← España

PS-00128-2024

1/62  Expediente N.º: EXP202305979 ÍNDICE DE CONTENIDOS RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR............................................... 3 ANTECEDENTES...................................................................................................... 3 PRIMERO............................................................................................................... 3 SEGUNDO:............................................................................................................. 3 Primera notificación de la violación de seguridad de los datos personales.........3 Segunda notificación de la violación de seguridad de los datos personales........5 Tercera notificación de la violación de seguridad de los datos personales..........6 Cuarta notificación de la violación de seguridad de los datos personales...........7 Quinta notificación de la violación de seguridad de los datos personales...........8 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN............................9 TERCERO............................................................................................................ 23 CUARTO............................................................................................................... 23 QUINTO................................................................................................................ 24 SEXTO.................................................................................................................. 24 ALEGACIÓN PREVIA....................................................................................... 24 ALEGACIÓN PRIMERA. Aclaraciones previas sobre los incidentes de seguridad sufridos por CCC............................................................................................... 24 ALEGACIÓN SEGUNDA. CCC no ha infringido el principio de integridad y confidencialidad................................................................................................ 26 ALEGACIÓN TERCERA: CCC adoptó medidas de seguridad apropiadas.......30 ALEGACIÓN CUARTA. CCC reconoce su responsabilidad en relación con la presunta infracción del artículo 34 de RGPD: comunicación de las brechas a las personas afectadas........................................................................................... 33 ALEGACIÓN QUINTA. Listado de prueba documental..................................... 33 SÉPTIMO: ............................................................................................................ 34 OCTAVO............................................................................................................... 34 NOVENO.............................................................................................................. 34 DÉCIMO............................................................................................................... 35 UNDÉCIMO.......................................................................................................... 35 DUODÉCIMO....................................................................................................... 38 DECIMOTERCERO……………………………………………………………………..38 HECHOS PROBADOS............................................................................................. 38 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/62 PRIMERO............................................................................................................. 38 Primera violación de la seguridad de los datos personales............................... 38 Segunda violación de la seguridad de los datos personales............................. 40 Tercera violación de la seguridad de los datos personales................................ 42 Cuarta violación de la seguridad de los datos personales................................. 43 Quinta violación de la seguridad de los datos personales................................. 45 SEGUNDO............................................................................................................ 46 TERCERO............................................................................................................ 47 CUARTO:.............................................................................................................. 47 QUINTO................................................................................................................ 49 SEXTO.................................................................................................................. 51 SÉPTIMO.............................................................................................................. 52 OCTAVO............................................................................................................... 52 NOVENO.............................................................................................................. 52 DÉCIMO............................................................................................................... 52 UNDÉCIMO.......................................................................................................... 54 FUNDAMENTOS DE DERECHO............................................................................. 54 I Competencia....................................................................................................... 55 II Cuestiones Previas............................................................................................ 55 III Respuesta a las alegaciones al acuerdo de inicio............................................. 57 ALEGACIÓN PRIMERA.................................................................................... 57 ALEGACIÓN SEGUNDA................................................................................... 58 ALEGACIÓN TERCERA................................................................................... 64 ALEGACIÓN CUARTA...................................................................................... 73 IV Obligación incumplida. Principio de integridad y de confidencialidad...............74 V Tipificación y calificación de la infracción........................................................... 78 VI Sanción............................................................................................................ 79 VII Obligación incumplida. Seguridad del tratamiento........................................... 82 VIII Tipificación y calificación de la infracción........................................................ 87 IX Sanción............................................................................................................ 88 X Obligación incumplida. Comunicación de una violación de seguridad de los datos personales al interesado............................................................................. 90 XI Tipificación y calificación de la infracción.......................................................... 92 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/62 XII Sanción........................................................................................................... 93 XIII Adopción de medidas..................................................................................... 95 RESOLUCIÓN.......................................................................................................... 96 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 18 y 21 de abril de 2023, se notificó a la División de Innovación Tecnológica de esta Agencia, una brecha de seguridad de los datos personales, remitido por CENTROS COMERCIALES CARREFOUR, S.A., (en lo sucesivo, Carrefour o CCC) con NIF A28425270, como responsable del tratamiento, con números de registro de entrada REGAGE23e00025023252 y REGAGE23e00025776926, respectivamente, relativa al acceso no autorizado a datos personales del perfil de cliente. Como consecuencia de los hechos conocidos, en fecha 3 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos (SGID) realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), teniendo conocimiento de los siguientes extremos: Primera notificación de la violación de seguridad de los datos personales: en fecha 13 de enero de 2023 y registro de entrada REGAGE23e00002601392, se recibe en esta Agencia notificación de brecha de seguridad de datos personales por parte del responsable de tratamiento Carrefour, con la siguiente información asociada: (…) Segunda notificación de la violación de seguridad de los datos personales: en fecha 20 de enero de 2023 y registro de entrada REGAGE23e00004163707, se recibe en esta Agencia notificación de brecha de seguridad de datos personales por parte del responsable de tratamiento Carrefour, con la siguiente información relevante: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/62 Tercera notificación de la violación de seguridad de los datos personales: en fecha 24 de enero de 2023 y registro de entrada REGAGE23e00004641543, se recibe modificación de la brecha anterior, aportando un informe técnico del incidente. Este documento tiene fecha de creación 20 de enero de 2023 y de su análisis se extrae la siguiente información relevante: (…) Cuarta notificación de la violación de seguridad de los datos personales: en fecha 18 de abril de 2023 y registro de entrada REGAGE23e00025023252, se recibe nueva notificación de brecha por parte del responsable Carrefour, con la siguiente información relevante asociada: (…) Quinta notificación de la violación de seguridad de los datos personales: en fecha 21 de abril de 2023 y registro de entrada REGAGE23e00025776926, se recibe nueva entrada a través de la cual se amplía la información de la última brecha notificada el 18 de abril de 2023, en concreto: (…) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En fecha 23 de junio de 2023 se notifica requerimiento de información dirigido al responsable, Carrefour, marcado por la siguiente línea de investigación: - Investigar la actividad de tratamiento afectada por la brecha. Investigar los procedimientos implantados para gestionar brechas de seguridad. Investigar los análisis de riesgos y posibles evaluaciones de impacto realizadas. Investigar las medidas preventivas y reactivas implantadas. Investigar las comunicaciones a los afectados, medios utilizados y fechas en la que se realizó. En fecha posterior a la notificación del requerimiento anterior se recibe en esta Agencia una nueva notificación de brecha de seguridad por parte de CARREFOUR, con fecha 26 de junio de 2023 y registro de entrada REGAGE23e00041661209. De su análisis se extrae la información relevante: (…) En fecha 7 de julio de 2023 y registro de entrada REGAGE23e00045766091 se recibe respuesta por parte de CARREFOUR al requerimiento de información notificado el 23 de junio de 2023, del análisis de la documentación aportada se extrae la siguiente información relevante para la investigación: C/ Jorge Juan, 6 28001 – Madrid Se aporta el Registro de Actividades de Tratamiento (RAT) con información muy detallada de la actividad afectada por la brecha, en concreto: www.aepd.es sedeagpd.gob.es 5/62 o o o o Actividad: “Clientes Club Carrefour”. Finalidad: “Gestión del club de fidelización, Servicio de atención al cliente, Gestión de la publicidad, Prevención del fraude, Realización de perfilado, Análisis de comportamiento del cliente. Evaluación de clientes potenciales, Estudio de mercado, Marketing directo, Fines contractuales”. Datos afectados: Código Postal, frecuencia de consumo, fecha de nacimiento, datos de familiares de primer grado, dirección de facturación, fecha de nacimiento de los hijos, nombre, información de geolocalización, domicilio particular, intereses y preferencias comerciales de comunicación, apellidos, estado civil, número de DNI, nacionalidad, número de identificación en el extranjero (NIE), número de pasaporte, dirección de email personal, números de teléfono, tendencias de compra, sexo. Medidas de minimización y gobernanza:  o Medidas técnicas:  o (…) Medidas minimización sobre concepto y diseño:  - (…) (…). Aportan documento con el procedimiento interno existente para la gestión de brechas de seguridad, del análisis de este documento se extrae la siguiente información relevante: (…) TERCERO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad CENTROS COMERCIALES CARREFOUR, S.A., es una gran empresa constituida en el año 1976, y con un volumen de negocios de 9.027.949.000 € euros, en el año 2022. CUARTO: En fecha 29 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad investigada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

  1. f)del RGPD, tipificada en el artículo 83.5 del RGPD, por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD y por la presunta infracción del artículo 34 del RGPD, tipificada en el artículo 83.4 del RGPD. El acuerdo de inicio fue enviado conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibido en fecha 30 de abril de 2024, como consta en el certificado que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/62 QUINTO: Habiendo solicitado la ampliación del plazo que le fue concedido para formular alegaciones, en virtud de lo establecido en el artículo 32.1 de la LPACAP, en fecha 6 de mayo de 2024, se acordó ampliar dicho plazo hasta un máximo de cinco días, que debían computarse a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la entidad investigada presentó escrito de alegaciones en el que, en síntesis, manifiesta: ALEGACIÓN PREVIA - que no ha infringido los artículos 5.1
  2. f)y 32 del RGPD. A esta cuestión dedica las Alegaciones Segunda y Tercera. -pone de manifiesto que reconoce la responsabilidad por la presunta infracción del artículo 34 del RGPD, relativa a la comunicación de las brechas a las personas afectadas. A esta cuestión dedica la Alegación Cuarta. -y dedica la Alegación Quinta a enumerar los documentos aportados por CCC junto con el presente escrito de alegaciones. Antes de exponer las razones por las que considera que no se ha producido una infracción de los artículos 5.1
