1/15 Procedimiento Nº: PS/00117/2020 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: Las actuaciones de inspección se inician por la recepción de una notificación inicial remitida por VTS MEDIA, S.L. en la que informan a esta Agencia sobre la detección de una brecha de seguridad el día 24/10/2019, relacionada con la exposición en Internet de logs técnicos (registros de actividad de los servidores), en los que inicialmente no se apreció que hubiera información personal. Indican que posteriormente, en fecha 3/11/2019, aparece en un medio de comunicación la exposición de información personal de usuarios, e investigados en profundidad los logs se detecta información personal. SEGUNDO: A la vista de la citada notificación de brecha de seguridad, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de la brecha de seguridad: 5 de noviembre de
(75)Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; en los casos en los que los datos personales tratados revelen el origen étnico o racial, las opiniones políticas, la religión o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos, datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones penales o medidas de seguridad conexas; en los casos en los que se evalúen aspectos personales, en particular el análisis o la predicción de aspectos referidos al rendimiento en el trabajo, situación económica, salud, preferencias o intereses personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o utilizar perfiles personales; en los casos en los que se traten datos personales de personas vulnerables, en particular niños; o en los casos en los que el tratamiento implique una gran cantidad de datos personales y afecte a un gran número de interesados., (…)” De las actuaciones practicadas se ha verificado que las medidas de seguridad con las que contaba VTS en relación con los datos que sometía a tratamiento en calidad de responsable, no eran las adecuadas al momento de producirse la brecha de seguridad, pues se hallaron según el informe aportado “(…) varias vulnerabilidades graves confirmadas que deben ser corregidas y que en general tienen que ver con la validación de los parámetros de entrada, y que deben ser corregidas a la mayor brevedad.(…)” La consecuencia de esta falta de medidas de seguridad tanto técnicas como organizativas adecuadas fue la exposición pública en internet de los datos personales de suscriptores para la recepción de información relacionada con la actividad del responsable. Es decir, los afectados se han visto desprovistos del control sobre sus datos personales. Otra consideración es que el tratamiento de datos al que están suscritos los afectados, se refiere a la actividad definida en el art 9 del RGPD como categorías especiales de datos personales. Sobre la posibilidad de combinación de informaciones referidas a un titular de datos personales, se puede traer a colación el Dictamen 4/2007 del Grupo de Trabajo del Articulo 29, “Sobre el concepto de datos personales” que si bien analiza las posibilidades de identificar a alguien a través de combinaciones con otras informaciones, resultan de gran claridad, cuando nos referimos al riesgo de atribuir una determinada conducta sexual, partiendo únicamente de los datos de un suscriptor y combinándola con otras. En concreto indica lo siguiente: “(…) cuando hablamos de «indirectamente» identificadas o identificables, nos estamos refiriendo en general al fenómeno de las «combinaciones únicas», sean estas pequeñas o grandes. En los casos en que, a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 primera vista, los identificadores disponibles no permiten singularizar a una persona determinada, ésta aún puede ser «identificable», porque esa información combinada con otros datos (tanto si responsable de su tratamiento tiene conocimiento de ellos como si
- no)permitirá distinguir a esa persona de otras. Aquí es donde la Directiva se refiere a «uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social». Algunas de esas características son tan únicas que permiten identificar a una persona sin esfuerzo (el «actual presidente del Gobierno de España»), pero una combinación de detalles pertenecientes a distintas categorías (edad, origen regional, etc.) también puede ser lo bastante concluyente en algunas circunstancias, en especial si se tiene acceso a información adicional de determinado tipo. Este fenómeno ha sido estudiado ampliamente por los estadísticos, siempre dispuesto a evitar cualquier quebrantamiento de la confidencialidad (…). Así pues, se unen las diferentes piezas que componen la personalidad del individuo con el fin de atribuirle determinadas decisiones. (…)” Como se ha indicado anteriormente, la búsqueda en internet, por ejemplo, del nombre, apellidos o dirección de correo electrónico de alguno de los afectados puede ofrecer resultados que combinándolos con el contenido de los logs expuestos de los clientes, podría revelar un determinado comportamiento y vida sexual, y que no tiene por qué haber sido consentida por su titular. Esta posibilidad supone un riesgo añadido que se ha de valorar previamente y que aumenta la exigencia del grado de protección en relación con la seguridad y salvaguarda de los derechos y libertades de los afectados, en virtud de lo dispuesto en el citado art 9 del RGPD. Este riesgo y el impacto sobre los derechos y libertades de los afectados debe ser tenido en cuenta por el responsable del tratamiento y, en función del mismo, establecer las medidas de índole técnica y organizativas que impidan la pérdida de control de los datos por parte del responsable del tratamiento y, por tanto, también por los titulares de los datos que se los proporcionaron. VII Establece el artículo 71 de la LOPDGDD, bajo la rúbrica “Infracciones” lo siguiente: Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica. Establece el artículo 73 de la LOPDGDD, bajo la rúbrica “Infracciones consideradas graves” lo siguiente: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 En el presente caso concurre la circunstancia prevista en el artículo 73.
