PS-00093-2024

1/60  Expediente N.º: EXP202402612 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 5 de octubre de 2022 y 4 de noviembre de 2022, se reciben dos notificaciones de brechas de seguridad por parte de MARKTEL GLOBAL SERVICES S.A, (en lo sucesivo MARKTEL) con número de registro de entrada REGAGE22e00044254458 y REGAGE22e00049917967. Del contenido de ambas notificaciones se extrae la siguiente información relevante: - Descripción de la brecha: “(…)” - Datos afectados: Datos básicos (Ej.: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos económicos o financieros (sin medios de pago), Datos de contacto. Personas afectadas: 4251. Fecha de detección: 3 de octubre de 2022 (misma que la fecha de inicio). Fecha resolución incidente: 4 de noviembre de 2022. Se ha interpuesto denuncia ante autoridades policiales. Se ha informado a 4251 afectados en fecha 6 de octubre de 2022. - SEGUNDO: En fecha 29 de octubre de 2022 y registro de entrada REGAGE22e00048731676, se recibió notificación de brecha de seguridad por parte del responsable de tratamiento SANTANDER CONSUMER FINANCE S.A. (en lo sucesivo SANTANDER CONSUMER o SCF) con la siguiente información asociada: - Descripción: “(…)” Datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de contacto. Afectados: 28120. Fecha detección: 28 de octubre de 2022. Fecha de inicio: 3 de octubre de 2022. Hay denuncia ante autoridades policiales. Afirman que los afectados no serán informados. TERCERO: En fechas 22 de octubre de 2022 y 21 de noviembre de 2022, se recibieron dos notificaciones de brecha por parte de ORANGE ESPAGNE SAU (en lo sucesivo ORANGE u ORANGE ESPAGNE), de su contenido se extrae la siguiente información: - Descripción: “(...)” Número de afectados: 742852. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/60 - Fecha detección: 20 de octubre de 2022. Fecha en la que se informa a los afectados: 4 de noviembre de 2022. CUARTO: En fecha 10 de noviembre de 2022 se ordena a SANTANDER CONSUMER que comuniqué la brecha de daros personales a los afectados y que confirmara, en el plazo de 30 días que se ha dado cumplimiento a la orden. QUINTO: En fecha 18 de noviembre de 2022, A.A.A. (en adelante, la parte reclamante uno) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ORANGE. y MARKTEL.). Los motivos en que basa la reclamación son los siguientes: “El reclamante es un cliente de JAZZTEL al que la operadora comunicó que sus datos personales (nombre, apellidos, dirección, teléfono, correo electrónico, nº de documento de identidad, fecha de nacimiento, nacionalidad, y el código IBAN ((número de cuenta bancaria internacional)) pudieron haberse visto expuestos como consecuencia de un incidente de seguridad que afectó a un proveedor de la compañía. El afectado solicitó que se le concretaran los datos expuestos, recibiendo como respuesta todos los datos enumerados anteriormente, a excepción del código IBAN.” Fecha en la que tuvieron lugar los hechos reclamados: 11 de noviembre de 2022. Documentación relevante aportada por la parte reclamante: - Se adjunta captura de pantalla del correo recibido por parte de JAZZTEL comunicando la violación de seguridad e informando sobre la afectación de sus datos personales, este correo tiene fecha de 11 de noviembre de 2022. Se adjunta captura de pantalla de la respuesta que da el usuario a JAZZTEL tras la recepción del correo anterior, solicitando más información sobre el incidente de seguridad y la afectación de sus datos personales. Se adjunta captura de pantalla de la respuesta que da JAZZTEL al correo anterior enviado por el usuario, ofreciendo al reclamante más detalles sobre la brecha. Este correo tiene fecha de 17 de noviembre de 2022. SEXTO: En fecha 9 de diciembre de 2022, B.B.B. (en adelante, la parte reclamante dos), interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ORANGE. y MARKTEL. Los motivos en que basa la reclamación son los siguientes: “El reclamante es un cliente de ORANGE al que la operadora comunicó que sus datos personales (nombre, apellidos, dirección, teléfono, correo electrónico, nº de documento de identidad, fecha de nacimiento, nacionalidad, y el código IBAN) pudieron haberse visto expuestos como consecuencia de un incidente de seguridad que afectó a un proveedor de la compañía”. Fecha en la que tuvieron lugar los hechos reclamados: 9 de diciembre de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/60 Documentación relevante aportada por la parte reclamante: Se adjuntan capturas de pantalla de los correos recibidos por parte de ORANGE comunicando la filtración de sus datos personales. El contenido de este correo electrónico lleva la firma tanto del DPD de ORANGE como de ORANGE BANK, en el contenido se hace referencia a que ambas entidades actúan como responsables de tratamiento, al ser ORANGE BANK responsable de la financiación de los dispositivos adquiridos por el cliente cuyos datos personales se han visto afectados. SÉPTIMO: Tras la orden de esta Agencia, de 10 de noviembre de 2022, de comunicación a los afectados, SANTANDEER CONSUMER procedió a realizar dicha comunicación en las siguientes fechas y por los siguientes medios: - Día 07 de diciembre de 2022: 67.268 afectados informados por email. - Día 09 de diciembre de 2022: 30.578 afectados informados por email. - Día 12 de diciembre de 2022: 9.956 afectados informados por email. - Día 13 de diciembre de 2022: 6.184 afectados informados por email. - Día 15 de diciembre de 2022: 9.571 afectados informados con SMS con enlace a la información. Del resto de afectados (1.038) SANTANDER CONSUMER informa que no dispone de datos de contacto válidos. OCTAVO: En fecha 15 de diciembre de 2022, y registro de entrada REGAGE22e00057522607, se recibió nuevo escrito de notificación de brecha de seguridad por parte del responsable de tratamiento, SANTANDER CONSUMER, por cambio sustancial de información de la brecha reportada el 29 de octubre de 2022, con número de registro REGAGE22e00048731676. Tras investigaciones posteriores, se encuentra un número mayor de afectados. En algunos casos (105.401 casos), el fichero robado tenía los datos del código IBAN completo. Datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de medios de pago (Tarje-ta bancaria, etc.…), Datos de contacto. Afectados: 124.595 Fecha detección: 28 de octubre de 2022. Fecha de inicio: 3 de octubre de 2022. Nº personas informadas 123.557 NOVENO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), en fecha 23 de diciembre de 2022, se dio traslado de dichas reclamaciones, por lo que aquí interesa, a ORANGE y a MARKTEL, para que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/60 procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En el traslado de las reclamaciones se solicitaba la siguiente información: - Descripción detallada y cronológica de los hechos. Causas que hicieron posible el incidente. Personas y categoría de datos personales afectadas. Posibles consecuencias para los afectados. Acciones tomadas para solucionar el incidente. Los análisis de riesgos y medidas de seguridad preventivas concluidas, así como evaluaciones de impacto en su caso. Copia del Registro de Actividades de Tratamientos donde se ha producido incidente. Información sobre la posible comunicación a las personas afectadas. Información sobre la posible notificación del incidente ante esta Agencia. DÉCIMO: En fecha 23 de enero de 2023 y registros de entrada REGAGE23e00004620337 y REGAGE23e00004620561 se recibe respuesta por parte de MARKTEL al traslado de la primera reclamación, adjuntando los siguientes documentos: - Documento interno con el registro del incidente, de 3 de octubre de 2022. Documento interno con el informe técnico del incidente, con fecha 2 de noviembre de 2022. Documento formato Excel con un análisis de riesgos de los tratamientos afectados por la brecha de seguridad. Documento acreditativo de la certificación ISO 27001. Documento acreditativo de la contratación de servicio de ciberseguridad con la empresa Sophos. De la documentación aportada a esta AEPD se extrae la siguiente información: El incidente es detectado el 3 de octubre de 2022 en torno a las 5:15 horas y estuvo basado en un ataque intencionado por parte del grupo de ciberdelincuentes conocido como Lockbit, que consiguió penetrar en los sistemas de seguridad de la compañía llevando a cabo el cifrado de datos de la empresa y robo de contenido sensible. Se afirma que no se ha podido concretar las causas que hicieron posible el incidente, pero se baraja la utilización de algún servidor desactualizado, el ataque a través de ingeniería social o correo spam como posibles causas. Se investigarán más detalles sobre esto en nuevo requerimiento de información. El ataque es detectado por los elementos de seguridad de la plataforma antimalware de Sophos, siendo el malware detectado el Ransomware Lockbit 3.0. Se solicitará acreditación de esta detección en un nuevo requerimiento de información. Se afirma que tras el incidente se procedió a contratar los servicios de análisis forense a través de la compañía Entelgy, recibiendo la Delegada de Protección de Datos de MARKTEL en fecha 17 de octubre de 2022 un informe preliminar de este análisis que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/60 identificaba datos de carácter personal filtrados en la Dark Web, confirmándose que estos datos procedían del contrato de servicios con ORANGE ESPAGNE para la campaña de recobros de impagos. Tras varios intentos de extorsión por parte del grupo atacante (no atendidos por MARKTEL) se terminó publicando en fecha 27 de octubre de 2022 un mayor volumen de datos personales de clientes operados por MARKTEL. El 30 de octubre de 2022 el equipo de tecnología de MARKTEL obtuvo más evidencias de esta filtración y se comunicó el alcance de la filtración al Delegado de Protección de Datos. Se afirma que el 19 de octubre de 2022 MARKTEL notifica inicialmente el incidente a ORANGE ESPAGNE a través de su oficina de protección de datos y posteriormente, el día 2 de noviembre de 2022, se realizó una segunda notificación aportando información actualizada y adjuntando el informe técnico del incidente. Se solicitará la acreditación de ambas notificaciones en un nuevo requerimiento de información. Se afirma que se interpuso denuncia ante policía y se comunicó al INCIBE. Se solicitará su acreditación en nuevo requerimiento de información. Del informe técnico del incidente adjuntado se extrae la siguiente información relevante: )a El ataque cifró el servidor ICS Producción que daba servicio a ORANGE ESPAGNE y borró la máquina de Backup Nas Signology que contenía su copia de seguridad, no obstante, se afirma se procedió a recuperar los archivos de datos que existían en el sistema SFTP de intercambio de ficheros y que tenían una antigüedad de 4 meses. Se solicitará en nuevo requerimiento de información para que aclaren esta afirmación y que confirmen si hubo pérdida de datos por no poder disponer de copias completas recientes de los datos personales. )b Tras detectarse el incidente se realizaron las siguientes acciones: se pararon los entornos de producción, se aislaron de la red los elementos afectados, se crearon nuevos entornos productivos, se subieron copias de seguridad y se realizó un análisis del impacto general del ataque. )c En relación con la información publicada en la Dark Web, se afirma que tras analizar los ficheros se confirmó la afectación de los siguientes datos:  Se filtró la tabla “Clientes” de la base de datos que contenía 1.027.969 registros (con un total de 803.099 números de DNI únicos) y los siguientes campos:  DNI.  