  3. f)y 32 del RGPD, realiza una serie de aclaraciones sobre la naturaleza y dinámica de los ataques que dieron lugar a los incidentes sufridos por CCC. ALEGACIÓN PRIMERA. Aclaraciones previas sobre los incidentes de seguridad sufridos por CCC En primer lugar, en cuanto a la obtención de credenciales, manifiesta que los incidentes tuvieron su origen en la obtención de credenciales (usuario y contraseña) por parte de un tercero. La obtención de estas credenciales se produce en un entorno ajeno a CCC. Es decir, el acceso a este primer dato personal (credenciales) no se produce en bases de datos de las que sea responsable CCC. A este respecto señala que la función hash utilizada para proteger las credenciales hoy en día es considerada robusta. Aporta como documento explicativo el Documento 1. En segundo lugar, en cuanto a las peticiones de acceso, señala que el número de cuentas afectadas informado a la Agencia en cada una de las brechas de seguridad comunicadas se corresponde con el número de cuentas respecto de las que el tercero obtuvo confirmación de la validez de las credenciales, no se trata de cuentas a las que el tercero tuviera acceso, ni que haya tenido acceso a los datos personales de esos clientes. En tercer lugar, una vez el tercero ha confirmado la validez de las credenciales, procede a su venta por distintos canales. Aporta como Documento 2, dos capturas de pantalla de canales de ***APP.1 en las que se puede observar cómo se ofrecen credenciales de distintos comercios, CCC inclusive. De esta forma, el tercero obtendrá una contraprestación económica derivada de la venta de estas credenciales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/62 verificadas y, por su parte, el tercero que compre las credenciales podrá utilizarlas para acceder a la zona de cliente y tratar de cometer un fraude económico mediante la utilización del chequeAhorro. No obstante, señala que hay que tener en cuenta que el acceso no se producirá si: no hay comprador o el comprador no llega a utilizar las credenciales; si las credenciales comprometidas se han reseteado; y/o se ha implementado un factor de doble autenticación. Asimismo, realiza algunas aclaraciones adicionales: Entiende que no se ha producido un acceso no autorizado o ilícito a 118.895 cuentas de clientes y, por ende, una afectación de la integridad y/o confidencialidad de los datos personales de los titulares de dichas cuentas en todos estos casos. Considera que sólo hay 234 casos en los que se ha visto afectada la integridad de los datos personales de los clientes; y 973 casos en los que se ha visto afectada la confidencialidad de los Datos Personales Afectados. La Primera, Segunda, Tercera y Cuarta Brecha afectaron a la aplicación de CCC, mientras que la Quinta Brecha afectó a la página web. (…) En relación con las pruebas de penetración (también conocidos como pentest) realizados tras la Primera Brecha, desea aclarar que no se trata de medidas adoptadas de forma reactiva y que en CCC se realizan pentest de forma periódica tanto para la web como para la aplicación desde antes de los incidentes. En este sentido aclara en cuanto a los resultados obtenidos, que para la realización de las auditorías se desactivaron determinadas medidas de seguridad (caja gris), de ahí que las recomendaciones y mejoras detectadas en dichas auditorías no se correspondan con la realidad y deban matizarse. Partiendo de la base de las aclaraciones realizadas en esta Alegación Primera, a continuación, pasa a valorar la existencia de infracción de los artículos 5.1
  4. f)(Alegación Segunda) y 32 del RGPD (Alegación Tercera). ALEGACIÓN SEGUNDA. CCC no ha infringido el principio de integridad y confidencialidad. Reitera que la afectación de la confidencialidad de los datos personales de clientes de CCC se ha producido en sólo 973 casos. En relación con la integridad, los casos en los que la misma se vio afectada ascienden a 234. En este sentido, hay que tener en cuenta que:
  5. a)Tal y como se comunicó en la Primera Brecha, se ha comprobado que solo hubo 234 casos de clientes cuyos datos personales se vieran modificados. Los datos que se modificaron fueron la dirección de correo electrónico, la dirección de entrega, así como, en algunos casos, el número de teléfono y el nombre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/62
  6. b)De hecho, el 14 de marzo se implementó el doble factor de autenticación para modificar los datos personales desde la zona cliente, por lo que la integridad de los datos personales no se vio comprometida en el resto de las brechas. En relación con la confidencialidad, los casos en los que la misma se vio afectada ascienden a 973. Este número se corresponde con los casos en los que se ha detectado un fraude en el chequeAhorro de los clientes, que se reparten entre: (
  7. i)los 234 casos de la Primera Brecha, donde la afectación de la integridad también comportó una afectación de la confidencialidad; y (
  8. ii)739 casos repartidos entre la Segunda y la Quinta Brecha. El reseteo de las credenciales impide que el comprador pueda acceder a la zona de cliente de la persona afectada. (…) Por tanto, la suma de las personas afectadas reportada en las brechas (118.895) no se corresponde con la totalidad de casos en los que la integridad y la confidencialidad se viera afectada, sino que la afectación de la integridad se limitó a 234 clientes y la afectación de la confidencialidad a 973. Indica que CCC sí adoptó medidas técnicas y organizativas adecuadas para evitar que la pérdida de la integridad y confidencialidad se volviera a producir y, en cualquier caso, para reducir eficazmente la probabilidad de materialización de la pérdida de integridad y confidencialidad de los datos personales de sus clientes. A continuación, incluye un listado de las medidas adoptadas con anterioridad a la primera violación de la seguridad de los datos personales. Medidas técnicas: (…) Medidas organizativas: (…) Aporta como Documento 4 copia del acuerdo de prórroga y renovación del contrato de cibervigilancia y vulnerabilidades suscrito con ***EMPRESA.1, que acredita que estos servicios estaban vigentes con anterioridad a la Primera Brecha. (…) Asimismo, aporta como Documento 9, un informe emitido por ***EMPRESA.2 en el que se concluye que el estado de cumplimiento de CCC es superior respecto al de otras entidades de referencia en el sector retail. Por todo lo anterior, entiende que las medidas técnicas y organizativas adoptadas por CCC sí eran adecuadas para evitar que la pérdida de la integridad y confidencialidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/62 se volviera a producir o, como mínimo, para reducir eficazmente la probabilidad de materialización de la pérdida de integridad y confidencialidad de los datos personales de sus clientes. Subsidiariamente, para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a CCC, deberán tenerse en cuenta las siguientes circunstancias atenuantes: o La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2
  9. a)del RGPD): Entiende que debería reducirse la cuantía de la sanción teniendo en cuenta que, el número de afectados que han visto comprometida la integridad y/o confidencialidad de sus datos personales es de 973, no de 118.895. Además, considera que, a pesar de que en estos casos se haya visto afectado un conjunto de datos (nombre y apellidos, dirección postal completa y fecha de nacimiento), los mismos no son críticos, máxime si tenemos en cuenta que, como se ha expuesto (Documento 2), el fin último perseguido por el tercero es cometer un fraude económico, siendo los datos personales afectados un medio para cometer dicho fraude, no un fin en sí mismo. o La intencionalidad o negligencia en la infracción (artículo 83.2
  10. b)del RGPD: (…) Además, CCC entiende que deberán tenerse en cuenta las siguientes circunstancias como atenuantes: i. Cualquier otra medida tomada por el responsable del tratamiento para paliar los daños y perjuicios sufridos por los interesados (artículo 83.2
  11. c)del RGPD). Considera que debería ser tenida en cuenta como atenuante el hecho de que CCC tomara medidas para paliar los daños y perjuicios sufridos por los afectados. En este sentido: reseteó las credenciales que se habían visto afectadas; y en aquellos casos en los que se produjo un fraude en los chequesAhorro, CCC reembolsó el importe del chequeAhorro y emitió tarjetas regalo para las personas afectadas, de tal forma que éstas no sufrieron ningún impacto económico derivado del fraude. Además, estas medidas fueron tomadas de forma espontánea, antes de que CCC tuviera constancia de los requerimientos de información y del inicio de la investigación de la Agencia. ii. El grado de cooperación con la autoridad de control con el fin deponer remedio a la infracción y mitigar los posibles efectos adversos de la infracción (artículo 83.2
  12. f)del RGPD), así como la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable notificó la infracción y, en tal caso, en qué medida (artículo 83.2 h del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/62 CCC considera que es de aplicación esta atenuante en la medida en que el Acuerdo de Inicio se ha dictado como consecuencia de las cinco brechas de seguridad comunicadas por CCC a la Agencia. Debe valorarse como atenuante el que se hubiera notificado, cumpliendo de forma diligente con este deber. Se proporcionó información con total transparencia y por ello también entiende que deberían ser de aplicación estas circunstancias atenuantes. Finalmente, CCC ha cooperado de forma favorable con la investigación, proporcionando respuesta a todos los requerimientos efectuados. ALEGACIÓN TERCERA: CCC adoptó medidas de seguridad apropiadas. Manifiesta que CCC adoptó medidas de seguridad apropiadas, sin perjuicio de que, si se entendieran infringidos los artículos 5.1
  13. f)y 32 del RGPD (quod non), estaríamos ante una única infracción y que la supuesta falta de medidas técnicas y organizativas apropiadas debería entenderse comprendida, como medio de perpetración, en la infracción de los principios de integridad y confidencialidad. (…) En cuanto a los pentest de ***EMPRESA.1, indica que CCC no realizó el pentest de forma reactiva tras la primera brecha. Los pentest forman parte de una amplia gama de medidas técnicas y organizativas adoptadas por CCC para preservar la confidencialidad, integridad y disponibilidad de los datos personales tratados. Los pentest se realizaban – y se siguen realizando – de forma periódica tanto para la web como para la aplicación. A este respecto, se remite al contrato de prestación de servicios SOC suscrito con ***EMPRESA.1 (Documento 4), donde se incluye un servicio de auditoría de seguridad de aplicaciones web. Además, aporta como Documento 10 un certificado preparado por ***EMPRESA.1 en el que se certifican los pentest realizados con anterioridad a la Primera Brecha. En este sentido, manifiesta que es cierto que en el informe se hace referencia a supuestas "deficiencias en los controles implementados en los sistemas de información" de CCC. No obstante, indica que hay que tener en cuenta que para la realización de las auditorías se desactivaron determinadas medidas de seguridad (caja gris), por lo que las recomendaciones y mejoras detectadas en dichas auditorías no se corresponden con la realidad y deben matizarse. Adjunta unas tablas, en las que se listan las recomendaciones a corto plazo identificadas en los pentest y se incluye una justificación de la no relevancia de las mismas. Por todo lo anterior, entiende que las medidas técnicas y organizativas adoptadas por CCC sí eran apropiadas conforme a lo expuesto en el artículo 32 del RGPD. Subsidiariamente, para el caso de que la Agencia entienda que ha existido infracción y deba imponerse una sanción a CCC, considera que deberán tenerse en cuenta las siguientes circunstancias agravantes y atenuantes: o La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2
  14. a)del RGPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/62 Entiende que o se considera como agravante el hecho de que haya habido una afectación de los Datos Personales Afectados (en cuyo caso deberá limitarse a los clientes efectivamente afectados, no a todos los usuarios de la web y la aplicación) o, por el contrario, se considera como agravante el hecho de que la afectación por la falta de medidas técnicas y organizativas afecta a todos los usuarios de la web y la aplicación (en cuyo caso no podrá defenderse que ha habido una efectiva afectación de sus datos personales, puesto que la misma se ha producido solo en determinados casos). En cualquier caso, considera que, a pesar de que en determinados casos se haya visto afectado un conjunto de datos (nombre y apellidos, dirección postal completa y fecha de nacimiento), los mismos no son críticos, máxime si tenemos en cuenta que el fin último perseguido por el tercero es cometer un fraude económico, siendo los datos personales afectados un medio para cometer dicho fraude, no un fin en sí mismo. En relación con la duración, se ha visto cómo la aplicación progresiva de nuevas medidas fue reduciendo el impacto (implantación del segundo factor para modificar datos personales y para acceder a la aplicación, entre otros), por lo que entiende que esta circunstancia no podrá ser tenida en cuenta como agravante. o La intencionalidad o negligencia en la infracción (artículo 83.2
  15. b)del RGPD En la medida en que la argumentación de la Agencia es la misma que la utilizada al tratar esta circunstancia para la supuesta infracción del artículo 5.1
  16. f)del RGPD, se remite a lo expuesto en relación con la misma en la Alegación Segunda. Además, CCC entiende que deberán tenerse en cuenta las siguientes circunstancias como atenuantes: i. Cualquier otra medida tomada por el responsable del tratamiento para paliar los daños y perjuicios sufridos por los interesados (artículo 83.2
  17. c)del RGPD) CCC adoptó medidas técnicas y organizativas dirigidas a disminuir la probabilidad de materialización del riesgo. Además, estas medidas fueron adoptadas de forma proactiva, esto es, con anterioridad a tener conocimiento de las investigaciones de la Agencia que han acabado en el dictado del Acuerdo de Inicio. ii. El grado de cooperación con la autoridad de control con el fin deponer remedio a la infracción y mitigar los posibles efectos adversos de la infracción (artículo 83.2
  18. f)del RGPD), así como la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable notificó la infracción y, en tal caso, en qué medida (artículo 83.2 h del RGPD). Se remite a lo expuesto para esta circunstancia en la Alegación Segunda. ALEGACIÓN CUARTA. CCC reconoce su responsabilidad en relación con la presunta infracción del artículo 34 de RGPD: comunicación de las brechas a las personas afectadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/62 Aunque CCC consideró en su momento que no era preceptiva la comunicación de las brechas a las personas afectadas, CCC reconoce su responsabilidad única y exclusivamente por la presunta infracción del artículo 34 del RGPD, en relación con aquellas personas que vieron afectadas la confidencialidad y/o integridad de sus datos personales, lo que deberá llevar aparejada una reducción de un 20% de la sanción propuesta para esta infracción (200.000 euros). Asimismo, en caso de que el pago se realizara antes de la resolución del presente procedimiento, la sanción debería reducirse en un 20% adicional, siendo la cuantía a pagar 120.000 euros. ALEGACIÓN QUINTA. Listado de prueba documental aportada, a los efectos de demostrar la ausencia de infracción o, en su caso, modular a la baja la sanción propuesta por la Agencia.
