Source: https://www.samuelparra.com/2008/04/14/globomedia-suspende-en-proteccion-de-datos/?replytocom=10886
Timestamp: 2020-07-09 07:31:59
Document Index: 281115632

Matched Legal Cases: ['artículo 44', 'artículo 10', 'artículo 26', 'artículo 93', 'artículo 18', 'artículo 93', 'artículo 9', 'artículo 93', 'artículo 7', 'artículo 9', 'artículo 130', 'artículo 9']

Globomedia suspende en protección de datos - Samuel Parra
7 mayo 2020 14 abril 2008 Samuel Parra
Hace un par de semanas tuve ocasión de visitar las instalaciones en Madrid de la conocida productora de televisión Globomedia (responsable de espacios televisivos como “Aída”, “El Internado” o “Sé lo que hicisteis…”).
“Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.”
Los ficheros Excel mencionados en el punto anterior se encuentran sin las debidas medidas de seguridad. En primer lugar para abrirlos no es necesario introducir ninguna contraseña, lo cual podría ser constitutivo de una infracción grave tipificada en el artículo 44.3.h que nos habla de “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” en relación al artículo 10 LOPD y 93.2 del Real Decreto 1720/2007 que nos indica lo siguiente:
“El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado.”
Y en segundo lugar, durante el tiempo que permanecí esperando en recepción, pude constatar, y así lo demuestro mediante una fotografía, como el único vigilante de la zona se ausentaba de su puesto de trabajo por periodos de tiempo prolongados dejando el ordenador desatendido, y como se ve en la fotografía, cualquier podría manipular el ordenador ya que no hay “protector de pantalla” o medidas de seguridad equivalentes. La infracción en este punto es idéntica a la anterior: dejar el acceso a los ficheros sin las medidas de seguridad oportunas.
“No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos, cuando no sea constitutivo de infracción grave.”
Y el artículo 26 establece que “Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos“.
Categorías Opinión Etiquetas globomedia Navegación de entradas
28 comentarios en “Globomedia suspende en protección de datos”
14 abril 2008 a las 00:47
Curioso, nunca me había parado a pensar en la protección de datos. Estoy contigo, hay gente que puede acceder con mucha facilidad. Y hablamos de una productora “puntera” y con una gran proyección empresarial.
14 abril 2008 a las 08:55
14 abril 2008 a las 09:41
14 abril 2008 a las 10:27
14 abril 2008 a las 11:44
Pasado el 19 de abril sí que es cierto que se debiera estar dando cumplimiento al artículo 93.2 del Real Decreto 1720/2007, pero no estoy de acuerdo en que el Excel deba contar con una protección por contraseña, siempre y cuando el acceso al PC requiera usuario y contraseña. Fíjate que tanto el artículo 18 del Real Decreto 994/1999 como el artículo 93.2 del Real Decreto 1720/2007 requieren identificación y autenticación para los accesos al “sistema de información”. Otra cosa es que sí que sería recomendable que se configurará el bloqueo automático con reinicio tras nueva autenticación, pero ello tampoco significaría un incumplimiento si nos tenemos al tenor literal de la norma, aunque me temo que la suma de ausencias prolongadas sin estas medidas de seguridad hace que se pueda interpretar que es como desactivar el sistemas de control de accesos.
14 abril 2008 a las 12:37
Lo de publicarlo como tú has hecho “olé”, ¿no puede traer algún problema?
14 abril 2008 a las 13:43
En cuando a “problemas”, si entendemos esto como una protesta por deficiencias manifiestas en una materia tan sensible como es la protección de datos, cuando la información que se emite es además veraz, y que el trato que se le ha dado a la empresa creo que es correcto en cuanto a no decir nada similar a “vaya mierda de productora”, que desvirtuaría el escrito, no habrá problemas. Tampoco se ha revelado ningún dato confidencial de la empresa precisamente.
Varniaca
14 abril 2008 a las 15:06
14 abril 2008 a las 23:32
15 abril 2008 a las 00:24
Para Miguel A.: Hola !! Soy completamente consciente que las formas no son las habituales en mí, y es más, seguramente a más de uno no le habrán gustado, pero también es cierto que es otra forma de entender un “blog” y de acercar a los lectores un poquito más la realidad. En este caso he hablado con nombres y apellidos directamente, no con un ánimo de dañar la imagen de esta productora (que por otra parte admiro porque disfruto bastante con algunos de sus productos), sino con la de mostrar a los lectores la realidad del cumplimiento de una normativa casi olvidada al último lugar, y aunque es cierto que las circunstancias que comento son atribuibles a miles de empresas en este pais, he hablado sobre Globomedia como podría haber hablado de otra gran empresa…. aunque no te voy a negar, que me molestó bastante cuando vi como el guardia de seguridad metía mis datos en una hoja Excel sin las debidas garantías.
