PS-00179-2020

1/35  Procedimiento Nº: PS/00179/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 04/02/2019 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación en relación a la notificación de una brecha de seguridad realizada por AIR EUROPA LÍNEAS AÉREAS, S.A., con CIF ***CIF.1 (en lo sucesivo AIR EUROPA), relativa al acceso no autorizado a la información de contacto y tarjetas bancarias que afecta a 489.000 interesados y un volumen de 1.500.000 registros. No obstante, en fecha 28/02/2020, se acordó abrir nuevas actuaciones de investigación a AIR EUROPA e incorporar a éstas la documentación que integraban las actuaciones previas del expediente E/02564/2019, que se declararon caducadas. La notificación de brecha de seguridad se efectuó en fecha 28/11/2018 y el 22/01/2019 como notificación inicial y completa. Posteriormente, el 22/01/2019 se efectúa otra notificación para corregir información aportada, según manifiesta AIR EUROPA, a discrepancias entre el acuse de recibo emitido por la sede electrónica de esta Agencia y los datos efectivamente introducidos en el formulario online. Las tres notificaciones contienen, entre otra, la siguiente información:  Que en fecha 27/11/2018 se intentó en repetidas ocasiones notificar de manera inicial a esta Agencia a través del formulario habilitado al efecto en sede electrónica pero el procedimiento online de notificación imposibilitó la presentación por dicho medio, procediéndose a la presentación de manera inicial y presencial en fecha 28/11/2018.  Responsable del tratamiento: AIR EUROPA cuyos datos se han incluido en el apartado de Entidades Investigadas.  Fecha de detección de la brecha: ***FECHA.1  Medios de detección de la brecha: AIR EUROPA recibe una notificación por parte del Banco Popular relativo a un potencial incidente de seguridad, lo que determina la activación del plan de respuestas ante incidentes por parte de AIR EUROPA, el día 17/10/2018.  Fecha de inicio de la brecha: 12/05/2018  Brecha resuelta a 17/11/2018.  Justificación de la notificación tardía: N/A  Resumen del incidente: el incidente de seguridad ha comportado el acceso no autorizado a información de tarjetas bancarias, numeración, fecha de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/35 caducidad y CVV que se podría haber utilizado para la comisión de operaciones fraudulentas. Si bien todas las identificadas fueron canceladas antes de que conste que se haya producido algún perjuicio para los interesados. En algunos casos (aproximadamente 2500) la identidad de los titulares de las tarjetas bancarias también ha sido comprometida.  Tipología: Brecha de confidencialidad (acceso no autorizado).  Medio por el que se ha materializado la brecha: Hacking y malware.  Contexto: Externa (acción intencionada)  Que antes de la brecha se aplicaron las siguientes medidas preventivas: Seguridad en la red: Equipo humano propio con experiencia superior a 10 años en gestión y administración de redes, LAN y WAN. La empresa ha diseñado y facilitado formación a los empleados sobre el uso de las herramientas puestas a su disposición conforme a la legislación vigente. AIR EUROPA utiliza 1.-[………]. De forma periódica (XXX) se ejecuta un programa de evaluación de vulnerabilidades para monitorizar potenciales brechas de seguridad en vulnerabilidades conocidas. Adicionalmente a los sistemas de firewall que permiten gestionar y bloquear accesos no autorizados, se dispone de un 2.-[………]. Para proteger la navegación del usuario se dispone de un 3.-[………]. Protección de la información y controles de acceso: El acceso a los sistemas de información requiere la identificación y autenticación de todos los usuarios 4.-[………] (XX). El XX está conectado con el sistema 5.-[………]. Existe una política de renovación de contraseñas por la cual se ven obligados a cambiar la misma cada XXX. La política de 6.-[………]. Las políticas de gestión de permisos de acceso a las aplicaciones 7.-[………] permitiendo aplicar el principio de mínimo privilegio. Prevención: AIR EUROPA inició hace unos meses un proceso destinado a confeccionar un Plan Director de Seguridad con objeto de tener un escenario más amplio de amenazas y definir una estratega más eficaz. 