PS-00084-2023

1/197  Expediente N.º: EXP202306260 Expediente N.º: PS/00084/2023 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ÍNDICE ANTECEDENTES.......................................................................................................... 4 PRIMERO: Notificación de brecha de datos personales............................................ 4 SEGUNDO: Nueva notificación ampliando información............................................. 5 TERCERO: Actuaciones previas de investigación...................................................... 6 Cronología del incidente......................................................................................... 9 Naturaleza del incidente....................................................................................... 10 Consecuencias de la brecha de seguridad........................................................... 12 Medidas de reacción al incidente.......................................................................... 13 Medidas de seguridad implantadas con anterioridad............................................ 14 Medidas de seguridad implantadas tras el incidente............................................. 26 Número de afectados, categorías de los datos personales expuestos y uso posterior................................................................................................................ 28 Comunicación a los afectados.............................................................................. 30 CUARTO: Volumen de negocios.............................................................................. 33 QUINTO: Acuerdo de inicio de procedimiento sancionador...................................... 33 SEXTO: Alegaciones al acuerdo de inicio................................................................ 33 1.- PHONE HOUSE COMO VÍCTIMA DE UN CIBERATAQUE............................. 33 3.- FALTA DE RESPONSABILIDAD RESPECTO A LA PUBLICACIÓN DE LOS DATOS PERSONALES EN LA DEEP WEB.......................................................... 37 4.- SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA.........38 5.- SOBRE EL NIVEL DE RIESGO DE LOS TRATAMIENTOS............................. 41 6.- LA EVALUACIÓN DE IMPACTO DE PRIVACIDAD Y LAS MEDIDAS MITIGADORAS DE RIESGOS ALTOS................................................................. 42 7.- SOBRE LA INEFICIENCIA DE LA POLÍTICA DE CONTRASEÑAS.................47 8.- SOBRE LA PROTECCIÓN DE LA SEGURIDAD PERIMETRAL..................... 50 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/197 9.- SOBRE LA FORMACIÓN Y CONCIENCIACIÓN A LOS TRABAJADORES EN MATERIA DE PROTECCIÓN DE DATOS............................................................. 52 10.- SOBRE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA........................................................................................................ 54 11.- AGRAVANTES ASOCIADOS POR LA AEPD A LA INFRACCIÓN DEL 5.1 f). 55 12.- AGRAVANTES ASOCIADOS A LA INFRACCIÓN DEL ARTÍCULO 32..........58 13.- SOBRE LA CONCURRENCIA DE FACTORES ATENUANTES NO CONSIDERADOS................................................................................................. 60 14.- SOBRE EL CONCURSO DE INFRACCIONES............................................. 62 15.- CONCLUSIONES.......................................................................................... 63 SÉPTIMO: Práctica de prueba................................................................................. 64 OCTAVO: Propuesta de resolución.......................................................................... 68 NOVENO: Respuesta a las alegaciones al Acuerdo de Inicio.................................. 68 PRIMERO.- TPHS como víctima de un ciberataque............................................. 68 SEGUNDO.- Sobre la vulneración del deber de confidencialidad......................... 69 TERCERO.- Falta de responsabilidad respecto a la publicación de los datos personales en la Deep Web.................................................................................. 71 CUARTO.- Inadmisibilidad de la responsabilidad objetiva.................................... 72 QUINTO.- Sobre el nivel de riesgo de los tratamientos......................................... 74 SEXTA.- Evaluación de impacto de privacidad y las medidas mitigadoras de riesgos altos.......................................................................................................... 76 SÉPTIMA.- Sobre la ineficiencia de la política de contraseñas............................. 82 OCTAVO.- Sobre la protección de la seguridad perimetral................................... 84 NOVENA.- Sobre la información y concienciación a los trabajadores en materia de protección de datos............................................................................................... 86 DÉCIMA.- Falta de proporcionalidad de la sanción propuesta.............................. 87 DECIMOPRIMERA.- Agravantes asociados por la AEPD a la infracción del artículo 5.1.f)..................................................................................................................... 88 DÉCIMO SEGUNDA. – Agravantes asociados a la infracción del artículo 32 RGPD ............................................................................................................................. 91 DECIMOTERCERA.- Sobre la concurrencia de factores atenuantes no considerados........................................................................................................ 91 DECIMOCUARTA.- Sobre el concurso de infracciones........................................ 94 DÉCIMO:................................................................................................................ 100 DÉCIMO PRIMERO:.............................................................................................. 100 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/197 DÉCIMO SEGUNDO: Alegaciones a la Propuesta de Resolución......................... 100 HECHOS PROBADOS.............................................................................................. 139 PRIMERO: Primera notificación de la brecha de datos personales........................ 139 SEGUNDO: Segunda notificación de la brecha de datos personales..................... 139 TERCERO: Cronología del ataque......................................................................... 140 CUARTO:............................................................................................................... 140 QUINTO: Número de personas afectadas:............................................................. 