1/9 Procedimiento Nº: E/02460/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de brecha de seguridad de datos personales remitido por DECATHLON ESPAÑA, S.A.U. en el que informan a la Agencia Española de Protección de Datos (en adelante, AEPD) que, con fecha 16/02/2020 recibió un e-mail a través de su Delegado de Protección de Datos, solicitando contacto con el CISO (Chief Information Security Officer - director de seguridad de la información) por parte de research@vpnmentor.com, sin datos, de la existencia de un puerto suyo abierto. Documentación aportada: No adjuntó documentación alguna con la notificación de brecha de seguridad de datos personales. SEGUNDO: En fecha 10 de marzo de 2020, la Directora de la Agencia Española de Protección de Datos ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos, teniendo conocimiento de los siguientes extremos: Fecha de notificación de la brecha de seguridad de datos personales: 28 de febrero de 2020. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: DECATHLON ESPAÑA, S.A.U. (en adelante, la investigada), con NIF A79935607 y domicilio en c/ Salvador de Madariaga (Dehesa Vieja), 28702, San Sebastián de los Reyes, Madrid. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 01/06/2020 se solicitó información a la investigada sobre los hechos manifestados en su notificación de brecha a esta AEPD. De la respuesta recibida el 15/06/2020 se desprende lo siguiente: Respecto de la cronología de los hechos: Todo según manifestaciones de la investigada: o 17/02/2020 (09:21 h): su DPD (delegado de protección de datos) recibe un correo electrónico con origen en la entidad vpnMentor [aporta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 evidencia] en el que se informa de haber detectado un puerto (interfaz de datos) de la entidad abierto sin medidas de seguridad. En ese momento, se da traslado de la cuestión al CISO, quien confirma que los cambios producidos en el security group de Amazon (AWS), que contiene la máquina de Graylog, dejan expuesto el puerto 9200 de Elasticsearch. Este puerto contiene los logs de las aplicaciones, que, en principio, no contiene datos de carácter personal, a excepción de los logs de la herramienta de Eplanning. Por ello, se procede de inmediato al cierre del puerto 9200, eliminando el acceso desde la propia máquina. A las 12:30 h, se convoca reunión del Comité de Seguridad y Privacidad de la investigada para evaluar el incidente de seguridad detectado y su impacto. Participan en la reunión el DPD, el CISO y uno de sus técnicos, acordándose: o Revisión y aplicación del protocolo de gestión de la brecha de seguridad. Realización de una primera diagnosis [aporta evidencia] de la exposición de los logs. Se constata la inexistencia de acceso o modificación no autorizada de los datos o de pérdida de los mismos. Continuación con la investigación de la base de datos. 18/02/2020: se realiza un segundo mapeo de conexiones IP [aporta evidencia], al objeto de establecer lo malicioso, y un mapeo de registros y datos afectados, determinándose: Categorías de datos afectadas: nombre, apellidos, correo electrónico, NASS, IBAN, teléfono. Número aproximado de impactos: 15.000. Número aproximado de registros: 76.204. Causa de la incidencia: error humano. A los efectos de avanzar en la corrección de la incidencia, se llevan a cabo las siguientes acciones: o C/ Jorge Juan, 6 28001 – Madrid Se comienza a trabajar en una solución para que la aplicación Eplanning no vuelque información en los logs del puerto afectado. Se actualiza la versión de la herramienta Elasticsearch. Se procede al bloqueo de los datos almacenados. Se procede a contar con los servicios de ***EMPRESA.1 ***NIF.1 19/02/2020: se realiza una evaluación [se aporta evidencia] del incidente de seguridad por parte del DPD conforme al Procedimiento de Gestión de Incidencias de la investigada y a la Guía para la gestión y notificación de brechas de seguridad de la AEPD, de tal modo que se concluye [se aporta evidencia] que el incidente no ha supuesto www.aepd.es sedeagpd.gob.es 3/9 afectación a datos personales de los potenciales afectados, no calificándolo como violación de la seguridad de los datos personales. o 20/02/2020: la investigada solicita a ***EMPRESA.1 un informe sobre la comunicante de la brecha de seguridad, vpnMentor, en el que se la define como “piratas informáticos e investigadores éticos” [se aporta evidencia]. o 25/02/2020: la investigada remite comunicación a los medios de prensa [aporta evidencia] que han publicado sobre la brecha de seguridad, con el objeto de aclarar los hechos y las medidas adoptadas