8.-[………].  Que las categorías de datos afectados son datos básicos e información sobre tarjetas bancarias como el número, fecha de caducidad y CVV.  Que no hay categorías especiales de datos afectados.  Que le número aproximado de registros de datos afectados son 1.500.000 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/35  Que el perfil de los sujetos afectados son clientes siendo el número aproximado de personas afectadas 489.000.  Que la naturaleza del impacto potencial sobre los sujetos es el fraude.  Que las posibles consecuencias es la divulgación a terceros/difusión en internet y que los datos pueden ser explotados con otros fines.  Que cataloga la severidad de las consecuencias como “Media”.  Que las medidas tomadas para solucionar la brecha y minimizar el impacto fue:   o Realización de una investigación preliminar. o Contratación de una empresa forense ***EMPRESA.1 para la prestación de soporte y ayuda en el análisis del incidente. o Contratación de empresa especialista en análisis y resolución de incidencias ***EMPRESA.2. o Seguimiento de tareas y planificación de mejoras y acciones a implantar en los sistemas con el fin de ir “cerrando puertas” y disminuir el riesgo. o Revisión del conjunto de las medidas de seguridad y refuerzo de las mismas. o Cronología de las actuaciones seguidas descritas en documentos adjuntos. Que los interesados no serán informados por los siguientes motivos: o Únicamente se tiene constancia de 11 peticiones de información por parte de clientes en relación a este evento y se está dando respuesta a todos ellos. Se desconoce la existencia de otros afectados. o Que se han adoptado las medidas de protección técnicas y organizativas apropiadas que garantizan que ya no existe la probabilidad de que se materialice ningún riesgo para los derechos y libertades de los interesados afectados por la violación de seguridad. o Que entienden que en este momento resulta más gravoso para los intereses generales y los de los interesados realizar una comunicación pública ya que no disponen de información de contacto de todas las personas afectadas. Se aportan documentos adjuntos que contienen, entre otras, las siguientes manifestaciones: C/ Jorge Juan, 6 28001 – Madrid o Que de forma inmediata tras el conocimiento de la brecha se contrató a la compañía especializada en brechas de seguridad y análisis forense y ***EMPRESA.3. o Se contrató a la empresa ***EMPRESA.2 con el propósito de analizar el alcance, conjuntamente con ***EMPRESA.3, y aplicar las medidas necesarias para corregir la incidencia. o Que el alcance de la brecha no es todavía conocido de forma completa. El incidente de seguridad ha comportado el acceso no autorizado. Se www.aepd.es sedeagpd.gob.es 4/35 realiza esta notificación de forma preliminar para ir aportando la información que se dispone hasta el momento. o Que se adoptaron una serie de medidas de índole técnico que se llevaron a cabo poniendo el foco en primer lugar en actividades de contención y seguidamente en actividades preventivas. o Que después de haber analizado la información que AIR EUROPA cree haber sido comprometida, resulta muy poco probable que únicamente se hayan visto afectados interesados españoles. Sin embargo, AIR EUROPA no se encuentra actualmente en posición de identificar las nacionalidades específicas de todos los interesados afectados. o Cronología de las actuaciones seguidas:  ***FECHA.1. AIR EUROPA recibe una notificación por parte de VISA (Banco Popular) relativa a un potencial incidente de seguridad lo que determina la activación del Plan de Respuestas ante Incidentes (PRI) el día 17 de octubre de 2018.  18/10/2018. Como parte del PRI se contacta con la empresa ***EMPRESA.3 para la prestación de soporte y ayuda en el análisis forense del incidente cuya contratación tuvo lugar el 22 de octubre de 2018.  24/10/2018 al 31/10/2018. Recogida de evidencias e información necesaria.  05/11/2018 al 08/11/2018. Análisis de la información recogida. El día 8/11 se confirma por el analista forense la existencia de una brecha.  