PS-00002-2023

1/214  Expediente N.º: EXP202204846 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes Antecedentes, Hechos Probados y Fundamentos de Derecho, la Directora de la Agencia Española de Protección de Datos resuelve adoptar la presente resolución de procedimiento sancionador. TABLA DE CONTENIDO ANTECEDENTES..........................................................................................................4 HECHOS PROBADOS................................................................................................32 FUNDAMENTOS DE DERECHO.................................................................................68 Competencia............................................................................................................ 68 Cuestiones previas...................................................................................................69 Alegaciones aducidas...............................................................................................69 Alegaciones al acuerdo de inicio del procedimiento sancionador.........................70 Previa.- Concreción de determinados puntos fácticos esenciales para el análisis jurídico del expediente.....................................................................70 (

1. a)Valor probatorio del informe de evaluación y gestión de brecha de seguridad elaborado por ***EMPRESA.1 (“***EMPRESA.1”):......................70 (
2. b)Interacciones con Facebook para solicitar la retirada de los anuncios a través de los cuales se ofrecía la venta/alquiler de credenciales de acceso a los sistemas de Endesa.................................................................................71 Primera.- De la improcedencia de la sanción impuesta por presunta infracción de los artículos 5.1.
3. f)y 32 del RGPD..........................................79 1. De la implementación de medidas de seguridad adecuadas al riesgo79 (
4. a)La AEPD entiende que Endesa debería haber tenido implementadas, desde un principio, las medidas de seguridad que comenzó a aplicar una vez tuvo constancia del incidente...............................................................79 (
5. b)La AEPD entiende que transcurrieron varios meses desde que Endesa identificó las posibles mejoras que podía implementar respecto de las medidas de seguridad de las herramientas ***HERRAMIENTA.1 y ***HERRAMIENTA.2 y las implementó......................................................81 (
6. c)La AEPD, tomando (a su juicio) como base el informe elaborado por ***EMPRESA.1, entiende que Endesa podía haber implementado medidas de seguridad adicionales sobre las herramientas ***HERRAMIENTA.1 y ***HERRAMIENTA.2..................................................................................82 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/214 (
7. d)La AEPD entiende que Endesa no fue diligente a la hora de ponerse en contacto con Facebook para la retirada de los anuncios puesto que, tras recibir la contestación en la que se le indicaba que Facebook Spain no era la entidad competente, no remitió a Facebook Ireland Limited requerimiento alguno en este sentido y, por tanto, no implementó las medidas de seguridad propuestas.................................................................................83 (
8. e)La AEPD entiende que Endesa tardó varios meses en eliminar las cuentas de los usuarios comprometidos de los sistemas de la Sociedad. .83 2. De la concurrencia de infracciones........................................................84 3. Vulneración del principio de tipicidad...................................................90 Segunda.- De la improcedencia de la sanción impuesta por presunta infracción del artículo 33 del RGPD...............................................................91 Tercera.- De la improcedencia de la sanción impuesta por presunta infracción del artículo 34 del RGPD.............................................................104 Cuarta.- De la improcedencia de la sanción impuesta por presunta infracción del artículo 44 del RGPD.............................................................109 Quinta.- Sobre la graduación de la sanción impuesta a Endesa y la falta de proporcionalidad relativa del Acuerdo de Inicio de Procedimiento sancionador...................................................................................................115 Alegaciones a la propuesta de resolución del procedimiento sancionador.........124 Previa.- Concreción de determinados puntos fácticos esenciales para el análisis jurídico del expediente....................................................................125 (
9. a)De la importancia que tuvo y tiene tanto el incidente como la protección de los datos de carácter personal para Endesa................................................125 (
10. b)De la impugnación expresa, de nuevo, de la totalidad del informe de evaluación y gestión de brecha de seguridad elaborado por ***EMPRESA.1 (“***EMPRESA.1”)......................................................................................126 (
11. c)Interacciones con Facebook para solicitar la retirada de los anuncios a través de los cuales se ofrecía la venta/alquiler de credenciales de acceso a los sistemas de Endesa...............................................................................128 Primera.- De la improcedencia de la sanción impuesta por presunta infracción de los artículos 5.1.
12. f)y 32 del RGPD........................................130 1. De la implementación de medidas de seguridad adecuadas al riesgo .................................................................................................................... 130 2. La eventual imposición de dos sanciones por la supuesta infracción de los artículos 5.1.
13. f)y 32 del RGPD sería contraria a derecho por vulneración del principio de non bis in idem o, en su caso, de las normas aplicables en supuestos de concursos de normas punitivas. .137 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/214 2.1.- Planteamiento..................................................................................137 2.2.- Las razones esgrimidas en la Propuesta de Resolución no pueden conducir a la inaplicación del principio non bis in idem o, en su defecto, de las reglas sobre el concurso de normas punitivas....................................140 2.3.- Conclusión: improcedencia de sancionar por separado los supuestos incumplimientos de los artículos 5.1.
14. f)y 32 del RGPD.............................149 3. Vulneración del principio de tipicidad..................................................149 Segunda.- De la improcedencia de la sanción impuesta por presunta infracción del artículo 33 del RGPD.............................................................153 Tercera.- De la improcedencia de la sanción impuesta por presunta infracción del artículo 34 del RGPD.............................................................160 Cuarta.- De la improcedencia de la sanción impuesta por presunta infracción del artículo 44 del RGPD.............................................................165 4.1 Indica ENDESA que, en el ámbito procesal, la Agencia ha comenzado con una imputación directa en el Acuerdo de Inicio del presente procedimiento, sin fundamento alguno y sin soporte fáctico de ningún tipo..............................165 4.2. Adicionalmente a todo lo anterior, y ya en el ámbito material, niega ENDESA rotundamente haber incumplido con las obligaciones establecidas por el RGPD en relación con las transferencias internacionales..................171 Quinta.- Sobre la graduación de la sanción impuesta a Endesa y la falta de proporcionalidad relativa de la Propuesta de Resolución.........................174 Integridad y confidencialidad..................................................................................182 Tipificación y calificación de la infracción del artículo 5.1.
15. f)del RGPD...................186 Sanción por la infracción del artículo 5.1.
16. f)del RGPD............................................187 Seguridad del tratamiento......................................................................................188 Tipificación y calificación de la infracción del artículo 32 del RGPD.......................196 Sanción por la infracción del artículo 32 del RGPD................................................196 Notificación a la autoridad de control......................................................................199 Tipificación y calificación de la infracción del artículo 33 del RGPD.......................200 Sanción por la infracción del artículo 33 del RGPD................................................201 Comunicación al interesado...................................................................................202 Tipificación y calificación de la infracción del artículo 34 del RGPD.......................204 Sanción por la infracción del artículo 34 del RGPD................................................205 Transferencias de datos a terceros países u organizaciones internacionales........206 Tipificación y calificación de la infracción del artículo 44 del RGPD.......................215 Sanción por la infracción del artículo 44 del RGPD................................................215 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/214 Adopción de medidas.............................................................................................217 la Directora de la Agencia Española de Protección de Datos RESUELVE:................217 ANTECEDENTES PRIMERO: Con fecha 10 de febrero de 2022, se notificó a la Agencia Española de Protección de Datos (AEPD) una violación de seguridad de los datos personales, remitida por ENDESA ENERGÍA, S.A.U. con NIF A81948077 (en adelante, ENDESA), consistente en un posible acceso no autorizado a ciertos sistemas comerciales de Endesa Energía que podría haber afectado a unos mil clientes. En esta notificación se informa a la AEPD de lo siguiente: En agosto de 2021, se detectan ciertos anuncios de Facebook que anuncian la venta de credenciales para acceder a la plataforma ***PLATAFORMA.1 de ENDESA (que contiene datos básicos y relativos al punto de suministro). Se valoró ese incidente y se adoptaron las medidas pertinentes. El 17/01/2022 se detecta un anuncio de Facebook con características similares a los anteriores que informa de la venta de bases de datos de clientes de energía y gas. Se hace una valoración del anuncio y no se encuentran coincidencias con datos de clientes de ENDESA incluidos en el sistema CRM. El 8/02/2022 se detectan datos de, entre otros, algunos clientes de ENDESA incluidos en el sistema CRM. Número aproximado de personas físicas sobre las que recoge, almacena o trata datos personales de otra forma; referido exclusivamente al tratamiento sobre el que se ha producido la brecha de datos personales: 6.500.000. El incidente ha sido: Intencionado, para hacer daño al responsable / encargado o a las personas afectadas. El origen del incidente ha sido: Externo: Otros, ajenos al responsable y encargado del tratamiento ¿Qué puede haber ocurrido?: Abuso de privilegios de acceso por parte de empleado para extraer, reenviar o copiar datos personales Como consecuencia del incidente, se ha visto afectada la: Confidencialidad Referido específicamente a los datos afectados por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas?: No ¿Qué puede haber ocurrido?: Usurpación de identidad, Pérdida de control sobre sus datos personales ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas?: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/214 Las personas no se verán afectadas o pueden encontrar algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema (tiempo de reingreso de información, molestias, irritaciones, etc.) A fecha de esta notificación, ¿tiene constancia de que se hayan materializado alguno de los daños identificados, con el grado indicado en la cuestión anterior?: Si Tipos de datos afectados: Datos básicos (Ej nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de medios de pago (Tarjeta bancaria, etc.), Datos de contacto En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos personales?: 1000 Indique la fecha de detección de la brecha: 08/02/2022 ¿Conoce la fecha en la que se inició la brecha? Aproximadamente el 24/08/2021 Indique la fecha en la que se dio por resuelta la brecha: 10/02/2022 ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas?: No serán informados Las personas afectadas no serán informadas porque: No existe un riesgo alto para sus derechos y libertades Junto a la notificación se aporta como Anexo I las medidas tomadas para solucionar la brecha y minimizar el impacto: “Tras la detección inicial, en agosto de 2021, de venta no autorizada de credenciales de acceso a la plataforma ***PLATAFORMA.1, se adoptaron las siguientes medidas al objeto de mitigar posibles efectos negativos: • Reseteo de las contraseñas de los usuarios afectados para acceder a la plataforma ***PLATAFORMA.1. Esta medida se lleva a cabo de manera continua. • Seguimiento de nuevas publicaciones en Facebook. Esta medida se lleva a cabo de manera continua. • Deshabilitar las sesiones simultaneas en ***PLATAFORMA.1, de tal manera que no puedan acceder dos o más personas a la vez con un único usuario. Esta medida se implantó en el mes de noviembre de 2021. • Ampliar la trazabilidad (logs) de los accesos a ***PLATAFORMA.1 para obtener información detallada del uso realizado por parte de los usuarios. Esta medida se implantó a finales del mes de diciembre de 2021. • Solicitar la baja de los anuncios de Facebook donde se ofrecía la venta de dichos usuarios. Esta medida se lleva a cabo de manera continua. Posteriormente, con motivo de los nuevos acontecimientos detectados (venta en Facebook de ciertas bases de datos que contienen, entre otros, datos de clientes de Endesa Energía incluidos en el sistema CRM que alberga datos básicos, de contacto, CUPS, datos relativos al contrato de electricidad o gas y el número de cuenta), se van a implantar, entre otras, las siguientes medidas adicionales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/214 (…) SEGUNDO: Con el registro de salida ***REGISTRO.1, la AEPD notifica a ENDESA el 8 de marzo de 2022 una orden de comunicar el incidente en cuestión a los afectados en el plazo máximo de 30 días conforme al artículo 34 del RGPD. Esta orden informa que la comunicación a los interesados se realizará siguiendo lo previsto en el artículo 34 del RGPD, en