por su parte. Con ello, se reciben solicitudes de información de posibles afectados en el e-mail del DPD y ofrecimiento del Instituto Nacional de Ciberseguridad (INCIBE-CERT) para colaborar en la resolución del incidente [aporta evidencia]. Se realiza una “Investigation Report” [aporta evidencia], por parte de ***EMPRESA.2 ***NIF.2, que concluye no encontrar evidencias para probar que del incidente se derive un acceso a datos personales por parte de terceros. o 26/02/2020: se elabora un informe de reevaluación del incidente [aporta evidencia] que incorpora las conclusiones obtenidas por ***EMPRESA.2. o 28/02/2020: la investigada toma la decisión de notificar la brecha de seguridad a la AEPD habiendo evaluado los diversos informes relacionados con el incidente, las medidas adoptadas y las indicaciones de la Guía para la Gestión y Notificación de Brechas de Seguridad publicada por la AEPD. La investigada alega que no se puede calificar a los hechos como brecha de seguridad según los artículos 4.12 y 33 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante, RGPD), por lo que no fue notificada en el plazo de 72 horas previsto legalmente. La investigada expresa que basa su notificación a la AEPD en criterios de transparencia, responsabilidad proactiva y colaboración con la autoridad de control, alegando los artículos 5.1.f, 5.2 y 31 del RGPD, e insiste en la no obligatoriedad para notificarla a la AEPD, señalando el escaso o nulo impacto en los datos personales afectados. o 16/03/2020 al 09/04/2020: realización de una auditoría externa a la infraestructura cloud de la investigada. o 23/03/2020: finalización del análisis forense (aporta evidencia) por parte de ***EMPRESA.1 para evaluar las medidas adoptadas. o 02/06/2020: acusa recibo de la notificación de la AEPD en términos de requerimiento de información sobre la brecha se seguridad. Respecto de las causas que hicieron posible la brecha: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 La investigada informa haber encontrado la causa del incidente en el concepto de “Portscan” (ataque de escaneo de puerto), mediante un proceso en el que se analizan los puertos de una máquina conectada a la red con la finalidad de detectar cuáles están abiertos. El CISO de la investigada concluye, con base a las evidencias documentales aportadas, que los cambios producidos en Security Group AWS, que contiene la máquina de Graylog, se deben a un error humano en la configuración del puerto. Como consecuencia de lo anterior, quedó expuesto uno de los puertos, el 9200, que contenía logs de error de algunas aplicaciones. Añadiendo que después de haberse detectado la incidencia, se cerró el puerto 9200 y se eliminó el acceso desde fuera de la máquina e identificando que no se han producido acceso no autorizados, modificaciones o sustracciones de los archivos potencialmente expuestos como consecuencia del incidente de seguridad. Respecto de hechos similares acontecidos en el tiempo: La investigada expone no tener constancia de hechos similares en su entidad, pero sí menciona la brecha de seguridad notificada a la AEPD y acontecida el 04/01/2019, en la que una interfaz dejó expuestos datos en entorno de preproducción a terceras partes de manera localizada (visualización de datos de usuarios alojados en entornos de preproducción, solucionada con el cierre de la interfaz y la realización de una auditoría de todos los entornos donde se encuentran alojados los datos de usuarios). Respecto de los datos afectados: Número de individuos potencialmente afectados se cifra en 59.191 (inferior a 100.000), catalogados como “clientes” y “empleados”. Detalle de los datos involucrados: nombre y apellidos, email, NASS, teléfono y en algunos casos IBAN de, principalmente, empleados y algunos registros correspondientes a clientes. Se aporta evidencia del filtrado con el que determinar los datos afectados. La investigada insiste en que no se produjo acceso, pérdida o modificación de los datos potencialmente afectados y afirma que, en ningún caso, había categorías especiales de datos personales expuestos. La investigada reseña que al tratarse de una incidencia sobre determinados logs de error muchos datos afectados son falsos o erróneos y, por consiguiente, no pueden vincularse con ningún interesado, suponiendo una disminución en el riesgo potencial de la incidencia sobre los derechos de los afectados. La investigada informa de que no consta uso por terceros de los datos potencialmente afectados por la brecha de seguridad, habiendo respetado por su parte el principio de integridad y de confidencialidad del artículo 5.1.
