1/5 Expediente Nº: E/06820/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad YAHOO IBERIA S.L. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15 de diciembre de 2016, la Directora de la Agencia Española de Protección de datos instó a que se iniciasen de oficio Actuaciones Previas de investigación en relación a los anuncios realizados por la empresa Yahoo sobre un masivo robo de datos de carácter personal de las cuentas de correo electrónico de sus clientes, para determinar las circunstancias en las que se produjo dicha brecha de seguridad y analizar las medidas adoptadas por la empresa Yahoo para proteger de los datos de carácter personal de sus usuarios. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos:
- Yahoo ha remitido a los usuarios españoles un correo electrónico con fecha 17 de diciembre de 2016 en relación a una brecha de seguridad que afecta a datos de carácter personal presumiblemente producida en agosto de 2013 y puesta en conocimiento de Yahoo por las autoridades policiales en noviembre de 2016, y que puede ser diferente del incidente revelado el 22 de septiembre de
- Manifiestan que la información comprometida podría incluir nombres, direcciones de correo electrónico, números de teléfono, fechas de nacimiento, contraseñas con hash (con MD5) y, en algunas ocasiones, preguntas y respuestas de seguridad cifradas y no cifradas. Creen que no se ha comprometido datos de tarjetas de pago o de cuentas bancarias.
- Yahoo pone a disposición de los usuarios una página informativa sobre las medidas de seguridad que adopta, que incluye entre otros: a. Cifrado de la comunicación TLS b. Política de contraseñas y de doble verificación. c. Almacenamiento seguro d. Limitación de acceso a la información e. Formación a los empleados
- Yahoo muestra una política de privacidad orientada al servicio de correo, que incluye un enlace a la política de privacidad general de Yahoo, y unas condiciones de servicio, que se reflejan en diligencias adjuntas. Destacar los siguiente párrafos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 “Reino Unido (UK), España (ES), Italia (IT) y Francia (FR): si está utilizando los Servicios del Reino Unido (UK), España (ES), Italia (IT) o Francia (FR), su contrato es con Yahoo EMEA Limited (YEL), (C/...1) (Irlanda), para recibir los Servicios; además, la legislación de Irlanda regulará las presentes CSA y cualesquiera obligaciones contractuales derivadas de estas. Usted y YEL se someten libre e irrevocablemente a la jurisdicción y competencia exclusivas de los tribunales de Irlanda en todas las disputas que surjan como consecuencia de estas CSA o en relación con ellas o que surjan de la relación entre usted y YEL o en conexión con esta relación, sea cual fuere el tipo de reclamación. Puede consultar la versión más actualizada de estas CSA, de las CSU y de la Política de privacidad en cualquier momento visitando los enlaces que aparecen más abajo. “ “"Yahoo” hace referencia a Yahoo! EMEA Limited, que opera en el marco de y está sujeta a la ley de protección de datos irlandesa. Sin embargo, si eres usuario de Sky | Yahoo Mail, "Yahoo" representa a Yahoo UK Services Limited en lo que respecta a tu uso de Mail, Messenger (en webmail), Calendario y Direcciones. Si eres usuario de BT | Yahoo Mail, "Yahoo" representa a Yahoo! UK Services Limited, que proporciona Mail, Messenger (en webmail), Calendario y Direcciones como encargado del tratamiento para los clientes de BT.” “Confidencialidad y Seguridad Limitamos el acceso a tu información personal a aquellos empleados que consideramos que requieren razonablemente estar en contacto con dicha información para ofrecerte productos o servicios, o bien con la finalidad de realizar su trabajo. Contamos con medidas de protección físicas, electrónicas y organizativas que cumplen con nuestras obligaciones legales de proteger tu información. Para obtener más información sobre la seguridad, incluidos los pasos que hemos llevado a cabo y los que puedes llevar a cabo, consulta el artículo sobre Seguridad en Yahoo.”
- Con fecha 25 de enero de 2017 se envía requerimiento de información a Yahoo Iberia S.L.U. que es recogido, según resguardo de Correos, el día 30 de enero de
- El requerimiento es respondido por el despacho A.A.A. Abogados con fecha de entrada en el registro de la AEPD el 23 de febrero de 2017 en el que manifiestan entre otros: Actúan en nombre de Yahoo Iberia S.L.U. <<…Tal y como ya se les ha informado en diferentes ocasiones, Yahoo! EMEA Limited provee los productos y servidos de Yahoo! en España y ha sido el Responsable del Tratamiento de dichos productos y servicios desde el 21 de Marzo de 2014, a raíz de una transferencia de la función de control a Yahoo! EMEA Limited, lo que implicó los medios y fines del tratamiento de los datos de los usuarios de la UE. Yahoo Iberia no es el Responsable del Tratamiento de datos de usuarios asociados con productos y servicios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Yahoo! ni en España ni en ningún otro lugar. Como consecuencia de dicha reorganización interna de la compañía, Yahoo Iberia ha estado preparando su liquidación voluntaria durante un periodo de tiempo considerable y, desde el 31 de Diciembre de 2016, ya no tiene empleados situados en España. Consecuentemente y como ya se les ha informado previamente, les rogamos dirijan su correspondencia a la dirección postal de Yahoo! EMEA Limited que se les facilita a continuación; (…) Dublin 7 Irlanda (…) Nuevamente les recordamos que Yahoo! EMEA Limited es una compañía registrada y constituida en Irlanda, operando de conformidad y en cumplimiento con la legislación irlandesa. Como tal empresa irlandesa, Yahoo! EMEA Limited queda sujeta a la autoridad de la (…) en Irlanda, en relación con los asuntos de privacidad y protección de datos. La ODPC se encuentra realizando una investigación de las cuestiones identificadas en su Requerimiento de Información. Mientras esta investigación sea confidencial, en caso de que tenga preguntas adicionales sobre este asunto, pueden Vds. consultar con su contraparte en la ODPC de conformidad con el deber de cooperación establecido en el artículo 28, apartado 6, de la Directiva 95/46/CE…>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD aprobado por Real Decreto 1720/2007, de 21 de diciembre, establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II El artículo 3, apartados 1.a) y 2 del citado Reglamento, dispone lo siguiente: “
- Se regirá por el presente reglamento todo tratamiento de datos de carácter personal: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 a) Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento” (...) “
- A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad.” III De la información obtenida por esta Agencia en relación a la citada empresa, se informa que Yahoo Iberia, S.L. ha preparado su liquidación voluntaria y no tiene empleados situados en España, por la que la entidad no realiza ninguna actividad ni, en consecuencia, ningún tratamiento de datos en territorio nacional. Asimismo, se indica que Yahoo! EMEA Limited, constituida en Irlanda, provee los productos y servicios de Yahoo, y es el responsable del tratamiento de dichos productos y servicios en España. En consecuencia y dado que Yahoo EMEA! Limited se halla fuera del ámbito competencial de esta Agencia, procede archivar el presente procedimiento. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a YAHOO IBERIA S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es