E-09683-2020

1/4  Procedimiento N.º: E/09683/2020 - RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de brecha de seguridad de los datos personales remitido por QUIRÓN PREVENCIÓN S.L., en el que informan a la Agencia Española de Protección de Datos que, con fecha 12 de noviembre de 2020, detectaron que personas u organizaciones que no están autorizadas, o no tienen un propósito legítimo para acceder a los datos, han podido acceder a datos personales de los que es responsable QUIRÓN PREVENCIÓN S.L. SEGUNDO: En fecha 24 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos, teniendo conocimiento de los siguientes extremos: Fecha de notificación de la brecha de seguridad de datos personales: 15 de noviembre de 2020. ENTIDAD INVESTIGADA: QUIRÓN PREVENCIÓN S.L. con NIF B64076482 y domicilio en c/ Agustín de Betancourt, nº 25, 28003 Madrid (Madrid). RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN: 1.- Con fecha 17 de diciembre de 2020 se solicitó información a QUIRÓN PREVENCIÓN S.L., en adelante QUIRON. De la respuesta recibida se desprende lo siguiente: Respecto de la cronología de los hechos El jueves 12 de noviembre de 2020, a partir de las 22:30 horas, empleados de QUIRON a través de los sistemas de monitorización detectan comportamiento extraño en sistemas del dominio y de la red de QUIRON. (…) Respecto de las causas que hicieron posible la brecha (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 Medidas de minimización del impacto de la brecha Medidas que se llevaron a cabo para minimizar los efectos de la brecha y recuperar los activos y servicios comprometidos: (…) Respecto de los datos afectados. (…) Respecto de las acciones tomadas para la resolución final de la brecha (…) Respecto de las medidas de seguridad implantadas con anterioridad la brecha (…) Respecto de las medias implementadas con posterioridad la brecha (…) FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación, la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de disponibilidad, toda vez que dos de los seis servidores que conformaban el servicio de correo, se vieron afectados por un ransomware, presentando todos sus archivos cifrados. Dicho incidente se enmarca en el contexto actual de pandemia, en el cual se ha extendido de una forma extensiva y rápida el teletrabajo a la mayoría de los empleados de la entidad investigada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 En el presente caso, tras el requerimiento de información llevado a cabo por la inspección de esta AEPD, la entidad investigada ha informado de las investigaciones internas realizadas y resultado de estas. De las actuaciones de investigación se desprende que, con anterioridad a la brecha de seguridad, la entidad investigada disponía de medidas de seguridad razonables en función de los posibles riesgos estimados. Según las medidas de seguridad implantadas y el análisis de riesgos realizado, el nivel de los riesgos detectado estaba por debajo del umbral de aceptación. Por tanto, no fue necesario realizar un plan específico para su tratamiento. Aportan Registro de Actividad de Tratamiento. Asimismo, contaba con protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y el Delegado de Protección de Datos. Se debe destacar la rápida actuación de la entidad desde el mismo momento en que tuvo conocimiento de los hechos, interviniendo de forma activa en su resolución, minimizando los posibles efectos perniciosos del incidente. Así, la entidad actualizó con la diligencia debida los equipos físicos y lógicos y configuró el S.I. de forma adecuada para evitar el futuro su repetición. No constan reclamaciones ante esta Agencia por parte de terceros. En consecuencia, se debe concluir que la entidad investigada disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente. Por último, se recomienda elaborar un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada. III A la vista de las actuaciones practicadas, se ha acreditado que la actuación de la entidad investigada como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a QUIRÓN PREVENCIÓN S.L. con NIF B64076482 con domicilio en C/ Agustín de Betancourt, nº 25, 288003, Madrid (Madrid). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es