E-03115-2017

1/7 Expediente Nº: E/03115/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades TELEFÓNICA DE ESPAÑA, S.A.U., TELEFONICA MOVILES ESPAÑA, S.A.U. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de mayo de 2017, tuvo entrada en esta Agencia una notificación de quiebra de seguridad realizada por las entidades (Telefónica de España, S.A.U., Telefónica Móviles España, S.A.U., comunicando que:  La brecha se detectó el 12 de mayo de 2017  Ha afectado a ordenadores personales de personal de Telefónica.  Se ha ejecutado un protocolo de seguridad para el tipo de incidentes producidos.  La brecha no afecta a datos personales de clientes de Telefónica, no es una fuga de datos, ni se han comprometido datos de clientes de Telefónica ni de terceros.  Los servicios se prestan con normalidad. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. El día 12 de mayo de 2017 a partir de las 12:31 horas aparecen en los diarios digitales de El Mundo, El Diario y La Vanguardia noticias sobre un ataque de ransomware a la empresa Telefónica. 2. El día 16 de mayo de 2017 se presenta en esta Agencia escrito por parte del Secretario General de Telefónica de España SAU y de Telefónica Móviles SAU comunicando una brecha de seguridad. En dicha comunicación manifiestan que: a. La brecha se detectó el 12 de mayo de 2017 b. Ha afectado a ordenadores personales de personal de Telefónica. c. Se ha ejecutado un protocolo de seguridad para el tipo de incidentes producidos. d. La brecha no afecta a datos personales de clientes de Telefónica, no es una fuga de datos, ni se han comprometido datos de clientes de Telefónica ni de terceros. e. Los servicios se prestan con normalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 3. El día 26 de mayo de 2017 se anexan a este expediente mediante diligencia los informes publicados por el CCN denominados: o · CCN-CERT ID-17/17 Informe Ransom.WannaCry o · CCN-CERT IA-03/17 Medidas Seguridad ransomware o · CCN-CERT BP-04/16 Buenas Prácticas frente al ransomware En dichos informes se establece que el código dañino se denomina Wannacry y que explota una vulnerabilidad de los sistemas Microsoft Windows. Microsoft publicó la vulnerabilidad el 14 de mayo de 2017 en el boletín de la compañía código MS17-010. El código es del tipo “ramsonware”, cifra la información con una clave desconocida para el usuario de los datos y pide una cantidad económica para proporcionar dicha clave. Entre otras acciones, este código comprueba la existencia de un dominio en Internet, que si existe y es accesible HTTP, detiene la ejecución del mismo código. 4. En respuesta al requerimiento de información realizado por la AEPD, la compañía Telefónica de España SAU respondió mediante escrito con registro de entrada de fecha 17 de julio de 2017 en los siguientes términos: o El incidente se detectó por la compañía a las 10:45 el viernes 12 de mayo de 2017. o Se notificó a la AEPD la mañana del 12 de mayo. o La detección se produjo en ejecución de los protocolos internos de gestión de incidentes:  Sondas y consolas de monitorización de la red.  Avisos de los usuarios a los agentes de gestión de incidentes de seguridad. C/ Jorge Juan, 6 28001 – Madrid o Tras la detección del incidente se activó el “Plan de Gestión de Crisis de la compañía” (sic). o La compañía se coordinó con los agentes estatales en materia de ciberseguridad. o El incidente que sufrieron se debió al malware “Wannacry”. o Al ser de tipo “ramsonware”, no compromete la confidencialidad de los datos. o Sólo ha afectado a equipos de la red de microordenadores de la compañía, pero no en los servidores de información, que se encuentra en otra red independiente. o El incidente no ha afectado en modo alguno a los datos de carácter personal de cuyo tratamiento fuera responsable la compañía, ya sea de clientes, empleados, proveedores o terceros. En particular, a su integridad. o No han sido afectados los servicios proporcionados por la compañía. www.agpd.es sedeagpd.gob.es 3/7 o No ha afectado a los subcontratistas, encargados de tratamiento, ni tienen constancia de que terceros hayan sido afectados por una propagación desde Telefónica. o El parche distribuido por la empresa Microsoft para solucionar la amenaza no se había instalado porque previamente la compañía comprueba que todos los parches sean compatibles con las aplicaciones instalas en los equipos terminales de los usuarios. o Se están tomando las siguientes medidas:  Revisar las cláusulas contractuales para reforzar la importancia de medidas de protección ante incidentes de seguridad.  Insistir y potenciar los planes de concienciación de los empleados propios y de entidades subcontratadas.  Acelerar la implementación de los planes de seguridad en Telefónica.  Reducir el ciclo de aplicación de parches a los elemento microinformáticos.  Activar o agilizar inversiones para llevar a cabo “protecciones incrementales” en otras capas o tecnologías de la compañía.  Continuar con la implantación de los protocolos de seguridad entre los distintos grupos de respuesta a incidentes de seguridad.  Impulsar en cada entidad las iniciativas de mejora en detección y gestión de incidentes.  Se ha ejecutado un plan de comunicación a los empleados en relación al incidente, se va a lanzar a todo el grupo un curso online de concienciación, en Telefónica se están ejecutando una serie de workshop presenciales. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 41 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones establece: <<…Artículo 41 Protección de los datos de carácter personal 1. Los operadores que exploten redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público, incluidas las redes públicas de comunicaciones que den soporte a dispositivos de identificación y recopilación de datos, deberán adoptar las medidas técnicas y de gestión adecuadas para preservar la seguridad en la explotación de su red o en la prestación de sus servicios, con el fin de garantizar la protección de los datos de carácter personal. Dichas medidas incluirán, como mínimo:
2. a)La garantía de que sólo el personal autorizado tenga acceso a los datos personales para fines autorizados por la Ley.
