E-02649-2019

1/9 Procedimiento Nº: E/02649/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante AMADEUS IT GROUP, S.A. y teniendo como base los siguientes HECHOS PRIMERO: AMADEUS IT GROUP, S.A. (en lo sucesivo AMADEUS), toma conciencia de la brecha tras una llamada telefónica entre AMADEUS INDIA y CISO (CHIEF INFORMATION SECURITY OFFICE) del grupo AMADEUS en donde se informa sobre la detección de una actividad sospechosa de un usuario autorizado. Según el análisis inicial llevado a cabo por el reclamado al tener conocimiento de la brecha y confirmarse que afecta a datos de carácter personal se consideró improbable que la violación de seguridad detectada constituyera un riesgo para los derechos y las libertades de las personas físicas. El alcance de la brecha está limitado a la India y por lo tanto a una actividad que tiene lugar fuera de la Unión Europea. La decisión de notificar surge del resultado de las últimas investigaciones realizadas que revelan un alcance mayor en número de personas y agencias de viajes afectados. SEGUNDO: A la vista de los hechos y de los documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión. El reclamado notificó a la AEPD la brecha de seguridad aportando la siguiente información: Análisis de Riesgos de la Brecha de Seguridad Los representantes del reclamado aportan copia del Análisis de Riesgos de la Brecha de Seguridad determinando que afecta a personas de India y es relativo a un tratamiento realizado en India y por tanto fuera del ámbito de la Unión Europea. Descripción detallada y cronológica de los hechos ocurridos que incluya información sobre la detección de la incidencia y su resolución. Abril 2018.- Una de las agencias de viajes cliente de Amadeus informa que uno de sus clientes (pasajero a los que ha gestionado el viaje) ha recibido algún correo electrónico de SWorldSim ofreciéndole tarjetas SIM internacionales. Se inician investigaciones por parte del equipo de seguridad de AMADEUS que incluyen el scanning, ciber inteligencia y revisión de la seguridad de los sistemas de AMADEUS pero no se encuentra evidencia alguna de nada que pueda estar comprometiendo el sistema Amadeus. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Noviembre 2018 - La misma agenda de viajes reporta dos nuevos casos de correos electrónicos enviados por WorldSIM a sus clientes (pasajeros a los que ha gestionado el viaje). Se comprobó si existía algún acuerdo con WorldSIM que justificara su conocimiento de dichos viajes siendo el resultado negativo. AMADEUS procedió a identificar quién tiene acceso a los dos PNRs (Passenger Information Record) de ambos viajes. Los PNRs son los archivos donde consta el viaje en el sistema de AMADEUS. La investigación mostró un Office ID (Identificador de oficina) de Delhi. Esta oficina de Delhi tiene acceso legitimo al sistema de AMADEUS para la realización de las tareas encomendadas al distribuidor del sistema de AMADEUS en la India. 10 enero 2019 - La actividad del Office ID identificado entraba dentro de la normalidad hasta esta fecha en que se detectó un patrón de uso que levantó sospechas sobre el uso irregular de la información accedida. 14 enero 2019 - Se procedió a bloquear el acceso de dicho Office ID al sistema AMADEUS. 26 enero 2019 - El empleado fue entrevistado y confesó que había estado pasando de forma ilegal a la empresa WorldSIM en India la información que obtenía legítimamente del sistema AMADEUS. Se confirma que el empleado ha extraído la primera página de un elevado número de PNRs cuyos billetes han sido emitidos por agencias de viaje en India. Las investigaciones posteriores y el análisis forense del ordenador del empleado han confirmado que:  El empleado obtenía el identificador de los PNRs (PNR record locator) del informe de ventas que se realiza normalmente para gestionar la actividad de cada cliente (travel agency sales report). La realización de este informe de ventas formaba parte de las tareas asignadas al empleado.  Toda la información comprometida corresponde únicamente a billetes emitidos por agencias de viaje sitas en la India.  El empleado extraía las 22 primeras líneas del PNRs poco después de la emisión del billete mediante el uso de un scripting tool que extraía de forma automática el PNR y copiaba la primera página (22 líneas) en un file de Excel que guardaba en el ordenador asignado para su trabajo. Dicho acceso queda registrado en cada PNRs, lo que ha permitido la investigación.  El empleado enviaba los ficheros de Excel a su contacto de WorldSIM utilizando su cuenta personal de gmail.  