1/4 Procedimiento Nº: E/06177/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Como consecuencia de la notificación a la Unidad de Evaluación y Estudios Tecnológicos de esta Agencia de una brecha de seguridad de datos personales por parte del Responsable del Tratamiento INFOSYS LIMITED S.E.E., con número de registro de entrada 017048/2020, relativa a datos que se han visto afectados, entre otros, datos relativos a credenciales de acceso, datos económicos o financieros, datos de contacto e información laboral de empleados y exempleados a través de la herramienta de compartición de ficheros del responsable con la que se podía acceder a la información de cualquier empleado y exempleado, la Directora de la Agencia Española de Protección de Datos dicta una orden para que en el plazo de 30 días el responsable del tratamiento comunicara la brecha de seguridad de datos personales a los afectados. La orden fue notificada al responsable en fecha 29 de mayo de
- Transcurrido el plazo no se ha recibido confirmación de haber ejecutado esta. En fecha de 15 de julio de 2020 la Directora de la Agencia Española de Protección de Datos ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: La Subdirección General de Inspección de Datos procede a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS INFOSYS LIMITED S.E.E. con NIF W6641017F y con domicilio en Paseo de la Castellana 7,7, 28046 Madrid (MADRID). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
- Mediante escrito de fecha 8 de junio de 2020 la Directora de la Agencia Española de Protección de Datos ordenó al responsable INFOSYS LIMITED S.E.E. lo siguiente: “Se lleve a cabo la comunicación de la mencionada brecha de seguridad a los interesados, sin dilación indebida, para que, una vez tengan conocimiento de esta, puedan adoptar las medidas que consideren oportunas para evitar aquellos riesgos que pudieran afectar a su persona. La comunicación a los interesados se realizará siguiendo lo previsto en el artículo 34 del RGPD, en particular en su apartado segundo, debiendo describir en lenguaje claro y sencillo la naturaleza de la violación de seguridad de los datos personales y las posibles medidas que pudieran ser tomadas por los interesados en función de los riesgos que, en cada caso, pudieran ser identificados por los afectados. El cumplimiento de lo ordenado se exige a tenor de lo previsto en los artículos 34.4 del RGPD como consecuencia de que en la notificación de brecha de seguridad de los datos personales el responsable del tratamiento expone que se han visto afectados, entre otros, datos relativos a credenciales de acceso, datos económicos o financieros, datos de contacto e información laboral de empleados y exempleados a través de la herramienta de compartición de ficheros del responsable con la que se podía acceder a la información de cualquier empleado y exempleado, evaluando que la severidad de las consecuencias para los afectados es ALTA. Si la comunicación a los afectados supone un esfuerzo desproporcionado, podrá optar por una comunicación pública o medida semejante por la que se informe de manera igualmente efectiva a los interesados, en virtud del artículo 34.2c del RGPD. Así mismo, se requiere confirmación por parte del responsable de tratamiento del cumplimiento de la orden de comunicación a los afectados mediante registro de entrada en sede electrónica en el plazo de 30 días, haciendo referencia a la orden 041903/2020.”
- La notificación de la mencionada Orden fue recogida por el destinatario el día 29 de mayo de 2020 según consta en el Servicio de Notificaciones Electrónicas
- Con fecha 27 de julio de 2020 la Inspección de Datos solicitó a INFOSYS LIMITED S.E.E. que en el plazo de 10 días hábiles, aporte la documentación acreditativa de la comunicación realizada a los afectados por la brecha de seguridad de datos personales y copia de la comunicación remitida. Con fecha 7 de agosto de 2020 tuvo entrada un escrito remitido por INFOSYS LIMITED S.E.E. en respuesta al requerimiento en el que manifiestan que Infosys procedió a comunicarlo a todos los afectados y acompaña al escrito una copia del modelo de comunicación remitida a los afectados, en la que se informa en lengua inglesa de lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 “El propósito de este correo es reportar un incidente que implique divulgación no autorizada de sus datos personales por parte de Infosys, En Infosys, nos tomamos muy en serio la protección de nuestra información y le escribimos ore para explicar las circunstancias que conducen al incidente, y pasos dados para frenar las consecuencias de dicha exposición. ¿Qué ha pasado? El 14 de mayo, se informó de un incidente en el que los informes de Excel que contenían sus calificaciones de desempeño para el año fiscal de octubre de 2018 - septiembre 2019 almacenado en SharePoint eran accesibles para Infosys en general. Los informes fueron recopilados por nuestro servicio de recursos humanos, miembros del equipo autorizados para este fin. Durante nuestra investigación, encontramos que la página SharePaint estaba disponible en el dominio público dentro de Infosys. Una investigación adicional de Information Security Group confirmó muy pocos empleados (alrededor de 10) accedieron al archivo accidentalmente. ¿Qué información estuvo publicada? Nombre; Género; ID de correo electrónico oficial; Ubicación; Unidad, Código del empleador; Calificaciones otorgadas por su Gerente, Revisor y AA;. Comentarios de su gerente, revisor y AA. ¿Qué medidas se tomaron para abordar el Incidente y mitigar cualquier daño? Inmediatamente seguimos los pasos necesarios para deshabilitar el acceso. Hemos tomado las medidas necesarias para asegurar que no hay copias o documentos impresos por los empleados o difundido a través de correos electrónicos a cualquier dominio interno o externo. Según la baja Infosys hos notificó el incidente a la autoridad de control de conformidad con el art. 34,4 de RGPD. También nos aseguraremos de implementar las medidas necesarias para evitar que se repita dicho incidente.” Con fecha 3 de septiembre de 2020 la Inspección de Datos solicitó nuevamente a INFOSYS LIMITED S.E.E. que en el plazo de 10 días hábiles, aporte la documentación que acredite haber efectuado la comunicación a los afectados por la brecha de seguridad de datos personales. Con fecha 10 de septiembre de 2020 tuvo entrada un escrito demitido por INFOSYS LIMITED S.E.E. en respuesta al requerimiento en el que aporta, como documentación acreditativa de haber efectuado la comunicación a los afectados, copia de dos comunicaciones reales remitidos vía correo electrónico a dos destinatarios. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 En el presente caso, de la documentación remitida por el responsable del tratamiento y teniendo en cuenta las singularidades de las alegaciones presentadas, consta acreditado que la entidad investigada cumplió con la orden dictada por la Directora de la AEPD notificada el 29 de mayo de
- En consecuencia, procede el archivo de las actuaciones. III En el presente caso, la actuación de la investigada como entidad responsable del tratamiento, ha sido diligente y proporcional con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a INFOSYS LIMITED S.E.E. con NIF W6641017F y con domicilio en Paseo de la Castellana 7, 7, 28046 Madrid (MADRID). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es