PS-00145-2023

1/88  Expediente N.º: EXP202205206 - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes índice ANTECEDENTES..........................................................................................................3 PRIMERO.................................................................................................................. 3 SEGUNDO.................................................................................................................4 TERCERO.................................................................................................................. 4 CUARTO.................................................................................................................... 4 QUINTO..................................................................................................................... 4 SEXTO....................................................................................................................... 4 SÉPTIMO...................................................................................................................5 OCTAVO.....................................................................................................................5 Marco normativo.....................................................................................................5 Arquitectura de sistemas y base de datos. Aplicación GEA....................................7 Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final.....10 Respecto de las causas que hicieron posible la brecha........................................13 Respecto de los datos afectados..........................................................................16 Respecto del contrato de encargado del tratamiento............................................18 Respecto de las medidas de seguridad................................................................18 Respecto de la comunicación a los afectados......................................................25 Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo......................................................................................26 NOVENO.................................................................................................................. 26 DÉCIMO................................................................................................................... 26 DÉCIMO PRIMERO.................................................................................................27 DÉCIMO SEGUNDO................................................................................................29 DÉCIMO TERCERO.................................................................................................29 DÉCIMO CUARTO...................................................................................................30 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/88 HECHOS PROBADOS................................................................................................30 PRIMERO: Primera notificación de brecha de datos personales..............................30 SEGUNDO: Segunda notificación de brecha de datos personales..........................30 TERCERO: Cronología del ataque...........................................................................31 CUARTO: Sobre la aplicación GEA..........................................................................33 QUINTO: Causas que hicieron posible la brecha.....................................................34 SEXTO: Medidas recomendadas.............................................................................36 SÉPTIMO: medidas inmediatas tras la brecha.........................................................37 OCTAVO: medidas de seguridad implantadas con anterioridad al incidente............38 NOVENO: Análisis de riesgos del tratamiento afectado por la brecha de datos personales................................................................................................................ 39 DÉCIMO: Número de personas afectadas y tipo de datos afectados.......................39 DÉCIMO PRIMERO: Comunicación a los afectados................................................40 FUNDAMENTOS DE DERECHO.................................................................................40 Competencia............................................................................................................ 40 Cuestiones previas...................................................................................................40 Sobre la solicitud de acumulación y la suspensión del plazo para formular alegaciones.............................................................................................................. 41 Respuesta a las alegaciones al Acuerdo de Inicio....................................................43 PRIMERA: SOBRE LA ACUMULACIÓN DE LOS PROCEDIMIENTOS................43 SEGUNDA. – SOBRE LAS ESPECIALES CIRCUNSTANCIAS ACAECIDAS EN RELACIÓN CON LA TRAMITACIÓN DEL PRESENTE EXPEDIENTE Y LA VULNERACIÓN DE LOS PRINCIPIOS DE BUENA FE, CONFIANZA LEGÍTIMA Y SEGURIDAD JURÍDICA.......................................................................................44 TERCERA.- SOBRE LA AFECTACIÓN ADICIONAL A LOS PRINCIPIOS DEL DERECHO SANCIONADOR DERIVADOS DE LA INTERPRETACIÓN EFECTUADA POR LA AEPD................................................................................49 CUARTA.- SOBRE LA PRETENDIDA VULNERACIÓN POR I-DE DEL ARTÍCULO 32 DEL RGPD.......................................................................................................57 QUINTA. – SOBRE LA PRETENDIDA VULNERACIÓN DEL ART. 5.1.F) DEL RGPD................................................................................................................... 63 Respuesta a las alegaciones a la Propuesta de Resolución....................................68 SEGUNDA: Acerca de los actos previos de la AEPD y la vulneración de los principios de buena fe, confianza legítima y seguridad jurídica............................69 TERCERA: Sobre los argumentos sostenidos por la Propuesta de Resolución para considerar que no concurre bis in ídem........................................................74 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/88 CUARTA: Sobre la aplicación de los principios del derecho sancionador a la actividad de la AEPD y la concurrencia de un concurso medial............................77 QUINTA: Sobre la inexistencia de vulneración por I-DE del artículo 32 del RGPD ............................................................................................................................. 82 SEXTA: Sobre la inexistencia de vulneración del principio de confidencialidad e integridad.............................................................................................................. 92 SÉPTIMA: Sobre la vulneración del principio de proporcionalidad en detrimento de los derechos de I-DE............................................................................................96 Integridad y confidencialidad..................................................................................102 Tipificación de la infracción del artículo 5.1.

1. f)del RGPD........................................103 Sanción por la infracción del artículo 5.1.
2. f)del RGPD............................................104 Artículo 32 del RGPD.............................................................................................105 Tipificación de la infracción del artículo 32 del RGPD.............................................110 Sanción por la infracción del artículo 32 del RGPD................................................111 ANTECEDENTES PRIMERO: Con fecha 18 de marzo de 2022 se notificó a la División de Innovación Tecnológica de esta Agencia Española de Protección de Datos (en adelante AEPD o la Agencia) una brecha de seguridad de los datos personales remitido por I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U. con NIF A95075578 (en adelante, I-DE) como responsable del tratamiento, en la que informa a esta Agencia de lo siguiente: El 15 de marzo de 2022 por la tarde, se detecta un ataque contra la web de gestión de acometidas (GEA) de I-DE. (…). En este momento aún no se identifica afección a datos personales. Al día siguiente, 16 de marzo, se detecta un ataque de fuerza bruta dirigido contra el mismo objetivo (GEA) que el incidente del día anterior. Se repele adoptando medidas. El 17 de marzo se reabre GEA se analiza el registro de actividad y se concluye que ha habido extracción de datos personales. Se indica que el número de afectados es de 4,5 millones de clientes de esta sociedad. SEGUNDO: Con fecha 29 de marzo de 2022, I-DE presenta nueva notificación ampliando la información sobre la brecha de seguridad notificada el 18 del mismo mes, en el que indica que, tras el análisis forense del incidente, el número de sus clientes cuyos datos han sido afectados son 1,35 millones y que también es probable la existencia de datos afectados de clientes de otras sociedades del grupo Iberdrola, ya que el atacante, potencialmente podría haber superado las condiciones de seguridad de la información exclusiva de I-DE, saltando a rangos de información de otras sociedades, lo cual ya ha sido transmitido a la dirección de Sistemas de la Compañía para un análisis detallado de otras afecciones en otras sociedades o negocios del grupo Iberdrola. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/88 Asimismo, indican que la fecha exacta de inicio de la brecha es el 7 de marzo de 2022 e informan de que todavía no se ha comunicado la brecha a las personas afectadas y que, a más tardar, serán informadas el 31 de marzo de 2022. Junto a la notificación se aporta: - Informe “Incidente ciber GEA. Descripción incidente y acciones”, en el que describe el ataque sufrido y que incluye, además, el texto de la comunicación que se va a remitir a los afectados. TERCERO: con fecha 29 de marzo de 2022, CURENERGIA COMERCIALIZADOR DE ULTIMO RECURSO SA, con N.I.F. A95554630 (en adelante CURENERGÍA) presenta notificación de brecha de seguridad, en la que indica que ha tenido constancia el 28 de marzo de 2022 de que ha sido afectada por la brecha de seguridad sufrida por I-DE, indicando la vulneración de la confidencialidad de los datos personales de 1.550.000 de sus clientes, a los cuales aún no ha informado pero que lo hará a más tardar el 31/03/2022. CUARTO: con fecha con fecha 28 de marzo de 2022, IBERDROLA CLIENTES, S.A., con N.I.F. A95758389 (en adelante IBERCLI) presenta notificación de brecha de seguridad, en la que indica que ha tenido constancia el 28 de marzo de 2022 de que ha sido afectada por la brecha de seguridad sufrida por I-DE, indicando la vulneración de la confidencialidad de los datos personales de 85.000 de sus clientes, a los cuales aún no ha informado pero que lo hará a más tardar el 31/03/2022. QUINTO: Desde el 2 de abril de 2022, se han presentado ante esta Agencia reclamaciones de clientes afectados por el incidente de seguridad, las cuales han sido progresivamente admitidas a trámite desde el 9 de mayo de 2022. SEXTO: Con fecha 6 de abril de 2022, IBERCLI presenta ampliación de la notificación de brecha en la que informa que las personas afectadas por la misma son 1.515.000 y que se les ha informado de la misma el 31 de marzo de 2022 mediante comunicación dirigida personalmente a cada afectado (postal, mail, sms o similar). Junto a la notificación se aporta: - Informe “Incidente ciberataque 28/03/2022. Descripción incidente y acciones” Anexo Comunicación a interesados SÉPTIMO: Con fecha 6 de abril de 2022, CURENERGÍA presenta ampliación de la notificación de brecha en la que informa que las personas afectadas por la misma son 92.550 y que se les ha informado de la misma el 31 de marzo de 2022 mediante comunicación dirigida personalmente a cada afectado (postal, mail, sms o similar). Junto a la notificación se aporta: C/ Jorge Juan, 6 28001 – Madrid Informe “Incidente ciberataque 28/03/2022. Descripción incidente y acciones” www.aepd.es sedeagpd.gob.es 5/88 - Anexo Comunicación a interesados OCTAVO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Durante las presentes actuaciones se han investigado las siguientes entidades: - I-DE REDES ELECTRICAS INTELIGENTES S.A. con NIF A95075578 (en adelante, I-DE) - IBERDROLA S.A. con NIF A48010615 con domicilio en C/ TOMAS REDONDO, 1 - 28033 MADRID (MADRID) (en adelante IBERDROLA) - IBERDROLA CLIENTES S.A.U. con NIF A95758389 (en adelante, IBERCLI) - CURENERGIA COMERCIALIZADOR DE ULTIMO RECURSO S.A. con NIF A95554630 (en adelante, CURENERGIA) Marco normativo - La normativa reguladora del sector eléctrico, Ley 54/1997, de 27 de noviembre, del Sector Eléctrico, impone una obligación de separación total entre las actividades reguladas, como es la de distribución, y las liberalizadas, como es la comercialización. - El derecho que tienen los consumidores de energía eléctrica al acceso y conexión a las redes de transporte y distribución de energía eléctrica en el territorio español se recoge específicamente en la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico. Las empresas distribuidoras y las empresas comercializadoras son dos entidades diferenciadas en el ámbito del Sector Eléctrico. En este sentido la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico las define como sujetos distintos. - Conforme a la regulación del sector eléctrico, el consumidor, para recibir energía eléctrica en su domicilio, necesita ser titular de dos contratos diferenciados con relación a su punto de suministro (CUPS):  C/ Jorge Juan, 6 28001 – Madrid Por una parte, el contrato de compra de energía, “contrato de suministro”, que se suscribe entre un consumidor y una empresa comercializadora de electricidad. www.aepd.es sedeagpd.gob.es 6/88  - Aunque también cabe la posibilidad de que el consumidor adquiera la electricidad directamente en el mercado, sin necesidad de comercializador, no es propio de los clientes personas físicas sino de empresas grandes consumidoras de electricidad, indican I-DE, IBERCLI y CURENERGÍA en su respuesta. Por otra, el contrato de acceso a la red o distribución o transporte, “contrato de ATR”, que el consumidor suscribe con la intermediación como mandatario de la empresa comercializadora con la que tiene contratada la compra de energía eléctrica. Aunque también se puede suscribir directamente con la empresa titular de la red, no es propio de los clientes personas físicas sino de empresas grandes consumidoras de electricidad, indican I-DE, IBERCLI y CURENERGÍA en su respuesta. Cuando un cliente desea contratar la electricidad en un punto de suministro o realizar cualquier modificación contractual, dicho cliente acude a una comercializadora, quien en nombre del cliente y como mandatario suyo contrata en su nombre el contrato de ATR, contrato de acceso a la red de distribución. Cualquier modificación contractual que solicita un comercializador a un distribuidor se realiza mediante solicitudes digitales XML cumpliendo los formatos de intercambio entre agentes establecidos por la Comisión Nacional de los Mercados y la Competencia (CNMC), en virtud de la Resolución de 20 de diciembre de 2016, por la que se aprueban los formatos de los ficheros de intercambio de información entre distribuidores y comercializadores de energía eléctrica y de gas natural, y Resolución de 17 de diciembre de 2019, por la que se aprueban nuevos formatos de los ficheros de intercambio de información entre distribuidores y comercializadores y se modifica la Resolución de 20 de diciembre de 2016. Teniendo en cuenta lo anterior: - I-DE, distribuidora de energía eléctrica del grupo Iberdrola, manifiesta que únicamente puede acceder a los datos de sus clientes, es decir, de los usuarios del servicio eléctrico cuyo punto de suministro se encuentra dentro de la red cuya gestión, como distribuidora, le corresponde y no a los gestionados por otras empresas distribuidoras. En relación con los usuarios de su red, conoce el dato de la comercializadora de cada consumidor como consecuencia de la firma con el mismo (o con la comercializadora como mandataria del consumidor) del contrato de ATR. - I-DE indica que no tendría capacidad para conocer ningún tipo de información relacionada con quienes siendo clientes de IBERCLI o de CURENERGIA, comercializadoras de energía eléctrica del grupo Iberdrola en el mercado libre y mercado regulado, respectivamente, no lo fueran de esta distribuidora. Arquitectura de sistemas y base de datos. Aplicación GEA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/88 (…) IBERDROLA indica que la auditoría de verificación de la separación lógica de los accesos a la información por parte de I-DE trae su causa en lo establecido en la normativa reguladora del sector eléctrico, que impone una obligación de separación total entre las actividades reguladas, como la de distribución y las liberalizadas, como es la comercialización, de forma que las empresas distribuidoras deberán acreditar la citada separación. I-DE traslada que, anualmente, emite un informe que se presenta ante el Ministerio para la Transición Ecológica y el Reto Demográfico (MITERD) y la Comisión Nacional de los Mercados y la Competencia (CNMC) para dar cuenta del cumplimiento de las obligaciones en materia de separación de actividades por parte de las sociedad del grupo formado por Iberdrola España y las sociedades participadas por esta con actividades reguladas, esto es, la sociedad I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U., artículo 12.2