  19. a)Como Documento 1, documento explicativo de la función hash utilizada por ***EMPRESA.3.
  20. b)Como Documento 2, capturas de pantalla de canales de ***APP.1 en los que se ofrecían credenciales de clientes de CCC.
  21. c)Como Documento 3, capturas de pantalla de canales de ***APP.1 en los que se mencionaba la imposibilidad de utilizar las credenciales adquiridas.
  22. d)Como Documento 4, copia del acuerdo de prórroga y renovación del contrato de cibervigilancia y vulnerabilidades suscrito con ***EMPRESA.1.
  23. e)Como Documento 5, copia del informe de auditoría de ***EMPRESA.4

(2022).
  1. f)Como Documento 6, copia de la matriz de cumplimiento de CCC (…).
  2. g)Como Documento 7, información sobre la implementación del segundo factor de autenticación en los canales digitales de otros comercios líderes en España.
  3. h)Como Documento 8, documento en el listado de llamadas a (…) de ***EMPRESA.3.
  4. i)Como Documento 9, copia del informe emitido por ***EMPRESA.2 de mayo de 2024.
  5. j)Como Documento 10, copia de un certificado de ***EMPRESA.1 en el que se listan los pentest realizados con anterioridad a la Primera Brecha. En virtud de todo lo anterior, solicita en relación con la presunta infracción del artículo 34 del RGPD, tener por reconocida la responsabilidad de Centros Comerciales Carrefour, S.A y en relación con las presuntas infracciones de los artículos 5.1
  6. f)y 32 del RGPD: el sobreseimiento del expediente con el consiguiente archivo de las actuaciones, por no haberse cometido ninguna de las infracciones imputadas. Subsidiariamente, que, en caso de imponerse alguna sanción, se imponga en cuantía mínima, a la luz de las circunstancias atenuantes indicadas. Por último, pone de manifiesto que no dispone todavía de la traducción al castellano de los Documentos 5 y 6, por lo que anuncia que aportará dichas traducciones tan pronto como disponga de ellas y que está elaborando un documento adicional con el proceso seguido en los canales digitales identificados en la tabla que se ha aportado como Documento 7, relativo a la implementación del segundo factor de autenticación en los canales digitales de otros comercios líderes en España, por lo que anuncia que aportará dicho documento adicional tan pronto como disponga del mismo. SÉPTIMO: En fecha 17 de junio de 2024, al no constar recibida parte de la documentación que anunciaba que aportaría, se le requiere para que, en un plazo de 5 días la aporte, con indicación de que, en caso de no aportarse dicha documentación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/62 se proseguirá con la tramitación del procedimiento, conforme a lo dispuesto en el artículo 77 de la LPACAP. En cumplimiento del requerimiento, en fecha 25 de junio de 2024, procede a presentar Documento 7 bis, que contiene muestreo de proceso seguido en algunos de los canales digitales identificados en la tabla que fue aportada como Documento 7, así como las traducciones al castellano de los Documentos 5 y 6, como Documento 5bis y Documento 6bis. OCTAVO: En fecha 16 de octubre de 2024, la instructora del procedimiento acordó abrir periodo de práctica de pruebas por un plazo de 20 (veinte) días, a contar desde el día siguiente a aquel en el que tuviera lugar la notificación del acto, según lo dispuesto en el artículo 77 y 78 de la LPACAP, teniéndose por reproducidos, a efectos probatorios, la documentación aportada por Carrefour, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos, el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00154/2023, las alegaciones al acuerdo de inicio del procedimiento sancionador presentadas por Carrefour y la documentación que a ellas acompañaba. Asimismo, se acordó requerir a Carrefour para que, en un plazo de 10 días hábiles, computados desde la aceptación de la notificación de dicho escrito, aportara la información y/o documentación siguiente:      Política de contraseñas en la que figuren las medidas implantadas y la fecha de su implementación. Número de cuentas, de las 1.741 ya comprometidas en la tercera brecha de datos personales, a las que el tercero tuvo acceso en la cuarta brecha de datos personales. Informes de las pruebas de penetración (Pentest) realizadas por Carrefour en 2022, en la web Ecommerce carrefour.es y en la APP Carrefour. Fecha de implantación de las medidas recomendadas en los informes de las pruebas de penetración (Pentest) realizadas en la web y en la APP Carrefour, finalizadas el 3/03/2023 y 9/02/2023, respectivamente. Número total de peticiones de acceso realizadas por el atacante contra la web y la APP de Carrefour para cada una de las cinco brechas de datos personales, incluidas las peticiones a cuentas de Carrefour que no dieron como resultado “OK”. NOVENO: En fecha 24 de octubre de 3024, en contestación al escrito en el que solicitaba la ampliación del plazo que le fue concedido, en virtud de lo establecido en el artículo 32.1 de la LPACAP, se acordó ampliar el plazo hasta un máximo de cinco días, que debían computarse a partir del día siguiente a aquel en el que finalizara el primer plazo. DÉCIMO: En fecha 31 de octubre de 2024, en contestación al escrito presentado, se remitió la copia del expediente solicitada de acuerdo con lo dispuesto en el art. 53.1
  7. a)de la LPACAP. UNDÉCIMO: En fecha 8 de noviembre de 2024, CCC presentó escrito de contestación al requerimiento de información, en el que pone de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/62 1. Política de contraseñas en la que figuren las medidas implantadas y la fecha de su implementación. La política de contraseñas de CCC actualmente vigente se implementó en junio de 2022. Según dicha política, para que una contraseña sea válida, debe reunir las siguientes características: (…) Aporta como Documento 1 la ficha de desarrollo de la política de contraseñas modificada en junio de 2022 y una captura de pantalla con las características que deben reunir las contraseñas para que sean válidas. 2. Número de cuentas, de las 1.741 ya comprometidas en la tercera brecha de datos personales, a las que el tercero tuvo acceso en la cuarta brecha de datos personales. En la Tercera Brecha (la notificada el 21 de abril de 2023) hubo 61.083 peticiones de acceso satisfactorias (resultado "OK") y en la Cuarta Brecha (la notificada el 26 de junio de 2023) hubo 10.943. El número de cuentas coincidentes en las dos brechas – esto es, para las que la consulta del tercero resultó en un "OK"- fue de 1.741. 3. Informes de las pruebas de penetración (Pentest) realizadas por Carrefour en 2022, en la web Ecommerce Carrefour.es y en la APP Carrefour. Aporta como Documento 2 el Informe. Pone de manifiesto que las vulnerabilidades identificadas en el pentest (ninguna de severidad crítica o alta) se detectaron como consecuencia de facilitar información al auditor sobre la infraestructura de los sistemas de CCC y de la desactivación de medidas de seguridad para permitir la realización de la auditoría. 4. Fecha de implantación de las medidas recomendadas en los informes de las pruebas de penetración (Pentest) realizadas en la web y en la APP Carrefour, finalizadas el 3/03/2023 y el 9/02/2023, respectivamente. En relación con el pentest para la aplicación (28 de febrero de 2023): Se incluyeron un total de 10 recomendaciones, listadas en los siguientes apartados del pentest: 5.1.4, 6.1.4, 6.2.4, 6.3.4, 6.4.4, 7.1.4, 7.2.4, 7.3.4, 7.4.4 y 7.5.4. De estas 10 recomendaciones:
  8. a)Una de ellas (la 5.1.4, correspondiente a una vulnerabilidad de severidad alta) fue implementada el 13 de febrero de 2023, tal y como se pone de manifiesto en el propio pentest: 5.1 Referencia Insegura a objetos (IDOR) (CORREGIDA) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/62
  9. b)Cuatro de ellas (las 6.1.4, 6.2.4, la 7.1.4 y la 7.2.4, todas ellas correspondientes a vulnerabilidades de severidad media) no resultan de aplicación, en la medida en que son recomendaciones derivadas de vulnerabilidades que fueron detectadas como consecuencia de facilitar información al auditor sobre la infraestructura de los sistemas de CCC y de la eliminación de medidas de seguridad para facilitar el trabajo del auditor en el pentest en modalidad de caja gris.
  10. c)Las cinco restantes (la 6.3.4, 6.4.4, 7.3.4, 7.4.4 y 7.5.4, todas ellas correspondientes a vulnerabilidades de severidad baja) fueron asumidas, esto es, no se implementaron en la medida en que en estas vulnerabilidades el vector de ataque era local o físico, por lo que el riesgo es bajo y muy reducido, en particular en los vectores de ataque físicos, en los que el atacante necesita interactuar físicamente con el dispositivo del cliente.
  11. d)En cualquier caso, ninguna de las 10 recomendaciones tiene incidencia en las brechas sobre las que versa el acuerdo de inicio del procedimiento sancionador. En relación con el pentest para la web (6 de marzo de 2023): Se incluyeron un total de 19 recomendaciones, listadas en los siguientes apartados del pentest: 5.1.4, 5.2.4, 5.3.4, 5.4.4, 5.5.4, 5.6.4, 5.7.4, 5.8.4, 5.9.4, 5.10.4, 5.11.4, 5.12.4, 5.13.4, 5.14.4, 5.15.4, 5.16.4, 5.17.4, 5.18.4 y 5.19.4. De estas 19 recomendaciones:
  12. a)Cuatro de ellas fueron implementadas en las siguientes fechas: - La 5.1.4 (correspondiente a una vulnerabilidad de severidad crítica) fue implementada el 11 de julio de 2023. Aportamos documentación justificativa de la implementación de la recomendación como Documento 3. - La 5.6.4 (correspondiente a una vulnerabilidad de severidad media) fue implementada en septiembre de 2024. - La 5.9.4 (correspondiente a una vulnerabilidad de severidad media) fue implementada en septiembre de 2024. - La 5.17.4 (correspondiente a una vulnerabilidad de severidad baja) fue implementada en septiembre de 2024. Aporta como Documento 4 la justificación documental de la implementación de las recomendaciones 5.6.4, 5.9.4 y 5.17.4. Como puede observarse en el apartado "Configuración" (Configuration), CCC no utiliza conjuntos de cifrado (cipher suites) RC4 (recomendación 5.6.4), triple-DES y cifrados de bloque de 64 bits (recomendación 5.9.4) y tipo CBC (recomendación 5.17.4).
  13. b)Una de ellas (la 5.2.4, correspondiente a una vulnerabilidad de severidad alta) no pudo ser reproducida por el auditor y fue finalmente marcada como corregida, tal y como se observa en la captura de pantalla que aporta como Documento 5. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/62
  14. c)Tres de ellas (las 5.5.4, 5.7.4 y la 5.8.4; todas ellas correspondientes a vulnerabilidades de severidad media) no resultan de aplicación, en la medida en que son recomendaciones derivadas de vulnerabilidades que fueron detectadas como consecuencia de facilitar información al auditor sobre la infraestructura de los sistemas de CCC y de la eliminación de medidas de seguridad para facilitar el trabajo del auditor en el pentest en modalidad de caja gris.
  15. d)Dos de ellas (las 5.3.4 y 5.4.4; ambas correspondientes a vulnerabilidades de severidad media) no fueron implementadas, en la medida en que las correspondientes vulnerabilidades no pueden ser explotadas por la existencia de otras medidas de seguridad (en ambos casos, el uso de firewalls de aplicaciones web) aplicadas por CCC. De hecho, en la 5.3 el auditor admite que no ha sido posible "comprobar la explotación de esta vulnerabilidad" y que su existencia de notificar a los efectos de "solicitar su mitigación en caso necesario".
  16. e)Las nueve restantes (las 5.10.4, 5.11.4, 5.12.4, 5.13.4, 5.14.4, 5.15.4, 5.16.4, 5.18.4 y 5.19.4; las tres primeras correspondientes a vulnerabilidades de severidad media y las seis restantes a vulnerabilidades de severidad baja) fueron asumidas, esto es, no se implementaron en la medida en que las vulnerabilidades – y las consiguientes recomendaciones – no superaban el umbral de materialidad.
