REPOSICION-E-00781-2017

1/3 Procedimiento nº.: E/00781/2017 ASUNTO: Recurso de Reposición Nº RR/00862/2017 Examinado el recurso de reposición interpuesto por D. B.B.B. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00781/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 9 de octubre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00781/2017, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 11/10/2017, según aviso de recibo que figura en el expediente. Dichas actuaciones estuvieron motivadas por la denuncia formulada por D. B.B.B. (en lo sucesivo el recurrente) contra la entidad VODAFONE ONO, S.A.U. (en lo sucesivo VODAFONE ONO). En concreto, se denunció el acceso por parte de terceros a los datos personales del denunciante, cliente de VODAFONE ONO, a través del Área de Clientes habilitada por la misma para que puedan realizarse determinadas gestiones online; así como la modificación de los datos relativos a la identidad del denunciante, como titular de los servicios que tiene contratados con dicha entidad, habiendo añadido en el apartado correspondiente al nombre las expresiones “ C.C.C..” y “ A.A.A.”, la cual fue realizada mediante el acceso a la indicada Área de Clientes. Según indicó en su denuncia, estos hechos suponen, a su juicio, una alteración fraudulenta, maliciosa y perniciosa para el interesado que infringe el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), así como un incumplimiento del deber de secreto. La Agencia Española de Protección de Datos consideró que el área de clientes habilitada a través de la web de VODAFONE ONO dispone de las medidas de seguridad establecidas reglamentariamente y que el acceso a la información del denunciante se realizó utilizando el par usuario/contraseña correspondiente al mismo, por lo que no puede exigirse a VODAFONE ONO responsabilidad por los hechos denunciados, ni cabe entender infringido el artículo 9 de la LOPD citado. Por otra parte, se tuvo en cuenta que no fue posible determinar la autoría de tal acceso. SEGUNDO: Con fecha 13/11/2017, dentro del plazo establecido, se ha interpuesto recurso de reposición por el recurrente, recibido en esta Agencia Española de Protección de Datos en fecha 17/11/2017, en el que solicita la anulación de la resolución impugnada, en el sentido de seguir expediente sancionador frente a VODAFONE ONO. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 Señala que los hechos a los que se refiere la denuncia infringen lo dispuesto en el artículo 4.4 de la LOPD, que obliga a cancelar y sustituir de oficio los datos inexactos, y son constitutivos de la infracción tipificada en el artículo 44.3.c) de la misma norma, por cuanto VODAFONE ONO conocía la inexactitud de los datos y no los cambió inmediatamente. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Según ha quedado expuesto en los Antecedentes, en el presente caso, en el que se denuncia el acceso por parte de terceros a los datos personales del denunciante a través del Área de Clientes habilitada en la web de VODAFONE ONO, se tuvo en cuenta lo establecido en el artículo 9 de la LOPD, que obliga a dicha entidad a adoptar las medidas técnicas y organizativas necesarias para impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. Y se verificó, en concreto, que el área de clientes tiene implantadas las medias previstas en los artículos 91 y 93 del Reglamento de desarrollo de la LOPD, referidas al control de accesos y al procedimiento de comprobación de la identidad de un usuario, que requiere de un código de usuario y contraseña, distintos para cada cliente. Asimismo, la resolución impugnada tuvo en cuenta que el acceso a la información del denunciante se realizó utilizando el par usuario/contraseña correspondiente al mismo, por lo que el acceso denunciado no se lleva a cabo por un tercero no identificado ni autenticado que se aprovechara de vulnerabilidades del sistema de información, sino que se trata del acceso por parte de un tercero utilizando el código de usuario y contraseña del denunciante, es decir, correctamente identificado frente al sistema de información de VODAFONE ONO. En definitiva, como ya se indicó en la resolución recurrida, al no tratarse de una inadecuada implantación de medidas de seguridad, en lo que se refiere al control de accesos y a la identificación/autenticación de los usuarios, no puede exigirse a VODAFONE ONO responsabilidad por los hechos denunciados, ni cabe entender infringido el artículo 9 de la LOPD citado. Por otra parte, según se concluyó en las Diligencias Previas seguidas por el Juzgado de Instrucción nº X.1 de ***LOC.1, promovidas por el mismo denunciante, no fue posible determinar la dirección IP desde la que se accedió a los datos del mismo en el Área de Clientes de VODAFONE ONO, de modo que no ha sido posible determinar la autoría de tal acceso. Por tanto, de acuerdo con lo expuesto, la resolución de fecha 09/10/2017 resolvió de forma congruente las cuestiones puestas de manifiesto en la denuncia, que estaba referida expresamente a la posible vulneración del principio de seguridad de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 Ahora, en vía de recurso, el recurrente/denunciante introduce elementos nuevos, referidos al principio de calidad de datos, sin considerar lo establecido en el artículo 118.1 de la LPACAP, según el cual no se tendrán en cuenta en la resolución de los recursos hechos o alegaciones del recurrente cuando habiendo podido aportarlos no lo haya hecho. En todo caso, las mismas circunstancias que se tuvieron en cuenta para determinar la imposibilidad de exigir responsabilidad a VODAFONE ONO por el acceso al Área de Clientes por parte de un tercero, sirven en relación con la inexactitud de los datos resultante de las modificaciones realizadas por dicho tercero, cuya identidad no pudo ser concretada en las actuaciones seguidas en el orden jurisdiccional penal. Es conveniente reiterar a este respecto que el acceso se realizó utilizando el par de usuario/contraseña del denunciante, por lo que, desde el punto de vista de VODAFONE ONO, las modificaciones realizadas en los datos identificativos del mismo aparecen como realizadas por el propio afectado. Además, consta en las actuaciones que VODAFONE ONO llevó a cabo las regularizaciones oportunas, incluida la rectificación de las facturas emitidas con los datos inexactos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por B.B.B. contra la resolución de esta Agencia dictada con fecha 9 de octubre de 2017, en el expediente de actuaciones previas de inspección E/00781/2017. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es