08/11/2018. Se contacta con ***EMPRESA.2 con el objetivo de reforzar los equipos internos de seguridad y trabajar conjuntamente con ***EMPRESA.3.  09/11/2018. Comienzan los trabajos de ***EMPRESA.2 para ir “cerrando puertas” y disminuir el riesgo progresivamente.  14/11/2018. Se inician las tareas de revisión del conjunto de medidas de seguridad y, según proceda, reforzar las mismas. Por parte de ***EMPRESA.2 y el equipo forense se identifica que desde un servidor se está contactando con una IP no reconocida. C/ Jorge Juan, 6 28001 – Madrid  15/11/2018. AIR EUROPA recibe instrucciones concretas desde el equipo forense con 8 medidas destinadas a contener el problema. Con el apoyo del equipo de ***EMPRESA.2 se asigna prioridad máxima a las tareas de contención.  17/11/2018. Confirmación por parte de ***EMPRESA.2 y ***EMPRESA.3 de que la brecha está contenida.  23/11/2018. Se confirma por parte de ***EMPRESA.2 la realización del 90% de las acciones de contención y protección y que las tareas pendientes quedan a finalizar en los próximos www.aepd.es sedeagpd.gob.es 5/35 días. Se confirma la efectividad de las medidas de monitorización en tiempo real que se siguen desplegando para garantizar la detección de cualquier intrusión. SEGUNDO: la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: Con fecha 01/04/2019, AIR EUROPA remite a esta Agencia la siguiente información y manifestaciones: 1. Se aporta un informe de auditoría realizado por ***EMPRESA.4 y fechado a 20/12/2018 con las siguientes manifestaciones: En el apartado de “Antecedentes del Incidente” se manifiesta: “En octubre de 2018, GLOBALIA fue informada por las compañías de las tarjetas de crédito de que un gran número de tarjetas de crédito, unas 4000, habían sido utilizadas para cometer fraude. Los datos robados incluían datos personales y financieros de los clientes de GLOBALIA que realizaron reservas y modificaciones en AirEuropa.com. Los datos no incluían datos de viaje ni de pasaporte.” Manifestaciones en el resto del documento de auditoría: a. “El primer acceso confirmado a la red de GLOBALIA por parte del atacante tuvo lugar a través el día 12 de mayo de 2018.” b. “Tras este acceso inicial, el atacante comprometió una serie de sistemas de GLOBALIA e IRIS considera que el atacante siguió accediendo a los sistemas y cuentas de GLOBALIA al menos hasta el 11 de agosto de 2018.” c. “Aunque IRIS no ha logrado confirmar cómo logró el atacante exfiltrar información de la red de GLOBALIA o qué fue exfiltrado, habida cuenta de la limitación de registros, lo que sí ha confirmado IRIS es que el atacante había recopilado al menos 488847 tarjetas de crédito únicas” d. “A partir de la muestra de 4939 tarjetas de crédito únicas ya declaradas fraudulentas, se encontraron 1185 en la recopilación anteriormente mencionada.” e. “El atacante visualizó y archivó en ***ARCHIVO.1 al menos 2651 números de tarjeta únicos, CVVs, fechas de vencimiento y nombres de titular de la tarjeta.” f. “En total el atacante comprometió al menos 12 sistemas y un mínimo de 2 cuentas de servicio en apoyo de su operación” g. “Para el acceso inicial, el atacante se aprovechó 9.-[………] para conseguir acceder a la red por vez primera” h. “Todo sistema expuesto a Internet, 10.-[………].” i. C/ Jorge Juan, 6 28001 – Madrid “Asimismo, las investigaciones posteriores de las cuentas comprometidas por el atacante, como la cuenta de servicio GLOBALIA\EJP, reveló que utilizaba una contraseña que no cumplía los requisitos de complejidad y longitud en línea con la práctica óptima del www.aepd.es sedeagpd.gob.es 6/35 sector, cosa que habría hecho que al atacante le resultara más fácil comprometer esta cuenta.” j. “Aunque IRIS no logró confirmar los datos relativos al modo en que el atacante exfiltró información debido a la limitación de registros, algunos datos de la investigación indican el momento en que pudieron tomarse los datos y desde dónde. Habida cuenta de que la mayoría de los datos sensibles que fueron recopilados por el atacante fue encontrada o transferida al servidor ***ARCHIVO.1, y que el servidor también contaba con el único mecanismo viable de