142 SEXTO: Tipos de datos afectados:......................................................................... 142 SÉPTIMO: Publicación de los datos personales en la Deep Web por los ciberatacantes:....................................................................................................... 143 OCTAVO:................................................................................................................ 144 NOVENO: En relación con la política de contraseñas:........................................... 144 DÉCIMO: Guía CCN-STIC-807.............................................................................. 145 DÉCIMO PRIMERO: En relación con la protección de la seguridad perimetral de los sistemas de información y de las medidas de monitorización para la detección de conducta maliciosa dentro de la red....................................................................... 145 DÉCIMO SEGUNDO: Medidas adoptadas por TPHS con posterioridad al incidente: ............................................................................................................................... 146 DÉCIMO TERCERO:.............................................................................................. 147 DÉCIMO CUARTO: Evaluaciones de Impacto de Protección de Datos: Evaluación del riesgo................................................................................................................ 148 DÉCIMO QUINTO: Evaluaciones de Impacto de Protección de Datos: Medidas.. .154 DECIMO SEXTO:................................................................................................... 155 DÉCIMO SÉPTIMO: Registro de Actividades del tratamiento................................ 155 FUNDAMENTOS DE DERECHO............................................................................... 155 I Competencia........................................................................................................ 155 II Cuestiones previas.............................................................................................. 156 III Alegaciones a la propuesta de resolución.......................................................... 157 PRIMERO: Sobre la falta de motivación de la propuesta resolución...................157 SEGUNDA: Condición de víctima de TPHS........................................................ 159 TERCERA: SOBRE EL SUPUESTO INCUMPLIMIENTO DEL ARTÍCULO 5.1.F) RGPD................................................................................................................. 163 CUARTA: SOBRE EL SUPUESTO INCUMPLIMIENTO DEL ART. 32 RGPD.....167 QUINTA: SOBRE LAS ACCIONES FORMATIVAS Y DE CONCIENCIACIÓN DE LA PLATILLA DE TPHS...................................................................................... 189 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/197 SEXTA: SOBRE LA EXISTENCIA DE UN CONCURSO DE INFRACCIONES.. .189 SÉPTIMA: SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA ............................................................................................................................ 196 OCTAVA: DE LAS 211 RECLAMACIONES RELACIONADAS CON LA BRECHA DE SEGURIDAD................................................................................................. 199 NOVENA: SOBRE LA AUSENCIA DE PROPORCIONALIDAD EN LA FIJACIÓN DE LA CUANTÍA DE LA SANCIÓN PROPUESTA.............................................. 203 DÉCIMA: AGRAVANTES ASOCIADOS POR LA AEPD A LAS INFRACCIONES 207 UNDÉCIMA: SOBRE LA CONCURRENCIA DE FACTORES ATENUANTES NO CONSIDERADOS............................................................................................... 210 IV Integridad y confidencialidad.............................................................................. 211 V Tipificación de la infracción del artículo 5.1.

1. f)del RGPD..................................... 213 VI Sanción por la infracción del artículo 5.1.
2. f)del RGPD....................................... 214 VII Artículo 32 del RGPD........................................................................................ 215 VIII Tipificación de la infracción del artículo 32 del RGPD...................................... 227 IX Sanción por la infracción del artículo 32 del RGPD............................................ 227 X Adopción de medidas.......................................................................................... 229 RESUELVE:............................................................................................................... 230 Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Notificación de brecha de datos personales Con fecha 14 de abril de 2021, la Agencia Española de Protección de Datos (AEPD) recibe una notificación de brecha de seguridad de datos personales sufrida por THE PHONE HOUSE, SPAIN, S.L. con NIF B81846206 (en adelante TPHS), en la que informa a la Agencia Española de Protección de Datos de lo siguiente: -(…). -(…). -(…). -(…). -(…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/197 Junto a la notificación se aporta los siguientes documentos: - “Informe Incidente de Seguridad”, donde describen el incidente sufrido, según los datos e información con la que cuentan en ese momento (en adelante Informe 14A) SEGUNDO: Nueva notificación ampliando información. Con fecha 28 de abril de 2021, TPHS presenta nueva notificación (en adelante Notificación2) ampliando la información sobre la brecha de seguridad notificada el 14 del mismo mes, en el que indican que, (…). Documentación adjunta a la Notificación2: - Informe de evaluación de brecha de seguridad de 28 de abril de 2021 (en adelante “Informe28A”). - Denuncia policial presentada por el investigado el día 20 de abril de 2021 en la Comisaría General de Policía Judicial con número de atestado 201/21 (en adelante “DenunciaPolicial”). - Copia del contenido del comunicado enviado por el investigado a las operadoras de telecomunicaciones y compañías aseguradoras a las que presta servicios como agente comercial y como distribuidor y para las que actúa en calidad de encargado de tratamiento (en adelante “ComunicadoOperadores”). - Copia del contenido del comunicado enviado por el investigado a los afectados por la brecha de seguridad (en adelante “ComunicadoAfectados”). - Adjunta el listado de preguntas frecuentes “FAQS” que ha puesto a disposición pública (en adelante “ListadoFaqs”). TERCERO: Actuaciones previas de investigación. Con fecha 20 de abril de 2021, se dicta Acuerdo de la Directora de la AEPD en el que se ordena a la Subdirección General de Inspección de Datos que, como consecuencia de la notificación de la brecha de seguridad de datos personales por parte del Responsable