REPOSICION-PS-00687-2014

1/22 Procedimiento nº.: PS/00687/2014 ASUNTO: Recurso de Reposición Nº RR/00602/2015 Examinado el recurso de reposición interpuesto por la entidad ANDALEX SERVICIOS JURÍDICOS, S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00687/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 11 de junio de 2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00687/2014, en virtud de la cual se imponía a la entidad ANDALEX SERVICIOS JURÍDICOS, S.L. (en lo sucesivo ANDALEX), una sanción de 20.000 euros (veinte mil euros), por la vulneración de lo dispuesto en el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.h), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 15/06/2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00687/2014, quedó constancia de los siguientes: <<1. La entidad ANDALEX es titular del dominio “andalex.es”, al que los usuarios acceden mediante su identificación y contraseña. Este dominio dispone de un sistema unificado de copias de seguridad en un espacio ftp habilitado en el mismo. 2. ANDALEX tiene contratados los servicios de hosting, intercambio de ficheros y correo electrónico corporativo con la entidad DataRush IT Services, S.L., que interviene como encargado del tratamiento. En la documentación correspondiente a esta contratación no se incluyen previsiones específicas sobre la adopción de medidas de seguridad. 3. ANDALEX presta servicios a Caixabank para la dirección letrada de los procedimientos ejecutivos, ordinarios e hipotecarios de la entidad. En el apartado 9 del pliego de condiciones que rige la contratación se establece el carácter confidencial del servicio y de cualquier información, documentación o datos relativos al mismo, así como aquellos que la firma adquiera o reciba de la entidad con motivo de la prestación del servicio. Este compromiso consta formalizado, asimismo, en el acuerdo de confidencialidad suscrito en fecha 28/08/2012, en el que además se especifica que los datos de carácter personal facilitados por la entidad bancaria “serán integrados en ficheros de los que el DESPACHO es responsable para ser tratados con la única y exclusiva finalidad de dar cumplimiento a la representación procesal encomendada”. 4. Según la información facilitada por Caixabank, con fecha 05/07/2013, uno de los letrados de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 ANDALEX solicitó al proveedor informático que solucionara unos problemas advertidos en el acceso al dominio andalex.es y en la actualización del contenido de algunas carpetas, lo que exigió una deshabilitación puntual de algunas medidas de acceso a esas carpetas. 5. Con fecha 07/08/2013, un representante de Caixabank remitió un correo electrónico a varios destinatarios, entre ellos al representante de ANDALEX, con el asunto “MUY MUY URGENTE.EN LA WEB DE ANDALEX SE VEN DEMANDAS DE CAIXABANK Y OTRA DOCUMENTACIÓN”, advirtiendo sobre una queja de un cliente (el tercero) que había sido demandado y cuyos datos, junto a los de otros clientes demandados, figuraban accesibles a través de internet. En esta comunicación se hace referencia a la filtración de diversos documentos de varios clientes: telegramas de requerimiento de pago, escritura de hipoteca, acta notarial de certificación de la deuda, demanda hipotecaria. En dicho correo se indica lo siguiente: <<1.-… nos traslada en el correo que sigue al presente que el cliente… (nombre y primer apellido del tercero) se ha dirigido a su Oficina… pidiéndole explicaciones de por qué la demanda hipotecaria que habíamos interpuestos contra él… aparece visible para todo el mundo en la web de andalex.es, y no sólo la suya sino que también es visible la de otros clientes demandados: - los 2 correos adjuntos al presente… evidencian lo anterior, sobre todo el primero de ellos que incorpora 5 capturas de documentos: los telegramas de requerimiento de pago, la escritura de hipoteca, el acta notarial de certificación de la deuda, así como un Word consistente en la demanda hipotecaria… interpuesta contra los Sres… (nombre y apellidos de otro cliente) y otros - como os digo, éstas capturas las ha facilitado… (el tercero) a la Oficina, ignoramos si… (otro cliente) u otras personas (clientes o

1. no)lo han advertido también o no, - esta tarde también he intentado contactar, sin éxito, con DATARUSH (el proveedor… que tenéis para la web), - no hace falta que os diga que ello es altamente gravoso por atentar contra la LOPD y, en caso de denuncia, la indemnización por daños y perjuicios es muy elevada. 2.- De hecho, acabo de acceder a google, pincho en Andalex.es y a las 19:03 h el pantallazo que veo es el siguiente…: (detalle de los enlaces obtenidos a través de Google como resultado de la búsqueda) Si bien es cierto que cuando pincho encima de alguno de los contenidos marcados en amarillo aparece "NO SE PUEDE ENCONTRAR LA PÁGINA WEB", NINGUNO DE ELLOS DEBERÍA NI TAN SIQUIERA SER VISIBLE Confío que lo que dice el cliente… (el tercero) no sea cierto y que él tampoco puede abrir tales documentos ("Nosotros no podemos abrir la página, pero el cliente dice que el sí y que están todos sus datos...". 3.- Por favor, en evitación de serios problemas de índole reputacional (si nos denuncian ante la Agencia Española de Protección de Datos) así como de elevadas sanciones económicas, con la máxima urgencia posible precisamos que: 3.1.- nos hagáis llegar un INFORME lo más exhaustivo posible sobre esta incidencia que asumo que ya habíais advertido y que remediasteis (parcialmente) de inmediato: porqué ocurrió, qué datos se colgaron, de que asuntos y letrados, durante cuantos días, etc. , 3.2.- verifiquéis que efectivamente es imposible acceder al contenido de lo marcado en amarillo de la web andalex.es (para tranquilidad nuestra y argumentación al cliente), 3.3.- así como, a la mayor urgencia, hagáis lo oportuno para que inmediatamente desaparezcan de vuestra web todas esas entradas, que no queden ni rastro de ellas a pesar de que, por lo menos yo, no pueda acceder a su contenido>>. 