Nombre y Apellidos.  Teléfono.  Email.  Dirección (Calle, Número, Localidad, CP).  Fecha Nacimiento.  Números de cuenta IBAN sin ofuscar de 517.326 registros, (para el resto de los registros estaba ofuscado o no incorporaban este dato). )d Se afirma que hasta la fecha de noviembre de 2021 el dato IBAN se almacenaba de forma abierta en base de datos, no obstante, a finales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/60 de noviembre de 2021 se procedió a ofuscar este dato, motivo por el que entre los datos filtrados existen registros con dato IBAN en claro. )e Se afirma que tras realizar las correspondientes verificaciones de los datos filtrados se concluye que existen datos de 742.852 afectados. )f Se afirma que en fecha 20 de octubre de 2022 MARKTEL notificó el incidente a ORANGE reportando la afectación de los siguientes datos personales de clientes (se solicitará su acreditación en nuevo requerimiento):  Datos identificativos (nombre y apellidos, NIF/DNI/Tarjeta Residencia/Pasaporte, dirección, correo electrónico, teléfono).  Datos de facturas (Titular cuenta corriente/contrato, numero de factura, importe de factura, deuda actual y total).  Datos de características personales (fecha de nacimiento y nacionalidad)  Datos de Productos: Paquetes, tarifa, fecha de alta, fecha de baja. )g Se confirma el siguiente listado de medidas preventivas que existían implantadas por MARKTEL (se solicitará acreditación en nuevo requerimiento de información):  (…) Se confirma el listado de medidas reactivas adoptadas por MARKTEL tras el incidente (se solicitará acreditación en nuevo requerimiento de información):  (…) Se afirma que están a la espera de recibir el resultado de la auditoría contratada con Deloitte, no obstante, por los análisis internos realizados se piensa que el vector de ataque pudo venir provocado por un ataque de fuerza bruta contra el servicio SSH, haciendo uso de un servidor Command and Control, y con un posterior desplazamiento lateral. Se solicitará la copia del informe de auditoría realizado por Deloitte en nuevo requerimiento de información. En la respuesta al traslado también se adjunta documento con el análisis de riesgos de fecha de creación mayo de 2018 y actualizado el 20 de octubre de 2022, de este documento se extrae la siguiente información relevante: Se realiza un análisis de necesidad y proporcionalidad del tratamiento y del ciclo de vida de los datos. Se identifican y analizan 19 factores de riesgo a los que se asigna un valor cuantitativo a la probabilidad e impacto, obteniéndose como resultado un valor de riesgo inherente, concluyéndose con un listado de medidas de control mitigadoras que dan lugar a un nuevo valor de riesgo residual. Se especifica también un apartado con las nuevas medidas de seguridad incluidas a raíz de la presente brecha y la consecuente actualización del riesgo residual. Los factores de riesgo identificados y analizados son:  (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/60 - Se adjunta el Registro de Actividades de Tratamiento (RAT) de MARKTEL actuando como encargado de tratamiento de ORANGE/JAZZTEL, recogiendo la siguiente información: )a La finalidad de los tratamientos (Gestión extrajudicial o precontenciosa de deudas y gestión de cobros fallidos o deudas antiguas). )b Las categorías de datos tratados y las categorías de interesados afectados. )c Los plazos de supresión. )d Las posibles transferencias internacionales. )e Descripción de las medidas de seguridad implantadas para garantizar los tratamientos. - En relación con la comunicación a los afectados, se afirma que desde MARKTEL no se realizó ninguna notificación al actuar en todo momento como encargado de tratamiento de los datos personales afectados, se afirma que MARKTEL se limitó a seguir las instrucciones del responsable afectado. UNDÉCIMO: En fecha 27 de enero de 2023 y registros de entrada REGAGE23e00005596907 y REGAGE23e00005596460 se recibe respuesta al traslado de la primera reclamación por parte de ORANGE, del análisis de la documentación aportada se extrae la siguiente información. - - - - Se acredita la notificación de la brecha recibida por parte del encargado MARKTEL en fecha 19 de octubre de 2022. Se afirma que entre los datos personales afectados existen clientes de SANTANDER CONSUMER Y/O ORANGE BANK SA (en adelante ORANGE BANK), entidades con las que ORANGE tiene un acuerdo para financiar terminales adquiridos por sus clientes y respecto de los cuales el propio ORANGE actuaba como encargado de tratamiento para la gestión de las operaciones de recobro en caso de impago, servicio para el que se tenía subcontratada a MARKTEL. Se afirma que se procedió a notificar el incidente a estos responsables de tratamiento afectados en fecha 25 de octubre de 2022. Se solicitará su acreditación en un nuevo requerimiento de información. Se afirma que tras tener constancia del incidente se decide suspender el servicio contratado con MARKTEL hasta que existiesen garantías de seguridad. Se afirma 742.852 clientes afectados con los siguientes datos filtrados: Nombre y apellidos, DNI, dirección, email, fecha y lugar de nacimiento, nacionalidad, teléfono, IBAN, titular cuenta corriente, importe factura, deuda actual y total. En relación con el dato IBAN, afirman que en fecha 23 de noviembre de 2021 se dejó de entregar este dato al subencargado MARKTEL. En relación con las posibles consecuencias, se afirma que las personas afectadas podrían encontrar inconvenientes importantes, produciendo un daño limitado que podrán superar a pesar de algunas dificultades, no obstante, se afirma que no se tiene constancia de la materialización de esta posible consecuencia en ningún cliente afectado. Se afirma que se comunicó el incidente de seguridad a los afectados en fechas comprendidas entre el 4 de noviembre de 2022 y 7 de noviembre de 2022. Se solicitará su acreditación en un nuevo requerimiento de información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/60 - - - - - Se afirma que entre los días 7 y 9 de diciembre de 2022 se hizo nueva comunicación a los afectados identificando a SANTANDER CONSUMER Y ORANGE BANK como responsables de tratamiento. Se solicitará acreditación en nuevo requerimiento de información. En relación con las medidas adoptadas por parte de ORANGE para dar respuesta al incidente se adjunta el siguiente listado: (…) Se acredita un documento que contiene un análisis de los factores de riesgos del tratamiento, este documento es el mismo que el aportado previamente en la respuesta dada por el encargado MARKTEL y referenciado en puntos anteriores. En relación con la comunicación a los afectados se afirma que se utilizaron las vías SMS y Email, siendo el texto remitido distinto en función de si estaba afectado o no el dato IBAN. Se solicitará acreditación de todas las comunicaciones realizadas en un nuevo requerimiento de información. Se aporta un documento con el plan de acción incluyendo las medidas reactivas adoptadas por MARKTEL y su fecha de implantación: (…) DUODÉCIMO: Se reciben asimismo las respuestas dadas por MARKTEL y ORANGE al traslado de la segunda reclamación de las que no se obtiene información adicional relevante a la ya analizada en los antecedentes anteriores. DECIMOTERCERO: En febrero de 2023 ambas reclamaciones fueron admitidas a trámite. DECIMOCUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Por parte del inspector se realiza búsqueda en internet de la filtración de datos existente, detectándose un único punto de difusión a través de la página web del grupo atacante Lockbit en la Dark web. Se constata que el grupo realizó una primera publicación de datos el 12 de octubre de 2022, procediendo posteriormente a la publicación de un archivo de mayor volumen de datos (de 43 GB) en fecha 30 de octubre de 2022. En la inspección se ha procedido a descargar en entorno seguro y analizar la tipología de datos personales que contenía esta filtración, obteniéndose las siguientes conclusiones: - Tal y como se afirma en el informe técnico del incidente aportado por MARKTEL, existe una carpeta ***REFERENCIA.1 que almacena los siguientes archivos SQL relevantes con datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/60 )a ***REFERENCIA.2: incluye datos personales de clientes que coinciden con la información aportada en el informe técnico del incidente de MARKTEL. )b ***REFERENCIA.3: con idéntica información a la que contiene el informe técnico del incidente aportado por MARKTEL. - Carpeta ***REFERENCIA.4 que contiene una exportación de la tabla de base de datos con nombre ***REFERENCIA.5 que incluye los campos id_cliente, edad, sexo, estado_civil, estado_laboral, código postal, población, provincia, hijos, edad de los hijos, poder adquisitivo. Esta información podría no ha sido mencionada en las notificaciones de brechas ni en la respuesta al traslado de la reclamación por parte de MARKTEL. Por otro lado, por parte de la inspección se detecta que esta Agencia llevó a cabo la notificación de una orden de comunicar a los afectados por la brecha notificada por SANTANDER CONSUMER, esta orden se notifica el 8 de noviembre de 2022 requiriéndose confirmación de su cumplimiento en un plazo de 30 días. Se da cumplimiento a esta orden por parte de este responsable. Teniendo en cuenta la información obtenida en este punto de la investigación, en fecha 29 de mayo de 2023, se decide realizar nuevo requerimiento de información dirigido a MARKTEL, ORANGE ESPAGNE y SANTANDER CONSUMER, marcado por las siguientes líneas de investigación: - - - Para MARKTEL: )a Investigar todos los posibles responsables de tratamiento afectados por la filtración de los datos. )b Solicitar el informe de auditoría realizado por Deloitte. )c Investigar el vector de ataque de la brecha. )d Solicitar la acreditación de las medidas preventivas listadas y referenciadas. Para ORANGE ESPAGNE: )a Investigar la correcta formalización de los encargos de tratamiento. )b Investigar la posible pérdida de disponibilidad de los datos por la brecha. )c Investigar la correcta comunicación a los afectados. Para SANTANDER CONSUMER: )a Investigar la adecuación del contrato de encargo con ORANGE ESPAGNE. )b Investigar la comunicación a los afectados como responsable de tratamiento. )c Investigar la existencia de análisis de riesgos para los derechos y libertades de las personas afectadas. En fecha 19 de junio de 2023 y registros de entrada REGAGE23e00039953302, REGAGE23e00039953372, REGAGE23e00039953646, REGAGE23e00039953646, REGAGE23e00039953771 y REGAGE23e00039953828 se recibe respuesta al requerimiento por parte de MARKTEL, de su análisis por el inspector se extrae la siguiente información relevante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/60 - Se confirma que los datos personales filtrados pertenecen a los encargos formalizados con ORANGE ESPAGNE. Acreditan los contratos de encargo, de su análisis por el inspector se concluye: )a El contrato de encargo de prestación de servicios de call center con ORANGE ESPAGNE (identificada en el contrato como OSP) sustituye al firmado en 2018, sobre servicios de recobros, y produce efectos desde el 1 de enero de 2022 e incorpora el objeto del encargo de tratamiento, los datos personales afectados, las categorías de interesados, las obligaciones asumidas por el encargado y las medidas de seguridad. En cuanto a las medidas de seguridad se recoge en la cláusula 17 “Protección de Datos” apartado 2.6.

1. d)del contrato lo siguiente: En los casos en que los datos sean tratados en los sistemas del PROVEEDOR, este se obliga a garantizar, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto, y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, la aplicación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad al riesgo que, en su caso y entre otros, incluya: • La seudonimización y el cifrado de datos personales; • La capacidad de garantizar la confidencialidad, la integridad y la disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; • La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; • Un proceso de verificación, evaluación y valoración regular de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. Al evaluar la adecuación del nivel de seguridad, el PROVEEDOR tendrá particularmente en cuenta, los riesgos que presente el tratamiento de datos, en particular, como consecuencia de la destrucción, pérdida o alteración, accidental o ilícita, de datos personales transmitidos, conservados o tratados de otra forma, así como la comunicación o acceso no autorizados a dichos datos. El PROVEEDOR deberá implementar al menos, las medidas técnicas y organizativas descritas en el Anexo de la Seguridad de la Información adjuntas al presente Contrato, así como cualesquiera otras medidas de seguridad que ORANGE determine en cada momento y comunique al PROVEEDOR El Anexo III de la Seguridad de la Información adjunto al citado Contrato, establece lo siguiente: ANEXO III MEDIDAS ESPECÍFICAS EN MATERIA DE SEGURIDAD DE LA INFORMACIÓN Y CÓDIGO DE CONDUCTA DE PROVEEDORES Y CONTROL DE FRAUDE Y REVENUE ASSURANCE (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/60 - - Afirman que detectaron el ataque al notar, la mañana del 3 de octubre de 2022, que algunas aplicaciones presentaban anomalías de denegación de acceso, observándose a partir de este momento la existencia de elementos cifrados en los servidores. Se acredita documentalmente que el sistema de protección antimalware Sophos también detectó y alertó del ataque y posteriores movimientos laterales en los servidores, en este momento se escaló la incidencia al equipo de ciberseguridad. Se acredita la denuncia interpuesta el 7 de octubre de 2022 ante las fuerzas y cuerpos de seguridad, en esta se incorporaron las siguientes afirmaciones realizadas por MARKTEL: )a “El ataque se trata de un ransomware cuyo objetivo es bloquear el acceso al dispositivo afectado, en concreto se trata del denominado Lockbit 3.0”. )b “Tras el incidente se ha podido comprobar que cuatro servidores internos se han visto afectados por el ataque, afectando a sistemas como SAP, SAGE y herramientas internas que afectan a la empresa para atender obligaciones ante organismos oficiales”. )c “Las medidas y acciones para minimizar el daño consistieron en suspender los servicios del grupo, es decir, aislarlos, como medida de precaución y poder así frenar la propagación. Una vez identificado el ataque, se ha procedido a realizar las tareas de limpieza. Paralelamente, desde el equipo de ciberseguridad, se estableció un sistema de control y monitorización permanente.” - - - - Afirman que no fue hasta el 17 de octubre de 2022 cuando la empresa contratada para el análisis forense informó de la filtración de datos personales en la Dark Web, afirman que en esta fecha se conoció con certeza la existencia de brecha de seguridad relativa a datos del encargo con ORANGE ESPAGNE y VODAFONE ESPAÑA. Se acredita las notificaciones que realiza MARKTEL como encargado de tratamiento a los dos responsables anteriores, esta notificación se hizo el 19 de octubre de 2022. En relación con la recuperación de los datos personales cifrados, se afirma que MARKTEL trabaja con una copia de los datos personales de cada responsable, y, por tanto, los datos seguían disponibles en todo momento por lo que no hubo afectación a la disponibilidad. En relación con nuestra solicitud para que aclaren el motivo por el que existía, entre los datos filtrados, una tabla de base de datos con nombre ***REFERENCIA.5 conteniendo un mayor número de datos personales a los notificados en la brecha, responden que esta tabla no pertenece a MARKTEL sino a la empresa MIA ADVANCED SYSTEMS SL ,y que se encontraba en servidores de MARKTEL porque este presta un servicio de alojamiento de la información en sus servidores a esta empresa, no obstante, afirman que los datos que contiene esta tabla son anónimos y que no permiten la identificación de personas físicas, existiendo únicamente datos agrupados por clúster de interés y utilizados para mejorar la eficiencia de las operaciones. Se aporta documento con el informe de auditoría realizado por Deloitte en fecha 1 de diciembre de 2022, en este se concluye que no se pudo determinar el vector de entrada de la brecha, apuntando que el incidente pudo estar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/60 - provocado por un ataque por medio de un servidor “Command and Control” hacia uno de los servidores corporativos de MARKTEL a través de intentos de inicio de sesión remoto SSH. Se acreditan también dos informes de las empresas Entelgy y Sophos sobre las causas del incidente, de su análisis por el inspector se obtienen las siguientes afirmaciones textuales: (…) - Se afirma que existe implantado una “política de backup doble” que realiza copias de seguridad en los propios servidores de producción y en cuatro servidores NAS de alta capacidad, dos de los cuales se vieron comprometidos siendo encriptados sus discos y borrado el sistema operativo. Tras el incidente se implementó (…). - Se acreditan documentalmente las siguientes medidas preventivas concluidas del análisis de riesgos: )a (…) - En relación con la acreditación de la comunicación de los afectados, afirman que MARKTEL únicamente ha notificado a los responsables de tratamiento afectados, siendo estos los que han procedido posteriormente a comunicar el incidente a los afectados. Se acredita la notificación realizada a ORANGE ESPAGNE y VODAFONE ESPAÑA vía email en fecha 19 de octubre de 2022. En fecha 20 de junio de 2023 y registros de entrada REGAGE23e00040164903 y REGAGE23e00040165559 se recibe respuesta al requerimiento por parte de ORANGE ESPAGNE, de su análisis se extrae la siguiente información relevante: - Se aporta copia del contrato de encargo con SANTANDER CONSUMER. de su análisis se concluye: En relación con el contrato de encargo con SANTANDER CONSUMER se aporta documento formalizado en fecha de firma 7 de julio de 2015 con la siguiente información relevante:     C/ Jorge Juan, 6 28001 – Madrid Objeto del encargo: prestación de servicios de facturación, recobro, postventa, gestión de derechos ARCO y gestión de datos de deudores en la cesión de créditos. Obligaciones del encargado, entre las que se hace referencia a la necesidad de aplicar las medidas de nivel medio, a gestionar los derechos ARCO, a realizar las comunicaciones a los afectados, a notificar los accesos no autorizados (entre otras obligaciones). Recoge como anexo la inscripción de los ficheros afectados en el Registro General de la AEPD, siguiendo la antigua normativa de protección de datos. En cuanto a la subcontratación se establece: www.aepd.es sedeagpd.gob.es 13/60 “El ENCARGADO DEL TRATAMIENTO podrá subcontratar con un tercero los servicios objeto del Contrato de Prestación de Servicios, siempre y cuando se cumplan los siguientes requisitos: - Que el ENCARGADO DEL TRATAMIENTO comunique todos los datos (denominación social, domicilio social, número de identificación, etc.) del subcontratista al RESPONSABLE DEL FICHERO, de forma escrita, con anterioridad a su contratación. - Que el tratamiento de los datos por parte del subcontratista se ajuste en todo caso a las instrucciones del RESPONSABLE DEL FICHERO. - Que se formalice por escrito un contrato entre el ENCARGADO DEL TRATAMIENTO y la empresa subcontratista, en los mismos términos que el presente documento, y en el que se exprese que el subcontratista se ajustará a las instrucciones del RESPONSABLE DEL FICHERO. Una vez firmado el contrato, el ENCARGADO DEL TRATAMIENTO se obliga a enviar una copia del mismo al RESPONSABLE DEL FICHERO. El ENCARGADO DEL TRATAMIENTO controlará la calidad y nivel de cumplimiento de las obligaciones de los proveedores con los que hubiese subcontratado con la misma diligencia que debe observar en el cumplimiento de sus propias obligaciones, respondiendo personalmente de ello y exonerando de toda responsabilidad derivada de sU actuación al RESPONSABLE DEL FICHERO.” - Se aporta copia del contrato de encargo suscrito entre ORANGE ESPAGNE y MARKTEL, ya analizado en puntos anteriores. - En relación con la acreditación de la notificación de la brecha a cada responsable afectado, se aporta captura de pantalla de los correos electrónicos enviados el 25 de octubre de 2022 dirigidos a SANTANDER CONSUMER, el contenido es el siguiente: “(…)”. - Se obtienen las siguientes afirmaciones relevantes realizadas por parte de ORANGE ESPAGNE: )a “Entre los afectados se determinó que existían clientes de Santander Consumer Finance y/o Orange Bank, entidades con las que Orange tiene un acuerdo para financiar los terminales y equipos adquiridos por parte de los clientes de Orange/Jazztel, y respecto de los cuales Orange es, además, encargado de Tratamiento para la gestión de las operaciones de recobro en caso de impago de los mismos por cuenta de Santander Consumera Finance y/o Orange Bank. Respecto a estos clientes, Orange Espagne S.A.U. asume por tanto el doble rol de responsable y encargado de tratamiento sobre los datos. Esto queda debidamente reflejado en el extracto del RAT adjunto, en la columna ‘identificación encargado/subencargado’ junto con el detalle del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/60 )b “Respecto al número de afectados que fueron comunicados directamente, se remitieron 85.871 comunicaciones vía SMS; y 621.741 comunicaciones vía email, en función del canal de contacto del que se disponía. Se viene a aclarar que existían registros de los que no se disponía de canal de contacto (email o número de contacto) o éstos no eran correctos, por ejemplo, una dirección de email con formato incorrecto. A estos efectos, por resultar imposible el contacto directo con las personas afectadas, siguiendo lo dispuesto por la Guía para la notificación de brechas de datos personales emitida por esta Agencia, se publicó la siguiente entrada en el blog corporativo de Orange (cuyo acceso sigue disponible a fecha de la presente. Así mismo, a fin de que el incidente tuviera la suficiente difusión, de modo que no pasara desapercibido para ningún cliente de Orange/Jazztel, Orange procedió a comunicar el incidente al Instituto Nacional de Ciberseguridad para su publicación”. )c “Las comunicaciones se remitieron entre los días 4 de noviembre de 2022 y 7 de noviembre de 2022. Así mismo, como ya fue informado, entre los días 7 y 9 de diciembre de 2022, se remitió comunicación en los mismos términos, a aquellos clientes cuyos datos quedaron afectados y, al tener una deuda derivada de la adquisición de un terminal a plazos, sus datos eran igualmente tratados por los responsables Orange Bank y/o Santander Consumer Finance”. En fecha 19 de octubre de 2022 y registro de entrada REGAGE23e00039958979 se recibe respuesta al requerimiento por parte de SANTANDER CONSUMER, de su análisis por el inspector se extrae la siguiente información relevante: - En relación con el encargo de tratamiento con ORANGE ESPAGNE se realiza la siguiente afirmación: )a “Con fecha 7 de julio de 2015, las Partes formalizaron un Contrato de prestación de servicios que se adjunta como Documento nº 2 a la presente, mediante el cual Orange prestaría a Santander Consumer servicios de facturación, cobro, recobro y postventa a sus clientes y en el cual se regula el encargo de tratamiento de Orange.” )b “Que el 2 de enero de 2020, Santander Consumer recibe notificación de Orange por la que indica su intención de no prorrogar el Contrato de servicios. No obstante, se acuerda que se mantendrán por Orange los servicios en relación a los créditos cedidos a la fecha de vencimiento hasta la total percepción de los derechos económicos o finalización de los servicios de Recobro de los mismos. Se adjunta dicha comunicación como Documento nº2”. El documento nº2 adjunto contiene únicamente un correo enviado por SANTANDER COSUMER a ORANGE ESPAGNE dando acuse de la notificación recibida con la intención de no prorrogar el contrato marco de compraventa de créditos, afirmando también la voluntad del responsable de llegar a obtener “una mutua colaboración de buena fe no solo con el fin de facilitar una resolución ordenada de las relaciones del contrato, sino también en aras al mantenimiento por su parte de la gestión de servicios en relación a los créditos cedidos a la fecha de vencimiento hasta la total de los derechos económicos o la finalización de los servicios de recobro de los mismos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/60 - Aportan análisis de riesgos para los derechos y libertades de los tratamientos de las actividades afectadas por la brecha, concluyendo un alto riesgo en una de ellas y aportando la EIPD realizada en consecuencia. Del análisis de estos documentos por el inspector se obtiene: )a El análisis de riesgos tiene fecha de realización inicial agosto de 2020 y posterior actualización abril 2022 y mayo de 2023. )b Se incluye un análisis de la idoneidad, necesidad y proporcionalidad del tratamiento. )c Se incluye una descripción del tratamiento y del ciclo de vida de los datos. - En relación con la cronología y registro del incidente se afirma: )a Que el 25 de octubre de 2022 ORANGE ESPAGNE les notifica la brecha. )b “En un primer análisis del incidente, el total de clientes afectados ascendió a 28.120 y por ello el 29 de octubre de 2022 se decide reportar el incidente por Santander Consumer a la AEPD. Posteriormente y tras investigaciones realizadas el total de afectados ascendió a 124.595, como así se comunicó a la AEPD en la información con número de registro REGAGE22e00057522607. El 16 de noviembre de 2022 Santander Consumer recibió requerimiento de la AEPD para notificar a los interesados sobre el incidente, estableciendo un plazo de 30 días para responder a la Agencia. Entre el 7 y 16 de diciembre de 2022 y dentro del plazo estipulado, se envían las comunicaciones a los interesados y se responde a la Agencia”. )c Se afirma: “Que, con el objetivo de otorgar mayor transparencia y generar un menor impacto en los afectados, la comunicación ha sido realizada conjuntamente por Orange Espagne S.A.U. y Santander Consumer ya que (
2. i)los datos afectados son responsabilidad tanto de Orange Espagne S.A.U. (por los tratamientos derivados de los servicios de telecomunicaciones) como de Santander Consumer (por los tratamientos derivados de la financiación del terminal), y (
3. ii)Orange Espagne S.A.U. es así mismo encargado de Santander Consumer según el Acuerdo firmado por ambas partes el 7 de julio de 2015 para los tratamientos derivados de la financiación del terminal, incluyendo las comunicaciones con los clientes”. - Se aporta captura de pantalla acreditando la comunicación enviada vía email a las personas afectadas, el texto está firmado por los delegados de protección de datos de ORANGE ESPAGNE y SANTANDER CONSUMER y hace referencia a la actuación de ambas entidades como responsables de tratamiento de los datos afectados. DECIMOQUINTO: SANTANDER CONSUMER., es una entidad mercantil, cuya empresa matriz global es el Banco Santander, S.A. siendo ésta, según la información recogida en su propio “Informe anual 2022” del Grupo Santander, en el que consta estructura societaria del Grupo Santander y su volumen de negocio. En este informe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/60 consta que el volumen de negocio total anual global del Banco Santander, S.A. y sociedades dependientes (Grupo Santander) en el ejercicio financiero anterior a la comisión de la infracción, ejercicio 2021, fue de 52.117 millones de euros (ver página 836 del citado “Informe anual 2022”). DECIMOSEXTO: En fecha 16 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.
4. f)del RGPD, tipificada en el artículo 83.5 del RGPD. El acuerdo de inicio fue enviado, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibido en fecha 21 de febrero de 2024, como consta en el certificado que obra en el expediente DECIMOSÉPTIMO: Habiendo solicitado la ampliación del plazo que le fue concedido para formular alegaciones, así como copia del expediente, en virtud de lo establecido en el artículo 32.1 de la LPACAP, en fecha 23 de febrero de 2024, se acordó ampliar dicho plazo hasta un máximo de diez días, que debían computarse a partir del día siguiente a aquel en el que recibiera la copia del expediente. En fecha 20 de marzo de 2024, se remitió la copia solicitada de acuerdo con lo dispuesto en el art. 53.1
5. a)de la LPACAP. DECIMOCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la entidad investigada presentó escrito de alegaciones. DECIMONOVENO: En fecha 20 de diciembre de 2024, se formuló propuesta de resolución, proponiendo: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a SANTANDER CONSUMER FINANCE, S.A., con NIF A28122570, por la infracción del artículo 5.1.
6. f)del RGPD, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el artículo 72.1
7. a)de la LOPDGDD, con una multa de 500.000 euros. Que por la Directora de la Agencia Española de Protección de Datos se ordene a SANTANDER CONSUMER FINANCE, S.A., con NIF A28122570, que en virtud del artículo 58.2.
8. d)del RGPD, en el plazo de seis meses a partir de la firmeza de la resolución con la que finalice el presente procedimiento, acredite haber procedido a la implantación de las medidas necesarias para garantizar la confidencialidad e integridad de los datos por cuya cuenta se traten, así como que informe a esta Agencia, en el mismo plazo, sobre las medidas adoptadas.>> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibida en fecha 26 de diciembre de 2024, como consta en el certificado que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/60 VIGÉSIMO: En fecha 26 de diciembre de 2024, SANTANDER CONSUMER presentó un escrito a través del cual solicitaba la ampliación del plazo conferido para presentar alegaciones, así como el acceso al expediente administrativo. En fecha 30 de diciembre de 2024, el órgano instructor del procedimiento acordó la ampliación de plazo hasta un máximo de cinco días, que debían computarse a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones y se anexaba copia de los documentos añadidos al expediente, desde la respuesta a la última solicitud de acceso, de 21 de marzo de 2024, fecha en que le fue entregada copia íntegra por mensajería en un pen drive. El citado acuerdo fue notificado en fecha 30 de diciembre de 2024, como consta en el acuse de recibo que obra en el expediente. VIGESIMOPRIMERO: En fecha 20 de enero de 2025, SANTANDER CONSUMER presentó escrito de alegaciones a la Propuesta de Resolución, en el que, en síntesis, manifiesta que: PRIMERA. - VULNERACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA. Expone que resulta claramente vulnerado dicho principio, toda vez que no consta ni una sola actuación de investigación que permita concluir que efectivamente, el ciberataque perpetrado, trajo causa en una ausencia de medidas por parte del responsable del tratamiento y no en los actos vandálicos llevados a cabo por un tercero, que tiene la consideración de grupo criminal, según reconoce el Ministerio de Interior a través de su página web. Indica que nos encontramos ante un grupo criminal pionero en cuanto a la explotación de los modelos de ransomware, como servicio. Por lo tanto, considera que la AEPD no ha entrado a analizar el supuesto de hecho concreto, sino que simplemente se ha limitado a exigir la implementación de unas medidas de seguridad como una obligación de resultado y no de medios, por lo que existe una palmaria contradicción, toda vez que el criterio establecido por el Tribunal Supremo, en su Sentencia 188/2022 de 15 de febrero de 2022, vino a fijar que la obligación de adoptar medidas de seguridad es una obligación de medios. En consecuencia, manifiesta que se desprende una notable privación de las facultades de prueba y contradicción, derivándose un destacable desequilibrio en la posición que ocupa SANTANDER CONSUMER en el procedimiento y obteniéndose como resultado, la indefensión material, incurriéndose en el vicio de anulabilidad del art. 48.2 de la LPACAP. Le resulta cuanto menos llamativo que la AEPD haya omitido de plano realizar cualquier tipo de manifestación respecto al motivo que le ha llevado a apartarse de la posición mantenida por el Tribunal Supremo, en cuanto al criterio de exclusión de la imputación objetiva de la “prohibición de regreso”, máxime teniendo en cuenta que el impacto de las actuaciones derivadas de la acción dolosa de un grupo organizado, sobre la infracción que se pretende imputar, deriva de la decisión de no acceder a una extorsión por parte del encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/60 En definitiva, alega que esta Agencia basa sus alegaciones en meras hipótesis y sin que exista un razonamiento lógico y fundado en una coherente contradicción respecto de las alegaciones vertidas por esta parte en el escrito de alegaciones al Acuerdo de Inicio de Procedimiento Sancionador. SEGUNDA. - ADECUADAS MEDIDAS DE SEGURIDAD E INEXISTENCIA DE INTENCIONALIDAD O NEGLIGENCIA MAYOR O SUPERIOR A LA DEL TIPO QUE PUEDA TOMARSE EN CONSIDERACIÓN PARA AUMENTAR LA GRAVEDAD DEL HECHO. Recalca que la Compañía no puede ser considerada responsable de la infracción que se le imputa, dado que la brecha de seguridad ocurrida en los soportes del Subencargado del Tratamiento fue consecuencia directa de un ataque perpetrado por un grupo criminal que empleó técnicas avanzadas de ingeniería informática para comprometer las medidas de seguridad establecidas. Así las cosas, considera que la Resolución no valora la influencia determinante de la actuación de un tercero, en este caso, un grupo criminal con alcance internacional que opera fuera del marco legal, siendo claro, como se ha establecido ut supra, que el ataque orquestado se alinea con las características previstas en el marco penal, al haber sido llevado a cabo mediante técnicas avanzadas que superan los estándares de seguridad, lo que pone de manifiesto el propósito, resultando fundamental destacar que la Compañía no puede ser considerada culpable de la infracción que se le imputa, ya que la brecha de seguridad no fue resultado de una acción u omisión negligente de su parte, sino de un hecho externo y extraordinario. Tal y como reconoce la jurisprudencia, alega que, para poder determinar la sanción, así como su cuantía, es necesario tomar en consideración la intencionalidad o negligencia en la infracción, del mismo modo que la naturaleza, gravedad y duración de la infracción, las categorías de los datos de carácter personal afectados, la forma en que se tuvo conocimiento de la infracción. Por lo tanto, considera que la AEPD -de manera unilateral- decide no aplicar los criterios capitales que rigen entre la falta y la sanción, concluyendo en una actuación discrecional, contraviniendo una vez más el principio de proporcionalidad. Además, de acuerdo con el preámbulo 146 del RGPD, la imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías. TERCERA. - DE LAS OBLIGACIONES ASUMIDAS POR CADA UNA DE LAS PARTES Y LAS RESPONSABILIDADES QUE SE DERIVAN DE LAS MISMAS. Manifiesta que las actuaciones delictivas que dieron lugar a la notificación del incidente de seguridad tuvieron su origen en los sistemas del Subencargado del Tratamiento, razón por la cual no puede obviarse que la pérdida de confidencialidad como consecuencia de la extracción de los datos responde a estas circunstancias. Por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/60 consiguiente, alega que era y es el encargado del tratamiento quien debía y debe velar por que las garantías establecidas conforme al artículo 28 el RGPD se cumpliesen en sus máximas. Expone que claramente ORANGE, al amparo de lo establecido por el artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, la “LRJSP”) es la sociedad responsable del hecho supuestamente constitutivo de infracción cometido por su Subencargado del Tratamiento y, por tanto, quien debe soportar la multa impuesta por esta Agencia. En todo caso, cualquier acción negligente o culpable contraria a la normativa vigente y aplicable en materia de protección de datos, recae sobre el encargado del tratamiento, sin que pueda considerarse que SANTANDER CONSUMER no contase con medidas técnicas y organizativas adecuadas, conforme exige el artículo 32 del RGPD. Así las cosas, alega que no cabe duda de que el hecho de imputar una infracción derivada de las actuaciones que el encargado del tratamiento tenía encomendadas deja en entredicho la debida y/o correcta aplicación de la normativa europea en materia de protección de datos, unido a lo dispuesto en nuestra norma nacional. Todo ello, sin olvidar las graves repercusiones que una sistemática actuación frente al responsable del tratamiento puede acarrear, tanto a nivel reputacional como económico, máxime si tenemos en cuenta que la Compañía actuó con la debida diligencia y conforme lo estipulado por la ley. CUARTA. - VULNERACIÓN DE LOS PRINCIPIOS PROCEDIMIENTO ADMINISTRATIVO SANCIONADOR. RECTORES DEL Alega que existe una más que evidente falta de motivación y, por tanto, no se ha justificado debidamente el motivo por el cual esta Agencia en el presente Procedimiento Sancionador se aparta de los criterios seguidos en otros expedientes, véase (
9. i)la brecha de seguridad sufrida por Facebook en 2019, que afectó a 533 millones de usuarios de la red, entre los que habría casi 11 millones de usuarios en España, (
10. ii)el ciberataque sufrido por Decathlon en el que quedaron expuestos más de 123 millones de datos de sus usuarios registrados, de los cuales varios millones eran de usuarios españoles, o (iii) el ciberataque a Iberdrola en 2022, en el que se comprometieron datos de 1,3 millones de clientes, casualmente todos archivados. Además, expone que junto el agravante de culpabilidad y/o negligencia- desvirtuado en la Alegación Segunda - se ha fijado también como agravante el hecho de que la actividad de la Compañía implica el manejo de un elevado número de datos personales en cada una de las, sin ceñirse el órgano competente para resolver a los hechos concretos. El hecho de que SANTANDER CONSUMER trate un gran número de datos de carácter personal como consecuencia de su actividad, no puede ser utilizado como un cajón de sastre para imponer una multa deriva de la acción ilícita de terceros, a pesar de haberse adoptado medidas férreas destinadas a asegurar el adecuado tratamiento de los datos de carácter personal. Considera que, no obstante, para determinar la sanción a imponer por el supuesto incumplimiento del artículo 5.1
11. f)RGPD, se ampara la AEPD en citar el artículo 83.5 RGPD, pero de forma interesada pretende extrapolar unos hechos que no han tenido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/60 lugar para aplicar los criterios establecidos en el artículo 83 del RGPD, los cuales no han sido observados en su totalidad, sino que simplemente son tenidos en cuenta para la aplicación de agravantes, pero en ningún caso de atenuantes. A tal efecto, manifiesta que tal y como se ha venido describiendo a lo largo del escrito de alegaciones, en ningún caso ha existido culpabilidad o negligencia de SANTANDER CONSUMER, ni se han reportado perjuicios o daños sufridos por sus clientes, aspecto que resulta fundamental, puesto que las reclamaciones interpuestas y que dieron lugar al inicio de las investigaciones, se encuentran totalmente desvinculadas de esta entidad, así como es totalmente desacertado indicar que la infracción se comete por no mantener en dato del IBAN ofuscado – criterio distinto de cifrado con todas las implicaciones que esto puede acarrear-. Entiende que la proactividad, la respuesta durante toda la fase de comunicación del incidente y contestación a las preguntas formuladas por la AEPD, así como el hecho de que fue esta misma parte la que informó a la Agencia sobre la brecha de seguridad deben de ser tomadas en consideración, al igual que la falta de beneficio como consecuencia de la supuesta infracción para cuantificar la sanción. Así las cosas, considera que no solo es reprochable la actuación de esta Agencia por no tomar en consideración los hechos reales – naturaleza, gravedad, duración de la infracción, alcance, número de interesados afectados, nivel de daños o prejuicios sufridos-, sino que, además, obvia que el mens rea se exige, por regla general, para imponer una sanción penal y que, por lo tanto, la responsabilidad objetiva constituye una especie de «excepción» a esta regla general, en la medida en que debe estar justificada a la luz de los objetivos perseguidos por el Reglamento, siendo a su vez dicha sanción incompatible con el principio de seguridad jurídica que se desprende del artículo 25.1 de la CE ya que, una graduación ad hoc de la sanción, deja unos límites amplios al órgano sancionador. En virtud de lo expuesto, solicita que se acuerde el archivo de las presentes actuaciones, dejando sin efecto el Acuerdo de Inicio. No obstante, para el caso de que la AEPD no tenga a bien estimar la totalidad de las pretensiones esgrimidas por SANTANDER CONSUMER, solicita a esta autoridad de control que se proceda a la correcta cuantificación de la sanción atendiendo a la totalidad de los hechos descritos en el escrito. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Ha quedado constatado que, en fecha 3 de octubre de 2022, el equipo de MARKTEL detectó que algunas aplicaciones presentaban problemas de acceso, observándose a partir de este momento, elementos cifrados en los servidores. Consta que existía implantado un equipo de protección antimalware que llegó a detectar la existencia de movimientos laterales en servidores, pero no fue capaz de contener el ataque. Ha quedado también constatado que los atacantes estaban dentro de los sistemas de MARKTEL al menos desde el 11 de septiembre de 2022, no obstante, no fue hasta el 17 de octubre de 2022, cuando se tuvo constancia de la filtración de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/60 personales tras detectarse publicación en la página web del grupo atacante de la Dark Web. La información publicada en la Dark Web, procedía de la tabla “Clientes” de la base de datos, con algunos datos en abierto, que contenía 1.027.969 registros (con un total de 803.099 números de DNI únicos) y los siguientes campos: • DNI. • Nombre y Apellidos. • Teléfono. • Email. • Dirección (Calle, Número, Localidad, CP). • Fecha Nacimiento. • Números de cuenta IBAN sin ofuscar de 517.326 registros, (para el resto de los registros estaba ofuscado o no incorporaban este dato). SEGUNDO: En fecha 5 de octubre de 2022 y 4 de noviembre de 2022, se reciben dos notificaciones de brechas de seguridad por parte de MARKTEL con número de registro de entrada REGAGE22e00044254458 y REGAGE22e00049917967. Del contenido de ambas notificaciones se extrae la siguiente información relevante: - Descripción de la brecha: “(...)” - Datos afectados: Datos básicos (Ej.: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos económicos o financieros (sin medios de pago), Datos de contacto. Personas afectadas: 4251. Fecha de detección: 3 de octubre de 2022 (misma que la fecha de inicio). Fecha resolución incidente: 4 de noviembre de 2022. Se ha interpuesto denuncia ante autoridades policiales. Se ha informado a 4251 afectados en fecha 6 de octubre de 2022. - TERCERO: En fecha 29 de octubre de 2022 y registro de entrada REGAGE22e00048731676, se recibió notificación de brecha de seguridad por parte del responsable de tratamiento, SANTANDER CONSUMER, con la siguiente información asociada: Descripción: “(…)” Datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de contacto. Afectados: 28.120. Fecha detección: 28 de octubre de 2022. Fecha de inicio: 3 de octubre de 2022. Hay denuncia ante autoridades policiales. Afirman que los afectados no serán informados. CUARTO: Consta en el escrito de 19 de junio de 2033, registro EGAGE23e00039958979, de SANTANDER CONSUMER que, tras la orden de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/60 Agencia de comunicación a los afectados, se procedió a realizar dicha comunicación en las siguientes fechas y medios: - Día 07 de diciembre de 2022: 67.268 afectados informados por email. - Día 09 de diciembre de 2022: 30.578 afectados informados por email. - Día 12 de diciembre de 2022: 9.956 afectados informados por email. - Día 13 de diciembre de 2022: 6.184 afectados informados por email. - Día 15 de diciembre de 2022: 9.571 afectados informados con SMS con enlace a la información. Del resto de afectados (1.038) no se disponía de datos de contacto válidos. QUINTO: En fecha 15 de diciembre de 2022, y registro de entrada REGAGE22e00057522607, se recibió notificación de brecha de seguridad por parte del responsable de tratamiento, SANTANDER CONSUMER, por cambio sustancial de información de la brecha reportada el 29 de octubre de 2022, con número de registro REGAGE22e00048731676. Tras investigaciones posteriores, se encuentra un número mayor de afectados. En algunos casos (105.401 casos), el fichero robado tenía los datos del código IBAN completo. Datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de medios de pago (Tarjeta bancaria, etc.…), Datos de contacto. Afectados: 124.595 Fecha detección: 28 de octubre de 2022. Fecha de inicio: 3 de octubre de 2022. Nº personas informadas 123.557 SEXTO: Ha quedado constatado la filtración de la tabla “Clientes” de la base de datos, con algunos datos en abierto, que contenía 1.027.969 registros, con un total de 803.099 números de DNI únicos, (siendo 124.595 personas, las afectadas del SANDANDER CONSUMER) y los siguientes campos:        C/ Jorge Juan, 6 28001 – Madrid DNI. Nombre y Apellidos. Teléfono. Email. Dirección (Calle, Número, Localidad, CP). Fecha Nacimiento. Números de cuenta IBAN sin ofuscar de 517.326 registros y relativos a SANTANDER CONSUMER www.aepd.es sedeagpd.gob.es 23/60 105.401 casos (para el resto de los registros estaba ofuscado o no incorporaban este dato). Del informe técnico del incidente, de fecha 2 de noviembre de 2022, aportado por MARKTEL, consta que “Hasta el pasado mes de noviembre del año 2021, el número de cuenta bancaria viajaba de forma abierta en los campos de la base de datos que se enviaba para la producción diaria. A partir de finales de noviembre el año 2021, en dicho campo se realizó una acción de ofuscación desde Orange y, el número de cuenta bancaria ya no navega de forma abierta en los archivos de producción que se nos envían.” SÉPTIMO: En relación con la responsabilidad de los datos personales filtrados, ha quedado constatado que MAKTEL actuaba como subencargado de tratamiento, subcontratado por ORANGE ESPAGNE para prestar el servicio de recobro de impagos de clientes que adquirían deudas por la compra de terminales a plazos. ORANGE ESPAGNE actuaba con un doble rol con respecto de estos datos, por un lado, como responsable de tratamiento de los datos personales facilitados en la compra, y por otro como encargado de tratamiento de SANTANDER CONSUMER FINANCE al existir una cesión de derechos de créditos de las deudas contraídas en la venta a plazos de los terminales, y encargar SANTANDER CONSUMER y a ORANGE ESPAGNE la gestión de las operaciones de recobro en caso de impago. OCTAVO: Consta que en fecha 7 de julio de 2015, ORANGE ESPAGNE. y SANTANDER CONSUMER formalizaron un Contrato de prestación de servicios, mediante el cual Orange prestaría a Santander Consumer servicios de facturación, cobro, recobro y postventa a sus clientes y en el cual se regula el encargo de tratamiento de Orange. En el contrato de encargado del tratamiento, en relación con las medidas de seguridad, se indica que se deberán aplicar las medidas de nivel medio. En cuanto a la subcontratación se establece: “El ENCARGADO DEL TRATAMIENTO podrá subcontratar con un tercero los servicios objeto del Contrato de Prestación de Servicios, siempre y cuando se cumplan los siguientes requisitos: - Que el ENCARGADO DEL TRATAMIENTO comunique todos los datos (denominación social, domicilio social, número de identificación, etc.) del subcontratista al RESPONSABLE DEL FICHERO, de forma escrita, con anterioridad a su contratación. -Que el tratamiento de los datos por parte del subcontratista se ajuste en todo caso a las instrucciones del RESPONSABLE DEL FICHERO. -Que se formalice por escrito un contrato entre el ENCARGADO DEL TRATAMIENTO y la empresa subcontratista, en los mismos términos que el presente documento, y en el que se exprese que el subcontratista se ajustará a las instrucciones del RESPONSABLE DEL FICHERO. Una vez firmado el contrato, el ENCARGADO DEL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/60 TRATAMIENTO se obliga a enviar una copia del mismo al RESPONSABLE DEL FICHERO. El ENCARGADO DEL TRATAMIENTO controlará la calidad y nivel de cumplimiento de las obligaciones de los proveedores con los que hubiese subcontratado con la misma diligencia que debe observar en el cumplimiento de sus propias obligaciones, respondiendo personalmente de ello y exonerando de toda responsabilidad derivada de su actuación al RESPONSABLE DEL FICHERO.” Y en relación con su vigencia se indica que su duración queda vinculada a la ejecución del Contrato de Prestación de servicios y que, por tanto, tendría la misma duración que dicho contrato de servicios, el cual tenía una vigencia hasta el 1 de julio de 2017, aunque podía prorrogarse tácitamente por periodos bienales. NOVENO: SANTANDER CONSUMER ha informado a esta Agencia que el 2 de enero de 2020, Santander Consumer recibió notificación de Orange por la que comunicaba su intención de no prorrogar el Contrato de servicios. No obstante, se acordó que se mantendrían por Orange los servicios en relación con los créditos cedidos a la fecha de vencimiento hasta la total percepción de los derechos económicos o finalización de los servicios de recobro de estos. Aporta Documento nº2 que contiene únicamente un correo enviado por SANTANDER COSUMER a ORANGE ESPAGNE dando acuse de la notificación recibida con la intención de no prorrogar el contrato marco de compraventa de créditos, afirmando también la voluntad del responsable de llegar a obtener “una mutua colaboración de buena fe no solo con el fin de facilitar una resolución ordenada de las relaciones del contrato, sino también en aras al mantenimiento por su parte de la gestión de ser-vicios en relación a los créditos cedidos a la fecha de vencimiento hasta la total de los derechos económicos o la finalización de los servicios de recobro de los mismos”. DÉCIMO: ORANGE ESPAGNE firmó un contrato de encargado con MARKEL con vigencia retroactiva a partir del 1 de enero de 2022, el cual incorpora el objeto del encargo de tratamiento, los datos personales afectados, las categorías de interesados, las obligaciones asumidas por el encargado y las medidas de seguridad. En dicho contrato, la Cláusula 17 relativa a la protección de datos, establece en cuanto a las medidas de seguridad, en el apartado 2.6.d), que: d. En los casos en que los datos sean tratados en los sistemas del PROVEEDOR, este se obliga a garantizar, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto, y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, la aplicación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad al riesgo que, en su caso y entre otros, incluya:  La seudonimización y el cifrado de datos personales;  La capacidad de garantizar la confidencialidad, la integridad y la disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;  La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/60  Un proceso de verificación, evaluación y valoración regular de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. Al evaluar la adecuación del nivel de seguridad, el PROVEEDOR tendrá particularmente en cuenta, los riesgos que presente el tratamiento de datos, en particular, como consecuencia de la destrucción, pérdida o alteración, accidental o ilícita, de datos personales transmitidos, conservados o tratados de otra forma, así como la comunicación o acceso no autorizados a dichos datos. El PROVEEDOR deberá implementar al menos, las medidas técnicas y organizativas descritas en el Anexo de la Seguridad de la Información adjuntas al presente Contrato, así como cualesquiera otras medidas de seguridad que ORANGE determine en cada momento y comunique al PROVEEDOR. ANEXO III MEDIDAS ESPECÍFICAS EN MATERIA DE SEGURIDAD DE LA INFORMACIÓN Y CÓDIGO DE CONDUCTA DE PROVEEDORES Y CONTROL DE FRAUDE Y REVENUE ASSURANCE (…) UNDÉCIMO: En relación con el cumplimiento de las obligaciones de notificación de la brecha tanto ante esta Agencia como a los afectados ha quedado acreditado la siguiente cronología de hechos: - El 17 de octubre de 2022 MARKTEL tiene primer conocimiento de la filtración de datos y notifica la brecha a sus clientes. El 22 de octubre de 2022 ORANGE ESPAGNE notifica la brecha a la AEPD. El 24 de octubre de 2022 ORANGE ESPAGNE tiene conocimiento de la afectación de datos personales de SANTANDER CONSUMER, procediendo a notificar la brecha a este el 25 de octubre de 2022. El 29 de octubre de 2022 SANTANDER CONSUMER notifica la brecha a la AEPD. El 4 de noviembre de 2022 ORANGE SPAGNE remite comunicación inicial de la brecha a los afectados, en ella no hace referencia a SANTANDER CONSUMER como responsable de tratamiento de los datos. El 10 de noviembre de 2022 se envía desde esta Agencia una orden de comunicación a los afectados sin dilación indebida dirigida al responsable SANTANDER CONSUMER. Entre el 7 y el 16 de diciembre de 2022 SANTANDER CONSUMER FINANCE comunica a los clientes afectados por la brecha, de llevar a cabo esta comunicación se encarga ORANGE ESPAGNE como encargado de tratamiento, no obstante, ha quedado constatado que SANTANDER CONSUMER tuvo conocimiento de la filtración el 25 de octubre de 2022. DECIMOSEGUNDO: Se ha constatado la implantación del siguiente listado de medidas preventivas por parte de MARKTEL en momentos previos al incidente: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/60 DECIMOTERCERO: Se ha constatado la implantación y despliegue del siguiente listado de medidas reactivas adoptadas por MARKTEL: - (…) DECIMOCUARTO: En relación con los clientes afectados por la brecha cuyos datos eran responsabilidad de SANTANDER CONSUMER (tras la cesión de los derechos de créditos de ORANGE ESPAGNE), ha quedado acreditado que estos clientes fueron informados de esta cesión de créditos en la propia factura de compra, incluyéndose un texto en el pie de factura con la siguiente información: - Que SANTANDER CONSUMER es responsable de los derechos de crédito de la deuda contraída y de sus datos personales. Que SANTANDER CONSUMER había delegado la gestión del cobro al propio ORANGE ESPAGNE. La existencia de los derechos de protección de datos y la forma de ejercerlos. Una dirección de correo electrónico para obtener información adicional. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas SANTANDER CONSUMER es una gran empresa del sector financiero, especializada en financiación al consumo. Para ello trata datos de carácter personal, entendiendo por dato de carácter personal: “toda información sobre una persona física identificada o identificable”. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/60 «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. El artículo 4 apartado 12 del RGPD define, «violación de la seguridad de los datos personales»: como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. En el presente caso, y a raíz de la investigación realizada como consecuencia de la notificación de la brecha de datos personales en las circunstancias arriba indicadas, se han detectado posibles vulneraciones en la normativa de protección de datos. La brecha está categorizada como una brecha de confidencialidad y de disponibilidad, al constatarse un acceso indebido a los datos personales tratados. Marktel sufrió un ataque en el que se vieron afectados datos personales. (…) En relación con la responsabilidad de los datos personales filtrados, ha quedado constatado que MARKTEL actuaba como encargado de tratamiento de ORANGE ESPAGNE al prestar el servicio de recobro de impagos de clientes que adquirían deudas por la compra de terminales a plazos. ORANGE ESPAGNE a su vez actuaba como encargado de tratamiento de SANTANDER CONSUMER ORANGE ESPAGNE y SANTANDER CONSUMER firmaron una cesión de derechos de créditos a favor de SANTANDER CONSUMER de las deudas contraídas en la venta a plazos de los terminales, encargando SANTANDAR CONSUMER, mediante contrato de 7 de julio de 2015, a ORANGE ESPAGNE SAU los servicios de recobro de las deudas y, ésta, a su vez, habría subcontratado a Marktel para que realizara la gestión de las operaciones de recobro en caso de impago. III Alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/60 En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas, según el orden expuesto: 1. DE LAS RECLAMACIONES INTERPUESTAS QUE HAN DADO LUGAR A LA APERTURA DEL PRESENTE ACUERDO DE INICIO. Alega SANTANDER CONSUMER que esta AEPD ha vulnerado los principios de seguridad jurídica, buena fe y confianza legítima establecidos en el artículo 3.2
12. e)de la LRJSP ya que, mediante escrito de fecha 28 de diciembre de 2022, de la División de Innovación Tecnológica de la AEPD, se indica que “Tras el análisis de la información adicional aportada, la brecha ha sido actualizada en el registro de notificaciones de brechas de datos personales y, sin perjuicio del curso de otros procedimientos, no están previstas más acciones por parte de esta División con relación a este acto de notificación de brecha de datos personales” Pues bien, en contra de lo que afirma SANTANDER CONSUMER, este escrito no tiene carácter decisorio, ni por su contenido, más bien es un “acuse de recibo” de la brecha notificada y que en modo alguno puede entenderse como si esta AEPD hubiese valorado que no concurría responsabilidad alguna por un supuesto incumplimiento de la normativa de protección de datos y que había procedido al archivo de unas actuaciones -tal y como ha querido entender SANTANDER CONSUMER-, ni tampoco por su forma, pues ni siquiera formalmente refleja una decisión, ni mucho menos una resolución de archivo de actuación alguna que ni siquiera se había iniciado. Dicho escrito está encaminado a poner en conocimiento de SANTANDER CONSUMER la recepción de la notificación de la brecha acaecida y de su incorporación al registro de notificaciones de brechas, de acuerdo con lo determinado en el artículo 31.
13. d)del Estatuto de la Agencia, aprobado mediante Real Decreto 389/2021, de 1 de junio, sin que pueda deducirse a la vista del mismo que la AEPD valoró y decidió que no concurría responsabilidad alguna por un supuesto incumplimiento de la normativa de protección de datos. Así, el artículo 13 del Estatuto de la AEPD, se determinan las funciones de la Presidencia: 1. Corresponde a la Presidencia de la Agencia Española de Protección de Datos:
14. d)Dictar las resoluciones y directrices que requiera el ejercicio de las funciones de la Agencia, en particular las derivadas del ejercicio de las competencias previstas en el artículo 57 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y del ejercicio de los poderes de investigación y de los poderes correctivos dispuestos en el artículo 58 del citado Reglamento. El artículo 57, Funciones, del RGPD en su letra
15. h)establece que: “1. Sin perjuicio de otras funciones en virtud del presente Reglamento, incumbirá a cada autoridad de control, en su territorio: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/60
16. h)llevar a cabo investigaciones sobre la aplicación del presente Reglamento, en particular basándose en información recibida de otra autoridad de control u otra autoridad pública; (…) En cuanto a las funciones de la Subdirección General de Inspección de Datos de la AEPD el artículo 27 del Estatuto de la Agencia indica, en su apartado 1, que “La Subdirección General de Inspección de Datos es el órgano administrativo, dependiente de la Presidencia de la Agencia Española de Protección de Datos, que desarrolla las competencias previstas en el artículo 57.1, letras f), g), h),
17. i)y
18. u)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y realiza las funciones de inspección y de instrucción necesarias para el ejercicio de los poderes de investigación establecidos en el artículo 58.1, letras a), b), d),
19. e)y
20. f)y de los poderes correctivos dispuestos en el artículo 58.2, letras a), b), c), d), f), g),
21. i)y j), ambos del citado Reglamento” Y en el apartado 2 de este artículo 27 enumera las funciones que corresponden a la Subdirección General de Inspección de Datos de Datos, entre las que se encuentran, por lo que aquí interesa, las siguientes: “
22. a)La supervisión permanente del cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, de la Ley Orgánica 3/2018, de 5 de diciembre, y de las disposiciones que la desarrollen, por parte de los responsables y encargados de los tratamientos. (…)
23. b)El ejercicio de las potestades de investigación definidas en el artículo 51 de la Ley Orgánica 3/2018, de 5 de diciembre. (…)
24. d)La tramitación de los procedimientos en caso de posible vulneración de la normativa de protección de datos conforme a lo dispuesto en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, incluyendo las reclamaciones de los ciudadanos por falta de atención en sus solicitudes de ejercicio de los derechos contemplados en los artículos 15 al 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Corresponde a la Subdirección General de Inspección de Datos el deber de informar al reclamante sobre el curso y el resultado de la reclamación presentada ante la Agencia Española de Protección de Datos, de acuerdo con lo dispuesto en el artículo 77.2 del citado Reglamento. (…)” Por tanto, para proceder al archivo de unas actuaciones investigación se requiere, primero, que se hayan iniciado (bien por haberse admitido a trámite una reclamación, bien por iniciativa propia, lo cual en ambos casos exige una resolución expresa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/60 firmada por la Directora), lo cual no había sucedido en el momento de emitirse el referido escrito de la División de Innovación Tecnológica y, en segundo lugar, es necesario de nuevo una resolución expresa por parte de la Directora archivando dichas actuaciones por entender, ahora sí, que de la información recabada en dichas investigaciones, no se concluye la existencia de infracción en la normativa de protección de datos, lo cual no se había producido. En el presente caso, se presentaron dos reclamaciones por personas afectadas por la brecha, las cuales fueron admitidas a trámite por la AEPD, en febrero de 2023, en cumplimiento del artículo 64 LOPDGDD. Artículo 64. Forma de iniciación del procedimiento y duración. 1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación. 2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificado al interesado. Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. En relación con las actuaciones previas de investigación el art. 67 de la LOPDGDD dispone lo siguiente: Artículo 67. Actuaciones previas de investigación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/60 1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa. De dicha normativa no se infiere en modo alguno que la AEPD tenga que justificar de la manera que exige SANTANDER CONSUMER el inicio de actuaciones previas. SANTANDER CONSUMER argumenta que AEPD ha incluido dentro del procedimiento, dos reclamaciones de dos interesados, sin que los mismos sean ni siquiera clientes de SANTANDER CONSUMER o hayan referenciado en sus reclamaciones a esa entidad y todo ello, sin llevar a cabo ningún tipo de averiguación al efecto. Sin embargo, contrariamente a lo manifestado, la AEPD sí realizó en este caso actuaciones previas de investigación con la finalidad de esclarecer los hechos y las circunstancias de lo acontecido, recabando más información al objeto de poder determinar la existencia o no de una posible infracción de la normativa en materia de protección de datos. En este sentido, el inicio de investigaciones previas y su realización, potestad de la AEPD con o sin reclamaciones, no prejuzga nada, sino que permite recabar la información necesaria para determinar si hay indicios o no de infracción. Incluso tras dicha investigación, puede ser que se archiven las actuaciones por entender, a la vista de la información recabada, que no concurren los elementos necesarios para la apertura de un procedimiento sancionador. Lo cual, en el presente caso, no ha sucedido. Lo que sí indica la normativa es que, tras la presentación de reclamaciones, esta Agencia debe decidir si las admite a trámite o no. Una vez admitida a trámite la reclamación, como indica el artículo 67.2 LOPDGDD referenciado, la AEPD puede llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias, lo que aconteció en este caso. Es una potestad que tiene atribuida la AEPD por el RGPD y por la LOPDGDD. Asimismo, y a mayor abundamiento, incluso en el supuesto de no haber existido las reclamaciones, el escrito de la División de Innovación Tecnológica no hubiera sido tampoco óbice ni obstáculo para el ejercicio de las potestades de investigación que tiene la AEPD, de conformidad con el citado artículo 64.2 que determina que “Admitida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/60 a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio, podrá existir una fase de actuaciones previas de investigación.” Por tanto, el presente procedimiento sancionador no se ha iniciado por el contenido o por alguna información nueva aportada en las dos reclamaciones presentadas en esta AEPD, sino por la información y documentación obtenida tras el período de actuaciones previas de investigación, al inferirse de la misma, posibles vulneraciones a la normativa en materia de protección de datos. A este respecto, se recuerda de nuevo que dichas reclamaciones sólo se admiten a trámite, siendo la documentación y todo lo recopilado durante las actuaciones de investigación lo que ha motivado, exclusivamente, el inicio del presente procedimiento sancionador, y no las citadas reclamaciones. Asimismo, se informa que respecto de los reclamantes no se ha realizado ninguna actuación más allá de comunicarles (que no notificar) el inicio, en este caso, de un procedimiento sancionador, y una vez finalizado el procedimiento únicamente serán informados de su finalización y de la publicación de la resolución en la página web de la AEPD. 2. OMISIÓN DE LA AEPD RESPECTO DE LA VALORACIÓN DE SANTANDER CONSUMER COMO PARTE PERJUDICADA. En este apartado, SANTANDER CONSUMER pone el foco en su condición de víctima de un delito informático (ciberataque por un tercero) y de un delito de extorsión (exigencia de pago bajo la amenaza de publicación de los datos exfiltrados), los cuales cada vez son más sofisticados. Expone que fue víctima del ciberataque de ransomware, sufrido por MARKTEL denominado Lockbit 3.0, desarrollado por una organización de ciberdelitos sofisticada que representa una amenaza importante para las empresas y organizaciones de todo el mundo y es que solamente en 2022, año en el que se notificó la brecha, el grupo Lockbit llevó a cabo más ciberataques con éxito que cualquier otro grupo de ransomware, considerándose la aplicación LockBit 3.0 la versión más activa hasta la fecha. Dadas las características del ataque y las cifras de materialización de estos, considera diabólico exigir a las empresas responsabilidades, solo porque sus sistemas de seguridad (incluso siendo los mismos avanzados y robustos) no puedan repeler los más sofisticados y dañinos ataques, cuando, de hecho, ni las propias Fuerzas y Cuerpos de Seguridad especializados son capaces de contener su actividad delictiva. Frente a ello, debe señalarse que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que haya mediado la actuación fraudulenta de un tercero, pues la responsabilidad de la parte actora no deriva de la actuación de éste, sino de la suya propia. En ningún caso se ha exigido una infalibilidad total de las medidas que se pueden adoptar para garantizar una protección adecuada en el tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/60 personales. El hecho de que se haya apreciado que el responsable de tratamiento contara con algunas medidas de seguridad, no obsta a que en este procedimiento sancionador se haya comprobado que, en relación con la información publicada en la Dark Web, se filtrara la tabla “Clientes” de la base de datos, con algunos datos en abierto, que contenía 1.027.969 registros (con un total de 803.099 números de DNI únicos) y los siguientes campos:        DNI. Nombre y Apellidos. Teléfono. Email. Dirección (Calle, Número, Localidad, CP). Fecha Nacimiento. Números de cuenta IBAN sin ofuscar de 517.326 registros, (para el resto de los registros estaba ofuscado o no incorporaban este dato). De los datos exfiltrados, según consta en la notificación de brecha de datos personales de SANTANDDR CONSUMER, de 15 de diciembre de 2022, y registro de entrada REGAGE22e00057522607, los afectados por la brecha fueron 124.595 clientes de la entidad y en 105.401 casos el fichero robado tenía los datos del código IBAN completo de los clientes de la entidad. Los datos comprometidos serían: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de medios de pago (Tarjeta bancaria, etc.…), Datos de contacto. Se afirma que hasta la fecha de noviembre de 2021, el dato IBAN se almacenaba de forma abierta en base de datos, no obstante, a finales de noviembre de 2021 se procedió a ofuscar este dato, motivo por el que entre los datos filtrados existían registros con el dato del IBAN en claro, por lo que cualquier persona en cualquier parte del mundo y sin consentimiento de sus titulares podría tener acceso al mismo, lo que supone que el riesgo de la pérdida de confidencialidad se ha materializado, conllevando una pérdida total y absoluta de control sobre dichos datos. Además, al estar accesibles para cualquiera y de forma irremediable, supone un riesgo muy alto de uso fraudulento de los mismos o de que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para sus titulares. Pero no solamente se pueden ver los datos del IBAN de algunos clientes, sino que también se podía ver el resto de los datos incluidos en la tabla “Clientes”, entre ellos el DNI, dado que no se encontraban cifrados, lo que incrementa el riesgo de que los titulares de los datos comprometidos puedan sufrir efectos negativos y perjuicios como consecuencia de la brecha de datos personales. SANTANDER CONSUMER es responsable del tratamiento de estos datos y en consecuencia responsable de que los datos tratados por su cuenta tengan las debidas garantías de seguridad que impidan o dificulten una pérdida de confidencialidad, integridad o disponibilidad de los datos, lo que no sucedió en este caso al encontrase los datos sin cifrar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/60 3. SOBRE LA RESPONSABILIDAD DE ORANGE COMO ENCARGADO DEL TRATAMIENTO DE SANTANDER CONSUMER. Afirma SANTANDER COMNSUMER que MARKTEL era encargado del tratamiento de ORANGE y que por tanto ninguna culpa puede asumir SANTANDER CONSUMER. Sin embargo, olvida SANTANDER CONSUMER que el responsable del tratamiento de los datos exfiltrados de sus clientes es ella. SANTANDER CONSUMER es el responsable de los derechos de crédito de la deuda contraída por los clientes y la responsable del tratamiento de sus datos personales. Y ello con independencia de la actuación y la responsabilidad en la que hayan podido incurrir terceros, pues la negligencia o actuación ilegal de terceros no excluye la suya propia. El responsable del tratamiento debe cumplir los principios relativos al tratamiento, establecidos en el artículo 5 del RGPD, entre ellos el de confidencialidad e integridad, y debe ser capaz de demostrar su cumplimiento, de conformidad con el principio de responsabilidad proactiva enunciado en el apartado 2 de dicho artículo. Entre las obligaciones que el RGPD impone a los responsables para el cumplimiento del principio de responsabilidad proactiva se incluye la de firmar con el encargado del tratamiento un contrato u otro acto jurídico que le vincule en el que se establezca entre otras estipulaciones que el encargado tomará todas las medidas necesarias de conformidad con el artículo 32. En fecha 7 de julio de 2015, ORANGE ESPAGNE y SANTANDER CONSUMER con motivo del contrato de prestación de servicios suscrito en dicha fecha, formalizaron un contrato de acceso a los datos de los que es responsable SANTANDER CONSUMER que quedó incorporado al contrato de prestación de servicios en el ANEXO 3 del mismo, mediante el cual ORANGE prestaría a SANTANDER CONSUMER servicios de facturación, cobro, recobro y postventa a sus clientes. En relación con las medidas de seguridad el contrato de acceso a datos indica que se deberán aplicar las medidas de nivel medio, lo que no cumple con los requisitos que recoge el artículo 32 del RGPD. Recordemos que el artículo 32 del RGPD dispone que “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
25. a)la seudonimización y el cifrado de datos personales;
26. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/60
27. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
28. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento. Además, el cumplimiento del art. 5.1.
29. f)del RGPD requiere que el responsable del tratamiento aplique medidas técnicas y organizativas, de cualquier tipo y no sólo de seguridad, que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas técnicas y organizativas apropiadas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de las medidas técnicas y organizativas de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/60 “