E-06444-2019

1/5 Procedimiento Nº: E/06444/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician con la recepción de un escrito de notificación de quiebra de seguridad remitido por la entidad EIFOR CONSULTORIA Y FORMACIÓN SL (en adelante EIFOR) en el que informan a la Agencia Española de Protección de Datos la pérdida o robo de un disco duro de la empresa con unos 5000 registros de clientes con datos identificativos, de contacto y financieros. La incidencia se ha detectado el 8/05/

1. / SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de quiebra: 12/06/2019 ENTIDADES INVESTIGADAS EIFOR CONSULTORÍA Y FORMACIÓN, S.L con NIF B93379113 con domicilio en C/ MARIE CURIE, 3 - 29950 MÁLAGA (MÁLAGA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
2. Con fecha 27/06/2019 se requiere información a EIFOR y de la respuesta recibida con fecha 5/07/2019 se desprende lo siguiente: Respecto de la empresa EIFOR  EIFOR CONSULTORÍA Y FORMACIÓN es la marca comercial de la entidad cuyo objeto social son los servicios de formación continua.  EIFOR manifiesta disponer de un protocolo de copias de seguridad diaria en un servidor propio y una vez por semana se realizaba otra copia en un disco duro externo con clave de acceso que se custodiaba en el domicilio de una empleada autorizada con la que EIFOR mantiene un contrato de confidencialidad y documento de autorización y aporta copia del registro de autorizaciones para las copias de respaldo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Respecto de la cronología de los hechos  El 08/05/2019 EIFOR detecta la pérdida del disco duro.  Entre el 08/05/2019 y el 12/06/2019 no se comunica la pérdida del disco duro ya que EIFOR manifiesta tener la certeza de que el mismo se encontraba en el domicilio de la empleada autorizada por lo que no se realizó notificación de quiebra a la Agencia, procediéndose a realizarla el día 12 de junio de 2019 después de evaluar la situación.  El 21/06/2019 se comprueba que el disco duro se encuentra efectivamente en el domicilio de la persona autorizada. No se había encontrado antes al estar ausente del puesto de trabajo la persona autorizada para su custodia. El disco no mostraba signos de deterioro. Respecto de la categoría de los datos afectados  EIFOR manifiesta que el número de registros del disco duro era de unos
3.  Los datos en las copias de seguridad son: datos básicos identificativos de clientes (Razón Social/CIF/Dirección), datos de empleados propios de la compañía (datos laborales) y datos de empleados de clientes (Nombre y Apellidos/DNI/NºSS/Académicos) recabados para los cursos de formación contratados por los clientes. Respecto de las acciones tomadas para minimizar la incidencia  Se procedió a modificar las claves de los administradores de las plataformas de cursos y de los empleados de la compañía. Respecto de las acciones realizadas para la resolución final  EIFOR manifiesta que se han cambiado de domicilio con fecha 28/06/2019, y desde esta fecha se ha modificado el protocolo de copias de seguridad. Se mantiene la copia diaria en sus propios servidores y se realiza una copia de respaldo encriptada que se custodia en un servidor externo ubicado en Málaga.  EIFOR manifiesta no tener constancia de accesos fraudulentos a las plataformas de cursos ni han tenido ninguna reclamación de sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5  No se ha procedido a la comunicación a los afectados ya que han considerado que no existe riesgo para los mismos. Respecto de las medidas de seguridad implantadas con anterioridad al incidente EIFOR manifiesta disponer de las siguientes medidas de seguridad implantadas con anterioridad:  Los equipos disponen de claves de usuario y contraseñas seguras que no se comparten y se modifican cuando el equipo es cedido a otro empleado o cuando se modifican las autorizaciones de acceso  Se utilizan perfiles para el acceso a los sistemas de información del servidor.  Los equipos disponen de antivirus actualizado y softwares actualizados y originales.  Existe un protocolo de copias de respaldo encriptadas diarias y semanales.  Disponen de contratos de encargados de tratamiento con toda aquella entidad susceptible de acceder a los datos de clientes/usuario y empleados  Los empleados tienen firmados un contrato de confidencialidad y/o adenda de confidencialidad actualizada con la nueva Ley de Secretos Empresariales  Han realizado una Sesión Formativa en Mayo de 2018 respecto de las medidas de cumplimiento dispuestas en el Reglamento (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD). Disponen de un protocolo de evaluación y notificación de brechas de seguridad. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, tras el requerimiento de información llevado a cabo por la inspección de esta AEPD, la entidad afectada ha informado de las investigaciones internas realizadas y resultado de las mismas. Hay que destacar que tras la notificación a esta AEPD de la supuesta quiebra de seguridad la entidad afectada encontró el disco duro que en principio consideró extraviado sin aparentes indicios de daño y en el lugar determinado para su custodia. Por tal motivo no se procedió a comunicar la incidencia a los afectados. No obstante, la entidad actualizó el protocolo de copias de seguridad y procedió a impartir una sesión informativa a todos sus empleados sobre el RGPD. Tampoco consta que los datos personales que obran en sus servidores de información de los que son responsables hayan sido tratados por terceros ajenos. III Por lo tanto, se ha acreditado que la actuación de EIFOR, como entidad responsable del tratamiento ha sido diligente y acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución EIFOR CONSULTORÍA Y FORMACIÓN, S.L con NIF B93379113 con domicilio en C/ MARIE CURIE, 3 29950 MÁLAGA (MÁLAGA) De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es