E-07415-2019

1/5 Procedimiento Nº: E/07415/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de quiebra de seguridad remitido por METROVACESA, S.A. (en adelante METROVACESA) en el que informan a la Agencia Española de Protección de Datos a través de un afectado que su currículo (CV), incorporado al sistema de recepción de CVs en línea de la entidad, ha sido indexado por un buscador en Internet. Indican que la quiebra se debió iniciar el 01/05/2019 y que han tenido conocimiento de ella el 11/07/2019, pero que la notificación a la AEPD se ha realizado el 25/07/2019 cuando ha sido posible obtener toda la información sobre el número de afectados y se han identificado e implantado medidas de subsanación. Estiman en 1459 los afectados. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de quiebra: 25 de julio de 2019 ENTIDADES INVESTIGADAS METROVACESA, S. A. con NIF A87471264 con domicilio en C/ QUINTANAVIDES, 13 PARQUE VIA NORTE - 28050 MADRID (MADRID) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1.- HECHOS: Cronología de hechos:  En mayo de 2019 un candidato comunica a METROVACESA que su CV se encontraba indexado en el buscador Google y era accesible a través de Internet.  METROVACESA inicia una investigación interna. Indica que esta situación sólo podía deberse al hecho de que la anterior entidad que gestionaba el sitio web, no hubiera cumplido las instrucciones de configuración adecuadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5  A través de esa investigación se detecta que el error de configuración de determinadas carpetas de Wordpress donde se alojaban los CVs efectivamente existe, pero afecta sólo a CVs previos a enero de 2019, puesto que en ese mes se cambió la configuración de Wordpress por el nuevo proveedor de gestión del sitio web mediante un complemento que gestiona los archivos de la Base de Datos (BBDD), de forma que ya no se guardaban en el Wordpress ni se almacenaba la información.  A raíz de la investigación interna, se implementan las medidas de subsanación de la incidencia. Los representantes de METROVACESA manifiestan que no se tiene conocimiento de la utilización por terceros de los datos personales que han resultado accesibles. 2.- MEDIDAS PREEXISTENTES: METROVACESA ha aportado copia del Registro de Actividades de Tratamiento (RAT) en el que figuran los tratamientos comprometidos (personal/procesos de selección). METROVACESA ha aportado también copia del Análisis de Riesgo (AR) del tratamiento “PROCESOS DE SELECCIÓN”. En el AR constan, entre otras consideraciones:  riesgos como el de referencia RP005 y descripción “Acceso no autorizado a los datos personales” figurando como medidas de control “controles de acceso establecidos por proveedor externo” (antiguo proveedor).  Riesgo de referencia RD014 “Ausencia de análisis sobre la capacidad de cumplir del Encargado” con nivel de medidas de control “El contrato es previo al RGPD” y nivel de implantación de las medidas “En proceso”.  Aparecen Medidas de control denominadas “Cambio de proveedor” con respecto a varios riesgos entre ellos el de referencia RD014 con las Notas/observaciones: “Gestión de la web: se cambia de -anterior- a -posterior- . Gestión de procesos de selección: se incorpora la tecnología y herramientas de -tercera entidad-” Existe también un procedimiento de gestión de incidencias y violaciones de seguridad cuya copia ha sido aportada por la entidad. 3.- MEDIDAS POSTERIORES A LA BRECHA: Medidas de subsanación implementadas en mayo de 2019:  Se configuró el sistema en el que se almacenaban los CVs para que no se pudieran descargar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5  Se solicitó al buscador Google a través de Search Console la desindexación de todos los CVs.  Se modificó el archivo Robots.txt para que el buscador Google no indexara esas carpetas.  Tras unos días se verificó que se habían desindexado los CVs y se puso una alerta para revisarlo de nuevo pasados unos meses. En julio de 2019:  Eliminación de los CVs que se encontraban en carpetas de Wordpress. Posteriormente se instaló un nuevo complemento que gestiona los archivos de la BBDD, de forma que ya no se guardaban en el Wordpress ni se almacenaba la información. Adicionalmente, se decidió cambiar el modelo de captación de candidatos y sus CVs a través del sitio web, de modo que el proceso se realiza a través de la sección “Trabaja con nosotros”, ubicada en https://metrovacesa.com/nosotros, pero haciendo uso de la tecnología y herramientas contratadas con -tercera entidad-, lo que ha permitido aumentar, entre otros aspectos, la seguridad del proceso. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, la violación de la seguridad notificada tuvo consecuencia una vulnerabilidad de la confidencialidad al permitir sin legitimación alguna la publicación al público en general de los CV´s que presentaron los candidatos a través de la web de Metrovacesa, que tuvo su origen en un cambio de proveedor de gestión de la web en el mes de enero, resultando afectados los CV´s facilitados por los candidatos con anterioridad a enero de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Consta como medidas aplicadas para minimizar el impacto, en primer lugar, cuando tuvieron noticia de los hechos a través de un afectado, se desindexaron las carpetas que contenían los CV´s al objeto de impedir su acceso a través de buscadores en Internet y en julio de eliminaron los CV´s definitivamente de dichas carpetas. En segundo lugar, consta la actualización del análisis de riesgos que detectaron posibles riesgos potenciales por lo que se cambió el proveedor de gestión de la web. En consecuencia, se aprecia un nivel de diligencia razonable en la actuación de la entidad en función de los riesgos potenciales detectados y su posterior eliminación con el cambio de proveedor. El informe final tras el seguimiento y cierre sobre la brecha y su impacto es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos futuros. El uso de esta información servirá para prevenir la reiteración del impacto de una brecha. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento, ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a METROVACESA, S. A. con NIF A87471264 y con domicilio en C/ QUINTANAVIDES, 13 PARQUE VIA NORTE 28050 MADRID. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es