- f)del RGPD, según su versión. Respecto de la notificación de la brecha de seguridad a la AEPD y la comunicación a los afectados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 La investigada remite a que la notificación de la brecha de seguridad a la AEPD se produjo más tarde de las 72 horas siguientes a su detección, como ya se ha expuesto anteriormente, motivada por: o Existencia de evidencias que establecen inexistencia de un acceso no autorizado, modificación ni pérdida de datos personales. o Cálculos realizados según el Anexo III del Guía para la gestión y notificación de brechas de seguridad de la AEPD: El volumen de afectados no es superior a 100.000. Los datos afectados no se consideran como sensibles. El impacto de la brecha habría sido, como máximo, la exposición pública en internet. Por lo tanto, se estima un Riesgo de valor 24 y un solo parámetro de la brecha marcado en la Guía como especial (el relativo al impacto). En este sentido, la propia Guía de la AEPD recomienda la notificación cuando el Riesgo supere el valor de 20 y, simultáneamente, se cumplan dos o más parámetros marcados como especial. Con ello, establece que no tenía obligación de notificar la incidencia a la AEPD y que lo hizo posteriormente basándose en criterios de transparencia, responsabilidad proactiva y colaboración con la autoridad de control, tras resolución del incidente y con información de las medidas adoptadas. La investigada alega que el incidente acontecido no cumple con el requisito del artículo 34 del RGPD para tener que comunicárselo a los afectados, es decir, que el incidente no entraña un alto riesgo para los derechos y libertades de los afectados. Basa su argumentación en las evidencias aportadas con las que concluye que no hubo acceso a los datos potencialmente afectados. De nuevo, señalando los principios de transparencia y responsabilidad proactiva, la investigada manifiesta haber respondido a 39 solicitudes de información de interesados (se aporta evidencias de respuesta de alguna de ellas), explicando los hechos acontecidos y las medidas adoptadas y comprobando si los datos estaban entre los afectados. Medidas de minimización del impacto de la brecha y para su resolución final: La investigada expone que se adoptaron las siguientes medidas para evitar la materialización del impacto (aporta evidencia de su implementación): o Reunión del Comité de Seguridad y Privacidad de Decathlon con el fin de evaluar el incidente de seguridad detectado, así como el impacto. La reunión la conforma el Delegado de Protección de Datos, el Responsable de Seguridad y Técnico de Seguridad. o Cerrado el puerto 9200 de la BBDD de Elasticsearch expuesto procediendo a cerrar el acceso desde fuera de la máquina. Se corta el acceso para que la máquina no admite peticiones desde fuera. o Se cambia la IP pública del servidor de logs. o Revisión del protocolo de gestión de la brecha de seguridad que se comenzó a aplicar el día 17 de febrero, a partir del conocimiento del incidente de seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 o o o o o o o o o o o o o o o o o o o o o o o Se trabaja en una solución que permita el no volcado de la información en los logs. Diagnosis con mapeo de logs y de conexiones IP. Actualización posible de versión Elasticsearch. Borrado de datos almacenados. (….) (….) (….) (….) (….) (….) (….) (….) (….) (….) (….) (….) (….) Elaboración de informe forense. Auditoría externa del 16/03/2020 al 9/04/2020 a la infraestructura cloud de Decathlon España con fecha 15/04/2020. Empresa auditora: ***EMPRESA.3. Análisis de la empresa externa que comunica el incidente. Informe de Evaluación y Gestión de Incidente por Delegado de Protección de Datos. Informe de Evaluación y Gestión de Incidente por Consultoría Externa de Protección de Datos. Respecto de las medidas de seguridad implantadas con anterioridad la brecha: La investigada aporta copia del RAT (registro de