particular en su apartado segundo, debiendo describir en lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y las posibles medidas que pudieran ser tomadas por los interesados en función de los riesgos que, en cada caso, pudieran ser identificados por los afectados. TERCERO: Con fecha 6 de abril de 2022 se recibe en esta Agencia un escrito de ENDESA con número de entrada ***REGISTRO.2, en el que informa que ha procedido, con fecha 1 de abril de 2022, a remitir una comunicación por correo postal a los potencialmente afectados informando sobre los hechos ocurridos. Junto con el escrito se aporta: - Como Documento número 2: el modelo de carta remitida, en español y catalán. El contenido de este modelo en español es el siguiente: “31 de Marzo de 2022 Estimado cliente, Nos ponemos en contacto contigo para informarte que hemos detectado un posible acceso indebido a determinados sistemas comerciales de Endesa Energía y que desde el mismo momento que hemos sido conocedores de este hecho, hemos adoptado las oportunas medidas de seguridad, técnicas y organizativas, para evitar que se pudiera producir una afectación de alto riesgo a los derechos y libertades de nuestros clientes, con lo que la confidencialidad y la integridad de tus datos personales no se ha visto comprometida. Puedes consultar nuestra política de privacidad en www.endesa.com/es/proteccion-datos-endesa, donde encontrarás la información relativa al tratamiento de tus datos personales. Si lo prefieres, puedes contactar directamente con nuestro Delegado de Protección de Datos enviando una comunicación a ***EMAIL.1 para conocer el detalle de las medidas adoptadas u obtener más información. Aprovechamos para agradecerte la confianza depositada en Endesa. Un cordial saludo, Endesa Energía.” - Como Documento número 3: la declaración responsable del proveedor ***EMPRESA.2 en la que reconoce que ha impreso y puesto a disposición de la empresa encargada del servicio postal 760 envíos el día 1 de abril de 2022, y el correspondiente albarán de entrega a Correos, del mismo día. CUARTO: Con fecha 20 de abril de 2022, la Subdirección General de Inspección de Datos (SGID) recibió para su valoración el citado escrito de notificación de violación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/214 la seguridad de los datos personales remitido por ENDESA, recibido en esta Agencia el 10 de febrero de 2022, y se ordena a la Subdirección General de Inspección de Datos (SGID) que realice las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. QUINTO: La SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), teniendo conocimiento de los siguientes extremos: Al objeto de investigar la ocurrencia de los hechos descritos, en fecha 27 de junio de 2022, mediante registro de salida ***REGISTRO.3, se solicitó información a ENDESA y, en fechas 16 de septiembre de 2022 y 3 de noviembre de 2022 mediante registros de salida ***REGISTRO.4 y ***REGISTRO.5, respectivamente, se le solicitó ampliación de documentación. Las respuestas a dichos requerimientos tuvieron entrada en la sede electrónica de la Agencia Española de Protección de Datos en fechas 26 de julio de 2022, 7 de octubre de 2022 y 11 de noviembre de 2022 con números de registro ***REGISTRO.6, ***REGISTRO.7 y ***REGISTRO.8, respectivamente. En fecha 27 de septiembre de 2022, mediante registro de salida ***REGISTRO.9 se solicitó información al Delegado de Protección de Datos de ENDESA (A.A.A.) y en fecha 19 de octubre de 2022, con número de registro ***REGISTRO.10, se recibió su respuesta en esta Agencia. Asimismo, en fecha 20 de octubre de 2022 mediante registro de salida ***REGISTRO.11 se solicitó información a ***EMPRESA.1, proveedor externo de ENDESA, y en fecha 25 de noviembre de 2022 con número de registro ***REGISTRO.12 tuvo entrada en la sede electrónica de la AEPD su escrito de respuesta. En su respuesta al requerimiento, con entrada en esta Agencia el 26 de julio de 2022, ENDESA ha manifestado que: 1. ***HERRAMIENTA.1 es una herramienta especialmente diseñada para facilitar el asesoramiento, la atención y venta en los diferentes canales comerciales de Endesa Energía. Esta herramienta incorpora la información comercial de los productos y servicios que ofrece en cada momento ENDESA (tales como precios, complementos, validez, ofertas o condiciones), contiene información técnica de todos los puntos de suministro, así como ciertos datos identificativos básicos. 2. Los usuarios de ***HERRAMIENTA.1 pueden ser de dos tipos: (
17. i)usuario “interno”, habilitado para los empleados de ENDESA y (
18. ii)usuario “externo”, habilitado para los proveedores externos. No existen otros usuarios externos, como puedan ser clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/214 Tanto los usuarios internos como los usuarios externos tienen acceso a todas las funcionalidades principales de la herramienta. A su vez, desde el punto de vista funcional la plataforma cuenta con el rol de usuario “básico”, y el rol con “perfil de administrador”. Es decir, un usuario con “perfil de administrador” también puede ser, a su vez, “interno” o “externo”. Únicamente los usuarios que tienen el “perfil de administrador” pueden acceder al menú de administración y realizar cargas de información en el sistema (tales como nuevas ofertas, tarifas o argumentarios). También pueden editar ciertos campos de la herramienta y obtener extracciones e informes. 3. El alta de los usuarios externos e internos la realizan los responsables de cada Cs o de atención en la herramienta de soporte técnico corporativa a la que se accede a través de la Intranet habilitada para todos los empleados internos del Grupo Endesa. Los accesos se solicitan desde Intranet. Se adjunta proceso explicativo como Documento número 2. Los usuarios externos e internos acceden a la plataforma insertando el usuario y la contraseña asociada. 4. La plataforma permite la opción de introducir el denominado Código Universal de Punto de Suministro (en adelante, “CUPS”) o la dirección del punto de suministro, para mostrar la información técnica asociada (se describe en el Documento número 4). En caso de que el cliente ya tenga un contrato en vigor con ENDESA también muestra la siguiente información: nombre y apellidos del titular del punto de suministro, su número de Documento Nacional de Identidad, número de contrato, CUPS, importe de facturación anual, datos técnicos referentes al punto de suministro, datos de consumo y gráfico de utilización. Dentro de la ficha relativa al punto de suministro aparecen una serie de apartados que permiten recomendar al cliente otras tarifas. 5. La brecha se detecta el 8 de febrero de 2022 cuando se constata que en el incidente se han visto afectados datos personales. Con fecha 9 de febrero de 2022 se hace una valoración del alcance de la brecha en la que se considera la existencia de un riesgo para los derechos y libertades de los afectados y la necesidad de notificar la misma a la AEPD. Se aporta, como Documento número 5 la valoración realizada, firmada digitalmente. Sin embargo, la fecha en la que se advierten ciertas posibles anomalías es el 24 de agosto de 2021, cuando la persona responsable del ***DEPARTAMENTO.1 de ENDESA envió un correo electrónico al responsable de Seguridad de la Información del Grupo Endesa, en el que se informa de un anuncio sospechoso en Facebook. Con este aviso se activa el proceso de análisis e investigación, cuyo primer paso es confirmar la veracidad del anuncio. Se aporta como Documento número 6, el correo electrónico mencionado. A pesar del seguimiento de esa situación, entre ambas fechas desde ENDESA no se advierten situaciones anómalas de las que pudiera concluirse la existencia de una brecha de seguridad. Es por ello por lo que, sólo es el día 8 de febrero de 2022, cuando tras las investigaciones oportunas, se tuvo conocimiento de la existencia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/214 ciertas coincidencias entre la base de datos de clientes de ENDESA y las bases de datos en venta en Facebook, y por ello se llevó a cabo una nueva valoración de la que resultó la necesidad de proceder a la notificación a la Agencia Española de Protección de Datos, hecho que se produjo el día 10 de febrero de 2022. Dichas investigaciones se produjeron con motivo del proceso continuo y sistemático de monitorización de “eventos críticos” y, concretamente, con la realización de actividades de detección temprana de cualquier evento de riesgo que se realiza en la compañía. Estas tareas las realiza ***DEPARTAMENTO.2, de acuerdo con lo establecido en ***DOCUMENTO.1, que se aporta como Documento número 7. 6. Únicamente en los anuncios publicados el día 17 de enero de 2022, por parte del usuario B.B.B., se detectó afectación a bases de datos de clientes de energía. Se aporta, como Documento número 8, capturas de los anuncios publicados. 7. Para determinar el número de personas potencialmente afectadas por el incidente, se llevó a cabo el siguiente análisis: (
19. i)Se comprobó la supuesta práctica irregular llevada a cabo por una empresa subcontratista de uno de los proveedores de ENDESA que presta servicios de venta telefónica, y que se verificó no se había extendido a otros proveedores. (
20. ii)Se acotó el perímetro de análisis a todas aquellas contrataciones efectuadas entre el 1 de julio de 2021, fecha en la que el volumen de ventas de ENDESA sufrió un aumento inusual y no justificado (+500%), y el 15 de octubre de 2021, fecha en la que se rescindió el contrato con el proveedor y, por tanto, dejó de prestar sus servicios. (iii) Posteriormente, se llevó a cabo un control de calidad y auditoría de las contrataciones objeto de valoración, y se descartaron aquellos casos en los que los propios clientes ya se habían puesto en contacto con ENDESA para realizar acciones propias de sus contratos (por ejemplo, consultas comerciales). El número de potenciales afectados por el incidente resultante fue: 760 clientes. En cualquier caso, una vez que ENDESA llevó a cabo la comunicación de la brecha a los afectados, tan sólo se ha recibido un correo electrónico por parte de uno de los destinatarios de dicha comunicación, el día 6 de abril de 2022. Se solicitó la documentación acreditativa de su identidad, y no consta respuesta por su parte. Dicho extremo se acredita con el Documento número 9. 8. A pesar de no ser posible determinar el posible objetivo buscado por las personas que facilitaban la venta de credenciales para acceso a la plataforma ***HERRAMIENTA.1, así como, en su caso, la venta de bases de datos de clientes de ENDESA, se considera que las consecuencias de la brecha se limitan a que las personas afectadas podrían encontrar ciertos inconvenientes, muy limitados y, en todo caso, reversibles. Debido al objetivo, aparentemente fraudulento, de sustracción de datos, las consecuencias para los clientes afectados serían fundamentalmente la venta de sus datos para la realización de llamadas comerciales, así como para el envío de correos y SMS, ofreciendo la posibilidad de cambiar de compañía comercializadora de energía, lo que, en los peores escenarios y de llegar a materializarse, podría resultar en el cambio de empresa comercializadora sin su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/214 9. Durante el análisis del incidente se realizaron tres evaluaciones, a medida que paulatinamente, se fue obteniendo información sobre el mismo, dentro del proceso de constante seguimiento que se estaba llevando a cabo desde que se advirtieron las posibles anomalías. Las valoraciones que se llevaron a cabo fueron las siguientes: El 13 de septiembre de 2021, se realiza la primera valoración donde se recoge la información obtenida hasta ese momento. En base a dicha información se consideró que el riesgo derivado era bajo, debido principalmente a que no se tenía constancia alguna de que se hubiera materializado el acceso fraudulento a la plataforma ***HERRAMIENTA.1. Se aporta, como Documento número 10, la valoración realizada con fecha 13 de septiembre de 2021, firmada digitalmente. El 28 de septiembre de 2021, se realiza una segunda valoración donde se completa la información de la primera y se considera que el riesgo derivado continúa siendo bajo. Se aporta, como Documento número 11, la valoración realizada con fecha 28 de septiembre de 2021, firmada digitalmente. El 9 de febrero de 2022, se realiza la última valoración. En ella se refleja la detección de ciertos anuncios en Facebook de características similares a los anteriores, en los que aparecen bases de datos de clientes de ENDESA. Tras varios análisis de las bases de datos publicadas, se detectan coincidencias entre los datos que aparecen en dichas bases de datos y los que puedan estar incluidos en el sistema comercial de ENDESA ***HERRAMIENTA.2). Por esta razón se considera oportuno comunicar el incidente a la Agencia Española de Protección de Datos. Se hace referencia a la valoración realizada con fecha 9 de febrero de 2022, firmada digitalmente, aportada anteriormente como Documento número 5. En consecuencia, y tal y como se ha expuesto anteriormente, a raíz de los nuevos hechos detectados el día 8 de febrero de 2022, se llevó a cabo una valoración del incidente en la que se tuvo en cuenta la variación con respecto a la situación anterior y, de manera proactiva, se comunicó el incidente a la Agencia Española de Protección de Datos el día 10 de febrero de 2022. 10. La brecha ha sido provocada por la aparente venta fraudulenta de credenciales de la plataforma ***HERRAMIENTA.1. Estas credenciales estaban asignadas a proveedores de Endesa Energía, como usuarios externos de la plataforma, para facilitar las tareas captación, asesoramiento y atención al cliente. En este sentido, se hace referencia al Documento número 8, aportado anteriormente, en el que se incluyen imágenes de los anuncios de ventas de credenciales. 11. ENDESA tuvo conocimiento del posible uso ilícito de las credenciales a través del correo de uno de los proveedores donde se indican irregularidades por varios de sus trabajadores, en ese mismo correo se indican cinco usuarios que han sido empleados de forma aparentemente irregular. Por otra parte, se identifican otros cuatro usuarios que pudieran estar comprometidos, detectados en los videos de demostración y en las capturas de los anuncios publicados. A continuación, se detallan todos los usuarios comprometidos: • ***USUARIO.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/214 • ***USUARIO.2 • ***USUARIO.3 • ***USUARIO.4 • ***USUARIO.5 • ***USUARIO.6 • ***USUARIO.7 • ***USUARIO.8 • ***USUARIO.9 12. Tal y como se ha expuesto anteriormente, ENDESA no ha recibido ninguna reclamación por parte de los clientes potencialmente afectados por este incidente. 13. Se aporta, como Documento número 12, el análisis de riesgos realizado sobre el acceso y uso de ***HERRAMIENTA.1 y, como Documento número 13, el análisis de riesgos del acceso y uso de ***HERRAMIENTA.2. 14. ENDESA, como parte del Grupo Endesa cuenta con una serie de normas y estándares de seguridad para garantizar la protección de los datos personales, basados, principalmente, en los siguientes elementos: (
