1/4 Procedimiento Nº: E/006214/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Como consecuencia de la notificación a la Unidad de Evaluación y Estudios Tecnológicos de esta Agencia de una brecha de seguridad de datos personales por parte del responsable del tratamiento MIL MAS 8, S.L (en adelante MIL), con número de registro de entrada 018016/2020, relativa a revelación de datos personales a través de URLs públicas, la Directora de la Agencia Española de Protección de Datos dictó una orden para que en el plazo de 30 días el responsable del tratamiento comunicara la brecha de seguridad de datos personales a los afectados. La orden fue notificada al responsable con fecha 8 de junio de 2020 y número de registro de salida 045287/
- Transcurrido el plazo no se ha recibido confirmación de haber ejecutado esta. Con fecha de 22 de julio de 2020, la Directora de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la notificación, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han realizado investigaciones a las siguientes entidades: MIL MÁS 8 S.L., con NIF B86176559 y con domicilio en C/ ALEJANDRO GONZÁLEZ, 8 1º A - 28028 MADRID (MADRID) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
- Mediante escrito de fecha 8 de junio de 2020 la Directora de la Agencia Española de Protección de Datos ordenó al Responsable MIL MÁS 8 S.L. lo siguiente: “Se lleve a cabo la comunicación de la mencionada brecha de seguridad a los interesados, sin dilación indebida, para que, una vez tengan conocimiento de esta, puedan adoptar las medidas que consideren oportunas para evitar aquellos riesgos que pudieran afectar a su persona. La comunicación a los interesados se realizará siguiendo lo previsto en el artículo 34 del RGPD, en particular en su apartado segundo, debiendo describir en lenguaje claro y sencillo la naturaleza de la violación de seguridad de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 personales y las posibles medidas que pudieran ser tomadas por los interesados en función de los riesgos que, en cada caso, pudieran ser identificados por los afectados. El cumplimiento de lo ordenado se exige a tenor de lo previsto en los artículos 34.4 del RGPD como consecuencia de que se han expuesto datos de 160.522 personas físicas al existir URLs que generaban informes con datos personales de los usuarios de la web. Si la comunicación a los afectados supone un esfuerzo desproporcionado, podrá optar por una comunicación pública o medida semejante por la que se informe de manera igualmente efectiva a los interesados, en virtud del artículo 34.2c del RGPD. Así mismo, se requiere confirmación por parte del responsable de tratamiento del cumplimiento de la orden de comunicación a los afectados mediante registro de entrada en sede electrónica en el plazo de 30 días, haciendo referencia a la orden 045287/2020.”
- La notificación de la mencionada Orden fue puesta a disposición de MIL desde el 9 de junio de 2020 hasta el 20 de junio de 2020 en el Servicio de Notificaciones Electrónicas, sin que conste que haya sido retirado por el destinatario.
- Con fecha 28 de julio de 2020, la Inspección de Datos, en uso de las facultades conferidas por el artículo 58.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, solicitó a MIL que en el plazo de 30 días hábiles, aporte la documentación acreditativa de la comunicación realizada a los afectados por la brecha de seguridad de datos personales y copia de la comunicación remitida. Con fecha 13 de agosto de 2020 tuvo entrada un escrito remitido por MIL en respuesta al requerimiento en el que manifiestan lo siguiente: 2.
- MIL no tuvo constancia fehaciente de la notificación con fecha de salida 8/6/2020 debido a que dicha notificación fue recibida en un correo electrónico diferente al usado actualmente por MIL. y perteneciente a una asesoría externa que ya no es proveedora de servicios para MIL. 2.
- Se ha procedido a comunicar la brecha de seguridad a todos los usuarios afectados. Aportan copia de un escrito enviado a los afectados con el siguiente contenido: “Hola Raúl Te informamos que hemos tenido conocimiento de una brecha de confidencialidad de nuestra plataforma 8BELTS que eventualmente podría haber hecho accesible algunos datos alojados en un directorio de Amazon Web Service. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 Tras realizar un análisis técnico exhaustivo del incidente de seguridad, nos complace informarte que en ningún momento se ha puesto en peligro la base de datos de la plataforma 8BELTS en la que se encuentra las contraseñas de acceso de nuestros usuarios u otros datos personales sensibles de alto valor. Se ha comprobado que únicamente han permanecido accesibles informes comerciales que recogía exclusivamente información básica de nuestros usuarios. Dado que para nosotros, la privacidad y seguridad de tus datos es prioritaria, como medida de precaución, te recomendamos que modifiques la contraseña que utilizas para acceder a nuestra plataforma como medida preventiva ante el acontecimiento de esta incidencia. Te recordamos que en 8BELTS solo almacenamos información básica de nuestros usuarios como tu nombre, teléfono y correo electrónico, no se almacenan datos de tarjetas de crédito no datos personales sensibles. Desde 8BELTS te informamos que una vez detectado el incidente de seguridad se ha procedido con éxito a aplicar las medidas necesarias para suprimir el acceso no consentido y migrar los contenidos a un nuevo directorio privado, poniendo así remedio a la brecha de seguridad. Así mismo, desde 8BELTS hemos actualizado y reforzado nuestros protocolos técnicos y de seguridad para mitigar los posibles efectos negativos de este incidente. Si deseas recibir información más detallada puedes enviarnos un correo electrónico con tu consulta a dpo@8belts.com. Gracias por tu colaboración. Un saludo.” También aportan copia de los logs de envío de los correos electrónicos en los que se incluye la comunicación indicada. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, de la documentación remitida por el responsable del tratamiento y teniendo en cuenta las singularidades de las alegaciones presentadas, consta acreditado que MIL cumplió con la orden dictada por la Directora de la AEPD el 8/06/
- En consecuencia, procede el archivo de las actuaciones. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 En el presente caso, la actuación de la investigada, como entidad responsable del tratamiento, ha sido diligente y proporcional con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a MIL MÁS 8 S.L., con NIF B86176559 y con domicilio en C/ ALEJANDRO GONZÁLEZ, 8 1º A - 28028 MADRID (MADRID) De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es