3. b)de la Ley del Sector Eléctrico y artículo 14 del Código de separación de Actividades de las Sociedades del Grupo Iberdrola España con Actividades Reguladas (“CSA”) disponible en la página web de Iberdrola España, durante el ejercicio. (…) Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. I-D manifiesta lo siguiente: - El 15 de marzo, por la tarde, se detectó un ataque contra la web de gestión de acometidas de I-DE, (GEA), siendo la secuencia de los hechos la siguiente:  - El 16 de marzo de 2022, por la mañana, se produce una ralentización general del acceso a varias webs del grupo Iberdrola.  - (…) (…) A partir del día 17 de marzo de 2022:      C/ Jorge Juan, 6 28001 – Madrid (…) A partir del día 17 no se observa tráfico sospechoso ni afectación en ninguno de los sistemas de servicios en internet del grupo Iberdrola. Del análisis del registro de actividad de la aplicación GEA de los últimos días se concluye con fecha 17 de marzo que se ha producido una exfiltración, entre los días 7 y 15 de marzo de 2022, de aproximadamente 4,5 millones de interesados (personas físicas). (…) En fecha 28 de marzo de 2022, la Dirección de Sistemas comunica a IBERCLI y CURENERGIA la existencia de un incidente de seguridad en www.aepd.es sedeagpd.gob.es 8/88  - Asimismo, I-DE manifiesta y acredita que desde que tuvo conocimiento del incidente se pusieron en práctica las acciones necesarias para, en coordinación con las organizaciones afectadas, dar cumplimiento a los protocolos internos establecidos a tal efecto y la legislación aplicable, y que incluyen las siguientes acciones:      - los sistemas de I-DE que ha podido afectar a la información referida a los clientes de estas compañías y les incluye información referida a los códigos internos de cliente de los afectados, a fin de que las compañías verifiquen si han podido verse comprometidos datos correspondientes a sus clientes. Analizada la información por IBERCLI y CURENERGIA verifican que la brecha de seguridad ha afectado a datos personales de clientes de dichas sociedades. (…) Comunicación al INCIBE-CERT, Instituto Nacional de Ciberseguridad en España, como equipo de respuesta a incidentes de seguridad informática de referencia Iberdrola. Comunicación a la Oficina de Coordinación Cibernética, en virtud del RDL 12/2018 de seguridad de las redes y sistemas de información que remite el incidente de ciberseguridad a la Policía Nacional para investigación, Comunicación al Centro Nacional de Protección de Infraestructuras Críticas en virtud de la Ley 08/2011 de protección de Infraestructuras Críticas. Presentación de una denuncia ante la Policía Nacional (Unidad Central de Ciberdelincuencia) y el documento presentado por I-DE junto con la misma. Notificación de la brecha de seguridad a la AEPD y a los afectados. En resumen, los sistemas de monitorización permitieron la detección de un volumen anómalo de tráfico, se puso en marcha una actividad de análisis de mayor detalle y las medidas inmediatas que se adoptaron fueron:  (…) -IBERCLI y CURENERGIA manifiestan que la cesación del incidente se produjo incluso con anterioridad a que tuvieran conocimiento de que aquel había afectado a datos personales referidos a sus clientes, siendo consecuencia dicho cese de las medidas adicionales de seguridad implementadas por la Dirección de Sistemas en el aplicativo GEA, tendentes a impedir que, a partir de un acceso al mismo pudiera exfiltrarse mediante la introducción de un código aleatorio información de la Base de Datos referida a clientes de otras entidades del Grupo. Respecto de las causas que hicieron posible la brecha - (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/88 Respecto de los datos afectados - Los datos de los clientes exfiltrados (…):          - Nombre Apellidos E-mail Fax Teléfono Dirección NIF/DNI Código Cliente (…). (…) En fecha 28 de marzo de 2022, la Dirección de Sistemas comunica a IBERCLI y CURENERGIA la existencia de un incidente de seguridad en los sistemas de I-DE que ha podido afectar a la información referida a los clientes de estas compañías y les incluye información referida a los códigos internos de cliente de los afectados, a fin de que las compañías verifiquen si han podido verse comprometidos datos correspondientes a sus clientes. IBERCLI y CURENERGÍA verifican que la brecha de seguridad ha afectado a datos personales de 1.515.000 y 92.550 clientes, respectivamente. Respecto del contrato de encargado del tratamiento - Se aporta el Acuerdo Marco de Protección de Datos Personales del Grupo Iberdrola en el que se detalla el alcance de la prestación de servicios a las empresas del Grupo llevada a cabo por IBERDROLA. Este acuerdo ha sido actualizado en su Anexo II, estando dicha actualización pendiente de formalización. Asimismo, se aporta la Declaración de Aceptación de Iberdrola España S.A.U. de su adhesión al Acuerdo Marco de Protección de Datos Personales del Grupo Iberdrola, actuando la citada entidad, conforme a lo indicado en la cláusula segunda, en su propio nombre y derecho y en representación de las sociedades pertenecientes a su grupo societario sobre las que ostenta directa o indirectamente el control, entre las que se encuentran I-DE, IBERCLI y CURENERGIA. - IBERCLI y CURENERGIA aportan copia del registro de las actividades de tratamiento de datos personales correspondientes a los tratamientos afectados por la brecha:  - (…) IBERDROLA aporta copia de los registros de las actividades de tratamiento correspondientes a los tratamientos “Soporte y Mantenimiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/88 Infraestructuras IT” y “Desarrollo de aplicaciones (SWF)”, que lleva a cabo en su condición de encargada del tratamiento, respecto de diversos tratamientos de las sociedades del Grupo, entre los que se encuentran los afectados por la brecha de seguridad. Respecto de las medidas de seguridad Respecto del análisis de riesgos realizado sobre la actividad del tratamiento que ha sufrido la brecha de seguridad con anterioridad a que se produjera la brecha: - IBERDROLA manifiesta en escrito de respuesta, que el Grupo Iberdrola ha adoptado una metodología de análisis de riesgo de los tratamientos de datos personales que se encuentra implantada de forma automatizada en la propia herramienta corporativa de registro de actividades de tratamiento, de forma que en el propio proceso de registro se determina el nivel de riesgo del tratamiento. - En el caso de los tratamientos respecto de los que IBERDROLA actúa como encargado del tratamiento, señala que la metodología implica la realización del análisis de riesgos en relación con cada uno de los tratamientos respecto de los que IBERDROLA ostenta dicha condición, de forma que ese análisis se desarrolla por la propia entidad responsable del tratamiento en colaboración con IBERDROLA - Por este motivo, el resultado del análisis de riesgos relacionado con los específicos tratamientos ***TRATAMIENTO.1 y ***TRATAMIENTO.2 figura incorporado a los Registros de Actividades de Tratamiento de I-DE y a los de IBERCLI y CURENERGIA, habiendo sido comunicado sus resultados a IBERDROLA. (…) -Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido: I-DE, IBERCLI y CURENERGIA indican en sus respuestas que con anterioridad a la incidencia se encontraban implantadas las siguientes medidas de seguridad comunes a la infraestructura TI del Grupo Iberdrola: - (…) Asimismo, al igual que IBERDROLA, describen también las medidas de seguridad específicas del sistema GEA: - (…) Medidas adoptadas para evitar, en lo posible, incidentes como el sucedido - Con los datos obtenidos de la metodología del ciberataque, (…). Respecto de la comunicación a los afectados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/88 - I-DE comunica a la Dirección de Sistemas, en fecha 28 de marzo de 2022, que, de la información facilitada referida a los códigos de cliente de los afectados por la brecha, únicamente 1,34 millones de registros se corresponden con clientes de I-DE. Asimismo, determina que procederá a comunicar la brecha de seguridad a los afectados a través de los canales de comunicación que I-DE mantiene con los mismos. Las comunicaciones fueron remitidas a través de correo electrónico; a los clientes de los que disponía de la dirección de correo electrónico, mediante la realización de varios envíos entre los días 31 de marzo y 12 de abril de 2022; y por correo postal a los restantes entre los días 30 de marzo y 7 de abril de 2022. - En fecha 28 de marzo de 2022, la Dirección de Sistemas comunica a IBERCLI y CURENERGIA la existencia de un incidente de seguridad en los sistemas de I-DE que ha podido afectar a la información referida a los clientes de estas compañías y les incluye información referida a los códigos internos de cliente de los afectados, a fin de que las compañías verifiquen si han podido verse comprometidos datos correspondientes a sus clientes. IBERCLI y CURENERGÍA trasladan que analizada la información por sus respectivos equipos de sistemas verifican que la brecha de seguridad ha afectado a datos personales de 1.515.000 y 92.550 clientes, respectivamente. Asimismo, resuelven notificar la brecha de seguridad a los afectados. La notificación a los afectados se llevó a cabo, entre los días 31 de marzo y 1 de abril de 2022, a los clientes de los que se disponía de la dirección de correo electrónico, mediante el envío masivo de comunicaciones electrónicas; y por correo postal a los restantes los días 4 y 5 de abril de 2022. - Las tres empresas aportan el modelo de comunicación enviada a los afectados y se comprueba que se ajusta a lo especificado en el artículo 34 del RGPD. Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. IBERDROLA manifiesta que al margen del incidente de seguridad objeto del presente procedimiento no se ha producido ningún otro de naturaleza análoga al mismo. NOVENO: La entidad I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U. es una gran empresa constituida en el año 2000, y con un volumen de negocios, según AXESOR de ***CANTIDAD.1 euros en el año 2021 y de ***CANTIDAD.2 euros en el año 2022. DÉCIMO: Con fecha 5 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a I-DE, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
4. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/88 El citado Acuerdo de Inicio fue notificado conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). DÉCIMO PRIMERO: Con fecha 24 de mayo de 2023, I-DE presenta escrito por el que solicita la acumulación del presente expediente con el EXP202305587, así como la suspensión del plazo para la emisión de las alegaciones en tanto no se resuelva acerca de esta petición, indicando lo siguiente: Entiende I-DE que los hechos que sirven de base al ejercicio de la potestad sancionadora que trata de ejercer la Agencia son o tienen una base única que afecta a los dos expedientes sancionadores que han sido aperturados como diferenciados, por lo que solicita la acumulación de ambos procedimientos sancionadores al entender que existe una conectividad necesaria entre los mismos, esto es, que se trata una misma situación que puede redundar en la responsabilidad de ambos. Entiende por ello I-DE que los términos de dicha responsabilidad, total, parcial, en grado de autor, de colaborador o cualquiera otro que proceda de las referencias penales solo pueden apreciarse si se analiza el procedimiento en su conjunto. Sostiene I-DE que la falta de acumulación en el presente caso podría implicar una doble imputación a dos entidades de unos mismos hechos, que a mayor abundamiento pertenecen al mismo grupo empresarial, en concreto al grupo Iberdrola de los que IBERDROLA es la sociedad matriz. De no acumularse ambos expedientes, manifiesta I-DE que se impediría dilucidar cuál es el grado de responsabilidad de cada una de ellas, por cuanto los hechos se analizarían de forma separada y sin entrar a valorar la supuesta actuación simultánea, en términos de responsabilidad, de las dos entidades contra lo que ambos procedimientos se dirigen. De esta forma, podría estarse produciendo una doble imputación de los mismos hechos a ambas entidades sin valorar si la misma es o no compartida o si el reproche sancionador dirigido separadamente contra ambas no debería ser objeto de reducción como consecuencia de esa supuesta concurrencia de responsabilidad. Con ello, se limita, en los términos establecidos en la jurisprudencia constitucional que a continuación se reproduce, el derecho a la defensa de I-DE, al no poder analizar las circunstancias concurrentes en el caso de una forma unificada como consecuencia de la fragmentación provocada por la apertura de dos procedimientos diferenciados. Entiende I-DE que concurren los presupuestos establecidos en el artículo 57 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) que justifican la acumulación de los procedimientos, así como la individualización de la pertinencia de su aplicación al presente supuesto: A) Existencia de "íntima conexión" o "identidad sustancial". Señala I-DE que, en el caso presente, el día 18 de marzo de 2022 se produjo una brecha de seguridad de los datos personales, notificada inicialmente por I-DE. Es esta misma brecha de seguridad la que determina la apertura del presente procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/88 en el que se atribuye responsabilidad a i-DE, así como el de aquel que se pretende acumular con el presente, abierto para dilucidar la responsabilidad de IBERDROLA. Indica I-DE que la conectividad, en el presente supuesto, deriva, por tanto, de que se trata de depurar responsabilidad a dos personas jurídicas, pero por un mismo hecho: es la propia Agencia la que deja claro que se trata de una única brecha de seguridad y que sobre la misma es sobre la que se van a fundar, en su caso, las responsabilidades subjetivas de I-DE, en el presente procedimiento, y de IBERDROLA en el procedimiento cuya acumulación se solicita. Por tanto, concluye I-DE que, existiendo unos únicos hechos por los que se imputa responsabilidad tanto a i-DE como a IBERDROLA, resulta evidente que es necesaria la valoración conjunta de los mismos para poder determinar si existe una responsabilidad conjunta o separada de ambas entidades, así como si la responsabilidad lo sería por distinto título en uno y otro caso. B) Que le corresponda al mismo órgano la tramitación y resolución del procedimiento. Señala I-DE que, junto con el anterior requisito, la LPACAP impone el respeto al principio general de competencia del órgano que ha de dictar la resolución, requisito que se cumple en el presente supuesto, dado que la Ley atribuye la competencia para la tramitación de ambos procedimientos a un único órgano sancionador, por lo que con la acumulación no se pierde ni se difumina esa competencia como consecuencia de la existencia potencial de órganos de instrucción diferente. A juicio de I-DE, el efecto esencial de la acumulación de expedientes es el de que todas las cuestiones a resolver deben ser examinadas en un solo procedimiento y decididas en un único acto final que valore conjuntamente las responsabilidades de todos los implicados. Señala I-DE que el esquema que acaba de analizar tiene, sin duda, características especiales en el ámbito sancionador por la propia estructura y el juicio de valor que la misma encierra. Trae a colación varias Sentencias del Tribunal Constitucional para reseñar que los principales principios y garantías constitucionales del orden penal y del proceso penal han de observarse, con ciertos matices, en el procedimiento administrativo sancionador como el derecho a ser informado de la acusación (SSTC 31/1986, 190/1987, 29/1989) y a utilizar los medios de prueba pertinentes para la defensa (SSTC 2/1987, 190/1987 y 212/1990), así como el derecho a la presunción de inocencia (SSTC 13/1982, 36 y 37/1985, 42/1989, 76/1990 y 138/1990), derechos fundamentales todos ellos que han sido incorporados por el legislador a la normativa reguladora del procedimiento administrativo común. Entiende I-DE que la fragmentación del procedimiento en dos procedimientos separados afecta sustancialmente a la determinación y constatación de los hechos relevantes en el mismo, así como a la delimitación de las potenciales responsabilidades que pudieran corresponder a las entidades a las que se dirigen los procedimientos cuya acumulación se solicita. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/88 Concluye por ello I-DE que la acumulación es una exigencia de la adecuada instrucción y de la garantía del derecho de defensa y que la tramitación por separado de dos expedientes sancionadores a dos personas jurídicas distintas por los mismos hechos es perjudicial para sus intereses. Entiende I-DE que la falta de acumulación en el presente caso podría implicar una doble imputación a I-DE e IBERDROLA, como se ha dicho, de unos mismos hechos, sin que la acumulación permita dilucidar cuál sería el grado de responsabilidad de cada una de ellas, por cuanto los hechos se analizarían de forma separada y sin entrar a valorar la supuesta actuación simultánea, en términos de responsabilidad, de las dos entidades contra lo que ambos procedimientos se dirigen. Entiende que mantener la separación de los procedimientos supone en términos procesales un fraccionamiento de la causa que condiciona la actuación instructora y de propuesta porque aparecen instrucciones diferentes, valoraciones y pruebas potencialmente diferentes y, por tanto, criterios que pueden ser, igualmente, diferenciados. Por todo lo expuesto, I-DE solicita la acumulación de los dos expedientes citados y que se tenga también por solicitada expresamente la suspensión del plazo para la formalización de alegaciones hasta que se resuelva el incidente de acumulación que se plantea conforme al presente escrito. Asimismo, entiende I-DE que, teniendo en cuenta la naturaleza de lo solicitado y la incidencia en la instrucción de los expedientes en cuestión y, finalmente, en el derecho de defensa de los interesados en ambos procedimientos, al afectar sustancialmente al contenido de las alegaciones que I-DE podría efectuar en el supuesto de acordarse la mencionada acumulación, con la consiguiente merma de su derecho a la tutela judicial efectiva en su modalidad de servirse de los medios de prueba necesarios para la adecuada defensa de sus derechos, solicitamos expresamente la suspensión del plazo para la formalización de las alegaciones de forma que las mismas puedan realizarse conforme al criterio de instrucción que estamos solicitando. Por ello, solicita I-DE la suspensión del plazo para la formalización de alegaciones hasta que se resuelva el incidente de acumulación que se plantea conforme al presente escrito. DÉCIMO SEGUNDO: Con fecha 30 de mayo de 2023 I-DE presentó escrito de alegaciones al Acuerdo de Inicio. DÉCIMO TERCERO: Con fecha 2 de enero de 2024 se formuló Propuesta de Resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancionara a I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U. con NIF A95075578, por una infracción del Artículo 5.1.
5. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, con multa administrativa de 2.500.000 euros (dos millones y medio de euros) y por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 1.000.000 euros (un millón de euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/88 DÉCIMO CUARTO: Con fecha 22 de enero de 2024, se recibe en esta Agencia, en tiempo y forma, escrito de I-DE en el que aduce alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Primera notificación de brecha de datos personales Con fecha 18 de marzo de 2022, I-DE notifica a la AEPD una brecha de datos personales en la que informa de lo siguiente: (…) Se indica que el número de afectados es de 4,5 millones de clientes de esta sociedad. Indica como fecha de inicio de la brecha el 9 de marzo de 2022 Indica como fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales: 17 de marzo de 2022. SEGUNDO: Segunda notificación de brecha de datos personales Con fecha 29 de marzo de 2022 I-DE presenta una nueva notificación ampliando la información sobre la brecha de datos personales notificada, a través de la aportación de del informe “Incidente ciber GEA. Descripción incidente y acciones.” fechado el 28 de marzo 2022, según el cual: “I-DE, dentro de la prestación de servicios a sus clientes, ofrece un aplicativo web llamado Gestión de Expedientes y Acometidas (GEA): ***URL.1 Este servicio permite a los clientes o sus representantes (instaladores) realizar los trámites pertinentes para el proceso de una conexión a la red. En el transcurso de las sesiones de la aplicación, hay un intercambio de información de datos del cliente que está sometido a los filtros de seguridad propios de la aplicación, de forma que cada cliente (o representante delegado) sólo podrá acceder a la información que corresponda a la seguridad y perfiles de acceso previsto. Indica que el número de afectados clientes de esta sociedad es de 1.350.000 Indica como fecha de inicio de la brecha el 7 de marzo de 2022 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/88 TERCERO: Cronología del ataque Según indica I-D, en el informe “Incidente ciber GEA. Descripción incidente y acciones.” fechado el 28 de marzo 2022” y aportado junto con la segunda notificación de brecha de datos personales, así como en el escrito de respuesta al requerimiento de información realizado por esta AEPD, durante las actuaciones previas de investigación, presentado en fecha 1 de agosto de 2022 (Número de registro: REGAGE22e00033475096) la cronología del ataque es la siguiente: - “El 15 de marzo, por la tarde, se detecta un ataque contra la web de gestión de acometidas de I-DE, (GEA)  - El 16 de marzo de 2022, por la mañana, se produce una ralentización general del acceso a varias webs del grupo Iberdrola.  - (…) (…) A partir del día 17 de marzo:       (…) A partir del día 17 no se observa tráfico sospechoso ni afectación en ninguno de los sistemas de servicios en internet del grupo Iberdrola. Del análisis del registro de actividad de la aplicación GEA de los últimos días se concluye con fecha 17 de marzo que se ha producido una exfiltración, entre los días 7 y 15 de marzo de 2022, de aproximadamente 4,5 millones de interesados (personas físicas). (…) En fecha 28 de marzo de 2022, la Dirección de Sistemas comunica a IBERCLI y CURENERGIA la existencia de un incidente de seguridad en los sistemas de I-DE que ha podido afectar a la información referida a los clientes de estas compañías y les incluye información referida a los códigos internos de cliente de los afectados, a fin de que las compañías verifiquen si han podido verse comprometidos datos correspondientes a sus clientes. Analizada la información por IBERCLI y CURENERGIA verifican que la brecha de seguridad ha afectado a datos personales de clientes de dichas sociedades. (…) CUARTO: Sobre la aplicación GEA Respecto al aplicativo GEA, I-DE manifiesta: En el informe “Incidente ciber GEA. Descripción incidente y acciones.” fechado el 28 de marzo 2022: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/88 -“I-DE, dentro de la prestación de servicios a sus clientes, ofrece una aplicativo web llamado Gestión de Expedientes y Acometidas (GEA): ***URL.1 Este servicio permite a los clientes o sus representantes (instaladores) realizar los trámites pertinentes para el proceso de una conexión a la red. En el transcurso de las sesiones de la aplicación, hay un intercambio de información de datos del cliente que está sometido a los filtros de seguridad propios de la aplicación, de forma que cada cliente (o representante delegado) sólo podrá acceder a la información que corresponda a la seguridad y perfiles de acceso previsto” -I-DE dispone de un sistema (SIC) del que GEA es un servicio web, propio y exclusivo para el tratamiento de sus procesos y datos de clientes, siendo los equipos de negocio y sistemas encargados del desarrollo, evolución y mantenimiento de este sistema, igualmente, exclusivos para I-DE. -En el “Manual de Acceso clientes titulares, GEA”, aportado por I-DE se describe la metodología para dar de alta de un usuario (Documento nº6 de la entrada REGAGE23e00004673128), en el que se indica que para el desarrollo del proceso de alta de un nuevo usuario es preciso disponer de una dirección de correo electrónico valida y accesible, a la que se envía de forma automática un enlace, individualizado para cada usuario, que permite establecer la contraseña para el primer acceso, validando de esta forma el alta en la aplicación. -En el escrito de respuesta de requerimiento realizado por esta AEPD, presentado con fecha 21 de febrero de 2023 (Número de registro: REGAGE23e00011000318) indica IDE que: (…) Esta URL se mostraba a los usuarios validados en el momento del incidente. IBERDROLA S.A., que le presta diferentes servicios a I-DE y a otras empresas del Grupo, entre ellos, de “Soporte y mantenimiento de infraestructura IT” y de “Desarrollo de aplicaciones”, actuando en consecuencia, como encargada del tratamiento de I-D, en su escrito de respuesta al requerimiento de información realizado por esta AEPD durante el período de investigaciones previas, presentado en fecha 24 de enero de 2023 (Número de registro: REGAGE23e00004670187), a solicitud de información relativa a la descripción del control y permisos de acceso a la aplicación de cada uno de los perfiles identificados, IBERDROLA responde: (…) QUINTO: Causas que hicieron posible la brecha En el “Resumen Informe Forense Incidente Seguridad GEA”, de fecha 23 de marzo de 2022, aportado por I-DE junto a su escrito de respuesta de requerimiento realizado por esta AEPD, presentado con fecha 1 de agosto de 2022 (Número de registro: REGAGE22e00033475841), se indica: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/88 -I-DE indica lo siguiente: (…) -IBERDROLA S.A., que le presta diferentes servicios a I-DE y a otras empresas del Grupo, entre ellos, de “Soporte y mantenimiento de infraestructura IT” y de “Desarrollo de aplicaciones”, actuando en consecuencia, como encargada del tratamiento de I-D, en su escrito de respuesta al requerimiento de información realizado por esta AEPD durante el período de investigaciones previas, presentado en fecha 24 de enero de 2023(Número de registro: REGAGE23e00004670187), indica lo siguiente: (…) SEXTO: Medidas recomendadas Consta en el documento “Resumen Informe Forense Incidente Seguridad GEA”, de 23/03/2022, aportado por I-DE en su escrito de 1/08/2022, las siguientes recomendaciones: (…) SÉPTIMO: medidas inmediatas tras la brecha I-DE, en su escrito de respuesta de requerimiento realizado por esta AEPD, presentado con fecha 21 de febrero de 2023 (Número de registro: REGAGE23e00011000318) indica: (…) IBERDROLA, S.A., en su escrito de respuesta al requerimiento de información realizado por esta AEPD durante el período de investigaciones previas, presentado en fecha 24 de enero de 2023 (Número de registro: REGAGE23e00004670187), adjunta como “Documento nº 11”, el “Plan Urgente de Ciberseguridad”. En el mismo se indica, entre otras, las siguientes medidas: Seguridad de Aplicaciones: (…) OCTAVO: medidas de seguridad implantadas con anterioridad al incidente Entre otras, se aportó: (…) NOVENO: Análisis de riesgos del tratamiento afectado por la brecha de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/88 A solicitud de esta AEPD de copia del análisis de riesgos sobre los derechos y libertades de las personas físicas realizado sobre la actividad del tratamiento que ha sufrido la brecha de seguridad con anterioridad a la incidencia, I-DE aportó el esquema seguido en el seno del Grupo Iberdrola para la valoración del riesgo en el tratamiento de los datos personales se lleva a cabo conforme al mismo. Aporta dicho esquema que se detallan ciertas amenazas o circunstancias como “colectivos vulnerables” “acceso a los datos personales por más de 10 personas” “transferencias internacionales" “tratamientos a gran escala” “perfiles con efectos jurídicos”. Estas circunstancias se establecen como preguntas y, según se responda “si” o “no”, se le aplica un resultado. Asimismo, indica que “Se adjuntan, como Documento Nº 8 documento explicativo de la lógica seguida para el cálculo del nivel de riesgo conforme a esta metodología. Dicha metodología se encuentra implantada de forma automatizada en la propia herramienta corporativa de registro de actividades de tratamiento, de forma que en el propio proceso de registro determina el nivel de riesgo del tratamiento. Así pues, la aplicación de dicha metodología en relación con el tratamiento ***TRATAMIENTO.1 arrojó como resultado un nivel de riesgo MEDIO, como se recoge en el Documento Nº 7 arriba referido. En dicho documento 8 se analizan circunstancias o amenazas en el sentido del esquema indicado, las cuales se trasladan al Registro de Actividades de Tratamiento. DÉCIMO: Número de personas afectadas y tipo de datos afectados 1.350.000 de clientes de I-DE afectados. Tipo de datos afectados: Nombre y apellidos Dirección de correo electrónico Número de Fax Teléfono Dirección postal NIF/DNI Código cliente Código sociedad DÉCIMO PRIMERO: Comunicación a los afectados En el escrito de respuesta al requerimiento de información realizado por esta AEPD, durante las actuaciones previas de investigación, presentado en fecha 1 de agosto de 2022 (Número de registro: REGAGE22e00033475096), I-DE manifiesta que ha comunicado a los afectados la brecha de datos personales, indicando: “Las citadas comunicaciones fueron remitidas a los clientes de i-DE de los que se disponía de dirección de correo electrónico a través de este medio mediante la realización de varios envíos entre los días 31 de marzo y 12 de abril de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/88 2022, notificándose la brecha por correo ordinario a los restantes cliente entre los días 30 de marzo y 7 de abril de 2022.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas I-DE es una gran empresa del Grupo Iberdrola dedicada a la distribución de energía eléctrica y para ello realiza tratamientos de datos personales como responsable de un número muy elevado de personas pues, según manifiesta, trata datos de 21 millones de clientes. Por tanto, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que I-DE realiza, entre otros tratamientos, la recogida, conservación, consulta, utilización, supresión, etc., de datos personales de personas físicas, tales como: nombre, apellidos, DNI, dirección postal, número de teléfono, dirección de correo electrónico, datos bancarios, datos relativos al suministro y al consumo eléctrico, cuenta corriente, etc. Asimismo, IBERDROLA S.A. le presta diferentes servicios a I-DE y a otras empresas del Grupo, entre ellos, de “Soporte y mantenimiento de infraestructura IT” y de “Desarrollo de aplicaciones”, actuando en consecuencia, como encargada del tratamiento de I-D. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/88 En el caso que nos ocupa, la brecha de seguridad sufrida ha afectado a datos personales tratados por I-DE en su condición de responsable del tratamiento, al determinar los fines y medios respecto de esos tratamientos, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse producido un acceso indebido por un tercero no autorizado a datos personales tratados por I-DE. III Sobre la solicitud de acumulación y la suspensión del plazo para formular alegaciones Respecto de la solicitud de acumulación del presente expediente y el EXP202305587 realizada por I-DE, procede señalar que el artículo 57 de la LPACAP establece: “El órgano administrativo que inicie o tramite un procedimiento, cualquiera que haya sido la forma de su iniciación, podrá disponer, de oficio o a instancia de parte, su acumulación a otros con los que guarde identidad sustancial o íntima conexión, siempre que sea el mismo órgano quien deba tramitar y resolver el procedimiento. Contra el acuerdo de acumulación no procederá recurso alguno”. (el subrayado es nuestro) Por tanto, es una posibilidad que tiene la Administración, no estando obligada a proceder a la acumulación en caso de ser solicitada. Si embargo, ello no obsta para que se motive a continuación las razonas por las cuales se ha considerado oportuno tramitar ambos procedimientos sancionadores por separado. Así, si bien los dos expedientes sancionadores, uno dirigido contra I-DE y otro contra IBERDROLA, S.A., parten del mismo incidente de seguridad (el ataque a la aplicación GEA), el mismo ha producido dos brechas de datos personales diferentes y diferenciadas, tal y como se refleja en los Antecedentes de Hecho de la presente propuesta, especialmente en el Antecedente de hecho Octavo, donde se reseña la información recabada durante la fase de actuaciones previas de investigación llevadas a cabo por esta AEPD. Así, por un lado, el ataque se inició a través de un aplicativo web de I-DE, aprovechando una vulnerabilidad del mismo y que permitió el acceso a la base de datos de I-DE y que afectó a la confidencialidad de 1.350.000 clientes de I-DE. Por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/88 tanto, el presente procedimiento sancionador se dirige exclusivamente a I-DE como responsable del tratamiento de los datos personales de sus clientes y como consecuencia de una vulnerabilidad existente en un aplicativo web suyo. De otro lado, en el ciberataque no sólo se vieron afectados datos personales de I-DE, sino que, al acceder a la base de datos de I-DE, la cual se encontraba alojada en un sistema en el que coexisten bases de datos de otras empresas del mismo grupo, sino que también se consiguió superar la separación lógica y acceder a las bases de datos de otras dos empresas, IBERCLI y CURENERGÍA, afectando a la confidencialidad de datos personales de clientes de estas dos últimas. Estas diferentes bases de datos de diferentes empresas se alojan o se llevan a cabo en un sistema mantenido y soportado por la empresa IBERDROLA, S.A., la cual, en consecuencia, es encargada de tratamiento de todas ellas, es decir, de I-DE, IBERCLI y CURENERGÍA. Este hecho ha supuesto que se inicie un procedimiento sancionador a IBERDROLA, S.A., pero por su responsabilidad como encargada de tratamiento de IBERCLI y de CURENERGÍA y exclusivamente por la brecha de datos personales que ha afectado únicamente a los datos personales de los clientes de estas dos empresas comercializadoras y solamente atendiendo a la responsabilidad que puede tener IBERDROLA, S.A. en cuanto a la configuración de las bases de datos que gestiona respecto de estas dos empresas afectadas. En este sentido, esa afectación a datos personales de clientes alojados en bases de datos ajenas a I-DE no puede formar parte de este procedimiento sancionador dirigido exclusivamente a examinar la conducta de I-DE, por cuanto no es responsable ni de los datos personales de clientes afectados que pertenecen a otras empresas, ni de la posible