AI-00306-2023

1/9  Expediente N.º: EXP202307581 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 1 de mayo de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00027698720 ante la Agencia Española de Protección de Datos contra TERRAVISION LONDON FINANCE LTD (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que era usuario de la entidad reclamada y que en fecha 24 de agosto de 2021 solicitó la supresión de sus datos personales. Señala que, tras no obtener respuesta, en fecha 16 de octubre de 2021 solicitó nuevamente la supresión de sus datos, recibiendo respuesta en fecha 3 de noviembre de 2021 en la que le comunicaban que atendían su petición. Señala que en fecha 1 de mayo de 2023 ha comprobado, a través de la web https://haveibeenpwned.com/ que en febrero de 2023 la entidad reclamada sufrió una brecha de seguridad y que la misma afectó a sus datos, pese a que los mismos debían estar suprimidos en sus bases de datos. Aporta copia de correos intercambiados en 2021 con la parte reclamada para la supresión de sus datos y pantallazo de búsqueda en la web https://haveibeenpwned.com/ en la que se le informa de que su correo electrónico ha sido comprometido en su seguridad, tras una brecha de seguridad en los datos tratados por la entidad reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a TERRAVISION ESPAÑA, SL, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 07/06/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 22/06/2023 se recibe en esta Agencia escrito de respuesta de TERRAVISION ESPAÑA, SL indicando que “la página web donde se ha registrado la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 parte reclamante “www.terravision.eu” es propiedad de TERRAVISION LONDON FINANCE, LTD, sociedad sujeta a derecho inglés lo que hace imposible que nuestra sociedad española pueda acceder a los datos de la parte reclamante o de cualquier otra persona en dicha página web”. El 30/06/2023 se dio traslado de dicha reclamación a TERRAVISION LONDON FINANCE, LTD, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 1 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se remitió escrito a la parte reclamante en el que se le comunicaba la admisión a trámite de la reclamación presentada. El 05/09/2023, se recibe contestación al traslado de la reclamación por parte de TERRAVISION LONDON FINANCE LTD (Reino Unido) en el que confirma que es el responsable del tratamiento afectado y aporta captura de pantalla con el título “Resultados de búsqueda de la base de datos de producción”, mostrando un resultado de búsqueda negativo para el correo del reclamante ***EMAIL.1, con objeto de acreditar que no existen datos personales del reclamante en los sistemas de producción de este responsable. También aporta documento con el protocolo implantado en la organización para dar respuesta a las solicitudes de derechos de protección de datos, documento con la Política de Conservación de Datos Personales, documento con la Política de Seguridad y documento con el resultado de un Test de Penetración. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - En relación con el tratamiento afectado se confirma la existencia de los siguientes roles: el responsable tratamiento afectado es TERRAVISION LONDON FINANCE LTD (Reino Unido), el responsable de Protección de Datos es THE PRIVACYWORX LTD (Reino Unido) y el representante en la UE, PRIVINESS LTD (Estonia). - Ha quedado constatado que el reclamante solicitó en agosto de 2021, y posteriormente en octubre de 2021 (de forma reiterada), la supresión de sus datos personales al responsable de tratamiento "customerservices@terravision.eu", obteniendo respuesta en noviembre de 2021 donde se le confirmó que habían procedido con la eliminación de su cuenta y todos los datos personales asociados a ella. En fecha 1 de mayo de 2023, el reclamante tuvo conocimiento de la filtración de sus datos personales como consecuencia de una brecha sufrida por la empresa TERRAVISION en febrero de 2023. Tras volver a contactar con la empresa solicitando información de esta posible filtración, TERRAVISON contesta al reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 confirmando la existencia de una brecha de seguridad y la afectación de sus datos personales, informándole que estos permanecían almacenados por la empresa porque una copia temporal de la base de datos de reservas había quedado olvidada en uno de los servidores y, por tanto, no se tuvo en cuenta cuando se llevó a cabo el borrado de sus datos tras el ejercicio del derecho de supresión. - Ha quedado constatado que en el año 2016 TERRAVISION migró el alojamiento de su proveedor en la nube y en el proceso de esta migración realizaron una copia temporal de la base de datos de reservas de clientes y se almacenó en un servidor que disponían en (…) con finalidades de prueba. Cuando finalizó el proceso de migración se pasó por alto la eliminación de esta copia temporal de la base de datos, manteniéndose olvidada y almacenada en este servidor (sin actualizarse) hasta que se detectó la brecha de seguridad en febrero de 2023. Cuando el reclamante solicitó la supresión de sus datos, no se borraron sus datos personales de la copia temporal almacenada en este servidor y los datos permanecieron almacenados, sin tener constancia la empresa. - En relación con la detección de la brecha ha quedado constatado que el 20 de marzo de 2023, TERRAVISION recibió correo de extorsión por parte de supuestos atacantes y tras realizar una investigación inicial interna concluyen que se trata de un correo falso. Posteriormente TERRAVISION tuvo conocimiento de la información publicada en varios foros y en el portal HaveIBeenPowned sobre la filtración de datos de sus clientes. En este momento inician una investigación más profunda de toda la infraestructura al completo y detectaron existencia de tráfico anómalo en el servidor de prueba. Es en este instante cuando detectan la existencia de la base de datos que existía almacenada en este servidor desde el año 2016 y proceden a su borrado. - Ha quedado constatado que la brecha tuvo como impacto la filtración de aproximadamente 2 millones de registros de clientes de TERRAVISION, con la siguiente tipología de datos: nombre, email y contraseña (cifrada). Aproximadamente 20.000 de estos registros también incluían la dirección física del cliente y su fecha de nacimiento. En relación con el vector de entrada de la brecha, la causa del incidente pudo estar relacionada con la exposición pública y abierta en internet del portal de administración de la web de reservas de clientes (Admin DashBoard) y la posible filtración de credenciales de usuarios vinculados a TERRAVISION. - En relación con las medidas preventivas implantadas por TERRAVISION ha quedado constatado: .a (…). (por afirmación de TERRAVISION, no se acredita documentalmente). .b (…). (por afirmación de TERRAVISION, no se acredita documentalmente). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 .c (…). (por afirmación de TERRAVISION, no se acredita documentalmente). Aclarar en este punto que esta medida de seguridad se aplica a la administración de servidores en nube, sistemas que no fueron afectados por la brecha. .d (…). (por afirmación de TERRAVISION, no se acredita documentalmente). .e (…) (acreditado documentalmente). .f (…). (acreditado con documento que incluye fecha posterior a la brecha, 25 de mayo de 2023). .g (…) (acreditado con documento que incluye fecha posterior a la brecha, 21 de junio de 2023), (…): .i (…). .ii (…). .iii (…). .iv (…). .v (…). No se ha podido recabar la acreditación documental de los análisis de riesgos para los derechos y libertades en los tratamientos afectados por la brecha. - - En relación con las medidas reactivas implantadas tras la brecha ha quedado constatado: .a (…). .b (…). .c (…). .d (…). .e (…). En relación con la posible insuficiencia de las medidas de seguridad previas implantadas en TERRAVISION, se extraen las siguientes afirmaciones incluidas en documentación aportada: Del documento interno con las investigaciones iniciales realizadas por el equipo de respuesta: “(…)” De los documentos aportados con los resultados de los Test de Penetración realizados tras la brecha: “(…)”. “(…)”. “(…)”. - En relación con la notificación de la brecha ha quedado constatado que TERRAVISION notificó únicamente a Information Commisioner`s Office (UK) y a National Crime Agency (UK). - En relación con la comunicación a los afectados ha quedado constatado que TERRAVISION no realizó esta comunicación al concluir que no existía alto riesgo para las personas cuyos datos personales se habían filtrado. Tras la brecha, TERRAVISION decide incorporar contenido adicional relacionado con la seguridad de los datos personales dentro del apartado FAQ del portal web, no obstante, no se ha podido acreditar que este contenido publicado incluyera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 información sobre la naturaleza de brecha de seguridad sufrida, la tipología de datos afectados o las posibles consecuencias para las personas afectadas. Con objeto de aclarar algunos aspectos de cara a cerrar la investigación, en fecha 14 de mayo de 2024 se realiza nuevo requerimiento de información dirigido a TERRAVISION, vía certificado postal internacional, marcado por la siguiente línea de actuación: - Conocer en número de registros de la base de datos filtrada que pertenecían a personas físicas residentes en España, así como solicitar copia del listado completo con los 20000 registros (aproximados) de clientes afectados que disponían de dirección física y fecha de nacimiento. En relación con este envío consta acuse de entrega por parte de Correos en fecha 22 de mayo de 2024; no obstante, a fecha 29 de julio de 2024, no constaba respuesta en esta Agencia, procediéndose a realizar nueva reiteración de la notificación, en fecha 20 de julio de 2024, vía certificado postal internacional y constando acuse de recibo de esta última notificación, en fecha 6 de agosto de 2024. En fecha 4 de septiembre de 2024 y registro de entrada REGAGE24e00065789098 se recibe respuesta a requerimiento