del Tratamiento TPHS y que afecta a datos personales, valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. De dichas actuaciones de investigación, se tiene conocimiento de los siguientes extremos: - Fecha de detección: 11 de abril de 2021 (exacta) Fecha de inicio: 31 de marzo de 2021 (estimada) Fecha de resolución: 21 de abril de 2021 (exacta) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/197 - Medios de detección: caída global del servicio y cifrado de los sistemas de información Tipología: ransomware, cifrado de los ficheros con afectación de la confidencialidad de datos personales. Número aproximado de afectados: 13 millones Comunicación a los interesados: Sí Otros antecedentes: - Escrito con número de registro de entrada en la AEPD O00007128e2100018891 presentado el día 26 de abril de 2021 por XFERA MÓVILES, S.A.U. (en adelante “Xfera”) en el que manifiestan que tras la publicación en los medios de comunicación del ataque experimentado por el investigado comprobaron que no había sido vulnerada la seguridad de sus propios sistemas y se pusieron en contacto con el investigado al objeto de confirmar que el ataque no había afectado actividades del tratamiento de Xfera. (…). - Escrito con número de registro de entrada en la AEPD O00007128e2100019993 presentado el día 30 de abril de 2021 por Xfera en el que manifiestan que con fecha 28 de abril el investigado les ha confirmado que: o o (…). (…). Reclamaciones relacionadas con la brecha de seguridad: - Se han presentado ante la AEPD 211 reclamaciones de afectados relacionadas con esta brecha de seguridad. Además de la documentación aludida anteriormente, se recoge información de las siguientes fuentes: o o o o C/ Jorge Juan, 6 28001 – Madrid Reseña información sobre la brecha de seguridad del sitio de internet https://haveibeenpwned.com/. Ésta especifica que la brecha se habría producido el día 8 de abril de 2021 y se habría comprometido información de 5,2 millones de afectados. Artículo publicado en el sitio de internet https://www.xataka.com/ el día 23 de abril de 2021 que refiere la publicación en internet de datos de 13 millones de clientes del investigado (113 Gigabytes de información). “Informe Código Dañino CCN-CERT ID-10/21 Babuk Locker” elaborado en agosto de 2021 por el CCN-CERT que desgrana el funcionamiento del ransomware “Babuk Locker”. Artículo publicado en el sitio de internet https://hipertextual.com/ con fecha 4 de septiembre de 2021 en el que se indica que el código del ransomware ha sido publicado. Asimismo, señala que, además del investigado, otro de los afectados por el virus Babuk habría sido el Departamento Metropolitano de Policía de Washington D.C. www.aepd.es sedeagpd.gob.es 7/197 o o o o Extracto de la “GUÍA/NORMA DE SEGURIDAD DE LAS TIC (CCNSTIC-807) CRIPTOLOGÍA DE EMPLEO EN EL ESQUEMA NACIONAL DE SEGURIDAD” de marzo de 2011. Formulario de alta de usuarios del sitio de internet del investigado. Política de privacidad publicada en el sitio de internet del investigado. Formulario de envío de sugerencias del sitio de internet del investigado. - Escrito procedente del investigado registrado de entrada en la AEPD con fecha de 28 de junio de 2021 y números de registro O00007128e2100028701, O00007128e2100028702, y O00007128e2100028705 (en adelante “EscritoTPH1”). - Escrito procedente del investigado registrado de entrada en la AEPD con fecha de 11 de marzo de 2022 y números de registro REGAGE22e00006497111 y REGAGE22e00006492773 (en adelante “EscritoTPH2”). - Escrito procedente del investigado registrado de entrada en la AEPD con fecha de 17 de agosto de 2022 y números de registro REGAGE22e00035653351, REGAGE22e00035656325, REGAGE22e00035663361 (en adelante “EscritoTPH3”). En la Notificación1, realizada el 14 de abril de 2021, el investigado señala que el día 11 de abril detectó una caída global de sus servicios. En esta primera notificación el investigado apunta lo siguiente al respecto de las consecuencias del incidente (ver Informe14A): “(…). (…). (…).” El día 28 de abril de 2021 el investigado amplió la información (Notificación2). Adjunta a este escrito el Informe28A en el que realiza las siguientes consideraciones: (…) “(…). (…). (…).” Cronología del incidente Del Informe28A se extrae la siguiente cronología: - “(…).” “(…).” “(…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/197 - “(…)” “(…).” “(…).” (…): - “(…).” “(…).” Por otro lado, según lo visto en el apartado de antecedentes, el día 14 de abril a las 19:57 horas se presenta ante la AEPD la notificación inicial del incidente (Notificación1), y posteriormente, el día 28 de abril se amplía la misma (Notificación2). Además, el investigado interpuso denuncia policial con fecha de 20 de abril de 2021 (DenunciaPolicial). Por último, el investigado manifiesta en el EscritoTPH1 (de fecha 28 de junio de 2021) que (…). Naturaleza del incidente En el Informe28A el investigado expresa lo siguiente sobre la naturaleza del incidente: “(…). (…).” Además, el Informe28A incluye determinada información de detalle sobre el ataque: “(…). (…). (…). (…).” (…). (…): - (…). (…). (…). (…). (…). (…) (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/197 Consecuencias de la brecha de seguridad En el Informe28A manifiesta el investigado que, de las investigaciones realizadas, se han concluido las siguientes afectaciones del ataque: “(…). (…). (…). (…).” (…): “(…).” Medidas de reacción al incidente El investigado refiere en el Informe28A la siguiente reacción al incidente tras su detección: “(…). (…). (…). (…).” (…) (…). Medidas de seguridad implantadas con anterioridad Manifiesta el investigado (EscritoTPH3) que, debido a que parte de su negocio se encuentra sometido parcialmente al Real Decreto-ley 12/2018, en el año 2020 desarrolló un Sistema de Gestión de Seguridad de la Información (SGSI) tomando como referencia la ISO/IEC 27001:2013. Según señala, hasta la fecha no lo ha sometido al proceso de certificación, pero manifiesta que prevé hacerlo. Sobre las medidas de seguridad aplicadas por el investigado con anterioridad a la brecha de seguridad el Informe28A contiene la siguiente información: (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/197 - (…). (…). (…). (…). (…). (…). (…). (…). (…). (…): - (…). (…). (…). (…). (…). (…). (…). (…). (…): “(…)” (…). (…). (…). (…). Igualmente, el interesado adjunta la siguiente información en el EscritoTPH1: - Registro de Actividades de Tratamiento (RAT), que incluye la valoración del riesgo de los tratamientos y de la necesidad de ejecutar una evaluación de impacto (documento 1 adjunto al escrito) realizada conforme a la metodología propia del interesado (adjunta como documento 2). (…): o o (…). (…). (…). (…): 1) (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/197 2) (…) 3) (…) (…): 1) (…). 