persistencia, es probable que el atacante usara ***ARCHIVO.1 como servidor de pruebas desde el que exfiltrar información. De igual forma, un análisis estadístico de los registros del cortafuegos reveló que el mayor número de conexiones a la dirección IP controlada por el atacante, ***IP.1, desde los sistemas de GLOBALIA, tuvo lugar entre el 14 de mayo y el 4 de junio, con un pico del 19 al 21 de mayo, lo que indica que el atacante se puso manos a la obra. Visto el volumen de actividad, es posible que también tuviera lugar la exfiltración de los datos durante estos marcos temporales, aunque el hecho de que el atacante accediera a archivos específicos relacionados con las tarjetas de crédito posteriormente, en junio, podría indicar que la exfiltración también tuvo lugar posteriormente en el mismo mes.” k. “Para mantener el acceso a la red, el atacante usó herramientas públicamente disponibles, de 11.-[………] en los sistemas que se comunicaban con la dirección IP controlada por el atacante ***IP.1.” l. “No se observó más actividad maliciosa referente al mismo atacante o actor de amenazas tras el 11 de agosto de 2018” m. “La dirección IP controlada por el atacante fue bloqueada el 15 de noviembre.” n. “Se observó una configuración de registros irregular en los sistemas analizados, de forma que únicamente algunos sistemas almacenaban archivos de registros archivados localmente; por ejemplo, los scripts ejecutados por Powershell se registraban únicamente en algunos sistemas. Los registros de auditoría son importantes durante una incidencia de seguridad para reconstruir las actividades del atacante… Por consiguiente, se recomienda revisar la política actual de auditoría y retención y aplicarla uniformemente en todo el entorno. Si no se emplea ya, también se recomienda valorar la posibilidad de centralizar la recopilación de registros en una plataforma exclusiva, como un producto de Gestión de Incidencias e Información de Seguridad (SIEM), …” a. “Aunque no ha sido posible determinar exactamente la fuente de la infección de los sistemas en alcance, una de las hipótesis más probables es que 12.-[………].” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/35 b. “Bloquear y supervisar el tráfico de salida a direcciones IP externas sospechosas es una buena forma de detectar un comportamiento anormal que se origine en la red. En este incidente hemos 13.- [………], comunicarse con direcciones IP externas que no se hallaban relacionadas con ningún sistema de pago, ni tampoco estaban justificadas por otras necesidades comerciales.” a. “Durante la investigación, IRIS observó diversos sistemas con funcionamiento más largo de un año, con lo que los sistemas operativos no contaban con parches para un periodo tan largo.” 2. Se aporta un calendario de tareas técnicas acometidas para el cierre de la brecha y las mejoras de protección implantadas que ha tenido en consideración, según manifestación de AIR EUROPA, las medidas y recomendaciones emitidas por ***EMPRESA.2 tras el análisis del incidente de seguridad. Este calendario alberga tareas comprendidas entre el 14/11/2018 y el 13/02/2019 y se clasifican en los siguientes grupos: a. Actualización de XXX XXX. b. Restricción reglas de firewall. c. Bloqueo y registro de ***IP.2. d. Limpieza de usuarios locales XXX XXX. e. Cambios de contraseña.  14.- [………]. f. Antivirus. g. Aplicación 15.-[………]. h. Parcheo de vulnerabilidades y actualización de servidores involucrados en el incidente. i. Instalación XXX XXX. j. 16.-[………]. k. Replataformado de XXX XXX. l. Configuración 17.-[………]. 3. AIR EUROPA manifiesta que ha recibido únicamente 20 comunicaciones de clientes debidas, en su mayoría, a incomodidades derivadas de la cancelación de la tarjeta por su entidad bancaria, sin que manifestaran ningún tipo de daño económico sufrido, y a través de las cuales solicitan mayor información. Que únicamente 3 de ellas manifestaban haber sufrido algún tipo de perjuicio económico fruto de la utilización, por terceros, de los datos personales obtenidos a través del ataque. Desde AIR EUROPA se ha dado respuesta atendiendo los requerimientos de información solicitados por los interesados. 