1/28 Expediente N.º: PS/00062/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13 de abril de 2021 la Subdirección General de Inspección de Datos recibió para su valoración un escrito de notificación de brecha de seguridad de los datos personales remitido por AVALIA ARAGÓN SOCIEDAD DE GARANTÍA RECÍPROCA (en adelante, AVALIA ARAGÓN), recibido en fecha 31 de marzo de ese mismo año, en el que informa a la Agencia Española de Protección de Datos que el día 29 de marzo de 2021 se detectó una incidencia de seguridad por los empleados de la sociedad al comprobar que no podían conectarse con el servidor. Algunos de los usuarios tenían una ventana emergente con un mensaje indicando que todos los archivos estaban siendo encriptados, exigiendo un rescate de 980 dólares y ofreciendo un enlace para poder efectuar el pago. Inmediatamente se procedió a apagar todos los ordenadores y desconectar el cable de red. Junto a la notificación se aporta denuncia de los hechos ocurridos ante la Dirección General de la Policía, n.º de atestado 4506/2021. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. (...). (…). (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/28 (…): - (…) - (…) - (…) (…) Respecto de las causas que hicieron posible la brecha (…). (…). (…). Respecto de los datos afectados (…). (…). (…). (…). (…). Respecto de las medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido. - (…) - (…) - (…) - (…) (…). Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido. - (…). - (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/28 Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo (…). TERCERO: Con fecha 8 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD. Notificado el Acuerdo de Inicio, AVALIA presentó escrito de alegaciones. CUARTO: Con fecha 23 de septiembre de 2022 se formuló propuesta de resolución, proponiendo se sancione a AVALIA ARAGÓN SOCIEDAD DE GARANTÍA RECÍPROCA, con NIF A50101336, por una infracción de los artículos 5,1
- f)y 32 del RGPD, tipificadas en los artículos 83.5 y 83.4 del RGPD: CUARENTA MIL EUROS (40.000€) por presunta infracción del artículo 5.1
- f)tipificada en el artículo 83.5 RGPD. VEINTE MIL EUROS (20.000€) por presunta infracción del artículo 32 tipificada en el artículo 83.4 RGPD. QUINTO: Notificada la propuesta de resolución, AVALIA en fecha nuevo escrito de alegaciones. presenta un A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditado que (…). SEGUNDO: Consta acreditado que la brecha de seguridad (…). TERCERO: Consta acreditado que (…). CUARTO: Consta acreditado que (…). QUINTO: Consta acreditado que (…). (…): (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/28 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Con respecto a las alegaciones presentadas a la propuesta de resolución, se procede a dar respuesta a las mismas, según el orden expuesto. PRIMERA. - Respecto de la infracción que se dice del art. 32 RGPD. La AEPD considera que los siguientes hechos son subsumibles en el citado artículo (pág. 30): “En el presente caso, en el momento de producirse la brecha, consta que AVALIA ARAGON, no disponía de las medidas de seguridad razonables en función de los posibles riesgos. La brecha de seguridad se produce por malware, si bien se desconoce la vía de infección ya que no se ha detectado correo ni SMS que hubiera podido dar acceso al atacante. Todo indica que podría deberse a la falta de actualización/instalación del antivirus en alguno de los equipos del responsable o indebida configuración del firewall del sistema. Parece obvio que el acceso por el atacante a los datos se hizo posible porque no estaba implementado un control de acceso robusto al sistema, siendo evidente que no se han tomado las medidas para hacer ilegibles estos datos por terceros.” La descripción que se hace de los hechos, para entender que AVALIA habría incurrido en una conducta susceptible de sanción, resulta vaga, imprecisa y contradictoria con el sentido e interpretación consolidada del propio art. 32 en que se basa. Se nos dice que mi mandante no disponía de las medidas de seguridad que habrían resultado razonables pero no nos dice qué medidas, distintas de las que ya estaban implementadas, deberían haber tenido, para, a continuación, a pesar de no haberse detectado el origen de la brecha, afirmar, en condicional (“podría deberse”), que los sistemas de antivirus y firewall no estaban C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/28 actualizados, cuando se ha aportado prueba documental suficiente que acredita que tales barreras estaban correctamente implementadas y actualizadas en la empresa. ¿Acaso mantiene la AEPD que nuestro proveedor de estos servicios miente cuando en su informe afirma que instaló los sistemas y que estaban actualizados? Se ha traído, como decíamos, a este procedimiento la siguiente documentación: o Informe del proveedor Grupo (…). O Mapa de estructura de red. O Plan de acción para la adaptación al RGPD de 2018 realizado por el despacho Elece Legal que adjuntaba a su vez el correspondiente análisis de riesgos y medidas de seguridad de la empresa a esa fecha. O Nuevo análisis de riesgos y medidas de seguridad realizado en el ejercicio 2019. O Comunicación de la política de uso de medios electrónicos. O Informe de auditoría interna del sistema de gestión de protección de datos personales realizada en 2020. O Justificantes de las sesiones formativas realizadas a los empleados de AVALIA en relación con compliance y protección de datos en 2018, 2019, 2020 y 2021. O Facturas de los despachos Elece Legal y ECIJA correspondientes a las sesiones de formación referidas. O Facturas del proveedor de sistemas informáticos correspondientes a la implantación de los sistemas y gestión de datos. A saber, los que describe la propuesta: ▪ (…) ▪ (…) ▪ (…) ▪ (…) ▪ (…) ▪ (…). Ahora, vista la propuesta en la que se llega a afirmar, sorpresivamente, que “no se tiene constancia de la implantación” de las medidas de seguridad indicadas previas al ataque, aportamos como Documento 1, nuevo informe del proveedor Grupo (…), de ampliación del ya presentado de abril de 2022, en el que se detalla, aún más si cabe, los sistemas que estaban implementados antes del ataque y las medidas aplicadas con posterioridad. En cuanto a las previas,indica: • Infraestructura física: (…). • Máquinas Virtuales: (…): controlador de dominio, servidor de ficheros y de escritorio remoto (…): es el servidor que aloja el programa de gestión y la base de datos. Las actualizaciones del sistema operativo de las máquinas virtuales se instalan de forma automática y periódica dependiendo de las fechas en las cuáles C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/28 Microsoft libera dichas actualizaciones. También tenían y tienen instalado (...)desde el 28 de enero de 2016, renovándose anualmente la licencia, conforme se acredita con las facturas acompañadas a este informe y actualizándose automáticamente, sin necesidad de intervención técnica por parte de (...), dependiendo de las fechas en las cuáles (...) liberaba las actualizaciones. La configuración indicada se mantiene en la actualidad, ya que Microsoft no ofrece otras opciones distintas de activar o desactivar las actualizaciones. Los antivirus de los equipos estaban todos actualizados. Se adjuntan partes de trabajo y facturas relativas a los mismos. El antivirus detectó, pero no fue capaz de detener el virus. No hay LOGs que puedan demostrarlo, ya que dichas máquinas virtuales se montaron instalado todo desde cero. • RED Las 3 sedes cuentan con firewall Sophos desde 27 de diciembre de 2018, actualizándose / renovándose la licencia cada 3 años, tal y como demuestra la factura adjunta en el documento. Los firewalls se encargan de encriptar las conexiones entrantes y salientes. Zaragoza, central: (…). Teruel: (…). Huesca: (…). El antivirus detectó, pero no fue capaz de detener el virus. Hay configuradas conexiones (...) entre las 2 sedes y Zaragoza. Aparte está la (...), cuyos datos de acceso están sincronizados con (...). Las actualizaciones de los firewalls se hacen de forma manual por personal técnico de (...) en base al mantenimiento de informática, que el cliente tiene contratado. Los firewalls ofrecen una protección perimetral y una conexión segura y encriptada entre las conexiones (...) e (...), es decir se encargan de encriptar las conexiones entrantes y salientes. Inmediatamente tras el incidente, nos personamos en AVALIA y auditamos los LOGs de los firewalls no detectando ningún tráfico inusual, razón por la que no procedimos a registrar los resultados de la auditoría de los mismos. En la actualidad, no se dispone de ningún LOG de los firewalls, ya que dichos LOGs se almacenan en una memoria volátil, lo que implica que, en un reinicio por mantenimiento, se pierdan. Se adjuntan partes de trabajo y facturas que demuestran la renovación del soporte y revisión de los firewalls antes y después del incidente. • Usuarios/equipos/unidades de red Los equipos y los usuarios pertenecían al dominio de AVALIA.LOCAL. Las contraseñas de los usuarios debían cumplir las siguientes características: longitud de 8 caracteres con letras números y símbolos y una caducidad periódica de 30 días. El acceso a las unidades de red estaba controlado a través de una estructura de permisos. Actualmente no se puede sacar ninguna constancia de la configuración anterior, ya que, aunque la estructura y nombre se hayan mantenido, las máquinas virtuales son nuevas y hay un dominio nuevo, debiéndose borrar las máquinas encriptadas para instalar unas nuevas. Los equipos tenían y tienen instalado el antivirus (…). Las actualizaciones de sistema operativo y antivirus se instalan de forma automática, sin necesidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/28 intervención técnica, dependiendo de las fechas en las cuáles se liberaban dichas actualizaciones por el proveedor. • Copias de seguridad Disponían de una copia completa en local con 18 puntos de restauración. Esta copia se hacía en un NAS Synology. Dicho NAS estaba protegido por contraseña, la cual el cliente desconocía. Las actualizaciones de los NAS se instalaban de forma automática y periódicamente dependiendo de las fechas de liberación de dichas actualizaciones. Aparte de las copias en local, tenía contratado un servicio de backup Online sólo de la base de datos con (...). El citado informe acompaña las facturas y partes de trabajo o albaranes indicados en el mismo como anexo a propio informe. Por lo tanto, ni es “obvio” ni es “evidente” - palabras con las que concluye esta Agencia su razonamiento - que no se implantaran sistemas de control de acceso robustos con anterioridad al incidente salvo que, como decimos, se mantenga por esta Administración que el proveedor miente y que, incluso, a la vista de las facturas y albaranes aportados, se ha incurrido en falsedad documental. Tampoco la argumentación de esta Agencia de que la implantación de medidas posteriores demuestra que las anteriores no eran suficientes puede resultar acogida. Resulta simplista ya que no entra a valorar las medidas concretas y sanciona contradictoriamente la diligencia en lugar de promoverla. Diligencia que, además, podríamos afirmar que es poco menos que intuitiva a tenor de lo que dispone el art. 32: adecuadas al estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, asíí́ como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Las empresas españolas agradecerían la publicación por la Agencia de unos criterios claros sobre qué medidas deben implementar para evitar las sanciones tras sufrir un ciberataque; si bien se entiende que no se haga, con base en que el propio art. 32 deja la decisión sobre las concretas medidas a implantar como adecuadas a la auto-responsabilidad empresarial; a su capacidad de planificar sus recursos económicos en virtud del estado de la técnica y al riesgo concreto valorado por la misma. A falta de ello, mi mandante, aun no siendo obligatorias, lleva desde 2018 realizando auditorias periódicas que evalúan su riesgo concreto y le recomiendan las medidas de seguridad a implementar. Y las había cumplido a rajatabla antes del ciberataque. Cierto es que, con posterioridad al ciberataque ha aplicado otras medidas, pero no se implementaron para reforzar las ya existentes por considerarlas débiles. Debe ser conocido por la Agencia que, dentro de los parámetros para identificar y valorar los riesgos, resulta esencial el hecho de que el riesgo en cuestión se haya producido o materializado. Tras la producción de un riesgo que en lugar de ser potencial pasa a materializarse como real, la buena práctica empresarial en seguridad de la información es, precisamente, implantar soluciones que refuercen la seguridad o minimicen el riesgo. Partiendo siempre de que el riesgo cero, no existe y de que siempre va a haber en el mercado medidas de seguridad susceptibles de implantarse. ¿Debemos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/28 pensar entonces que siempre son sancionadas las empresas que sufren un ciberataque, se esfuercen lo que se esfuercen por asegurar su información y cumplir? Las soluciones implantadas en AVALIA con posterioridad al ciberataque se diseñaron nuevamente con base en las recomendaciones del proveedor de sistemas informáticos en aras a minimizar el riesgo de que se vuelva a producir un incidente semejante y fundamentado en un nuevo valor del riesgo, al haberse materializado. El informe que se acompaña a este escrito de alegaciones (Doc.1), incide respecto de las medidas aplicadas, lo siguiente: La infraestructura física, esquema de red, equipos, firewalls, host físico sigue siendo la misma. Los equipos que tenían (…) se actualizaron a (…) y los que más afectados se vieron se formatearon. • Host físico Se instaló la última versión certificada por (...), para dicho dispositivo. • Máquinas virtuales Se instalaron desde cero manteniendo la misma versión del sistema operativo y desplegando un nuevo dominio, que es (...). Se implementaron varias políticas de grupo para reforzar lo máximo que se pueda, el acceso al sistema. Se adjuntan las (...) aplicadas a los equipos, usuarios y servidores. (…). Se cambiaron las contraseñas de los firewalls, (...), dominio, correo electrónico, equipos y nombre de usuario de todas las sedes. Los firewalls están actualizados a la última versión de firmware que admiten. Lo mismo pasa con los (...), sistemas operativos de los equipos y servidores. Se sigue manteniendo la misma versión de antivirus. Las actualizaciones son automáticas y se instalan de forma periódica. El acceso por (...) se hace con el usuario de dominio de cada usuario. • Copias de seguridad Aparte de las copias de seguridad en local y la copia de la base de datos con (...), se ha contratado copias de seguridad en la nube de todas las máquinas virtuales. Dichas copias están encriptadas antes de salir y los datos son inaccesibles. Las medidas adoptadas después no se implementaron para reforzar las ya existentes, sino que se diseñaron nuevamente para cumplir parte de las recomendaciones por el esquema nacional de seguridad y adaptarlas de la mejor manera posible para evitar que se vuelva a producir el incidente. Están adjuntas las políticas de grupo que demuestran las medidas implementadas. Plan de copias actual Actualmente tienen 2 máquinas virtuales: (...). En la nube se realiza copia de estas dos máquinas con repositorio de 12 días. (...) de otro proveedor para hacer copias, pero desconocemos la configuración. No existe servidor de replicas. Importante, mi mandante no está obligada a implementar el esquema nacional de seguridad. Toda la inversión en sistemas y seguridad de los mismos viene derivada de sus políticas de mejora continua, como ha quedado demostrado y como se acredita con el hecho de que, todavía ahora en 2022, se continúa invirtiendo en adecuar los procesos de información de AVALIA (que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/28 evolucionan) a los constantes cambios que la tecnología y medidas de seguridad ofrecen. Obviamente, todo ello, de una forma proporcional a los recursos de AVALIA, a su capacidad de planificar sus inversiones y al riesgo valorado. Constan adjuntas al informe aportado ahora como documento nº 1 las políticas de grupo que demuestran las nuevas medidas implementadas. En contestación a lo alegado, esta Agencia insiste en lo ya expuesto anteriormente. Inicialmente, en el informe de actuaciones previas de investigación se concluye lo siguiente: “…(…). En relación con este factor, en las alegaciones a la propuesta de resolución el reclamado ha aportado un informe que contiene unas facturas y “partes de trabajo” fechados en febrero de 2021, que incluyen conceptos relativos a la actualización del antivirus. En primer lugar, extraña que dicha documentación no haya sido aportada en los momentos procedimentales oportunos, en que se debatían los hechos producidos. Particularmente, los documentos no han sido aportados ni durante los requerimientos efectuados por la inspección durante la realización de las actuaciones previas de investigación; ni tampoco cuando se le notificó el acuerdo de inicio del presente expediente sancionador, que es el momento en que se dilucidan los hechos. A la vista de la mencionada documentación, no podría considerarse acreditado que el antivirus no estuviera actualizado, ya que el parte trabajo aportado lleva fecha anterior a la producción de la brecha de seguridad. En todo caso, no puede dejar de señalarse que el reclamado no ha aportado información alguna que acreditase aspectos fundamentales relativos a dicho software, como la adecuación del mismo a los riesgos de ciberataque, la correcta configuración del mismo o si las personas que tenían que monitorizarlo hicieron caso al aviso que daba el antivirus cuando se produjo. Asimismo, en el informe de actuaciones previas se señala que, aunque el reclamado indica que “(…). (…).” En relación con la seguridad en el acceso, en el informe adjunto a las alegaciones a la propuesta, se afirma lo siguiente: “(…).” De acuerdo con todo lo expuesto, pueden obtenerse dos conclusiones, según las propias afirmaciones del reclamado: - Por una parte, se desconoce la vía de infección. Es decir, el reclamado no solo no fue capaz de detener el ataque, sino que además desconoce el modo en que la infección se produjo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/28 - Por otra, a pesar de que el virus fue detectado, el sistema fue incapaz de detenerlo Estos factores confirman la afirmación del inspector, contenida en el informe de actuaciones previas, esto es, que no estaba implantado un sistema de control de acceso robusto. Además, no puede dejar de insistirse en la escasez de explicaciones y documentación aportada por el reclamado antes y durante la tramitación de este expediente sancionador. No puede olvidarse que conforme al artículo 5.2. del RGPD, “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).”. En relación con este aspecto: - No se ha aportado documentación relativa a la idoneidad y configuración del software del antivirus - En cuanto a auditoría practicada tras la brecha, el propio reclamado afirma (de nuevo en el informe adjunto a las alegaciones a la propuesta) que “(…).” No resulta de recibo que, dada la entidad del ciberataque, no se hayan conservado los logs. Dada la “volatilidad” de la memoria, podrían haberse extraído y conservado en un lugar no volátil para poder auditarlos después. Asimismo, como se observa, se afirman que auditaron los LOGs de los firewalls no detectando ningún tráfico inusual, razón por la que no procedieron a registrar los resultados de la auditoría de los mismos. Este factor tampoco es de recibo ni es compatible con el deber de los responsables del tratamiento de estar en condiciones de acreditar el cumplimiento de la normativa. En todo caso, la ausencia de suficientes medidas de seguridad queda constatada por el hecho de que no se habían implementado medidas de seguridad para hacer ilegibles los datos por terceros en supuestos de extracción (los archivos no se encontraban encriptados) lo que facilitó su posterior difusión. Este hecho es constatado por el inspector cuando afirma en el informe de actuaciones previas que “parece obvio que no estaba implementado un control de acceso robusto al sistema, además es evidente que no se han tomado las medidas para hacer ilegibles estos datos por terceros.” El inspector llega a la conclusión del hecho de que los datos fueran publicados en la Deep Web. Consta en el expediente que el día 31 de marzo, la sociedad Aragonesa de Servicios Telemáticos notifica al responsable que habían encontrado en la Deep Web los archivos correspondientes a 12 expedientes que el responsable guardaba en su servidor, por lo que se sospecha en ese momento que junto con el incidente de falta de disponibilidad ha podido existir un incidente de falta de confidencialidad. Asimismo, consta que con fecha 18/04/2021, el proveedor de servicios informáticos de Avalia informa de la publicación posterior en la Deep Web de alrededor de 7 gigas de información contenida en archivos de clientes y empleados de Avalia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/28 Una medida como el encriptado de archivos habría evitado la publicación de los datos, toda vez que habría sido inútil al ser estos ilegibles. Esto acredita la insuficiencia de las medidas de seguridad establecidas. SEGUNDA.- Respecto de la infracción del art. 5.1.) del RGPD. Indica la propuesta notificada a este respecto como conducta subsumible en esta infracción: “En el presente caso, consta que los datos personales de los afectados, obrantes en la base de datos de AVALIA ARAGON, fueron indebidamente expuestos a terceros; ya que la información correspondiente a doce expedientes de la sociedad ha sido divulgada mediante su publicación por los atacantes en la Deep web. La información publicada en la Deep Web contiene principalmente la documentación solicitada a clientes (personas jurídicas) para el estudio de sus solicitudes de aval. Es decir, escrituras de constitución de sociedades, cuentas anuales, datos declarados por la empresa sobre su situación de endeudamiento y titularidad real de la empresa. En algunos casos la información filtrada contiene datos identificativos de las personas representantes legales de las empresas clientes, como firmantes de los anteriores documentos indicados (nombre, apellidos, DNI y domicilio), así como también en los casos en los que se articula garantía, los datos identificativos (nombre, apellidos, domicilio y DNI) y económicos (declaraciones de IRPF), de las personas físicas fiadoras de estas. AVALIA ha podido detectar también que, entre la información publicada en la Deep Web existe: - Algunas resoluciones judiciales de procedimientos de reclamación de deuda instados por AVALIA frente a sus deudores (personas jurídicas y sus fiadores) - Algunas actas de órganos de decisión de AVALIA (Órgano de administración y comités internos) de la sociedad, que contienen el nombre y apellido de los asistentes - Datos de los empleados de AVALIA, contenidos en una serie de archivos que contenían nóminas (nombres, apellidos, domicilios, DNI).” Pues bien, lo primero que hay que puntualizar, ya que la AEPD no lo hace, es que los datos personales inherentes a los documentos publicados en la Deep Web no son datos, en ningún caso, de los denominados especialmente protegidos o de categoría especial, y se corresponden prácticamente en un 90%, bien a datos de personas jurídicas, bien a personas físicas representantes o contactos de aquellas. Sentado ello, la Administración no realiza ninguna discriminación entre la distinta tipología de datos expuestos como consecuencia del incidente y, por lo tanto, desconsidera que, prácticamente todos los relacionados están a disposición de CUALQUIERA a través de registros públicos como el Registro Mercantil; o el Registro de Titularidades Reales; o plataformas de información mercantil tipo einforma o axesor que muestran información societaria, incluidas las deudas contraídas por una sociedad con todo lujo de detalles como las referencias a concretos procedimientos judiciales en los que se hayan inmersos; o la propia plataforma del Consejo General del Poder Judicial a efectos de resoluciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/28 Efectivamente, en el Registro Mercantil se puede obtener todos los detalles de constitución de una empresa en cuanto a su capital social, administradores, depósito de cuentas e incluso estatutos, así como datos notariales de la escritura de constitución. Para ello basta con solicitar por internet la información, previo pago de un módico precio. En definitiva, en el Registro Mercantil se puede ya obtener la mayoría de los datos que constan en los documentos que se habrían publicado en la Deep Web. Además, en el BORME se accede gratuitamente a los datos jurídicos y económicos de las sociedades y demás personas que se inscriben en el mismo, de forma que puedan ser conocidos por quienes contratan con ellos, contribuyendo a la seguridad del tráfico jurídico mercantil. Incluso cuenta con una sección de anuncios y avisos legales donde consta la información correspondiente a anuncios del Registro Mercantil Central, balances, convocatorias de Juntas, fusiones y absorciones de empresas, escisión de empresas, declaraciones de insolvencia, disolución de empresas, cesión de empresas, reactivación de empresas, transformación de empresas, aumento de capital, reducción de capital, pérdida de certificación… etc Por otro lado, existe igualmente un Registro de Titularidades Reales en el que se puede obtener fácilmente cualquier información relativa a uno de los datos más significativos de una sociedad: el verdadero propietario de la empresa. Y aunque así no fuera, las sociedades de información tipo, como decíamos, einforma o axesor, ofrecen la evolución de la figura del administrador (nombre, apellidos y DNI) y apoderados en cada sociedad, pero, además, el tracto de los cambios en los socios y apoderados de cualquier mercantil. Dato que, es verdad, no ofrece el Registro Mercantil. Lo cierto es que estas empresas publican datos bastante detallados de las mercantiles hasta el punto de plasmar en sus informes la ratio de insolvencia con indicación detallada de los procesos judiciales o administrativos – con referencias exactas - en los que ha intervenido la mercantil. ¿Las resoluciones judiciales? Constan prácticamente todas colgadas en la web www.poderjudicial.es Además, la especial condición de AVALIA, en tanto que sociedad de garantía recíproca cuyos recursos propios provienen en parte del Gobierno de Aragón, implica que esté sujeta a mayores controles de transparencia, y que, mucha de la documentación correspondiente a su gestión deba ser pública o estar al menos al alcance de todo aquel que desee conocerla. Por otro lado, la composición de su órgano directivo está publicada en su web con vínculo incluso a los CV de cada uno de sus miembros por lo que la referencia a los datos personales de los asistentes a las reuniones poca afectación puede suponerles. Es decir, la práctica totalidad de los datos publicados están al alcance de cualquiera sin necesidad de sufrir un ciberataque. Y el resto, no han sido considerados como determinantes por sus titulares puesto que absolutamente ninguna reclamación se ha formulado contra AVALIA en este tiempo. Y no porque no se haya informado a los usuarios de ello o a los empleados, pues se publicó la noticia en el Heraldo de Aragón el día (…). En contestación a lo alegado, esta Agencia debe resaltar que el artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/28 “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En dicho artículo; en ningún momento, se hace referencia a datos personales especialmente protegidos o de categoría especial y en el presente caso, consta acreditado que los datos personales de los afectados, obrantes en la base de datos de AVALIA ARAGON, fueron indebidamente expuestos a terceros; ya que la información correspondiente a doce expedientes de la sociedad ha sido divulgada mediante su publicación por los atacantes en la Deep web. En consecuencia, es evidente que no se ha garantizado una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito de los mismos. (…). (…): - (…) - (…) - (…) En cuanto a la información publicada en el Registro Mercantil; o el Registro de Titularidades Reales; o plataformas de información mercantil tipo einforma o axesor a la que se hace referencia debemos resaltar que el Registro Mercantil publica los datos jurídicos y económicos de las sociedades y demás personas que se inscriben en el mismo, de forma que puedan ser conocidos por quienes contratan con ellos, contribuyendo a la seguridad del tráfico jurídico mercantil así como el Registro de Titularidades Reales (en adelante RETIR) que es un Registro Público, que a cargo de los Registradores Mercantiles, en el que se hace constar y se actualiza la información completa sobre las titularidades reales de las personas jurídicas. En consecuencia, estamos hablando de Registros Públicos y en este sentido debemos mencionar el artículo 222.6 del Decreto de 8 de febrero de 1946 por el que se aprueba la nueva redacción oficial de la Ley Hipotecaria, en el que se establece que “…Los Registradores, al calificar el contenido de los asientos registrales, informarán y velarán por el cumplimiento de las normas aplicables sobre la protección de datos de carácter personal…” Del mismo modo, la información que se ofrece en las plataformas de información mercantil se nutre de la información publicada en los registros públicos actos jurídicos de obligada inscripción para tener efectos jurídicos frente a terceros. A efectos de ejemplo, podemos señalar que en el Registro Mercantil constará la fecha de inscripción de la escritura de constitución de las mercantiles, así como datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/28 relativos al propio acto de constitución; si bien, no se tendrá acceso a la escritura de constitución de la mercantil. En cuanto a la publicación de las resoluciones judiciales, el art 266 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial establece que : “1- Las sentencias, una vez extendidas y firmadas por el juez o por todos los Magistrados que las hubieren dictado, serán depositadas en la Oficina judicial y se permitirá a cualquier interesado el acceso al texto de las mismas. El acceso al texto de las sentencias, o a determinados extremos de las mismas, podrá quedar restringido cuando el mismo pudiera afectar al derecho a la intimidad, a los derechos de las personas que requieran un especial deber de tutela o a la garantía del anonimato de las víctimas o perjudicados, cuando proceda, así como, con carácter general, para evitar que las sentencias puedan ser usadas con fines contrarios a las leyes.” Es más, puede ocurrir que se haya obtenido una resolución judicial legítimamente, pero ello no otorga el derecho a su divulgación y publicidad a terceros. Por esta Agencia Española de Protección de Datos se ha reconocido dictándose que las sentencias no son públicas, ni se publican para general conocimiento. Así, el Consejo General del Poder Judicial, disponiendo en el Acuerdo de 18/06/1997, por el que se modifica el Reglamento número 5/1995, de 7/06, regulador de los aspectos accesorios de las actuaciones judiciales, como apartado 3 del nuevo artículo 5 bis del Reglamento, indica que: “En el tratamiento y difusión de las resoluciones judiciales se procurará la supresión de los datos de identificación para asegurar en todo momento la protección del honor e intimidad personal y familiar”. Una medida eficaz para la publicación de sentencias judiciales sin afectar al derecho a la protección de los datos de las personas que en ellas aparezcan, será la anonimización de sus datos personales. De esta forma las personas no son identificables y se publicarán las resoluciones judiciales que puedan ser de interés por su efecto en los actos que se enjuician. Con independencia de lo anterior, es diferente la publicidad que pueda procurarse a través de los distintos registros públicos, que tienen sus normas de acceso, del hecho de que, como consecuencia de una brecha de seguridad, hayan quedado expuestos los datos personales contenidos en documentos cuya custodia y medidas de seguridad corresponden al reclamado, y que no deben quedar expuestos para ser accedidos a través de mecanismos ajenos a la normativa de protección de datos. Por lo demás, independientemente de dónde se encuentren publicados los datos personales, AVALIA como responsable del tratamiento está obligado a cumplir con el RGPD y sus obligaciones. El hecho de que otros publiquen esos datos o que estos se hayan publicado en la deep web no hace decaer sus responsabilidades como responsable del tratamiento que es lo que examinamos en este procedimiento. TERCERO. - Respecto a las atenuantes aplicadas a cada uno de los tipos. La AEPD únicamente considera aplicable UNA atenuante en los tipos indicados, en virtud de lo dispuesto en el art. 83.2.C) RGPD, la adopción de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/28 medidas tomadas para paliar los daños y perjuicios sufridos por los interesados, refiriéndose expresamente a las siguientes: o Impedir el acceso al origen de la divulgación: auditando la seguridad de dominios, puertos, servidores, equipos informáticos, conexiones remotas, verificación de la puntual actualización del software de detección, bloqueo de tráfico, deshabilitar dispositivos, servidores, etc. o Suspensión de las credenciales lógicas y físicas con acceso a información privilegiada. o Cambio de todas las contraseñas de usuarios. o Vigilar la difusión de los documentos/datos filtrados en la Deep Web y de comentarios y reacciones de usuarios en redes sociales (Twitter). Omite entre estas medidas la ya mentada noticia del Heraldo de Aragón apenas una semana después del incidente, noticia que, evidentemente, podría ser susceptible de perjudicar la reputación de AVALIA frente a terceros. No olvidemos que la reputación, para una sociedad de garantía recíproca, es uno de sus mayores activos en tanto que uno de sus objetivos publicitarios es la generación de confianza en aquellos que recurren a sus servicios. Esta acción, sin duda, podría haber paliado daños pues los usuarios estuvieron rápidamente advertidos de cualquier comportamiento inusual en sus cuentas y negocios. A este respecto, debe aclararse que la atenuante de las actuaciones tendentes a paliar daños y perjuicios ya ha sido valorada a efectos de reducir la cuantía de la sanción. Pero es que, además, obvia la AEPD aplicar la concurrencia de otras atenuantes que claramente se dan en este caso. Véase los siguientes apartados del mismo art. 83.2 RGPD:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; La Agencia relativiza la no existencia de reclamaciones formuladas contra mi mandante, pero ello es signo inequívoco de que no se han causado daños y perjuicios reales a aquellos cuyos datos fueron filtrados a la Deep Web. No existe otro modo de cuantificarlos y es imposible probar lo inexistente. ¿Cómo propone la Agencia que lo probemos? En relación con esta alegación es preciso señalar que el hecho de que no haya habido reclamaciones no resta gravedad al incidente. La gravedad no se mide por las reclamaciones, sino por los hechos y la falta de medidas. En todo caso, también debe resaltarse que esta circunstancia no se ha apreciado como agravante.
- b)la intencionalidad o negligencia en la infracción; No hay intencionalidad ni mucho menos negligencia. Mi representada ha acreditado, sin ningún género de dudas, que tenía implementados sistemas suficientemente robustos como para evitar un ciberataque, según se constató en el informe del proveedor de servicios informáticos en su día, y se confirma con el aportado junto con este nuevo escrito de alegaciones, en ampliación del anterior: A) Medidas técnicas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/28 (…) (…) (…) (…). B) Medidas organizativas: (…) (…): (…) (…) (…) (…) (…) Es importante señalar que, en el apartado 6.2.2.1 de dicho informe de auditoría se evidencian las medidas organizativas y registros de auditoría que AVALIA disponía en su sistema de gestión de protección de datos a la fecha del informe. o Se controlan, gestionan e implementan las medidas técnicas y organizativas adaptadas a la tipología y categoría de los datos personales tratados, finalidades y soportes. o La situación actual de AVALIA en relación con el nivel de cumplimiento de la legislación vigente en materia de datos personales respecto de sus instalaciones y tratamiento, es FAVORABLE, con la salvedad de subsanar las NC y aplicar las recomendaciones u OM evidenciadas, lo que deberá adoptarse para acabar de adecuarse al Reglamento Europeo de Protección de Datos. Es importante señalar que las dos únicas no conformidades identificadas en dicho informe fueron subsanadas, resultando las observaciones de mejora planificadas si bien, la difícil situación vivida durante la pandemia propició que las prioridades de planificación de mejora se modificasen, debiendo tenerse en cuenta también que, en marzo de 2021, cuando se produjo el incidente, nos hallábamos en pleno estado de alarma con las dificultades que ello supuso para toda organización mercantil. • AVALIA viene contratando formación sobre las obligaciones de su personal con acceso a datos personales desde 2018. Así, se puede acreditar que se impartió formación en 2018, 2019 y 2021, esta última en formato vídeo que, además, ha sido incorporado a la documentación de bienvenida para nuevas incorporaciones. Insistimos en que el contenido de tales formaciones queda a disposición de la AEPD en caso de sernos requerido, y en aras a no incrementar la documentación a adjuntar dada la limitación disponible mediante presentación electrónica. No se impartió formación a los trabajadores en 2020 como consecuencia de la pandemia si bien la formación de 2019 se impartió en el mes de noviembre. • AVALIA tiene contratado a (…) como proveedor de servicios informáticos desde el año 1998. Como prueba de las inversiones recurrentes de AVALIA en la seguridad de los datos y sistemas que los soportan, aportamos en su día y hemos ampliado con más documental las facturas abonadas a dicho proveedor precisamente en el ejercicio 2021 en que se produjo el incidente. De las mismas puede desprenderse cómo AVALIA no solo tiene dicho contrato de servicios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/28 mantenimiento recurrente, sino que, por ejemplo, a cada equipo nuevo se le integraba de inmediato su correspondiente antivirus (...) (como es el caso de la factura de 10/02/21 anterior al incidente), se adquieren las licencias de Microsoft office y Azure requeridas (facturas de 31/3/21 y 12/11/21, entre otras) y, asimismo, a partir de la fecha del incidente se abonaron los correspondientes servicios y requerimientos precisos; entre ellas los cambios en los sistemas de copias de seguridad (factura de 12/5/21 y 18/5/21). Evidentemente, siempre es posible añadir más medidas de seguridad; pero lo cierto es que el RGPD, precisamente en base al principio de responsabilidad proactiva y al previo análisis de riesgos que lleve a la empresa a dimensionar sus medidas de seguridad, nos habla de aquellas medidas técnicas y organizativas “adecuadas” sin bajar al detalle de qué se puede entender por tal concepto jurídico indeterminado. Así las cosas, teniendo en cuenta la considerable inversión económica y de recursos destinada por AVALIA a proteger los datos personales que obran en sus archivos, resulta incomprensible a esta parte que no se tenga en cuenta el esfuerzo de la implementación previa, coetánea y posterior al incidente de medidas de seguridad, teniendo en cuenta, además, la ambigüedad de lo dispuesto en el art. 32 RGPD. Ya lo decíamos anteriormente. La AEPD no parece dar por cierto cuanto viene de ser expuesto, si bien la documental que se ha aportado a lo largo de la tramitación de este expediente constata tal realidad de manera que, negarlo, sería como imputar a esta parte o a su proveedor de servicios informáticos un delito de falsedad documental. No olvidemos que, ante la indeterminación de una norma, rige el principio pro administrado, principio que precisamente existe para no colocarlo en la situación de inseguridad jurídica e indefensión en que, se encuentra mi mandante que, aun implementando las medidas recomendadas por sus auditorias periódicas, resulta gravemente sancionada sin que, a la postre, se le diga qué más debería haber hecho para contentar la sed de la Administración por sancionar. En relación con esta observación es preciso señalara que la naturaleza de la falta de medidas y de los datos que han sido objeto de pérdida de confidencialidad hace que pueda ser aplicable esta agravante. Todo ello conforme se detalla en el correspondiente apartado de esta resolución, que motiva la apreciación de agravantes y atenuantes.
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; La inexistencia de reincidencia debe, necesariamente, tomarse como posible atenuante, pues es otro de los criterios que el art. 83.2 RGPD mantiene debe tenerse en cuenta. A este respecto, debe contestarse que al indicarse que se tendrá en cuenta toda infracción anterior, esta circunstancia debe ser apreciada solamente como agravante en caso de haber reincidencia. Al respecto, la Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, rec. 1437/2020, nos suministra la contestación: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/28 para la imposición de la multa administrativa, entre otras, la circunstancia "
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”.