  17. f)En cualquier caso, ninguna de las 19 recomendaciones tiene incidencia en las brechas sobre las que versa el acuerdo de inicio de procedimiento sancionador. 5. Número total de peticiones de acceso realizadas por el atacante contra la web y la APP de Carrefour para cada una de las cinco brechas de datos personales, incluidas las peticiones a cuentas de Carrefour que no dieron como resultado "OK". CCC no conserva el número de las peticiones no satisfactorias de las cinco brechas. No obstante, los números de peticiones satisfactorias para cada brecha son los siguientes: Brecha Primera Brecha Segunda Brecha Tercera Brecha Cuarta Brecha Quinta Brecha Peticiones de acceso satisfactorias (…) (…) (…) (…) (…) DUODÉCIMO: En fecha 5 de diciembre de 2024, se formuló propuesta de resolución, proponiendo: <<. Que por la Directora de la Agencia Española de Protección de Datos se sancione a CENTROS COMERCIALES CARREFOUR, S.A., con NIF A28425270, - por la infracción del artículo 5.1.
  18. f)del RGPD, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el artículo 72.1
  19. a)de la LOPDGDD, con una multa de 2.000.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/62 - por la infracción del artículo 32 del RGPD, tipificada conforme a lo dispuesto en el artículo 83.4 del RGPD, calificada como grave a efectos de prescripción, en el artículo 73
  20. f)de la LOPDGDD, con una multa de 1.000.000 euros. - por la infracción del artículo 34) del RGPD, tipificada conforme a lo dispuesto en el artículo 83.4 del RGPD, calificada como leve a efectos de prescripción, en el artículo 74 ñ) de la LOPDGDD, con una multa de 200.000 euros. Que por la Directora de la Agencia Española de Protección de Datos se ordene a CENTROS COMERCIALES CARREFOUR, S.A., con NIF A28425270, que en virtud del artículo 58.2.
  21. d)del RGPD, en el plazo de un mes, acredite haber procedido al cumplimiento de la siguiente medida: la comunicación de las brechas de datos personales a los afectados cuyos datos se hayan visto afectados en los términos y condiciones previstos por el artículo 34 del RGPD.>> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibida en fecha 10 de diciembre de 2024, como consta en el certificado que obra en el expediente. DECIMOTERCERO: La entidad investigada no ha presentado alegaciones a la Propuesta de Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos, en el presente procedimiento, se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Notificaciones de brechas de datos personales: Carrefour ha notificado hasta cinco violaciones de seguridad de los datos personales, todas ellas relacionadas con el acceso ilegítimo a cuentas de clientes por parte de terceros no autorizados, haciéndose uso con una alta probabilidad de la técnica de ataque de Credential Stuffing utilizando credenciales filtradas (pares de email/contraseña), careciéndose de evidencias que muestren ataque de fuerza bruta. Primera violación de la seguridad de los datos personales En el Informe de actuaciones previas de investigación consta la siguiente información: (…) Segunda violación de la seguridad de los datos personales: En el Informe de actuaciones previas de investigación consta la siguiente información: (…) Tercera violación de la seguridad de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/62 En el Informe de actuaciones previas de investigación consta la siguiente información: (…) Cuarta violación de la seguridad de los datos personales: (…) Quinta violación de la seguridad de los datos personales: En el Informe de actuaciones previas de investigación consta la siguiente información: (…) SEGUNDO: (…), en fecha 7 de julio de 2023, se incluye por la propia entidad investigada en contestación al requerimiento efectuado por el inspector, un listado de datos personales a los que se pudo tener acceso, organizados por tipología de datos: o o o o o Nombre, Apellido 1, Apellido 2 Correo Electrónico Teléfono de contacto (enmascarado con asteriscos todos los dígitos exceptuando los 3 últimos) DNI (enmascarado con asteriscos todos los caracteres exceptuando los 4 últimos) Dirección postal completa: Código postal, Escalera/piso/puerta, Municipio, Nombre de la vía, Número de la vía, Provincia, Tipo de vía, Fecha de nacimiento. Asimismo, consta en la notificación de la tercera brecha de seguridad de los datos personales, que se produjo el 18 de abril de 2023, que el atacante tuvo acceso a Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos económicos o financieros (sin medios de pago), Datos de contacto, Credenciales de acceso o identificación (usuario y / o contraseña). En la notificación de la cuarta brecha de datos personales, ocurrida el 23 de junio 2023, consta que el atacante accedió a datos básicos (Ej: nombre, apellidos, fecha de nacimiento), Datos de contacto, Credenciales de acceso o identificación (usuario y / o contraseña). En la notificación de la quinta brecha de datos personales ocurrida el 11 de septiembre de 2023 consta que el atacante tuvo acceso a datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de contacto, Credenciales de acceso o identificación (usuario y / o contraseña). TERCERO: En relación con la posible insuficiencia de medidas de seguridad existentes, (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/62 CUARTO: Carrefour ha aportado la Evaluación de Impacto en la Protección de Datos (DPIA) para la actividad de tratamiento afectada por la brecha (“Clientes Club Carrefour”) de fecha de creación 14 de abril de 2021 y fecha de finalización 19 de julio de 2022. Consta que dicho documento analiza las distintas bases jurídicas del tratamiento y utiliza el contrato como base legítima del tratamiento (hacen referencia a la aceptación de las Bases Legales de El Club y My Account como la firma de un contrato para el tratamiento de los datos personales del interesado). Por otra parte, utilizan también otras bases legítimas distintas para las siguientes finalidades:   Interés legítimo: Para la verificación previa contra las bases de datos de CC CARREFOUR, gestión de la publicidad, lograr la centralización de las operaciones de tratamiento de los clientes, Desarrollo de procesos y canales de venta, analítica de comportamiento y revisión de operaciones sospechosas, prevención del fraude. Consentimiento expreso: (
  22. i)envío de publicidad por Carrefour sobre productos de entidades colaboradoras y Entidades Adscritas Grupo y no Grupo (Iberdrola, Cepsa etc.) (
  23. ii)cesión de datos personales a Entidades adscritas del Grupo Carrefour para publicidad propia de estas entidades. Se afirma que este tratamiento realiza perfilado, pero sin efectos jurídicos para los interesados: Sin perjuicio de que se realicen evaluaciones sistemáticas de los clientes, no tienen efectos jurídicos sobre los mismos, sólo tiene impacto en el tipo de publicidad que reciben los socios club. Se realiza una descripción del tratamiento y el flujo de los datos, detallándose cada uno de los activos que intervienen en las distintas fases de recogida, almacenamiento y destino de los datos personales tratados. Se realiza análisis y gestión de riesgos, destacando:     C/ Jorge Juan, 6 28001 – Madrid Se analiza el factor de riesgo robo de identidad que suponga riesgo financiero o de privacidad, asignándole un valor de riesgo inherente de Alto Impacto y valor de riesgo residual de Medio Impacto. Se analiza el riesgo financiero para los sujetos involucrados en el tratamiento, asignándose inicialmente un valor de riesgo inherente Muy Alto y un valor de riesgo residual Bajo Se analiza los riesgos de pérdida de confidencialidad, asignando un valor de riesgo inherente Alto Impacto y riesgo residual Bajo. Entre las medidas de seguridad se mencionan para gestionar los riesgos aportan: (…) www.aepd.es sedeagpd.gob.es 20/62 Asimismo, se incluye documento anexo a la DPIA que incorpora un listado de proyectos de seguridad en curso de desarrollo a lo largo del año 2023 con objeto de reforzar la seguridad. Del análisis de este documento se extrae: (…) El informe concluye con las siguientes recomendaciones y acciones a realizar: (…) (
  24. ii)Informe del Pentest a la APP Carrefour para Android/iOS, realizado con fecha de inicio 6 de febrero de 2023 y fecha de fin 9 de febrero de 2023. De su análisis se extrae: En cuanto a la metodología (punto 3 del informe) (…).   Se detecta una vulnerabilidad nivel alto (aunque se afirma en el mismo informe que ha sido corregida), 5 de nivel medio y 5 nivel bajo. El informe concluye las siguientes recomendaciones sobre acciones a realizar: (…) SEXTO: En el presente caso, ha quedado constatado el envío por Carrefour de un comunicado, en fecha 23 de junio de 2023, a 9.202 afectados, correspondientes a la cuarta brecha de datos personales, y en fecha 11 de septiembre de 2023, a 10.959 afectados, correspondientes a la quinta brecha de seguridad de los datos personales. De las actuaciones de investigación desarrolladas por la presente autoridad, la propia entidad investigada afirma que procedió a la comunicación por medio de correo electrónico, así como a través del canal push en los casos de clientes disponibles por este medio y siendo el contenido del mensaje enviado el siguiente: “Estimado cliente: Para ofrecerte un mejor servicio, hemos procedido a resetear tu contraseña. Para obtener una nueva solicítala en ¿has olvidado tu contraseña? al acceder a la App o a la web. En la web https://www.carrefour.es/myaccount En la App Identifícate y pulsa en ¿Has olvidado tu contraseña? Un saludo El equipo de Carrefour” No consta que Carrefour comunicara a los afectados de la primera, segunda y tercera brecha de datos personales, en los términos indicados en el artículo 34 del RGPD, si bien esta posible infracción por la falta de comunicación a los afectados de la primera, segunda y tercera brecha de datos personales ha de considerare prescrita. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/62 SÉPTIMO: La política de contraseñas de CCC actualmente vigente se implementó en junio de 2022. Según dicha política, para que una contraseña sea válida, debe reunir las siguientes características: - (…) Aporta como Documento 1 la ficha de desarrollo de la política de contraseñas modificada en junio de 2022 y una captura de pantalla con las características que deben reunir las contraseñas para que sean válidas. OCTAVO: En la Tercera Brecha (la notificada el 21 de abril de 2023) hubo 61.083 peticiones de acceso satisfactorias (resultado "OK") y en la Cuarta Brecha (la notificada el 26 de junio de 2023) hubo 10.943. El número de cuentas coincidentes en las dos brechas – esto es, para las que la consulta del tercero resultó en un "OK"- fue de 1.741. NOVENO: Carrefour ha aportado Informe de la prueba de penetración (Pentest) realizada en 2022, denominado “***INFORME.1”. En cuanto a la severidad de las ocurrencias se indica en el informe: Alta 0 Asimismo, constan recomendaciones: Media Baja 6 en el resumen 3 Ejecutivo del informe las siguientes - A corto plazo: (…) - A medio plazo: (…). - A largo plazo: (…) DÉCIMO: Fecha de implantación de las medidas recomendadas en los informes de las pruebas de penetración (Pentest) realizadas en la web y en la APP Carrefour, finalizadas el 3/03/2023 y el 9/02/2023, respectivamente. En relación con el pentest para la aplicación (28 de febrero de 2023): Se incluyeron un total de 10 recomendaciones, listadas en los siguientes apartados del pentest: 5.1.4, 6.1.4, 6.2.4, 6.3.4, 6.4.4, 7.1.4, 7.2.4, 7.3.4, 7.4.4 y 7.5.4. De estas 10 recomendaciones:
  25. a)Una de ellas (la 5.1.4, correspondiente a una vulnerabilidad de severidad alta) fue implementada el 13 de febrero de 2023, tal y como se pone de manifiesto en el propio pentest: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/62 5.1 Referencia Insegura a objetos (IDOR) (CORREGIDA)
  26. b)Cuatro de ellas (las 6.1.4, 6.2.4, la 7.1.4 y la 7.2.4, todas ellas correspondientes a vulnerabilidades de severidad media) no resultan de aplicación, en la medida en que son recomendaciones derivadas de vulnerabilidades que fueron detectadas como consecuencia de facilitar información al auditor sobre la infraestructura de los sistemas de CCC y de la eliminación de medidas de seguridad para facilitar el trabajo del auditor en el pentest en modalidad de caja gris.