El empleado ejecutaba el script tres veces por semana durante su horario laboral para extraer la información. Causas que han hecho posible la incidencia El incidente esta causado por el abuso de un empleado de su acceso legitimo a la información. El acceso a la información por parte del empleado es necesario para la realización de las tareas encomendadas. No existe ninguna causa o condición especial que se haya dado para producir los hechos relatados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Medidas de seguridad implementadas con anterioridad a la brecha de seguridad. Amadeus IT Group, S.A. tiene firmado un contrato de distribución con ResBird para la distribución del sistema Amadeus en una serie de países de la zona, entre ellos India. AMADEUS selecciona cuidadosamente sus distribuidores y realiza controles periódicos del cumplimiento de las obligaciones asumidas contractualmente. ResBird, ha sido distribuidor del sistema en la India durante muchos años. Los servicios de distribución consisten en la actividad comercial para conseguir clientes usuarios del sistema en la India, es decir agencias de viaje. Dichos servicios de distribución implican el acceso por parte de la empresa distribuidora a las reservas realizadas por sus clientes (agencias de viaje sitas en la India) para la resolución de problemas (help desk), contabilización de reservas para facturación y actividades similares. El sistema de AMADEUS se encuentra compartimentado de forma que cada distribuidor puede acceder solo a la información o PNRs realizados en el territorio asignado, en este caso India. Por lo tanto, los empleados de ResBird solo pueden acceder a las reservas realizadas por las agendas de viaje sitas en India y que van firmado un contrato de suscripción con ResBird para usar el sistema Amadeus. Los empleados con acceso legitimo a la información para el desarrollo de su trabajo son entrenados para tratar dicha información con la confidencialidad necesaria. AMADEUS controla de forma rutinaria la infraestructura y las redes para detectar ataques externos o actividad interna irregular. Además, AMADEUS cuenta con un registro de acceso a los PNRs que guarda la identificación del usuario que accede, la fecha y la hora lo que permite saber quién ha accedido a la información y cuando. Tipología de los datos afectados. Los datos afectados son relativas a viajeros cuyo billete se ha emitido en una agencia de viajes en India. En concreto los datos afectados son los contenidos en las primeras 22 líneas de cada PNR comprometido. El contenido de dichas primeras 22 líneas varía en función de cada uno pero normalmente incluye (en este orden): • Nombre • Itinerario • Contacto (normalmente correo electrónico y/o número de teléfono) Solo el contenido de las 22 primeras líneas del PNR ha sido comprometido porque es el que se muestra en la primera pantalla (sin hacer scrolling). Si el itinerario es largo puede ser que el contacto no esté entre las primeras 22 líneas, por lo que el contenido de la información comprometida varia para cada PNR en concreto. Posibles consecuencias para los afectados. Los hechos y las investigaciones posteriores indican que algunos de los afectados (pasajeros cuyos billetes se han emitido por las agencias de viajes en India) han recibido publicidad no solicitada de WordSIM ofreciendo tarjetas SIM internacionales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Acciones tomadas con objeto de minimizar los efectos adversos. La incidencia se resolvió con el cierre del acceso del empleado al sistema (cierre del Office ID). Además, tras la entrevista con el empleado y su reconocimiento del uso ilegal de la información se procedió al despido. Así mismo se denunciaron los hechos ante la policía en Delhi. Copia del contenido de la denuncia se aportó en la notificación del incidente realizada. Se han conducido investigaciones y se ha podido confirmar que se trata de un incidente aislado y que ningún otro empleado está realizando comportamiento similar. AMADEUS está revisando las medidas en todos los sistemas para prevenir que este tipo de incidente se vuelva a producir y seguirá invirtiendo en tecnología, procesos y recursos humanos para proteger la información en nuestros sistemas de la forma más efectiva. Utilización por terceros de los datos personales obtenidos a través del ataque El empleado corrupto ha admitido el envió de la información a WorldSIM, una compañía que comercializa tarjetas SIM internacionales en la India. WorldSIM utilizaba la información para enviar un correo electrónico ofreciendo una tarjeta SIM internacional a aquellos pasajeros que realizaban un viaje internacional. Amadeus ha enviado a WorldSim una carta de cese y desistimiento y un recordatorio, tanto a las oficinas de Delhi como a las de Londres sin obtener respuesta por el momento. Estas cartas son requerimientos oficiales solicitando el cese de la actividad ilegal y la destrucción de toda la información que pudiera estar en sus manos, aportando evidencia de esto último. Copia de dicha carta se aportó en la notificación del incidente (número de registro 006615/2019). Ante la ausencia de