3. b)La protección de los datos personales almacenados o transmitidos de la destrucción accidental o ilícita, la pérdida o alteración accidentales o el almacenamiento, tratamiento, acceso o revelación no autorizados o ilícitos.
4. c)La garantía de la aplicación efectiva de una política de seguridad con respecto al tratamiento de datos personales. La Agencia Española de Protección de Datos, en el ejercicio de su competencia de garantía de la seguridad en el tratamiento de datos de carácter personal, podrá examinar las medidas adoptadas por los operadores que exploten redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público y podrá formular recomendaciones sobre las mejores prácticas con respecto al nivel de seguridad que debería conseguirse con estas medidas. 2. En caso de que exista un riesgo particular de violación de la seguridad de la red pública o del servicio de comunicaciones electrónicas, el operador que explote dicha red o preste el servicio de comunicaciones electrónicas informará a los abonados sobre dicho riesgo y sobre las medidas a adoptar. 3. En caso de violación de los datos personales, el operador de servicios de comunicaciones electrónicas disponibles al público notificará sin dilaciones indebidas dicha violación a la Agencia Española de Protección de Datos. Si la violación de los datos pudiera afectar negativamente a la intimidad o a los datos personales de un abonado o particular, el operador notificará también la violación al abonado o particular sin dilaciones indebidas. La notificación de una violación de los datos personales a un abonado o particular afectado no será necesaria si el proveedor ha probado a satisfacción de la Agencia Española de Protección de Datos que ha aplicado las medidas de protección tecnológica convenientes y que estas medidas se han aplicado a los datos afectados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 por la violación de seguridad. Unas medidas de protección de estas características podrían ser aquellas que convierten los datos en incomprensibles para toda persona que no esté autorizada a acceder a ellos. Sin perjuicio de la obligación del proveedor de informar a los abonados o particulares afectados, si el proveedor no ha notificado ya al abonado o al particular la violación de los datos personales, la Agencia Española de Protección de Datos podrá exigirle que lo haga, una vez evaluados los posibles efectos adversos de la violación. En la notificación al abonado o al particular se describirá al menos la naturaleza de la violación de los datos personales y los puntos de contacto donde puede obtenerse más información y se recomendarán medidas para atenuar los posibles efectos adversos de dicha violación. En la notificación a la Agencia Española de Protección de Datos se describirán además las consecuencias de la violación y las medidas propuestas o adoptadas por el proveedor respecto a la violación de los datos personales. Los operadores deberán llevar un inventario de las violaciones de los datos personales, incluidos los hechos relacionados con tales infracciones, sus efectos y las medidas adoptadas al respecto, que resulte suficiente para permitir a la Agencia Española de Protección de Datos verificar el cumplimiento de las obligaciones de notificación reguladas en este apartado. Mediante real decreto podrá establecerse el formato y contenido del inventario. A los efectos establecidos en este artículo, se entenderá como violación de los datos personales la violación de la seguridad que provoque la destrucción, accidental o ilícita, la pérdida, la alteración, la revelación o el acceso no autorizados, de datos personales transmitidos, almacenados o tratados de otro modo en relación con la prestación de un servicio de comunicaciones electrónicas de acceso público. La Agencia Española de Protección de Datos podrá adoptar directrices y, en caso necesario, dictar instrucciones sobre las circunstancias en que se requiere que el proveedor notifique la violación de los datos personales, sobre el formato que debe adoptar dicha notificación y sobre la manera de llevarla a cabo, con pleno respeto a las disposiciones que en su caso sean adoptadas en esta materia por la Comisión Europea. 4. Lo dispuesto en el presente artículo será sin perjuicio de la aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo…>> Sobre la base de lo expuesto procede señalar, en primer lugar, que, en el presente caso, Telefónica ha comunicado la brecha a la Agencia Española de Protección de Datos en cumplimiento de la obligación recogida en el citado artículo. IV El artículo 9 de la LOPD establece: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” En el Título VIII del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, se detallan los requisitos de seguridad que han de reunir los ficheros y tratamientos de datos de carácter personal, en función de la tipología de los datos involucrados. Sobre este particular procede indicar que, según se desprende de las actuaciones de investigación, Telefónica ha ejecutado un protocolo de seguridad para el tipo de incidentes producidos. Telefónica ha comunicado las medidas tomadas ante la citada brecha entre ellas:  Acelerar la implementación de los planes de seguridad en Telefónica.  Reducir el ciclo de aplicación de parches a los elemento microinformáticos.  Activar o agilizar inversiones para llevar a cabo “protecciones incrementales” en otras capas o tecnologías de la compañía.  Continuar con la implantación de los protocolos de seguridad entre los distintos grupos de respuesta a incidentes de seguridad. Además procede añadir que la brecha no afecta a datos personales de clientes de Telefónica. No se ha producido ninguna fuga de datos y no se han comprometido datos de clientes de Telefónica ni de terceros. El artículo 2.1 de la LOPD establece: “los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Es en el artículo 3.
5. a)de la LOPD donde se define dato personal: “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 5.1.
6. o)del citado Reglamento define como persona identificable a “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. Así las cosas procede concluir que en el caso que nos ocupa, no se han hallado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 elementos probatorios que permitan acreditar una vulneración de la normativa de protección de datos, por lo que procede el archivo de las presentes actuaciones de investigación Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a TELEFÓNICA DE ESPAÑA, S.A.U. y a TELEFONICA MOVILES ESPAÑA, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es