anterior por parte de PRIVENESS LTD con las siguientes afirmaciones: “Debido a la naturaleza de la actividad de Terravision (traslados al aeropuerto) tenemos clientes procedentes de todas partes del mundo y no registramos su país de residencia u origen. Por lo tanto, no podemos proporcionar el número de clientes que son residentes o ciudadanos de España (si los hubiera). Los datos comprometidos consistían en una copia de seguridad de la base de datos de 2016 y fue borrada por el pirata informático después de haber realizado la copia. Terravisión no ha registrado la dirección física ni la fecha de nacimiento desde que se modificó el tratamiento en 2011. Nuestra política de retención es de siete años desde el último contacto por lo que muchos de los registros de 2016 habrían sido eliminados para 2023. Las direcciones físicas o fechas de nacimiento que quedaran fueron purgadas de la base de datos en 2023 después de que la Oficina del Comisionario de Información del Reino Unido nos informara que habían completado su investigación”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
3. a)la seudonimización y el cifrado de datos personales;
4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." En este caso concreto, como ha quedado constatado por las actuaciones de investigación, TERRAVISION LONDON FINANCE LTD sufrió una brecha de seguridad en 2023, que afectaba a 20.000 registros aproximadamente, motivo por el cual la parte reclamante interpone la reclamación, al considerar que sus datos se han visto vulnerados a pesar de haber ejercido el derecho de supresión anteriormente, si bien la reclamación la dirige contra TERRAVISION ESPAÑA, SL la cual procedió a aclarar en escrito de respuesta que “la página web donde se ha registrado la parte reclamante “www.terravision.eu” es propiedad de TERRAVISION LONDON FINANCE, LTD, sociedad sujeta a derecho inglés lo que hace imposible que nuestra sociedad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 española pueda acceder a los datos de la parte reclamante o de cualquier otra persona en dicha página web”. Como parte de las actuaciones de investigación realizadas por esta Agencia, el 14 de mayo de 2024, se procedió a requerir a TERRAVISION LONDON FINANCE LTD., información sobre el número de registros de la base de datos filtrada que pertenecían a personas físicas residentes en España, así como solicitar copia del listado completo con los 20000 registros (aproximados) de clientes afectados que disponían de dirección física y fecha de nacimiento. El 4 de septiembre de 2024, PRIVENESS LTD, como representante en la UE de TERRAVISION LONDON FINANCE LTD, procede a dar respuesta e indicar que no pueden proporcionar el número de residentes o ciudadanos de España (si los hubiera) ya que los datos comprometidos por la brecha consistían en una copia de seguridad de la base de datos de 2016 y fue borrada por el pirata informático. También informa de que después de la modificación del tratamiento en 2011, Terravision no ha vuelto a registrar ni direcciones físicas ni fechas de nacimiento. Por otra parte, manifiesta que la política de conservación de los registros es de 7 años desde el último contacto por lo que muchos de los registros de 2016 ya estarían eliminados y los que quedaran fueron purgados de la base de datos en 2023 después de que la Oficina del Comisionario de Información del Reino Unido les comunicó que se había completado la investigación. Por lo tanto, no es posible acreditar que los datos personales de la parte reclamante ni de ningún otro ciudadano español hayan quedado comprometidos por la brecha sufrida por TERRAVISION LONDON FINANCE LTD. III Notificación de una violación de la seguridad de los datos personales a la autoridad de control Por su parte, el artículo 33 del RGPD establece lo siguiente: "1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación. 2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 3. La notificación contemplada en el apartado 1 deberá, como mínimo:
7. a)describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
8. b)comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
9. c)describir las posibles consecuencias de la violación de la seguridad de los datos personales;
10. d)describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. 4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. 5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo." TERRAVISION LONDON FINANCE LTD informó oportunamente de la brecha de seguridad sufrida a la Information Commisioner`s Office, como Autoridad independiente del Reino Unido en relación con la defensa y protección de datos, al estar registrada esta empresa en ese país. Por otra parte, no se realizó comunicación a los afectados al considerar que no existía alto riesgo para las personas cuyos datos personales se habían filtrado. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a TERRAVISION LONDON FINANCE LTD y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
11. c)de la LPACAP y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es