1/4 Expediente Nº: E/03348/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de comunicación recibida de la Autoridad de protección de datos de Hamburgo y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 17 de abril de 2015 tiene entrada en esta Agencia un mensaje electrónico de la Autoridad hamburguesa de protección de datos, Der Hamburgische Beauftragte Für Datenschutz Und Informationsfreiheit, en el que se informa de una quiebra de seguridad en el grupo financiero alemán KREDITECH GROUP que tuvo lugar en el mes de noviembre de 2014, que actualmente investigan. Según se indica en el escrito, la Autoridad de protección de datos tuvo conocimiento del incidente a través de informaciones de prensa, en las que se exponía que algunos hackers habían expuesto públicamente datos financieros y de solicitantes de empleo, incluyendo pasaportes escaneados, permisos de conducir, DNI y contratos crediticios. Estos documentos habrían sido obtenidos de los servidores de la entidad financiera. En el escrito se informa asimismo de que los documentos analizados procedían de España, Rusia, Rumanía y Argentina, por lo que habían decidido informar a las Autoridades de protección de datos correspondientes. Se aclara que la compañía KREDITECH HOLDING SSL GmbH está registrada en Hamburgo, aunque opera en distintos países con la denominación KREDITECH Ltd. SEGUNDO: Tras la recepción de la comunicación de la Autoridad hamburguesa, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. A solicitud de la Inspección de Datos la Autoridad hamburguesa ha aportado a la Agencia una muestra de nueve de los documentos hallados cuya procedencia podría ser española. 2. En respuesta al requerimiento de la Inspección, KREDITECH SPAIN, S.L. ha declarado: “Kreditech Holding SSL GmbH es la única compañía que ha sido encargada del tratamiento de datos de los clientes de Kreditech que se encuentre ubicada en Alemania. Dicha compañía es una sociedad de responsabilidad limitada (Gesellschaft mit beschrünkter Haftung) cuyo objeto social es el desarrollo y comercialización de tecnología aplicada al sector financiero.” A este respecto se ha aportado una copia del contrato actualmente vigente (fechado el 1 de diciembre de 2014) que regula el encargo de tratamiento realizado por la compañía española (con su denominación previa, KREDITO 24 SPAIN, S.L.) a la compañía con sede en Hamburgo, donde se hace mención expresa a la Ley Orgánica 15/1999. Incluye un documento denominado “Outsourcing Agreement”, donde se especifican las medidas técnicas que el encargado ha de implementar para garantizar la seguridad de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 3. KREDITECH SPAIN, S.L. ha aclarado que el incidente de seguridad en los ficheros alojados por Kreditech Holding SSL GmbH “tuvo lugar entre el 26 y el 28 de agosto de 2014, según la investigación llevada a cabo por la policía del estado de Hamburgo en colaboración con expertos en la materia.” Según se expone, “Presuntamente, la quiebra de confidencialidad se produjo a través de uno de los puertos de trabajo que, probablemente, se dejó abierto y accesible desde la red interna de la compañía por el encargado del tratamiento, pero en ningún caso vulnerable desde redes externas. Por tanto, la quiebra de confidencialidad tuvo lugar desde la red propia de Kreditech Holding SSL GmbH, y la información confidencial nunca estuvo comprometida desde redes de comunicaciones externas. El hecho que pudo ocasionar la citada situación de vulnerabilidad de los datos confidenciales fue el proceso de migración que estaba teniendo lugar en esas fechas de un servidor ya insuficiente a uno más extenso y seguro.” 4. KREDITECH SPAIN, S.L. reconoce que, con carácter inmediato, le fueron comunicados los hechos por el encargado del tratamiento, realizándose “una petición directa e inexcusable a la empresa alemana para que pusiera en marcha, sin dilación alguna, todos los controles y medidas adecuadas para conseguir reducir al mínimo el impacto que la quiebra en la seguridad de ficheros de Kreditech pudiera tener sobre los datos de carácter personal de los usuarios.” 5. En relación con las medidas reactivas que se adoptaron, KREDITECH SPAIN, S.L. ha detallado las medidas adoptadas tras la quiebra de seguridad y ha aportado, entre otros documentos, un informe de la Policía Estatal del Estado de Hamburgo y un informe en el que se detallan las medidas de escaneo automático para detectar cualquier acceso o cambio en la configuración de los puertos e implementación de un “firewall” adecuado. 6. La compañía española ha aportado copia de la recomendación policial recibida limitando cualquier tipo de comunicación externa del incidente para evitar que se entorpeciera la investigación en progreso, lo que motivó la decisión de no efectuar ninguna notificación a personas afectadas por el incidente. 7. A requerimiento de la Inspección, KREDITECH SPAIN, S.L. ha declarado que en sus ficheros tan solo figuran datos de dos de las nueve personas a las que se refiere la muestra aportada a la Agencia por la Autoridad de protección de datos de Hamburgo, en relación con dos préstamos tramitados. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). II La LOPD establece, en el artículo 2.1, su ámbito de aplicación: "los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado". Asimismo prevé: "Se regirá por la presente Ley Orgánica todo tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
- b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito." El artículo 9 de la LOPD prevé, por su parte: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” En el apartado 1.
- a)del artículo 3 del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, se establece que se regirá por este texto legal todo tratamiento de datos de carácter personal, en particular: “Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento.” Es preciso asimismo tener en consideración las previsiones que la Directiva 95/46/CE realiza en su artículo 17 al respecto de la seguridad de los tratamientos de datos de carácter personal. El apartado 3 de este artículo establece: “La realización de tratamientos por encargo deberá estar regulada por un contrato u otro acto jurídico que vincule al encargado del tratamiento con el responsable del tratamiento, y que disponga, en particular: - que el encargado del tratamiento sólo actúa siguiendo instrucciones del responsable del tratamiento; - que las obligaciones del apartado 1, tal como las define la legislación del Estado miembro en el que esté establecido el encargado, incumben también a éste.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 En el presente caso, de las actuaciones practicadas se desprende que la compañía española KREDITECH SPAIN, S.L. tiene suscrito con KREDITECH HOLDING SSL GmbH un contrato de encargo de tratamiento, según lo previsto en el artículo 12 de la LOPD, por lo que, de conformidad con lo expuesto, un eventual incumplimiento de las medidas de seguridad implantadas en sus servidores por la mercantil de nacionalidad alemana no sería competencia de la Agencia Española de Protección de Datos. En consecuencia, procede dar traslado de la presente Resolución a Autoridad de protección de datos de Hamburgo, a los efectos oportunos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a KREDITECH SPAIN, S.L. y a la Autoridad de protección de datos de Hamburgo. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es