21. i)un marco de ciberseguridad, (
22. ii)normativa interna sobre ciberseguridad. […] - Concretamente las medidas implementadas en las aplicaciones objeto de la presente brecha de seguridad consisten, (…). 15. Entre las distintas actividades y medidas de seguridad distintas medidas de seguridad que existían en ***HERRAMIENTA.2 antes del incidente destacan las siguientes: (…). Se aporta, como Documento número 17, la acreditación de que la aplicación ***HERRAMIENTA.2 se encontraba integrada (...) en la fecha del incidente. 16. Entre las distintas actividades y medidas de seguridad que se tenían implementadas en la plataforma ***HERRAMIENTA.1 antes del incidente destacan las siguientes: (…) 17. Con el objetivo de reducir el impacto de la incidencia detectada, y prevenir nuevas brechas de este tipo, se han adoptado las medidas adicionales que se detallan a continuación. A medida que se fue desarrollando el incidente y advirtiéndose sus posibles efectos, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/214 implantaron las siguientes medidas para reforzar la seguridad de las aplicaciones ***HERRAMIENTA.1 y ***HERRAMIENTA.2: (
23. i)Para el caso de ***HERRAMIENTA.2, se ha activado el factor múltiple de autenticación en la aplicación, por lo que cada usuario, además de la introducción de sus credenciales en el área de acceso de la aplicación, deberá facilitar un código de seguridad recibido a través de un teléfono móvil previamente registrado. Se adjunta documento número 24. Adicionalmente, también se ha desactivado la opción de multisesión. Por tanto, cada usuario únicamente podrá tener una sesión activa (se adjunta Documento número 25). (
24. ii)Para el caso de ***HERRAMIENTA.1, tras el incidente, se han adoptado las siguientes medidas de seguridad: - Se ha activado el factor múltiple de autenticación en la aplicación (se adjunta Documento número 26). - Se ha desactivado la opción de multisesión. Por tanto, cada usuario únicamente podrá tener una sesión activa (se adjunta Documento número 27). - Adicionalmente, se han mejorado los logs (trazabilidad) que se recogen por parte de la aplicación en el entorno de producción. Esto permite tener mayores evidencias de las operaciones de los usuarios para el análisis y diagnóstico futuros. Se adjunta Documento número 28. Por último, el último anuncio identificado relacionado con el uso ilícito de credenciales de la plataforma ***HERRAMIENTA.1 fue el 13 de diciembre de 2021, así como de la última publicación identificada de la venta de bases de datos de clientes de electricidad y gas se produjo en el mes de enero de 2022 (se adjunta Documento número 29). En consecuencia, no se han detectado nuevas publicaciones relacionadas con este incidente con fecha posterior a la notificación realizada el día 10 de febrero de 2022. 18. Se aporta, como Documento número 30, la copia del registro de incidentes donde aparecen las valoraciones realizadas durante los años 2021 y 2022 relacionadas con el presente caso. 19. En fecha 15 de septiembre de 2022 desde la SGID se comprueba que siguen publicados en Facebook anuncios identificados por ENDESA donde se ofrece la venta de credenciales de acceso a ***HERRAMIENTA.1 y bases de datos (ver en el expediente el documento de Diligencia del 16 de diciembre de 2022). En su respuesta al requerimiento, con entrada en esta Agencia el 7 de octubre de 2022, ENDESA ha manifestado que: 20. ENDESA identificó en los propios anuncios y videos demostrativos publicados en la red social Facebook cuatro usuarios de la herramienta ***HERRAMIENTA.1 (en adelante “***HERRAMIENTA.1”) que, por tanto, estaban comprometidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/214 Se aporta como Documento número 2, capturas de los anuncios publicados en Facebook en los que se observa, en el margen superior derecho, la identificación de los usuarios utilizados para acceder a ***HERRAMIENTA.1. Asimismo, los otros cinco usuarios de ***HERRAMIENTA.1 comprometidos fueron identificados por la empresa subcontratista de un proveedor de ENDESA, que alertó sobre el uso irregular que, algunos de sus asesores, habían realizado con ciertas credenciales de acceso a ***HERRAMIENTA.1 que habían adquirido de manera ilícita (se adjunta Documento número 3). 21. Por otra parte, los usuarios comprometidos identificados habían sido asignados a alguna de las siguientes empresas proveedoras de Endesa Energía: ▪ ***EMPRESA.3 ▪ ***EMPRESA.4 ▪ ***EMPRESA.5 ▪ ***EMPRESA.6 ▪ ***EMPRESA.7 ▪ ***EMPRESA.8 22.- El proveedor de ENDESA que prestaba servicios de venta telefónica cuya empresa subcontratista llevó a cabo la supuesta práctica irregular fue ***EMPRESA.1 y la empresa subcontratista a la que encargó la prestación de parte de los servicios encomendados fue ***EMPRESA.9. Se aporta como Documento número 4 copia del contrato suscrito entre ENDESA y ***EMPRESA.1. En relación con la subcontratación de ***EMPRESA.9, se aporta, como Documento número 5, extracto de las condiciones generales de contratación aplicables al contrato suscrito entre ENDESA y ***EMPRESA.1 relativo al régimen de subcontratación y, como Documento número 6, autorización emitida por ENDESA para llevar a cabo la mencionada subcontratación de ***EMPRESA.9. 23. Desde la detección de los anuncios de venta ilegal de credenciales de acceso a la herramienta ***HERRAMIENTA.1 en la red social Facebook, como primera medida, se solicitó en repetidas ocasiones la baja de los anuncios a través del formulario-tipo habilitado para dicho fin por Facebook (tal y como se acredita a modo de ejemplo con el Documento número 7). Como resultado de ello, Facebook inhabilitó el acceso o eliminó el contenido de los anuncios, pero no de todos ellos. Se aporta como Documento número 8, algunas de las respuestas facilitadas por Facebook en este sentido. En segundo lugar, con el objetivo de agilizar la eliminación de todos los anuncios detectados, con fecha 4 de febrero de 2022, se envió mediante burofax una comunicación escrita a FACEBOOK SPAIN S.L. (en adelante “FB SPAIN”), la cual se aporta como Documento número 9, poniendo en su conocimiento la publicación por parte de usuarios de la plataforma de determinada información que podría ser constitutiva de un delito y solicitando su colaboración para su eliminación. Con fecha 8 de febrero de 2022, dicha comunicación fue respondida mediante correo electrónico en el que se indicaba que FB SPAIN no era la entidad competente para resolver la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/214 cuestión, sino FACEBOOK IRELAND LIMITED, y solicitando que se dirigiera la comunicación a dicha entidad (se aporta Documento número 10). Finalmente, con fecha 28 de febrero de 2022, ENDESA envió un nuevo comunicado (se aporta Documento número 11), reiterando nuevamente su escrito inicial a FB SPAIN. 24. En el análisis que se llevó a cabo para la correcta identificación de los clientes cuyos datos aparentemente habían sido sustraídos sin autorización de la herramienta ***HERRAMIENTA.3 y, por tanto, podían eventualmente haber sido tratados sin su consentimiento, se realizaron las siguientes actuaciones: i. En primer lugar, una vez el proveedor ***EMPRESA.1 puso en conocimiento de ENDESA la práctica irregular cometida por personal de ***EMPRESA.9 y se realizaron las comprobaciones oportunas, se verificó que dicha práctica no se extendía a otros proveedores. ii. En segundo lugar, una vez identificado el posible origen de las contrataciones supuestamente irregulares, se procedió a acotar el alcance temporal de sus actuaciones, verificándose que a partir de 1 de julio de 2021 el volumen de ventas de ENDESA experimentó un aumento inusual no justificado (concretamente, las ventas se incrementaron en más del 500%) lo cual podía ser representativo de las actuaciones irregulares del personal contratado por ***EMPRESA.9. Con fecha 15 de octubre de 2021 se cesó la actividad de dicho subcontratista – como consecuencia de la rescisión del contrato con ***EMPRESA.9 –, limitando, por tanto, el perímetro temporal de análisis de las contrataciones al período comprendido entre el 1 de julio y 15 de octubre de 2015. iii. Finalmente, se llevó a cabo un control de calidad y auditoría de las contrataciones llevadas a cabo por ***EMPRESA.9 en el perímetro temporal fijado. En dicho análisis, se descartaron aquellos casos en los que los propios clientes en cuyo nombre se había efectuado una contratación en la que intervino ***EMPRESA.9 – en el período de tiempo delimitado –, se habían puesto en contacto con ENDESA para realizar acciones propias de sus contratos (por ejemplo, consultas comerciales), lo cual era indicativo de que los propios clientes eran conocedores de sus contratos y no manifestaron objeción alguna. 25. Si bien es el 8 de febrero de 2022 cuando, tras las investigaciones oportunas, se tuvo conocimiento del alcance de la brecha de seguridad al constatar la existencia de coincidencias entre la base de datos de clientes de ENDESA y las bases de datos en venta en Facebook, ENDESA, con fecha 31 de enero de 2022, ante el incumplimiento de los procedimientos establecidos, tomó la decisión de rescindir el contrato a ***EMPRESA.1 por vulneración de los compromisos asumidos ante Endesa Energía por dicha contratista. Asimismo, los empleados de ***EMPRESA.9 que presuntamente habían hecho un uso irregular de credenciales de acceso a ***HERRAMIENTA.1 fueron despedidos según fue comunicado por la propia empresa en el correo de fecha 20 de octubre de 2021 y denunciados ante las autoridades locales (se aporta Documento número 12). En su respuesta al requerimiento, con entrada en esta Agencia el 19 de octubre de 2022, el DPD de ENDESA ha manifestado que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/214 26. La función de Delegado de Protección de Datos se regula de acuerdo con lo establecido en ***DOCUMENTO.2 (actualmente en trámite de su cuarta revisión). De acuerdo con dicha norma interna y otras del Grupo, corresponde al Delegado de Protección de Datos el asesoramiento en materia de Protección de Datos Personales cooperando con otras áreas de la organización en aquellas materias que puedan referirse -entre otras- a incidentes de seguridad. Se trata de una tarea desarrollada con carácter continuo, toda vez que la coordinación con las áreas afectadas de la organización es permanente y opera a través de diversos mecanismos como pueden ser reuniones periódicas, emisiones de informes o participación en comités. 27. Como parte de dicho asesoramiento continuo, tal y como consta en la información incluida en los informes correspondientes a las valoraciones del incidente realizadas con fechas 13 y 28 de septiembre de 2021, y 9 de febrero de 2022, en su condición de Delegado de Protección de Datos y junto con el área de Seguridad, el área de Sistemas, el equipo de Ventas de ENDESA y ***DEPARTAMENTO.3 tuvo participación en las diferentes evaluaciones llevadas a cabo en relación con la Brecha. Cabe señalar que en los informes correspondientes a las valoraciones realizadas los días 13 y 28 de septiembre de 2021, se puso de manifiesto que “…desde ***DEPARTAMENTO.4 se señala la necesidad de continuar con la investigación al objeto de poder realizar una nueva valoración del incidente, por considerar que la información aportada no es completa y el presente análisis tiene carácter preliminar”. Finalmente, en el informe correspondiente a la valoración del día 9 de febrero de 2022, se expuso que “…tras realizar una valoración, en tiempo y forma, del alcance del incidente de seguridad y de las posibles repercusiones para los derechos y libertades de los interesados afectados, se adopta la decisión preliminar de comunicar el incidente de seguridad a la autoridad de control”. Por tanto, como consecuencia del asesoramiento efectuado por el Delegado de Protección de Datos, se procedió a comunicar la Brecha ante la Agencia Española de Protección de Datos el día 10 de febrero de 2022. 28. El Delegado de Protección de Datos envió un correo electrónico el día 9 de febrero de 2022, en el que insistía en la necesidad de llevar a cabo la notificación de la Brecha (se aporta como Documento número 1). Como consecuencia de tal solicitud, la comunicación se realizó al día siguiente tras recopilar en su totalidad la información solicitada en el formulario de notificación de la Agencia Española de Protección de Datos. 29. Como parte del asesoramiento constante, como Delegado de Protección de Datos, personalmente y por medio del equipo de la oficina de protección de Datos que dirige, se hizo un seguimiento constante de la Brecha, particularmente al objeto de determinar la procedencia o no de comunicación a la vista de las novedades que pudieran producirse o los criterios que pudieran emanar de esa Agencia. 30. Como Delegado de Protección de Datos, junto a otras personas, participó en las reuniones mantenidas con motivo de la notificación remitida a ENDESA por la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/214 Española de Protección de Datos el día 8 de marzo de 2022 (se aporta Documento número 2), en la que ordenaba al responsable del tratamiento a llevar a cabo la comunicación de la brecha de seguridad a los interesados en el plazo máximo de 30 días. Concretamente, con fecha 9 de marzo de 2022 se mantuvo una primera reunión para tratar este asunto, y el día 28 de marzo de 2022 se celebró una segunda reunión en la que se acordó cómo realizar el envío de la comunicación. 