E-07028-2019

1/6 Procedimiento Nº: E/07028/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de quiebra de seguridad remitido por CUALTIS, SLU (en adelante CUALTIS) en el que informan a la Agencia Española de Protección de Datos que, con fecha 20 de marzo de 2019, han detectado que una valija con muestras biológicas recogidas por un subencargado del tratamiento contratado por la empresa EUROFINS MEGALAB SA (en lo sucesivo MEGALAB) (encargada del tratamiento) que debían ser trasladas a las instalaciones de MEGALAB no había llegado a su destino. La fecha de recogida se estima que fue el 13 de marzo de

1. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de quiebra: 25 de marzo de 2019 ENTIDADES INVESTIGADAS CUALTIS, S.L.U. con NIF B84527977 con domicilio en ARGOS, NUM 4 - 28037 MADRID (MADRID), MEGALAB SA con NIF A78873973 con domicilio en C/ Alfonso XII,
2. Piso 1 28002 Madrid (MADRID) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
3. Con fecha 1 de agosto de 2019 se requiere información a CUALTIS y de la respuesta recibida en fecha 14 de agosto se desprende: Respecto de la empresa  CUALTIS realiza, entre otros, el Servicio de Prevención Ajeno en el área de Vigilancia de la Salud.  CUALTIS tiene suscrito un contrato de encargado de tratamiento con MEGALAB para la prestación de servicio de análisis clínicos. CUALTIS ha aportado copia del Anexo II al contrato donde figuran las cláusulas de protección de datos. Y como Anexo III consta el registro de Actividad correspondiente a este tratamiento por parte del encargado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Respecto de la cronología de los hechos. Informe de la incidencia  Con fecha 13 de marzo de 2019 una valija con muestras biológicas para la realización de análisis clínicos fue recogida por la empresa ANHERSI TOUR Y DISTRIBUCION SL (en adelante ANHERSI) servicio subcontratado por MEGALAB.  El 15 de marzo, CUALTIS reclama resultados a MEGALAB  El 18 de marzo, CUALTIS Jaén reclama resultados a MEGALAB CUALTIS ha aportado copia de los correos intercambiados con MEGALAB respecto al incidente.  El 19 de marzo se notifica internamente al Delegado de Protección de Datos de la compañía y el 20 de marzo el responsable de zona de CUALTIS Jaén envía al Delegado de Protección de Datos un anexo de notificación completo.  Del 20 al 25 de marzo se realiza una reunión interna de CUALTIS (Departamento Jurídico, Delegado de Protección de Datos, Dirección Médica, Dirección Informática y equipo consultor de apoyo), para establecer medidas preventivas y correctivas, notificar a la AEPD, a clientes (empresas) y a los afectados (trabajadores de los clientes). CUALTIS manifiesta que el motivo de la dilación en la notificación a la Agencia ha sido debido al requerimiento por parte de la entidad al encargado y subencargado para que pudieran verificar con diligencia acerca de la supuesta violación de seguridad en la posible pérdida de las muestras biológicas.  El 25 de marzo 2019, en reunión interna se decide que la notificación a clientes la realicen los responsables comerciales y la notificación a los afectados la realice la Directora Médica Regional. Asimismo, se estudian qué medidas correctivas y preventivas se deberían adoptar.  El 25 de marzo de 2019 se requiere a MEGALAB ampliación de la información sobre la incidencia y se procede a notificar a la Agencia.  El 26 de marzo se reciben informe de MEGALAB y ANHERSI. CUALTIS ha aportado información sobre el incidente en el que se indica:  C/ Jorge Juan, 6 28001 – Madrid o El mensajero no pudo recoger las muestras en su momento y anotó en sus sistemas “Mercancía no preparada” o CUALTIS Jaén contactó con el mensajero posteriormente y recogió las muestras pero no modificó el estado en el sistema y tampoco advirtió que esas eran las muestras no recogidas anteriormente (el procedimiento habitual es recogerlas al día siguiente) por lo que la valija no se identificó. El 29 de marzo se comienza el envío de notificaciones a los afectados que finaliza el 9 de abril. www.aepd.es sedeagpd.gob.es 3/6  El 3 de abril se realiza una evaluación de impacto del Tratamiento Transporte de muestras biológicas.  En los meses de abril-agosto se desarrollan medidas de seguridad según un Plan de acción definido. En él se contemplan, entre otras, la revisión y mejora de los documentos relativos a seguridad de la información y vulneraciones en los tratamientos de datos, así como la realización de una evaluación de impacto del tratamiento “Transporte de muestras biológicas” y la realización de un proyecto de monitorización de valijas.  