6. Con fechas 9 y 12/08/2013, la entidad ANDALEX remitió sendos correos electrónicos en los que informa a Caixabank que está a la espera del informe de su proveedor para enviar su propio informe sobre la incidencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 7. Con fecha 12/08/2013, en relación con la comunicación reseñada en el Hecho Probado Quinto, dentro del mismo hilo, un representante de ANDALEX remitió un correo electrónico con el siguiente texto: “Andalex no tiene una estructura informática centralizada ni publica página web, sino que mantiene un dominio corporativo para la gestión de correo. Igualmente, y para poder garantizar el mantenimiento del servicio a Caixa, aún en el caso de que por cualquier causa alguno de los letrados que integran el despacho se viera impedido de continuar con su labor, se estableció un sistema unificado de copias de seguridad que se realizan a un espacio ftp habilitado en el mismo dominio. Al mismo sólo se puede acceder mediante identificación de usuario y contraseña, que se encuentra a disposición de cada uno de los despachos profesionales que integran la sociedad de prestación de servicios los cuales pueden notificar directamente al proveedor, cualquier problema que puedan tener. Todos estos servicios los tiene contratados con un Datacenter denominado DataRush IT Services SL ya que no tiene medios propios para ello. Con fecha 5 de Julio de 2013, uno de los letrados integrantes de la actividad venía teniendo problemas de acceso al dicho espacio para actualizar el contenido de algunas carpetas. Así que pidió al informático que presta servicios en su despacho que le auxiliara para la solución del problema. Este se puso en contacto con el departamento técnico de DataRush y solicitó que deshabilitaran el acceso con contraseña para esas carpetas. Así se realizó y durante varios días estuvo realizando tareas hasta solucionar el problema. Probablemente por olvido no se dieron instrucciones claras al proveedor de cerrar el acceso a dichas carpetas, y las mismas quedaron abiertas. El día 30 de Julio a las 23.00 aproximadamente de la noche se recibió llamada de un procurador amigo que había detectado el problema, y antes de las 24.00 horas del mismo día se cerró dicho acceso de tal manera que no era posible desde internet el acceso a dicho contenido sin contraseña. Tras recibir vuestro mail deI 7 de Agosto […] se dieron también instrucciones de que no aparecieran ninguna publicación en el dominio, ni siquiera los índices.” 8. Con fecha 14/08/2013, la Asesoría Jurídica de Caixabank remitió una comunicación electrónica, en el mismo hilo, exponiendo que “al parecer, el causante de la incidencia es el proveedor de servicios informáticos del propio despacho, Data Rush IT Services, S.L., que dejó (no sabemos si a instancias del propio despacho) un espacio ftp abierto sin contraseña. Por lo que hemos podido saber hasta ahora, la información del despacho ha podido estar sin proteger desde el 5 hasta el 7 de julio, y aun no sabemos exactamente como ha acabado referenciada en Google, aunque suponemos que, al no estar protegida, los motores de búsqueda la han encontrado e indexado […] Como medidas correctoras, nos consta que el propio despacho insto que los documentos no se encontraran en la red, y nos dicen que ha solicitado a Google que retire también la información que pueda quedar en cache”. 9. Con fecha 31/01/2014, la denunciante formuló denuncia ante la AEPD por la publicación en el sitio web www.andalex.es de varios documentos con sus datos personales y los de sus familiares, vinculados con una empresa familiar. En este escrito de denuncia, la afectada manifiesta haber accedido a la documentación obtenida publicada en la citada página web, en la que figuraban sus datos, los de su esposo y los de su suegra; y aportó copia impresa de un documento localizado a través del buscador Google, cuya dirección web aparece vinculada al dominio andalex.es (en la URL www.andalex.es.......) y que contiene el texto de una demanda de ejecución dineraria presentada ante el Juzgado de 1ª instancia de Cazorla por la procuradora de Caixabank contra la empresa de la denunciante. En el documento figura el domicilio, número de DNI y el nombre y apellidos de la afectada y de otras dos personas, vinculadas todas ellas con la mercantil citada, y se incluyen detalles del contrato de préstamo suscrito con la entidad bancaria, así como de la deuda asociada. El documento contiene el pie de firma de la procuradora y de un abogado, junto a su número de colegiado y su vinculación con la entidad ANDALEX. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 La denunciante aportó el resultado de la búsqueda realizada a través de Google, con el nombre y apellidos del cónyuge de la denunciante como criterio, contiene un enlace al citado documento con el siguiente detalle: [DOC] Demanda ........doc www.andalex.es........ DON A.A.A., con DNI numero… y con… de 2007, se formalizó entre mi mandante y la mercantil ....... S.L.,…”. 