1/4 Expediente Nº: E/05505/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades DELOITTE S.L.. en virtud de denuncia presentada por D.D.D. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26 de septiembre de 2017, tuvo entrada en esta Agencia escrito de D.D.D. en el que denuncia a DELOITTE S.L., por los siguientes hechos: APEDANICA pone de manifiesto ante la Agencia Española de Protección de Datos el ciberataque sufrido por la empresa DELOITTE que ha afectado a unos cinco millones de correos electrónicos y que ha sido posible por el robo de una cuenta de administrador del sistema. Y, entre otra, anexa la siguiente documentación: Direcciones de Internet ***WEB.1 y ***WEB.2 donde se publica la noticia del ciberataque. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Desde la Inspección de Datos se accede, con fecha 29 de noviembre de 2017 y 13 de febrero de 2017, a información que figura en Internet respecto del incidente de seguridad sufrido por DELOITTE entre octubre y noviembre de 2016. En la información consta: Se ha accedido a datos personales, de salud y contenidos de correos electrónicos ya que algunos correos tenían archivos adjuntos. El ataque fue debido al acceso al correo electrónico de la compañía utilizando una cuenta de administrador. que habría dejado al descubierto más de cinco millones de emails de sus clientes de todo el mundo. La cuenta solo tenía como medida de seguridad una contraseña y no tenía verificación en 'dos pasos' Se cree que la violación se centró en los EE. UU. 2. Con fecha 17 de enero de 2018 se recibe contestación de DELOITTE SL (en adelante DELOITTE ESPAÑA) al requerimiento de información remitido por la Inspección de Datos del que se desprende: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 En abril de 2017, se recibe en DELOITTE ESPAÑA información de DELOITTE TOUCHE TOMATSHU LIMITED (en adelante DELOITTE USA) sobre una brecha de seguridad con acceso a información confidencial de determinados países sin que hubiera afectado a DELOITTE ESPAÑA. DELOITTE ESPAÑA solicita información a DELOITTE USA, la cual informa que: DELOITTE USA detecta el ataque en la primavera de 2017 pero ha comenzado en septiembre de 2016. DELOITTE USA no ha detectado impacto sobre entidades españolas, motivo por el cual no se han dirigido a las autoridades competentes en España. Los datos afectados corresponden con nombre y emails. Al detectar la incidencia DELOITTE USA realizó diversas acciones correctivas, entre otras: bloquear las IP usadas para el ataque, resetear todas las contraseñas anteriores a mayo de 2017, análisis de los registros de accesos, modificar las credenciales de acceso. DELOITTE ESPAÑA realizó su propia investigación sobre la incidencia de seguridad confirmando que los sistemas y archivos de DELOITTE ESPAÑA no se habían visto afectados. El informe CONFIDENCIAL remitido por DELOITTE ESPAÑA pone de manifiesto: B.B.B.. DE A.A.A.. C.C.C.. E.E.E.. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 II Establece el artículo 2 de la LOPD, bajo la rúbrica “Ámbito de aplicación” lo siguiente: 1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
- b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En el presente caso, de las actuaciones practicadas no se desprende que el incidente de seguridad objeto de denuncia, haya afectado al tratamiento de los datos personales de los clientes de DELOITTE ESPAÑA, S.L. en los ficheros o servidores utilizados por dicha entidad para la prestación de sus servicios, sino que las consecuencias del mismo se circunscriben al ámbito de actuación de DELOITTE USA. Asimismo, y en relación con el ámbito de posibles afectados, tampoco se desprende responsabilidad en el citado incidente de seguridad a la entidad DELOITTE ESPAÑA, S.L. Por lo expuesto, y en atención a lo dispuesto en el art. 53. 2
- b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que reconoce el derecho a
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario, y lo previsto en el art. 24 de la Constitución, no puede atribuirse a DELOITTE ESPAÑA, S.A., conducta alguna que se encuentre prevista en el Titulo VII – Infracciones y Sanciones- de la LOPD III El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a DELOITTE S.L.. y D.D.D.). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es