2) (…). 3) (…). (…). - Procedimiento de evaluación del riesgo inherente y del impacto en la privacidad (documento 2 adjunto al EscritoTPH1), en su versión de mayo de 2021 (4.0). (…). - Evaluaciones de impacto (documento 3 del EscritoTPH1) sobre la protección de datos personales de los tratamientos (…) El investigado adjunta, además, el procedimiento de gestión de usuarios y contraseñas (documento número 2 del EscritoTPH2) que según indica se encontraba vigente en el momento de la brecha de seguridad (según el propio documento indica se trata de la versión 3.0 vigente desde el 29 de septiembre de 2020). Define el procedimiento general del investigado sobre la gestión de usuarios y contraseñas e incluye cuestiones tales como: (…). En relación con que el ataque se haya producido originalmente desde un tercer país, el investigado manifiesta en el EscritoTPH2 lo siguiente: “(…)”. Sobre la ejecución de procesos de verificación de las medidas de seguridad aplicadas a los sistemas de información en los que se ejecutan tratamientos de datos de carácter personal, el investigado manifiesta (EscritoTPH3) que “aproximadamente dos años después de haber finalizado la implantación del sistema de gestión de cumplimiento del nuevo Reglamento General de Protección de Datos, durante el año 2020 PHONE HOUSE comenzó una evaluación de cumplimiento de los diferentes tratamientos de datos y medidas de seguridad aplicadas sobre los sistemas de información que trataban datos personales en la organización, finalizando con las correspondientes evaluaciones de cumplimiento de las medidas de seguridad en enero de 2021”. Adjunta (documento 1 del EscritoTPH3) el informe “Evaluación de cumplimiento en materia de protección de datos – Medidas de Seguridad” fechado el 11 de enero de 2021 y elaborado por un tercero, “Ecija”. Los objetivos del informe, según consigna el mismo, son evaluar el nivel de cumplimiento del investigado de los deberes de seguridad sobre aquellos tratamientos específicamente relacionados con los datos personales de sus clientes, y proponer C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/197 medidas correctoras o de mejora en relación con las no conformidades detectadas durante el proceso de evaluación. (…). El informe evalúa el cumplimiento de un conjunto de medidas se seguridad y, en su caso, propone medidas de mejora. Se extrae la siguiente información relacionada con los hechos investigados: - (…). (…). (…). (…). (…). (…). (…). (…). (…): (…) (…) Además del anterior, expresa el investigado (EscritoTPH3) que, en paralelo a la evaluación del cumplimiento de las medidas de seguridad, realizó una evaluación de las medidas jurídico-organizativas derivadas del proceso de adecuación al RGPD. Adjunta (documento 2 del EscritoTPH3) el informe “Evaluación de cumplimiento en materia de protección de datos – Aspectos Jurídico-Organizativos” fechado el 11 de enero de 2021 y elaborado por un tercero, “Ecija”. El objetivo del informe, según consigna, es evaluar el nivel de cumplimiento del investigado respecto “los deberes de calidad, legalidad y legitimación de aquellos tratamientos específicamente relacionados con los datos personales de los clientes de PHONE HOUSE respecto a los que actúa como responsable del tratamiento.” Se extrae la siguiente información relacionada con los hechos investigados: - (…) (…). (…). (…). (…). (…): o o - (…). - (…). (…). (…). En relación con la formación y concienciación de los empleados del investigado en materia de seguridad de la información y derecho de protección de datos personales el investigado manifiesta (EscritoTPH3) haber impartido cursos. Sobre este particular ha facilitado la siguiente documentación: - Documento 3 del EscritoTPH3. Listado de participantes en dos cursos sobre el Reglamento General de Protección de Datos abiertos entre mayo de 2018 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/197 - - diciembre de 2020. En el primero de los cursos hay 388 inscritos, mientras que en el segundo 254. Según la información obtenida del servicio Axesor (ver Diligencia Referencias), la cuenta con 1411 empleados. Documento 4 del EscritoTPH3. Manifiesta el investigado (EscritoTPH3) que desde el año 2018 los trabajadores que se incorporan a la compañía realizan un curso en materia de protección de datos personales que concluye con la realización de una prueba de conocimiento. Según señala, el documento número 4 es la prueba que evalúa los conocimientos adquiridos. Documento 5 del EscritoTPH3. Manifiesta el investigado (EscritoTPH3) que desde el año 2018 se remite la Política de Seguridad de la Información a los trabajadores que se incorporan a la compañía. Adjunta como documento número 5 la versión 2 de la política, del mes de marzo de 2022. Medidas de seguridad implantadas tras el incidente En cuanto a las medidas de mitigación implementadas tras el incidente, refiere el investigado en el Informe28A las siguientes: 1) (…). 2) (…) 3) (…). 4) (…). 5) (…). 6) (…). 7) (…). 8) (…). 9) (…). 10) (…). 11) (…).” Cita además el investigado en el informe las siguientes medidas “en proceso de implantación”: 1) 2) 3) 4) 5) 6) “(…). (…). (…). (…). (…). (…).” El investigado adjunta, además, el procedimiento de gestión de usuarios y contraseñas (documento número 3 del EscritoTPH2) que según indica es la política vigente actualmente (según el propio documento indica se trata de la versión 4.0 vigente desde el 3 de mayo de 2021). Esta nueva versión incluye la siguiente información no presente en la anterior (documento 2 nombrado anteriormente): “(…): - (…). (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/197 El nuevo procedimiento introduce también las siguientes modificaciones: - (…) (…). (…): - “(…).” Número de afectados, categorías de los datos personales expuestos y uso posterior El investigado, como parte del Informe28A, manifiesta sobre el alcance territorial de la brecha de seguridad que “ha afectado únicamente a la empresa THE PHONE HOUSE SPAIN, S.L. con sede en España.” Asimismo, en relación con el número de afectados, el investigado manifiesta en el EscritoTPH1 que “El número aproximado de personas afectadas es de, aproximadamente, 13.000.000”. (…): “(…): - (…). (…). - (…) (…). - (…). (…). (…). (…). (…).” (…). (…): “(…).” (…): “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/197 Comunicación a los afectados Sobre la evaluación del deber de notificación de la brecha de seguridad a la AEPD y de comunicación a los afectados, el investigado (ver Informe28A) concluye que “era obligatorio realizar la notificación a la AEPD, así como a los afectados”. (…)”. (…). En relación con esto último, en la Denuncia Policial constan las siguientes manifestaciones del investigado: “(…). - (…) (…) (…) (…) ” El investigado adjuntó el contenido del ComunicadoAfectados a la Notificación2 realizada el 28 de abril. Éste incluye lo siguiente: “(…)” Asimismo, el investigado ha facilitado en la Notificación2 el siguiente listado de “preguntas frecuentes” respondidas que ha puesto a disposición en su sitio de internet: “(…)” CUARTO: Volumen de negocios. De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TPHS es una empresa de tamaño grande constituida en el año 1997, y con una cifra de negocios de (...) euros en el año 2020 (último ejercicio presentado). QUINTO: Acuerdo de inicio de procedimiento sancionador. Con fecha 27 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
3. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. SEXTO: Alegaciones al acuerdo de inicio Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), TPHS ha presentado escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: 1.- PHONE HOUSE COMO VÍCTIMA DE UN CIBERATAQUE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/197 En esta primera alegación, resalta TPHS su condición de víctima en relación con los hechos de los que trae causa el expediente que motiva la adopción del Acuerdo de Inicio, indicando que debe tomarse en consideración que la brecha de seguridad sufrida tiene su origen en la actividad delictiva perpetrada por una de las múltiples bandas organizadas de ciberdelincuentes que operan, entre otros, en nuestro país, siendo constitutiva un delito de daños informáticos, recogido en el Código Penal. Delito este que viene complementado porque en el caso que nos ocupa, se reclamó por parte de los ciberdelincuentes un rescate de (...) €, bajo amenaza de publicar la información obtenida por medio del ciberataque, hecho este que constituye un nuevo delito de extorsión (art. 243 del Código Penal), Señala TPHS que este tipo de delitos asociados a ataques informáticos son cada vez más frecuentes, así, en el año en que tuvo lugar la brecha, en 2021, el Instituto Nacional de Ciberseguridad (en adelante, “INCIBE”) gestionó un total de 109.126 incidentes, de los cuales un 29,88% se corresponden a ciberataques con malware o ransomware. Del mismo modo, indica que en el 2022 fueron notificadas a la AEPD un total de 1.751 brechas de seguridad, 610 de las cuales tuvieron su origen en un ransomware, lo que equivale a casi el 35% del total de las brechas recibidas por la AEPD, que no quiere decir que sean todos las existentes. Lo anterior, es ilustrativo del incremento de esta tipología de delitos que se dirigen de forma absolutamente indiscriminada contra cualquier entidad, y que cuentan entre sus víctimas, tanto con las personas afectadas, como a las entidades que son objeto de estos ataques. Continúa TPHS indicando que el aumento en la incidencia de los ciberataques no se ha visto ralentizado a pesar de una mayor concienciación en relación con la seguridad de la información, entendiendo que ello se debe al incremento de la sofisticación de los métodos utilizados por los ciberdelincuentes, que cuentan con medios prácticamente ilimitados para generar sus métodos de ataque, concluyendo, por tanto, que por muy alta que sea la inversión y medios dedicados por las empresas a prevenir los ciberataques, no es posible prevenir las nuevas oleadas de ataques, que cada vez son más continuos, complejos e imprevisibles. Recuerda TPHS que, en el ciberataque sufrido por ella en abril de 2021, se utilizó el ransomware denominado Babuk, desconocido hasta principios de ese mismo año y el cual se posicionó como uno de los malwares más peligrosos y eficaces por la imposibilidad de protegerse técnicamente frente a él, hasta que a mediados del 2021 se produjo la filtración de su código fuente (publicado por los propios delincuentes), lo que permitió el diseño de medidas específicas de prevención, así como de contención. Por tanto, señala TPHS que, hasta el momento, ninguna agencia de seguridad nacional o internacional habían logrado “antídoto” alguno, ni para prevenir, ni para solventar un ataque mediado por este ransomware concreto, dato que la Agencia, de nuevo, parece obviar, y, en el caso de España, no es hasta el mes de agosto de 2021 (5 meses después de sufrirse la brecha de seguridad que nos ocupa) cuando el Centro Criptológico Nacional (CCN) hizo público el informe correspondiente en el que se analizaba el código en cuestión y dando la solución para evitar este tipo de ataques, así como, en caso de haber sufrido el mismo, poder descifrar la información comprometida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/197 Por ello, indica TPHS que hasta ese momento las posibilidades de las entidades de defenderse de un ataque de estas características eran muy escasas, contándose entre las víctimas de este software malicioso entidades de gran tamaño y relevancia internacional, tales como SERCO, el Departamento de Policía de Washington (250 GB de información), y el equipo de los Houston Rockets de la NBA (550 GB de información). Recuerda TPHS que en el ciberataque sufrido, se vieron comprometidos 13 GB de información, una cifra mucho más reducida, en tanto algunas de las medidas de seguridad es existentes sí lograron contener parte del ataque y que fue víctima del ciberataque de este ransomware en el momento de mayor virulencia de este, cuando era prácticamente desconocido, y antes de que se conocieran los detalles que permitieron que se pudieran definir medidas específicas para evitar que se produjera una brecha de seguridad y mitigar su impacto. Entiende por ello que este hecho debe ser tomado en especial consideración a la hora de analizar la diligencia de TPHS y la idoneidad de las medidas de seguridad con las que contaba a la fecha del ataque, ya que es determinante a estos efectos. Reitera por ello la importancia de situar correctamente a TPHS en su posición de víctima de una brecha de un ataque criminal instrumentado a través de un ransomware que, en el momento del incidente, era absolutamente novedoso y extremadamente eficaz. Recuerda asimismo que el impacto de este ataque en la compañía no sólo ha sido a nivel reputacional, sino también a nivel económico. A este respecto, destaca TPHS que, a raíz de la brecha de seguridad, (…). Además de las cantidades anteriores, señala TPHS que debe tenerse en consideración los gastos específicos incurridos por la Compañía desde el ataque para tratar para mitigar los impactos de este, (…), destinados a los siguientes servicios: 1) (…); 2) (…); 3) (…); 4) (…); 5) (…); Señala TPHS que esta elevada cuantía evidencia tanto su afán por garantizar la seguridad de los datos personales y dar cumplimiento de la normativa de protección de datos, como en mitigar cualquier daño que la brecha hubiera podido ocasionar tanto a la propia Compañía, como a terceros. Lo que ha implicado un gran esfuerzo económico para la Compañía como consecuencia del ataque, que acentuó el impacto en sus cuentas. Juntamente con los gastos reactivos para paliar los efectos del ataque, remarca TPHS la inversión realizada en servicios de seguridad de la información entre los años 2018 y 2020, con carácter previo a la brecha, (…). Así, la Compañía ha venido destinando una importante partida presupuestaria a implementar y garantizar de manera diligente las medidas de seguridad necesarias para garantizar un nivel de protección de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/197 información acorde a los riesgos de los tratamientos que realiza. Se acompaña como documento nº1 al presente escrito un muestreo de facturas asumidas en relación con la seguridad de la información. De lo anterior indica TPHS que debe concluirse que la compañía es ante todo víctima de una actividad delictiva de carácter especialmente novedoso, que ha quedado impune y que no pudo ser prevista ni repelida por su adecuado sistema de gestión de la seguridad de la información, a la cual, dadas sus características, se hubieran visto expuestos de igual manera empresas con medidas igual o más robustas que TPHS. Así, apunta que la Compañía ha visto afectada no solo su imagen y reputación, (…), sin que se hayan tomado en consideración sus probados y continuados esfuerzos por mantener un marco de seguridad robusto, por cumplir con las disposiciones de la normativa de protección de datos y, por mitigar cualquier posible impacto derivado de la brecha. 2.- SOBRE LA VULNERACIÓN DEL DEBER DE CONFIDENCIALIDAD. Señala TPHS no estar de acuerdo en que se le considere responsable de un incumplimiento del principio de integridad y confidencialidad (art. 5.1(
4. f)RGPD) como consecuencia de la brecha de seguridad derivada del ataque de ransomware, mostrando su sorpresa en cuanto a ese traslado de responsabilidad directa indicando que desde la entrada en aplicación del RGPD, la totalidad de expedientes incoados por esta Agencia en relación con brechas de seguridad derivadas de un ciberataque con ransomware, que ascienden a un total de 19, todos ellos han resultado archivados. Indica TPHS que no deja de ser llamativo que, a pesar de que en varios de estos procedimientos se vieron afectados datos de categoría especial (datos de salud, datos biométricos o datos de afiliación sindical) y que multitud de las entidades afectadas pertenecían a sectores que realizan tratamientos de datos personales de un riesgo elevado, tales como el sector sanitario, sector de seguros o sector de energético, el resultado de nuevo fue archivo de las actuaciones sancionadoras. Continúa señalando TPHS que gran parte de las entidades afectadas realizaban tratamientos de datos personales que, por su naturaleza, suponían un alto nivel de riesgo para los derechos y libertades de los interesados, muy superior al asociado a los tratamientos realizados por TPHS. Con mayor razón, en varios de los ciberataques se produjeron exfiltraciones de datos personales que devinieron en la publicación de estos en páginas web de acceso público, siendo reseñable que en estos dos últimos se vieron afectados datos de categoría especial (datos de salud en el primero, y datos biométricos en el segundo), siendo de nuevo el resultado, el archivo de las actuaciones por parte de esta AEPD. Entiende TPHS que es importante recalcar en este punto que la actividad de PHONE HOUSE, esto es, la comercialización de productos y servicios de telefonía móvil, y, en concreto, los tratamientos de datos que se vieron afectados por el ransomware, no conllevan un riesgo asociado para los derechos y libertades de los interesados que pueda considerarse alto, no existiendo hasta el momento ninguna reclamación dirigida a TPHS por parte de ninguno de los titulares de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/197 Así, indica TPHS que no se vieron afectados datos sensibles o de categoría especial, ni se vio implicada información relativa a tratamientos de especial riesgo. En consecuencia, no es congruente, ni proporcionado, ni siquiera mantiene coherencia con cómo ha interpretado hasta el momento esta Agencia este tipo de casos, que en supuestos semejantes de brechas de seguridad por ransomware que, objetivamente, supusieron la materialización de un riesgo superior para los afectados, la Agencia optara por el archivo de las actuaciones y en ningún caso se ha planteado imputar a las entidades afectadas por estos ataques un incumplimiento del principio de confidencialidad e integridad, cuando es evidente que en todos estos supuestos se ha visto afectado, puesto que es intrínseco a la propia naturaleza del ataque, que accede de forma ilícita a información confidencial para cifrarla, incluidos los datos personales. Adicionalmente señala TPHS que debe tenerse en cuenta que en varias de las brechas de otras entidades se ha producido una publicación de datos personales, lo cual le resulta incoherente con el hecho de que, ante un supuesto análogo, se le proponga a ella una sanción por el incumplimiento del art. 5.1(
5. f)RGPD. En consecuencia, y a la luz del histórico de decisiones de la AEPD en supuestos análogos, TPHS considera que no resulta razonable ni coherente proponerle una sanción por una quiebra del principio de integridad y confidencialidad. 3.- FALTA DE RESPONSABILIDAD RESPECTO A LA PUBLICACIÓN DE LOS DATOS PERSONALES EN LA DEEP WEB. Alega TPHS que, para analizar debidamente los impactos en la privacidad de los afectados por la brecha, es necesario distinguir entre dos momentos claramente diferenciados: el ataque informático con ransomware, y la posterior publicación de los datos en la Deep Web por el ciberdelincuente. Señala que inicialmente se produce una brecha de confidencialidad como resultado de un ciberataque con ransomware, solicitándose por parte de los ciberdelincuentes el pago de un rescate. Esta brecha es diligentemente reportada por TPHS en cumplimiento de los artículos 33 y 34 del RGPD, tanto a la AEPD como a los afectados. Posteriormente, en un segundo momento y habiéndose negado TPHS a hacer pago alguno a los delincuentes, los ciberdelincuentes publican la información en la Deep Web, de manera que resulta accesible a terceros no autorizados. Entiende por ello que ninguna responsabilidad puede atribuirse a TPHS