10. Con fecha 07/02/2014, por la Inspección de Datos se realizaron búsquedas a través de Google vinculadas al dominio andalex.es, con el nombre y apellidos de la denunciante y su cónyuge como criterio, no obteniéndose resultados>>. TERCERO: Con fecha 14/07/2015, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad ANDALEX, recibido en esta Agencia Española de Protección de Datos en fecha 20/07/2015, en el que reitera los argumentos recogidos en sus escritos de alegaciones a la apertura del procedimiento y a la propuesta de resolución, los cuales se reproducen literalmente casi en su totalidad en el escrito de recurso, algunos fragmentos en dos ocasiones. Así, se refiere nuevamente a la existencia de una denuncia por los mismos hechos, de fecha 01/10/2013, a la que se asignó el número E/06248/2013, que fue archivada mediante Resolución de 22/10/2013, y a la nueva denuncia que se formula el 31/01/2014, cuatro meses después del archivo de la anterior, a la que se dio el número E/01221/2014, que ha dado lugar al procedimiento sancionador, señalando la anormalidad que supone abrir nuevos procedimientos por hechos que ya han sido objeto de procedimientos administrativos previos. Reitera que no se eliminaron las medidas de seguridad del sistema empleado para el tratamiento de los datos, que exigía las correspondientes credenciales de acceso, y niega que éstas hubiesen sido sustituidas durante unos días por una contraseña “débil”, señalando que el informe pericial aportado únicamente se refería al establecimiento de una contraseña provisional de seis caracteres, inferior a la empleada normalmente por el sistema, de ocho caracteres; además, de acuerdo con la naturales del sistema, no es posible que se deshabilitaran las contraseñas; que el sistema sufrió un ataque por “fuerza bruta”; y que, desde el mismo instante en que tuvieron conocimiento de esta quiebra de seguridad, ejercitaron todas las medidas a su alcance en orden a limitar y subsanar la misma. Insiste en señalar que los únicos datos personales afectados pertenecen a la esfera empresarial, contenidos en documentos judiciales llamados a ser de disposición pública; que no existen pruebas que acrediten los hechos que fundamentan la resolución y sustenten la vulneración imputada a ANDALEX y que estas pruebas no resultan de las manifestaciones de ANDALEX y Caixabank, S.A., que siempre negaron la posibilidad de acceder a la información; y que la mera existencia de un incidente de seguridad no puede interpretarse como una deficiente implantación de las medidas. Considera, por tanto, que falta el elemento objetivo del tipo definitorio de la conducta sancionable. Subsidiariamente, solicita de nuevo la aplicación de lo dispuesto en el artículo 45.6 de la LOPD; y, en relación con la graduación de la sanción, solicita que se reduzca la misma considerando las actuaciones realizadas para subsanar el incidente, que no se produjo un indexación por el buscador Google, sino que se procedió a mostrar la ruta a determinada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 documentación que contenía el nombre, así como el resto de criterios establecidos en el artículo 45.4 de la misma norma (no se trata de una infracción continuada, el volumen de tratamientos, la escasa vinculación de la actividad de ANDALEX con el tratamiento de datos personales, el tipo de actividad de la misma, la ausencia de beneficios, de intencionalidad, reincidencia y perjuicios, y la acreditación de que con anterioridad disponía de procedimientos adecuados en la recogida y tratamiento de los datos). FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la entidad recurrente, que reproducen, básicamente, las alegaciones ya presentadas durante tramitación del procedimiento, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a XII de la Resolución recurrida, R/00477/2015, de 11/06/2015, en la que se considera que la entidad ANDALEX incumplió lo dispuesto en el artículo 9 de la LOPD, y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indica lo siguiente: <<II Con fecha 01/10/2013, la denunciante presentó una denuncia ante la Agencia Española de Protección de Datos, que fue señalada con el número de expediente E/06248/2014, en la que exponía la publicación en el sitio web www.andalex.es de varios documentos con sus datos personales y los de sus familiares, vinculados con una empresa familiar, aunque no aportaba documentación alguna que sirviera de prueba de tales manifestaciones. Con motivo de esa denuncia, el día 14/10/2013, por la Subdirección General de Inspección de Datos se realizó una búsqueda a través de Google, con los apellidos de la denunciante como criterio y vinculada a la web reseñada, que no ofreció resultado alguno. En consecuencia, la denuncia de 01/10/2013 fue archivada por resolución de la AEPD de en fecha 22 de octubre, “al no haberse hallado elementos probatorios que permitan establecer de forma fehaciente que se hayan producido los hechos denunciados”. Posteriormente, en fecha 31/01/2014, se recibió una nueva denuncia por los mismos hechos, es decir, por la publicación en la citada página web de los datos personales de la denunciante, los de su esposo y los de su suegra. Esta nueva denuncia, a diferencia de la anterior, se presentó acompañada del resultado de la búsqueda realizada a través de Google y un documento localizado a través del dicho buscador de Internet, cuya dirección web aparece vinculada al dominio andalex.es. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 Se acordó, por tanto, la realización de actuaciones previas de investigación, que se siguieron con el número E/01221/2014, y cuyo resultado ha dado lugar a la apertura del presente procedimiento sancionador. Ninguna irregularidad formal se aprecia en las actuaciones anteriores. III El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
2. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
3. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero accedido, atendiendo a su contenido (datos personales relativos a domicilio, número de DNI y el nombre y apellidos de la afectada y de otras dos personas, así como detalles del contrato de préstamo suscrito con Caixabank, la deuda asociada y bienes cuya titularidad les corresponde), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. IV De los artículo 1 y 2.1 de la LOPD citados se deduce claramente que el ámbito subjetivo de aplicación de la LOPD no ampara a las personas jurídicas, que no gozarán de ninguna de las garantías establecidas en la Ley, y que tan sólo resulta aplicable al tratamiento de datos de carácter personal relacionados con personas físicas. El fundamento de la delimitación de este ámbito de aplicación reside en que si la protección de los datos personales se refiere a la intimidad personal y familiar, no puede entenderse que las empresas gocen de la citada intimidad