  27. c)Las cinco restantes (la 6.3.4, 6.4.4, 7.3.4, 7.4.4 y 7.5.4, todas ellas correspondientes a vulnerabilidades de severidad baja) fueron asumidas, esto es, no se implementaron en la medida en que en estas vulnerabilidades el vector de ataque era local o físico, por lo que el riesgo es bajo y muy reducido, en particular en los vectores de ataque físicos, en los que el atacante necesita interactuar físicamente con el dispositivo del cliente.
  28. d)En cualquier caso, ninguna de las 10 recomendaciones tiene incidencia en las brechas sobre las que versa el acuerdo de inicio del procedimiento sancionador. En relación con el pentest para la web (6 de marzo de 2023): Se incluyeron un total de 19 recomendaciones, listadas en los siguientes apartados del pentest: 5.1.4, 5.2.4, 5.3.4, 5.4.4, 5.5.4, 5.6.4, 5.7.4, 5.8.4, 5.9.4, 5.10.4, 5.11.4, 5.12.4, 5.13.4, 5.14.4, 5.15.4, 5.16.4, 5.17.4, 5.18.4 y 5.19.4. De estas 19 recomendaciones:
  29. a)Cuatro de ellas fueron implementadas en las siguientes fechas: - La 5.1.4 (correspondiente a una vulnerabilidad de severidad crítica) fue implementada el 11 de julio de 2023. Aportamos documentación justificativa de la implementación de la recomendación como Documento 3. - La 5.6.4 (correspondiente a una vulnerabilidad de severidad media) fue implementada en septiembre de 2024. - La 5.9.4 (correspondiente a una vulnerabilidad de severidad media) fue implementada en septiembre de 2024. - La 5.17.4 (correspondiente a una vulnerabilidad de severidad baja) fue implementada en septiembre de 2024. Aporta como Documento 4 la justificación documental de la implementación de las recomendaciones 5.6.4, 5.9.4 y 5.17.4. Como puede observarse en el apartado "Configuración" (Configuration), CCC no utiliza conjuntos de cifrado (cipher suites) RC4 (recomendación 5.6.4), triple-DES y cifrados de bloque de 64 bits (recomendación 5.9.4) y tipo CBC (recomendación 5.17.4). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/62
  30. b)Una de ellas (la 5.2.4, correspondiente a una vulnerabilidad de severidad alta) no pudo ser reproducida por el auditor y fue finalmente marcada como corregida, tal y como se observa en la captura de pantalla que aporta como Documento 5.
  31. c)Tres de ellas (las 5.5.4, 5.7.4 y la 5.8.4; todas ellas correspondientes a vulnerabilidades de severidad media) no resultan de aplicación, en la medida en que son recomendaciones derivadas de vulnerabilidades que fueron detectadas como consecuencia de facilitar información al auditor sobre la infraestructura de los sistemas de CCC y de la eliminación de medidas de seguridad para facilitar el trabajo del auditor en el pentest en modalidad de caja gris.
  32. d)Dos de ellas (las 5.3.4 y 5.4.4; ambas correspondientes a vulnerabilidades de severidad media) no fueron implementadas, en la medida en que las correspondientes vulnerabilidades no pueden ser explotadas por la existencia de otras medidas de seguridad (en ambos casos, el uso de firewalls de aplicaciones web) aplicadas por CCC. De hecho, en la 5.3 el auditor admite que no ha sido posible "comprobar la explotación de esta vulnerabilidad" y que su existencia de notificar a los efectos de "solicitar su mitigación en caso necesario".
  33. e)Las nueve restantes (las 5.10.4, 5.11.4, 5.12.4, 5.13.4, 5.14.4, 5.15.4, 5.16.4, 5.18.4 y 5.19.4; las tres primeras correspondientes a vulnerabilidades de severidad media y las seis restantes a vulnerabilidades de severidad baja) no fueron asumidas, esto es, no se implementaron en la medida en que las vulnerabilidades – y las consiguientes recomendaciones – no superaban el umbral de materialidad.
  34. f)En cualquier caso, ninguna de las 19 recomendaciones tiene incidencia en las brechas sobre las que versa el acuerdo de inicio de procedimiento sancionador. UNDÉCIMO: CCC no conserva el número de las peticiones no satisfactorias de las cinco brechas. No obstante, los números de peticiones satisfactorias para cada brecha son los siguientes: Brecha Primera Brecha Segunda Brecha Tercera Brecha Cuarta Brecha Quinta Brecha Peticiones de acceso satisfactorias (…) (…) (…) (…) (…) FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/62 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Previas La sociedad anónima Centros Comerciales Carrefour es una compañía dedicada a la explotación tanto de grandes superficies como de establecimientos situados en ellas y, en concreto, está especializada en la comercialización en establecimientos no especializados, con predominio de alimentos y bebidas, prestando además servicios de comercio electrónico, para lo cual trata datos de carácter personal de sus clientes y trabajadores, entendiendo por dato de carácter personal: “toda información sobre una persona física identificada o identificable”. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/62 personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, se han notificado hasta cinco brechas de datos personales por parte del responsable de tratamiento CARREFOUR, todas ellas relacionadas con el acceso ilegítimo a cuentas de clientes por parte de terceros no autorizados, haciéndose uso, al menos en cuatro de ellas, con una alta probabilidad de la técnica de ataque de Credential Stuffing, utilizando credenciales filtradas (pares de email/contraseña), careciéndose de evidencias que muestren ataque de fuerza bruta. En el transcurso de las actuaciones de investigación realizadas se ha puesto de manifiesto que las brechas de datos personales segunda, tercera, cuarta y quinta, notificadas en fechas 20 de enero de 2023, 18 de abril de 2023, 26 de junio de 2023 y 14 de septiembre de 2023, guardan la misma tipología (Credential Stuffing), utilizándose métodos automatizados que hacían uso de direcciones de correo ordenadas en orden alfabético, lo que indicaba que el atacante utilizaba algún tipo de base de datos como diccionario para lanzar sus ataques. Los ataques se realizaron en un corto periodo de tiempo y desde múltiples direcciones IP, lo cual, según ha manifestado CARREFOUR, dificultó su identificación y poder pararlo en tiempo de ejecución. En cuanto a la posible fuente u origen de las credenciales que los atacantes podrían haber utilizado para llevar a cabo el ataque Credential Stuffing, en su escrito de 20 de enero de 2023, CARREFOUR informó que se descubrió el 17 de enero de 2023 que se ofrecían credenciales para algunas direcciones email afectadas en un grupo de ***APP.1. Asimismo, informó en su escrito de 7 de julio de 2023 que se descubrió que actualmente se ofertan paquetes de credenciales expuestas de varias organizaciones, entre ellas Carrefour España, en diferentes sitios de la Dark Web, si bien afirman que todos los intentos de localizar la fuente original de estos datos por parte de CARREFOUR han sido infructuosos, debido a la alta complejidad de localizar dichos sitios. En cuanto a la tipología de datos personales a los que se pudo tener acceso el atacante en la segunda violación de la seguridad de los datos personales, Carrefour ha informado que, una vez implantadas las medidas reactivas tras la primera brecha detectada en enero de 2023, son: o o o o o Nombre, Apellido 1, Apellido 2 Correo Electrónico Teléfono de contacto (enmascarado con asteriscos todos los dígitos exceptuando los 3 últimos) DNI (enmascarado con asteriscos todos los caracteres exceptuando los 4 últimos) Dirección postal completa: Código postal, Escalera/piso/puerta, Municipio, Nombre de la vía, Número de la vía, Provincia, Tipo de vía, Fecha de nacimiento. Asimismo, consta en la notificación de la tercera brecha de datos personales, que se produjo el 16 de abril de 2023, que el atacante tuvo acceso a Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/62 documento identificativo, Datos económicos o financieros (sin medios de pago), Datos de contacto, Credenciales de acceso o identificación (usuario y / o contraseña). En la notificación de la cuarta brecha de datos personales, ocurrida el 23 de junio 2023, consta que el atacante accedió a datos básicos (Ej: nombre, apellidos, fecha de nacimiento), Datos de contacto, Credenciales de acceso o identificación (usuario y / o contraseña). En la notificación de la quinta brecha de datos personales, ocurrida el 11 de septiembre, de 2023 consta que el atacante tuvo acceso a datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de contacto, Credenciales de acceso o identificación (usuario y / o contraseña) Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
  35. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control y la comunicación de una violación de la seguridad de los datos personales al interesado, respectivamente. En relación con la infracción del artículo 33 del RGPD, tipificada en el artículo 83.4 del citado Reglamento, consta que la entidad investigada sufrió una brecha de seguridad de los datos personales de la que tuvo constancia el 6 de octubre de 2022, si bien no lo notificó a esta Agencia hasta el 13 de enero de 2023, sin haber acreditado los motivos que justifiquen tal dilación. No obstante, como quiera que la LOPDGDD establece un plazo de prescripción de un año en su artículo 74
  36. m)para estas infracciones, se ofrece adecuado su no imputación. III Respuesta a las alegaciones al acuerdo de inicio En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por CCC: ALEGACIÓN PRIMERA. Aclaraciones previas sobre los incidentes de seguridad sufridos por CCC Manifiesta Carrefour que el número de cuentas afectadas informado a la Agencia en cada una de las notificaciones de brechas de seguridad de los datos personales se corresponde con el número de cuentas respecto de las que el tercero obtuvo confirmación de la validez de las credenciales de acceso, pero que no se trata de cuentas a las que el tercero hubiera tenido acceso. A este respecto, procede señalar que, en la notificación de quiebra de la seguridad de los datos personales realizada por Carrefour, el 13/01/2023, consta que en el incidente de 06/10/2022 se vieron comprometidos los datos de 234 clientes; en la notificación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/62 de 20/01/2023, consta que en el incidente de 18/01/2023 los clientes comprometidos fueron 35.735; en la notificación de 18/04/2023 constan 61.083 clientes afectados en el incidente de 16/04/2023; en la notificación de 26/06/2023 consta un total de 10.943 clientes afectados en el incidente de 23/06/2023 y, finalmente, en la notificación, de 13/09/2023, consta que los clientes afectados fueron 10.900, en el incidente 11/09/2023. Brecha Primera Brecha Segunda Brecha Tercera Brecha Cuarta Brecha Quinta Brecha Peticiones satisfactorias (…) (…) (…) (…) (…) de acceso Por tanto, pese a la argumentación de Carrefour, esta AEPD considera que las brechas de datos personales comunicadas por Carrefour afectaron a un total de 118.895 cuentas únicas. En 118.895 cuentas el atacante obtuvo una autenticación exitosa, por lo que conoció que las credenciales de acceso a esas cuentas eran correctas y consiguió accesos exitosos a estas. Por tanto, tuvo acceso a información personal de los titulares de esas cuentas, al menos a las credenciales que utilizaban para logarse, lo que supuso un riesgo alto para los derechos y libertades de los interesados. Recuérdese en este punto que el concepto de dato de carácter personal ha de interpretarse en un sentido amplio, comprendiendo no sólo los datos personales recabados y conservados por el responsable del tratamiento, sino toda la información resultante de dicho tratamiento (STJUE de 4 de mayo de 2023, en el asunto C-487/21) y que, por tanto, los datos de contraseña/usuario de los usuarios son datos de carácter personal. Así las cosas, un total de 118.895 credenciales de acceso se vieron comprometidas en los ataques. La obtención de las credenciales constituye un grave riesgo para las personas que ven vulnerada su seguridad, pudiendo ser víctimas de suplantación, estafa o fraude, entre otros. De este modo, desde el 06/10/2022 el tercero obtuvo confirmación de la validez de las credenciales de acceso, lo que como se ha dicho supuso un alto riesgo para los derechos y libertades de las personas. Las credenciales de Carrefour se vendían en un grupo de ***APP.1, en este sentido reconoce Carrefour que una vez el tercero ha confirmado la validez de las credenciales, procede a su venta por distintos canales: dark web, deep web, canales de ***APP.1, etcétera. Es más, Carrefour afirma haber remitido un comunicado a tales afectados por la tercera brecha y, en fechas 23 de junio de 2023 y 11 de septiembre de 2023, a los afectados, correspondientes a la cuarta y quinta brecha de seguridad, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/62 Si bien, en el comunicado no se advirtió a los afectados de forma clara que Carrefour había sufrido una brecha de la seguridad de los datos personales, por lo que no fueron conscientes de los riesgos a los que habían quedado expuestos. ALEGACIÓN SEGUNDA. CCC no ha infringido el principio de integridad y confidencialidad. En primer lugar, manifiesta que la afectación de la integridad y la confidencialidad de los datos personales de clientes de CCC se ha producido tan sólo en 973 casos. Señala que el número de cuentas afectadas informado a la Agencia en cada una de las brechas de seguridad comunicadas se corresponde con el número de cuentas respecto de las que el tercero obtuvo confirmación de la validez de las credenciales, no se trata de cuentas a las que el tercero tuviera acceso, ni que haya tenido acceso a los datos personales de esos clientes En relación con la integridad, afirma que los casos en los que la misma se vio afectada ascienden a 234 casos de clientes cuyos datos personales se vieran modificados. Los datos que se modificaron fueron la dirección de correo electrónico, la dirección de entrega, así como, en algunos casos, el número de teléfono y el nombre. En relación con la confidencialidad, indica que los casos en los que la misma se vio afectada ascienden a 973. Este número se corresponde con los casos en los que se ha detectado un fraude en el cheque Ahorró de los clientes, que se reparten entre: los 234 casos de la Primera Brecha, donde la afectación de la confidencialidad también comportó una afectación de la integridad y 739 casos repartidos entre la Segunda y la Quinta Brecha. Considera que la suma de las personas afectadas reportada en las brechas (118.895) no se corresponde con la totalidad de casos en los que la integridad y la confidencialidad se vieran afectadas, sino que la afectación de la integridad se limitó a 234 clientes y la afectación de la confidencialidad a 973. A este respecto, procede señalar que las actuaciones de investigación desarrolladas por la presente autoridad han permitido constatar: (…) A este respecto, no puede defenderse de ninguna manera que no exista una infracción del artículo 5.1.