Por último, si me dices (por privado si quieres) cual es el despacho que está llevando a esta productora, sin problemas les envío copia de este texto para que actúen, así algo que se llevan ya “auditado”.
Sobre si procedería o no aplicar ese artículo o exigir una contraseña el fichero Excel, si examinas las resoluciones de la AEPD por vulneración del artículo 9 LOPD verás que si es posible acceder a los datos personales por parte de terceros no autorizados, entonces se ha producido una violación de la seguridad, que se podría haber atajado de la forma X que correspondiera en cada caso. En este sentido, si yo hubiera sacado una foto al fichero Excel porque podía abrirlo sin solicitar contraseña en el mismo ordenador, es muy posible que la AEPD hubiera sancionado porque ese fichero no disponía de las medidas de seguridad correspondientes, que en este caso habrían pasado por establecer una contraseña al fichero. Yo además entiendo, que en este caso, el “sistema de información” es precisamente esos ficheros Excel. La propia definición legal de “sistema de información” nos habla de “conjunto de ficheros, programas, etc”, vamos, que no es necesario tener una Oracle para hablar de “sistema de información”. Pero en cualquier caso, como digo, no establecer una contraseña a un fichero Excel con datos personales, cuando ese fichero Excel se utiliza a modo de base de datos, lo considero, con el R.D. 1720/2007, una vulneración del artículo 93.2; pero desde luego, mi opinión es discutible :).
15 abril 2008 a las 08:35
15 abril 2008 a las 10:49
15 abril 2008 a las 12:17
15 abril 2008 a las 18:26
Ota cosa ya diferente y más dada a polemizar sería la obligatoriedad de poner una contraseña de acceso a todos y cada uno de los ficheros; esto basándome en la misma inferencia hecha por deincognito de que el fichero de excel tiene toda la pinta de contener datos de carácter personal a los que haya que aplicarles las medidas de seguridad de nivel básico. Vayamos a la polémica. Supongamos que el ordenador le exigiera al vigilante escribir un nombre de usuario y contraseña para acceder al pc en local.Supongamos, además, que el ordenador de ese vigilante de seguridad estuviera montado sobre un dominio, sobre active directory con permisos de archivos detallados por usuario o perfiles (por hablar ya con la terminología del 1720/2001) y que se conectara, mediante scripts de inicio, por terminal server con el servidor de dominio y así obtener el acceso a ese fichero excel en concreto; por supuesto con identificación y autenticación contra el dominio. !Y van dos¡ ;-). Sigamos suponiendo: supongamos que cumplen con estricta “disciplina germánica” con el artículo 7.1 y 7.2 del RD 994/1999 y con 87 del 1720/2001 y no guardan absolutamente ningún dato de carácter personal en el pc, en local, del guarda de seguridad. Si añadimos, más supociones, que la pantalla no estuviera, como de hecho está, mirando al público y que hubiera una combinación de teclas que al pulsarlas saltara inmediatamente un protector de pantalla protegido con contraseña cuando el vigilante de seguridad se fuera y dejara el puesto desantendido. Partiendo de estas supociones: ¿No consideras esto más que suficiente para que la AEPD no impusiera una sanción?
Otro tema siguiendo la disquisición iniciada por deincognito ¿crees Samuel que el ordenador del guarda de seguridad aun siendo físicamente un componente del sistema de información (forma parte de la red, sí) no podría considerarse como fuera del sistema de información considerado como algo lógico? Me gustaria comentar este punto de vista. ¿Sería esto defendible con un terminal “tonto” en el puesto del vigilante de seguridad? Porque creo que el 1720/2001 habla de accesos al sistema de información. Si este fichero fuera de nivel básico ¿no sería más que suficiente una doble identificación y autenticación? ¿El ponerle contraseña al archivo excel no sería ya excesivo y por usar un dicho, rizar el rizo? Porque está claro que el fichero excel sí que forma parte integrante del sistema de información; pero para llegar a él, a ese archivo, a ese componente del sistema de información ya nos hemos debido identificar y autenticar dos veces. Estoy con deincognito: más que suficiente o dicho en palabras del RD más del mínimo exigible. 😉
15 abril 2008 a las 20:30
coincido con algunas de las cosas que indicas. Ahora bien, sigue preocupándome la facilidad que da un archivo de excel a los efectos de ser “sustraido” (usb, enviado por correo, etc…), y no considero que sea necesario que el vigilante cuente en todo momento con un acceso pleno a la totalidad de datos incorporados a esta hoja (tampoco sé cada cuanto la renuevan, pero vaya…), prefiriendo en su caso un frontend que le permita añadir un visitante a la lista hacer una consulta respecto a un día en particular o eliminarlo, a través de una aplicación en el servidor (sin quitar que dependiendo de la interpretación puede no ser estrictamente necesario).
15 abril 2008 a las 23:44
Por un lado, la Audiencia Nacional en Sentencia de 23/03/2006 ha declarado que el artículo 9 de la LOPD “impone una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros (…) la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos personales han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva, toda responsable de un fichero (o encargada de tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios o cualesquiera otros datos de carácter personal puedan llegar a manos de terceras personas”.
Más cosas; debe considerarse lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual “… sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”.
El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “… que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.”
Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “… basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia…”
Más sentencias: sentencia de la Audiencia Nacional de 7 de febrero de 2003, en su Fundamento de Derecho Cuarto recoge: “Por último, en cuanto a la ausencia de culpabilidad (…) En el caso de autos, la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por lo tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar y se encuentran en poder de terceros. Siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y ejecuten con rigor. De hecho si un tercero posee documentación interna de la entidad necesariamente ello es debido, ante la ausencia de otra explicación, aun funcionamiento anómalo de sus medidas de seguridad.”
R-00161/2006 – AEPD: una empresa destructora de papel acepta el encargo de una entidad financiera de recoger un montón de cajas con datos de los clientes de ésta; la empresa destructora no las destruye todas y al tiempo se mojan unas cuantas cajas y la empresa destructora decide tirar las cajas con información de clientes a una escombrera. La entidad financiera tenía establecido un procedimiento en su documento de seguridad para el tema de la destrucción de papel; llevaba al día el registro de salida y entrada de soportes, así como el registro de incidencias. La AEPD termina en imponer 60.000 euros por infracción del artículo 9 LOPD a la entidad financiera: “Por todo ello, con independencia de la versión de los hechos de Caja Duero o de la compañía Recuperaciones Mondrego y Antón, lo que ha quedado acreditado es que la documentación de Caja Duero de (…..) se encontraba en una escombrera contraviniendo la normativa sobre medidas de seguridad de datos personales y permitiendo el acceso a los mismos de los empleados de la citada compañía de transportes, de los miembros del Seprona que los recogieron y de cualquier ciudadano que hubiera podido acercarse a la citada escombrera.”
Respecto al 11 del ya casi derogado RD 994/1999, dice “El responsable del fichero se encargará de que exista una relación actualizada de usuarios que tengan acceso autorizado al sistema de información y de establecer procedimientos de identificación y
autenticación para dicho acceso.” La última parte del artículo es la que me interesa, y es precisamente la que habla de tener un procedimiento de identificación y autenticación, o sea, nombre de usuario y contraseña.
Yo no veo que sea rizar el rizo poner una contraseña a un fichero Excel. Si una empresa tiene un único fichero Excel como base de datos de clientes ¿no le sugerirías que le pusiera una contraseña?. Yo no entiendo, ni interpreto, que el sistema de información sea “el sistema operativo”; si para entrar a windows tienes que poner tu username y tu contraseña, fenomenal, pero es que el windows, para mí al menos, no es un sistema de información a estos efecto. El sistema de información es, como bien define el R.D. 1720/2007: “conjunto de ficheros,
tratamientos, programas, soportes y en su caso, equipos empleados para el tratamiento de datos de carácter personal.”
¿Y qué se entiende por fichero?, también lo dice el R.D. 1720/2007: “Todo conjunto organizado de datos de carácter personal, que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.”. Por tanto, de aquí, debemos excluir al sistema operativo, ya que técnicamente, el sistema operativo no encaja en la definición de fichero (ni de sistema de información).
17 abril 2008 a las 16:45
17 abril 2008 a las 17:41
Creo que lo que te comenta Miguel A. Mata es cierto: creo que entiendes bien cÃ³mo funciona en sus razonamientos la agencia; sin duda. Lo que creo que es empiezas a pensar “demasiado” como ella: en el sentido de meter la cabeza por un lado y ya no sacarla, ni ver mÃ¡s allÃ¡.