y, por tanto, no puede ser aplicable a éstas, aun cuando la actividad de la empresa en el tráfico jurídico se deba realizar necesariamente a través de un apoderamiento a favor de una persona física. De este modo, quedarán excluidos de las garantías de la LOPD los datos que se refieran a personas jurídicas, en todos los casos, así como los relativos a los profesionales (en aquellos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 casos en los que organicen su actividad bajo la forma de empresa, ostentando, en consecuencia, la condición de comerciante a la que se refieren los artículos primero y siguientes del Código de Comercio) y a los empresarios individuales siempre que su actividad comercial o profesional pueda diferenciarse en cada caso, de manera clara y determinante, de su propio entorno de privacidad como persona física. En definitiva, tanto las personas jurídicas, en todo caso, como los profesionales y los comerciantes individuales, cuando realizan una actividad que pueda distinguirse sin duda de su actividad privada, quedarán fuera del ámbito de aplicación subjetivo de la LOPD. Estos dos últimos sólo en los estrictos términos anteriormente señalados, esto es, cuando sus datos hayan sido tratados tan sólo en su consideración de empresarios o profesionales individuales. En sentido contrario, tanto los profesionales como los comerciantes individuales quedarán bajo el ámbito de aplicación de la LOPD y, por tanto, amparados por ella, cuando los primeros no tuvieran organizada su actividad profesional bajo la forma de empresa, no ostentando, en consecuencia, la condición de comerciante (es el caso de los profesionales liberales), y los segundos cuando no fuera posible diferenciar en cada caso, clara y terminantemente, su actividad mercantil del propio entorno de su privacidad como persona física. En estos dos casos deberán aplicarse siempre las garantías y principios reconocidos en la LOPD dada la naturaleza fundamental del derecho a proteger. A este respecto, el artículo 2.3 del Real decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece lo siguiente: “3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal”. En base a lo expuesto, será necesario analizar cada caso individualizadamente, para determinar si la actuación de que se trate afecta al derecho fundamental a la protección de datos de los interesados personas físicas, o, por el contrario, incide tan sólo en la esfera de la actividad comercial o profesional. En el presente caso, la información relativa a los afectados (la denunciante, su esposo y su suegra) aparecen en una demanda de ejecución dineraria motivada por un contrato de préstamo formalizado por la entidad ......., S.L. con Caixabank. Dicha demanda se dirige contra la citada mercantil y contra los tres afectados indicados. Sin embargo, en ninguna parte del documento se refiere que los afectados, todos ellos, intervengan en calidad de empresarios, ni siquiera en calidad de representantes de la sociedad, de modo que no puede decirse que la información relativa a los mismos incide tan solo en la esfera de la actividad empresarial de forma clara y diferenciada de su entorno privado. Tampoco existe ninguna indicación sobre los bienes que se relacionan en el documento de demanda y su naturaleza de bienes afectos a actividades económicas o pertenecientes al patrimonio personal de los afectados. En consecuencia, el tratamiento de los datos de que traen causa las presentes actuaciones de inspección se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD. V El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
4. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
5. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. VI Se imputa a la entidad ANDALEX el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
6. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
7. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
8. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
9. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
10. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
11. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
12. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
13. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
14. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal tratados por la entidad ANDALEX para la ejecución de los servicios de asistencia letrada que presta a Caixabank, correspondiendo adoptar las calificadas de nivel medio, teniendo en cuenta el tipo de datos que incluye, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Los artículos 91 y 93 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
15. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad ANDALEX está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas previstas para sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, la citada entidad incumplió esta obligación, al haber quedado acreditada la posibilidad de acceder a través del dominio andalex.es, sin restricción alguna, a los datos personales relativos a clientes de Caixabank contra los que esta entidad inició acciones judiciales cuya formalización se encomendó a ANDALEX, que fueron indexados por el buscador de Internet Google en el dominio andalex.es. En concreto, consta que, a través de este buscador y con el nombre y apellidos de los afectados como criterio de búsqueda, se pudo acceder a los datos personales de la denunciante y otros dos familiares suyos contenidos en un documento localizado a través del buscador Google, cuya dirección web aparece vinculada al dominio andalex.es (en la URL www.andalex.es.......), el cual contiene el texto de una demanda de ejecución dineraria presentada por la procuradora de CAIXABANK contra la empresa de la denunciante. En el documento figura el domicilio, número de DNI y el nombre y apellidos de la afectada y de otras dos personas, vinculadas todas ellas con la mercantil citada, y se incluyen detalles del contrato