4. Aporta análisis de riesgos respecto de las medidas de seguridad en el tratamiento de los datos de venta online a pasajeros de AIR EUROPA el cual consiste en un documento de na página que analiza 9 riesgos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/35 5. Aporta análisis de riesgos efectuado respecto de la necesidad o no de notificación a esta Agencia y a los interesados. En este análisis se manifiesta: a. El art. 34.3 del GDPR establece tres excepciones a la obligación de notificar a los interesados:  Respecto al 34.3.a): “En relación a los sistemas de AIR EUROPA, no existían medidas específicas, 18.-[………]. Sin embargo, la información a la que accedieron los atacantes no incluye información sensible como categorías especiales de datos personales, direcciones postales o números de teléfono, número de pasaporte o DNI o fecha de nacimiento. Esta información sensible no se almacena junto con la información de tarjetas bancarias como medida de seguridad. Como resultado, es muy difícil identificar individuos únicos dentro del conjunto de datos.”  Respecto al 34.3.b): “…una vez identificado el incidente por las entidades bancarias, estas y los emisores de las tarjetas bancarias comprometidas procedieron a bloquear e informar de dicho bloqueo a los interesados de manera que los datos comprometidos quedasen inutilizados…” Se aporta modelo de comunicación realizado por la entidad Bankinter a sus clientes.  Respecto al 34.3.c): “…es prácticamente imposible identificar de forma única a los interesados a partir de este conjunto de datos, ya que no dispone de los datos de contacto de los mismos. Por lo tanto si se determina que debe realizarse una notificación a los interesados, AIR EUROPA tendría que realizar una comunicación pública en lugar de notificaciones individuales. Desde AIR EUROPA se entiende que en este momento resulta más gravoso para los intereses generales y los de los interesados realizar una comunicación pública, al no existir ningún beneficio derivado de esa comunicación.” b. Que, según la metodología de análisis de la AEPD el resultado cuantitativo no superaría el umbral establecido para dicha notificación (30 vs 40) mientras que el umbral cualitativo sí se vería superado. Sin embargo y teniendo en cuenta lo anterior, AIR EUROPA ha decidido no notificar a los interesados argumentando que el incidente no es susceptible de suponer un alto riesgo para los derechos y libertades de los mismos. c. Que en aquellos casos en que se pudiera observar un alto riesgo podrían aplicarse una o más excepciones de las recogidas en el art. 34 RGPD. En este sentido aplicarían las previstas en el art. 34.3

1. a)y b). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/35 Con fecha 14/11/2019, AIR EUROPA remite a esta Agencia la siguiente información y manifestaciones: 1. Que el 100% del capital social de AIR EUROPA pertenece a GLOBALIA CORPORACIÓN EMPRESARIAL, S.A. Que en AIR EUROPA existe un equipo responsable de los sistemas de información encabezado por la figura del CIO. A nivel operativo las funciones relacionadas con el aprovisionamiento de infraestructura y administración de los sistemas de información y comunicaciones son provistas por GLOBALIA SISTEMAS Y COMUNICACIONES S.L.U., sociedad que pertenece en un 100% a GLOBALIA CORPORACIÓN EMPRESARIAL, S.A. 2. Aporta copia firmada de contrato de asistencia y gestión en el área de sistemas de información y comunicaciones fechado a 31/10/2009 entre AIR EUROPA LINEAS AÉREAS, S.A.U. y GLOBALIA SISTEMAS Y COMUNICACIONES, S.L.U. donde se manifiesta, entre otros: a. Que GLOBALIA SISTEMAS asistirá a AIR EUROPA en las áreas de sistemas de información y telecomunicaciones. b. Que el servicio a prestar por GLOBALIA SISTEMAS tendrá un carácter integral, de forma que permita a AIR EUROPA la externalización total de los servicios en las áreas de sistemas de información y comunicaciones. c. Que GLOBALIA SISTEMAS realizará por propia iniciativa las gestiones y tareas oportunas para el desarrollo de las prestaciones anteriormente identificadas. No obstante lo anterior, GLOBALIA SISTEMAS someterá a la aprobación de AIR EUROPA los proyectos a desarrollar y rendirá cuentas de las gestiones en el curso de reuniones organizadas, de mutuo acuerdo, con una periodicidad no superior a la trimestral. 