las actividades de tratamiento) en que figuran las actividades de tratamiento que engloban el conjunto de datos implicados en esta brecha de seguridad: o Eventos y experiencias deportivas. o Eplanning. o Autodiagnóstico de seguridad de las instalaciones (EOPERS). o Upflow. o Behappy. o MyDecathlon Fidelidad. La investigada presenta copia del AR (análisis de riesgos) y su gestión realizados sobre los tratamientos implicados en la incidencia. La fecha de realización es el 23 de julio de 2019 y la realización externalizada corresponde a la entidad ***EMPRESA.4. La investigada concluye la no necesidad de realización de una EIPD (evaluación del impacto relativa a la protección de datos) considerando los resultados del AR y alegando lo dispuesto en el artículo 28 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 La investigada manifiesta tener implantadas antes de la ocurrencia del incidente (se aportan evidencias de su existencia y conocimiento organizativo): o o o Respecto de las infraestructuras y redes: (….). (….). (….). (….). (….). (….) (….) (….) (….) (….) (….) (….) (….) Respecto de la garantía de la información: (….) (….) (….) (….) (….) Respecto a la organización colectiva: - (….) - (….) - (….) - (….)
- a)(….)
- b)(….)
- c)(….)
- d)(….) o (….) Respecto de las medias implementadas con posterioridad la brecha: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 La investigada informa haber procedido con las siguientes medidas adicionales para evitar la ocurrencia de hechos similares en el futuro: o Creación de un “site” de seguridad a nivel interno con acceso a todo el personal de DECATHLON con el fin de concienciar y recordar la importancia de la seguridad de la información y los sistemas en la Organización (se aporta evidencia). o Creación de un Grupo de Trabajo al objeto de mejorar la gestión de la información en entornos online y cloud, a fin de establecer planes de acción para evitar incidencias similares (se aporta evidencia). o El 22 de mayo de 2020 se reúne el Comité de Privacidad y Seguridad de DECATHLON en el que se revisan los procesos de actuación y, las medidas en curso, la información que habría sido afectada por la brecha de seguridad. Se convoca nueva reunión de este órgano para el 2 de julio, a fin de continuar supervisando los avances y el funcionamiento de las medidas implementadas (se aporta evidencia). o Análisis del Riesgo de Intrusión tras abrir la base de datos de ElasticSearch (se aporta evidencia). o Auditoría de seguridad de los sistemas realizada con fecha 15 de abril de 2020 para corroborar que todas las medidas han sido implantadas. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De las actuaciones de investigación se desprende que con anterioridad a la brecha de seguridad, la entidad investigada disponía de medidas de seguridad razonables en función de los posibles riesgos estimados. Consta también que disponía de registro de actividades y análisis de riesgos según se indica en los antecedentes y se han tomado las acciones posteriores oportunas para evitar la repetición del incidente. En cuanto al impacto del mismo, cabe señalar la inexistencia de un acceso no autorizado, modificación ni pérdida de datos personales. Asimismo, contaba con protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 por las distintas figuras implicadas como son el responsable del tratamiento y el Delegado de Protección de Datos. No constan reclamaciones ante esta Agencia por parte de terceros. En consecuencia, consta que disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente. III A la vista de las actuaciones practicadas, se ha acreditado que la actuación de la entidad investigada como responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a DECATHLON ESPAÑA, S.A.U. con NIF A79935607 y domicilio en c/ Salvador de Madariaga, (Dehesa Vieja), 28702, San Sebastián de los Reyes, Madrid. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es