de préstamo suscrito con la entidad bancaria, así como de la deuda asociada. El documento contiene el pie de firma de la procuradora y de un abogado, junto a su número de colegiado y su vinculación con la entidad ANDALEX. La entidad ANDALEX ha manifestado que la documentación y su contenido no eran accesibles, produciéndose la indexación por Google únicamente sobre las cabeceras de la estructura ftp y directorios del sistema, mostrando la ruta que contenía el acceso a determinada documentación que estaba referenciada con el nombre del afectado. Sin embargo, la documentación aportada con la denuncia permite concluir lo contrario, al igual que el contenido de los correos electrónicos remitidos a ANDALEX por Caixabank, aportados por esta entidad a los Servicios de Inspección durante la fase previa de investigación, en los que se hace referencia a otros correos electrónicos de terceros que habían adjuntado cinco capturas de pantalla relativas a los documentos accedidos. Por otra parte, el acceso al contenido de los documentos por parte de Google se acredita igualmente por los enlaces obtenidos como resultados de las búsquedas realizadas con dicho buscador de Internet, que muestra parte de ese contenido. La denunciante aportó el resultado de la búsqueda realizada a través de Google, con el nombre y apellidos de su cónyuge como criterio, obteniendo un enlace al documento denominado Demanda ........doc” con detalle de otra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 información distinta a la referencia del documento obtenida de su contenido, como el nombre completo del cónyuge de la denunciante, su DNI y la entidad mercantil constituida por los mismos: [DOC] Demanda ........doc www.andalex.es........ DON A.A.A., con DNI numero… y con… de 2007, se formalizó entre mi mandante y la mercantil ....... S.L.,…”. Lo expuesto prueba que Google accedió al contenido de los documentos. Por otra parte, se concluye que la incidencia se produce por deficiencias de seguridad apreciadas en el sistema de información de ANDALEX. Así consta en el informe aportado a Caixabank por representantes de esta entidad, en un correo electrónico de 12/08/2013, en el que se ofrece una explicación sobre las causas que la motivaron, relacionadas con la modificación de una contraseña y con unas carpetas que quedaron abiertas, con acceso no restringido. En dicho correo se indica lo siguiente: “Con fecha 5 de Julio de 2013, uno de los letrados integrantes de la actividad venía teniendo problemas de acceso al dicho espacio para actualizar el contenido de algunas carpetas. Así que pidió al informático que presta servicios en su despacho que le auxiliara para la solución del problema. Este se puso en contacto con el departamento técnico de DataRush y solicitó que deshabilitaran el acceso con contraseña para esas carpetas. Así se realizó y durante varios días estuvo realizando tareas hasta solucionar el problema. Probablemente por olvido no se dieron instrucciones claras al proveedor de cerrar el acceso a dichas carpetas, y las mismas quedaron abiertas. El día 30 de Julio a las 23.00 aproximadamente de la noche se recibió llamada de un procurador amigo que había detectado el problema, y antes de las 24.00 horas del mismo día se cerró dicho acceso de tal manera que no era posible desde internet el acceso a dicho contenido sin contraseña. Tras recibir vuestro mail deI 7 de Agosto […] se dieron también instrucciones de que no aparecieran ninguna publicación en el dominio, ni siquiera los índices”. En sus alegaciones a la apertura del procedimiento, ANDALEX niega esta causa de la incidencia señalando que la explicación se ofreció por una persona sin cualificación técnica, a pesar de que las comunicaciones remitidas por dicha entidad a Caixabank hacen referencia a la consulta que ANDALEX realiza a su proveedor de servicios informáticos para explicar lo sucedido. En dichas alegaciones, amparándose en un informe pericial aportado al efecto, ANDALEX se refiere a un “ataque” de los denominados por “fuerza bruta” sufrido por su sistema de información, realizado por programas de ordenador que rastrean sitios y direcciones web sin un patrón predefinido para desactivar las medidas de seguridad, y que escapan del control y de la exigencia debida de la que responden los responsables y encargados del tratamiento de los datos personales. No obstante, dicha entidad fue requerida expresamente para que aportase la documentación de soporte de dicho informe pericial, incluidos los log de acceso al servicio de hosting de andalex.es y las direcciones IP que pudieron acceder al sistema de información, y en respuesta a este requerimiento aportó un listado de los logs de acceso al site andalex.es, con detalle de la IP origen del acceso, la fecha en que tuvo lugar y la ruta visitada, así como un anexo resumen con las IPs que accedieron durante el período comprendido entre el 7 de julio y el 13 de agosto de 2013, con indicación del número de visitas por IP. Examinada dicha documentación se comprueba que los primeros accesos, que tuvieron lugar el 07/07/2013, fueron realizados desde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 una IP cuya titularidad corresponde a Google, con las siguientes rutas visitadas: . “GET/..............”