1/5 Procedimiento Nº: E/00171/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de una brecha de seguridad de datos personales por parte del Responsable del Tratamiento 21 BUTTONS APP, S.L con número de registro de entrada ***REGISTRO.1 relativa a la publicación por error en la web de las facturas correspondientes al último trimestre de 2020, se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: A la vista de la citada notificación de quiebra de seguridad de los datos personales, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de la brecha de seguridad de datos personales: ***FECHA.
- Las actuaciones de inspección se inician por la recepción de un escrito de notificación de brecha de seguridad de los datos personales remitido por 21 BUTTONS APP, S.L. en el que informan a la Agencia Española de Protección de Datos que, con fecha 24 de diciembre de 2020 la empresa de seguridad en Internet ***EMPRESA.1 les alertó que existía una url que conducía a una carpeta pública de Amazon Web Service donde 21 BUTTONS APP, S.L. tenía guardadas unas 300 facturas de usuarios (las de los últimos 3 meses) con sus datos personales. Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de una brecha de seguridad de datos personales por parte del Responsable del Tratamiento 21 BUTTONS APP SL con número de registro de entrada ***REGISTRO.1 relativa a exponer una carpeta publica en Internet con datos de clientes, se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: 21 BUTTONS APP, S.L. con CIF B66597444 con domicilio en ***DIRECCIÓN.1 BARCELONA (BARCELONA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 1.- Con fecha 15 de enero de 2021 se solicitó información a 21 BUTTONS APP, S.L. De la respuesta recibida se desprende lo siguiente: Respecto de la empresa. 21 BUTTONS APP SL es un portal de tendencias donde puedes tanto compartir oufits y ganar dinero con ello como descubrir, comprar, guardar y combinar todos los looks más afines a tu estilo. Por lo tanto, las personas usuarias de la plataforma son profesionales de redes sociales u otro canal de comunicación, comúnmente llamados como “influencers”. 21 BUTTONS APP SL utiliza ***SERVICIO.1 como servicio de almacenamiento de datos. Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. El servicio de almacenamiento ofrecido por Amazon proporciona a las empresas herramientas para crear “carpetas” a las que se les pueden asignar acceso público sin restricciones o acceso privado. Desde 21 BUTTONS APP SL se creó una carpeta con acceso público en la que no había ningún tipo de datos personales. En septiembre de 2020, la empresa desarrolló una nueva funcionalidad para realizar facturas de manera automática, las cuales estaban protegidas con medidas de seguridad, en este caso, la existencia de contraseña de al menos 8 caracteres (número y letras). El 08 de octubre de 2020 se instaló la funcionalidad de la automatización de facturas, pero en vez de almacenarse en la carpeta de acceso privado se archivaron en la de acceso público. Todas las facturas estaban protegidas por contraseña, pero al trasladarse a una carpeta pública, ***CARPETA.1 no las reconoce como privadas y directamente las desprotege pasando éstas a ser públicas, lo cual 21 BUTTONS APP SL desconocía. La empresa EMPRESA.1 (dedicada a proporcionar redes privadas virtuales) contactó con 21 BUTTONS APP SL el día 22 de diciembre de 2020 a través de correo electrónico de atención al usuario advirtiendo de la posible publicación de datos personales de los usuarios/ proveedores. Del correo electrónico se tuvo constancia el ***FECHA.1 a las 7 de la mañana y se procedió inmediatamente a configurar la carpeta como privada por lo tanto se desactivo la funcionalidad de acceso público y las facturas volvieron a quedar salvaguardadas y el único acceso posible a ellas volvió a ser mediante contraseña puesto que todos los archivos eran privados. A las 12:00 horas del mismo día se informaba a la Agencia Española de Protección de Datos de la misma. Manifiestan que para las personas ajenas a la organización interna de 21 BUTTONS APP SL les hubiese resultado muy complicado el acceso a la carpeta ya que es necesario conocer el enlace a la misma. La empresa ***EMPRESA.1 es una empresa dedicada a ofrecer privacidad de redes en dispositivos y dispone de un equipo de investigación para detectar este tipo de brechas. Respecto de los datos afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Los datos afectados son las facturas generadas automáticamente del periodo 8 de octubre de 2020 a 24 de diciembre de
- Son un total de 300 facturas, por lo tanto, hay 300 afectados entre usuarios profesionales y proveedores. La tipología de datos afectados es personales y económicos. Creen que no ha existido ninguna consecuencia para los afectados puesto que el acceso a la carpeta de Amazon service era extremadamente restringido para un usuario común y 21 BUTTONS APP SL no ha recibido ninguna queja, reclamación ni denuncia por parte de ninguno de los posibles 300 usuarios afectados. No tienen conocimiento de que la empresa ***EMPRESA.1 ni otros terceros hayan utilizado los datos personales obtenidos a través de la brecha. 21 BUTTONS APP SL no tiene constancia de que los datos personales se hayan publicado en internet ni se hayan indexado en buscadores. No se ha creído conveniente notificar a los afectados puesto que sus datos personales no se han publicado en internet, ni ha existido ninguna denuncia o reclamación por parte de ninguno de ellos. Respecto de las medidas de seguridad implantadas Aportan copia de la descripción de la actividad de tratamiento y de los datos tratados y Ciclo de vida de la actividad de tratamiento. Aportan copia del informe de análisis de riesgos e información sobre las medidas técnicas y organizativas adoptadas. Aportan copia del procedimiento de gestión y notificación de brechas de seguridad. Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. 21 BUTTONS APP SL nunca ha tenido una brecha de seguridad ni evento análogo. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de confidencialidad, como consecuencia de la publicación del fichero en la web de manera accidental. De la documentación aportada por la empresa en el curso de estas actuaciones de investigación, copia de la descripción de la actividad de tratamiento y de los datos tratados y Ciclo de vida de la actividad de tratamiento, copia del informe de análisis de riesgos e información sobre las medidas técnicas y organizativas y copia del procedimiento de gestión y notificación de brechas de seguridad se desprende que con anterioridad a la brecha de seguridad, la entidad investigada disponía de medidas de seguridad razonables en función de los posibles riesgos estimados. En cuanto al impacto, los datos que se han visto vulnerados han sido las facturas correspondientes a un trimestre, que contienen información personal y económica, en concreto el nombre, DNI, C.P. y dependiendo de la forma de pago, número de cuenta o email. El volumen de Datos se encuentra en el rango de 300 y el impacto ha sido casi nulo, pues no existe constancia de acceso a ellos por parte de terceros, ni de que se hayan publicado en internet o indexado en buscadores. Tampoco constan reclamaciones ante esta Agencia por parte de terceros. Asimismo y dada la naturaleza del origen de la brecha, consistente en un error humano, su resolución ha sido prácticamente inmediata tras tenerse conocimiento de su existencia, evitando así que se concrete el riesgo para los derechos y libertades de los implicados. Para evitar que estos hechos se vuelvan a repetir se contacta con Amazon para que designe a un encargado que explique/ forme sobre todas las funcionalidades de las herramientas que tienen contratadas . En consecuencia, consta que disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia, no obstante y una vez detectada ésta, se produce una diligente reacción al objeto de notificar a la AEPD, e implementar medias para eliminarla. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a 21 BUTTONS APP, S.L., con CIF B66597444, De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es