- f)de la LOPDGDD arriba referido. VIII Establece la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en el Capítulo III relativo a los “Principios de la Potestad sancionadora”, en el artículo 28 la bajo la rúbrica “Responsabilidad”, lo siguiente: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Esta falta de diligencia a la hora de implementar las medidas de seguridad adecuadas de índole técnico y organizativo constituyen el elemento de la culpabilidad suficiente que requiere la imposición de sanción. Asimismo, la ausencia de consideración del riesgo que puede suponer el acceso no autorizado por terceros a datos de suscriptores de información relacionada con el servicio contratado, y su posterior difusión pública, agrava el reproche culpabilístico y sancionador de la conducta llevada a cabo por VTS. IX Establece el artículo 58.2 del RGPD lo siguiente: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Establece el artículo 76 de la LOPDGDD bajo la rúbrica “Sanciones y medidas correctivas“, lo siguiente: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)infracción. Los beneficios obtenidos como consecuencia de la comisión de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” X En el presente caso, en atención a la diligencia llevada a cabo por VTS en lo referente a la notificación sin dilación indebida de la brecha de seguridad a esta Agencia Española de Protección de Datos, la comunicación diligente y reiterada por diversos medios a los afectados, la complejidad técnica de los sistemas de información, el inicio diligente y rápido de acciones tendentes a minimizar las consecuencias negativas de la brecha de seguridad, no constar reincidencia, que la brecha de seguridad tuvo su origen en un fallo de seguridad sobrevenido en el nuevo proveedor del servicio Scaleway habiendo comprobado VTS que disponía de las adecuadas las medidas certificadas de seguridad (TIER III, según estándar ANSI/TIA 942) instaladas por defecto, permite considerar una disminución de la culpa en los hechos imputados, por lo que se considera conforme a derecho no imponer sanción consistente en multa administrativa y sustituirla por la sanción de apercibimiento de conformidad con el artículo 76.3 de la LOPDGDD en relación con el articulo 58.2
- b)del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorada la culpabilidad en los hechos imputados cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VTS MEDIA S.L., con NIF B63546253, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD y 73.
- f)de la LOPDGDD, una sanción de apercibimiento. SEGUNDO: Requerir a VTS MEDIA S.L. para que en el plazo de tres meses aporte a esta AEPD la siguiente documentación: Aportar procedimiento reglado de actuación ante una incidencia de seguridad informática que permita conocer si ha afectado a datos personales y que identifique las ubicaciones y recursos afectados (brecha de seguridad). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 Aportar auditoría, que deberá incluir análisis de riesgos y evaluación de impacto conforme lo dispuesto en el artículo 35 del RGPD, realizada tras la brecha de seguridad que certifique el correcto funcionamiento y configuración del sistema de información al objeto de evitar en el futuro incidencias como la analizada en el presente procedimiento. Esta auditoría también deberá realizarse y quedar a disposición de la AEPD cuando se produzcan modificaciones en los recursos o tratamientos que afecten a datos personales. TERCERO: NOTIFICAR la presente resolución a VTS MEDIA S.L., con NIF B63546253, y domicilio en c/ Doctor Trueba 183, Piso 8º, Puerta 1, 08021 Barcelona. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es