31. Durante el plazo otorgado para llevar a cabo la comunicación, desde el equipo del Delegado de Protección de Datos bajo su responsabilidad se asesoró acerca de cómo debería llevarse a cabo la comunicación. A modo de ejemplo, se aporta, como Documento número 3, un correo electrónico de fecha 16 de marzo de 2022 remitido por uno de los miembros del equipo del Delegado de Protección de Datos bajo su responsabilidad, en el que se ponía de manifiesto la necesidad de incluir ciertos aspectos en la comunicación que se envió a los interesados el día 1 de abril de 2022. Igualmente, se aporta como Documento número 4, un correo electrónico remitido en su calidad de Delegado de Protección de Datos en el que insistía en la necesidad de priorizar el envío de la comunicación a los afectados sobre la Brecha con respecto a otras comunicaciones que se preveían llevar a cabo ese mismo mes (éstas últimas sobre cuestiones que no estaban relacionadas con la Brecha). En su respuesta al requerimiento, con entrada en esta Agencia el 11 de noviembre de 2022, ENDESA ha manifestado que: 32. Durante la investigación iniciada a finales del mes de agosto del año 2021, se identificaron un total de 440 anuncios en la red social Facebook en los que se ofrecía el alquiler y/o venta de credenciales de acceso a la herramienta de ENDESA ***HERRAMIENTA.1. Los dos usuarios identificados desde cuyos perfiles de Facebook se publicaron dichos anuncios fueron los correspondientes a “B.B.B.” (quien, presumiblemente, también realizó publicaciones bajo el perfil de C.C.C.) y “D.D.D.”. En el trascurso de la investigación, el área de Seguridad de la Información de ENDESA realizó un contacto con el usuario B.B.B. quien ofreció la venta de credenciales para acceder a ***HERRAMIENTA.1 a cambio de un pago mensual. Asimismo, indicaba que disponía de diferentes usuarios para su venta. Gracias al proceso continuo y sistemático de seguimiento de “eventos críticos” de ENDESA se identificaron durante el mes de enero del año 2022 nuevos anuncios publicados por el usuario B.B.B., donde se ofrecía la venta de bases de datos de clientes de energía de diversas empresas suministradoras del sector. Tras las investigaciones oportunas, en el mes de febrero del año 2022, se verificó la existencia de ciertas coincidencias entre esa base de datos y la base de datos de clientes de ENDESA albergada en la aplicación ***HERRAMIENTA.2 – motivo por el que se llevó a cabo una valoración que resultó en la necesidad de proceder a la notificación a la Agencia Española de Protección de Datos, hecho que se produjo el día 10 de febrero de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/214 Se aporta como Documento número 2, capturas de varios de los anuncios de Facebook en los que, B.B.B. o D.D.D., ofrecían el alquiler o venta de las credenciales para acceder a la plataforma ***HERRAMIENTA.1. Como consecuencia de las conversaciones mantenidas entre los responsables de ENDESA y sus proveedores y, a su vez, de éstos con sus subcontratistas, se ha tenido conocimiento de que tras el usuario “B.B.B.” / “C.C.C.” se encuentra C.C.C., quien, tal y como ha sido trasladado a esta Oficina, fue empleado hasta el año 2016 de ***EMPRESA.10. Esta sucursal nunca ha prestado servicios para ENDESA y consecuentemente C.C.C. nunca tuvo asignado a su nombre un usuario de acceso a las aplicaciones de ENDESA (se aporta Documento número 3). Por su parte, el usuario “D.D.D.” se corresponde con la trabajadora de ***EMPRESA.11, empresa subcontratista en ***PAÍS.1 del proveedor ***EMPRESA.12 quien presta servicios para ENDESA, D.D.D., quien, sin embargo, se dio de baja al inicio del año 2020 (se aporta Documento número 4. Según la información que ha sido trasladada a esta Oficina por ENDESA, no figura en los sistemas internos de la compañía ningún registro de alta de un usuario a nombre de D.D.D. (se aporta Documento número 5). Consecuentemente, los dos anunciantes que vendían en Facebook credenciales de usuarios de ENDESA no eran extrabajadores de proveedores (o subcontratistas de éstos) de ENDESA en el momento de la publicación de anuncios (uno nunca lo fue y otra, dejó de trabajar para una subcontrata de un proveedor de ENDESA mucho antes de la publicación de los anuncios de los que trae causa la Brecha). 33. A continuación, se reflejan los usuarios comprometidos puestos a la venta junto con el proveedor al que fueron asignados: ***USUARIO.1 ***USUARIO.9 ***USUARIO.2 ***EMPRESA.13 (en adelante, ***EMPRESA.13) ***EMPRESA.14 (en adelante, ***EMPRESA.14) ***EMPRESA.8. (en adelante, ***EMPRESA.8) ***USUARIO.10 ***EMPRESA.15 En relación con los proveedores ***EMPRESA.13, ***EMPRESA.14 y ***EMPRESA.8, los tres prestaban servicios de venta a ENDESA por vía telefónica mediante llamadas salientes de la compañía. Tal y como se acredita mediante la declaración realizada por cada uno de los responsables territoriales de ENDESA que gestionaban la relación con dichos proveedores, las cuales se aportan como Documento número 6, la comunicación relativa a la Brecha y al uso indebido de los usuarios de acceso a las aplicaciones de ENDESA que les habían sido asignados, se llevó a cabo por medio de conversaciones y reuniones telefónicas. En relación con el proveedor ***EMPRESA.15, éste prestaba servicios de atención y venta telefónica a ENDESA, atendiendo las llamadas que, sin previa intervención comercial de ENDESA, realizan los interesados. Tal y como se acredita con el Documento número 7, el responsable de operaciones, de forma inmediata tras conocer los hechos, se puso en contacto con el proveedor para solicitarle C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/214 explicaciones sobre lo ocurrido y la toma inmediata de medidas con el usuario implicado. 34. A continuación, se muestra para cada uno de los usuarios los datos relativos al alta y a la baja en la herramienta ***HERRAMIENTA.1, así como el rol asignado a cada usuario y las funciones y permisos de acceso otorgados. Usuario Proveedor al que se le asignó el usuario Fecha de petición de alta Fecha de reseteo o deshabilitació n ***USUARIO.1 ***EMPRESA.1 3 11/03/2021 15/02/2022 ***USUARIO.9 ***EMPRESA.1 4 ***EMPRESA.8 09/12/202 1 26/11/2019 15/02/2022 ***EMPRESA.1 5 21/12/202 0 10/09/2021 ***USUARIO.1 0 ***EMPRESA.1 6 20/10/202 0 ***USUARIO.1 0 ***EMPRESA.1 5 ***USUARIO.1 0 ***USUARIO.1 0 ***USUARIO.1 1 ***USUARIO.1 0 Fecha de retirada y eliminació n en sistemas 24/08/202 2 Rol Funcione s y permisos otorgados Usuari o Consulta 24/08/202 2 19/11/2021 Consulta 24/08/202 2 Usuari o Usuari o Usuari o 03/09/2021 24/08/202 2 Usuari o Consulta 15/08/202 1 29/11/2021 04/03/202 2 Usuari o Consulta ***EMPRESA.1 6 20/10/202 0 21/09/2021 24/08/202 2 Usuari o Consulta ***EMPRESA.1 7 28/10/202 0 24/08/2022 24/08/202 2 Usuari o Consulta 19/11/2021 Consulta Consulta Se aporta como Documento número 8, capturas de pantalla de los sistemas en acreditación de las fechas de alta, así como de la retirada y eliminación en sistemas. Asimismo, se aporta como Documento número 9, diversas comunicaciones en las que se acredita la fecha en las que los responsables de asignación de dichos usuarios solicitaron o informaron sobre la inhabilitación o el reseteo de las credenciales comprometidas. 35. En relación con la herramienta ***HERRAMIENTA.2, a continuación, se muestran los usuarios comprometidos que tenían permisos de acceso a dicha herramienta, junto con los datos relativos al alta y a la baja, así como el rol asignado a cada usuario y las funciones y permisos de acceso otorgados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/214 Usuario Fecha de petición de alta 12/04/202 1 Fecha último acceso 09/09/202 1 Fecha de eliminación en sistemas 10/09/2021 Rol ***USUARIO.10 Proveedor al que se le asignó el usuario ***EMPRESA.1 5 ***USUARIO.10 ***EMPRESA.1 6 19/02/202 0 26/11/2021 12/01/2022 ***ROL.3 ***USUARIO.10 ***EMPRESA.1 5 06/03/20 18/02/202 2 16/03/2022 ***ROL.1 ***USUARIO.10 ***EMPRESA.1 6 23/10/202 0 25/11/2021 12/01/2022 ***ROL.3 ***USUARIO.10 ***EMPRESA.1 7 20/07/202 0 3/12/2021 17/02/2022 ***ROL.2 ***ROL.1 Funciones y permisos otorgados Consulta, creación y modificación de datos (dentro de su ámbito de negocio). Consulta, creación y modificación de datos (dentro de su ámbito de negocio). Consulta, creación y modificación de datos (dentro de su ámbito de negocio). Consulta, creación y modificación de datos (dentro de su ámbito de negocio). Consulta, creación y modificación de datos (dentro de su ámbito de negocio). Se aporta como Documento número 10, capturas de los sistemas, así como comunicaciones en acreditación de las fechas de alta o solicitud de alta, así como del último acceso y de la baja y de eliminación de los usuarios en la herramienta ***HERRAMIENTA.2. 36. Los usuarios identificados tenían un rol de “usuario” en la herramienta ***HERRAMIENTA.1, con permiso asignado de consulta, por lo que únicamente podían visualizar (
25. i)en relación con todos consumidores, clientes o no de ENDESA, datos técnicos – como potencia, tensión, consumos estimados – asociados al punto de suministro al introducir la dirección o el denominado Código Universal de Puntos de Suministro (en adelante “CUPS”); y (
26. ii)en caso de que se tratara de clientes de ENDESA con un contrato en vigor, podían acceder a la siguiente información: nombre y apellidos del titular del punto de suministro, número de Documento Nacional de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/214 Identidad, número de contrato, CUPS, importe de facturación anual, indicador de deuda, información sobre precios, datos técnicos referentes al punto de suministro, datos de consumo y gráfica de utilización. El volumen aproximado de puntos de suministro que potencialmente se puede consultar – uno a uno, de manera individual – desde la herramienta ***HERRAMIENTA.1, siempre y cuando se introduzca previamente un CUPS o una dirección, es de 30, 6 millones de puntos de suministro de electricidad y de 8,6 millones de puntos de suministro de gas. En el caso de clientes con un contrato en vigor, el volumen aproximado que un usuario puede consultar, bajo las mismas premisas indicadas anteriormente, es de 4,8 millones de clientes de electricidad y de 1,2 millones de clientes de gas. En relación con la herramienta ***HERRAMIENTA.2, los usuarios identificados comprometidos podían acceder a los datos relativos a clientes con un contrato en vigor con ENDESA, siendo el volumen aproximado durante el periodo comprendido entre el 1 de julio de 2021 y el 15 de octubre de 2021, de 4,8 millones de clientes de electricidad y de 1,2 millones de clientes de gas. En cuanto a la tipología de datos que podía visualizar, principalmente son: nombre y apellidos del titular del punto de suministro, dirección postal, número de Documento Nacional de Identidad, CUPS, teléfono, correo electrónico, productos contratados, facturas, número de cuenta bancaria, calidad del crédito, deudas con la compañía. Finalmente, tal y como ha sido trasladado a esta Oficina, en relación con los usuarios comprometidos y con el periodo en que la Brecha se desarrolló no se mantiene un registro (logs) del uso de las herramientas ***HERRAMIENTA.1 o ***HERRAMIENTA.2. Es necesario indicar que, con motivo de la Brecha se adoptaron una serie de medidas entre las que se encuentra la ampliación de la trazabilidad (logs) de los accesos a ***HERRAMIENTA.1 para obtener información detallada del uso realizado por parte de los usuarios – medida que se implantó a finales del mes de diciembre de 2021. 37. Se aporta como Documento número 11, copia del burofax remitido a ***EMPRESA.1 comunicando la rescisión del contrato que ha sido trasladado a esta Oficina por la unidad correspondiente responsable de las actuaciones realizadas al respecto. En su respuesta al requerimiento, con entrada en esta Agencia el 25 de noviembre de 2022, ***EMPRESA.1 ha manifestado que: 38. En relación con la práctica irregular llevada a cabo por personal de la empresa subcontratada ***EMPRESA.9 (***EMPRESA.9), descripción detallada y cronológica de los hechos: - 19/10/2021. ***EMPRESA.1 detecta que un usuario del agente ***EMPRESA.9 ha intentado realizar un alta fraudulenta ya que, entre otras cuestiones, se puede apreciar que el número de teléfono utilizado para enviar al cliente el SMS de confirmación de venta (el cliente debe responder a este SMS para confirmar la venta) es coincidente con otro número de teléfono utilizado con la misma finalidad para otro cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/214 Esto quiere decir que es posible que el cliente no hubiera aceptado el contrato, habiéndose aceptado el mismo mediante confirmación de SMS por una persona diferente al titular de la contratación. - 19/10/2021. Ante la sospecha de que esto pudiera haberse realizado por parte de otros agentes de ***EMPRESA.9, ***EMPRESA.1 inicia un proceso de auditoría interna y comunica a la persona Responsable de su cuenta en ENDESA lo sucedido telefónicamente, enviando también un email (se adjunta el e-mail como imagen 1 en el Documento 2) con las primeras averiguaciones realizadas y las primeras medidas tomadas al respecto. Este mismo día se lleva a cabo el cierre total de todos los usuarios de ***EMPRESA.9 y el acceso a cualquier herramienta de la campaña de ENDESA y se inicia una auditoría interna para valorar el volumen de clientes afectados por contrataciones fraudulentas. - 19/10/2021. ***EMPRESA.1 envía una comunicación a todos sus Subagentes (***EMPRESA.9 y resto de colaboradores) participantes en la campaña de ENDESA informando de lo sucedido, de la auditoría interna abierta y de las consecuencias de realizar este tipo de prácticas delictivas (se adjunta el e-mail como imagen 2 en el Documento 2). - 20/10/2021. ***EMPRESA.1, tras la auditoría realizada, envía una comunicación a ENDESA indicando las operaciones afectadas por la práctica fraudulenta de ***EMPRESA.9, identificándose 137 contrataciones realizadas y otras 7 operaciones pendientes de validación por parte de ENDESA que no han llegado a darse de alta. También se identifican y se bloquean, para que no se tramite su contratación, otras 172 órdenes que están pendientes de validar por el back office de ***EMPRESA.9. Además, en esta comunicación se indican las medidas que se pretenden seguir llevando a cabo en los próximos días para detectar cualquier otra irregularidad adicional. Entre estas medidas, se propone a ENDESA realizar llamadas a los clientes que hayan podido verse afectados para confirmar tanto la legalidad de la contratación como la comprobación del número de cuenta facilitado. No obstante, ENDESA prohíbe a ***EMPRESA.1 realizar estas llamadas comerciales indicando que procederán ellos mismos a verificar las contrataciones (se adjunta la comunicación enviada a Endesa como imagen 3 en el Documento 2). Por otra parte, en esta comunicación realizada a ENDESA se remite adjunto un e-mail del gerente de ***EMPRESA.9 comunicando a ***EMPRESA.1 las denuncias presentadas, ante la Policía de ***PAÍS.1, contra sus comerciales implicados en esta práctica fraudulenta, así como los números de teléfono utilizados de forma fraudulenta para la confirmación de las ventas mediante el envío de SMS. - 25/10/2021. Para evitar que se refugiasen en otras subcontratas los trabajadores de ***EMPRESA.9, el día 25 de octubre, ***EMPRESA.1, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/214 procedió a cerrar los sistemas y a comunicar de forma fehaciente al resto de agentes de la zona el cierre de la campaña. - 27/10/2021. ***EMPRESA.1 recibe un email del gerente de ***EMPRESA.9 detallando las averiguaciones realizadas sobre la práctica fraudulenta llevaba a cabo por algunos de sus agentes y su modus operandi ya que algunos de los comerciales han decidido colaborar tras ver la denuncia presentada contra ellos ante la Policía. En este e-mail se detallan las tres formas de operar, según la gerencia de ***EMPRESA.9, de los comerciales. Se detalla a continuación las formas de operar detalladas en el e-mail: 1. Contactaban con el cliente y explicaban el producto, de estar de acuerdo y ser consciente con la contratación procedían con el cierre. Sin embargo, el cliente ponía la objeción indicando que no podían responder el sms por diferentes motivos (bloqueado para sms, no tenía móvil, no tenía batería, próximo a viajar, etc). Lo que hacía el comercial era conseguir un número de otro cliente que era de endesa y pedían a este último que respondiera el sms. 2. Por medio de internet los comerciales contrataban el programa ***PLATAFORMA.1 de ENDESA. Como se puede apreciar en las imágenes 4.1, 4.2, 4.3 y 4.4 adjuntas en el Documento 2, diferentes personas “comercializaban” accesos al programa ***PLATAFORMA.1 de ENDESA. Lo que hacían los comerciales es utilizar esta herramienta para poder extraer datos de clientes de ENDESA, por lo que las grabaciones las hacían con otras personas. 