por esta segunda actividad emprendida por los ciberdelincuentes, cuyo único objetivo era presionar a TPHS para que accediera a pagar la cantidad económica reclamada pago que bajo ningún concepto la Compañía accedió a realizar, tanto por ser un acto ilegal, como por no querer negociar con criminales como los que nos ocupan en el presente caso. Concluye por tanto que, en relación con la confidencialidad, debe tenerse en cuenta que una vez esta se ha visto vulnerada por un ataque que produce una brecha de seguridad, la subsiguiente actuación ilícita por parte de los ciberdelincuentes, consistente en la publicación en la Deep Web de la información, es un hecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/197 independiente y no atribuible a la Compañía, dado que no tiene ninguna capacidad para impedirlo. Señala, en consecuencia, que cualquier acción delictiva posterior a la brecha de la confidencialidad sufrida por TPHS de ningún modo puede ser tomada en cuenta a la hora de analizar el cumplimiento por parte de la Compañía de los arts. 5.1(
6. f)y 32 del RGPD, como si hace esta Agencia. Así, de conformidad con el criterio reiterado de la doctrina sobre la causalidad, en concreto, el criterio de exclusión de la imputación objetiva de la “prohibición de regreso”, como “supuesto en el que no es posible la imputación, cuando puesta en marcha la relación causal, sin embargo el daño se produce por subsiguiente intervención dolosa o gravemente imprudente de un tercero, no pudiendo regresar desde el tercero causante del daño al que inició el curso causal” (Sentencia del Tribunal Supremo núm. 969/2003, Sala de lo Civil, de 24 de octubre de 2003, por el que resuelve el recurso de casación núm. 3976/1997). Concluye TPHS indicando que en ningún caso puede imputársele la pérdida de control de los afectados asociada a la actividad de los ciberdelincuentes con posterioridad a la brecha de seguridad, toda vez que esta materialización de la pérdida de confidencialidad deriva de una intervención dolosa de un tercero, consistente en la publicación de la información en la DeepWeb y no en una falta de diligencia o en un incumplimiento normativo por parte de la Compañía, con nula capacidad para evitar este hecho. 4.- SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA. Alega TPHS que no existe ninguna relación acreditada entre la supuesta inadecuación de las medidas y la brecha de seguridad, más allá de que ésta se ha producido, puesto que no hay ninguna certeza respecto a que, de haberse implementado medidas aún más robustas, el ciberataque no hubiera sido exitoso. Por lo tanto, no es posible establecer un nexo causal entre el ataque y una supuesta negligencia por parte de TPHS Señala que el artículo 5.1 recoge una obligación de medios, consistente en la “protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas” y no una obligación de resultado, como pretende la AEPD. Manifiesta que, siguiendo la propia metodología de análisis de riesgos propuestos por la AEPD en su “Gestión del riesgo y evaluación de impacto en el tratamiento de datos personales”, lo que se exige es reducir o mitigar el riesgo para disminuir la posibilidad de que ocurran, pero no evitar o eliminar el riesgo, algo que resulta completamente imposible para cualquier entidad. El argumento expuesto por la Agencia en la citada Guía es totalmente lógico, ya que la posibilidad real de garantizar la confidencialidad reduciendo el riesgo a cero es prácticamente imposible en cualquier contexto. Alega por tanto que la Agencia, contra su propio criterio, a lo largo del Acuerdo fundamenta la comisión de una infracción del artículo 5.1
7. f)por TPHS en la producción de un resultado: la superación de las medidas de seguridad de TPHS por un tercero que comete una actividad delictiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/197 Entiende que esta interpretación, además, es contraria a la jurisprudencia emanada de la Sentencia del Tribunal Supremo 188/2022, de 15 de febrero, que específicamente establece que la obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado. Sin embargo, de entrada, y sin entrar a valorar de forma efectiva el despliegue de diligencia realizado por TPHS, la AEPD limita su argumentación al resultado, considerando que la superación de las medidas de seguridad por un tercero conlleva la automática consideración de estas como insuficientes y, por tanto, a juicio de la AEPD, surgiendo automáticamente la responsabilidad directa de TPHS. Reseña TPHS que en materia sancionadora rige el principio de culpabilidad (por todas, STC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que determina que necesariamente ha de concurrir alguna clase de dolo o culpa por parte de la entidad. Es el precepto 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, la “LRJSP”), que prevé el principio de responsabilidad, el que dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Señala sin embargo que la imputación de la infracción del precepto 5.1
8. f)del RGPD que la AEPD realiza en contra de TPHS no va asociada a ninguna fundamentación, ya que no analiza ni evalúa la adecuación de medida alguna. No califica como inadecuado ningún protocolo o sistema de los utilizados por PHONE HOUSE, cuya implantación le consta. Entiende por tanto que las afirmaciones vertidas a lo largo del Acuerdo, la AEPD parece confundir el concepto de responsabilidad proactiva con la obligación de resultado que impone la responsabilidad objetiva. Recuerda que el enfoque del riesgo introducido por el RGPD viene a determinar que, ante la imposibilidad de un riesgo cero, las medidas adecuadas serán aquellas que, dentro del estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, permitan reducir el riesgo inherente al mínimo riesgo residual posible. Defender lo contrario es contradecir el propio contenido expreso y el espíritu de la redacción del RGPD, conforme al cual, una materialización del riesgo derivada de la comisión de actos delictivos por un tercero, como el que nos encontramos en el presente supuesto, no puede ser calificado, de forma automática, como una falta de diligencia del responsable en el despliegue de medidas de seguridad. La imputación de una infracción muy grave a PHONE HOUSE, con la imposición de la consiguiente sanción, fundamentada exclusivamente en la obtención de un resultado acometido por un tercero mediante la comisión de varios actos delictivos supone adoptar un principio de responsabilidad objetiva en el ámbito sancionador, vetado por nuestro ordenamiento jurídico, como ha sido reiterado en diversas ocasiones por el Tribunal Constitucional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/197 