INSISTO, “â¦el responsable del fichero […] mecanismo que permita la identificaciÃ³n de forma inequÃ­voca y personalizada […] que intente acceder al SISTEMA DE INFORMACIÃN…”. Seguimos insistiendo: Sistema de informaciÃ³n: ââ¦PROGRAMAS [â¦], EQUIPOS EMPLEADOSâ¦â?. Por supuesto que el ordenador es parte del sistema de informaciÃ³n; por supuesto que el archivo de Excel es parte del sistema de informaciÃ³n segÃºn la definiciÃ³n de los dos reglamentos; pero de la misma manera y por extensiÃ³n el S.O. es parte sustancial del sistema de informaciÃ³n. No me negarÃ¡s que el sistema operativo es parte del sistema de informaciÃ³n ya que en la misma definiciÃ³n que da el RDLOPD habla de ââ¦equipos empleados para el tratamientoâ¦â?; no en cuanto que trate datos de carÃ¡cter personal sino en cuanto que sin Ã©l no hay posibilidad de un sistema de informaciÃ³n al menos con sistema de tratamiento automatizado. Por tanto si sin Ã©l no hay posibilidad de acceso a un sistema de informaciÃ³n con sistema de tratamiento automatizado, al menos que yo conozca, controlando el acceso al mismo se puede considerar, yo creo que sin tacharme de ligero, que se controla con una identificaciÃ³n y autenticaciÃ³n personalizada el acceso al sistema de informaciÃ³n puro cumpliendo con los requisitos que son exigibles a los datos sobre los que hay que aplicar medidas de seguridad de nivel bÃ¡sico (sea ese fichero Excel con datos muy determinados o toda la base de datos de la empresa en ese formato Excel âsiempre y cuando fueran bÃ¡sicos-). Y en este mismo sentido, a mayor abundamiento, si es desde el mismo sistema operativo, aun suponiendo que no formara parte del sistema de informaciÃ³n puro, desde donde se puede controlar el acceso, con diferentes permisos y modos de acceso y ejecuciÃ³n, al fichero de Excel y, yendo mÃ¡s allÃ¡, teniendo la posibilidad de auditorÃ­a que nos permite el mismo sistema operativo sobre ese fichero. Â¿TÃº crees que no serÃ­a suficiente? Y, rizando mÃ¡s el rizo, si el Terminal del guardia de seguridad, cosa cada vez mÃ¡s habitual y mÃ¡s barata, fuera por ejemplo un Thin de Hp al que se le caparan las salidas USB y sin conexiÃ³n a Internet ya que no la necesita para nada. Â¿DÃ³nde estarÃ­a el problema segÃºn la agencia? Â¡Â¡Â¡Paranoico!!!. Aun cuando estoy seguro que la AEPD es paranoica pero no siempre. Un saludo. Creo que no podrÃ© estar en la cena :-(. Cosas de la “contraria” 😉
17 abril 2008 a las 19:01
17 abril 2008 a las 20:46
17 abril 2008 a las 23:04
18 abril 2008 a las 09:51
18 abril 2008 a las 11:03
19 abril 2008 a las 11:25
¿Se admite la presencia de un “outsider” 😉 (no soy del mundo jurídico) en la cena que comentáis?
14 julio 2008 a las 01:36
14 julio 2008 a las 02:30
Yo hablo de que “podría llegar”, en un plano teórico la sanción podría alcanzar la cifra que he puesto.
El 45.5 se aplica con mucha frecuencia, pero no siempre: https://www.samuelparra.com/2008/04/07/300000-euros-de-multa-a-un-particular-por-publicar-datos-personales-en-internet/ también: https://www.samuelparra.com/2007/10/09/el-expresidente-del-real-madrid-cf-sancionado-con-multa-de-360000-euros-por-vulnerar-la-ley-organica-de-proteccion-de-datos/ también: https://www.samuelparra.com/2008/07/06/suscripcion-lista-distribucion-sin-consentimiento/
Por otra parte, como ya se ha discutido, el hecho de que existan perfiles o no, si el excel va sin contraseña, eso es una infracción del deber de seguridad: https://www.samuelparra.com/2008/05/26/multa-sancion-usuario-contrasena/
14 julio 2008 a las 18:49
14 enero 2009 a las 21:35
!Uy, qué miedo, todos esos datos desperdigados sin ton ni son! !Me va a dar algo! Tío, me encanta como te lo has currido, más papista que el Papa y esas coas. no creo que a Globomedia le caiga nunca esa multa hipermegamillonaria, de lo cual me alegro. !Ay., esa dichosa “privacy” que nos trae por la calle de la amargura, ¿verdad, coleguitas? Si es que hay que leer cada cosa de la intimidad y los misterios…