEL que el presente supuesto se cumplen los requisitos recogidos en los apartados
2. a)y
3. b)del artículo 45.6 de la LOPD, a fin de que acreditase la adopción de las medidas correctoras pertinentes, por cuanto nunca ha sido sancionada por una infracción del artículo 9 LOPD. Añade que este acuerdo se ajusta a la doctrina de la AEPD recogida en el procedimiento A/00368/2011. Junto a ello, considera JAZZTEL, se constata una cualificada disminución de la culpabilidad teniendo en cuenta que remitió la Notificación preceptiva de la quiebra de seguridad a la AEPD, de conformidad con lo dispuesto en el Reglamento 611/2013 de la Comisión Europea, la notificación correspondiente al denunciante de la quiebra de seguridad y que actuó de forma diligente y en un breve período de tiempo solucionando la incidencia en el transcurso de la propia Inspección realización por la Agencia el día 11/06/2014; así como la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, el grado de intencionalidad apreciado, que no constan beneficios obtenidos como consecuencia de la comisión de la presunta infracción ni perjuicios a los afectados distintos al acceso a sus datos personales que conlleva el fallo de seguridad, que la incidencia no resulta de una ausencia total de medidas de seguridad y el tiempo de respuesta (inferior a dos horas). Subsidiariamente, solicita la aplicación de lo dispuesto en el artículo 45.5 LOPD, por la concurrencia de las circunstancias siguiente:
4. a)Concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo, antes citados.
5. b)Por la regularización de la situación irregular de forma diligente (en un período de tiempo inferior a 2 horas, durante el transcurso de la propia inspección de la Agencia).
6. d)El reconocimiento espontáneo de la culpabilidad (mediante la remisión de la Notificación preceptiva de la quiebra de seguridad a la AEPD). Igualmente, aprecia JAZZTEL una concurrencia significativa de varios de los criterios enunciados en el apartado 4 del citado artículo 45 de la LOPD, como son: . El volumen de datos accedidos, considerando que no constan en las actuaciones que se hubiese producido un acceso numeroso a la información afectada por la incidencia. . No constan beneficios obtenidos como consecuencia de la comisión de la infracción. . El mínimo grado de intencionalidad. . La ausencia de reincidencia en la comisión de infracciones de la misma naturaleza por parte de JAZZTEL, que nunca ha sido sancionado por infracción del artículo 9 LOPD. . La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. . La acreditación de que con anterioridad a los hechos constitutivos de infracción JAZZTEL tenía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, tal y como se acredita en la Alegación Segunda. Por todo ello, debe entenderse que operan dichas circunstancias atenuantes de la responsabilidad, aplicadas ya por esa Agencia en otros procedimientos similares en los que se impuso una multa por importe de 6.000 euros, al haberse constatado una disminución cualificada de la culpabilidad (procedimientos PS/00224/2014, PS/00337/2014, PS/00513/2011 y PS/00015/2014), incluso de un importe menor teniendo en cuenta la diligencia de JAZZTEL en la solución de la incidencia, las medidas de seguridad ya implantadas en la compañía y la concurrencia de numerosas circunstancias atenuantes en la conducta infractora. Entre otros documentos, aporta un “Procedimiento de gestión de incidencias”, de fecha 19/11/2014, que define el proceso para el tratamiento de las incidencias de tecnologías de la información de JAZZTEL, así como la política y el proceso para la gestión de las mismas; el “Procedimiento de seguridad en el desarrollo de aplicaciones”, de 07/01/2015, que reitera la necesidad de evitar el paso de variables por URL; y la anotación en el “Registro de incidencias” correspondiente a la incidencia denunciada, que tiene fecha de 13/06/2014, en la que se indica lo siguiente: “… La Agencia de Protección de Datos detecta una incidencia abierta en Jazztel por la cual es posible consultar facturas de otros clientes… En ese mismo momento se comprueba que se puede acceder a facturas de otros clientes, inmediatamente se establece contacto con el Gerente de Seguridad, el cual presenta a la Agencia todas las pruebas que corroboran que el caso fue detectado en su momento y mediante procedimiento interno subsanado. Se presentan los correos de comunicación entre Seguridad y Desarrollo, así como un procedimiento creado por Seguridad que solucionaba el problema, sin embargo por alguna mala práctica o descuido desde Desarrollo el error volvió a aparecer recientemente por alguna actualización o modificación en el desarrollo del panel de clientes”. QUINTO: Con fecha 29/01/2015, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos que integran el expediente de investigación previa E/00997/2014, incluido el Informe de Inspección emitido, y por presentadas las alegaciones al acuerdo de inicio formuladas por JAZZTEL y la documentación que a ellas acompaña. SEXTO: Con fecha 10/03/2015, se emitió propuesta de resolución en el sentido de que por el Director de la AEPD se sancione a la entidad JAZZTEL con multa de 50.000 euros (cincuenta mil euros), por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
7. h)de la citada Ley Orgánica, y de conformidad con lo establecido en los apartados 2 y 4 del artículo 45 de la misma. Notificada la citada propuesta, la entidad JAZZTEL presentó escrito de alegaciones en el que solicita la aplicación de la escala relativa a las infracciones leves, al haber reconocido voluntariamente su culpabilidad, regularizado la situación irregular de forma diligente y concurrir diversas circunstancias atenuantes en la actuación infractora, así como por existir diversas resoluciones previas de la propia AEPD en la que se impone a empresas de mayor dimensión que JAZZTEL una sanción de 6.000€ por unos hechos idénticos. Entiende JAZZTEL que concurren 3 criterios recogidos en el artículo 45.5 LOPD: . Concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 como son la ausencia de intencionalidad, que no constan beneficios ni se han causado perjuicios distintos al acceso a los datos personales de los afectados que conlleva el fallo de seguridad, el cual no resulta de la inexistencia de medidas de seguridad. Además, realizó, a su propia iniciativa y de forma inmediata, las actuaciones necesarias para restringir los accesos indebidos (en menos de 2 horas, según se indica más adelante), con anterioridad a los hechos constitutivos de infracción JAZZTEL tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal y cuenta en la actualidad con medidas de seguridad y procedimientos implantados en la compañía (Documento de Seguridad, certificación UNE-ISO/IEC 27001, certificación ISO 22301, auditoría bienal externa, procedimiento de Gestión de Incidencias, de Seguridad en el Desarrollo de Aplicaciones y registro de Incidencias. . Ha regularizado la situación irregular de forma diligente, en un período de tiempo inferior a 2 horas, durante el transcurso de la propia inspección de esa Agencia, como se pone de manifiesto en el Acuerdo de Inicio: . Ha reconocido espontáneamente su culpabilidad (mediante la remisión de la Notificación preceptiva de la quiebra de seguridad a la AEPD). Por otra parte, invoca otros precedentes instruidos por la AEPD a entidades mayor dimensión que JAZZTEL derivados de incidentes de seguridad idénticos que se resolvieron imponiendo una multa inferior a la propuesta a JAZZTEL: . El Procedimiento Sancionador PS/00439/2014, instruido a una operadora de telefonía, que concluyó con multa de 6.000 euros por unos hechos similares: “Que al intentar entrar en su cuenta en (la operadora) a través del producto…, el sistema le muestra datos de otros clientes, situación que le ocurre cuatro veces en dos días. En dichos accesos comprueba que el sistema le permite conocer datos de las llamadas, cambiar las tarifas contratadas o modificar datos”. En este caso, la AEPD consideró “la ausencia de intencionalidad que se aprecia en la conducta de la entidad…, la ausencia de beneficios, que no constan perjuicios a los afectados distintos al acceso a sus datos personales que conlleva el fallo de seguridad y la diligencia mostrada para regularizar la incidencia, suprimiendo el acceso a tales datos personales a través de su web. Añade que la operadora en cuestión cuenta con 5 veces más clientes y el triple de facturación. . PS/00651/2012, instruido a una entidad financiera en el que se impuso igualmente una sanción de 6.000 € ante unos hechos similares (acceso a la “Oficina Virtual” de la entidad utilizando el código de usuario (DNI) y la contraseña, y comprobaron que en la misma pudieron obtener información de terceros, con detalle de sus datos personales relativos a nombre y apellidos, CIF y productos bancarios contratados, con indicación del saldo en cada uno de ellos). En ese caso la Agencia sí consideró que debía aplicarse el artículo 45.5 por “la ausencia de beneficios, que no constan perjuicios a los afectados distintos al acceso a sus datos personales que conlleva el fallo de seguridad… que el fallo de seguridad no resulta de la inexistencia de medidas de seguridad y que… (la entidad) realizó, a su propia iniciativa y de forma inmediata, las actuaciones necesarias para restringir los accesos indebidos a la información”. En el presente caso de JAZZTEL concurren idénticos criterios. Sin embargo, la instrucción del procedimiento no ha valorado la concurrencia de los mismos para imponer una sanción aplicando la escala relativa a las infracciones leves. . PS/00344/2013, instruido a una entidad financiera, en el que se impuso igualmente una sanción de 6.000 € ante unos hechos similares (utilizando sus propias claves, han podido acceder a los datos de otros clientes a través de las aplicaciones… para el acceso a la banca on-line mediante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 teléfonos inteligentes). En ese caso la Agencia sí consideró que debía aplicarse el artículo 45.5 por el reconocimiento espontáneamente su culpabilidad, como ha hecho JAZZTEL al haber notificado el incidente de seguridad a la Agencia tan pronto como tuvo constancia de ello. En el presente caso se propone una sanción desproporcionada de 50.000€, haciendo caso omiso al hecho de que JAZZTEL haya reconocido voluntariamente su culpabilidad, regularizado la situación irregular de forma diligente y concurrir de diversos criterios enunciados en el artículo 45.4 de la LOPD que hacen que deba establecerse la sanción aplicando la escala relativa a las infracciones leves. HECHOS PROBADOS 1. La entidad JAZZTEL es titular del sitio web www.jazztel.com. 2. El sitio web www.jazztel.com tiene habilitada un “Área de Clientes”, en la dirección https://clientes.jazztel.com, que permite a los mismos, una vez identificados y autenticados a través de un código de usuario y una contraseña, consultar las facturas en varios formatos, entre ellos en formato “pdf”, generándose una URL con la siguiente configuración https://clientes.jazztel.com/ajaxcuenta/xxxxxxxx/idFactura/yyyyyyyyyy/tipo/pdf, donde xxxxxxx corresponde con el código interno del cliente y yyyyyyyyyy corresponde al código de factura. Dicha URL se visualiza en la última línea de la pantalla. 3. Mediante correo electrónico de fecha 06/11/2012, el denunciante al Departamento de Seguridad Tecnológica de JAZZTEL sobre una brecha de seguridad detectada, que permitía el acceso a las facturas de los clientes al modificar la variable asociada a la misma. En la misma fecha, desde una dirección de correo electrónico perteneciente al Departamento de Seguridad Tecnológica, el denunciante recibió un correo en el que se indica lo siguiente: “Muchísimas gracias por la información. Se ha solucionado el problema de seguridad”. 4. En el Registro de Incidencias de JAZZTEL, en relación con la incidencia de seguridad reseñada en el Hecho Probado Tercero, de fecha 06/11/2012, se indica lo siguiente: “. Resumen de la incidencia. Nos informa un usuario de Jazztel, que existe un problema en nuestro panel de clientes, los clientes no ven únicamente su factura, cambiando el ID en la URL del navegador pueden ver facturas consecutivas. . Descripción de los hechos. Nos informan desde comunicación, que un usuario está accediendo a facturas de otros clientes. Desde el área privada de www.jazztel.com se accede a las facturas de los clientes, el acceso a las facturas se hace mediante El paso de variables a través del navegador permite cambiando las mismas acceder a otras facturas de clientes. . Medidas tomadas Se habla con desarrollo para que inmediatamente soluciones el problema, la solución llega a las pocas horas. Se crea un documento de buenas prácticas para la gente de desarrollo en el que se prohíbe expresamente desarrollo con pasos de variables o través de url de navegador”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 5. Con fecha 08/02/2014, se recibe en la AEPD un escrito del denunciante en el que informa que, a través del “Área de Clientes” del sitio web www.jazztel.com, se puede acceder a las facturas de los clientes de la entidad en formato pdf modificando el dato de “id” de la URL que se genera en el acceso a una factura. Con su denuncia aportó dos facturas de terceros, en las que constan sus datos personales relativos a nombre, apellidos, NIF, domicilio, entidad bancaria y datos del servicio contratado y consumos. 6. Con fecha 11/06/2014, durante la inspección realizada a la entidad JAZZTEL, los Servicios de Inspección de la AEPD comprobaron que, una vez identificado y autenticado un cliente en el Área de Clientes, modificando el campo de código de factura en la URL se accede a las facturas de otros clientes. Así mismo, utilizando en la URL el código de una de las facturas aportadas por el denunciante, accedieron a la misma factura en formato pdf. 7. Durante la inspección realizada en fecha 11/06/2014, la entidad JAZZTEL procedió a subsanar la incidencia mencionada en el Hecho Probado Sexto, comprobándose por parte de los Servicios de Inspección de la AEPD que, una vez identificado y autenticado en al Área de Clientes del sitio web www.jazztel.com, se continua generando la URL: https://clientes.jazztel.com/ajaxcuenta/xxxxxxxx/idFactura/yyyyyyyyyy/tipo/pdf y que al modificar el identificador de la factura se genera un documento pdf vacío. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
8. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
9. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
10. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero accedido, atendiendo a su contenido (datos personales relativos a nombre, apellidos, NIF, domicilio, entidad bancaria y datos del servicio contratado y consumos), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
11. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
12. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. IV Se imputa a la entidad JAZZTEL el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
13. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
14. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
15. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
16. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
17. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 determinen”. Sintetizando las previsiones legales puede afirmarse que:
18. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
19. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
20. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
21. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal tratados por la entidad JAZZTEL para la emisión de facturas por los servicios contratados por sus clientes, correspondiendo adoptar las calificadas de nivel bajo, teniendo en cuenta el tipo de datos que incluye, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
22. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad JAZZTEL está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas previstas para sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, la citada entidad incumplió esta obligación, al haber quedado acreditada la posibilidad de acceder, sin restricción alguna, a los datos personales relativos sus clientes a través del “Área de Clientes” habilitada en el sitio web www.jazztel.com, en concreto a los datos de facturación con detalle de nombre, apellidos, NIF, domicilio, entidad bancaria y datos del servicio contratado y consumos. En concreto, consta en los Hechos Probados que el mencionado sitio web tiene habilitada un “Área de Clientes”, en la dirección https://clientes.jazztel.com, que permite a los mismos, una vez identificados y autenticados a través de un código de usuario y una contraseña, consultar las facturas en varios formatos, generándose una URL con la siguiente configuración https://clientes.jazztel.com/ajaxcuenta/xxxxxxxx/idFactura/yyyyyyyyyy/tipo/pdf, donde xxxxxxx corresponde con el código interno del cliente y yyyyyyyyyy corresponde al código de factura; y que, una vez identificado y autenticado un cliente en el Área de Clientes, modificando el dato de “id” de la URL que se genera en el acceso a una factura se podía acceder a las facturas de otros clientes de la entidad, en formato pdf. Se trata de deficiencias apreciadas en el sistema de información diseñado por la propia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 entidad JAZZTEL que quedaron acreditadas por la documentación aportada por el denunciante y por las comprobaciones realizadas por los Servicios de Inspección en fecha 11/06/2014, habiendo sido reconocidos por la propia entidad imputada. Así consta, incluso, en el Registro de Incidencias de la misma. Así, los datos personales de los clientes de JAZZTEL, usuarios de la web www.jazztel.com, resultaron accesibles por parte de otros clientes terceros, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que JAZZTEL ha incurrido en la infracción grave descrita. JAZZTEL es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad. Así lo ha declarado la Audiencia Nacional en un supuesto similar, examinado en la Sentencia de fecha 24/09/2010, en cuyo Fundamento de Derecho Séptimo se indica lo siguiente: “A pesar de dichas alegaciones de la demanda y de conformidad con la normativa y la doctrina de esta Sala que se han expuesto en el fundamento jurídico anterior, consideramos que la infracción del deber de seguridad impuesta a XXX a tenor del artículo 9 de la LOPD, ha de ser confirmada por la misma. Y ello dado que dicha entidad actora, como encargada del tratamiento de los datos personales de la compañía de seguros, estaba obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas en la normativa de aplicación, respecto de los ficheros informáticos de aquella y, entre ellas, las dirigidas a impedir el acceso no autorizado de terceros a los datos de los solicitantes de seguros "on line", que eran los que se contenían en el fichero "clientes" de tal compañía de seguros, que, como se ha indicado, requerían medidas de seguridad de nivel alto. Ha quedado acreditado, por el contrario, que XXX incumplió esta obligación, al posibilitar el acceso a datos de personas físicas sin que existiera un procedimiento de cifrado o cualquier otro que garantizara que la información obtenida en dichos accesos no podía ser identificada o manipulada por terceros, como pudo comprobar la Inspección de Datos, a través de la Web… Ha de tomarse en consideración que, contrariamente a lo invocado en la demanda, no solo podían acceder al referido fichero de datos aquellos a quienes cualquier solicitante de un seguro on line les hubiera dado la secuencia de caracteres de la URL generada por cada solicitud, sino que también, con gran facilidad, cualquier suscriptor de un seguro on line podía acceder a los datos personales de todos los demás suscriptores de seguros on line en dicha entidad… y ello con una simple operación consistente en intercambiar cualquiera de las de las equis o números finales de cada una de las URL generadas, por otro u otros números… Consideramos, por todo ello, que XXX infringió lo dispuesto en el artículo 9 de la LOPD…”. V La entidad JAZZTEL ha alegado que una incidencia similar fue solucionada en el año 2012, por lo que entiende que detectada el día 11/06/2014 debió de surgir como consecuencia de las diferentes actualizaciones periódicas del Área de Clientes de la Web. Sin embargo, en este caso, se concluye que la citada entidad no había adoptado las medidas técnicas y organizativas apropiadas, habiéndose acreditado la existencia de una relación entre el acceso y la inexistencia o ineficacia de las medidas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 En todo caso, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional en la misma Sentencia citada en el Fundamento de Derecho anterior, así como en su Sentencia de 11/12/2008 (recurso 36/08), en la que indica lo siguiente: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad JAZZTEL la responsable del fichero y, por tanto, la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. VI El artículo 44.3.
23. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que JAZZTEL ha incurrido en la infracción grave descrita. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan del acceso efectuado a datos personales de clientes por parte de terceros no autorizados. Por tanto, procede analizar el cumplimiento por parte de dicha entidad del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que la entidad JAZZTEL vulneró este deber de confidencialidad en relación con los datos personales y de facturación de clientes y usuarios de la oficina virtual. Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los clientes afectados. VIII La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 44.3.
24. d)de la LOPD. En este precepto se establece lo siguiente: “
25. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los afectados fueron divulgados a terceros por la entidad JAZZTEL, no habiéndose acreditado que aquéllos hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a JAZZTEL se ajusta a la tipificación prevista en el 44.3.
26. d)de la LOPD. IX Los hechos constatados, que resulta del acceso por parte de terceros a los datos personales registrados en los ficheros de JAZZTEL sin el consentimiento de sus titulares, constituye una base fáctica para fundamentar la imputación a dicha entidad de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, si una información contenida en un fichero de alumnos sale del ámbito de la entidad responsable de su confidencialidad, se está produciendo un incumplimiento de las medidas de seguridad exigidas a dicho responsable que, a su vez, deriva en una vulneración del deber de secreto profesional. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción correspondiente a la infracción del artículo 9 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. X El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
27. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
28. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. JAZZTEL ha solicitado la aplicación de este artículo, considerando que se cumplen los requisitos recogidos en los apartados
29. a)y b), dado que los hechos son constitutivos de infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 grave y que dicha entidad no ha sido sancionada o apercibida con anterioridad por infracción del artículo 9 de la LOPD. Sin embargo, en el presente caso, no se cumplen los presupuestos establecidos en el artículo mencionado, teniendo en cuenta que JAZZTEL ha sido sancionada con anterioridad en numerosas ocasiones por infracciones diversas a la normativa de protección de datos. En cualquier caso, atendida la naturaleza de los hechos, aunque en el presente supuesto concurrieran las circunstancias de las letras
30. a)y
31. b)del artículo 45.6 de la LOPD, no se estima aplicable la previsión contenida en el mismo, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador, atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Se considera especialmente el número de afectados y la actividad del infractor, por la especial diligencia que se exige a las entidades que operan a través de Internet en el ámbito de la protección de datos personales. Asimismo, se considera que la incidencia se produce por una falta de medidas que hubiesen evitado el acceso a la información por parte de terceros, medidas que se consideran elementales. XI El artículo 45.1, 2, 4 y 5 LOPD, según su redacción aprobada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, aplicable al presente supuesto, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
32. a)El carácter continuado de la infracción.
33. b)El volumen de los tratamientos efectuados.
34. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
35. d)El volumen de negocio o actividad del infractor.
36. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
37. f)El grado de intencionalidad.
38. g)La reincidencia por comisión de infracciones de la misma naturaleza.
39. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
40. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
41. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
42. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
43. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
44. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
45. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21
46. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad imputada, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. JAZZTEL ha solicitado la aplicación de este artículo al haber reconocido voluntariamente su culpabilidad (mediante la remisión de la Notificación preceptiva de la quiebra de seguridad a la AEPD), regularizado la situación irregular de forma diligente y concurrir diversas circunstancias atenuantes en la actuación infractora, como son la ausencia de intencionalidad, que no constan beneficios ni se han causado perjuicios distintos al acceso a los datos personales de los afectados que conlleva el fallo de seguridad, el cual no resulta de la inexistencia de medidas de seguridad, y que con anterioridad tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal. Sin embargo, a juicio de esta Agencia, en el presente caso se estima que no concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando que la incidencia puesta de manifiesto ya se había producido con anterioridad, en el año 2012, por las mismas causas y con el mismo alcance, sin que JAZZTEL hubiese adoptado las medidas adecuadas para que no volviera a producirse en el futuro, como así ha ocurrido. Circunstancia esta ya valorada en la propuesta de resolución y que ha sido omitida por JAZZTEL en el escrito de alegaciones presentado a dicha propuesta. En este sentido, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
47. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” Por lo que atañe a la diligencia que es exigible en estos casos, la SAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Además, en contra de lo manifestado por JAZZTEL, se ha concluido que la incidencia resulta de la falta de medidas técnicas y organizativas apropiadas. Según se expuso anteriormente, consta acreditada la existencia de una relación entre el acceso a los datos de los clientes y la inexistencia de las medidas adecuadas para impedirlo. Por otra parte, no cabe admitir que la citada entidad haya reconocido su responsabilidad por el hecho de haber remitido la Notificación de la quiebra de seguridad a la AEPD. Esta notificación resulta del cumplimiento de una obligación legal y, además, fue requerida a JAZZTEL por los Servicios de Inspección de la AEPD. JAZZTEL ha presentado las alegaciones que ha estimado oportunas para su defensa sin haber reconocido expresa y espontáneamente la responsabilidad que deriva de los hechos constatados. En cuanto a los precedentes invocados, correspondientes a procedimientos seguidos por incidentes de seguridad que se resolvieron imponiendo una multa inferior a la propuesta a JAZZTEL, cabe señalar que ninguno de ellos es asimilable al presente caso. Además de lo expuesto sobre la misma incidencia producida en el año 2012, estos precedentes se diferencian del analizado, principalmente, en el tiempo de exposición de los datos personales al posible acceso de terceros y en el volumen de datos personales afectados. En dos de los casos citados por JAZZTEL, los señalados con los números PS/00651/2012 y PS/00344/2013, el tiempo de respuesta de la entidad responsable fue de unos minutos y el último de ellos afectó a 27 clientes. En el caso del procedimiento PS/00439/2014, el incidente estuvo relacionado con el acceso a datos personales de tres clientes. Finalmente, indicar que otras de las circunstancias puestas de manifiesto por JAZZTEL, con la ausencia de beneficios y perjuicios o la regularización llevada a cabo por la entidad, se tienen en cuenta para la graduación de la multa, pero no se estiman de entidad suficiente para la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, frente al resto de circunstancias concurrentes. En cuanto a la graduación de la sanción según los criterios de graduación de las sanciones establecidos en el artículo 45.4, y a diferencia de los precedentes que cita JAZZTEL en su escrito de alegaciones a la apertura del procedimiento, se tiene en cuenta, por un lado, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, que obliga a exigir un nivel de cautela y diligencia más alto, puesto que es una organización que lleva a cabo acciones a través de Internet en el desarrollo de su actividad; el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 volumen de datos personales afectados por la incidencia (los datos personales y de facturación de los clientes de JAZZTEL); que los hechos denunciados se producen por una falta de medidas de seguridad de los datos que posibilitó el acceso, sin restricción alguna, a los datos personales señalados, y no por un fallo puntual de las que hubiesen adoptado; y por otro lado, la ausencia de beneficios, que no constan perjuicios distintos de los que propiamente se derivan de la infracción, las mejoras de seguridad implementadas y la ausencia de reincidencia en la comisión de infracciones de la misma naturaleza; procede la imposición de una multa por importe de 50.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad JAZZ TELECOM, S.A.U., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
48. h)de dicha norma, una multa de 50.000 euros (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad JAZZ TELECOM, S.A.U. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es