3. Otro caso fueron clientes que por algún momento no quisieron pasar textos por ser muy largos, se cansaron de recibir varias llamadas. Lo que hicieron en este caso es una simulación de ventas con otras personas y el mensaje también fue respondido por otros (se adjunta el e-mail enviado por ***EMPRESA.9 y recibido por ***EMPRESA.1 como imagen 4 del Documento 2). 39. Se adjunta como Documento 1 el informe de evaluación de la brecha presentado en el Comité interno de riesgos. Cabe tener en cuenta que la brecha se gestiona en calidad de Encargado de Tratamiento habiéndose colaborador con el responsable en la medida en que este así lo solicitó y permitió dicha colaboración. 40. Se adjunta como Documento 3 la copia del Registro de las actividades de tratamiento de datos personales de los clientes de ENDESA efectuadas por parte de ***EMPRESA.1 en calidad de encargado del tratamiento, en cuanto a tratamientos referentes a venta telefónica. 41. Listado de los usuarios comprometidos en la práctica irregular: - Usuarios de ***EMPRESA.1 con acceso a: ***EMPRESA.1 disponía de un único usuario de acceso (***USUARIO.11) a la herramienta de ***HERRAMIENTA.4. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/214 - Usuarios de ***EMPRESA.1 para realizar la carga masiva de solicitudes a través de la herramienta ***HERRAMIENTA.4: ***EMPRESA.1 disponía de un único usuario de acceso (***USUARIO.12). - Usuarios de ***EMPRESA.9 autorizados para cargar solicitudes de venta en crm de ***EMPRESA.1. Se aporta listado de todos los 46 usuarios relacionados son a través de los cuales se han cargado las ventas fraudulentas. 42. Con el fin de entender la relación entre las partes intervinientes en la contratación de productos y servicios de ENDESA es conveniente aclarar que: • Cada usuario de ***EMPRESA.9 disponía de un usuario independiente en el CRM de ***EMPRESA.1 para realizar la carga de las solicitudes de contrataciones que hubieran formalizado a través de las llamadas de captación comercial realizadas. A través de su usuario, cada agente cargaba en el CRM de ***EMPRESA.1 la siguiente información: - Los datos necesarios para realizar la contratación por parte del cliente. - La grabación de la llamada de principio a fin comprensiva de oferta comercial + textos legales+ consentimiento del cliente a la oferta comercial y contratación de los Productos y Servicios Ofertados y los archivos necesarios para la aportación de la llamada completa. Una vez cargada esta información por parte de cada agente se generaba, en los sistemas de ***EMPRESA.1, un Excel con los datos necesarios para que el Back Office de ENDESA pudiera gestionar los datos en los sistemas comerciales de ENDESA. Los datos con los que se generaba el Excel se obtenían de la carga que el agente había hecho previamente el Crm de ***EMPRESA.1. Además, se generaba un certificado por un tercero de confianza con el SMS enviado para la confirmación de la venta donde se certificada, además, el SI o el NO del cliente a la Oferta Comercial. • Una vez realizado el procedimiento anterior, ***EMPRESA.1 procedía, diariamente, a cargar masivamente vía ftp en la herramienta de ***HERRAMIENTA.4, propiedad de ENDESA, toda la información descrita anteriormente, es decir, la grabación de la llamada, el certificado por tercero de confianza del SMS de aceptación de la venta por parte del cliente y el Excel con la información del cliente para la gestión por parte del Back Office de ENDESA. Para esta carga masiva, ***EMPRESA.1 disponía sólo del usuario de acceso a ***HERRAMIENTA.4 y al acceso vía ftp. En relación con lo expuesto anteriormente cabe destacar que los subagentes (usuarios de ***EMPRESA.9) solo podían acceder al CRM de ***EMPRESA.1, sin que en ningún caso tuvieran acceso directo al CRM de Endesa. 43. En relación con los usuarios de ***EMPRESA.9 con acceso al CRM de ***EMPRESA.1 cabe destacar que en el CRM de ***EMPRESA.1 existen diferentes perfiles de usuarios (se adjunta Doc. 4, imagen 1 para acreditar la relación de perfiles de usuarios), siendo el responsable de la aplicación, en cualquier caso, ***EMPRESA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/214 44. Por su parte, ***EMPRESA.1 solo tenía un usuario de acceso a las siguientes herramientas de ENDESA: - ***HERRAMIENTA.4 y al acceso vía FTP autorizado por ENDESA para realizar la carga masiva de las solicitudes de contratación. (Se adjunta Doc. 4, imagen 4 y 5 para acreditar el proceso de alta a la aplicación). Con el perfil de usuario autorizado por parte de ENDESA, solo era posible cargar las ventas desde el CRM de ***EMPRESA.1 a ***HERRAMIENTA.4 y visualizar los feedback de ENDESA sobre el estado de las ventas cargadas. (…) - ***PLATAFORMA.1: Es la plataforma para la descarga de ficheros “no molestar” de ENDESA. ***EMPRESA.1, a través de esta plataforma, descargaba los ficheros que ENDESA ponía a su disposición semanalmente y que contenían los números de teléfonos de clientes que habían ejercido su derecho de oposición a recibir llamadas comerciales por parte de ENDESA. Una vez obtenido este fichero, se cruzaba con las bases de datos utilizadas para la realización de llamadas comerciales. Existía un único usuario con acceso a esta aplicación y se accedía a través de la web. ***EMPRESA.1 solo tenía permisos en esta aplicación para realizar la descarga del fichero. No existe ninguna otra aplicación a la que tuvieran acceso ***EMPRESA.1 y/o sus colaboradores en el marco de la relación contractual con ENDESA para la captación telefónica de clientes. 45. Cada usuario de ***EMPRESA.9 podía cargar en el CRM de ***EMPRESA.1 exclusivamente las operaciones que ellos mismos habían realizado, pudiendo visualizar únicamente los estados de dichas operaciones hasta el cierre completo de la venta por parte de ENDESA. Solo tenían acceso a los datos personales que ellos mismos introducían en el CRM de ***EMPRESA.1 y que eran, en todo caso, datos identificativos y de contacto (nombre, apellidos, nº de DNI, nº de teléfono, e-mail, dirección de punto de suministro, voz, nº CUPS, dirección de facturación), datos económicos (nº de cuenta bancaria) y de características personales (la fecha de nacimiento). Se aporta una tabla en la que se diferencia entre clientes con quien se finalizó el proceso completo de contratación y clientes con los que por diferentes cuestiones no se llegó a formalizar la contratación. En cualquier caso, no todos los clientes a quienes tenían acceso estos usuarios se vieron afectados por la práctica fraudulenta de ***EMPRESA.9, ya que solo 137 operaciones fueron las afectadas cuya contratación fraudulenta se culminó. Por su parte, ***EMPRESA.1 podía acceder con su usuario a ***HERRAMIENTA.4 para visualizar el estado de cualquier contratación de cualquiera de sus Subagentes, pudiendo acceder a la misma tipología- de datos personales que los descritos en el punto anterior. 46. En el CRM de ***EMPRESA.1 se registraban:  los logs de acceso de usuarios al CRM de ***EMPRESA.1 (fecha, hora, dirección ip y el resultado)  los logs de registro de accesos a las URL del servidor (fecha, hora, dirección ip y el resultado)  Trazabilidad en base de datos (fecha, hora y usuario) de creación de una operación por parte de un usuario y de una modificación del estado de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/214 operación (por ejemplo, si hay alguna incidencia en la contratación, falta documentación o la contratación ha sido denegada por ENDESA). Además, se permitía realizar una limitación de acceso al CRM por IP para que los usuarios solo pudieran acceder desde una IP conocida por un perfil de usuario de rango superior. Cabe destacar que las prácticas fraudulentas llevadas a cabo por los usuarios de ***EMPRESA.9 se debieron a acciones intencionadas realizadas por los propios usuarios, es decir, las contrataciones no se realizaron por el acceso no autorizado por parte de terceros al CRM de ***EMPRESA.1, sino a través de acciones premeditadas por parte de los usuarios autorizados. Por este motivo, en el análisis de logs realizado se observa un funcionamiento “normal” de la actividad de los usuarios sin que sea posible apreciar irregularidades en cuanto a la utilización de los usuarios. 47. Tras la auditoría realizada internamente por parte de ***EMPRESA.1 cuando se tuvo conocimiento de la práctica fraudulenta llevada a cabo por ***EMPRESA.9, se determinó que había un total de 137 contrataciones que, posiblemente, estuvieran afectadas. Esto se dedujo porque, en estas operaciones, el número de teléfono utilizado para el envío del SMS de solicitud de consentimiento del cliente para cerrar la venta coincidía con el de al menos otra operación. 48. Se adjunta como Documento 5 la copia del contrato suscrito con ***EMPRESA.9 que se encontraba vigente en el período en que tuvo lugar la brecha de seguridad, así como la rescisión de éste con fecha efectiva 19 de octubre de 2021, día en que se tuvo conocimiento de la práctica fraudulenta llevaba a cabo por ***EMPRESA.9. En el documento de rescisión del contrato se puede apreciar una errata en la fecha del contrato objeto de la rescisión, ya que se hace referencia a la fecha en que se formalizo el primer contrato con ***EMPRESA.9 para la distribución de servicios de ENDESA y que ya no se encontraba vigente en la fecha en que tuvo lugar la brecha de seguridad. En cualquier caso, dado que es la única campaña comercial que ***EMPRESA.9 gestionaba por cuenta de ***EMPRESA.1 en favor de ENDESA, con la citada comunicación de rescisión se entendió resuelta la relación comercial entre las partes y se procedió, entre otras cosas, a retirarles el acceso a sus usuarios para la carga de ventas en el Crm de ***EMPRESA.1. Según consta en la diligencia realizada el día 13 de octubre de 2022, ENDESA es una sociedad anónima de nacionalidad española. Según los datos obrantes en AXESOR la empresa tiene tamaño “Grande” con XXX empleados y en el año 2021 (último ejercicio presentado) tuvo un volumen de ventas de ***CANTIDAD.1 euros y un resultado de ejercicio de ***CANTIDAD.3 euros. SEXTO: Con fecha 27 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ENDESA con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones, a fin de imponerle: - Por la supuesta infracción del artículo 5.1.
27. f)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 2.500.000,00 euros. - Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 1.500.000,00 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/214 - Por la supuesta infracción del artículo 33 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 800.000,00 euros. - Por la supuesta infracción del artículo 34 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 800.000,00 euros. - Por la supuesta infracción del artículo 44 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 2.000.000,00 euros. Este acuerdo de inicio, que se notificó a ENDESA conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 30 de enero de 2023. SÉPTIMO: Con fecha 30 y 31 de enero y 1, 2 y 3 de febrero de 2023, ENDESA presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones y que se le facilitara copia del expediente. Con fecha 3 de febrero de 2023, el órgano instructor del procedimiento acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP y que se le remitiera a ENDESA copia del expediente. El citado acuerdo se notifica a ENDESA, en fecha 6 de febrero de 2023, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 20 de febrero de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de ENDESA en el que aduce alegaciones al acuerdo de inicio. En estas alegaciones, en síntesis, manifestaba que: - - - Alegación previa: Concreción de determinados puntos fácticos esenciales para el análisis jurídico del expediente, toda vez que existen, a su entender, en el Acuerdo de Inicio, algunas cuestiones que, siendo muy relevantes para el enjuiciamiento de la conducta de ENDESA, no han sido interpretadas por la AEPD, a su juicio, de manera correcta. ENDESA tenía implementadas medidas de seguridad adecuadas al riesgo:  Se aporta Documento número 1 con la explicación detallada de cada uno de los desarrollos en la plataforma ***HERRAMIENTA.1, así como de su valoración horaria.  Se aporta Documento número 2 con la explicación detallada de cada uno de los desarrollos y tareas necesarias para la implementación de la medida de seguridad en ***HERRAMIENTA.2. Existe concurrencia de infracciones del artículo 5.1.
28. f)del RGPD y artículo 32 del RGPD. Se ha vulnerado el principio de tipicidad del artículo 5.1.
29. f)del RGPD. No procede la sanción por la infracción del artículo 33 del RGPD:  Se aporta Documento número 3 en el que ENDESA sigue solicitando a ***EMPRESA.1 información adicional sobre la Violación de la Seguridad de los Datos para, continuamente, reevaluar su conclusión de que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/214 - - Violación no es notificable, sin que ***EMPRESA.1 ni ***EMPRESA.9 aporten información relevante, a su juicio.  Se aporta Documento número 4 en el que ENDESA vuelve a requerir a ***EMPRESA.1 para que aporte más información sobre la Violación de la Seguridad de los Datos y ***EMPRESA.1, una vez más, facilita información incompleta, a su juicio.  Se aporta Documento número 5 con el protocolo de gestión de brechas de seguridad elaborado por ENDESA. No procede la sanción por la infracción del artículo 34 del RGPD. No procede la sanción por la infracción del artículo 44 del RGPD:  Se aporta Documento número 6 con las Cláusulas Contractuales Tipo suscritas con sus proveedores ubicados fuera del Espacio Económico Europeo, en cumplimiento de su procedimiento interno para la realización de transferencias internacionales.  Se aporta Documento número 7, 8 y 9 con las Cláusulas Contractuales Tipo suscritas con los proveedores ***EMPRESA.15, ***EMPRESA.12, y ***EMPRESA.9, respectivamente. Existe falta de proporcionalidad sobre la graduación de la sanción a imponer a ENDESA. NOVENO: Con fecha 13 de junio de 2023, el órgano instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporados la notificación de la violación de la seguridad de los datos personales a que dio lugar el presente procedimiento y su documentación, los documentos obtenidos y generados durante la fase de actuaciones previas de investigación y el informe correspondiente, que forman parte del procedimiento AI/00178/2022, así como las alegaciones al acuerdo de inicio presentadas por ENDESA y la documentación que a ellas acompaña. En ese mismo escrito esta Agencia ha requerido a ENDESA para que en el plazo de cinco días hábiles presentara la siguiente información: el informe pericial de un tercero independiente a que hace referencia la citada empresa en la página 7 de su escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador, a fin de demostrar que “a pesar de que algunos anuncios de Facebook se hubieran mantenido activos (…), las credenciales que se ofertaban a través de ese medio ya no permitían, de modo alguno, acceder a los sistemas ***HERRAMIENTA.1 y ***HERRAMIENTA.2 porque estaba deshabilitadas” y que “como consecuencia de las nuevas medidas de seguridad implementadas por Endesa, ningún usuario adicional no autorizado conseguiría la finalidad de vender/alquilar credenciales de acceso a los sistemas de Endesa, puesto que dichas medidas se lo impedirían”. Con fecha 14, 16 y 19 de junio de 2023, ENDESA presentó un escrito a través del cual solicitaba la ampliación del plazo para presentar el citado informe. Con fecha 19 de junio de 2023, el órgano instructor del procedimiento acordó la ampliación de plazo instada hasta un máximo de dos días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notifica a ENDESA en fecha 20 de junio de 2023, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/214 Con fecha 23 de junio de 2023, ENDESA presentó escrito de respuesta ante esta Agencia, en el que aporta como Documento número 1 el informe solicitado. DÉCIMO: Con fecha 23 de junio de 2023, el órgano instructor del procedimiento envió un requerimiento a ENDESA para que en el plazo de cinco días hábiles presentara la siguiente información: -Indicación de si ha firmado nuevas cláusulas contractuales tipo para las trasferencias internacionales de datos realizadas a ***EMPRESA.9, adaptadas a la decisión de ejecución 2021/914 de la Comisión, 4 de junio de 2021, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (Texto pertinente a efectos del EEE), y, en su caso, aporte copia firmada de las mismas. - Acreditación de la evaluación sobre el derecho y las prácticas de ***PAÍS.1 y ***PAÍS.2 aplicables al tratamiento de los datos personales realizados por las entidades ***EMPRESA.15, ***EMPRESA.12 y ***EMPRESA.9, a la que se refiere la letra
30. b)de la cláusula 14 de la citada Decisión de Ejecución, de 4 de junio de 2021. El citado requerimiento se notifica a ENDESA en fecha 26 de junio de 2023, como consta en el acuse de recibo que obra en el expediente. Con fecha 3 de julio de 2023, ENDESA presentó escrito de respuesta ante esta Agencia, en el que aporta: - - Documento número 1: copia del burofax remitido por ***EMPRESA.1 a ***EMPRESA.9 comunicándole el cierre definitivo de la campaña de venta que ***EMPRESA.9 realizaba para Endesa. Documento número 2: justificante de Correos que acredita el envío del citado burofax a ***EMPRESA.9. Documento número 3: aviso del sistema interno de proveedores de Endesa acreditando que, con fecha 2 de noviembre de 2021 se desasoció al subcontratista ***EMPRESA.9. Documento número 4 y número 5: evaluaciones de impacto de las trasferencias internacionales respecto de los datos transferidos a ***PAÍS.1 y ***PAÍS.2, casos en los que ***EMPRESA.15 y ***EMPRESA.12 actuaban como importadores de los datos, todo ello por cuanto la relación contractual ente Endesa y ***EMPRESA.15 sigue estando vigente en la actualidad y, en el caso de ***EMPRESA.12, se mantuvo hasta el mes de noviembre del año 2022. Documento número 6: evaluación de impacto sobre el derecho y las prácticas de ***PAÍS.2 aplicables al tratamiento de los datos personales realizados por el propio proveedor ***EMPRESA.15. Documento número 7: acuerdo de resolución del contrato suscrito entre Endesa y ***EMPRESA.16, el cual implica la finalización de la subcontratación con ***EMPRESA.12. DÉCIMO PRIMERO: Con fecha 23 de agosto de 2023, el órgano instructor del procedimiento dictó propuesta de resolución en la que propone imponer a ENDESA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/214 - Por la supuesta infracción del artículo 5.1.
31. f)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 2.500.000,00 euros. - Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 1.500.000,00 euros. - Por la supuesta infracción del artículo 33 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 800.000,00 euros. - Por la supuesta infracción del artículo 34 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 800.000,00 euros. - Por la supuesta infracción del artículo 44 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 2.000.000,00 euros. Esta propuesta de resolución, que se notificó a ENDESA conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 24 de agosto de 2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO SEGUNDO: Con fecha 24 de agosto de 2023, ENDESA presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones y que se le facilite copia del expediente. DÉCIMO TERCERO: Con fecha 28 de agosto de 2023, el órgano instructor del procedimiento acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP y que se le remita a ENDESA copia del expediente. El citado acuerdo se notifica a ENDESA en fecha 30 de agosto de 2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO CUARTO: Con fecha 14 de septiembre de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de ENDESA en el que aduce alegaciones a la propuesta de resolución. En estas alegaciones, en síntesis, manifestaba que: - - - Alegación previa: Concreción de determinados puntos fácticos esenciales para el análisis jurídico del expediente, toda vez que existen, a su entender, en el Acuerdo de Inicio, algunas cuestiones que, siendo muy relevantes para el enjuiciamiento de la conducta de ENDESA, no han sido interpretadas por la AEPD, a su juicio, de manera correcta. No procede la sanción por la infracción del artículo 32 del RGPD:  Se aporta Documento número 1 el correo electrónico de 29 de noviembre de 2021 por el cual ENDESA solicita el reseteo de los usuarios comunicados por ***EMPRESA.1 como fraudulentos y la confirmación de que ese mismo día se habían reseteado con éxito. Existe concurrencia de infracciones del artículo 5.1.
32. f)del RGPD y artículo 32 del RGPD. Se ha vulnerado el principio de tipicidad del artículo 5.1.
33. f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/214 - - No procede la sanción por la infracción del artículo 33 del RGPD. No procede la sanción por la infracción del artículo 34 del RGPD:  Se aporta Documento número 2 con una declaración de ***DEPARTAMENTO.7 en la que se detallan las actuaciones llevadas a cabo por Endesa para atender de manera personalizada a los interesados que se hubieran podido ver afectados por el incidente, así como unos ejemplos de dichas tareas. No procede la sanción por la infracción del artículo 44 del RGPD. Existe falta de proporcionalidad sobre la graduación de la sanción a imponer a ENDESA. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 1 de diciembre de 2015, según consta en el Documento número 7 que acompaña el escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador, la Directora de la Agencia Española de Protección de Datos dictó resolución en la que se autoriza la transferencia internacional de datos personales solicitada por ENDESA a ***EMPRESA.15, ubicada en ***PAÍS.2. SEGUNDO: El 1 de junio de 2020 ENDESA y ***EMPRESA.1 suscribieron un contrato para comercializar los productos y servicios de ENDESA a través de diferentes acciones comerciales, según se indica en el Documento 1 del escrito de ***EMPRESA.1 de 25 de noviembre de 2022. TERCERO: El 22 de julio de 2020, según consta en el Documento 9 que acompaña al escrito de alegaciones de ENDESA al acuerdo de inicio del presente procedimiento sancionador, ENDESA como exportador de datos y ***EMPRESA.9 (con domicilio en ***PAÍS.1) en calidad de importador de datos suscribieron un contrato de prestación de servicios, a los efectos de dar cumplimiento al artículo 46.2.
34. c)del Reglamento (UE) 2016/679, de 27 de abril, de Protección de Datos (“RGPD”) y, de conformidad con lo dispuesto en la Decisión 2010/87/UE de la Comisión, de 5 de febrero de 2020, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países. CUARTO: El 3 de marzo de 2021, según consta en el Documento 5 que acompaña al escrito de ***EMPRESA.1 de 25 de noviembre de 2022, ***EMPRESA.1 y ***EMPRESA.9 firmaron un contrato para la “actividad de intermediación en altas de clientes para ENDESA mediante la realización de llamadas telefónicas de captación comercial utilizando bases de datos de Endesa”. QUINTO: El 14 de marzo de 2021 el usuario “D.D.D.” publica un anuncio en Facebook, según consta en el Documento número 2 del escrito de ENDESA de 11 de noviembre de 2022: “Se alquila sistema para obtener cups de energía y gas solo con la dirección del cliente. Info al inbox!!” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/214 SEXTO: El 28 de abril de 2021 firmaron un contrato (…) y ***EMPRESA.1, de servicios de venta telefónica, según consta en el Documento número 4 que acompaña el escrito de ENDESA de 7 de octubre de 2022. SÉPTIMO: El 5 de mayo de 2021, según consta en el Documento 8 que acompaña al escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador, ENDESA y ***EMPRESA.12 firmaron un contrato, a los efectos de dar cumplimiento al artículo 46.2.
35. c)del Reglamento (UE) 2016/679, de 27 de abril, de Protección de Datos (“RGPD”), de conformidad con la Decisión de 2010/87 UE de la Comisión, de 5 de febrero de 2020, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países.. OCTAVO: El 28 de julio de 2021 ENDESA autorizó a ***EMPRESA.1 la subcontratación de ***EMPRESA.9 para la prestación de los servicios de venta telefónica, según consta en el Documento número 6 que acompaña el escrito de ENDESA de 7 de octubre de 2022, en el que se fija como “fecha de inicio de los trabajos subcontratados 1 agosto 2021” y como “fecha de fin 1 Agosto 2022”. NOVENO: El 24 de agosto de 2021, la persona responsable del ***DEPARTAMENTO.1 de ENDESA envió un correo electrónico al responsable de Seguridad de la Información del Grupo Endesa, en el que se informa de un anuncio sospechoso en Facebook. Según consta en el Documento número 6 que acompaña el escrito de ENDESA presentado el 26 de julio de 2022, el contenido del correo electrónico era el siguiente: “(…)” Según manifestó ENDESA en su escrito presentado el 26 de julio de 2022, con este aviso se activó el proceso de análisis e investigación, cuyo primer paso es confirmar la veracidad del anuncio. DÉCIMO: El 1 de septiembre de 2021, según consta en el Documento número 4 que acompaña al escrito de ENDESA de 11 de noviembre de 2022, ENDESA recibe un correo electrónico procedente de ***EMPRESA.16, con el siguiente contenido: “(…) La persona que si conocemos es D.D.D., pues hemos reconocido su foto de perfil. (…) Su nombre completo es D.D.D.. (…)” DÉCIMO PRIMERO: El 3 de septiembre de 2021, según consta en el Documento número 8 del escrito de ENDESA de 11 de noviembre de 2022, se reseteó o deshabilitó en la plataforma ***HERRAMIENTA.1 el usuario “***USUARIO.3” asignado a ***EMPRESA.12. DÉCIMO SEGUNDO: El 10 de septiembre de 2021, según consta en el Documento número 8 del escrito de ENDESA de 11 de noviembre de 2022, ENDESA envió un correo electrónico con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/214 “(…) Dado que hablamos de un empleado actualmente activo en ***EMPRESA.15, agradeceré actuéis con la máxima rapidez y procedáis a desvincularlo de nuestras operaciones. Entiendo que, entre otras, adoptaréis medidas legales contra dicho empleado. Agradeceré me mantengas puntualmente informado de las medidas que adoptéis contra él. Asimismo, entiendo que ***EMPRESA.15 deberá instaurar las medidas de ciberseguridad y rastreo necesarias que permitan localizar, como lo ha hecho ENDESA, posibles comercializaciones de usuarios asignados a vosotros y, por tanto, de vuestra entera responsabilidad. Por nuestra parte, procedemos a dar de baja el usuario con carácter inmediato. (…)” DÉCIMO TERCERO: El 10 de septiembre de 2021, según consta en los Documentos 8, 9 y 10 del escrito de ENDESA de 11 de noviembre de 2022, se reseteó o deshabilitó en la plataforma ***HERRAMIENTA.1 el usuario ***USUARIO.8, asignado a ***EMPRESA.15. Y se procedió a su retirada y eliminación de los sistemas de ***HERRAMIENTA.2. DÉCIMO CUARTO: El 13 de septiembre de 2021, según consta en el Documento número 10 que acompaña el escrito de ENDESA de 26 de julio de 2022, se realiza la primera valoración de la violación de la seguridad de los datos personales, donde se recoge la información obtenida hasta ese momento en un documento firmado el 14 de septiembre de 2021. El contenido del documento es el siguiente: “El día 24 de agosto se detectó en Facebook un anuncio donde se vendía usuario de ***PLATAFORMA.1 con acceso a información de clientes para campaña de energía en España, la imagen de abajo contiene el anuncio. (…) Una vez detectado el anuncio se inicia el estudio del incidente, obteniendo el 10 de septiembre la comprobación de la veracidad del mismo y la identificación de las credenciales usados de forma fraudulenta para el acceso a la aplicación de Endesa ***PLATAFORMA.1.. Durante la investigación del incidente se ha detectado el compromiso de las credenciales de un usuario del aplicativo que estaban siendo usados por el anunciante de Facebook para vender accesos. Se ha comprobado la validez de estos, pero no se ha podido confirmar que se haya materializado la venta de las credenciales y en caso de haberse realizado se desconoce el número de registros del aplicativo que han podido ser accedidos. Basándonos en la información recogida hasta ahora, que incluye el tiempo transcurrido desde la publicación del anuncio, el tipo de servicio ofertado y las limitaciones en las consultas ofrecidas por el aplicativo, se estima que el número de registros afectado podría estar en una horquilla de accesos de entre 100 y 1.000 registros afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/214 En el momento de realizar esta valoración no se han detectado reclamaciones de clientes que se puedan asociar a este incidente. Con fecha 13 de septiembre se convoca Comité de Brechas de Seguridad para analizar el incidente. Valoración del alcance (…) III. CONCLUSIÓN En reunión mantenida (…), tras realizar una valoración, en tiempo y forma, del alcance del incidente de seguridad y de las posibles repercusiones para los derechos y libertades de los interesados afectados, se adopta la decisión preliminar de no comunicar el incidente de seguridad a la autoridad de control por no alcanzar el umbral previsto en la guía de la agencia sobre brechas de seguridad. No obstante, desde ***DEPARTAMENTO.4 se señala la necesidad de continuar con la investigación al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/214 objeto de poder realizar una nueva valoración del incidente, por considerar que la información aportada no es completa y el presente análisis tiene carácter preliminar. Considerando los planteamientos anteriores, se enumera el plan de acción ejecutado y previsto para garantizar las medidas de seguridad a establecer: • (…) DÉCIMO QUINTO: El 21 de septiembre de 2021, según consta en el Documento número 3 que acompaña al escrito de ENDESA de 11 de noviembre de 2022, ENDESA recibe un correo electrónico con el siguiente contenido: “(…) confirmarte que la persona que nos indicas (C.C.C.) fue empleado de ***EMPRESA.15 pero es baja de la compañía desde 2016. Hemos intentado identificar algún tipo de vínculo entre esta persona y el agente del usuario que se utiliza, hasta el momento, no se ha encontrado nada. Hemos rastreado RRSS de ambos y sin ningún vínculo aparente.” DÉCIMO SEXTO: El 21 de septiembre de 2021, según consta en el Documento 8 del escrito de ENDESA de 11 de noviembre de 2022, se reseteó o deshabilitó el usuario ***USUARIO.5, de la plataforma ***HERRAMIENTA.1, asignado a ***EMPRESA.12. DÉCIMO SÉPTIMO: El 28 de septiembre de 2021, según consta en el Documento número 11 que acompaña el escrito de ENDESA de 26 de julio de 2022, se realiza una segunda valoración donde se completa la información de la primera, si bien su contenido es prácticamente idéntico, se añade como medida propuesta la “Desvinculación de la empresa y estudio de actuaciones legales contra el empleado cuyas credenciales han sido comprometidos.” (sic) Se considera en el informe que el impacto del presente incidente era “Medio” y que no era necesario notificar el incidente a la AEPD. DÉCIMO OCTAVO: El 18 de octubre de 2021, como consta en el Documento número 8 que acompaña al escrito de ENDESA de 7 de octubre de 2022, se recibe un correo electrónico desde Facebook con el asunto “Formulario de reporte de derechos de autor #(…)”, en el que se comunica que Facebook eliminó o inhabilitó el acceso a tres enlaces que habían sido reportados, por infringir su Declaración de derechos y responsabilidades. También se indica que dos enlaces ya fueron eliminados de Facebook. Por último, respecto de otros seis enlaces se dice “Tenga en cuenta que este canal es solo para denunciar infracciones de propiedad intelectual, como derechos de autor o de marca comercial. A partir de la información que proporcionó, parece que necesita ayuda con otro asunto. Los siguientes enlaces de ayuda pueden resultarle útiles: (…)”. DÉCIMO NOVENO: El 19 de octubre de 2021, según ha manifestado ***EMPRESA.1 en su escrito de 25 de noviembre de 2022, detecta que un usuario del agente ***EMPRESA.9 ha intentado realizar un alta fraudulenta ya que, entre otras cuestiones, se puede apreciar que el número de teléfono utilizado para enviar al cliente el SMS de confirmación de venta (el cliente debe responder a este SMS para confirmar la venta) es coincidente con otro número de teléfono utilizado con la misma finalidad para otro cliente, por lo que es posible que el cliente no hubiera aceptado el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/214 contrato, habiéndose aceptado el mismo mediante confirmación de SMS por una persona diferente al titular de la contratación. VIGÉSIMO: El 19 de octubre de 2021, según consta en el Documento 2 del escrito de ***EMPRESA.1 de 26 de noviembre de 2022, ***EMPRESA.1 envía un correo electrónico a ENDESA, con el siguiente contenido: “(…)” VIGÉSIMO PRIMERO: El 19 de octubre de 2021, según consta en el Documento 2 del escrito de ***EMPRESA.1 de 25 de noviembre de 2022, ***EMPRESA.1 envió una comunicación a todos los Subagentes participantes en la campaña de ENDESA, con el siguiente contenido: “Hemos detectado una serie de operaciones de distintos titulares en las que el número de contacto (móvil donde se envía el SMS) son coincidentes. Esto quiere decir que no es el cliente el que ha firmado las condiciones particulares del contrato. Este tipo de acciones (suplantación de identidad) derivan a responsabilidad penal y lógicamente al cierre de la campaña. Para evitar este tipo de situaciones confirmad de forma obligatoria antes de enviar el SMS que el número móvil es el del titular del contrato antes de realizar la grabación de la venta. Se están realizando auditorías al respecto y quien esté realizando este tipo de acciones tendrá cierre de código automático. (…)” VIGÉSIMO SEGUNDO: El 20 de octubre de 2021, según consta en el Documento 2 del escrito de ***EMPRESA.1 de 25 de noviembre de 2022, ***EMPRESA.1 envió un correo electrónico a ENDESA con el siguiente contenido: “(…) Tras análisis interno sobre exportación de archivo de ***HERRAMIENTA.4, tras poner los siguientes filtros: Ventas en trámite o en vigor, correspondientes a los contratos que están en estos estados con último cambio de estado en ***HERRAMIENTA.4 correspondientes a los meses de Julio, Agosto, Septiembre y Octubre filtramos 144 clientes que tienen el teléfono de consentimiento de contrato duplicado. De estas órdenes hay 7 (detallo los clientes) en trámite o pendiente BO (las marco en rojo). Las restantes 137 (marcadas en negro) son de clientes activos con número de consentimiento de contrato duplicado. (…)” VIGÉSIMO TERCERO: El 20 de octubre de 2021 se envía un correo electrónico desde ***EMPRESA.9 a ***EMPRESA.1 con el siguiente contenido, el cual fue reenviado a ENDESA, según consta en el Documento número 12 del escrito que presentó ENDESA el 7 de octubre de 2022 y en el Documento 2 del escrito de ***EMPRESA.1 de 26 de noviembre de 2022: “Hoy procedimos con el despido y la denuncia correspondiente por fraude informático, ley tipificada (...) en contra de los comerciales implicados en la venta fraudulenta. Esta última acción la realizamos con el fin de que independientemente de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/214 responsabilidad que claramente cómo empresa asumimos, queremos dejar claro que no es una práctica avalada por nosotros, repudiamos totalmente y definitivamente no define nuestra forma de trabajo. Por ese motivo adicionalmente iniciamos una auditoría interna, donde encontramos otros clientes y comerciales con prácticas similares, con los que procedimos de la misma manera y ponemos a su disposición todos los datos encontrados hasta el momento, e iremos en posteriores correos ampliando información.” Y se aporta el listado de todos los comerciales denunciados y de los móviles duplicados en ventas. VIGÉSIMO CUARTO: El 20 de octubre de 2021, según consta en el Documento 2 que acompaña al escrito de ***EMPRESA.1 de 25 de noviembre de 2022, ***EMPRESA.1 envió un correo electrónico a ENDESA con el siguiente contenido: “Paso a detallaros los puntos que ya estamos trabajando para poder detectar la cualquier posible incidencia adicional a la ya detectada.    Verificar con llamada telefónica (aportado grabaciones de llamadas y listado en Excel) los siguientes puntos: Confirmación con el cliente que si están interesados en la contratación, los que no estén interesados indicarlo para solicitar la cancelación del cambio de comercializadora a Endesa Confirmar con todos los clientes que la cuenta de pago es correcta, los que no sea aportada por el cliente indicarlo para cancelar el cambio de compañía o si están activos modificar la cuenta de pago. En un primer punto se van a gestionar las ventas que entendemos pueden estar afectadas por esta casuística y posteriormente se va a llamar a todos los clientes tramitados desde Septiembre (fecha en la que hemos detectado tras revisión el comienzo de esta práctica) para en caso de que haya alguno más afectado solucionar la situación del contrato. En otro orden estamos cancelando en ***HERRAMIENTA.4 las 172 órdenes que están en pendiente BO de ***EMPRESA.9 para que avancen. (…)” VIGÉSIMO QUINTO: El 25 de octubre de 2021, según manifestó ***EMPRESA.1 en su escrito de 25 de noviembre de 2022, para evitar que se refugiasen en otras subcontratas los trabajadores de ***EMPRESA.9, ***EMPRESA.1, procedió a cerrar los sistemas y a comunicar de forma fehaciente al resto de agentes de la zona el cierre de la campaña. VIGÉSIMO SEXTO: El 27 de octubre de 2021, según consta en el Documento 2 del escrito de ***EMPRESA.1 de 25 de noviembre de 2022, ***EMPRESA.1 recibió un correo electrónico de ***EMPRESA.9, con el siguiente contenido: “(…) Con el fin de poder identificar todos los clientes afectados, se han tomado medidas que ya se han comentado antes por teléfono; lo cual ha sido denunciados por la acción realizada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/214 En base a esto varios comerciales han decidido colaborar dando detalle indicándonos a detalle qué es lo que estaban realizando. 1. Se contactaron con el cliente y explicaban el producto, de estar de acuerdo y ser consciente con la contratación procedían con el cierre, sin embargo el cliente ponía la objeción indicando que no podían responder el sms por diferentes motivos (bloqueado para sms, no tenía móvil, no tenía batería, próximo a viajar, etc.) Lo que hacía el comercial era conseguir número de otro cliente que era de Endesa y pedían a este último que respondan el sms. 2. Por medio de internet los asesores han contratado el ***PLATAFORMA.1. Lo que han hecho los comerciales es utilizar esta herramienta para poder extraer datos, por lo que las grabaciones lo hacían con otras personas. Adjunto los usuarios de ***PLATAFORMA.1 que han usado. Cabe mencionar que nosotros en su momento pedimos esta herramienta por lo que nos negaste indicando que estaba prohibido. Adjunto usuarios que han utilizado: ***USUARIO.3 ***USUARIO.10 ***USUARIO.5 ***USUARIO.6 ***USUARIO.7 3. Otro caso ha sido clientes que por algún momento no han querido pasar textos por ser muy largos, se cansaron de recibir varias llamadas. Lo que han hecho es una simulación de ventas con otras personas y el mensaje también ha sido respondido por otros. (…)” A este correo electrónico se adjuntan cuatro imágenes: - Imagen de un anuncio de Facebook, de 17 de octubre, del usuario “E.E.E.”, con el siguiente contenido: “Se crean usuarios para campaña energía Sistema de ***PLATAFORMA.1 Para campaña energía” - Imagen de un anuncio de Facebook, de 13 de octubre, del usuario “F.F.F.”, con el siguiente contenido: “***PLATAFORMA.1 alquiler x 30 días” - Imagen de un anuncio de Facebook, de 13 de octubre, del usuario “F.F.F.”, con el siguiente contenido: “Contamos con usuario ***PLATAFORMA.1 en modo de alquiler al mes” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/214 - Imagen de un anuncio de Facebook, del usuario “C.C.C.”, con el siguiente contenido: “[varios emojis de cara de sorpresa] Si recién empiezas en el mundo de ventas para Energía España Tenemos un sistema que te ayudará en incrementar tus habilitadas y venta!!!!! Se crea usuario de #***PLATAFORMA.1 para campaña de energía España!!!!... Ver más” VIGÉSIMO SÉPTIMO: El 27 de octubre de 2021, según ha manifestado ENDESA en su escrito de 7 de octubre de 2022, un proveedor de ENDESA le alertó sobre el uso irregular que, algunos de sus asesores, habían realizado con ciertas credenciales de acceso a ***HERRAMIENTA.1 que habían adquirido de manera irregular. En esta comunicación se identifican cinco usuarios de ***HERRAMIENTA.1 comprometidos que fueron identificados por la empresa subcontratista del proveedor de ENDESA. En el documento número 3 que acompaña al citado escrito, se observa un correo electrónico recibido por ENDESA el 27 de octubre de 2021 en el que se indica: “Por medio de Internet los asesores han contratado el ***PLATAFORMA.1. Lo que han hecho los comerciales es utilizar esta herramienta para poder extraer datos, por lo que las grabaciones lo hacían con otras personas. (…) Adjunto usuarios que han utilizado: ***USUARIO.3 ***USUARIO.10 ***USUARIO.5 ***USUARIO.6 ***USUARIO.7 VIGÉSIMO OCTAVO: El 27 de octubre de 2021, según consta en el Documento 1 y 2 del escrito presentado por ENDESA el 3 de julio de 2023 en respuesta a requerimiento de esta Agencia, ***EMPRESA.1 envió una carta certificada a ***EMPRESA.9, con el siguiente contenido: “(…) En fecha 19 de Octubre de los corrientes, el ***PUESTO.1, G.G.G., le remite un correo electrónico en el que le advierte que se estaban detectado en varios clientes, suplantaciones de identidad, puesto que los teléfonos y grabaciones no coincidían con el cliente contratado y que se suspendía cautelarmente, la campaña de venta para iniciar una