1/4 Procedimiento Nº: E/06168/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Como consecuencia de la notificación a la Unidad de Evaluación y Estudios Tecnológicos de esta Agencia de una brecha de seguridad de datos personales por parte del Responsable del Tratamiento EDP COMERCIALIZADORA S.A., con número de registro de entrada 017327/2020, relativa a publicación en Internet sin medidas que pudieran garantizar la confidencialidad una base de datos con datos personales de 24.000 personas físicas, la Directora de la Agencia Española de Protección de Datos dictó una orden para que en el plazo de 30 días el responsable del tratamiento comunicara la brecha de seguridad de datos personales a los afectados. La orden fue notificada al responsable con fecha 26 de mayo de 2020 y número de registro de salida 041925/
- Transcurrido el plazo no se ha recibido confirmación de haber ejecutado esta. Con fecha de 16 de julio de 2020 la Directora de la Agencia Española de Protección de Datos ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS EDP COMERCIALIZADORA S.A. (en adelante EDP) con NIF A95000295 y con domicilio en ***DIRECCIÓN.1 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
- Mediante escrito de fecha 26 de mayo de 2020 la Directora de la Agencia Española de Protección de Datos ordenó al Responsable EDP, lo siguiente: “Se lleve a cabo la comunicación de la mencionada brecha de seguridad a los interesados, sin dilación indebida, para que, una vez tengan conocimiento de esta, puedan adoptar las medidas que consideren oportunas para evitar aquellos riesgos que pudieran afectar a su persona. La comunicación a los interesados se realizará siguiendo lo previsto en el artículo 34 del RGPD, en particular en su apartado segundo, debiendo describir en lenguaje claro y sencillo la naturaleza de la violación de seguridad de los datos personales y las posibles medidas que pudieran ser tomadas por los interesados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 en función de los riesgos que, en cada caso, pudieran ser identificados por los afectados. El cumplimiento de lo ordenado se exige a tenor de lo previsto en los artículos 34.4 del RGPD como consecuencia de haberse visto publicada en Internet sin medidas que pudieran garantizar la confidencialidad una base de datos con datos personales de 24.000 personas físicas siendo la severidad de las consecuencias para los individuos muy alta. Si la comunicación a los afectados supone un esfuerzo desproporcionado, podrá optar por una comunicación pública o medida semejante por la que se informe de manera igualmente efectiva a los interesados, en virtud del artículo 34.2c del RGPD.”
- La notificación de la mencionada Orden fue puesto a disposición de EDP el 29 de mayo de 2020 en el Servicio de Notificaciones Electrónicas, y fue retirado por el destinatario el mismo día.
- Con fecha 29 de julio de 2020, la Inspección de Datos, en uso de las facultades legalmente atribuidas, solicitó a EDP que en el plazo de 20 días hábiles, aporte la documentación acreditativa de la comunicación realizada a los afectados por la brecha de seguridad de datos personales y copia de la comunicación remitida. Con fecha 25 de agosto de 2020 tuvo entrada un escrito remitido por EDP en respuesta al requerimiento en el que manifiestan lo siguiente: - Se ha procedido a informar a los afectados acerca de la mencionada brecha de seguridad comunicándoles la siguiente información: “Estimado usuario, Hemos identificado que, debido a un error humano de un proveedor de EDP, se publicó; temporalmente en una web un fichero con un listado de direcciones postales, entre ellas la de su punto de suministro de energía. Esta información no se encontraba vinculada a ninguna otra información personal ni de contacto, por lo que su identidad no se ha visto comprometida. Tan pronto se tuvo conocimiento del hecho, el mismo fue resuelto mediante la eliminación del fichero publicado, procediéndose a notificar los hechos, de inmediato, a la Agencia Española de Protección de Datos. Además de corregir el error puntual, hemos reforzado las medidas de seguridad y los procedimientos con nuestros proveedores para reducir el riesgo de que puedan volver a producirse. Si necesita más información, contacte con nuestro Delegado de Protección de datos en la dirección postal: ***DIRECCIÓN.1 o en ***EMAIL.1 - Se ha procedido a la comunicación incluyendo un banner en el área de cliente, mediante el envío de un correo electrónico, mediante envío de SMS y mediante la inclusión del mensaje en la factura de suministro de energía. Aportan evidencia documental cada una de estas vías de comunicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, de la documentación remitida por el responsable del tratamiento y teniendo en cuenta las singularidades de las alegaciones presentadas, consta acreditado que EDP cumplió con la orden dictada por la Directora de la AEPD notificada el 26 de mayo de
- En consecuencia, procede el archivo de las actuaciones. III En el presente caso, la actuación de la investigada como entidad responsable del tratamiento, ha sido diligente y proporcional con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a EDP COMERCIALIZADORA S.A., con NIF A95000295 y con domicilio en ***DIRECCIÓN.1 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es