El Tribunal Constitucional desde su Sentencia nº 76/1990 de 26 de abril, ha venido advirtiendo del problema de la inadmisibilidad en nuestro ordenamiento jurídico de la responsabilidad objetiva y, consecuente con ello, la exigencia en todo caso de que la Administración, a la hora de sancionar, pruebe algún grado de intencionalidad en el sancionado. En la indicada sentencia se señala que la posibilidad de imponer una sanción exige la concurrencia de culpabilidad en los grados de dolo y culpa o negligencia grave, no siendo suficiente la mera negligencia. Es por ello que se excluye la posibilidad de sancionar por la mera concurrencia de un resultado, entendiendo el Tribunal Constitucional que “el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional”. En apoyo de su argumentación, indica asimismo varias sentencias de la Audiencia Nacional En la misma línea, trae a colación la Sentencia de la Audiencia Nacional, Sala de lo Contencioso, de 25 de febrero de 2010, nº de Recurso 226/2009, que específicamente recoge: “La LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no puede abarcar un supuesto como el analizado. En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www.portalatino.com, descargándose una copia de esta. Y, tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad”. Remarca TPHS la similitud del presente supuesto de hecho con el recogido en la extractada Sentencia de la Audiencia Nacional de 25 de febrero de 2010: se trata de intrusiones cometidas de manera ilegal, por terceros organizados y con altos conocimientos informáticos, dirigidos a una actividad delictiva muy elaborada. Por lo tanto, arguye TPHS que la superación por un tercero de las medidas de seguridad no puede determinar por sí sola que las mismas no sean adecuadas o suficientes. Así lo reconoce la propia AEPD en el expediente E/05168/2021, cuya denuncia es archivada tras comprobarse las medidas de seguridad implementadas. En este caso, se consideró por la AEPD que, a pesar de producirse un acceso a los datos personales por un tercero no autorizado, tras superar las medidas de seguridad implantadas, se había desplegado un nivel de diligencia suficiente y adecuado. Es decir, que la mera concurrencia del resultado de un acceso no autorizado no puede determinar la automática consideración de las medidas de seguridad como inadecuadas. Concluye por ello TPHS que la AEPD ha venido configurando un criterio de archivo en los casos de brechas de seguridad sufridas por las entidades como consecuencia de la intervención delictiva de un tercero, basado en la presunción de inocencia, el cuál contradice abiertamente en el presente Acuerdo y que, con esta fundamentación jurídica, la AEPD no sólo contradice sus propios precedentes, sino que resulta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/197 frontalmente contraria a la jurisprudencia aplicable. Entre otras, la Sentencia del Tribunal Supremo (STS) 5298/1994, de 9 de julio de 1994, que indica: “…la potestad sancionadora de la Administración goza de la misma naturaleza que la potestad penal, por lo que en consecuencia, las directrices estructurales del ilícito administrativo tienden también, como en el ilícito penal, a conseguir la individualización de la responsabilidad, vedando cualquier intento de construir una responsabilidad objetiva o basada en la simple relación con una cosa, por consiguiente en el ámbito de la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción u omisión imputable a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable (STC, Sala del artículo 61 de la Ley Orgánica del Poder Judicial, de 6 de noviembre de 1990)”. Reseña asimismo la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, indicando que en su Fundamento Jurídico 3º, señala “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento” Indica asimismo en dicho Fundamento Jurídico 3º que “el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia " o "de comportamiento". La diferencia radica en la responsabilidad en uno y otro caso, pues mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y la diligencia utilizada, “en la obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable”. Es por ello por lo que TPHS considera que el Acuerdo de Inicio no es ajustado a Derecho, pues impone a PHONE HOUSE una obligación de resultado, consistente en el establecimiento de medidas infalibles, al imputar una infracción del artículo 5.1
9. f)basándose únicamente en el resultado lesivo que se produce por la intervención ilícita y organizada de terceros, sin atender a la diligencia utilizada y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas. Resalta TPHS que la implementación de dichas medidas inquebrantables, ni es viable, puesto que toda medida por muy segura que sea, y cuente con las garantías e incluso certificaciones de seguridad oportunas, tiene vulnerabilidades y no son totalmente seguras, ni es exigible por la normativa que resulta de aplicación. Por último, señala TPHS que la AEPD vincula, así mismo, la comisión de una infracción del Artículo 5.1
10. f)del RGPD por PHONE HOUSE a la publicación de los datos objeto de la brecha de seguridad en la Deep Web, actuación cometida por, como reconoce la propia Agencia, los ciberdelincuentes. Recuerda TPHS que dicha asociación, totalmente improcedente, ya ha sido analizada y refutada en la Alegación Tercera de este escrito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/197 5.- SOBRE EL NIVEL DE RIESGO DE LOS TRATAMIENTOS En esta alegación, TPHS se centra, a la hora de abordar el cumplimiento por parte de la Compañía del art. 32 RGPD, en que es especialmente relevante considerar el nivel de riesgo asociado a los tratamientos de datos personales llevados a cabo por ésta, ya que, como dice la propia Agencia en su Acuerdo de Inicio, “deben evaluarse los riesgos que el tratamiento supone para la disponibilidad, integridad y confidencialidad de los datos personales para así, establecer un nivel de seguridad adecuado a ello”. En este sentido, señala que para valorar el nivel de riesgo de los tratamientos llevados a cabo por TPHS, la Agencia considera los siguientes aspectos: (
11. i)que la Compañía lleva a cabo un tratamiento a gran escala, (
12. ii)que realiza perfilados, (iii) que instala sistemática de zonas de acceso público. Considera TPHS determinante señalar que, aun cuando en sus análisis internos se ha tenido en cuenta un riesgo de profiling por parte de la Compañía en relación con dos actividades de tratamiento recogidas en el registro de actividades de tratamiento (Marketing Digital y Comunicaciones comerciales), en la práctica no elabora perfiles en el sentido del art. 4