falta de adopción de las medidas adecuadas para su protección o para la separación absoluta entre unas y otras. Por tanto, se ha de analizar de forma independiente la gestión de las bases de datos que realiza IBERDROLA, S.A. respecto de esas terceras empresas, sin que pueda responder I-DE por posibles incumplimientos de la normativa de protección de datos en que hayan podido incurrir esas terceras empresas. Así lo manifestó I-DE en su escrito de respuesta de requerimiento realizado por esta AEPD, presentado con fecha 1 de agosto de 2022, en el que al solicitársele información sobre los datos afectados por la brecha relativos a clientes de IBERCLI y CURENERGÍA, respondió que “I-DE no tiene acceso a los datos de las personas que han podido verse afectadas por la brecha de seguridad y que no tengan la condición de clientes de la citada entidad al no encontrarse su punto de suministro asignado a la red gestionada por i-DE. Ello significa que i-DE no tiene capacidad para conocer ningún tipo de información relacionada con quienes siendo clientes de IBERCLI o de CURNERGIA no lo sean de esta distribuidora” Por tanto, estando dirigido los procedimientos sancionadores a diferentes sujetos (dos empresas diferentes), estar afectados los datos personales de clientes de diferentes empresas, no teniendo I-DE nada que ver con los datos de clientes ajenos, tramitarse por vulnerabilidades o incumplimientos respecto de sistemas diferentes (uno un aplicativo web, otra una base de datos), etc., es por lo que no se ha considerado por esta AEPD acumular los dos expedientes, sino tramitar los dos procedimientos sancionadores de forma separada, al estar claramente separada la responsabilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/88 que se atribuye a cada uno, así como tratarse de brechas de datos personales diferentes y que afectan a datos personales tratados por responsables diferentes. Asimismo, ello no le produce indefensión a I-DE por cuanto en todo momento conoce los hechos que se le imputan, la infracción que los mismos suponen, su tipificación, la responsabilidad en que ha incurrido, así como que ha tenido y tiene la oportunidad de formular alegaciones y presentar cuanta documentación considere oportuna en defensa de sus intereses que le permite la legislación aplicable. Por último, en cuanto a la solicitud de suspensión del plazo para formular alegaciones al Acuerdo de Inicio mientras no se decida sobre la acumulación de los dos procedimientos, se significa que dicha posibilidad no existe ni en la normativa aplicable de protección de datos (RGPD Y LOPDGDD) ni en la LPACAP. Por el contrario, en esta última ley lo que se establece es la obligatoriedad de que los trámites que deban ser cumplimentados por los interesados son de obligado cumplimiento: “Artículo 73. Cumplimiento de trámites. 1. Los trámites que deban ser cumplimentados por los interesados deberán realizarse en el plazo de diez días a partir del siguiente al de la notificación del correspondiente acto, salvo en el caso de que en la norma correspondiente se fije plazo distinto.” Por tanto, no procede la solicitud de suspensión, al no existir legalmente esta posibilidad, ni la misma ha tenido efecto alguno, no habiéndose suspendido, en consecuencia, el plazo para formular alegaciones. IV Respuesta a las alegaciones al Acuerdo de Inicio En respuesta a las alegaciones presentadas por I-DE se debe señalar lo siguiente: PRIMERA: SOBRE LA ACUMULACIÓN DE LOS PROCEDIMIENTOS Reitera I-DE de nuevo la solicitud de acumulación y se remite a la solicitud presentada al efecto el 24 de mayo de 2023. A este respecto, procede remitirse a lo argumentado en el Fundamento de Derecho anterior, en el que se da debida respuesta a esta cuestión. SEGUNDA. – SOBRE LAS ESPECIALES CIRCUNSTANCIAS ACAECIDAS EN RELACIÓN CON LA TRAMITACIÓN DEL PRESENTE EXPEDIENTE Y LA VULNERACIÓN DE LOS PRINCIPIOS DE BUENA FE, CONFIANZA LEGÍTIMA Y SEGURIDAD JURÍDICA Alega I-DE que esta AEPD ha vulnerado los principios de seguridad jurídica, buena fe y confianza legítima establecidos en el artículo 3.2
6. e)de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante LRJSP) ya que mediante escrito fechado el 18 de abril de 2022, de la División de Innovación Tecnológica de la AEPD, se indica, en relación con la información adicional aportada por I-DE relativa a la brecha de datos personales sufrida por ella, que “Tras el análisis de la información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/88 adicional aportada, la brecha de seguridad ha sido actualizada en el registro de notificaciones de brechas de seguridad y no se prevé el inicio de otras acciones por parte de esta Agencia”, pero que sin embargo, posteriormente y sin que conste ninguna actuación posterior hasta la fecha del primer requerimiento de información que se le dirige (escrito firmado el 8 de julio de 2022 por el Inspector actuante) de lo que parece desprenderse la iniciación por la AEPD de actuaciones de investigación, sin existir acuerdo o decisión alguna en este sentido. Entiende I-DE que ello pone de manifiesto que no procedía la realización de investigación adicional relacionada con la brecha por cuanto la AEPD al firmar el referido escrito de 18 de abril consideró adecuadas las manifestaciones efectuadas por I-DE, no apreciando en la brecha la concurrencia de elemento alguno que justificase la realización de actuaciones de investigación tendentes a determinar si se había producido una presunta vulneración de la normativa de protección de datos. Sin embargo, continua I-DE, la AEPD el 9 de mayo de 2022, acuerda la admisión a trámite de reclamaciones (formuladas con anterioridad al 18 de abril de 2022) y la iniciación de actuaciones previas de investigación, pero sin que conste en el expediente ninguna actuación o circunstancia relacionada con este caso que hubiera sido aportada o acaecido en el período que mediaba entre el 18 de abril y la fecha de admisión a trámite y que justifique el inicio de las mismas. Asimismo, entiende I-DE que el escrito de 18 de mayo de 2022 supone que la AEPD consideraba que la información recibida de ella sobre la brecha era suficiente para entender que no concurría en ella responsabilidad alguna por un supuesto incumplimiento de la normativa de protección de datos, lo que determinaba el archivo de un expediente que, sin embargo, la AEPD decide abrir días después sin que concurra indicio alguno que implique un cambio sustancial en la naturaleza, circunstancias o severidad de la brecha. De ello concluye I-DE que la AEPD adoptó una decisión que contradice frontalmente con la previa adoptada apenas 20 días antes. Frente a ello, procede señalar que en modo alguno puede aceptarse la interpretación de I-DE del escrito que recibió el 18 de mayo de 2022. Así, dicho escrito está firmado de forma genérica por la AEPD, proviene de la División de Innovación Tecnológica, la cual se encarga de recibir las brechas de seguridad y registrarlas en el registro al efecto, y en el cual se indicó lo siguiente: “En relación con la información adicional aportada mediante registro de entrada REGAGE22e00010072289, relativa a una brecha de datos personales en un tratamiento de I-DE REDES ELECTRICAS INTELIGENTES S.A.U. informamos que: Tras el análisis de la información adicional aportada, la brecha de seguridad ha sido actualizada en el registro de notificaciones de brechas de seguridad y no se prevé el inicio de otras acciones por parte de esta Agencia. No obstante, le recordamos la necesidad de investigar las causas del incidente hasta entender cómo y por qué ha sucedido, y la obligación de tomar las acciones oportunas para evitar que vuelva a suceder y minimizar el impacto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/88 potencial sobre los afectados, así como la obligación de documentar cualquier incidente de seguridad que pueda afectar a los datos personales como los hechos relacionados con los mismos y las medidas correctivas aportadas tal y como establece el artículo 33.5 del RGPD. Si en el trascurso del tiempo obtuviera indicios que impliquen un cambio sustancial en la naturaleza, circunstancias o severidad de la brecha, puede realizar una nueva notificación completa a través de nuestra sede electrónica https://sedeagpd.gob.es/sede-electronica-web/. Así mismo, le informamos que en el siguiente enlace tiene a su disposición la guía para la gestión y notificación de brechas de seguridad de los datos personales publicada por esta Agencia: https://www.aepd.es/media/guias/1ome-brechas-seguridad.pdf” Como encabezado consta “DIVISIÓN DE INNOVACIÓN TECNOLÓGICA” En el lateral izquierdo del escrito se indica que “Firmado electrónicamente por: Agencia Española de Protección de Datos. A fecha 18/04/2022” No aparece firmado por la Directora de la Agencia, no tiene parte dispositiva en la que se acuerde o resuelva algo, ni tiene indicación de recurso alguno contra la misma. Por tanto, y en contra de lo que afirma I-DE, este escrito no tiene carácter decisorio, ni por su contenido, que únicamente contiene una previsión y que en modo alguno puede entenderse que supone que esta AEPD ha valorado y decidido que no concurría en IDE responsabilidad alguna por un supuesto incumplimiento de la normativa de protección de datos, lo que supondría el archivo de unas actuaciones -tal y como ha querido entender I-DE-, ni tampoco por su forma, pues ni siquiera formalmente refleja una decisión, ni mucho menos una resolución de archivo de actuación alguna, pues para que ello sea así, el único órgano competente para ello es la actual Directora de la AEPD. Así, el Artículo 13 del Estatuto de la AEPD, aprobado mediante Real Decreto 389/2021, de 1 de junio, se determinan las funciones de la Presidencia: 1. Corresponde a la Presidencia de la Agencia Española de Protección de Datos:
7. d)Dictar las resoluciones y directrices que requiera el ejercicio de las funciones de la Agencia, en particular las derivadas del ejercicio de las competencias previstas en el artículo 57 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y del ejercicio de los poderes de investigación y de los poderes correctivos dispuestos en el artículo 58 del citado Reglamento. Por tanto, para proceder al archivo de unas actuaciones investigación se requiere, primero, que se hayan iniciado (bien por haberse admitido a trámite una reclamación, bien por iniciativa propia, lo cual en ambos casos exige una resolución expresa firmada por la Directora), lo cual no había sucedido en el momento de emitirse el referido escrito de la División de Innovación Tecnológica y, en segundo lugar, es necesario de nuevo una resolución expresa por parte de la Directora archivando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/88 dichas actuaciones por entender, ahora sí, que de la información recabada en dichas investigaciones, no se concluye la existencia de infracción en la normativa de protección de datos, lo cual no se había producido. En el presente caso, tras la notificación de la brecha de datos personales por parte de I-DE, se presentaron varias reclamaciones por personas afectadas por la misma, las cuales fueron admitidas a trámite de forma conjunta por la AEPD en cumplimiento del artículo 64 LOPDGDD: Artículo 64. Forma de iniciación del procedimiento y duración. 1.Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación. 2.Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación. Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Cuando fuesen de aplicación las normas establecidas en el artículo 60 del Reglamento (UE) 2016/679, el procedimiento se iniciará mediante la adopción del proyecto de acuerdo de inicio de procedimiento sancionador, del que se dará conocimiento formal al interesado a los efectos previstos en el artículo 75 de esta ley orgánica. Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio, podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. Artículo 67. Actuaciones previas de investigación. 1.Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/88 La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2.Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica. (el subrayado es nuestro) De dicha normativa no se infiere en modo alguno que la AEPD tenga que justificar de la manera que exige I-DE el inicio de actuaciones previas en el sentido de que tenga que haber algo nuevo o alguna circunstancia nueva o de que las reclamaciones hayan tenido que aportar circunstancias nuevas y diferentes respecto de la documentación aportada por I-DE en su notificación de la brecha a esta Agencia, pues ello no viene exigido por la normativa indicada, además de que no se puede pretender que los afectados aporten algo nuevo, al margen de conocer que se ha vulnerado la confidencialidad de sus datos personales por un ciberataque de cuyas circunstancias desconocen. Precisamente las actuaciones previas de investigación se realizan para esclarecer los hechos y las circunstancias de lo acontecido, recabando más información al objeto de poder determinar o no la existencia de una posible infracción de la normativa en materia de protección de datos. En este sentido, el inicio de investigaciones previas y su realización, potestad de la AEPD con o sin reclamaciones, no prejuzga nada, sino que permite recabar la información necesaria para determinar si hay indicios o no de infracción. Incluso tras dicha investigación, puede ser que se archiven las actuaciones por entender, a la vista de la información recabada, que no existen indicios de infracción. Lo cual, en el presente caso, no ha sucedido. Lo que sí indica la normativa es que, tras la presentación de reclamaciones, esta Agencia debe decidir si las admite a trámite o no, habiendo decidido finalmente su admisión mediante, esta vez sí, Acuerdo de admisión a trámite, firmado por la Directora de la Agencia con fecha 9 de mayo de 2022. Y, como indica el artículo 67.2 LOPDGDD referenciado, la AEPD puede llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias. Es una potestad que tiene atribuida por el RGPD y por la LOPDGDD. Asimismo, y a mayor abundamiento de todo, incluso en el supuesto de no haber existido las reclamaciones, el escrito de la División de Innovación Tecnológica no hubiera sido tampoco óbice ni obstáculo para el ejercicio de las potestades de investigación que tiene la AEPD de conformidad con el citado artículo 64.2 que determina que “Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio, podrá existir una fase de actuaciones previas de investigación…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/88 Por tanto, el presente procedimiento sancionador no se ha iniciado por el contenido o por alguna información nueva aportada en las reclamaciones, sino por la información y documentación obtenida tras el período de actuaciones previas de investigación, al inferirse de la misma posibles vulneraciones a la normativa en materia de protección de datos. Por último, trae a colación I-DE la Sentencia del Tribunal Supremo, de 22 de febrero de 2016 (recurso 4048/2013), entendiendo que es plenamente aplicable al caso, en la que se indica: “Acorde con los hechos sucintamente expuestos podemos considerar lesionada la confianza legítima, pues la Administración no puede adoptar decisiones que contravengan las perspectivas y esperanzas fundadas en las propias decisiones anteriores de la Administración. Cuando se confía en la estabilidad de su criterio, evidenciado en múltiples actos anteriores en un mismo sentido, que lleva al administrado a adoptar determinadas decisiones, se genera una confianza basada en la coherencia del comportamiento administrativo, que no puede defraudarse mediante una actuación sorprendente. […] Conviene tener en cuenta que confianza legítima requiere, en definitiva, de la concurrencia de tres requisitos esenciales. A saber, que se base en signos innegables y externos