El 7 de agosto se reúnen CUALTIS y MEGALAB para dar seguimiento al plan de acción de Medidas de Seguridad. MEGALAB informa que la valija apareció el mes de agosto sin abrir ni manipular, la caja con las muestras biológicas junto con el “listado de extracciones realizadas”. A este respecto, CUALTIS ha aportado un escrito de la empresa ANHERSI, de fecha 7 de agosto de 2019, en el que certifica que la valija fue entregada en las instalaciones de MEGALAB en perfectas condiciones de sellado lo que garantiza la privacidad de la mercancía. Causa de la incidencia  Error humano del personal de ANHERSI al recoger la valija y anotar en su sistema automatizado la información de no recogida y no actualizarla posteriormente.  Pérdida de trazabilidad del paquete que ocasionó la no recepción en su destino. Respecto de los datos afectados  Muestras biológicas de 48 pacientes de 17 empresas clientes de CUALTIS.  Junto con la valija se remite un documento en papel “Listado extracciones realizadas” con los datos personales de: Historia, Episodio, Nombre completo, NIF, Sexo, Empresa y dirección, Edad y Fecha nacimiento, código de barras, código interno de extracción, código de identificación que se pega en los tubos que contienen las muestras.  CUALTIS ha aportado copia de las comunicaciones remitidas a los clientes empresa por correo electrónico y a al personal de CUALITIS encargados de comunicar a los afectados, En la comunicación a los clientes empresas se explica la incidencia ocurrida con las muestras del día 13 de marzo y las medidas adoptadas al respecto, indicando la disposición de la compañía para realizar de nuevo las extracciones. Respecto de las medidas de seguridad implantadas con anterioridad al incidente  CUALTIS ha aportado los siguientes documentos: o Certificado ISO/IEC 27001 emitido a favor de CUALTIS y vigente hasta el 23/12/
4. o Copia del documento “Procedimiento técnico para transporte y recepción de especímenes/muestras” de MEGALAB en el que figura C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 las condiciones y las medidas de seguridad relativas al transporte y a la recepción, de fecha 22/02/
5. o Copia del Registro de Actividad del tratamiento “Transporte de muestras biológicas” realizado por CUALTIS, en el que figura, entre otros, que las medidas de seguridad en el transporte de soportes son las implementadas por los encargados del tratamiento. o Copia del documento “Procedimiento de evaluación de impacto en la Protección de Datos” de enero de
6. o Copia del documento “Gestión de vulneraciones críticas en tratamiento de datos personales” de CUALTIS, versión 2 de marzo de
7. o Copia del documento “Gestión de Riesgos, oportunidades y evaluaciones de Seguridad de la información” ISO 27001:2013, de octubre de
8. Copia del documento “Política de Seguridad de la información en el tratamiento de datos personales para proveedores del Grupo CUALTIS” Respecto de las medias implementadas con posterioridad a la incidencia  CUALTIS ha aportado la Evaluación de Impacto en el tratamiento de Datos personales “Transporte de muestras biológicas” realizado con motivo del incidente de seguridad de la pérdida de la valija, en fecha 3 de abril de
9.  CUALTIS ha aportado el Plan de Formación 2019-2020 sobre Privacidad y Seguridad de la Información, de fecha 11 de junio de 2019, que se imparte por el Delegado de Protección de Datos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 confidencialidad e integridad por el posible acceso y pérdida de datos personales, como consecuencia del extravío temporal de las indicadas muestras biológicas identificadas durante el envío al laboratorio de análisis. No obstante, también consta que CUALTIS, disponía de medidas técnicas y organizativas para afrontar un incidente como el ahora analizado, lo que ha permitido la detección, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, comunicar y minimizar el impacto e implementar las medias razonables oportunas para evitar que se repita en el futuro a través de la puesta en marcha de un plan de actuación previamente definido por las figuras implicadas del responsable del tratamiento. También debe valorase la adopción de medidas técnicas y de gestión, como es la contratación de una auditoria a todos los sistemas de información similares, al objeto de comprobar y en su caso mejorar la calidad de las aplicaciones de gestión de datos personales. El informe final tras el seguimiento y cierre sobre la brecha y su impacto es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos futuros. El uso de esta información servirá para prevenir la reiteración del impacto de una brecha. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a:  CUALTIS, S.L.U. con NIF B84527977 y con domicilio en ARGOS, NUM 4 28037 MADRID (MADRID),  MEGALAB SA con NIF A78873973 y con domicilio en C/ Alfonso XII,
10. Piso 1 - 28002 Madrid (MADRID) De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es