. . “GET/..............1” Por tanto, no es cierto que el sistema hubiera sufrido un ataque automatizado y los servicios de Google hubieran indexado la información durante el nexo temporal que hubo entre dicho ataque y las medidas correctivas puestas en marcha por ANDALEX. En cualquier caso, el mismo informe pericial coincide con la explicación ofrecida inicialmente, antes reseñada, al señalar una deficiencia apreciada en una contraseña de acceso como una debilidad del sistema que permitió el “ataque” al que se refiere: “A petición de un usuario autorizado de Andalex la empresa suministradora del servicio modifica la contraseña del servicio FTP para el acceso al intercambio de ficheros… La contraseña modificada es proporcionada por el usuario autorizado de ANDALEX al personal técnico de la empresa suministradora del servicio y ésta con la autorización del cliente, procede a su cambio o modificación… Se solicita a la empresa suministradora del servicio, la contraseña proporcionada en su día por dicho usuario y se procede a la comprobación de las medidas de seguridad La longitud de la nueva contraseña es de 8 caracteres y solo contiene caracteres alfabéticos. Probablemente por sencillez para el usuario final. Se procede a la comprobación de la contraseña modificada: El resultado tras dicha comprobación con las herramientas disponibles en internet, se determina que la nueva contraseña por sus características y extensión, no era la adecuada, ya que se cataloga como contraseña con un nivel de seguridad etiquetado como “regular” (también conocido como débil)… La contraseña débil de uno de los usuarios con privilegios de totales (escritura, lectura y modificación) permitió que cualquier jacker con un ataque denominado “por fuerza bruta mediante librería” es decir genere con un software malicioso, multitud de contraseñas, en poco tiempo vulnere la seguridad del acceso ftp del dominio andalex.es” (el subrayado es de la AEPD). En el apartado “Conclusiones”, este informe pericial añade: “Debo añadir que no existe el 100% de seguridad en Internet… Si a este hecho la añadimos que en un momento en concreto se relaja la seguridad de la contraseña del acceso ftp, esto permite que el jacker o software malicioso se instale en un directorio con permisos para ejecutar ficheros o script con malas intenciones causando perjuicios para el propietario de dicho site y como en este caso a terceros, con la publicación de la jerarquía de directorios y ficheros del site FTP convirtiendo esta información en html accesible por puerto 80. Entiendo según mi criterio, que ANDALEX ha sido una víctima más de la inseguridad que hay en internet aumentando la probabilidad de serlo al relajar uno de los usuarios la contraseña de acceso al servicio FTP y que ha sido de manera no intencionada y por desconocimiento de este, de los efectos secundarios de dicha modificación”. Así, según este informe, existe una relación entre el acceso a los datos personales y la inexistencia de las medidas adecuadas para impedirlo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 No se trata, por tanto, en contra de las manifestaciones realizadas en los escritos de alegaciones, de imponderables que escapen del control y de la exigencia debida, como manifiesta ANDALEX. No se trata de ningún caso fortuito, ni la actividad probatoria se limita a las impresiones de pantalla aportadas por la denunciante. Se trata de deficiencias apreciadas en el sistema de información de la entidad ANDALEX, en su ámbito de responsabilidad, que quedaron acreditadas por la documentación aportada por el denunciante y por las comprobaciones realizadas por los Servicios de Inspección, relativas a la identificación y autenticación de las personas que acceden al sistema. Así, los datos personales de los clientes de Caixabank tratados por ANDALEX resultaron accesibles, sin restricción, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que ANDALEX ha incurrido en la infracción grave descrita. ANDALEX es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad. VII En todo caso, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional en la misma Sentencia citada en el Fundamento de Derecho anterior, así como en su Sentencia de 11/12/2008 (recurso 36/08), en la que indica lo siguiente: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad ANDALEX la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. VIII El artículo 44.3.
16. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que ANDALEX ha incurrido en la infracción grave descrita. IX El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan de la difusión a través de Internet de los documentos afectados por la incidencia de seguridad. Por tanto, procede analizar el cumplimiento por parte de dicha entidad del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que la entidad ANDALEX vulneró este deber de confidencialidad en relación con los datos personales de la denunciante y otros clientes de Caixabank, entre ellos, dos familiares de la denunciante, según el detalle recogido en el Hecho Probado Noveno. Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los clientes afectados. X La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
17. d)de la LOPD. En este precepto se establece lo siguiente: “
18. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los afectados fueron divulgados a terceros por la entidad ANDALEX, no habiéndose acreditado que aquéllos hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a ANDALEX se ajusta a la tipificación prevista en el 44.3.
19. d)de la LOPD. XI Los hechos constatados, que resulta del acceso por parte de terceros a los datos personales registrados en los ficheros de ANDALEX sin el consentimiento de sus titulares, constituye una base fáctica para fundamentar la imputación a dicha entidad de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, si una información contenida en un fichero sale del ámbito de la entidad responsable de su confidencialidad, se está produciendo un incumplimiento de las medidas de seguridad exigidas a dicho responsable que, a su vez, deriva en una vulneración del deber de secreto profesional. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción correspondiente a la infracción del artículo 9 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. XII El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
20. a)El carácter continuado de la infracción.
21. b)El volumen de los tratamientos efectuados.
22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
23. d)El volumen de negocio o actividad del infractor.
24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
25. f)El grado de intencionalidad.