  37. f)RGPD, puesto que, al no haberse adoptado medidas adecuadas, se produjo un acceso ilegítimo a datos personales por un tercero no autorizado, lo que supuso la pérdida de confidencialidad, de integridad y de control de numerosos datos personales y que afectó a todos aquellos cuyos datos fueron conocidos, no sólo a aquellos clientes cuyos datos fueron luego suplantados. Ello supone el incumplimiento del deber de garantizar la confidencialidad e integridad de los datos personales, pues como se ha indicado, el artículo 5.1.
  38. f)señala que deben ser tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/62 Por tanto, el riesgo de pérdida de confidencialidad se ha materializado, lo que supone que los datos personales pueden ser utilizados para usos no conocidos (vendidos, comunicados, publicados, etc.), todo ello sin consentimiento de sus titulares, conllevando una pérdida total y absoluta de control sobre los mismos. Además, supone también un riesgo muy alto de uso fraudulento de los datos (usurpación de identidad, fraude, pérdidas financieras, etc.) o de que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para sus titulares. Debe tenerse en cuenta además que la mayoría de los datos personales afectados son datos que no pueden ser modificados o cambiados por otros (nombre, apellidos) Esta pérdida de control sobre los propios datos personales se traduce en una vulneración del derecho fundamental a la protección de datos reconocido en el artículo 18 de la Constitución Española pues tal y como ha indicado el Tribunal Constitucional (Sentencia 292/2000, de 30 de noviembre de 2000) “el derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado (…) El derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos”. En el caso que nos ocupa, ha quedado acreditado que CCC ha vulnerado este deber de confidencialidad en relación con los datos personales que trata. Por tanto, no procede aceptar que deba reducirse la cuantía de la sanción teniendo en cuenta que, el número de afectados que han visto comprometida la integridad y/o confidencialidad de sus datos personales sea de 973, ya que la pérdida de control sobre los propios datos personales se produce desde el momento en que se materializa la brecha de datos personales, es decir, desde que se produce ese acceso por parte de un tercero no autorizado a los datos personales tratados por CCC. En cualquier caso, lo relevante para entender vulnerada la confidencialidad es que la información se encuentra totalmente a la libre disposición de terceros no autorizados. Esta es la pérdida de confidencialidad que se le imputa y ahí es cuando se ha materializado la pérdida de control de los propios datos personales por los interesados. En el caso que nos ocupa, por el tipo de datos que trata y que fueron afectados por las brechas y que CCC parece desdeñar, supone un riesgo alto, en caso de vulnerarse su confidencialidad, de ser usados de modo fraudulento: suplantación de la identidad phishing, fraude financiero, etc. Amén de tener en cuenta, además, en todo caso, queel riesgo de pérdida de confidencialidad ya se ha materializado al haberse producido el acceso no autorizado, con lo cual no es ya que exista “probabilidad” de riesgo de pérdida de confidencialidad y de control de las personas sobre sus datos personales, sino materialización de este riesgo que puede implicar a su vez un riesgo alto para los derechos y libertades de las personas que pueden sufrir usurpación de identidad o fraude o pérdidas financieras. Por tanto, se significa que la vulneración de la confidencialidad que se imputa a CCC es la que le corresponde, es decir, por incumplir la obligación impuesta en el artículo 5.1.
  39. f)de tratar los datos de tal manera que se garantice una seguridad adecuada de los mismos, incluida la protección contra el tratamiento no autorizado o ilícito, mediante la aplicación de medidas técnicas u organizativas apropiadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/62 Manifiesta CCC no estar de acuerdo en cuanto a las circunstancias agravantes tenidas en cuenta a la hora de determinar el cálculo de la sanción. Así: o La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2
  40. a)del RGPD): Entiende que debería reducirse la cuantía de la sanción teniendo en cuenta que, el número de afectados que han visto comprometida la integridad y/o confidencialidad de sus datos personales es de 973. Además, considera que, a pesar de que en estos casos se haya visto afectado un conjunto de datos (nombre y apellidos, dirección postal completa y fecha de nacimiento), los mismos no son críticos, máxime si tenemos en cuenta que, como se ha expuesto (Documento 2), el fin último perseguido por el tercero es cometer un fraude económico, siendo los datos personales afectados un medio para cometer dicho fraude, no un fin en sí mismo. A este respecto, procede señalar que no procede admitir tales consideraciones como atenuante o como circunstancia que disminuya la gravedad de los hechos, más bien al contrario, pues precisamente por el elevado número de tratamientos que realiza y clientes que han resultado afectados, CCC está obligada a actuar con la especial diligencia que debe exigirse a una entidad de estas características, que realiza numerosos tratamientos de datos personales. Por último, no puede obviarse el número considerable de afectados de las brechas de datos personales. Las actuaciones de investigación desarrolladas han permitido constatar que el número de afectados que han visto comprometida la integridad y/o confidencialidad de sus datos personales es de 118.954, toda vez que se produjo un acceso ilegítimo a datos personales por un tercero no autorizado, lo que supuso la pérdida de confidencialidad y de control de numerosos datos personales y que afectó a todos aquellos cuyos datos fueron conocidos, no sólo a aquellos clientes cuyos datos fueron luego suplantados. Procede recordar la Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las previsiones legales al respecto.” En el caso que nos ocupa, el tipo de datos que trata y que fueron afectados por las brechas y que CCC parece desdeñar, supone un riesgo alto, en caso de vulnerarse su confidencialidad, de ser usados de modo fraudulento: suplantación de la identidad phishing, fraude financiero, etc. o La intencionalidad o negligencia en la infracción (artículo 83.2
  41. b)del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/62 Entiende que la existencia de diligencia vendría avalada por la superación de la auditoría de ***EMPRESA.4 y aporta un informe de 2022 de la evaluación que se llevó a cabo de septiembre a octubre de 2022 de la seguridad de los sistemas de información de ***EMPRESA.5 (Documento 5), (...) (Documento 6), así como por el hecho de que el segundo factor de autenticación no fuera – ni sea – una práctica de mercado en los canales digitales de los comercios líderes españoles (Documento 7). Asimismo, también en relación con el doble factor de autenticación, vuelve a poner de manifiesto que la implementación de este se produjo antes del 30 de octubre de 2023. Para el canal app (hacia el que se dirigieron todos los ataques salvo el último) se implementó en marzo de 2023. Sobre este particular se ha de señalar que el responsable del tratamiento debe implantar las medidas técnicas y organizativas teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas (art. 24.1 RGPD). Por tanto, debe identificarse y evaluarse el riesgo para los derechos y libertades de las personas y aplicar las medidas teniendo en cuenta, entre otras circunstancias, el “contexto” en el que se han de definir y aplicar las medidas, que en este caso era el de una sucesión de quiebras de datos personales sufridas por CCC. La documentación aportada no refleja los nuevos riesgos para los derechos y libertades de las personas nacidos de las quiebras sufridas por Carrefour y, además, la existencia de estos acontecimientos es lo que diferencia a Carrefour de otros contextos en los que pudieran encontrarse otros canales digitales de otros comercios líderes españoles. Por ello, que el segundo factor de autenticación no fuera – ni sea – una práctica de mercado en los canales digitales de los comercios líderes españoles no puede ser tomado en consideración en este caso. En materia de protección de datos, las medidas técnicas y organizativas a adoptar por los responsables del tratamiento y demás obligaciones a cumplir exigidas por el RGPD, deben ser las adecuadas en relación con los concretos riesgos que suponen los específicos tratamientos que realice cada responsable. Por tanto, al analizar la diligencia de unos y otros en el cumplimiento de la normativa ha de estarse a las circunstancias de cada caso, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines de cada tratamiento, no existiendo, por tanto, casos idénticos. A este respecto, procede recordar que no fue hasta después de la quinta brecha (en concreto el 30 de octubre de 2023) cuando se decide implantar el 2FA (con envío de clave OTP) para los inicios de sesión del canal digital Ecommerce. Disponer de esta medida con anterioridad hubiera evitado con gran probabilidad todos los ataques producidos en este canal, lo que demuestra una falta de diligencia por parte de CCC a la hora de implementar las medidas técnicas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para los derechos y libertades de las personas. La implementación del Doble Factor de Autenticación (2FA) constituyó, sin duda, un avance significativo en la protección de la seguridad de los datos. Sin embargo, este avance llegó tardíamente, después de que se hubieran manifestado vulnerabilidades críticas y se produjeran hasta 5 brechas de datos personales con efectos amplios y con el mismo vector de entrada. El hecho de que CCC sea una gran empresa para cuya actividad realiza un constante y abundante manejo de datos personales, realizando tratamientos que implican un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/62 probable alto riesgo para los derechos y libertades de las personas físicas supone la exigencia de una diligencia mayor en el tratamiento de los datos personales que la que se pueda exigir a una pequeña empresa que realice tratamientos esporádicos o accesorios. Además, CCC entiende que deberán tenerse en cuenta las siguientes circunstancias como atenuantes: i. Cualquier otra medida tomada por el responsable del tratamiento para paliar los daños y perjuicios sufridos por los interesados (artículo 83.2
  42. c)del RGPD). Considera que debería ser tenida en cuenta como atenuante el hecho de que CCC tomara medidas para paliar los daños y perjuicios sufridos por los afectados. En este sentido: reseteó las credenciales que se habían visto afectadas; y en aquellos casos en los que se produjo un fraude en los chequesAhorro, CCC reembolsó el importe del chequeAhorro y emitió tarjetas regalo para las personas afectadas, de tal forma que, según aduce, éstas no sufrieron ningún impacto económico derivado del fraude. Además, manifiesta que estas medidas fueron tomadas de forma espontánea, antes de que CCC tuviera constancia de los requerimientos de información y del inicio de la investigación de la Agencia. A tal efecto debe señalarse que los efectos de la quiebra de los datos personales no sólo tuvieron efectos económicos, derivados del fraude en los chequesAhorro, sino que fue mucho más allá, pues la pérdida de confidencialidad de los datos personales implicó un mayor riesgo para los derechos y libertades de los afectados, incluso como se ha indicado sus credenciales se vendían en ***APP.1. ii. El grado de cooperación con la autoridad de control con el fin deponer remedio a la infracción y mitigar los posibles efectos adversos de la infracción (artículo 83.2