3. Aporta copia firmada de novación al contrato de encargado de tratamiento de datos personales fechado a 31/10/2019, según el cual, GLOBALIA SISTEMAS Y COMUNICACIONES, S.L.U. es el encargado del tratamiento y AIR EUROPA LINEAS AÉREAS, S.A.U. es el responsable del tratamiento. 4. Aporta copia del Plan de Respuesta ante Incidentes de Ciberseguridad de GLOBALIA con fecha de entrada en vigor del 05/07/2019 en su primera versión según indica el control de versiones del documento y la portada del documento. 5. Que el informe forense de ***EMPRESA.3 es un informe que requieren por norma los bancos en nombre de las entidades de pago que son miembros del PCI Council (como sería el caso de VISA) a las entidades afectadas por un incidente, con el fin de evaluar lo 19.-[………]. 6. Que el informe forense de ***EMPRESA.3 tiene un objeto muy específico y está orientado en el marco de identificar el volumen de tarjetas identificadas como comprometidas, lo cual determina por norma general la compensación económica que el PCI Council pueda requerir a la entidad afectada por el incidente. Aporta informe forense de ***EMPRESA.3 fechado a enero de 2019 y basado en la investigación iniciada en fecha 25/10/2018 el cual contiene las siguientes manifestaciones, entre otras: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/35 a. “La investigación realizada por ***EMPRESA.3 identificó pruebas concluyentes de violación en AIR EUROPA” b. “La investigación de ***EMPRESA.3 identificó más de 2,7 millones de números de tarjeta únicos que habían sido extraídos de los sistemas de bases de datos por el atacante. Aunque algunos de los datos de las tarjetas estaban 20.-[………], el atacante consiguió utilizar herramientas de 21.-[………] para obtener datos de texto claros.” c. “La intrusión probablemente tuvo su origen en sistemas inseguros disponibles a través de internet. ***EMPRESA.3 identificó varios dispositivos que no se habían parcheado con regularidad…” d. “Resumen de posibles causas y lista de vectores de ataque: 22.-[………] a. Existen pruebas de violación del entorno de datos de los titulares de las tarjetas. b. “El ataque comenzó al acceder el atacante al XXX XXX desde un servidor no adecuadamente segmentado en el XXX XXX”. c. “El atacante tenía una conexión sistemática con un host externo. 23.-, ***EMPRESA.3 [………]. Sin embargo, sí visualizó cómo el atacante creaba varios archivos y posteriormente los comprimía en un solo archivo. 24.-[………].” d. Posible exposición de tipos de datos, entre otros; nombre del titular de tarjeta, dirección de titular de tarjeta, fecha de vencimiento. e. Que el número total de tarjetas expuestas son 2722692, no siendo ése el número de tarjetas que están en riesgo. 2. Que, en relación al motivo de la no detección de la brecha hasta el ***FECHA.1 a pesar de que el ataque se inició el 12/05/2018, AIR EUROPA manifiesta que la brecha se produjo como consecuencia de una APT, un ataque dirigido y sofisticado, planificado y ejecutado de una forma profesional y alevosa. Así mismo manifiesta que: “el ataque sufrido por la Sociedad es un tipo de “ataque […] diseñado para perdurar en el tiempo y conseguir evadir todas las medidas de seguridad de las plataformas más usuales” tal y como describe el INCIBE en un artículo publicado en su portal a fecha 16 de junio de 2016 y firmado por A.A.A.. Es, por tanto, un tipo de ataque sigiloso y que busca como fin último filtrar información sensible de una organización y borrar las huellas a la finalización, lo que los hace extremadamente difíciles de detectar” 1. Manifiesta que las fechas clave del proyecto de elaboración del Plan Director de Seguridad (PDS) son: a. Julio 2019: definición del alcance preliminar de los servicios de negocio que se evaluarán para el desarrollo del PDS. b. 11 de septiembre de 2019: reunión de lanzamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/35 c. 31 de enero de 2019: cierre de proyecto. d. 3 de febrero de 2020: entrada en vigor del PDS. 2. Aporta un documento con título “Procedimiento de actualizaciones críticas y de seguridad” y manifiesta que este procedimiento se viene aplicando de forma habitual desde antes del incidente. a. En este documento se manifiesta 25.