26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad imputada, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. La imputada ha solicitado la aplicación de este artículo considerando que cumplían las obligaciones que se derivan del tratamiento de datos personales, que los hechos acontecidos exceden totalmente de las funciones de control, así como los esfuerzos realizadas para subsanar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 el incidente de seguridad y limitar su repercusión. Aunque no puede aceptarse que los hechos excedan de las funciones de control que corresponden a la entidad responsable de un sistema de información, alegada por ANDALEX, a juicio de esta Agencia se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando que los hechos denunciados se producen por un fallo puntual de las medidas de seguridad adoptadas y por la diligencia mostrada por ANDALEX en la subsanación de la incidencia, una vez tuvo conocimiento de la misma (se modifican las contraseñas y se solicita al buscador de Internet la eliminación de la información), así como por la ausencia de reincidencia. En cuanto a la graduación de la sanción, según los criterios establecidos en el artículo 45.4, se tiene en cuenta, por un lado, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal; y el volumen de datos personales afectados por la incidencia; y por otro lado, la naturaleza de la información afectada por la incidencia y el tipo de actividad que desarrolla ANDALEX, que le obligan a adoptar diligentemente las cautelas necesaria para garantizar su confidencialidad; por lo que procede la imposición de una multa por importe de 20.000 euros. La entidad ANDALEX ha solicitado la imposición de una multa inferior considerando circunstancias que ya han sido valoradas anteriormente, como la escasa repercusión del incidente y la falta de intencionalidad (volumen de tratamientos afectados por la incidencia y fallo puntual) y otras que no acredita, como el volumen de facturación. Sin embargo, no considera otras de las expuestas, que actúan como agravantes>>. III Según ha quedado expuesto, el escrito de recurso reproduce las alegaciones formuladas durante la tramitación del procedimiento, que ya fueron analizadas y desestimadas en los Fundamentos de Derecho transcritos, que contienen un pronunciamiento expreso sobre todos los aspectos reseñados por ANDALEX. A lo reseñado en dichos Fundamentos de Derecho cabe remitirse para entender suficientemente probada la infracción declarada, que, siguiendo los criterios recogidos por la Audiencia Nacional en sus sentencias, se considera una infracción de resultado, de modo que no se entiende consumada únicamente cuando no se hubiesen implementado las medidas previstas reglamentariamente, sino también cuando las que se hubiesen adoptado resultaran insuficientes o inadecuadas para evitar el acceso a la información por parte de terceros. En este caso no se niega la existencia de medidas de seguridad implementadas en el sistema de información de la recurrente, previas al incidente de seguridad que ha dado lugar a las actuaciones. Lo determinante es que la información hace referencia a datos personales, según se argumenta en el Fundamento de Derecho Cuarto, y que dicha información, por las circunstancias que se detallan en la resolución impugnada, pudo ser accedida por buscadores de Internet y quedó a disposición de terceros sin restricciones, habiendo sido varias las circunstancias que han determinado la responsabilidad de ANDALEX en dicho resultado, y no sólo las manifestaciones realizadas por la misma y por Caixabank, S.A. a los Servicios de Inspección de la Agencia durante la fase previa de investigación. Cabe remitirse a lo indicado en el Fundamento de Derecho Sexto, en el que se detallan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 las conclusiones sobre los hechos determinantes de la infracción, que no han merecido ninguna atención por parte de ANDALEX en su recurso, en el que limita a reproducir sus alegaciones anteriores. En dicho Fundamento se pone de manifiesto que resultó acreditada en el procedimiento “la posibilidad de acceder a través del dominio andalex.es, sin restricción alguna, a los datos personales relativos a clientes de Caixabank contra los que esta entidad inició acciones judiciales cuya formalización se encomendó a ANDALEX, que fueron indexados por el buscador de Internet Google en el dominio andalex.es”, que con el nombre y apellidos de los afectados como criterio de búsqueda, se pudo acceder a los datos personales de la denunciante y otros dos familiares suyos contenidos en un documento en la URL www.andalex.es......., y no sólo a las cabeceras de la estructura ftp y directorios del sistema de ANDALEX (consta probado que Google accedió al contenido del documento), y que esto se produce por una deficiencia de seguridad en el sistema, sobre la que fueron informados los Servicios de Inspección por Caixabank, S.A., que se remitía a las explicaciones ofrecidas por los responsables de ANDALEX y el proveedor de servicios informáticos de ésta. En el mismo Fundamento se demuestra, asimismo, “no es cierto que el sistema hubiera sufrido un ataque automatizado y los servicios de Google hubieran indexado la información durante el nexo temporal que hubo entre dicho ataque y las medidas correctivas puestas en marcha por ANDALEX”, y la cuestión relativa a la modificación de las contraseñas de acceso al sistema y su relación con el acceso a los datos personales en cuestión, así concluida en el Informe Pericial aportado por la propia ANDALEX. En base a todo ello, se consideró que, el presente caso, no se refiere a “imponderables que escapen del control y de la exigencia debida, como manifiesta ANDALEX. No se trata de ningún caso fortuito, ni la actividad probatoria se limita a las impresiones de pantalla aportadas por la denunciante. Se trata de deficiencias apreciadas en el sistema de información de la entidad ANDALEX, en su ámbito de responsabilidad, que quedaron acreditadas por la documentación aportada por el denunciante y por las comprobaciones realizadas por los Servicios de Inspección, relativas a la identificación y autenticación de las personas que acceden al sistema”. En relación con el precedente invocado por la recurrente, señalado con el número de referencia E/06248/2013, ya se