  43. f)del RGPD), así como la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable notificó la infracción y, en tal caso, en qué medida (artículo 83.2 h del RGPD). CCC considera que es de aplicación esta atenuante en la medida en que el Acuerdo de Inicio se ha dictado como consecuencia de las cinco brechas de la seguridad de los datos personales comunicadas por CCC a la Agencia. Afirma que debe valorarse como atenuante el que se hubiera notificado, cumpliendo de forma diligente con este deber. Se proporcionó información con total transparencia y por ello también entiende que deberían ser de aplicación estas circunstancias atenuantes. Finalmente, CCC ha cooperado de forma favorable con la investigación, proporcionando respuesta a todos los requerimientos efectuados. A este respecto, procede señalar, en primer lugar, que el notificar a las autoridades de control y comunicar a los afectados la violación de la seguridad de los datos personales son obligaciones impuestas al responsable del tratamiento por el RGPD (artículos 33 y 34 respectivamente), es decir, su observancia viene impuesta por imperativo legal, se trata de un mandato que ha de ser cumplido, por lo que su incumplimiento por el responsable, de conformidad con lo requerido en dichos preceptos, puede suponer una infracción del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/62 En segundo lugar, los requerimientos de la AEPD son de obligado cumplimiento. Por tanto, en este caso, el grado de cooperación con la Agencia no puede ser apreciado y no procede aplicar la atenuante, por cuanto la consideración de la cooperación con la Agencia como atenuante, tal y como pretende la entidad, no está ligada a ninguno de los supuestos en los que se encuentre prevista legalmente una colaboración o cooperación o dar respuesta a un requerimiento por mor de un mandato legal. Por tanto, cuando las actuaciones son debidas y obligadas por la Ley, como en el caso que nos ocupa, no procede su aplicación. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones que imputan ni suponen causa de justificación o exculpación suficiente. ALEGACIÓN TERCERA: CCC adoptó medidas de seguridad apropiadas. (i)En cuanto a las medidas, indica CCC que sí adoptó medidas técnicas y organizativas adecuadas para evitar que la pérdida de la integridad y confidencialidad se volviera a producir y, en cualquier caso, para reducir eficazmente la probabilidad de materialización de la pérdida de integridad y confidencialidad de los datos personales de sus clientes, refiriendo en su escrito de alegaciones un listado de las mismas y afirmando que con ello cumple con lo exigido en el artículo 32 del RGPD. Frente a ello, procede señalar que, de los hechos acaecidos, se deduce lo contrario. CCC, a la hora de evaluar los riesgos de probabilidad y gravedad variables, debió tener en cuenta el riesgo para los derechos y libertades de las personas físicas y aplicar medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo. De seguridad. Sólo de seguridad. Se imputa a CCC la infracción del citado artículo 32, con independencia de si se ha sufrido una brecha de confidencialidad o no, porque la conducta reprochable y que vulnera dicho precepto es la falta o inadecuación de las medidas de seguridad, es decir, se infringe y se sanciona por ello con independencia de si se ha producido una brecha de datos personales o no. Del análisis de la documentación aportada por CCC en contestación al requerimiento de información resulta lo siguiente: “(…).” Por tanto, existía una deficiencia en las medidas de seguridad implantadas, pues las medidas defectivas no eran adecuadas y ello con independencia de que se hubiera producido o no una brecha de datos personales ya que permitían accesos consecutivos desde más de 7.000 direcciones IP distintas de diferentes proveedores de red, sin que se detectaran comportamientos anómalos. Ello pone de manifiesto claramente un incumplimiento del artículo 32 del RGPD, por cuanto exige medidas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, y todo ello teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/62 A tal efecto, hay que acudir al considerando 83 del RGPD, el cual establece que “A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales.” (el subrayado es nuestro) Por otro lado, el artículo 32 del RGPD indica que las medidas implantadas deben incluir la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento (letra b del artículo 32.1 RGPD). Por tanto, no basta con tener medidas para reaccionar lo antes posible cuando se ha vulnerado la confidencialidad, hay que tener también medidas previas adecuadas para impedir una vulneración como lo son las medidas preventivas y detectivas dirigidas a evitar cualquier pérdida de la confidencialidad, integridad y disponibilidad de los datos personales. Las medidas de seguridad técnicas y organizativas que deben aplicarse son las pertinentes para responder al riesgo existente, valorando, entre otros factores, el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento y los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. En este sentido el artículo 32, no establece medidas de seguridad concretas y estáticas, sino que corresponderá al responsable determinar las medidas de seguridad que son necesarias en cada momento para garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales. En consecuencia, la protección de unos mismos datos puede implicar medidas de seguridad distintas en función de las especificidades concretas de las distintas operaciones de tratamiento de datos. La obligación de seguridad que impone al responsable del tratamiento el artículo 32 del RGPD es una obligación de medios, sin que se requiera para su infracción que se haya producido un resultado: la pérdida de confidencialidad, integridad o disponibilidad. Como precisa la STS de 15/02/2022 (rec. de casación 7359/2020) “En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia" o "de comportamiento". (El subrayado es nuestro). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/62 Resulta también relevante la STJUE, de 14/12/2023, asunto C-340/21, en la que el Tribunal señala lo siguiente: “(…) el carácter apropiado de tales medidas técnicas y organizativas debe apreciarse de manera escalonada. Por una parte, es preciso identificar los riesgos de violación de la seguridad de los datos personales que entrañe el tratamiento y sus posibles consecuencias para los derechos y libertades de las personas físicas. Esta apreciación debe llevarse a cabo en cada caso concreto, tomando en consideración cuál es la probabilidad de los riesgos identificados y la gravedad de estos. Seguidamente, debe comprobarse si las medidas adoptadas por el responsable del tratamiento se adaptan a estos riesgos, teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento”. (apartado 42). En este caso las medidas implantadas por CCC no garantizaban un nivel adecuado al riesgo, por cuanto no tenían en cuenta los riesgos identificados y la gravedad de estos. CCC estaba sufriendo un episodio de sucesivas brechas de datos personales y no adoptó medidas adecuadas para mitigar el impacto en caso de ocurrencia de una brecha de datos personales. Y ello con independencia de que finalmente ésta se llegara a producir o no. Pues bien, ya en la auditoría realizada al canal web (www.carrefour.
  44. es)entre el 14 de febrero de 2023 y 3 de marzo de 2023, consta en el punto 5.11 del informe “(…)”. Esta vulnerabilidad se considera de severidad media. En la fase de pruebas CCC ha manifestado respecto de esta vulnerabilidad que no fue asumida, esto es, no se implementó en la medida en que la vulnerabilidad – y las consiguientes recomendaciones – no superaban el umbral de materialidad. Pero nada se dice en el informe acerca de no superar el umbral de materialidad. (…) Pero, es más, tampoco adoptó otras medidas de seguridad recomendadas a corto plazo en los informes de pentest realizados. En este sentido cabe resaltar que en el informe de pentest referente a la auditoría realizada al canal web (www.carrefour.
  45. es)entre el 14 de febrero de 2023 y 3 de marzo de 2023, también se recogen, entre otras, las siguientes vulnerabilidades: (…) Sin embargo, según consta en el informe de Pentest a la Web Carrefour (Carrefour.es), para realizar las pruebas en la modalidad Caja Gris (…). En este punto indica CCC que no fueron asumidas, esto es, no se implementaron en la medida en que las vulnerabilidades – y las consiguientes recomendaciones – no superaban el umbral de materialidad. Sin embargo, en el informe no se dice nada sobre que no superara el umbral de materialidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/62 Por su parte, en el informe del pentest realizado al canal APP de Carrefour, entre el 6 de febrero de 2023 y el 9 de febrero de 2023, se recoge, entre otras, las siguientes vulnerabilidades:  (…). Respecto de estas vulnerabilidades Carrefour ha manifestado que las recomendaciones no fueron implementadas porque “no resultan de aplicación, en la medida en que son recomendaciones derivadas de vulnerabilidades que fueron detectadas como consecuencia de facilitar información al auditor sobre la infraestructura de los sistemas de CCC y de la eliminación de medidas de seguridad para facilitar el trabajo del auditor en el pentest en modalidad de caja gris. Sin embargo, se recoge en el punto 3 del informe de pentest de la APP que “(…)”. Según se recoge en la página oficial del Instituto Nacional de Ciberseguridad existen diferentes tipos de pruebas de penetración (pentesting) según la información inicial con la que cuenta el auditor, así, pueden ser: • de caja blanca: si disponen de toda la información sobre los sistemas, aplicaciones e infraestructura, pudiendo simular que el ataque se realiza por alguien que conoce la empresa y sus sistemas; • de caja gris: si dispone de algo de información, pero no de toda; • de caja negra: si no dispone de información sobre nuestros sistemas; en este caso, se simula lo que haría un ciberdelincuente ajeno. Por tanto, en la prueba de pentesting realizada en la APP no se facilitó al auditor ninguna información al no tratarse de una prueba de caja gris sino de caja negra. En consecuencia, debe rechazarse esta alegación de CCC sobre la existencia de medidas adecuadas. (
  46. ii)Indica CCC que hay que tener en cuenta que para la realización de las auditorías se desactivaron determinadas medidas de seguridad (caja gris). Pero como se ha indicado anteriormente, la prueba de pentests realizada a la APP se hizo en la modalidad Caja Negra y, si bien es cierto que la realizada a la Web se inició en la modalidad Caja Gris, según consta en el informe de Pentest a la Web Carrefour (Carrefour.es), para realizar las pruebas en la modalidad Caja Gris (…), por lo que esta alegación debe ser igualmente rechazada. (iii) En relación con las vulnerabilidades de nivel crítico y alto detectadas en los análisis Pentest de febrero de 2023, consta aportado documento con el informe de un auditor experto que certifica y acredita la corrección de la vulnerabilidad crítica. Este informe tiene fecha de 19 de julio de 2023. Sin embargo, en relación con la vulnerabilidad de nivel alto (sobre el posible uso de software desactualizado y con vulnerabilidades conocidas), afirman que actualmente se encuentran trabajando en remediarlo. Y tampoco han sido implementadas otras recomendaciones para solucionar vulnerabilidades de nivel medio, recomendadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/62 para su aplicación a corto plazo, y ello a pesar, como se ha indicado, de los acontecimientos sufridos por Carrefour. Todo ello no hace sino reflejar una falta de diligencia por parte de CCC a la hora de aplicar las medidas de seguridad adecuadas al riesgo de los tratamientos de datos que lleva a cabo. No debe olvidarse que tanto en la aplicación de CCC como en la web se tratan datos personales de miles de clientes, lo cual supone un tratamiento a gran escala, lo que exige medidas de seguridad adecuadas para ese entorno y dirigidas especialmente a garantizar que no se produzca un acceso ilegítimo a dichos datos personales. (
  47. iv)Considera que, en este caso, si se entendieran infringidos los artículos 5.1
  48. f)y 32 del RGPD (quod non), estaríamos ante una única infracción y que la supuesta falta de medidas técnicas y organizativas apropiadas debería entenderse comprendida, como medio de perpetración, en la infracción de los principios de integridad y confidencialidad. Pues bien, la confidencialidad y la seguridad de los datos tienen su reflejo fundamentalmente en dos preceptos independientes del RGDP: en el artículo 5.1.