-[………]. “26.-[………]” b. En este documento se manifiesta en el apartado de 27.-[………]. c. En este documento se manifiesta en el 28.-[………].” 3. Aporta el Manual de Seguridad de la Información de AIR EUROPA con fecha de última modificación del documento el 31/10/2013 siendo el objeto de este documento responder a la obligación establecida en el artículo 9 de la Ley Orgánica 15/1999. 4. Manifiesta que “resulta relevante manifestar, como dato importante a efectos de ratificar la inexistencia de perjuicios efectivos relevantes, que el número de reclamaciones recibidas por parte de usuarios de la Compañía que pudieran estar relacionados con el incidente ha sido muy pequeño (2 reclamaciones en total sin solicitud de compensación). Ello confirma el análisis de que los atacantes no han podido conseguir información sensible o relevante y que, con la información que pudieran haber sustraído, la existencia de numerosas medidas de seguridad técnicas y organizativas en toda la cadena de procesos (incluyendo las entidades intervinientes en los servicios de pago) ha hecho que esa información no se pueda haber utilizado para causar perjuicios graves.” Con fecha 04/06/2020 AIR EUROPA remite a esta Agencia la evaluación de impacto del tratamiento de “Venta a clientes por canales alternativos”. TERCERO: Con fecha 23/06/2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de los artículos 32.1 y 33 del RGPD, tipificadas conforme a lo dispuesto en el artículo 83.4.
2. a)del citado RGPD. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presento ante la AEPD escrito solicitando copia del expediente y ampliación del plazo concedido para la presentación de alegaciones, que fue concedido en cinco días más. El 16/07/2020 el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba que no era cierto que no se hubiese notificado la brecha de seguridad sino que una vez que se tuvo indicios fundados de que el ciberataque sufrido había afectado a un considerable número de datos se procedió a su notificación; que el reclamado en todo momento ha contestado a los requerimientos formulados por la AEPD; la improcedencia de la infracción del artículo 33 del RGPD puesto que la notificación fue efectuada; la falta de motivación y de responsabilidad apreciada por la AEPD; que en las resoluciones dictadas por la AEPD relativas a brechas de seguridad menos sofisticados que la analizada fueron la mayor parte de ellas archivadas siempre que se acreditaran medidas de seguridad técnicas con anterioridad al incidente y se adoptaban medidas paliativas con posterioridad como ocurre en el presente caso; su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/35 disconformidad con la graduación de la sanción ante la posible infracción del artículo 32.1 del RGPD por la no concurrencia de agravantes y la existencia de atenuantes que no han sido considerados en el acuerdo de inicio. QUINTO: Con fecha 23/11/2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, practicándose las siguientes: Dar por reproducidos a efectos probatorios todos los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01909/2020. Dar por reproducidos a efectos probatorios, las alegaciones al acuerdo de inicio PS/00179/2020 presentadas por el reclamado y la documentación que a ellas acompaña. Solicitar al reclamado en referencia a fecha anterior al inicio de la brecha producida: - Descripción (incluyendo el nombre de los servidores y las bases de datos incluidos en ellos) los distintos entornos de sistemas desde el punto de vista de la seguridad, donde almacenan datos de clientes y de sus tarjetas bancarias, incluyendo al menos, los datos de dirección postal, números de teléfono, números de pasaporte, DNI, fecha de nacimiento, nombre del titular de la tarjeta, PAN de la tarjeta, fecha de caducidad de la tarjeta y su código CVV. Asimismo, indicación de tipos de datos que se