auditoría y esclarecer los hechos, junto con Endesa Energía. En este momento y todavía sin haber podido determinar el número exacto de ventas fraudulentas por lo laborioso que está resultando, le comunico, en la representación que ostento, el cierre definitivo con efectos 19 de Octubre, de la campaña de venta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/214 para de contratos de suministro de Endesa Energía y todo ello, de acuerdo con el clausulado del contrato suscrito entre las partes. (…)” VIGÉSIMO NOVENO: El 28 de octubre de 2021, según consta en el Documento 5 del escrito de ***EMPRESA.1 de 25 de noviembre de 2022, ***EMPRESA.1 envió una comunicación certificada electrónica a ***EMPRESA.9, con el siguiente contenido: “(…) En fecha 19 de Octubre de los corrientes, el ***PUESTO.1, G.G.G., le remite un correo electrónico en el que le advierte que se estaban detectado en varios clientes, suplantaciones de identidad, puesto que los teléfonos y grabaciones no coincidían con el cliente contratado y que se suspendía cautelarmente, la campaña de venta para iniciar una auditoría y esclarecer los hechos, junto con Endesa Energía. En este momento y todavía sin haber podido determinar el número exacto de ventas fraudulentas por lo laborioso que está resultando, le comunico, en la representación que ostento, el cierre definitivo con efectos 19 de Octubre, de la campaña de venta para de contratos de suministro de Endesa Energía y todo ello, de acuerdo con el clausulado del contrato suscrito entre las partes. (…)” TRIGÉSIMO: El 2 de noviembre de 2021 fue desactivado ***EMPRESA.9 como proveedor en los sistemas de ENDESA, según consta en el Documento 3 del escrito presentado por ENDESA el 3 de julio de 2023. TRIGÉSIMO PRIMERO: El 4 de noviembre de 2021, según consta en el Documento 1 del escrito de ***EMPRESA.1 de 25 de noviembre de 2022, ***EMPRESA.1 ha realizado un informe sobre la violación de la seguridad de los datos personales en cuestión, por ellos detectada el 19 de octubre de 2021. El informe indica: “(…) La brecha de seguridad puede ser clasificada como de integridad en tanto en cuanto ha habido una alteración intencionada del número de teléfono móvil del cliente utilizado para enviar el SMS de confirmación de la venta, con la finalidad de que la aceptación de la venta la realizara otra persona y, en algunos casos, también ha habido una alteración intencionada del número de cuenta bancaria del cliente. De igual forma, la brecha de seguridad puede ser considerada como una brecha de confidencialidad ya que, en algunos casos, la grabación de la llamada se realizaba con un cliente ficticio y, por lo tanto, esta persona tuvo acceso a datos personales del cliente cuya identidad estaba siendo suplantada. (…) Volumen de personas afectadas: Hay 137 operaciones de venta afectadas por contratación fraudulenta finalizada, otras 7 operaciones de venta pendientes de validación por parte de Endesa y 172 operaciones de venta que se bloquearon cuando estaban pendientes de validación por el back office de ***EMPRESA.9. Puede haber personas que se hayan visto afectadas por dos o más contrataciones fraudulentas, por lo que el número de personas afectadas será inferior al número de operaciones de venta indicadas. El número final de personas afectadas lo determinará Endesa al terminar de gesC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/214 tionar la brecha de seguridad ya que no permiten que ***EMPRESA.1 continúe colaborando con ellos en la resolución de la brecha. No obstante, los afectados son fácilmente identificables. Perfil de personas afectadas: Personas mayores de edad y hasta 65 años residentes en España clientes o potenciales clientes de Endesa. El nivel de severidad de las consecuencias para las personas afectadas puede ser considerado como alto ya que podrían enfrentarse a cortes de suministro de energía, estrés y costes adicionales. (…) La brecha de seguridad sufrida se debe a la comisión de un delito de suplantación de identidad y contratación fraudulenta por parte de la empresa ***EMPRESA.9 que puede tener consecuencias negativas para los interesados afectados. Tras el análisis realizado, se llega a la conclusión de que se debe reforzar el procedimiento de verificación de las ventas realizadas, así como procedimiento impuesto por Endesa a sus distribuidores para la contratación telefónica. Con el procedimiento impuesto actualmente existen casos en los que es difícil verificar si la identidad de la persona que dice contratar el servicio se corresponde con la que realmente está contratándolo. Por ejemplo, en una situación real, un cliente real podría solicitar que se introduzca un número de teléfono a efectos de contratación diferente al número donde se le está realizando la llamada comercial o, incluso, podría solicitar que el envío del SMS de confirmación de la venta se realice a un número diferente a donde se está realizando la llamada comercial (por ejemplo, si la llamada la está recibiendo en un teléfono fijo). Por otra parte, si la operación fuera objeto de fraude, como ha sido el caso, incluso con una llamada de bienvenida o fidelización existiría una posibilidad de que no se identificara el fraude ya que el comercial involucrado podría haber introducido un número de teléfono diferente al real del titular del contrato. Por lo tanto, entendemos que se necesitan medidas adicionales por parte de Endesa para identificar a los titulares del contrato, ya que no es posible ampliar las medidas técnicas para limitar brechas de seguridad como la sufrida teniendo en cuenta el procedimiento que como Encargado del Tratamiento ***EMPRESA.1 debe seguir a instancia del Responsable.” Actualmente la brecha de seguridad sigue gestionándose por parte de Endesa.” TRIGÉSIMO SEGUNDO: El 4 de noviembre de 2021, según consta en el Documento 8 que acompaña al escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador, ENDESA, ***EMPRESA.16 y ***EMPRESA.11 firmaron un ANEXO AL ACUERDO MARCO FIRMADO (...), por el que se dio cumplimiento al artículo 46.2.
36. c)del Reglamento (UE) 2016/679, de 27 de abril, de Protección de Datos (“RGPD”), a la Decisión de Ejecución (UE) 2021/94 de la Comisión, de 4 de junio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/214 2021, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el RGPD, en lo que a las transferencias internacionales de datos entre responsable y encargado se refiere, en el que se indica que ***EMPRESA.16 presta a ENDESA servicios de marketing telefónico y resulta necesario para ello que se subcontrate a ***EMPRESA.11, quien actuará como importador de datos. TRIGÉSIMO TERCERO: El 11 de noviembre de 2021, según consta en el Documento 7 que acompaña al escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador, ENDESA y ***EMPRESA.15 firmaron un ANEXO AL ACUERDO MARCO FIRMADO, por el que se dio cumplimiento al artículo 46.2.
37. c)del Reglamento (UE) 2016/679, de 27 de abril, de Protección de Datos (“RGPD”), a la Decisión de Ejecución (UE) 2021/94 de la Comisión, de 4 de junio de 2021, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países de conformidad con el RGPD, en lo que a las transferencias internacionales de datos entre responsable y encargado se refiere. TRIGÉSIMO CUARTO: El 19 de noviembre de 2021, según consta en el Documento número 8 del escrito de ENDESA de 11 de noviembre de 2022, se reseteó o deshabilitó y se procedió a su retirada y eliminación en los sistemas de ***HERRAMIENTA.1, del usuario ***USUARIO.2, asignado a ***EMPRESA.8. TRIGÉSIMO QUINTO: El 29 de noviembre de 2021, según consta en el Documento número 8 del escrito de ENDESA de 11 de noviembre de 2022, se reseteó o deshabilitó en los sistemas de ***HERRAMIENTA.1, el usuario ***USUARIO.4, asignado a ***EMPRESA.15. También el 29 de noviembre de 2021, según consta en el Documento número 1 que acompaña al escrito de alegaciones a la propuesta de resolución del presente procedimiento sancionador, se envió un correo electrónico en inglés al “***DEPARTAMENTO.5”, en el que se informa que los siguientes usuarios se han visto comprometidos y se solicita sean reseteados lo antes posible:      ***USUARIO.3 ***USUARIO.4 ***USUARIO.5 ***USUARIO.6 ***USUARIO.7 Ese mismo día, según consta en el Documento número 1 que acompaña al escrito de alegaciones a la propuesta de resolución del presente procedimiento sancionador, se envió un correo electrónico en inglés desde “***DEPARTAMENTO.5”, en respuesta al anterior, confirmando que las cuentas comprometidas habían sido reseteadas correctamente y que, para cada usuario, se había enviado un SMS con un enlace para cambiar la contraseña (para los casos en que fuera posible) y se había enviado un correo electrónico al manager de ese usuario con la información sobre que se había visto comprometido el usuario en cuestión, junto con el cambio de contraseña. TRIGÉSIMO SEXTO: El 13 de diciembre de 2021, según manifestó ENDESA en su escrito presentado el 26 de julio de 2022, se publicó el último anuncio identificado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/214 relacionado con el uso ilícito e de credenciales de la plataforma ***HERRAMIENTA.1. Y en enero de 2022 se realizó la última publicación identificada de la venta de bases de datos de clientes de electricidad y gas. No se han detectado nuevas publicaciones relacionadas con este incidente con fecha posterior a la notificación realizada el día 10 de febrero de 2022. TRIGÉSIMO SÉPTIMO: El 14 de diciembre de 2021, como consta en el Documento número 8 que acompaña el citado escrito, se recibió un correo electrónico de Facebook con el asunto “Denuncia de propiedad intelectual n.º (…)”, en el que se indica: “El equipo de Facebook ha recibido su denuncia. (…) Le recordamos que si se ha puesto en contacto con nosotros en relación con una supuesta vulneración de sus derechos legales, no tiene que realizar ninguna otra acción. Investigaremos el asunto lo antes posible. (…)”. TRIGÉSIMO OCTAVO: El 12 de enero de 2022, según consta en el Documento número 9 y 10 del escrito de ENDESA de 11 de noviembre de 2022, se procedió a la eliminación en los sistemas de ***HERRAMIENTA.2 el usuario ***USUARIO.3 y el usuario ***USUARIO.5, asignados a ***EMPRESA.12. El último acceso del usuario ***USUARIO.5 al sistema ***HERRAMIENTA.2 había sido el 25 de noviembre de 2021. El último acceso del usuario ***USUARIO.3 al sistema ***HERRAMIENTA.2 había sido el 26 de noviembre de 2021. TRIGÉSIMO NOVENO: El 17 de enero de 2022 (según consta en el documento número 8 del escrito presentado por ENDESA el 26 de julio de 2022), se publicaron anuncios por parte del usuario B.B.B., en los que existió afectación a bases de datos de clientes de energía de ENDESA. CUATRIGÉSIMO: El 31 de enero de 2022 ENDESA redactó un burofax, según consta en el Documento número 11 del escrito de ENDESA de 11 de noviembre de 2022, dirigido a ***EMPRESA.1, con el siguiente contenido: “Estimado Proveedor: Nos dirigimos a ti en relación con el Contrato Nº (…) firmado entre ENDESA ENERGÍA, S.A.U., (en adelante ENDESA ENERGÍA) y ***EMPRESA.1, (en adelante ***EMPRESA.1) y como continuación de anterior comunicación remitida por parte de esta entidad con fecha de 20 de diciembre de 2021 por medio de la que pusimos en conocimiento de ***EMPRESA.1 la aplicación de penalizaciones de conformidad con lo dispuesto en la Cláusula 12 del referido Contrato. Como es conocido por parte de ***EMPRESA.1 por parte de ENDESA ENERGÍA se han detectado, mediante la correspondiente auditoria de control de calidad conforme a lo dispuesto en la Cláusula 15.4 del Contrato suscrito, numerosas irregularidades en relación con el procedimiento de gestión de contrataciones previsto en el Anexo 2D del Contrato suscrito en el periodo comprendido entre octubre y noviembre de 2021, ambos inclusive. Tanto es así que como también es conocido por parte de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/214 ***EMPRESA.1 se han recibido diversos requerimientos de información por parte de la AEPD en relación con contrataciones gestionadas por parte de ***EMPRESA.1. En concreto y a modo recordatorio, venimos a enumerar los diversos requerimientos que hasta la fecha se han recibido en ENDESA ENERGÍA por parte de la AEPD y que tienen su origen en gestiones de contratación llevadas a cabo por parte de ***EMPRESA.1 y que ponen de manifiesto el incumplimiento de forma reiterada y continuada del Contrato suscrito y de los procedimientos establecidos en éste: (…) Ante la gravedad de las irregularidades detectadas que constituyen un incumplimiento además reiterado del Contrato suscrito, por medio del presente y sin perjuicio de la aplicación de penalizaciones que ya fue comunicada mediante misiva de 20 de diciembre de 2021 y de otras posibles que procedan de conformidad con el contrato suscrito, le informamos que es voluntad de ENDESA ENERGÍA, al amparo de lo previsto en su Cláusula 13, resolver éste con efectos la citada resolución desde la fecha de recepción de la presente comunicación.(…)” CUATRIGÉSIMO PRIMERO: El 7 de febrero de 2022, según consta en el Documento número 9 del escrito de ENDESA presentado el 7 de octubre de 2022, ENDESA envió un burofax con una comunicación escrita a FACEBOOK SPAIN S.L., el cual fue entregado el 8 de febrero de 2022, con el siguiente contenido: “(…) PRIMERO: Se ha detectado desde finales del 2021 hasta la fecha que la red social FACEBOOK se viene utilizando para prácticas fraudulentas que perjudican de forma grave los intereses de ENDESA, todas ellas relacionadas con la venta de credenciales de acceso a plataformas de gestión con datos de carácter personal. En este sentido: 1. Se han efectuado búsquedas en redes sociales y fuentes abiertas, detectando que todos los anuncios de venta de credenciales se publicitan en FACEBOOK. 2. Actualmente, se han identificado al menos un total de 10 publicaciones activas (…) 3. De todas ellas se les ha solicitado la baja sin obtener respuesta alguna y sin que conste ninguna acción al respecto. Para los anuncios con fecha de publicación más antigua esta solicitud de baja se ha efectuado en más de 10 ocasiones sin haber conseguido que se lleve a término. 4. Estos anuncios han sido publicados por 3 perfiles esencialmente: “B.B.B.”, “C.C.C.” y “D.D.D.”, siendo los dos primeros los más activos, e incluyendo sus perfiles público y marketplace (…) 5. Paralelamente, se han identificado 2 perfiles marketplace asociados a “B.B.B.” y “C.C.C.”, presumiblemente controladas por la misma persona, a las que se asocian más de 210 y 197 publicaciones, respectivamente (…). Estos anuncios son capturas de pantalla de bases d