  49. f)y en el artículo 32 del RGPD. El artículo 5.1.
  50. f)del RGPD es uno de los principios relativos al tratamiento. Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. Pues bien, el artículo 5.1.
  51. f)del RGPD recoge el principio de integridad y confidencialidad y determina que los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Establece una obligación de resultado, no objetiva. Por otra parte, el artículo 32 del RGPD reglamenta cómo ha de articularse la seguridad del tratamiento en relación con las medidas de seguridad concretas que hay que implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que incluya entre otras cuestiones, la capacidad de garantizar la confidencialidad de los datos. Como podemos ver, el artículo 32 del RGPD, aunque relacionado con el artículo 5.1.
  52. f)del RGDP, no circunscribe el principio en su totalidad. El artículo 5.1.
  53. f)del RGPD exige taxativamente que se garantice la confidencialidad, y requiere para su imputación una pérdida de confidencialidad, disponibilidad o de integridad. Podemos encontrarnos con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/62 supuestos en que existan medidas inadecuadas sin que por ello haya una pérdida de integridad, disponibilidad y confidencialidad. La falta de medidas de seguridad constituye una vulneración autónoma e independiente y con suficiente entidad en sí misma, para ser sancionada sin necesidad de que se materialice una brecha de datos personales y no resulta necesaria la infracción del artículo 32 para que se pueda considerar la existencia de una infracción del artículo 5.1.
  54. f)del RGPD. En el presente caso: - La vulneración de los principios de integridad y confidencialidad, ambos establecidos en el citado artículo 5.1.
  55. f)del RGPD, se manifiesta en el acceso ilegítimo a cuentas de clientes por parte de terceros no autorizados, en algunos casos pudiendo incluso modificar datos personales y realizar compras, lo que motivó la notificación de hasta cinco brechas de datos personales por parte del responsable de tratamiento CARREFOUR. Asimismo, se evidencia en la inadecuada gestión de las violaciones de la seguridad de los datos personales. - La vulneración del artículo 32 del RGPD se infiere de las manifestaciones de la propia entidad investigada que reconoce en el transcurso de las actuaciones de investigación que la mayoría de las reglas se basan en volumetrías por fallos desde una misma IP, de un mismo usuario o por rangos específicos. Sin embargo, el sistema permitía que se utilizaran para los accesos, más de 7000 direcciones IP distintas de diferentes proveedores de red, por tanto, las medidas de seguridad implementadas eran insuficientes. Lo que supone una vulneración del artículo 32 del RGPD. Asimismo, se deriva de la falta de implementación de las medidas recomendadas en los informes de pentest y que evitarían, en caso de sufrir un ataque, que el atacante tuviera acceso a datos personales. Subsidiariamente, considera que deberán tenerse en cuenta las siguientes circunstancias: o La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2
  56. a)del RGPD) Entiende que existe una incongruencia en el acuerdo de inicio y o se considera como agravante el hecho de que haya habido una afectación de los Datos Personales Afectados (en cuyo caso deberá limitarse a los clientes efectivamente afectados, no a todos los usuarios de la web y la aplicación) o, por el contrario, se considera como agravante el hecho de que la afectación por la falta de medidas técnicas y organizativas afecta a todos los usuarios de la web y la aplicación (en cuyo caso no podrá defenderse que ha habido una efectiva afectación de sus datos personales, puesto que la misma se ha producido solo en determinados casos). En cualquier caso, considera que, a pesar de que en determinados casos se haya visto afectado un conjunto de datos (nombre y apellidos, dirección postal completa y fecha de nacimiento), los mismos no son críticos, máxime si tenemos en cuenta que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/62 fin último perseguido por el tercero es cometer un fraude económico, siendo los datos personales afectados un medio para cometer dicho fraude, no un fin en sí mismo. En relación con la duración, se ha visto cómo la aplicación progresiva de nuevas medidas fue reduciendo el impacto (implantación del segundo factor para modificar datos personales y para acceder a la aplicación, entre otros), por lo que entiende que esta circunstancia no podrá ser tenida en cuenta como agravante. En cuanto a esta agravante el foco se pone en la ausencia de medidas de seguridad que afecta a los datos personales de los clientes de Carrefour usuarios de la web y de la APP. Esta amplia afectación amplifica la gravedad de la infracción, dado que existió para cada cliente riesgo de pérdida de confidencialidad, disponibilidad e integridad. Además, en cuanto a la duración de la infracción, la ausencia de medidas se extiende al menos hasta el 8 de noviembre de 2024, fecha de presentación por Carrefour de la respuesta a las pruebas solicitadas, habida cuenta que existen medidas técnicas u organizativas necesarias que no han sido aplicadas. o La intencionalidad o negligencia en la infracción (artículo 83.2
  57. b)del RGPD Respecto de esta circunstancia, no cabe duda de que de la documentación obrante en el procedimiento se desprende una grave falta de diligencia en la gestión de la seguridad de los datos personales. También, CCC entiende que deberán tenerse en cuenta las siguientes circunstancias como atenuantes: i. Cualquier otra medida tomada por el responsable del tratamiento para paliar los daños y perjuicios sufridos por los interesados (artículo 83.2
  58. c)del RGPD) CCC adoptó medidas técnicas y organizativas dirigidas a disminuir la probabilidad de materialización del riesgo. Además, estas medidas fueron adoptadas de forma proactiva, esto es, con anterioridad a tener conocimiento de las investigaciones de la Agencia que han acabado en el dictado del Acuerdo de Inicio. Como se ha indicado anteriormente, CCC no habría adoptado medidas para impedir que terceros no autorizados explotaran las vulnerabilidades identificadas. ii. El grado de cooperación con la autoridad de control con el fin deponer remedio a la infracción y mitigar los posibles efectos adversos de la infracción (artículo 83.2
  59. f)del RGPD), así como la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable notificó la infracción y, en tal caso, en qué medida (artículo 83.2 h del RGPD). Nos remitimos a lo expuesto para esta circunstancia en la Alegación Segunda. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones que se declaran cometidas ni suponen causa de justificación o exculpación suficiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/62 ALEGACIÓN CUARTA. CCC reconoce su responsabilidad en relación con la presunta infracción del artículo 34 de RGPD: comunicación de las brechas a las personas afectadas. Aunque CCC consideró en su momento que no era preceptiva la comunicación de las brechas a las personas afectadas, CCC reconoce su responsabilidad única y exclusivamente por la presunta infracción del artículo 34 del RGPD en relación con aquellas personas que vieron afectadas la confidencialidad y/o integridad de sus datos personales, lo que deberá llevar aparejada una reducción de un 20% de la sanción propuesta para esta infracción (200.000 euros). Asimismo, en caso de que el pago se realizara antes de la resolución del presente procedimiento, la sanción debería reducirse en un 20% adicional, siendo la cuantía que pagar 120.000 euros. La entidad investigada reconoce su responsabilidad, solicitando las reducciones del importe de la sanción previstas en la normativa. El artículo 85.1 de la LPACAP señala que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda.” Por ello, en el acuerdo de inicio del presente procedimiento sancionador se indicaba que “De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento”. Por otro lado, en el mismo acuerdo de inicio se señalaba que “Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe.” Con indicación de que dicho pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Por otro lado, el artículo 85.3 de la LPACAP señala que la efectividad de tal reducción “estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción”. Este aspecto también se recoge en el mencionado acuerdo de inicio del presente procedimiento sancionador, el cual también señala que “En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.” Por tanto, si bien la entidad investigada ha reconocido su responsabilidad dentro del plazo para formular alegaciones al acuerdo de inicio, éste no ha venido acompañado ni del desistimiento o renuncia a interponer cualquier acción o recurso en vía administrativa contra la sanción, ni del pago de esta, por lo que de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, poner de manifiesto el desistimiento o renuncia expresa a la vía administrativa, así como llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/62 IV Obligación incumplida. Principio de integridad y de confidencialidad. Establece el artículo 5.1.
  60. f)del RGPD lo siguiente: “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
  61. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Según las Directrices sobre la notificación de las violaciones de la seguridad de los datos personales de acuerdo con el Reglamento 2016/679 del GT29 se produce una «violación de la confidencialidad» cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos; una «violación de la integridad»: cuando se produce una alteración no autorizada o accidental de los datos personales; y una «violación de la disponibilidad»: cuando se produce una pérdida de acceso accidental o no autorizada a los datos personales, o la destrucción de los mismos . El principio de confidencialidad e integridad, dentro del marco del RGPD, implica la obligación de garantizar que los datos personales se mantengan protegidos y únicamente puedan ser accesibles o modificados por aquellos que tienen autorización para su tratamiento, con el fin legítimo previsto por el responsable del tratamiento. En el caso que nos ocupa, de las actuaciones de investigación realizadas por la presente autoridad, se desprende una presunta vulneración del citado principio de confidencialidad e integridad. Dicha vulneración se manifiesta en primer lugar en las brechas de datos personales sufridas por la entidad y notificadas por la propia entidad investigada y que son: (…) El hecho de que los atacantes accedieran de forma ilegítima a las cuentas de los clientes haciendo uso probablemente de la técnica de ataque de Credential Stuffing utilizando credenciales filtradas (pares de email/ contraseña), con independencia de la forma en que accedieran a dichas credenciales,- y que pudieran modificar datos personales y realizar compras, constituye una manifestación de la vulneración de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/62 principios de integridad y confidencialidad, ambos establecidos en el citado artículo 5.1.
  62. f)del RGPD. En este sentido, no debe olvidarse, tal y como ha quedado expuesto en las actuaciones de investigación y de la información transmitida, que los atacantes accedieron a datos personales de los clientes y los modificaron, esto último, al menos en la primera brecha notificada. Del elevado número de accesos a datos personales, aumenta el riesgo de uso indebido y fraude y pone de manifiesto que las medidas técnicas y organizativas adoptadas por el responsable antes y tras los incidentes no fueron las apropiadas para garantizar la integridad y confidencialidad adecuada de los datos personales, en especial para la protección contra el tratamiento no autorizado o ilícito. El art. 24 del RGPD sobre la responsabilidad del responsable del tratamiento, dispone en su apartado 1 que “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. (el subrayado es nuestro) Por su parte, el Considerando 74 del RGPD declara que “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el Reglamento General de Protección de Datos, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas” Y añade el Considerando 76 que “La probabilidad y la gravedad del riesgo para los derechos y libertades del interesado debe determinarse con referencia a la naturaleza, el alcance, el contexto y los fines del tratamiento de datos. El riesgo debe ponderarse sobre la base de una evaluación objetiva mediante la cual se determine si las operaciones de tratamiento de datos suponen un riesgo o si el riesgo es alto” Las Directrices WP248 del GT29, sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento «entraña probablemente un alto riesgo» a efectos del RGPD, adoptadas el 4 de abril de 2017 y revisadas por última vez y adoptadas el 4 de octubre de 2017, definen los conceptos de “riesgo” y de “gestión del riesgo”. Un «riesgo» es un escenario que describe un acontecimiento y sus consecuencias estimado en términos de gravedad y probabilidad. Por otra parte, la «gestión de riesgos» puede definirse como las actividades coordinadas para dirigir y controlar una organización respecto al riesgo. Tal y como recoge la guía de esta AEPD sobre “Gestión del riesgo y evaluación de impacto en tratamientos de datos personales”, “F de reacción ante la brecha, el responsable tendrá que abordar, dentro del ciclo de gestión del riesgo, todas aquellas medidas que fueran necesarias para prevenir que el incidente o la brecha pudieran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/62 volver a ocurrir. Esta tarea implicará la revisión de los controles que estuvieran relacionados con la ocurrencia de la brecha, así como posible la implantación de nuevos controles que pudieran ser necesario” Lo que implicará, por lo que aquí interesa, la aplicación de aqu

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.