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; La propuesta de resolución alude a que no basa su argumentación para identificar que AVALIA ha incurrido en infracción sancionable en el hecho de que haya cumplido su obligación de informar a la Agencia sobre el incidente, cuando de lo que se trata es de que, precisamente, ese puntual y escrupuloso cumplimiento por parte de AVALIA debe ser tenido en consideración como atenuante. La brecha de seguridad se produce el día 28 de marzo de 2021 (aunque se detecta al día siguiente) y tan solo dos días después, AVALIA comunicó a esta Agencia la concurrencia de este ataque tras denunciar los hechos ante la Policía Nacional. Tras esta primera comunicación, se suceden los escritos complementarios de comunicación con explicaciones y amplísima documentación en colaboración con esta AEPD los días 14/04/21 (núm. de registro O00007128e2100016649), 05/05/2021(núm. de registro REGAGE21e00006684903) y 24 de enero de 2022 (núm. de registro REGAGE22e00001710874). Nuevamente, se trata de una atenuante a tener en consideración. No todas las empresas comunican sus brechas, ni luego colaboran activamente en cuantos requerimientos se les hace por parte de esta Agencia. Que no se haya tenido en cuenta puede, sin duda, tener efectos disuasorios para aquellas empresas que, aun pretendiendo cumplir una obligación legal como la de comunicar el incidente cuando procede, ven que su estricto cumplimiento resulta despreciado por una Agencia que prefiere interpretarlo en su perjuicio con claro afán recaudatorio. Lo cierto es que resulta sumamente curioso leer o incluso escuchar las entrevistas a la Dir.ª de esta AEPD, Mar España, en las que literalmente rechaza la imagen sancionadora que se tiene de la Agencia tratando de mostrarla como un organismo colaborador, más interesado por la mejora de los sistemas internos de las empresas: “A pesar de que tenemos la imagen de agencia sancionadora, los organismos reguladores, de control y supervisión, tenemos que dar ejemplo y la misión más importante de la Agencia en un mundo digital es proteger a las personas en Internet. Por eso, la razón de ser del Plan de Responsabilidad Social es dar ejemplo en toda la parte preventiva, acompañar y facilitar herramientas.” Este expediente no es desde luego ningún ejemplo de voluntad preventiva y facilitadora, más bien resulta significativo comprobar que, lejos de premiar la voluntad empresarial de cumplimiento, esta se usa en contra de la propia empresa disuadiéndola, sin duda, de seguir invirtiendo en seguridad. En relación con esta observación, baste con indicarse que no puede ser tenido en cuenta como atenuante el cumplimiento de una obligación legal. El grado de cooperación con la Agencia tampoco puede considerarse un atenuante toda vez las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/28 brechas de seguridad son de obligada comunicación a este organismo conforme a lo dispuesto en el artículo 33 del RGPD. La consideración de la cooperación con la Agencia como atenuante, tal y como pretende la parte reclamada, no está ligada a ninguno de los supuestos en los que pueda existir una colaboración o cooperación o requerimiento por mor de un mandato legal, cuando las actuaciones son debidas y obligadas por la Ley, como en el caso que nos ocupa. a, siendo indiferente el grado de diligencia en la respuesta a los requerimientos.
- g)las categorías de los datos de carácter personal afectados por la infracción; Nos remitimos a la alegación segunda en aras a la economía. En su virtud, la categoría de datos filtrados debe ser reevaluada y tenida en consideración en atención a su verdadera naturaleza para valorar la afectación real de los usuarios personas físicas y, considerando en todo caso aquellos datos que no forman parte de la esfera de datos ya públicos o publicados; sin que, en ningún caso, los datos publicados sean de la tipología de especialmente protegidos. En cuanto a esta circunstancia, debe aclararse que no se ha tenido en cuenta como agravante. En todo caso, la naturaleza de los datos filtrados (incluyendo datos identificativos y económicos), hace que no pueda ser tenida en cuenta como atenuante. En todo caso significar que la Sentencia del Tribunal de Justicia de la Unión Europea (Gran Sala) de 1 de agosto de 2022, en el asunto C-184/20, considera la gravedad de la publicación de datos en atención al objeto acumulativo de los datos personales publicados: “101 La gravedad de esa injerencia puede aumentar más aún por el efecto acumulativo de los datos personales que son objeto de una publicación como la que tiene lugar en el litigio principal, dado que su combinación permite hacer un retrato particularmente detallado de la vida privada de las personas afectadas”. Asimismo, el Dictamen 1/15 del Tribunal de Justicia de la Unión Europea (Gran Sala) de 26 de julio de 2017 establece en el mismo sentido que “128 Por otra parte, aun cuando algunos de los datos del PNR, aisladamente considerados, no parezcan poder revelar información importante sobre la vida privada de las personas afectadas, no deja de ser cierto que, conjuntamente considerados, dichos datos pueden revelar, entre otros extremos, un itinerario de viaje completo, hábitos de viaje, relaciones existentes entre dos o varias personas así como información sobre la situación económica de los pasajeros aéreos, sus hábitos alimentarios o su estado de salud, y podrían incluso proporcionar datos sensibles sobre dichos pasajeros, tal como se define en el artículo 2, letra e), del Acuerdo previsto”. Una interpretación sistemática y teleológica del artículo 83.2.
- g)del RGPD conecta este precepto con otras clasificaciones que ofrece el texto del RGPD que, además, responden mejor a la finalidad que persigue la norma: graduar en el caso individual la multa administrativa que deba imponerse respetando en todo caso los principios de proporcionalidad y eficacia. En ese sentido, los considerandos 51 y 75 del RGPD distinguen un grupo de datos personales que, por su naturaleza, son particularmente sensibles por razón del importante riesgo que pueden entrañar, en el contexto de su tratamiento, para los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/28 derechos y libertades fundamentales. El común denominador de todos ellos es que su tratamiento comporta un riesgo importante para los derechos y las libertades fundamentales, pues puede llegar a provocar daños y perjuicios físicos, materiales o inmateriales. En este grupo o categoría de datos particularmente sensibles se incluyen las categorías de datos especialmente protegidos que regula el artículo 9 del RGPD -considerando 51 del RGPD- y, además, otros muchos datos no regulados en ese precepto. El considerando 75 del RGPD menciona con detalle los datos personales cuyo tratamiento puede entrañar un riesgo, de gravedad y probabilidad variables, para los derechos y libertades de las personas físicas como consecuencia de que pueden provocar daños y perjuicios físicos, materiales o inmateriales. Entre ellos menciona aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; (…) datos relativos a la salud o datos sobre la vida sexual, (…), en los casos en los que se traten datos personales de personas vulnerables, (…)”. De hecho, las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, indican que “En cuanto al requisito de tener en cuenta las categorías de datos personales afectadas (artículo 83, apartado 2, letra g), del RGPD), el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por lo tanto, una respuesta más estricta en términos de multas. Esto se refiere, como mínimo, a los tipos de datos contemplados en los artículos 9 y 10 del RGPD, y a los datos que no entran en el ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatos al interesado.”
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; Insistimos a lo alegado respecto al apartado f), en aras a la brevedad. Basta a este respecto con reiterar que no puede apreciarse como atenuante el cumplimiento obligación legal. La comunicación de la brecha a la Agencia no puede considerarse un atenuante toda vez las brechas de seguridad son de obligada comunicación a este organismo conforme a lo dispuesto en el artículo 33 del RGPD. La consideración de la cooperación con la Agencia como atenuante, tal y como pretende la parte reclamada, no está ligada a ninguno de los supuestos en los que pueda existir una colaboración o cooperación o requerimiento por mor de un mandato legal, cuando las actuaciones son debidas y obligadas por la Ley, como en el caso que nos ocupa
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; No estamos ante una empresa que no invirtiera y siga invirtiendo en seguridad cada año actualizando los sistemas de protección, ocupándose de la formación de su personal y realizando incluso auditorias periódicas. Tampoco estamos ante una entidad a la que se le haya ordenado previamente la implantación de ninguna medida en concreto. No cabe sancionarla, por tanto, como si nada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/28 hubiera hecho, ni por no haber atendido una orden no dada. De lo contrario, estaríamos promoviendo la inactividad de la empresa de ahora en adelante sabedora de que poco importa la inversión que se haga, pues la sanción impuesta no considera las medidas de control implementadas, cuando todo ello puede – y debe – ser considerado como atenuante y más en un caso en el que la empresa es la que ha sufrido el ciberataque. A este respecto, señalar que la circunstancia prevista en el apartado
- i)del artículo 83.2 del RGPD, no vienen referidas al cumplimiento, o no, de las medidas de seguridad suficientes, ni al supuesto en que la Administración hubiera ordenado la implantación de las mismas. Por el contrario, se refieren al posible cumplimiento de medidas correctiva que, en su caso, la Agencia hubiera podido decretar en ejercicio de las facultades previstas en el artículo 58.2 del RGPD, lo que no ha sucedido en este caso. Nada cabe apreciar, por lo tanto, a este respecto
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Tampoco vemos que se esté considerando positivamente la inversión realizada en la implementación de medidas de seguridad reforzadas tras evaluar un riesgo que pasó de potencial a real y con el fin de minimizar el riesgo de futuros ataques (nadie garantiza nunca que se puedan evitar, como la propia AEPD suele indicar en sus publicaciones). En relación con esta observación, debe señalarse que ya se han tenido en cuenta como atenuante las medidas para paliar los posibles daños, pero la futura inversión no figura como atenuante en el RGPD ni en la LOPDGDD III Artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de los afectados, obrantes en la base de datos de AVALIA ARAGON, fueron indebidamente expuestos a terceros; ya que la información correspondiente a doce expedientes de la sociedad ha sido divulgada mediante su publicación por los atacantes en la Deep web. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/28 (…). III Tipificación de la infracción del artículo 5.1.
- f)del RGPD La citada infracción del artículo 5.1.
- f)del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV Sanción por la infracción del artículo 5.1.
- f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -
- b)la intencionalidad o negligencia en la infracción; Las deficiencias detectadas en las medidas de seguridad hacen deducir la grave negligencia en la actuación por parte del reclamado. El sistema de control de acceso no era lo suficientemente robusto y, por otra parte, la ausencia de encriptado de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/28 datos hizo que con posterioridad fuera posible la difusión de los mismos a través de la Deep web. Pero no solo eso, sino que la ausencia de documentación disponible en relación con el incidente (relativa a la adecuación del antivirus; o la falta de conservación de los LOGS del firewall, o del reflejo de estos últimos en la auditoría), ha dificultado la investigación y averiguación de lo realmente sucedido. En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)] Como atenuantes: -
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; AVALIA ARAGÓN, con la finalidad de paliar los daños y perjuicios sufridos por los interesados, adoptó la medida de “-(…)”. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes:
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. AVALIA ARAGÓN es una sociedad de garantía recíproca cuya actividad principal consiste en facilitar a la pequeña y mediana empresa el acceso a créditos bancarios, mediante la presentación de avales en las entidades de crédito correspondiente. En consecuencia y a efectos de comprobar el cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
- f)del RGPD, permite fijar una sanción de 40.000 € (CUARENTA MIL EUROS). V Artículo 32 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/28 El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha, consta que AVALIA ARAGÓN, no disponía de las medidas de seguridad razonables en función de los posibles riesgos estimados. (…). Todo indica que (…). (…). Como se ha indicado en la contestación a las alegaciones, en relación con la seguridad en el acceso, en el informe adjunto a las alegaciones a la propuesta, se afirma lo siguiente: “(…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/28 De acuerdo con todo lo expuesto, pueden obtenerse dos conclusiones, según las propias afirmaciones del reclamado: Por una parte, se desconoce la vía de infección. Es decir, el reclamado no solo no fue capaz de detener el ataque, sino que además desconoce el modo en que la infección se produjo. Por otra, a pesar de que el virus fue detectado, el sistema fue incapaz de detenerlo Estos factores confirman la afirmación del inspector, contenida en el informe de actuaciones previas, esto es, que no estaba implantado un sistema de control de acceso robusto En todo caso, la ausencia de suficientes medidas de seguridad queda constatada por el hecho de que no se habían implementado medidas de seguridad para hacer ilegibles los datos por terceros en supuestos de extracción (los archivos no se encontraban encriptados) lo que facilitó su posterior difusión. Este hecho es constatado por el inspector cuando afirma en el informe de actuaciones previas que “parece obvio que no estaba implementado un control de acceso robusto al sistema, además es evidente que no se han tomado las medidas para hacer ilegibles estos datos por terceros.” El inspector llega a la conclusión del hecho de que los datos fueran publicados en la Deep Web. (…) que el responsable guardaba en su servidor, por lo que se sospecha en ese momento que junto con el incidente de falta de disponibilidad ha podido existir un incidente de falta de confidencialidad. (…). Una medida como el encriptado de archivos habría evitado la publicación de los datos, toda vez que habría sido inútil al ser estos ilegibles. Esto acredita la insuficiencia de las medidas de seguridad establecidas. VI Tipificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/28
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. VII Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -
- b)la intencionalidad o negligencia en la infracción; (…). Todo indica que (…). (…). En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/28 Como atenuantes: -
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; AVALIA ARAGÓN, con la finalidad de paliar los daños y perjuicios sufridos por los interesados, adoptó la medida de “(…)”. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes:
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. AVALIA ARAGÓN es una sociedad de garantía recíproca cuya actividad principal consiste en facilitar a la pequeña y mediana empresa el acceso a créditos bancarios, mediante la presentación de avales en las entidades de crédito correspondiente. En consecuencia y a efectos de comprobar el cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar una sanción de 20.000 € (VEINTE MIL EUROS). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AVALIA ARAGÓN SOCIEDAD DE GARANTÍA RECÍPROCA, con NIF A50101336, - Por una infracción del Artículo 5.1.
- f)del RGPD, una multa de CUARENTA MIL EUROS (40.000€) - Por una infracción del artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de VEINTE MIL EUROS (20.000€) SEGUNDO: NOTIFICAR la presente resolución a AVALIA ARAGÓN SOCIEDAD DE GARANTÍA RECÍPROCA. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/28 Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es