1/4 Procedimiento Nº: E/07708/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de una brecha de seguridad de datos personales por parte del Responsable del Tratamiento ROBERT WALTERS HOLDING SAS SUCURSAL EN ESPAÑA, con NIF W0014760C (en adelante, el responsable) con número de registro de entrada O00007128e2000002236, relativa a la suplantación de un encargado del tratamiento, se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Resumen de la notificación: Ponen en conocimiento de la AEPD la suplantación de una empresa india ***EMPRESA.1 con la que trabajan. Un candidato a un puesto de trabajo contactó por mail con dicha empresa y le respondieron que no tenían ninguna candidatura con el responsable ni habían abierto ningún proceso de selección. Consideran que han suplantado a ***EMPRESA.1 y han obtenido información de candidatos. Informan de 4 personas afectadas. Manifiestan que puede haber afectados en Alemania. ENTIDAD INVESTIGADA Durante las presentes actuaciones se ha investigado la siguiente entidad: ROBERT WALTERS HOLDING SAS SUCURSAL EN ESPAÑA con NIF W0014760C con domicilio en Plaza de la Independencia 2 -3º derecha 28001 MADRID. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1.- Con fecha 14 de octubre de 2020 se procedió a la apertura de un artículo 56 (Identification of LSA and CSA) con número 156711 a través del sistema IMI, sobre la brecha de seguridad sufrida por el responsable, donde se proponía como autoridad líder a Reino Unido y como autoridad interesada a España. El caso fue cerrado el 15/01/
- No consta ninguna autoridad como LSA. Se han declarado interesadas: Alemania (Baden, Berlín, Sajonia, Hesse, Bavaria y Rhineland) Holanda e Irlanda. 2.- Con fechas 24 de febrero y 20 de abril de 2021 se solicitó información al responsable. De la respuesta recibida se desprende lo siguiente: Respecto de la empresa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 El responsablees una empresa especializada en la consultoría de reclutamiento profesional mediante la búsqueda de profesionales cualificados. La sucursal en España realiza esta actividad para particulares ubicados en España. Prestación de servicios Representantes de ***EMPRESA.1 (en adelante ***EMPRESA.1) contactaron con el responsable utilizando la bandeja de entrada “Contáctenos” con objeto de realizar consultoría de contratación de profesionales para dicha entidad que incluía la búsqueda de candidatos para un puesto en España. Proporcionaron direcciones de correo electrónico aparentemente legítimas y se les remitió las condiciones para la prestación del servicio. A mediados de septiembre de 2021, fueron informados del hecho de que las personas con las que estaban tratando en realidad no eran miembros de ***EMPRESA.1 y al obtener la confirmación de esto, cesaron todos los tratos y negociaciones. Respecto de la cronología de los hechos: Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final El 10 de septiembre de 2020, un candidato a un puesto de trabajo de ***EMPRESA.1 informa al responsable que después de una entrevista supuestamente realizada con dicha entidad remitió un correo de agradecimiento y le contestaron informándole de que no habían mantenido ninguna entrevista con él ya que no se estaba reclutando candidatos para ningún puesto. Inmediatamente, el responsable contactó con ***EMPRESA.1 para confirmar los hechos y comenzar una investigación. El 14 de septiembre de 2020 se confirmó que efectivamente la conversación no fue realizada con ***EMPRESA.1, la cual ya estaba investigando el hecho puesto que varias empresas se encontraban en esta situación. El responsable comunica a los cuatro afectados el incidente. El 17 de septiembre se notifica a la AEPD y el 28 de septiembre se denuncia ante las autoridades policiales españolas. Respecto de las causas que hicieron posible la brecha Las direcciones de correo electrónico que utilizaron los supuestos representantes de ***EMPRESA.1 son aparentemente legitimas ya que figuran los nombres de empleados reales de ***EMPRESA.
- Respecto de los datos afectados. En España hubo cuatro personas afectadas y otros cuatro en Alemania ya que todos ellos fueron presentados para la supuesta oferta de trabajo de ***EMPRESA.
- Se comunicaron los datos de: nombre y apellidos, estudios e historial profesional (todos datos extraídos de los currículos) y dirección de correo electrónico. Consideran que el objetivo del incidente podría ser la venta de datos, aunque la mayor parte del ellos ya están publicados en Linkedin pero no pueden descartar que el objetivo sea el robo de identidad. No tienen constancia de la utilización de los datos por terceros ni de su publicación en internet Respecto de las medidas de seguridad implantadas El responsable manifiesta que se mantienen los datos personales en una combinación de almacenamiento informático y archivos en papel, y que su acceso está C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 limitado a aquellos empleados, agentes, contratistas y otros terceros que tengan la necesidad comercial de conocerlos de forma confidencial. El responsable manifiesta tener implementado procedimientos para hacer frente a cualquier sospecha de violación de datos personales y notificar a los interesados y a la autoridad supervisora. Asimismo manifiesta que todo el personal recibe formación sobre protección de datos y los servicios de seguridad de la información también llevan a cabo formación periódica de concienciación sobre la seguridad. En relación con las medidas implantadas con posterioridad al incidente manifiestan que el equipo de seguridad de la información continúa llevando a cabo y reforzando la concienciación en seguridad. La formación incluye información sobre correos electrónicos sospechosos. Monitorización y mejora de procesos con objeto de verificar nuevos contactos de clientes en la base de datos y en motores de búsqueda para detectar posibles impostores. Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. El responsable manifiesta que no tienen antecedentes de este tipo de incidentes y sus asesores en materia de seguridad, no conocen situaciones similares en el sector. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” Hay que señalar que la notificación de una quiebra de seguridad no implica la imposición de una sanción de forma directa, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. La seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que regulan tanto la seguridad del tratamiento como la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, como consecuencia de la suplantación de una empresa india ***EMPRESA.1 con la que el responsable trabaja. III Se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ROBERT WALTERS HOLDING SAS SUCURSAL EN ESPAÑA con NIF W0014760C. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es