advirtió en los repetidos fundamentos que no se trata de un procedimiento, sino un número de asunto asignado a una denuncia que fue inadmitida mediante resolución de 22/10/2013, al no aportar ninguna evidencia sobre los hechos denunciados y en vista de la comprobación realizada por la AEPD “a través de Google, con los apellidos de la denunciante como criterio y vinculada a la web reseñada, que no ofreció resultado alguno”. Se acordó no dar curso a la denuncia, que no adjuntaba ninguna prueba sobre las manifestaciones contenidas en la misma. Por tanto, en contra de lo indicado en el recurso de ANDALEX, no existe ningún procedimiento administrativo previo que se hubiese pronunciado sobre el fondo del asunto resolviendo la inexistencia de responsabilidad. En el Fundamento de Derecho Segundo de la Resolución impugnada, antes transcrito, se advertía al respecto lo siguiente: “Con fecha 01/10/2013, la denunciante presentó una denuncia ante la Agencia Española de Protección de Datos, que fue señalada con el número de expediente E/06248/2014, en la que exponía la publicación en el sitio web www.andalex.es de varios documentos con sus datos personales y los de sus familiares, vinculados con una empresa familiar, aunque no aportaba documentación alguna que sirviera de prueba de tales manifestaciones. Con motivo de esa denuncia, el día 14/10/2013, por la Subdirección General de Inspección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 Datos se realizó una búsqueda a través de Google, con los apellidos de la denunciante como criterio y vinculada a la web reseñada, que no ofreció resultado alguno. En consecuencia, la denuncia de 01/10/2013 fue archivada por resolución de la AEPD de en fecha 22 de octubre, “al no haberse hallado elementos probatorios que permitan establecer de forma fehaciente que se hayan producido los hechos denunciados”. Posteriormente, en fecha 31/01/2014, se recibió una nueva denuncia por los mismos hechos, es decir, por la publicación en la citada página web de los datos personales de la denunciante, los de su esposo y los de su suegra. Esta nueva denuncia, a diferencia de la anterior, se presentó acompañada del resultado de la búsqueda realizada a través de Google y un documento localizado a través del dicho buscador de Internet, cuya dirección web aparece vinculada al dominio andalex.es. Se acordó, por tanto, la realización de actuaciones previas de investigación, que se siguieron con el número E/01221/2014, y cuyo resultado ha dado lugar a la apertura del presente procedimiento sancionador. Ninguna irregularidad formal se aprecia en las actuaciones anteriores”. Por otra parte, ANDALEX ha solicitado la aplicación al presente caso de lo dispuesto en el apartado 6 del artículo 45 de la LOPD, que establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
35. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
36. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Se trata de una petición que no fue planteada durante el procedimiento impugnado y que ha de ser rechazada. Además, en el presente caso, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el citado artículo 45.6 de la LOPD, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, se considera la especial diligencia que ha de exigirse a ANDALEX por la actividad que desarrolla y la naturaleza de la información que maneja, así como los motivos que determinaron la brecha de seguridad, resultado de una negligencia de dicha entidad. En cuanto a la graduación de la multa, en la resolución impugnada ya se tuvo en cuenta la actuación desarrollada por ANDALEX para subsanar el incidente y la ausencia de reincidencia, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 consideradas para fundamentar la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, estableciendo la sanción según la escala prevista para las infracciones leves, así como otras de las circunstancias puestas de manifestó en el recurso como atenuantes, como son la vinculación de la actividad de la entidad con el tratamiento de datos personales y el volumen de datos afectados por la infracción. Sin embargo, también se tuvieron en cuenta otras, que se especifican, para fijar la multa en grado medio, las cuales han sido omitidas por ANDALEX en su recurso, que merece la misma respuesta que ya consta en el Fundamento de Derecho XII: “… se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando que los hechos denunciados se producen por un fallo puntual de las medidas de seguridad adoptadas y por la diligencia mostrada por ANDALEX en la subsanación de la incidencia, una vez tuvo conocimiento de la misma (se modifican las contraseñas y se solicita al buscador de Internet la eliminación de la información), así como por la ausencia de reincidencia. En cuanto a la graduación de la sanción, según los criterios establecidos en el artículo 45.4, se tiene en cuenta, por un lado, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal; y el volumen de datos personales afectados por la incidencia; y por otro lado, la naturaleza de la información afectada por la incidencia y el tipo de actividad que desarrolla ANDALEX, que le obligan a adoptar diligentemente las cautelas necesaria para garantizar su confidencialidad; por lo que procede la imposición de una multa por importe de 20.000 euros. La entidad ANDALEX ha solicitado la imposición de una multa inferior considerando circunstancias que ya han sido valoradas anteriormente, como la escasa repercusión del incidente y la falta de intencionalidad (volumen de tratamientos afectados por la incidencia y fallo puntual) y otras que no acredita, como el volumen de facturación. Sin embargo, no considera otras de las expuestas, que actúan como agravantes”. Estas circunstancias determinaron la imposición a ANDALEX de una sanción por el importe establecido para las infracciones leves en grado medio. En el recurso interpuesto, por tanto, ANDALEX no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procediendo la desestimación del mismo. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ANDALEX SERVICIOS JURÍDICOS, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 11 de junio de 2015, en el procedimiento sancionador PS/00687/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad ANDALEX SERVICIOS JURÍDICOS, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es