respuesta AMADEUS está explorando todas las posibles acciones legales necesarias contra WorldSIM y contra el empleado corrupto. Respecto de la notificación realizada a los afectados. AMADEUS no ha notificado directamente a los interesados. El análisis de riesgo para el individuo realizado no clasifica el incidente como de alto riesgo para los derechos y libertades de los interesados. Copia de dicho análisis se aportó en la notificación del incidente (número de registro 006615/2019). No obstante, AMADEUS público el pasado 25 de febrero una reseña en su página web que es de acceso público. Dicha reseña se encuentra en la siguiente dirección https://corporate.amadeus.com/en/newsroom/5tate ent-februarv-2019 Además, AMADEUS se ha puesto en contacto con sus clientes (aerolíneas y agendas de viaje) cuyos pasajeros se han visto involucrados y les ha mantenido informados en todo momento sobre las investigaciones y sus resultados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), (en lo sucesivo RGPD) define las quiebras de seguridad de los datos personales como aquellos incidentes que ocasionan la destrucción, pérdida o alteración accidental o ilícita de datos personales, así como la comunicación o acceso no autorizado a los mismos. Desde el pasado 25/05/2018, la obligación de notificar a la Agencia las brechas o quiebras de seguridad que pudiesen afectar a datos personales es aplicable a cualquier responsable de un tratamiento de datos personales, lo que subraya la importancia de que todas las entidades conozcan cómo gestionarlas. Por consiguiente, tan pronto como el responsable del tratamiento tenga conocimiento de que se ha producido una violación de la seguridad de los datos personales debe, sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, notificar la violación de la seguridad de los datos personales a la autoridad de control competente, a menos que el responsable pueda demostrar, atendiendo al principio de responsabilidad proactiva, la improbabilidad de que la violación de la seguridad de los datos personales entrañe un riesgo para los derechos y las libertades de las personas físicas. El responsable del tratamiento debe comunicar al interesado sin dilación indebida la violación de la seguridad de los datos personales en caso de que puede entrañar un alto riesgo para sus derechos y libertades, y permitirle tomar las precauciones necesarias. La comunicación debe describir la naturaleza de la violación de la seguridad de los datos personales y las recomendaciones para que la persona física afectada mitigue los potenciales efectos adversos resultantes de la violación. Dichas comunicaciones a los interesados deben realizarse tan pronto como sea razonablemente posible y en estrecha cooperación con la autoridad de control, siguiendo sus orientaciones o las de otras autoridades competentes, como las autoridades policiales. Así, por ejemplo, la necesidad de mitigar un riesgo de daños y perjuicios inmediatos justificaría una rápida comunicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 con los interesados, mientras que cabe justificar que la comunicación lleve más tiempo por la necesidad de aplicar medidas adecuadas para impedir violaciones de la seguridad de los datos personales continúas o similares. También hay que señalar, que la notificación de una quiebra de seguridad no implica la imposición de una sanción de forma directa, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. En el artículo 33 del RGPD establece la forma en que ha de notificarse una violación de la seguridad de los datos personales a la autoridad de control, determinando lo siguiente: “1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación. 2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento. 3. La notificación contemplada en el apartado 1 deberá, como mínimo: a) describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados; b) comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información; c) describir las posibles consecuencias de la violación de la seguridad de los datos personales; d) describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. 4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.” Y el artículo 34 del Reglamento mencionado indica cuando es necesario informar de una violación de la seguridad de los datos personales al interesado, señalando lo siguiente: “1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida. 2. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b), c) y d). 3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes: a) el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado; b) el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1; c) suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados. 4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3.” En este mismo sentido se señala en los Considerandos 85 y 86 del RGPD: