PS-00108-2025

1/37  Expediente Nº: EXP202400611 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de julio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO INVERSIS, S.A. (en adelante, BANCO INVERSIS), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202400611 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: En fecha 9 de noviembre de 2023, se interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante AEPD). A raíz de la reclamación, la AEPD tuvo conocimiento de una posible infracción imputable a BANCO INVERSIS, S.A. con NIF A83131433 (en adelante, BANCO INVERSIS). Los hechos que se ponen en conocimiento de esta autoridad son: En fecha 6 de noviembre de 2023, la parte reclamante 1, clienta de la agencia de valores de INDEXA CAPITAL A.V. S.A. con NIF A87409728 (en adelante INDEXA CAPITAL), afirma que recibió una comunicación por correo electrónico de esta en la que se le informaba de que BANCO INVERSIS, el banco custodio de su cartera de fondos y que trabaja con INDEXA CAPITAL, había notificado un acceso indebido por un intruso a algunos de sus datos personales (entre los cuales se encuentran nombre y apellidos, fecha de nacimiento, número de documento nacional de identidad, sexo, estado civil, datos de nacimiento, incluyendo (fecha, ciudad y país) y nivel de estudios. Junto al escrito, aporta la comunicación recibida de INDEXA CAPITAL, a su dirección de correo electrónico, el 6 de noviembre de 2023, en la que se especifica lo señalado anteriormente. SEGUNDO: En fecha 27 de diciembre de 2023, se interpuso una reclamación ante la AEPD, por unos hechos relacionados con los mencionados en el antecedente anterior relativos a una posible infracción imputable a BANCO INVERSIS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/37 Los hechos que se ponen en conocimiento de esta autoridad en la nueva reclamación por una nueva parte reclamante son: La parte reclamante 2 expone que el 10 de noviembre de 2023, EUROCAJA RURAL le comunicó que BANCO INVERSIS, su proveedor de servicios de inversión había sufrido un ciberataque y que, en consecuencia, los datos personales de la parte reclamante 2 habían quedado expuestos. Junto a su reclamación aporta, entre otros documentos, copia de la comunicación efectuada por EUROCAJA RURAL, el 10 de noviembre de 2023. En la misma se indica que los datos personales afectados son: “datos básicos (nombre, apellidos y fecha de nacimiento), identificativos (número del Documento Nacional de Identidad) y de contacto (teléfono, correo electrónico y dirección postal)”. TERCERO: En fecha 29 de diciembre de 2023, se interpuso nueva reclamación ante la AEPD por unos hechos relacionados con los mencionados en los antecedentes anteriores relativos a una posible infracción imputable a BANCO INVERSIS. Los hechos que se ponen en conocimiento de esta autoridad en la nueva reclamación por una nueva parte reclamante son: En fecha 6 de noviembre de 2023, la parte reclamante 3 recibió una comunicación por correo electrónico en la que se le informaba de que BANCO INVERSIS, el banco custodio de su cartera de fondos con INDEXA CAPITAL, había notificado un acceso indebido por un intruso a alguno de sus datos personales: nombre y apellidos, número del documento nacional de identidad, sexo, estado civil, datos de nacimiento (fecha, ciudad y país) y nivel de estudios. CUARTO: En fecha de 10 de noviembre de 2023, BANCO INVERSIS S.A. notifica a la AEPD una brecha de seguridad con una primera notificación inicial. Además, el 4 de diciembre de 2023 realiza una notificación adicional a la que adjunta Informe jurídico sobre la gestión y acciones realizadas, en materia de protección, con motivo de la brecha de seguridad sufrida en Banco Inversis, S.A. fechado el 4 de diciembre de 2023. Del contenido de ambas notificaciones se extrae la siguiente información relevante: o Fecha de detección de la brecha: 1/11/2023 o Fecha de inicio de la brecha: 30/10/2023 o Resumen de la notificación: (…) (…)” o Categoría de los datos afectados: “(…) Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y/o cualquier otro documento identificativo, datos de contacto. (…)” o Categoría de afectados: Clientes/ Ciudadanos, Empleados o Número de afectados: 40.000 o Comunicación a los afectados: Sí, 7/11/2023. QUINTO: En fecha 11 de enero de 2024, la Agencia Española de Protección de Datos acordó admitir a trámite las reclamaciones formuladas por la parte reclamante 1 y por la parte reclamante 3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/37 En fecha 27 de marzo de 2024, la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación formulada por la parte reclamante 2. SEXTO: La Subdirección General de Inspección de Datos (SGID) procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En el marco de las actuaciones de investigación se realizaron requerimientos de información los días 4 de abril de 2024, 26 de junio de 2024, 9 de octubre de 2024 y 10 de enero de 2025 a BANCO INVERSIS. Por su parte, BANCO INVERSIS remitió respuestas a estos requerimientos los días 3 de mayo de 2024, 24 de julio de 2024, 14 de noviembre de 2024 y 31 de enero de 2025. Asimismo, se realizó un requerimiento de información el 26 de junio de 2024 a INDEXA, al que se recibió contestación el 24 de julio de 2024. Por otra parte, el 5 de septiembre de 2024, se requiere información añadida a la parte reclamante 1, sobre si recibió comunicación alguna de la brecha de datos personales directamente por parte de BANCO INVERSIS. Su respuesta, ese mismo día, es negativa. De las actuaciones anteriormente señaladas se ha obtenido la siguiente información. - BANCO INVERSIS es una entidad de crédito que ofrece soluciones tecnológicas y de externalización de servicios a entidades financieras, aseguradoras y otros actores en la distribución de productos de inversión. - En cuanto a la operativa que lleva a cabo se distinguen dos tipos de relaciones contractuales en su actividad de negocio: la actividad de negocio con clientes finales de la entidad, donde BANCO INVERSIS actúa como responsable de tratamiento, y aquellas actividades con clientes institucionales, ante las cuales actúa como encargado de tratamiento de determinados datos de carácter personal de los clientes de éstas, necesarios para prestarles los servicios de inversión externalizados. INVERSIS actúa también como responsable del tratamiento de los datos personales de sus propios empleados. - Entre la información aportada por BANCO INVERSIS destaca la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid o Anexo I: Listado de clientes institucionales, donde se relacionan las entidades a las que presta servicios. o Anexo II: Contrato modelo de Encargado de tratamiento que suscribe con los clientes entidades financieras para la prestación de servicios. o Anexo III: Anexo de Protección de datos de carácter personal para clientes. o Modelo de Contrato Marco que INVERSIS firma con los clientes finales (cuyos datos trata en calidad de responsable del tratamiento). www.aepd.es sedeaepd.gob.es 4/37 o Anexo de Protección de datos de carácter personal para clientes. Respecto de la actividad de INDEXA lleva a cabo como consecuencia del contrato suscrito con BANCO INVERSIS, de acuerdo con lo señalado por INDEXA en su escrito de respuesta de 24 de julio de 2024: “(…) INDEXA es una empresa de servicios de inversión que actúa como intermediaria en los mercados financieros. Desde INDEXA, se ofrece un servicio de gestión discrecional de carteras que invierte el dinero de sus clientes en una cartera de fondos indexados y/o planes de pensiones. Asimismo, tramita órdenes de compra o venta de valores por cuenta de sus clientes, pero no están habilitadas para operar por cuenta propia. Todas las inversiones están custodiadas en una cuenta de valores a nombre del cliente en alguno de los bancos custodios con los que trabaja la Sociedad, en concreto, el cliente de INDEXA podrá elegir con qué banco prefiere abrir la cuenta, bien INVERSIS o bien ***EMPRESA.1. La colaboración entre INDEXA e INVERSIS se plasma en el Contrato de colaboración suscrito entre las partes de fecha 11 de diciembre de 2015 que se adjunta como Anexo I, y en donde se detalla que, si como consecuencia de los servicios de inversión que ofrece INDEXA, fuera necesario la apertura de sus clientes de cuentas corriente y de valores, INDEXA, presentará a sus clientes los servicios de INVERSIS para que estos clientes puedan abrir dichas cuentas con el mencionado Banco. El flujo de datos es el siguiente: una vez que el cliente se da de alta en INDEXA, éste comunica los datos del cliente a INVERSIS, como consecuencia de la propia relación jurídica derivada de la inversión que el cliente realiza a través de INDEXA. Por tanto, se produce una cesión de datos de responsable del tratamiento a responsable del tratamiento, basada en la base de licitud del art. 6.1.

1. b)del Reglamento General de Protección de Datos. La comunicación de datos al banco custodio es necesaria para formalizar la inversión dado que dichas inversiones tienen que estar custodiadas en una cuenta de valores a nombre del cliente uno de los bancos custodios que éstos elijan. El cliente de INDEXA se convierte en cliente de INVERSIS por el que el banco custodio, es decir, INVERSIS e INDEXA son entidades independientes entre las cuales existe un contrato marco de colaboración. Con INDEXA el cliente firma un Contrato de gestión discrecional de carteras que le permite gestionar las inversiones de los clientes y un Mandato de apertura de cuenta de valores y efectivo en INVERSIS que permite a CAPITAL abrir y gestionar las cuentas del cliente de INVERSIS, pero la relación es una relación cliente-banco, entre el cliente de INDEXA e INVERSIS. (…)”. Entre la documentación aportada por INDEXA destaca la siguiente información: o Anexo I: Contrato Marco de Colaboración que BANCO INVERSIS mantiene con INDEXA.  C/ Jorge Juan, 6 28001 – Madrid INDEXA explica que “referencia a sus propios clientes para que suscriban con INVERSIS sus cuentas de valores y efectivo que den soporte a los servicios de inversión que presta INDEXA. (…) www.aepd.es sedeaepd.gob.es 5/37 o  A efectos contractuales, los clientes referenciados por INDEXA contratan de forma autónoma e individual sus cuentas de valores con INVERSIS.  Como consecuencia del contrato marco de colaboración referido en el Anexo I:  INDEXA es responsable independiente de los datos de sus clientes en todos los tratamientos relativos al “onboarding”, análisis del perfil inversor, ejecución de la inversión, así como de las obligaciones legales en materia de prevención de blanqueo de capitales y financiación del terrorismo, fiscales y otras cuestiones regulatorias.  INVERSIS es responsable independiente de los datos de los clientes que vienen a través de INDEXA para todas las funciones propias del banco custodio, que INDEXA no puede asumir por no ser una entidad autorizada para dichas funciones. INVERSIS decide sobre los fines y los medios de todos los tratamientos que realice bajo la gorra de depositario, entre los que están, entre otras, toda la infraestructura tecnológica y las medidas de seguridad que la soportan.  Los roles de los responsables independientes de protección de datos de ambas entidades y su relación de protección de datos, viene regulada en la cláusula 5.7 del marco de colaboración del Anexo I y la comunicación de datos de INDEXA a INVERSIS resulta necesaria para formalizar la inversión, con la base de licitud del art. 6.1.
2. b)del RGPD. Anexo III: Contrato de Gestión Discrecional de Carteras Individuales. La información de protección de datos se detalla en la cláusula decimoctava “Autorización para el tratamiento de datos de carácter personal”. Registro de Actividades de Tratamiento de INDEXA o Anexo IV presentado junto al escrito de fecha 24 de julio de 2024. Actividad de tratamiento de datos de clientes de INDEXA donde consta que BANCO INVERSIS es destinatario de datos de los clientes. De acuerdo con el documento, la finalidad de este tratamiento es gestionar, mantener y ejecutar la relación contractual derivada de los servicios de gestión de cartera de fondos de inversión indexados. Registro de Actividades de Tratamiento de BANCO INVERSIS Anexos IV y V presentados junto al escrito de 3 de mayo de 2024. Copia del Registro de Actividades de INVERSIS con respecto a la actividad de tratamiento de sus clientes finales, en calidad de responsable del tratamiento. o En relación con el período de conservación de los datos, se recoge: “Los datos serán conservados hasta la finalización de la relación contractual y posteriormente bloqueados, en cumplimiento de las obligaciones legales establecidas. Transcurrido el plazo máximo de conservación de los datos por las obligaciones legales, se procederá a su destrucción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/37 Duración: 20 años de acuerdo con la normativa vigente.” o Anexos VI presentados junto al escrito de 3 de mayo de 2024. Copia del Registro de Actividades de BANCO INVERSIS con respecto al tratamiento de datos personales en el marco de las relaciones con los clientes institucionales, en calidad de encargado de tratamiento. o En relación con el período de conservación de los datos, se recoge: “Los datos serán conservados hasta la finalización de la relación contractual y posteriormente bloqueados, en cumplimiento de las obligaciones legales establecidas. Transcurrido el plazo máximo de conservación de los datos por las obligaciones legales, se procederá a su destrucción. Duración: Plazos/Normativa que determine el responsable del tratamiento.” En el marco de las actuaciones de investigación se solicita a BANCO INVERSIS: o Identificación de la normativa aplicable de acuerdo con la que se ha definido un plazo de conservación de los datos de los clientes finales de 20 años y explicación de su finalidad. o Explicación de si entre los clientes finales de BANCO INVERSIS afectados por la brecha se encuentran exclientes de los que BANCO INVERSIS conserva sus datos bloqueados. Si aplica, número de exclientes afectados. A lo que BANCO INVERSIS responde: “(…) En términos generales, de acuerdo con el artículo 25.1 de la Ley 10/2010 de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, las entidades financieras deben conservar la documentación relacionada con sus clientes durante un plazo de 10 años desde la finalización de la relación comercial. Este período se divide en dos etapas de 5 años. En particular, durante el segundo período de 5 años, el acceso a la información se restringe a los órganos de control interno, las unidades de prevención y, en su caso, los responsables legales. Adicionalmente, cabe destacar que la Ley 10/2010 (artículo 60) establece un plazo de prescripción de 5 años para las infracciones relacionadas con estas obligaciones. Al margen de lo expuesto, es preciso tener en cuenta que, de conformidad con la jurisprudencia reciente aplicable en asuntos de cláusulas abusivas introducidas en contratos con consumidores, los plazos de conservación aplicables en entidades financieras pueden entenderse extendidos sin un término máximo como tal, considerando que las acciones para la declaración de nulidad de estas cláusulas son imprescriptibles, lo que daría lugar a la necesidad de conservar la información de los clientes a los efectos de poder defender la posición jurídica de las entidades financieras. Esta posición de conservación de datos más allá de los plazos establecidos en la Ley 10/2010 se ha adoptado como criterio común dentro del sector financiero. (…) En definitiva, el plazo de 20 años que se ha definido por parte de INVERSIS pretende acotar temporalmente la conservación de los datos de aquellos clientes que finalizan sus relaciones de negocio para cumplir un doble objetivo: (
3. i)dar cumplimiento a las obligaciones establecidas en la legislación sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/37 prevención de blanqueo de capitales y (
4. ii)aplicar los criterios comunes del sector financiero en cuanto a conservación de datos para la defensa ante reclamaciones de nulidad de cláusulas (fijando un marco temporal suficiente para poder llevar a cabo esa defensa, pero que no suponga una conservación de datos sine die). Por supuesto, toda conservación de datos de clientes que finalizan sus relaciones con INVERSIS se efectúa mediante el bloqueo de datos. (…) en esta situación (bloqueo de datos personales) se encontraban 12.048 exclientes afectados.” Asimismo, BANCO INVERSIS en su escrito de fecha 31 de enero de 2025, añade: “(…) INVERSIS mantiene procedimientos para llevar a cabo el bloqueo de datos personales una vez finalizada su relación contractual con el cliente y de conformidad con los plazos establecidos para la conservación de datos en el artículo 10 de la Ley 10/2010 arriba citada (que establece dos tramos o períodos diferenciados de 5 años con distintos niveles en cuanto a limitaciones del acceso a los datos) (…). Dichos procesos de bloqueo suponen el establecimiento de restricciones de acceso a la información, permitiéndose su utilización únicamente por las áreas de Protección de Datos, Auditoría Interna, Asesoría Jurídica y Cumplimiento Normativo, a los solos efectos de poder cumplir con las obligaciones legales aplicables a la entidad financiera y para su puesta a disposición de autoridades públicas, de conformidad con lo establecido en el artículo 32 de la LOPD. En este sentido INVERSIS mantiene medidas para impedir la localización en las bases de datos de aquellos exclientes que se encuentran en el segundo período de 5 años establecido en el artículo 25 de la Ley 10/2010 de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo (en adelante, LPBC), es decir, procurando su identificación y reserva y separándolos de aquellos clientes con contratos vigentes que sí pueden ser localizados en la base de datos por empleados de INVERSIS (aquellos cuyas funciones requieran efectivamente el acceso a estas bases de datos). No obstante, lo anterior, debe tenerse en cuenta que el mayor volumen de exclientes a los que afectó la brecha corresponde a interesados cuyos datos personales han sido aportados por clientes institucionales (actuando dicho cliente institucional como responsable del tratamiento, e INVERSIS en calidad de encargado). En este sentido, es el cliente institucional quien, con base en el contrato de prestación de servicios y el acuerdo de encargado de tratamiento, instruye a INVERSIS, de acuerdo con sus propios plazos de conservación, para proceder con el bloqueo o eliminación de datos personales a tenor de la posible terminación de sus relaciones contractuales. En este sentido, INVERSIS no tiene mayor visibilidad sobre el estado de las relaciones contractuales de los interesados con los clientes institucionales que la que aporta el propio cliente institucional, quien gestiona y mandata sobre cualquier modificación, actualización o cancelación de sus datos personales”. Respecto de la cronología de los hechos y las acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final BANCO INVERSIS describe la cronología de los hechos de la siguiente manera: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/37 (…) 30/10/2023: (…) 1/11/2023: (…) 2/11/2023: (…) 3/11/2023: (…)  En el Informe jurídico que acompaña la notificación adicional de la brecha se incluye captura de pantalla de la sede electrónica de la AEPD con el siguiente mensaje de error: Ha ocurrido un error realizando la operación.  Ese mismo día 3 de noviembre, INVERSIS lanza un comunicado a (
5. i)sus trabajadores informando de lo ocurrido y (
6. ii)sus clientes entidades financieras (responsables del tratamiento de los datos aportados a INVERSIS en su rol de encargado). 4/11/2023: Finalmente se notifica el incidente a la AEPD. Se realiza un quinto punto de control ese mismo día.  Se elabora una nueva versión actualizada del documento que contiene el relato del incidente y un listado de respuesta a cuestiones de carácter general y técnico sobre la brecha. 6/11/2023: se mantiene un nuevo punto de control (sexto) Desde el 7/11/2023 hasta la fecha en que se presentó el Informe jurídico (4 de diciembre de 2023), INVERSIS continuó realizando las investigaciones oportunas y la implementación de las medidas técnicas, legales y organizativas necesarias en aras de limitar el riesgo futuro de sufrir una brecha de seguridad.  Adicionalmente, INVERSIS actualizó su registro de gestión de incidentes de seguridad e impartió las oportunas sesiones de formación y concienciación a empleados en esta materia.  A partir de este 7 de noviembre, INVERSIS remitió a sus clientes finales un comunicado informando sobre lo ocurrido. Adicionalmente, en fecha 28 de noviembre, finalizan todas las labores de análisis y cerradas las diferentes líneas de investigación del incidente por completo llevadas a cabo por una tercera entidad experta en materia de ciberseguridad, detección y resolución de incidentes. Una vez resuelta la brecha de seguridad y finalizadas las oportunas investigaciones, se emite informe jurídico aportado a la AEPD junto con la notificación de cierre del incidente (escrito de 4 de diciembre de 2023) (…)”. Asimismo, BANCO INVERSIS describe la composición y las actuaciones del “Comité de Crisis”, grupo de trabajo multidisciplinar que convocó para valorar lo sucedido y recabar la información necesaria de cara a analizar la criticidad de la brecha de seguridad y adoptar las acciones necesarias para minimizar el riesgo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/37 “(…) Este grupo ha sido convocado de forma asidua para valorar la situación y está compuesto por los siguientes profesionales: o Consejero Delegado o Director de Desarrollo Internacional y Corporativo o Director de Operaciones y transformación o Directora de Asesoría Jurídica o Director de Recursos Humanos o Directora de Negocio y Relaciones Institucionales o Directora de Comunicación o Director de Seguridad (CISO) o Delegado de Protección de Datos de INVERSIS o ***EMPRESA.4 En concreto, las reuniones de punto de control con todo el Comité de Crisis, que han tenido lugar hasta el momento, han sido en las siguientes fechas: o Punto de control, 2 de noviembre de 2023, a las 12,30 horas o Punto de control, 3 de noviembre de 2023, a las 09,00 horas o Punto control, 3 de noviembre de 2023, a las 14,45 horas o Punto control, 3 de noviembre de 2023, a las 20,00 horas o Punto control, 4 de noviembre de 2023, a las 11,30 horas o Punto control, 6 de noviembre de 2023, a las 13,30 horas Respecto de las causas que hicieron posible la brecha BANCO INVERSIS asegura que, tras el análisis realizado por el equipo técnico, que los problemas de rendimiento identificados en su plataforma se deben a la actividad que realiza un único usuario autenticado en la plataforma, que hay un número muy elevado de peticiones de un mismo usuario de la aplicación de BANCO INVERSIS y que toda la actividad se realiza sobre el mismo servicio de consulta de datos de clientes. En este sentido se pronuncia: “(…) El incidente de seguridad tuvo como causa principal la realización por ciberataque de denegación de servicio (DDos) por parte de un mismo usuario autenticado en la plataforma, cuyas credenciales comprometidas con anterioridad permitieron (mediante técnica de fuerza bruta) un acceso limitado al servicio de consultas web. (…)”. En el Informe Cyber Incident Response (CIR) aportado por BANCO INVERSIS como Anexo XIV de 3 de mayo de 2024, se recoge que, tras el análisis de los registros de auditoría del servidor web que publica el servicio a Internet, se identifica el rango de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/37 las direcciones IP en las que tienen origen las peticiones. Además, en el escrito de 31 de enero de 2025, BANCO INVERSIS indica: “(…) Las credenciales no fueron comprometidas en ninguna infraestructura de INVERSIS. En todo caso, el compromiso se ha observado en el entorno privado del usuario (…)”. En cuanto al modo de acceso al servicio afectado por la brecha, BANCO INVERSIS explica en el escrito de 31 de enero de 2025: (…) En relación con el alcance de la información a la que se tenía acceso con las credenciales comprometidas en la brecha, BANCO INVERSIS, en el escrito de 31 de enero de 2025, señala: En cuanto al alcance de la información a la que la usuaria tenía acceso, estos serían únicamente los datos personales aportados por la cliente: aquellos identificativos de los que es titular, así como la información económica generada propia en el uso de los servicios (saldos, movimientos, operaciones). Y en el escrito de respuesta de 24 de julio de 2024, BANCO INVERSIS explica cómo se pudieron llevar a cabo consultas sobre otros usuarios durante la brecha y por qué algunas consultas fueron exitosas y otras fallidas: (…) Asimismo, en el Informe Cyber Incident Response (CIR) aportado como, Anexo XIV al escrito de 3 de mayo de 2024, recoge: (…) Respecto del acceso al servicio afectado por la brecha BANCO INVERSIS explica que el proceso de identificación y autenticación de un usuario se basa en la validación de los campos usuario y contraseña a través de un servicio que hace uso de un sistema LDAP. Una vez validados el usuario y la contraseña, y en cumplimiento de la regulación establecida en la Directiva PSD2, se lleva a cabo el proceso de autenticación reforzada del usuario haciendo uso del envío de un OTP. “(…) Al momento de acontecer el incidente de seguridad, el proceso de identificación y autenticación se basaba en la validación de ambos campos (usuario y contraseña) a través de un servicio que hace uso de un sistema LDAP. Una vez validadas tales credenciales, en cumplimiento de la Directiva PS2, se procedía al envío de un OPT como mecanismo de autenticación reforzada. (…)”. En relación con la política de contraseñas, BANCO INVERSIS detalla las siguientes reglas de seguridad implementadas en el servicio web:  La longitud de la contraseña debe ser mayor de 6 caracteres.  La contraseña debe estar compuesta por números y letras, permitiendo el carácter ‘.’ ‘_’ ‘-‘y no permitiendo ni ‘ñ’, ni ‘Ñ’.  La contraseña no puede ser igual que la contraseña actual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/37  La contraseña no puede tener tres caracteres iguales seguidos. BANCO INVERSIS aporta como Doc. 7, evidencias de la implementación de las reglas técnicas de obligado cumplimiento para la gestión de contraseñas. En relación con el proceso de autenticación reforzada, BANCO INVERSIS añade: En el proceso de autenticación en la fecha que ocurrió el incidente contaba con una exención de 90 días para la solicitud del OTP en el proceso de login, en estricto cumplimiento de la Directiva PSD2. Por este motivo, en la fecha de incidente en que las credenciales del usuario se vieron comprometidas, no se solicitó un código OTP dado que había sido requerido en el proceso de login el uso del OTP con fecha 18/09/2023 a las 16:18:43. A tal efecto, BANCO INVERSIS destaca: En relación al tiempo de solicitud de OTP (autenticación reforzada), cabe indicar que, previamente a la brecha, este plazo de validez estaba definido en un máximo de 90 días, tal como permite la normativa PSD2 en lo que a la autenticación reforzada se refiere (de acuerdo con lo establecido en la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo de 25 de noviembre de 2015 sobre servicios de pago en el mercado interior y el artículo 10 del Reglamento Delegado (UE) 2018/389 de la Comisión de 27 de noviembre de 2017 por el que se complementa la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo en lo relativo a las normas técnicas de regulación para la autenticación reforzada de clientes y unos estándares de comunicación abiertos comunes y seguros. Respecto de la vulnerabilidad explotada En el Informe Cyber Incident Response (CIR) aportado por INVERSIS, Anexo XIV, se identifica el parámetro que habría sido abusado por el atacante en la brecha, el parámetro ***PARÁMETRO.1. BANCO INVERSIS señala: “Como consecuencia de las actuaciones de investigación llevadas a cabo por INVERSIS con posterioridad a la resolución del incidente de seguridad, se observó que el usuario vulnerado disponía de sesión en el sistema y, por lo tanto, acceso a los servicios que la plataforma facilita. Con esta premisa, se estima que el atacante localizase la (…).” BANCO INVERSIS describe cómo se realizan las peticiones desde el servicio web afectado por la brecha: La llamada desde el servicio web está definida de la siguiente forma: (…) Dado que INVERSIS considera que esta configuración responde a una correcta protección de la información personal que se aloja en sus bases de datos y el servicio de consultas web, no se ha procedido a su modificación con posterioridad a la brecha. Si bien, la definición de la llamada del servicio web afectado por la brecha no se ha modificado, BANCO INVERSIS señala que ha procedido a modificar el propio servicio de manera que cuando el cliente accede a la www.inversis.com e introduce sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/37 credenciales, se realiza en primer lugar una comprobación que verifica que tenga visibilidad sobre cualquiera de los datos a los que se le permite tener acceso, (…). BANCO INVERSIS señala: “Con anterioridad al suceso que derivó en el incidente de seguridad, la definición de la llamada del servicio a la web a la transacción se define de tal forma que garantiza la seguridad, confidencialidad e integridad de los datos personales alojados en la plataforma de INVERSIS, con arreglo al marco de medidas de seguridad definidos por esta Entidad. (…). Respecto del usuario comprometido en la brecha En el Informe Cyber Incident Response (CIR) aportado por INVERSIS, Anexo XIV se recoge: (…) En el escrito de fecha 24 de julio de 2024, BANCO INVERSIS señala que las dos cuentas empleadas en el ciberataque corresponden a perfiles de clientes finales de banca online, que a su vez eran clientes de una entidad institucional de BANCO INVERSIS. Ambos clientes pertenecen a una entidad cliente institucional. El alta del usuario de estos clientes se realiza por la entidad cliente de manera autónoma sin ser necesaria la intervención de INVERSIS en el proceso. El cliente institucional tiene varios canales previstos para el alta de clientes en la plataforma de INVERSIS, pudiendo elegir entre canal online, call center o canal presencial en las oficinas del cliente institucional o de sus agentes. Desde el punto de vista del servicio en la plataforma de Inversis, los privilegios asignados a los mismos son los correspondientes a los clientes finales de banca online que le permite acceso a su estructura comercial otorgada en el proceso de alta de cliente final, en la que se le otorgan los accesos sobre sus propios productos financieros. En el escrito de 14 de noviembre de 2024, BANCO INVERSIS traslada que, a raíz de las oportunas investigaciones llevadas a cabo una vez que detectó el ciberincidente, identificó que la única cuenta empleada en el ciberataque pertenecía a un usuario con origen en el cliente institucional ***EMPRESA.2 (“***EMPRESA.2”). En el marco de las actuaciones de investigación se recaba la siguiente información:  Adenda al Contrato Marco de Prestación de servicios financieros al objeto de regular el Contrato de Encargo de Tratamiento de datos de carácter personal suscrito entre ***EMPRESA.2 e INVERSIS.  Comunicaciones intercambiadas entre BANCO INVERSIS y ***EMPRESA.2. En relación con el usuario comprometido en el servicio afectado por la brecha, BANCO INVERSIS en el escrito de 31 de enero de 2025, traslada: “(…) La cliente formalizó su alta directamente con INVERSIS en septiembre de 2011. En el proceso de alta, se asignaron las oportunas claves a la cliente en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/37 propia firma del contrato, así como un código de validación (clave operativa) para validar el proceso de registro. Esta clave operativa es la que le permitía operar en su Banca Online una vez hubiera accedido con sus credenciales. No obstante, en noviembre de 2014, se llevó a cabo una escisión del negocio retail de INVERSIS, que fue adquirido por ***EMPRESA.2, como sucesor universal de todos los derechos y obligaciones relacionados con este negocio retail. Con ello, desde el momento en que esta escisión se formalizó y ejecutó, INVERSIS se configuró como encargado del tratamiento de ***EMPRESA.2. INVERSIS en el escrito de 31 de enero de 2025, señala que estas credenciales no fueron comprometidas en ninguna infraestructura de INVERSIS. BANCO INVERSIS aporta como Doc. 9 y Doc. 10, evidencias del alta del usuario comprometido en la brecha. Por otra parte, BANCO INVERSIS en el escrito de 31 de enero de 2025, señala que estas credenciales no fueron comprometidas en ninguna infraestructura de BANCO INVERSIS. Arquitectura de las bases de datos En el escrito de 24 de julio de 2024, BANCO INVERSIS explica que los clientes institucionales ponen a disposición de BANCO INVERSIS los datos en el momento de la integración inicial del cliente en la plataforma de BANCO INVERSIS mediante la entrega de ficheros a través de SFTP (Protocolo de transferencia segura de archivos). A partir de la migración de dichos datos, son los propios clientes institucionales quienes los mantienen y gobiernan, a través del front de BANCO INVERSIS o en sus servicios back-to-back. (…). Asimismo, BANCO INVERSIS señala: (…) En el escrito de respuesta de 14 de noviembre de 2024, BANCO INVERSIS identifica las tablas que constan en su base de datos que contienen datos accedidos mediante la transacción explotada en el ataque. (…) Respecto del contrato de Encargado El contrato modelo de encargo de tratamiento de BANCO INVERSIS suscrito con los clientes entidades financieras para la prestación de los servicios de la compañía se aporta como Anexo I del Informe que se adjunta a la notificación adicional de la brecha, de 4 de diciembre de 2023. - En la cláusula tercera, relativa a las obligaciones del encargado del tratamiento, se recoge: Con la firma del presente Contrato, el Encargado del Tratamiento se obliga al cumplimiento de este y de las obligaciones previstas en él, y especialmente de las que seguidamente se detallan: […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/37 7. Implantar las medidas de seguridad comunicadas por el responsable del Tratamiento que se incorporan en el Anexo 2 al presente Contrato. […] - En la cláusula cuarta, relativa a la verificación de las medidas de seguridad y auditorías, se recoge: “4.1 El responsable del Tratamiento, en cumplimiento de su capacidad de control, se reserva el derecho a realizar auditorías y revisiones periódicas afrontando su coste, y a solicitar evidencias sobre el cumplimiento de lo establecido en el presente acuerdo por el Encargado del tratamiento, de cara a cumplir por el Encargado del tratamiento […]”. - En la cláusula duodécima, relativa a las notificaciones de las brechas de datos personales, se recoge: “12.1 El Encargado del Tratamiento notificará al responsable del Tratamiento, a través de la siguiente dirección de correo electrónico [*], sin dilación indebida, y en cualquier caso antes del plazo máximo de 48 horas desde que esta tenga lugar, las violaciones de seguridad de los datos a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para su análisis, valoración y documentación. La información a facilitar al responsable será como mínimo la siguiente: […] 12.3 El responsable del Tratamiento será el responsable de realizar las notificaciones de las violaciones de seguridad a las Autoridades de Protección de Datos que procedan, así como realizará las comunicaciones de las violaciones de seguridad a los afectados, cuando así se establezca por la normativa.” Asimismo, BANCO INVERSIS aporta la comunicación destinada a los clientes institucionales, Anexo VIII de escrito de 3 de mayo de 2024, y la acredita en el Documento 3, en escrito de 14 de noviembre de 2024. Se comprueba que, mediante correo electrónico fechado el 3 de noviembre de 2023, BANCO INVERSIS comunica la brecha a ***EMPRESA.3. - En el Anexo II relativo a las medidas de seguridad aplicables: Medidas de seguridad aplicables a los tratamientos 1. Funciones y obligaciones del personal C/ Jorge Juan, 6 28001 – Madrid  Las funciones y las obligaciones de cada uno de los usuarios o perfiles de usuario con acceso a los datos de carácter personal y a los sistemas de información están claramente definidas y documentadas por el Encargado del Tratamiento.  El Encargado del Tratamiento deberá adoptar las medidas necesarias para que el personal con acceso a datos personales conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones, así como las www.aepd.es sedeaepd.gob.es 15/37 consecuencias en incumplimiento. que pudieran incurrir en caso de […] 3. Control de acceso  Los usuarios deberán tener acceso únicamente a aquellos datos y recursos que precisen para el desarrollo de sus funciones.  El Encargado del Tratamiento deberá elaborar una relación actualizada de los usuarios y sus perfiles, y los accesos autorizados para cada uno de ellos, así como establecer los mecanismos necesarios para evitar que un usuario pueda acceder a recursos con perfiles distintos a los autorizados.  Exclusivamente el personal autorizado podrá conceder, alterar o anular el acceso autorizado a los datos y recursos, conforme a los criterios que debe establecer el Encargado del tratamiento.  Deberá disponer de un procedimiento documentado para el control y gestión de las autorizaciones respecto a los sistemas de información y dispositivos, se mantendrán los siguientes controles, […] 5. Identificación y autenticación  El Encargado del Tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios con acceso a datos de carácter personal.  El Encargado del tratamiento deberá establecer un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información, donde se encuentren los datos de carácter personal, y la verificación de que está autorizado.  Si el mecanismo de autenticación se basa en la existencia de contraseñas deberá existir un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. Las contraseñas se cambiarán periódicamente, en ningún caso será superior a un año, y mientras estén vigentes se almacenarán de forma ininteligible […] Respecto del Acuerdo de colaboración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/37 INDEXA aporta como Anexo I en escrito de 24 de julio de 2024, el Contrato Marco de Colaboración firmado como “PRESENTADOR INDEPENDIENTE REGULADO” con BANCO INVERSIS. En lo que a protección de datos se refiere, se recoge: “5.7.- Protección de datos de carácter personal Si el PRESENTADOR INDEPENDIENTE REGULADO cede a favor de INVERSIS datos personales, el PRESENTADOR INDEPENDIENTE REGULADO, como titular cedente de los mismos, será responsable de los datos personales a todos los efectos legales, respondiendo del origen de los datos personales cedidos, de haber informado y de contar con el consentimiento de los Clientes, así como de cumplir con todos los requisitos exigidos por la normativa reguladora de la protección de datos personales que sea de obligado cumplimiento para el PRESENTADOR INDEPENDIENTE REGULADO en virtud de la jurisdicción de su domicilio, de la jurisdicción del domicilio de los Clientes, así como en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y por el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD para efectuar la referida cesión de datos personales exclusivamente para las finalidades pactadas en el presente Contrato a favor de INVERSIS. El PRESENTADOR INDEPENDIENTE REGULADO declara expresamente (
7. i)que en ningún caso cederá a favor de INVERSIS datos especialmente protegidos, y (
8. ii)haber cumplido con todos los requisitos exigidos por las normas que resulten de aplicación conforme al párrafo anterior, incluyendo, pero sin limitarse a, los de información y consentimiento del afectado, para la cesión de los datos personales de los Clientes a favor de INVERSIS para las finalidades pactadas en el presente Contrato. Por otro lado, en el caso de que INVERSIS tenga que ceder al PRESENTADOR INDEPENDIENTE REGULADO, previa solicitud de éste en tal sentido, datos personales de los Clientes, el PRESENTADOR INDEPENDIENTE REGULADO se compromete a informar y a recabar de los Clientes su consentimiento previo, mediante el Contrato de Gestión discrecional firmado entre el CLIENTE y el PRESENTADOR INDEPENDIENTE REGULADO del que se dará copia a INVERSIS. Asimismo, INVERSIS exonerará y dejará indemne al PRESENTADOR INDEPENDIENTE REGULADO por cualquier tipo de responsabilidad, de carácter económico o no, que pudiera derivarse de reclamaciones de cualquier parte (incluyendo, pero sin limitarse a, sanciones impuestas por la Agencia Española de Protección de Datos) basadas en el incumplimiento por parte de INVERSIS de cualquiera de sus obligaciones en materia de protección de datos previstas en las normativa aplicable de las jurisdicciones afectadas por los servicios regulados en el Contrato, siempre y cuando dicho incumplimiento no fuera imputable exclusivamente a INVERSIS, éste sólo responderá por los daños y perjuicios atribuibles a su participación en tal cumplimiento. Dicha responsabilidad de INVERSIS estará limitada a los daños sufridos por el PRESENTADOR INDEPENDIENTE REGULADO. En cualquier caso, no serán objeto de indemnización por ninguna de las Partes (
9. i)el lucro cesante ni los daños indirectos, morales o reputacionales, ni (
10. ii)los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/37 daños que sean contingentes o que no sean de posible cuantificación hasta que dichos daños den lugar a un daño efectivo y cuantificable. En relación con los datos identificativos propios del PRESENTADOR INDEPENDIENTE REGULADO que facilite a INVERSIS en virtud del presente Contrato, se le informa que, de conformidad con lo dispuesto en la LOPD y el Reglamento LOPD, serán incluidos en un fichero de datos personales cuyo Responsable es INVERSIS con domicilio social en Madrid, Edificio “Plaza Aeropuerto”, avenida de la Hispanidad, 6, donde podrá ejercitar su derechos de acceso, rectificación, cancelación y oposición con la finalidad de mantener la presente relación contractual. 9. Confidencialidad Ambas partes se comprometen, aún con posterioridad a la terminación del Contrato, a tratar el contenido del Contrato, sus anexos y la información que reciban al amparo del mismo (en adelante, la “Información Confidencial”) de forma confidencial y a no suministrar a terceros dicha Información Confidencial. No se considerará incumplida la obligación señalada en el apartado anterior en los casos siguientes:  Transmisión de la información a cualquier persona o entidad del grupo al que pertenezcan las Partes respectivamente.  Facilitar la Información Confidencial a cualquier autoridad administrativa o judicial en cumplimiento de una obligación legal o reglamentaria.  Cuando la Información Confidencial responsabilidad de ninguna de las Partes.  Cuando una de las Partes necesite revelar la Información Confidencial para reclamar el incumplimiento del presente Contrato (en particular, a asesores legales).” deviniese pública sin En el Anexo 2.- Contrato de Gestión Discrecional del Contrato Marco de Colaboración se incluye el Contrato Tipo de Gestión Discrecional de Carteras Individuales y, en lo que a protección de datos se refiere, en la decimoctava condición general se recoge: “Decimoctava. Autorización para el tratamiento de datos de carácter personal. 18.1. El Titular, en caso de ser persona física, queda informado de que INDEXA CAPITAL incorporará a su correspondiente fichero los datos personales del Titular a los que INDEXA CAPITAL tenga acceso en el marco de este Contrato (en adelante, “los Datos”). El Titular autoriza a INDEXA CAPITAL para que trate los Datos en relación con el desenvolvimiento de este Contrato y con la oferta y contratación con el Titular de los servicios de INDEXA CAPITAL, así como para el desarrollo de acciones comerciales, ya sean de carácter general o adaptadas a sus características personales. Igualmente, el Titular queda informado, consiente y autoriza a INDEXA CAPITAL para que ceda los Datos a INVERSIS, cuyo ámbito de actividad es el sector bancario y actuación en los mercados de valores, para el tratamiento de los mismos en los ficheros de responsabilidad, con la finalidad de que éste pueda tratar los Datos en relación con el desenvolvimiento de los Contratos de Valores y de Cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/37 Corriente Administrada conexos con este Contrato. El domicilio social de INVERSIS está situado en Madrid, Edificio “Plaza Aeropuerto”, Avenida de la Hispanidad, 6, 28042, donde el Titular podrá ejercitar sus derechos de acceso, rectificación, cancelación y oposición. 18.2. El Titular queda informado de su derecho de oposición, acceso, rectificación y cancelación de los Datos, en los términos previstos en la Ley. El Titular podrá ejercitar este derecho por escrito mediante email enviado a ***EMAIL.1 o carta dirigida a INDEXA CAPITAL en la ***DIRECCIÓN.1, estando INDEXA CAPITAL obligada a entregar los Datos solicitados.” BANCO INVERSIS aporta la comunicación destinada a los clientes finales, Anexo IX de escrito de 3 de mayo de 2024, y acredita la comunicación de la brecha a las entidades colaboradoras para la posterior notificación del incidente a los interesados Documento n.º 5 de escrito de 14 de noviembre de 2024. En relación con la comunicación de la brecha, BANCO INVERSIS también señala: Se procuró la publicación de comunicados de prensa en diarios de tirada nacional para informar, con alcance general, sobre los aspectos necesarios en torno al referido incidente. Se aporta como Documento n.º 6 de escrito de 14 de noviembre de 2024, comunicados de prensa publicados por BANCO INVERSIS en diarios de tirada nacional. En el marco de las actuaciones de investigación BANCO INVERSIS aporta las evidencias solicitadas por esta Agencia de la notificación de la brecha realizada a las partes reclamantes 1 y 2, en concreto como Documento n.º 7 de escrito de 14 de noviembre de 2024. Respecto de los datos afectados Dentro de la relación jurídica existente entre INDEXA e BANCO INVERSIS derivada del contrato marco colaboración, BANCO INVERSIS no trata datos personales en nombre y por cuenta de INDEXA. Todo el tratamiento de datos que realiza de sus clientes, lo realiza en nombre propio con las funciones de un banco custodio. INDEXA explica que obtiene los datos de los clientes a través del formulario web de apertura de cuenta mediante protocolos ***URL.1. Durante el proceso de alta, el cliente elige el banco custodio donde se abrirán las cuentas a su nombre y con el que el cliente firmará el contrato de custodia. Una vez que el cliente elige Asimismo, BANCO INVERSIS y tras haber adjuntado toda la documentación necesaria, INDEXA envía todos los datos por web service a INVERSIS. INDEXA aporta como Anexo II del escrito de 24 de julio de 2024, capturas de pantalla del proceso de alta y de la elección del banco custodio. BANCO INVERSIS detalla que como responsable del tratamiento de los datos personales de sus propios empleados y de sus clientes finales y, a los efectos del inicio de la relación contractual, requiere a los clientes las siguientes categorías de datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/37 - Datos identificativos (nombre, apellidos, fecha de nacimiento, domicilio fiscal, DNI/NIE/Pasaporte o cualquier otro documento identificativo que se requiera según el tipo de relación y - Datos económicos, tales como la cartera de posiciones/valores de los clientes, categoría de datos no se ha visto afectada por la brecha de seguridad. Asimismo, BANCO INVERSIS traslada las cifras de potenciales afectados de las entidades financieras a las que presta servicios (clientes institucionales), que son las auténticas responsables de los datos personales y frente a las que actúa como encargado de tratamiento de datos: - En la base de datos que INVERSIS mantiene como responsable de tratamiento, se estima que haya podido ascender aproximadamente a 45.000 interesados (clientes finales de INVERSIS). Documento 4 de escrito de 14 de noviembre de 2024. - Las distintas bases de datos relativas a los clientes institucionales, se estima que el incidente podría haber afectado a alrededor de 2 millones de interesados. En el Documento 2 se identifican los clientes institucionales afectados por la brecha y para cada uno de ellos el número de afectados. En los distintos casos, BANCO INVERSIS señala que, a raíz de las investigaciones que ha llevado a cabo, se han visto afectados datos de carácter identificativo: nombre, apellidos, fecha de nacimiento, DNI/NIE/Pasaporte, domicilio fiscal. Respecto del servicio web afectado por la brecha BANCO INVERSIS traslada que el software del servicio web afectado por el incidente data de 2017, coincidiendo con la entrada en vigor de la normativa MIFID II (Markets in Financial Instruments Directive), que fue desarrollado por su parte, que es de su titularidad y que ha realizado de forma continuada pruebas de auditorías de los activos www.inversis.com y integraexterno.inversis.com. BANCO INVERSIS destaca que el equipo de Seguridad IT de BANCO INVERSIS realiza de manera regular, según una planificación preestablecida, test de seguridad de la plataforma con la que presta servicios a sus clientes institucionales y finales. “En este sentido, se llevan a cabo distintas pruebas de auditoría sobre la plataforma, tales como pruebas de monitorización continua para detectar vulnerabilidades o también pruebas de pentesting. Las pruebas basadas en la monitorización continua realizan diariamente escaneos de los servicios expuestos de INVERSIS y generan informes mensuales. Las pruebas de pentesting se realizan con periodicidad anual y se define en ese plan anual el alcance y el frontal en los que se realizan estos tests.” Asimismo, BANCO INVERSIS añade: “Como consecuencia del incidente acontecido en noviembre de 2023, durante el siguiente curso, INVERSIS ha llevado a cabo una nueva auditoría sobre el activo www.inversis.com, en aras de mejorar la robustez del servicio web. Esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/37 auditoría se ha ejecutado con usuarios autenticados y distintos niveles de acceso. La seguridad lógica del acceso al servicio web se ha continuado fortaleciendo, mediante su revisión a partir del uso de credenciales para simular el incidente ocurrido (esto es, adoptando medidas especialmente orientadas a evitar sucesos similares). Conforme lo anterior, ambos informes de auditoría reflejan resultados de notable mejora al ejecutar intentos de acceso con usuarios autenticados y distintos niveles de acceso, suponiendo una medida de refuerzo continuada para mitigar el riesgo de nuevos incidentes similares en consonancia con lo establecido por el artículo 32 del Reglamento General de Protección de Datos (“RGPD”)”. Y aporta la siguiente documentación al respecto: o Informe Auditoria Continua INVERSIS Sept 2023 Doc. 6. o Pentest Web INVERSIS 2021 Doc. 7. o Pentest Web INVERSIS ICON 2023, Doc. 8. o Pentest Web INVERSIS LIGHTHOUSE 2021 Doc. 9. BANCO INVERSIS aporta como Anexo VII, el análisis efectuado por BANCO INVERSIS para determinar la necesidad de realizar una Evaluación de Impacto de Protección de Datos (EIPD) de la actividad, cuyo resultado es que el tratamiento no debe ser objeto de una EIPD y añade: “Cabe destacar que INVERSIS valoró el potencial riesgo de accesos no autorizados a sus bases de datos, estableciendo las medidas mitigadoras adecuadas, tal y como se refleja en el listado de medidas del apartado siguiente (Punto 6 del escrito de escrito de 3 de mayo de 2024) (en materia de “control de accesos”).” Respecto de las medidas de seguridad En el Informe Cyber Incident Response (CIR) aportado se recoge: “(…)” - Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido. Medidas de seguridad técnicas: (…) Respecto a la acreditación documental de los sistemas IPS/IDS y SIEM disponibles para la prevención y detección de ataques con anterioridad a que se produjera la brecha, BANCO INVERSIS aporta como Documentos 12 y 13, capturas del contrato de servicios de Ciberseguridad con la firma de servicios profesionales ***EMPRESA.4 (en su línea de servicio de Ciberseguridad), en la que se aprecia (
11. i)a pie de página la fecha -2022- y (
12. ii)la incorporación al alcance de servicios de los sistemas IPS/IDS (PaloAlto) y SIEM. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/37 BANCO INVERSIS señala que adopta y mantiene medidas en la gestión de los usuarios en un triple sentido:  “Aquellas establecidas en los protocolos adjuntos, que se aportan como Doc. 3 (Manual Usuario eSnow para el alta de usuarios) y Doc. 4 (Procedimiento de identificación y autenticación lógica).  En el plano de la relación con los responsables del tratamiento (auténticas entidades obligadas a la adecuada gestión, responsabilidad y seguridad de los datos y usuarios que acceden al servicio web), mediante la adopción de medidas consensuadas y pactadas en contrato para su debido cumplimiento por ambas partes. Este punto queda acreditado de acuerdo con el contenido de contrato de encargado de tratamiento firmado con ***EMPRESA.2 aportado.  En el plano de las relaciones contractuales que mantiene con sus clientes (finales), corresponde a dicha persona la adecuada custodia y conservación de sus credenciales de acceso. En este sentido, tal y como consta en los apartados 4.4, 4.5 y 19 del Contrato Marco aportado, Doc. 5, INVERSIS adopta medidas y mantiene canales a disposición de los clientes para cualquier incidencia que pudiera acontecer en la gestión de sus usuarios y credenciales de acceso, a efectos de mitigar cualquier efecto adverso que un fallo en la custodia por parte del cliente pudiera ocasionar. Además de lo anterior, INVERSIS cuenta con un servicio externalizado en el que se monitorizan y detectan hallazgos de posibles usuarios comprometidos (a cuyo efecto se aporta el Doc. 6 como evidencia de los servicios suscritos en este contexto). Este servicio externalizado alerta al equipo de Seguridad de la Información de INVERSIS sobre una posible alerta de usuario comprometido, ante lo cual el equipo de INVERSIS identifica al usuario e institución e informa a sus responsables de seguridad. Si bien lo anterior, tal y como se expresa en el punto (iii), son los equipos del cliente institucional los que deben aplicar las medidas oportunas de bloqueo de usuario y reseteo de contraseña, sen contacto con el usuario-cliente de la institución (cliente del cliente institucional). (…) Medidas de seguridad organizativas: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/37 - Motivo por el cual las medidas de seguridad implantadas que no han impedido el incidente. INVERSIS lo explica como sigue: (…) - Medidas adoptadas para evitar, en lo posible, incidentes como el sucedido (…) BANCO INVERSIS subraya que una de las principales medidas adoptadas en el ámbito de la identificación y autenticación del usuario se orientaron a la eliminación de la exención de 90 días en el envío del OTP en el proceso de autenticación, por lo que actualmente se requiere a todos los usuarios la introducción del código OTP en cada inicio de sesión. Esta medida se adoptó en los siguientes días después del incidente, durante el mes de noviembre de 2023 y se aporta como Doc. 11, evidencia de que cada inicio de sesión requiere actualmente la introducción del factor de validación OTP. “(…)” El resultado de la prueba de pentesting sobre la plataforma web de BANCO INVERSIS se aporta en el Doc. 10, Pentest Web INVERSIS 2024. Respecto a la acreditación documental sobre el refuerzo de actividades de monitorización e incorporación de nuevos casos de uso en sistemas de detección, se aportan, como Documentos 14 y 15, capturas de: (…) Respecto de la notificación de la brecha a la AEPD BANCO INVERSIS explica que, de acuerdo con la cronología de hechos, el incidente de seguridad se detectó el día 30 de octubre de 2023. Una vez identificado la existencia del ataque DDoS, el día 31 de octubre de 2023, y el potencial impacto sobre los datos personales de los interesados, el día 1 de noviembre de 2023, BANCO INVERSIS procuró intento de notificación a esta Agencia el día 3 de noviembre de 2023, sin embargo, esta notificación resultó infructuosa a raíz de fallos técnicos. Se aporta como Anexo XI la captura de pantalla de la sede electrónica de la AEPD con el siguiente mensaje de error: Ha ocurrido un error realizando la operación. El día 4 de noviembre de 2023, BANCO INVERSIS lleva a cabo un segundo intento de notificación inicial y ésta resulta correctamente practicada. En fecha 4 de diciembre de 2023, BANCO INVERSIS efectúa una notificación adicional con la gestión y cierre del incidente, a la que adjunta el documento Informe jurídico sobre la gestión y acciones realizadas, en materia de protección, con motivo de la brecha de seguridad sufrido en Banco Inversis, S.A. fechado el 4 de diciembre de 2023. Asimismo, se aporta como como Anexo X el comunicado de prensa emitido por BANCO INVERSIS, en fecha 3 de noviembre, sobre la activación de sus protocolos de seguridad tras detecta un acceso no autorizado a sus sistemas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/37 Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo Por último, BANCO INVERSIS comunica que de acuerdo con las investigaciones y revisiones recurrentes llevadas a cabo en su servicio de consultas web, no le consta que los hechos objeto de este incidente se hayan repetido, por lo que no existe recurrencia de los mismos. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, BANCO INVERSIS es una mediana empresa constituida en el año 2001, y con un volumen de negocios de 506.097 € euros en el año 2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
13. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas BANCO INVERSIS, S.A. es una entidad de crédito que ofrece soluciones tecnológicas y de externalización de servicios a entidades financieras, aseguradoras y otros actores en la distribución de productos de inversión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/37 Para ello trata datos de carácter personal, entendiendo por dato de carácter personal: “toda información sobre una persona física identificada o identificable”. En cuanto a la operativa que lleva a cabo se distinguen dos tipos de relaciones contractuales en su actividad de negocio: la actividad de negocio con clientes finales de la entidad, donde INVERSIS actúa como responsable de tratamiento, y aquellas actividades con clientes institucionales, ante las cuales actúa como encargado de tratamiento de determinados datos de carácter personal de los clientes de éstas, necesarios para prestarles los servicios de inversión externalizados. INVERSIS actúa también como responsable del tratamiento de los datos personales de sus propios empleados. Realiza esta primera actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Respecto de la actividad de INDEXA, es una empresa de servicios de inversión que actúa como intermediaria en los mercados financieros. La colaboración entre INDEXA e INVERSIS se plasma en el Contrato de Colaboración suscrito entre las partes aportado. Ambas entidades actúan de forma independiente, en calidad de responsables de tratamiento de los datos que necesitan para su operativa de negocio El artículo 4 apartado 12 del RGPD define, «violación de la seguridad de los datos personales»: como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. En el presente caso, consta una notificación inicial de brecha de datos personales presentada en fecha 10 de noviembre de 2023, ante esta Agencia por parte de INVERSIS, y una notificación adicional, efectuada en fecha 4 de diciembre de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/37 La brecha tuvo afectación en el servicio web de consulta de información sobre posiciones inversoras de clientes. INVERSIS señala que el servicio web afectado por la brecha es de su titularidad y que fue desarrollado por su parte en 2017. INVERSIS determinó la existencia de un acceso no autorizado al servicio afectado por parte de un tercero que habría hecho uso de unas credenciales pertenecientes a un usuario con origen en el cliente institucional ***EMPRESA.2. En el marco de las actuaciones de investigación se ha recabado la Adenda al Contrato Marco de Prestación de servicios financieros al objeto de regular el Contrato de Encargo de Tratamiento de datos de carácter personal suscrito entre ***EMPRESA.2 e INVERSIS y las comunicaciones intercambiadas entre INVERSIS y ***EMPRESA.2 a raíz de la brecha. Asimismo, INVERSIS aporta el contrato modelo de encargo de tratamiento que suscribe con los clientes entidades financieras para la prestación de los servicios. Respecto al modo de acceso al servicio afectado por la brecha, el proceso de identificación y autenticación de un usuario se basa en la validación de los campos usuarios y contraseña. Una vez validados el usuario y la contraseña, se lleva a cabo un proceso de autenticación reforzada del usuario haciendo uso del envío de un OTP. INVERSIS afirma que, en estricto cumplimiento de la Directiva PSD2, el proceso de autenticación en la fecha que ocurrió el incidente contaba con una exención de 90 días para la solicitud del OTP en el proceso de login. Por este motivo, en la fecha del incidente en que las credenciales del usuario se vieron comprometidas, no se solicitó un código OTP dado que había sido requerido en el proceso de login el uso del OTP con fecha 18/09/2023 a las 16:18:43. Respecto al alcance de la información a la que tenía acceso la usuaria a la que pertenecían las credenciales comprometidas en la brecha, eran únicamente los datos personales aportados por la cliente: aquellos identificativos de los que es titular y la información económica generada propia por el uso de los servicios. INVERSIS concluye que, debido a una configuración débil de seguridad del servicio de consulta, fue posible alterar su comportamiento y acceder a datos a los que un usuario no debería tener permisos de acceso. En el cuerpo del informe se describe esta vulnerabilidad explotada durante el ciberataque. Con respecto a los datos afectados por la brecha, INVERSIS estima que en la base de datos que mantiene como responsable de tratamiento, el número de afectados asciende aproximadamente a 45.000 interesados (clientes finales de INVERSIS). En las bases de datos relativas a los clientes institucionales, estima que el incidente podría haber afectado a aproximadamente 2 millones de interesados. En ambos casos, los datos que se han visto afectados son de carácter identificativo: nombre, apellidos, fecha de nacimiento, DNI/NIE/Pasaporte y domicilio fiscal. En el marco de las actuaciones de investigación INVERSIS acredita la notificación de la brecha a todos los clientes institucionales y a las entidades colaboradoras afectadas. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
14. f)del artículo 5 del RGPD. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/37 Obligación incumplida. Principio de integridad y de confidencialidad. Establece el artículo 5.1.
15. f)del RGPD lo siguiente: “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
16. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Según las Directrices 9/2022, sobre la notificación de las violaciones de la seguridad de los datos personales en el marco del RGPD, se produce una «violación de la confidencialidad» cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos; una «violación de la integridad»: cuando se produce una alteración no autorizada o accidental de los datos personales; y una «violación de la disponibilidad»: cuando se produce una pérdida de acceso accidental o no autorizada a los datos personales, o la destrucción de los mismos . El principio de confidencialidad e integridad, dentro del marco del RGPD, implica la obligación de garantizar que los datos personales se mantengan protegidos y únicamente puedan ser accesibles o modificados por aquellos que tienen autorización para su tratamiento, con el fin legítimo previsto por el responsable del tratamiento. Por otra parte, el artículo. 24 del RGPD, en desarrollo del principio de responsabilidad proactiva previsto en el artículo 5.2 del RGPD dispone en su apartado 1 que: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. (El subrayado es nuestro). Por su parte, el Considerando 74 del RGPD declara que “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/37 conformidad de las actividades de tratamiento con el Reglamento General de Protección de Datos, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas” Y añade el Considerando 76 que “La probabilidad y la gravedad del riesgo para los derechos y libertades del interesado debe determinarse con referencia a la naturaleza, el alcance, el contexto y los fines del tratamiento de datos. El riesgo debe ponderarse sobre la base de una evaluación objetiva mediante la cual se determine si las operaciones de tratamiento de datos suponen un riesgo o si el riesgo es alto” Las Directrices WP248 del GT29, sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento «entraña probablemente un alto riesgo» a efectos del RGPD, adoptadas el 4 de abril de 2017 y revisadas por última vez y adoptadas el 4 de octubre de 2017, definen los conceptos de “riesgo” y de “gestión del riesgo”. Un «riesgo» es un escenario que describe un acontecimiento y sus consecuencias estimado en términos de gravedad y probabilidad. Por otra parte, la «gestión de riesgos» puede definirse como las actividades coordinadas para dirigir y controlar una organización respecto al riesgo. Tal y como recoge la guía de esta AEPD sobre “Gestión del riesgo y evaluación de impacto en tratamientos de datos personales”, “el responsable tendrá que abordar, dentro del ciclo de gestión del riesgo, todas aquellas medidas que fueran necesarias para prevenir que el incidente o la brecha pudieran volver a ocurrir. Esta tarea implicará la revisión de los controles que estuvieran relacionados con la ocurrencia de la brecha, así como posible la implantación de nuevos controles que pudieran ser necesario” Lo que implicará, por lo que aquí interesa, la aplicación de aquellos recursos, procedimientos y controles que pudieran ser necesarios para garantizar el cumplimiento del principio de confidencialidad, lo que no consta que se haya realizado. En este sentido, la referida guía también recoge: “(…) Como interpreta la Declaración WP218, hay que subrayar que abordar los riesgos que pudiera entrañar un tratamiento de datos para los derechos y libertades de las personas no puede limitarse a aplicar exclusivamente medidas de seguridad. Por lo tanto, la gestión de los riesgos de seguridad es una más de las actividades para la gestión de los riesgos para los derechos y libertades y se tiene que supeditar a esta última. Además, desde el punto de vista del RGPD, las medidas de mitigación han de estar orientadas a reducir el impacto y la probabilidad de que las brechas de datos personales afecten al interesado (…)”. En el caso que nos ocupa, de las actuaciones de investigación realizadas por esta autoridad, se desprende una presunta vulneración del citado principio de confidencialidad. Dicha vulneración se manifiesta en primer lugar, en la filtración de datos personales de los clientes, lo que motivó la presentación por parte de estos, de distintas reclamaciones dirigidas a esta Agencia, relacionadas con la brecha. Así pues, consta una notificación inicial de brecha de datos personales presentada en fecha 10 de noviembre de 2023, ante esta Agencia, por parte de BANCO INVERSIS y una notificación posterior, efectuada en fecha 4 de diciembre de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/37 BANCO INVERSIS señala que, a raíz de las investigaciones que ha llevado a cabo, se han visto afectados datos de carácter identificativo: nombre, apellidos, fecha de nacimiento, DNI/NIE/Pasaporte, domicilio fiscal. La propia entidad afirma que “En la base de datos que INVERSIS mantiene como responsable de tratamiento, se estima que haya podido ascender aproximadamente a 45.000 interesados (clientes finales de INVERSIS). “Las distintas bases de datos relativas a los clientes institucionales, se estima que el incidente podría haber afectado a alrededor de 2 millones de interesados.” El hecho de que el incidente de seguridad tuviera como causa principal la realización por ciberataque de denegación de servicio (DDos) por parte de un mismo usuario autenticado en la plataforma, cuyas credenciales comprometidas con anterioridad permitieron (mediante técnica de fuerza bruta) un acceso limitado al servicio de consultas web, constituye una manifestación de la vulneración del principio de integridad y confidencialidad, consagrado en el citado artículo 5.1.
17. f)del RGPD. En este sentido, no debe olvidarse, tal y como ha quedado expuesto en las actuaciones de investigación y de la información transmitida, que los atacantes accedieron a datos personales de los clientes. Con respecto a los datos afectados por la brecha, BANCO INVERSIS estima que en la base de datos que mantiene como responsable de tratamiento, el número de afectados asciende aproximadamente a 45.000 interesados (clientes finales de BANCO INVERSIS). En las bases de datos relativas a los clientes institucionales, estima que la brecha de datos personales podría haber afectado a aproximadamente 2 millones de interesados. En ambos casos, los datos personales que se han visto afectados son: nombre, apellidos, fecha de nacimiento, DNI/NIE/Pasaporte y domicilio fiscal. En cuanto a la duración de la brecha de datos personales debe subrayarse que se prolongó, como mínimo, desde el 1 de noviembre de 2023, fecha en la que BANCO INVERSIS tuvo constancia a raíz de las investigaciones técnicas, de que efectivamente se había producido un acceso por parte de un tercero no autorizado a ciertos datos de carácter personal, hasta el 28 de noviembre, fecha en la que finalizaron las labores de análisis y se cerraron las diferentes líneas de investigación llevadas a cabo por una tercera entidad experta en materia de ciberseguridad, detección y resolución de incidentes, lo cual supuso la adopción e implementación de las medidas pertinentes. El acceso no autorizado a múltiples datos personales de una sola persona aumenta el riesgo de uso indebido y fraude y pone de manifiesto que las medidas técnicas y organizativas adoptadas por el responsable no eran las apropiadas para garantizar la integridad y confidencialidad adecuada de los datos personales, en especial para la protección contra el tratamiento no autorizado o ilícito. De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/37 infracción, imputable a BANCO INVERSIS, por vulneración del artículo 5.1.
18. f)del RGPD. V Tipificación y calificación de la infracción De confirmarse, la citada infracción del artículo 5.1.
19. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
20. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
21. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
22. a)a
23. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/37
24. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
25. b)la intencionalidad o negligencia en la infracción;
26. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
27. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
28. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
29. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
30. g)las categorías de los datos de carácter personal afectados por la infracción;
31. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
32. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
33. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
34. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
35. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
36. a)El carácter continuado de la infracción.
37. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
38. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
39. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
40. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
41. f)La afectación a los derechos de los menores.
42. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
43. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/37 supuestos en los que existan controversias entre aquellos y cualquier interesado.” Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
44. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de BANCO INVERSIS de 506.097,00 euros. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de BANCO INVERSIS es de 20.243,88 euros. Conforme a lo anterior, la sanción que se imponga habrá de estar forzosamente entre los 0 y los 20.000.000 euros. Asimismo, en relación con el nivel de gravedad en los términos del RGPD, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD: sin perjuicio de que el procedimiento sancionador se tramite a raíz de tres reclamaciones, los hechos conocidos ponen de manifiesto una ausencia de medidas técnicas y organizativas de todo tipo que ha redundado en un brecha con un número muy considerable de afectados. Así, el número de afectados asciende aproximadamente a 45.000 clientes finales, si bien, en las bases de datos de clientes institucionales, se estima que la brecha de datos personales podría haber afectado a 2 millones de interesados, lo que resalta tanto la escala del incidente como el volumen considerable de individuos cuyos derechos y libertades fueron comprometidos. El elevado alcance de la brecha amplifica la gravedad de la infracción, dado que cada cliente afectado representa un potencial caso de fraude, suplantación de identidad, o pérdida financiera, multiplicando exponencialmente las repercusiones negativas del incidente, así como el nivel de daños sufridos por los afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/37 Por otra parte, debe subrayarse la duración de la brecha, que se prolongó hasta el 28 de noviembre. Asimismo, se resalta el elevado número de los números personales filtrados por cada afectado: nombre, apellidos, número de DNI/pasaporte/NIE, domicilio fiscal y fecha de nacimiento. La combinación de este tipo de datos personales eleva significativamente el nivel de riesgo para los derechos y libertades de sus titulares y las implicaciones de la vulneración de la confidencialidad. Esto se debe a la circunstancia de que dicha combinación no solo aumenta la cantidad de información disponible para un actor malicioso, sino que también amplía el espectro de posibles abusos. Dado que no se trata de datos aislados o piezas individuales de información, sino de la exposición de un conjunto integrado de datos personales que cuando se combinan, pueden ser utilizados para construir un perfil completo y detallado de un individuo, lo cual puede permitir a un atacante realizar operaciones de fraude y suplantación de identidad con una mayor tasa de éxito. No debe olvidarse que los hechos inciden directamente en el control que los afectados tienen sobre sus datos personales y la ausencia de expectativa razonable de que sus datos sean accedidos por terceros no autorizados. Así, los afectados confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas razonables de los afectados respecto al tratamiento de sus datos personales. - Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso entre los datos personales objeto de la brecha para cada uno de los afectados, se incluye el número del DNI/pasaporte o NIE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/37 Los números de identificación nacionales ya sean para ciudadanos nacionales o extranjeros, son datos sensibles que permiten la identificación directa e inequívoca de una persona física. Así, por ejemplo, tal y como establece el Real Decreto 1553/2005, el DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento especialmente sensible dentro del ecosistema de datos personales. Además, su utilización indebida conlleva un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Asimismo, se consideran los siguientes factores en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): INVERSIS, como consecuencia de su actividad empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados. La realización de actividades financieras y bancarias, que es la actividad principal de INVERSIS, implica forzosamente operaciones de tratamiento de datos personales de las personas físicas clientes (o potenciales clientes) de dicha entidad. Así, la infracción se produce en el marco de un tratamiento de datos personales que habitualmente realiza el responsable en su negocio y que se encuentra estrechamente vinculado a este. Considerando los factores expuestos, la valoración inicial que alcanza la cuantía de la multa es de 10.000,00 euros por infracción del artículo 5.1
45. f)del RGPD. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a BANCO INVERSIS, S.A., con NIF A83131433, - por la presunta infracción del artículo 5.1.
46. f)del RGPD, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR instructora a R.R.R. y, como secretaria, a S.S.S., indicando que podrán ser recusadas, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la documentación aportada por BANCO INVERSIS, S.A., con NIF A83131433, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/37 CUARTO: QUE a los efectos previstos en el art. 64.2
47. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 10.000,00 euros sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a BANCO INVERSIS, S.A., con NIF A83131433, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (8.000,00 euros o 6.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/37 Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-110425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 18 de julio de 2025, BANCO INVERSIS ha procedido al pago de la sanción en la cuantía de 6.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/37 cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 6.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, BANCO INVERSIS ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 10.000,00 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/37 Tras haber procedido BANCO INVERSIS, S.A. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 6.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202400611, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a BANCO INVERSIS, S.A.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
48. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
49. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaeps.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 936-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es