PS-00133-2024

1/32  Expediente N.º: EXP202303565 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 6 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PILLOW HOTELS, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202303565 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 07/02/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra PILLOW HOTELS, S.L., con NIF B66964255 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: la reclamante manifiesta haber realizado una reserva en el alojamiento bilbaíno "Irala, by Pillow", a través de booking.com. Señala que unos días antes del viaje recibió un mensaje de WhatsApp en el que una persona que se identificaba como directora del hotel se dirigía a ella por su nombre y apellidos y le pedía la confirmación de la reserva, facilitándole un enlace fraudulento para que introdujera los datos de su tarjeta, cosa que no hizo. Dice que contactó con el hotel para confirmar el fraude y que le comunicaron que ya eran conocedores de otros caso similares. Se aportan capturas de pantalla de la conversación de WhatsApp en la que se produce la suplantación del alojamiento e intento de estafa. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 22/03/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/32 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 02/04/2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 04/04/2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. TERCERO: Con fecha 07/05/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Las presentes actuaciones de investigación se han enfocado en los puntos que a continuación se van a desarrollar. Punto 1: Respecto de la empresa investigada. La parte reclamada es una sociedad limitada de nacionalidad española. Según los datos obrantes en AXESOR para el ejercicio de 2022 se trata de una PYME, con 13 empleados y un volumen de ventas al inferior a un millón de euros. No se han encontrado en Sigrid expedientes anteriores al presente con relación a brechas de esta entidad. La entidad MD MANAGEMENT, S.L., actúa como la matriz del grupo al que pertenece la parte reclamada, tratándose de una empresa de un único empleado y un volumen de ventas de inferior a un millón de euros, según AXESOR para el ejercicio 2022. No se han encontrado tampoco en Sigrid expedientes anteriores al presente con relación a brechas de esta entidad. La entidad RAPINFORMES ON LINE, S.L., ha actuado como representante. Punto 2: Constatación de los hechos reclamados. Como punto de partida, se ha procedido a tratar de verificar los hechos reclamados y los detalles del incidente. Para ello se han hecho requerimientos a la parte reclamada, a la parte reclamante y al proveedor de la plataforma de reservas Booking.com. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/32 2.1. Cronología de los hechos. El orden cronológico de los sucesos, obtenido a partir de la información aportada, es el siguiente: - - La parte reclamante realizó una reserva el día 05/01/2023 en el alojamiento de la parte reclamada. La reserva fue realizada a través de la plataforma del proveedor externo Booking.com. La parte reclamante recibió un correo electrónico ese día, de Booking.com, con la confirmación de su reserva y los datos básicos. La reserva era para las fechas del 8 al 10/02/2023. Según manifiesta Booking.com, en relación con la cuenta de la parte reclamada en su plataforma, “el primer intento malicioso se produjo el 20/01/2023”. No se ha podido profundizar sobre el ataque concreto sufrido, aunque se indica que se trataría de phishing con el objeto de obtener las credenciales de acceso. Consultando el registro de brechas que dispone la División de Innovación Tecnológica de la AEPD, no se ha localizado ninguna notificación de brecha específica de Booking.com, si bien constan antecedentes en esas fechas de casos similares donde establecimientos hoteleros se han visto afectados por la vulneración de su cuenta en la plataforma debido a ataques de phishing. Adicionalmente, se ha consultado la información disponible en IMI (Sistema de Información del Mercado Interior). No se ha localizado ninguna entrada relativa a esta brecha, si bien consta una entrada previa de tipología similar, en las que España figura como autoridad de control interesada (entrada nº ***ENTRADA.1). - - - - La parte reclamada indica que el día 30/01/2023 solicitó a su departamento de informática que modificaran las contraseñas de los correos electrónicos. El 03/02/2023 se produjo el intento de fraude y suplantación del alojamiento, objeto de la reclamación presentada. En las capturas de pantalla aportadas por la parte reclamante se puede constatar el intento de estafa mediante la tipología descrita en la reclamación: una persona que manifiesta ser la directora del hotel solicita la confirmación de la reserva y envía un enlace a una pasarela de pago (***URL.1). El número desde el que se contactó a la parte reclamante fue el ***TELEFONO.1. Según manifiesta la parte reclamada, también se empleó el número ***TELEFONO.2 para estos fines. La parte reclamante contactó con el alojamiento el mismo día 3 de febrero. Manifiesta que llamó por teléfono y envió un correo electrónico alertando del incidente ocurrido. Se aporta copia de la conversación por correo. La parte reclamada respondió el 3 febrero, solicitando capturas de pantalla del presunto fraude, que a su vez fueron enviadas. La parte reclamante manifiesta que una vez llegó al alojamiento, que se puede deducir por lo expuesto anteriormente que sería el 08/02/2023, la persona que le atendió en la recepción le comunicó que “sabían que se había producido la filtración y estaban investigando el origen”. Según manifiesta Booking.com, en marzo de 2023 la cuenta del alojamiento en su plataforma se encontraba comprometida por motivos de seguridad. Posteriormente, la parte reclamante recibió el 07/03/2023 un correo electrónico de Booking.com en relación con su reserva. Se aporta copia del mismo. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/32 - este correo se indica que algunos clientes estaban recibiendo llamadas o correos sospechosos tratando de suplantarles tanto a ellos, Booking.com, como a los alojamientos que utilizan la plataforma. Se incluyen en el correo una serie de recomendaciones de seguridad para prevenir estafas, así como enlaces en caso de haber sido víctima de algún tipo de fraude de esta naturaleza. Tras solicitudes posteriores de información a la parte reclamada, se remitió información que indicaba que una segunda brecha e intento de fraude de similares características se había producido en agosto de 2023. Analizando la información remitida, dicha brecha se pudo producir el día 17 de agosto y, en base a las manifestaciones aportadas por la parte reclamada, ocurrió debido a la vulneración de las credenciales de acceso de su cuenta a la plataforma de Booking.com. Punto 3. Funcionamiento del sistema de reservas. Para poder profundizar sobre el incidente, se ha tratado de estudiar y comprender el funcionamiento de las reservas, desde que un cliente la realiza a través de la plataforma de Booking.com hasta que los datos llegan al hotel. Al haberse producido el incidente antes de haberse realizado la estancia, la filtración ha debido de ocurrir en alguno de los elementos que intervienen en la gestión de reservas. La parte reclamada manifiesta que cuando un cliente realiza una reserva reciben en el buzón de recepción un correo electrónico en el que figuran los datos del cliente, entre los que se encuentran su nombre, apellidos, datos de contacto (número de teléfono) y fechas de en las que se producirá la estancia. Aportan un correo de ejemplo. En dicho correo se observa que proviene de WuBook (***EMAIL.1). Se trata de una plataforma para la gestión de reservas, pudiendo actuar de intermediaria entre Booking.com y el alojamiento. En relación con WuBook, se ha aportado el contrato de suscripción a dicho servicio. Este contrato está suscrito entre MasterYield S.L. y la parte reclamante en modalidad de alquiler de soffware, formando parte del conjunto de servicios ofrecidos por el sistema de gestión hotelera MasterYield PMS. No ha sido posible profundizar sobre el uso que realiza la parte reclamada de esta plataforma, por la información disponible sobre este proveedor en Internet, el uso esperable es que fuera empleado para la gestión de las reservas integrándose con los datos registrados en Booking.com como portal externo para los clientes. No ha sido posible verificar qué medidas de seguridad existentes hay ni los periodos de conservación de la información alojada allí. Por parte de Booking.com, la información manifestada sobre el funcionamiento de las reservas es la siguiente: Una vez que un cliente ha realizado una reserva en su plataforma, se procesan sus datos por parte de Booking.com y del proveedor de alojamiento, así como potencialmente su proveedor de conectividad. Booking.com transfiere los datos más relevantes al alojamiento, pudiendo variar en función del tipo de reserva. Según se indica, comprenderían el nombre del cliente, datos de contacto, datos de pago, nombres de los acompañantes y preferencias que pudieran haber especificado al realizar la reserva. En determinados casos, se aporta información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/32 adicional relativa al histórico del cliente: si se ha alojado previamente en ese alojamiento, reservas completadas y cancelaciones, avisos de mala conducta y reseñas emitidas. No se concreta el canal de transferencia de esta información. En cualquier caso, por la información aportada por Booking.com, que se desarrollará posteriormente, esta información sería accesible desde su plataforma empleando la cuenta de usuario que dispone el alojamiento. No consta que el alojamiento disponga de una infraestructura propia donde se almacene la información, más allá del correo electrónico corporativo. Por las manifestaciones realizadas, la gestión de reservas es realizada mediante estas dos herramientas: la plataforma de Booking.com y el correo electrónico. Punto 4: Análisis de las brechas. 4.1. Origen de la primera brecha. No ha sido posible determinar el origen exacto de la brecha. La parte reclamada manifiesta desconocerlo. Según indican “se me ocurrió cambiar la clave del mail de recepción y dejó de pasar, así que habrá sido algún link fraudulento que algún recepcionista abrió”, por lo que podría tratarse de un caso de phishing. Se ha solicitado colaboración a Booking.com para tratar de esclarecer los hechos, a través de la filial que disponen en España. Booking.com B.V., empresa matriz del grupo Booking.com está registrada y tiene su sede social en Holanda. Tal como se indica en la información legal de su portal, la gestión de la plataforma corresponde de manera exclusiva a esa entidad: “Booking.com B.V. (la empresa que está detrás de Booking.com™) está registrada y tiene su sede social en Ámsterdam, Países Bajos, desde donde ofrece un servicio de reservas de alojamiento online a través de su sitio web (…) Las empresas filiales no ofrecen el Servicio y no poseen, operan o administran el Sitio web ni ningún otro sitio web”. Manifiestan que ninguno de sus sistemas se ha visto comprometido y trasladan la responsabilidad de los incidentes a los alojamientos, indicando que son con frecuencia víctimas de ataques de phishing. Como resultado de estos ataques, se produce un acceso no autorizado a la cuenta del alojamiento en la plataforma de Booking.com, desde donde se puede consultar la información de los clientes que tienen allí reservas. Booking.com indica en su respuesta que es una práctica frecuente que los alojamientos se vean vulnerados por ataques de tipo phishing, consiguiendo los atacantes sus credenciales y disponiendo de la capacidad para poder actuar en su nombre. Mencionan que tienen constancia de diferentes métodos que emplean los atacantes: “los atacantes envían un "enlace de phishing" con la solicitud de hacer clic en él. Booking.com tiene conocimiento de que algunos proveedores de alojamiento hicieron clic en este enlace y descargaron un archivo malicioso que infectó su dispositivo con malware. Este malware permitió a los atacantes acceder al ordenador del proveedor de alojamiento”. Una vez obtenidas las credenciales de su plataforma, los atacantes tendrían acceso a los datos de los clientes y podrían contactarles por otros canales, como sería WhatsApp. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/32 Manifiestan que desconocen el volumen exacto de personas afectadas, al ser incidentes ajenos a ellos. Señalan que “hemos recibido informes de 11.244 reservas afectadas en España durante este año 2023”. No ha sido posible profundizar sobre la tipología de incidentes a los que se refieren, si es particular para este alojamiento investigado o de forma general para todos los alojamientos de España que hacen uso de su plataforma. En relación con este caso concreto, Booking.com, como se ha señalado en la cronología, manifiesta que el primer incidente de seguridad con la cuenta de la parte reclamada tuvo lugar el 20/01/2023. No se aportan más detalles al respecto sobre qué tipo de incidente fue. Manifiestan que “se confirmó que la cuenta del alojamiento estaba comprometida en marzo de 2023”, pero no se ha ampliado tampoco la información sobre este aspecto. El incidente reclamado tuvo lugar entre estos dos hechos, por lo que se puede presuponer que hubo una relación directa y el origen de la brecha pudo ser una vulneración y acceso indebido a la cuenta del alojamiento o a su correo electrónico corporativo, teniendo en cuenta que además el cambio de contraseña de, al menos el correo electrónico, solventó el incidente, según manifiesta la parte reclamada. 4.2. Origen de la segunda brecha. Como se ha indicado, se produjo una segunda brecha de características similares en el mes de agosto de 2023. No es posible determinar el origen de la misma, pero en este caso por las manifestaciones aportadas se focalizaría en la cuenta corporativa del alojamiento en la plataforma de Booking.com. La contraseña a esta plataforma se vería comprometida y presumiblemente fue explotada para obtener la información de los clientes. La parte reclamada manifiesta lo siguiente a este respecto: “cambiamos varias veces la contraseña de Booking, la mayoría de las cuales el propio Booking nos echaba de la web y nos pedía establecer de nuevo una contraseña, no sé si por el propio Booking o porque el hacker quería retomar el control. Estuvimos así varias horas, y no fueron menos de 7 u 8 veces las que cambié la contraseña” La parte reclamada traslada la responsabilidad de esta segunda brecha a Booking.com. Aportan una comunicación de Booking.com en la que esta entidad manifiesta que ha ocurrido una brecha de seguridad relativa a la cuenta del alojamiento en su plataforma (Extranet): “we have followed up on your report of suspicious activity on your Extranet Account, we regret to inform you that our Security team has confirmed a breach has occurred”. Por el contenido del mensaje no se puede determinar el origen de esta brecha, si realmente se debe a un incidente de Booking.com como manifiesta el alojamiento o no. 4.3. Volumen de personas afectadas. La parte reclamada ha manifestado que un total de 24 personas pudieron resultar afectadas por la primera brecha, objeto inicial de esta investigación. Aportan un documento Excel con los clientes que tenían reserva en esas fechas, entre los que se encuentra la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/32 Respecto al segundo incidente, ocurrido en agosto de 2023, la parte reclamada no ha facilitado la cifra de clientes afectados por la brecha. Por la información aportada se trataría de varias decenas: “todas las rsvas (decenas por no decir más)” 4.4. Tipología de los datos afectados. Los datos afectados han sido, como mínimo, nombre, apellidos, datos de contacto (teléfono, correo electrónico) y fechas de la reserva. Al no haberse podido determinar el punto en el que se ha producido la brecha, no es posible concretar esta información. La parte reclamante manifiesta los siguientes: “Nombre y apellidos, fecha de la estancia, tipo de habitación, importe, etc.”. Partiendo de la hipótesis de que la cuenta del alojamiento en la plataforma de Booking.com se hubiera visto vulnerada, tal como se ha analizado previamente, los datos afectados podrían haber sido mayores. Según indica Booking.com, en caso de haberse visto afectada esta cuenta, los potenciales atacantes podrían tener acceso a: - Nombre y apellido. - Número de teléfono. - Alias de dirección de correo electrónico. - Número de reserva. - Primera y última fecha de reserva. Según el Registro de Actividades de Tratamiento facilitado, relativo al tratamiento que atañe a los clientes, el total de los datos implicados serían: - DNI o NIF - Nombre y apellidos - Dirección postal o electrónica - Teléfono - Firma manual - Características personales - Circunstancias sociales - Información comercial - Económicos, financieros y de seguro - Transacciones de bienes y servicios Punto 5: Comunicación informativa del incidente. Tras las averiguaciones realizadas, se ha tratado de confirmar las comunicaciones realizadas por la parte reclamante informando sobre la brecha ocurrida, tanto a los clientes afectados como el motivo de no haber informado a esta Agencia. No es posible acreditar que se haya realizado ninguna comunicación proactiva a los clientes afectados por el incidente de enero/febrero de 2023, entre los que se encontraba la parte reclamante. Manifiestan que a los clientes que les llamaron por esta cuestión fueron avisados. Según se indica en el documento de registro de incidentes de seguridad aportado, se determinó que no era necesario notificar ni a la Autoridad de Control ni a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/32 los interesados: “Es improbable que la brecha de seguridad constituya un riesgo para los derechos y las libertades de las personas físicas, por lo que conforme a los artículos 33.1 y 34.1 del RGPD no es obligatorio notificarla a la autoridad de control ni comunicarla a los interesados”. Para el incidente de agosto de 2023 la parte reclamada sí manifiesta que contactaron con los clientes. Se aporta captura de pantalla de uno de los mensajes enviados, el 17/08/23 a través de la mensajería de Booking.com, en los que la parte reclamada informaba del incidente y alertaba de la práctica fraudulenta. En dicho mensaje se comenta por parte del alojamiento: “our account has been hacked”. No se puede constatar que se informase a todos los potenciales afectados ni que se realizase la comunicación en tiempo. No consta en la página web del hotel ninguna publicación de carácter general alertando de estos incidentes, en caso de haberse realizado la comunicación por ese medio. Con respecto a la comunicación de estas brechas a esta Agencia, no consta ninguna notificación al respecto. Punto 6: Medidas de seguridad implantadas. 6.1. Medidas previas a la brecha. En el marco del traslado se ha aportado la siguiente documentación, enfocada desde el punto de vista del normativo: - Registro de Actividades de Tratamiento. - Registro de violaciones de seguridad. - Análisis de riesgos. - Medidas técnicas y organizativas. - Informe de cumplimiento normativo. Esta documentación contiene los logos de la empresa matriz, MD MANAGEMENT, S.L y la representante, RAPINFORMES ON LINE, S.L., no figurando la parte reclamada (PILLOW HOTELS, S.L.) El nombre fiscal del responsable según se indica es: MD MANAGEMENT 2010 S.L. Las medidas previas, según manifiesta la parte reclamada en el documento de registro de violaciones de seguridad, eran las siguientes: - Políticas de protección de datos y seguridad. - Actualización de sistemas. - Actualización de software. - Actualización de equipos. - Registro de brechas de seguridad. - Auditorías periódicas. - Sistema de copias de seguridad. No se aporta acreditación documental de las mismas ni mayor concreción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/32 En el análisis de riesgos se trata el correo electrónico corporativo. Se indica que no existe un control ni registro de accesos no autorizado a la aplicación y se estima un riesgo bajo. No se hace mención a la gestión de la cuenta en la plataforma de Booking.com en este análisis. No se considera que existan riesgos de phishing. Las medidas propuestas, tal como se detalla en la documentación aportada, se encuentran orientadas al correo electrónico y se enfocan en comprobar que se envían cifrados los mensajes. Se indica que existen sistemas antiphishing. 6.1.1. Formación a los empleados. Se han solicitado las acciones de formación, previas a la brecha, en materia de ciberseguridad y protección de datos. Se han aportado certificados de diciembre de 2022 por la realización de un curso denominado “Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales”, para un total de 5 personas que la parte reclamada manifiesta que son trabajadores suyos. Se complementa esta información una presentación de una formación en protección de datos elaborada por RAPINFORMES ON LINE, S.L. Respecto a los empleados, se aporta el registro de la Seguridad Social donde se les vincula a la empresa. En dicho registro figura otra relación de trabajadores, coincidiendo 4 de estas 5 personas, mientras que figuran algunas otras para las que no se ha aportado certificado de formación. Dicho registro figura como razón social VA OPCO SOCIEDAD LIMITADA. Se señala que, según AXESOR, su plantilla en 2022 fue de 13 trabajadores. No se ha aportado información del puesto de trabajo que ocupan estas personas, en particular si son las que atienden de forma exclusiva el buzón de correo y la cuenta de la plataforma de Booking.com. 6.2. Medidas adoptadas con posterioridad. Las medidas para subsanar la primera brecha, según manifiesta la parte reclamada en el registro de violaciones de seguridad aportado, fueron las siguientes: - Políticas de protección de datos y seguridad. - Actualización de sistemas. - Actualización de software. - Actualización de equipos. - Auditorías periódicas. - Sistema de copias de seguridad. - Actualización del registro de brechas de seguridad con los detalles relativos a esta brecha de datos personales. No se ha aportado acreditación sobre su efectiva realización. Se destaca que, a excepción de la actualización del registro de brechas, el resto de las medidas también constaban como medidas de seguridad previas. Respecto al registro de violaciones de seguridad: Cuenta con un único registro, relativo a la brecha objeto de la reclamación. Se indica como fecha de la brecha y de detección el 20/04/2023 (en esta fecha se dio respuesta al traslado). Como datos afectados únicamente figura el número de teléfono y no consta número de interesados. Se indica en la descripción del incidente “…dice que contactó con el hotel C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/32 para confirmar el fraude y que le comunicaron que ya eran conocedores de otros caso similares.” Según se indica en este registro, la brecha se dio por resuelta el 21/07/2023. Complementariamente a la información aportada en el mencionado documento, según las manifestaciones realizadas se tomaron más medidas con posterioridad de carácter operativo, principalmente el cambio de credenciales. Para la primera brecha, la parte reclamada manifiesta que el 30/01/2023 su departamento de informática modificó las contraseñas de los correos electrónicos y, tras haber cambiado la clave de acceso al correo de recepción, el incidente quedó solventado. Respecto al motivo de este cambio, manifiestan: “Accedieron al mail de la empresa y se procedió al cambió la contraseña”, sin aportar más detalle. Cabe destacar que el intento de fraude a la parte reclamante se produjo después, el 03/02/2023, y fue en esta fecha cuando se puso en contacto con el alojamiento. No se confirma si se modificó la contraseña de su cuenta para la plataforma de Booking.com en este primer caso. Manifiestan que avisaron a su gestoría, a Booking.com, a su departamento comercial e intentaron poner denuncia en la Ertzaintza. No se aporta documentación al respecto. Con relación al segundo incidente informado, las acciones tomadas han sido similares. La parte reclamada manifiesta que se modificó la contraseña de la plataforma de Booking.com en repetidas ocasiones: “cambiamos varias veces la contraseña de Booking, (…) Estuvimos así varias horas, y no fueron menos de 7 u 8 veces las que cambié la contraseña”. Adicionalmente, manifiestan para este segundo incidente haber realizado un análisis de sus equipos informáticos y correo electrónico, sin que se detectase ningún malware. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/32 disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Primera obligación incumplida: infracción del artículo 5.1.

1. f)del RGPD De conformidad con lo establecido en el artículo 4.1 del RGPD, consta la realización de tratamiento de datos personales, toda vez que la parte reclamada realiza, entre otros, la recogida y conservación de datos personales, preferentemente de clientes suyos. La entidad realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y los medios relacionados con el tratamiento de los datos de carácter personal, en virtud del artículo 4.7 del RGPD. Además, el responsable del tratamiento se debe encargar también de aplicar las medidas técnicas y organizativas que garanticen la seguridad de los datos personales al llevar a cabo el tratamiento. Y ser capaz de demostrar el cumplimiento RGPD y de la LOPDGDD. En el presente caso los hechos se materializan en el acceso a los datos de carácter personal por terceros, como consecuencia de brecha de seguridad derivado de la realización de una reserva por la parte reclamante en establecimiento de la parte reclamada, lo que podría suponer la vulneración de la normativa en materia de protección de datos. El artículo 5.1.
2. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” (…)” La documentación obrante en el expediente ofrece indicios evidentes de que la entidad, podría haber vulnerado el artículo 5.1.
4. f)del RGPD, principios relativos al tratamiento, al no garantizar debidamente la confidencialidad de los datos de carácter personal como consecuencia de la quiebra de seguridad producida. Este deber de confidencialidad, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de datos no consentidas por los titulares de los mismos. Consta que la parte reclamante recibió el 03/02/2023, a través de la red social WhatsApp, un mensaje supuestamente del alojamiento donde había realizado una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/32 reserva para ser disfrutada entre 8 al 10/02/2023; en el citado mensaje una persona que manifiesta ser la directora del alojamiento le solicita la confirmación de la reserva y envía un enlace a una pasarela de pago: ***URL.1, en el que se le piden datos bancarios, negándose a aportarlos. En el mensaje figura identificada la parte reclamante a través de: nombre y apellidos y número de teléfono. En el mensaje de WhatsApp recibido figura lo siguiente: ***TELEFONO.1 Hola, parte reclamante Me llamo B.B.B. Reservaste nuestros pisos en Booking.com Soy el Director de parte reclamada Estamos deseando conocerte Pero debes saber que tengo que finalizar tu reserva Por favor, hágame saber si su reserva esta actualizada para que pueda confirmarla Parte reclamada B.B.B. Confirmada la reserva por la parte reclamante, recibe un segundo mensaje: ***TELEFONO.1 De acuerdo, Por favor, siga este enlace web para confirmar su reserva ***URL.2 Tu pago se procesará según los términos de tu acuerdo con Booking.com Tienes una opción de cancelación gratuita. Asi que no te preocupes por la cancelación. Gracias por tu comprensión La parte reclamante remitió correo electrónico a la parte reclamada comunicando el incidente: “He recibido un mensaje de WhatsApp haciéndose pasar por ustedes (adjunto capturas de pantalla). Conocían mi nombre completo y mi teléfono, lo que indica que ustedes tienen una brecha de seguridad. Les ruego que, por una parte, denuncien a quien les suplanta la identidad y, de forma más importante, se aseguren de que tratan los datos de sus clientes de manera segura. Por favor manténganme informada de sus acciones al respecto”. Aunque se desconoce cuál ha podido ser el origen de la brecha, la parte reclamada reconoce que el origen que motivó el mensaje dirigido a la parte reclamante pudo estar ocasionado por una actuación negligente por su parte “se me ocurrió cambiar la clave del mail de recepción y dejó de pasar, así que habrá sido algún link fraudulento que algún recepcionista abrió”, ocasionando una vulneración de sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/32 cuentas “Accedieron al mail de la empresa” y la plataforma Booking.com ha señalado que en marzo de 2023 la cuenta del alojamiento se encontraba comprometida por motivos de seguridad. Asimismo, según la parte reclamante la recepción del alojamiento le comunicó que “sabían que se había producido la filtración y estaban investigando el origen”. El número de personas afectadas por esta primera brecha asciende a un total de 24 personas, aportándose documento conteniendo el listado de clientes afectados que tenían reserva en esas fechas, entre los que se encuentra la parte reclamante. Posteriormente, en el mes de agosto de 2023, se produce una segunda brecha de seguridad de características similares, de la cual tampoco ha sido posible determinar su origen. En este incidente de seguridad aunque no se ha facilitado el número de clientes afectados, por la información aportada se desprende que se trataría de un número bastante elevado, “todas las rsvas (decenas por no decir más)”. Por otra parte, en cuanto a los datos afectados lo estarían como mínimo: nombre, apellidos y datos de contacto (teléfono, correo electrónico). A la luz de lo que antecede y sin perjuicio del resultado de la instrucción del presente procedimiento, se considera que la parte reclamada podría haber vulnerado el principio de confidencialidad de los datos, consagrado en el artículo 5.1.
5. f)del RGPD, infracción tipificada en el artículo 83.5.
6. a)del RGPD. III Tipificación por la infracción del artículo 5.1.
7. f)del RGPD De conformidad con las evidencias de las que se dispone y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada no garantizó debidamente la confidencialidad e integridad de los datos de carácter personal. La infracción que se le atribuye a la entidad se encuentra tipificada en el artículo 83.5
8. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/32 supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV Propuesta de sanción por la infracción del artículo 5.1.
10. f)del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
11. a)a
12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
14. b)la intencionalidad o negligencia en la infracción;
15. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
16. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
19. g)las categorías de los datos de carácter personal afectados por la infracción;
20. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/32
23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
24. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
25. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
26. a)El carácter continuado de la infracción.
27. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
29. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
30. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
31. f)La afectación a los derechos de los menores.
32. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
33. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción del artículo 5.1.
34. f)del RGPD, tipificada en el artículo 83.5.
35. a)del RGPD de la que se responsabiliza a la parte reclamada, en una valoración inicial, se estiman concurrentes los siguientes factores: La naturaleza, gravedad y duración de la infracción; los hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de la confidencialidad e integridad de los mismos, que la norma sanciona con la mayor gravedad; en el presente caso se ha posibilitado, como consecuencia del incidente de seguridad, el acceso a los datos de carácter personal de la parte reclamante por la parte reclamada, que no estaba autorizado con los perjuicios que ello puede conllevar. La intencionalidad o negligencia en la infracción. Se observa grave falta de diligencia en el cumplimiento de las obligaciones que le impone la normativa de protección de datos, permitiendo que ciber-delincuentes accedieran a los datos de carácter personal vulnerando la confidencialidad e integridad hasta en dos ocasiones con motivo de las brechas acreditadas; en este sentido puede citarse la SAN de 17/10/2007, que si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...).el Tribunal Supremo viene entendiendo que existe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/32 imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
36. b)del RGPD). La actividad de la entidad presuntamente infractora se encuentra vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado su objeto de negocio la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
37. b)de la LOPDGDD en relación con el artículo 83.2.k). El volumen de negocio de la parte reclamada; se trata de una pequeña empresa con una cifra de negocio en el ejercicio 2.022 de 844.498 € (artículo 83.2,
38. k)del RGPD). A efectos de decidir sobre la imposición de la multa y su cuantía, de conformidad con las evidencias de que se dispone y sin perjuicio de lo que resulte de la instrucción del procedimiento, teniendo en cuenta los criterios del artículo 83.2 del RGPD con respecto a la infracción cometida, vulneración del artículo 5.1.
39. f)del RGPD, se considera fijar una sanción de 3.000 euros. V Segunda obligación incumplida: infracción del artículo 32.1 del RGPD El artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
40. a)la seudonimización y el cifrado de datos personales;
41. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
42. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
43. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/32 personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. La documentación obrante en el expediente evidencia la vulneración del artículo 32.1 del RGPD, como consecuencia de la falta de medidas técnicas y organizativas apropiadas a fin de garantizar un nivel de seguridad adecuado al riesgo del tratamiento. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad al riesgo se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/32 “