1/4 Procedimiento N.º: E/09401/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de brecha de seguridad de datos personales remitido por el responsable del tratamiento de MILTUTUS, S.L., en el que se pone de manifiesto que, en fecha ***FECHA.1, se ha producido el robo de un ordenador portátil con datos personales de 500 menores, entre los que se encontraban imágenes y datos de salud. La empresa manifiesta que no va a informar a los afectados. SEGUNDO: En fecha 16 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos, teniendo conocimiento de los siguientes extremos: Fecha de notificación de la brecha de seguridad de datos personales: ***FECHA.
- ENTIDAD INVESTIGADA: Durante las presentes actuaciones se han investigado las siguientes entidades: MILTUTUS, S.L. con CIF ***LOCALIDAD.1 Barcelona. B67418814 y domicilio en ***DIRECCIÓN.1, RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN: Con fecha 16 de noviembre de 2020, la Directora de la Agencia firmó una resolución obligando a la empresa MILTUTUS a la comunicación de la brecha a los interesados. Dicha resolución fue remitida en esa misma fecha, siendo rechazada por caducidad el 2 de diciembre de
- 1.- Con fecha 23 de noviembre de 2020 se requirió información a MILTUTUS y de la respuesta recibida se desprende: Respecto de la empresa. Tal y como consta en AXESOR, MILTUTUS SL es una microempresa que se dedica a otras actividades recreativas y de entretenimiento. En la web de InfoJobs consta la siguiente descripción de la empresa MILTUTUS SL “Moms es un espacio Montessori de artes y oficios para niños y chicos de edades entre 5 y 18 años. Tenemos cuatro salas y en cada una de ellas, hacemos una actividad dirigida a que los niños descubran su talento y/o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 vocación. Las cuatro áreas son arte (pintura, plástica, manualidades), eco construcción (para los futuros ingenieros, arquitectos, mecánicos), atelier de diseño y emociones (para fomentar la actitud ante la vida, que, en definitiva, es casi lo más importante)”. Respecto de la cronología de los hechos. MILTUTUS ha aportado el Registro de Incidentes de la brecha de seguridad en la que figura: El día ***FECHA.1 se tuvo conocimiento del robo de un ordenador portátil. Al desconocer las posibilidades de poder acceder a los datos contenidos en el ordenador, se procedió a notificar la brecha de seguridad a la Agencia. El informático confirma que no podrán tener acceso a los datos, ya que están protegidos con contraseña de inicio de sesión. Y los datos también están encriptados. De manera que no pueden tener acceso a los datos, incluso pudiendo saltarse el inicio de sesión del ordenador. El ordenador portátil no tenía acceso a la nube. Con fecha 16 de marzo de 2021, MILTUTUS ha presentado ante la Agencia un escrito donde comunica que el robo que dio lugar a la notificación de brecha de seguridad no fue tal ya que el ordenador supuestamente sustraído se lo llevo un familiar directo (hija de la titular) provocando una confusión. MILTUTUS manifiesta que no hubo brecha de seguridad ya que el familiar no disponía de las claves de acceso al ordenador por lo cual no pudo acceder a la información contenida en él. Respecto de las causas que hicieron posible la brecha. El ordenador portátil no estaba bajo llave por lo que van a habilitar un armario con llave. Respecto de las acciones tomadas para minimizar el impacto y la resolución final de la brecha. El día 14 de noviembre procedieron a desactivar todas las cuentas asociadas con el ordenador sustraído. El día 25 de noviembre se restauran los datos desde la copia de seguridad. Realizan búsquedas periódicas en internet para una mayor tranquilidad de los posibles afectados. Respecto de la comunicación a los afectados. MILTUTUS manifiesta que “El 14/11/2020 se comunica a los afectados de manera verbal y escrita, avisando de que habido una posible incidencia de seguridad. Que nos hagan saber si detectan datos personales difundidos a terceros/difusión en internet. El riesgo de que hayan tenido acceso los datos es nulo, aun así, insistimos en que estén atentos para minimizar el riesgo y poder actuar con rapidez”. Respecto de las medidas de seguridad. MILTUTUS ha aportado la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 Análisis de Riesgos en el tratamiento de datos personales de fecha 26 de noviembre de
- Auditoria de Protección de Datos. Manual de Protección de Datos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación, la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de confidencialidad, como consecuencia del robo de un ordenador portátil que contenía datos personales de 500 menores, lo que pudo dar lugar a posibles accesos indebidos a los datos almacenados en este. De las actuaciones de investigación se desprende que, con anterioridad a la brecha de seguridad, la entidad investigada disponía de medidas de seguridad razonables en función de los posibles riesgos estimados. Para minimizar los posibles daños causados por una brecha de seguridad debida a la pérdida o robo del dispositivo portátil, contaba con contraseña de inicio de sesión, encontrándose además los datos encriptados. Aporta análisis de riesgos, auditoría de protección de datos y Manual de protección de datos. Asimismo, contaba con protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y el Delegado de Protección de Datos. No constan reclamaciones ante esta Agencia por parte de terceros. En consecuencia, se debe concluir que la entidad investigada disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente, habiéndose además recuperado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 el ordenador extraviado. Por último, se recomienda elaborar un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada. III A la vista de las actuaciones practicadas, se ha acreditado que la actuación de la entidad investigada como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a MILTUTUS, S.L. con CIF B67418814 y con dirección domicilio en ***DIRECCIÓN.1, ***LOCALIDAD.1, Barcelona. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es