almacenan dentro de cada entono/servidor/base de datos y aporte documentación que acredite las medidas de seguridad aplicadas encaminadas a aislar los distintos entonos entre sí. - Para cada una de los entornos, servidores y bases de datos identificados en el apartado anterior, aporte captura de pantalla donde se visualice, para 50 registros, todos los datos almacenados junto con la explicación de su significado. Teniendo en cuenta el documento de Análisis de Riesgos entregado a esta Agencia con nombre “Documento_3__PIA_Venta_on_line.pdf”, y las medidas de seguridad aplicadas antes del inicio de la brecha, aportación de la siguiente información y documentación en vigor a fecha anterior al inicio de la brecha: • Motivo por el que no se incluyeron en el análisis de riesgos 29.-[………]. • Motivo por el que no estaban adoptando 30.-[………]: 31.-[………]. 32.-[………] El 02/12/2020, el reclamado presento ante la AEPD escrito de ampliación del plazo concedido para la aportación de pruebas que le fue concedido en cinco días más. El 16/12/2020 el reclamado dio respuesta a la información solicitada cuyo contenido obra en el expediente. SEXTO: El 05/02/2021 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara al reclamado, por infracción de los artículos 32.1 y 33 del RGPD, tipificadas en el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/35 83.4 del RGPD, con multas de 500.000 € (quinientos mil euros) y 100.000 € (cien mil euros), respectivamente. El 10/02/2021, el reclamado presento ante la AEPD escrito de ampliación del plazo concedido para la presentación de alegaciones, que fue concedido en dos días más. El 25/02/2021 el reclamado presente escrito en el que alegaba en síntesis: la importancia para el reclamado supone tanto el incidente producido como la protección de los datos de carácter personal de todos sus clientes; la indefensión causada ante la falta de consideración de las pruebas presentadas al último requerimiento de información de la AEPD; la impugnación expresa de la totalidad del informe de la empresa Foregenix; la improcedencia de la sanción impuesta por presunta infracción del artículo 33 del RGPD y, subsidiariamente, su prescripción; disconformidad con la imputación de infracción del artículo 32 del RGPD en relación con las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo y la improcedencia del uso de los informes forenses como prueba de que Air Europa no contaba con medidas de seguridad adecuadas; la falta de proporcionalidad en el análisis de las circunstancias agravantes tenidas en cuenta por la AEPD para la graduación de la sanción impuesta como consecuencia de la presunta infracción del artículo 32.1 del RGPD y la existencia de circunstancias atenuantes que no han sido consideradas a la hora de establecer la cuantía de la sanción y la disparidad de criterios en relación a anteriores procedimientos sancionadores similares. SEPTIMO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 29/11/2018 se recibe en la AEPD escrito del reclamado señalando que el ***FECHA.1 había recibido notificación del Banco Popular relativa a un incidente de seguridad provocando la activación del plan de respuestas ante incidentes el 17/10/1018. SEGUNDO: El 18/01/2019 el reclamado aporto notificación completa a través del formulario habilitado en la sede electrónica de la AEPD, aportando documentos anexos relativos a Medidas preventivas aplicadas con anterioridad al incidente; Medidas de contención e información adicional y Justificación para no informar a los interesados afectados por el incidente. TERCERO: El reclamado en fecha 01/04/2019 ha aportado: Informe técnico forense elaborado por ***EMPRESA.2 en relación con la incidencia comunicada a la AEPD en el que se analiza la incidencia producida y recomendaciones; señalando que “En octubre de 2018, GLOBALIA fue informada por las compañías de las tarjetas de crédito de que un gran número de tarjetas de crédito, unas 4000, habían sido utilizadas para cometer fraude. Los datos robados incluían datos personales y financieros de los clientes de GLOBALIA que realizaron reservas y modificaciones en AirEuropa.com. Los datos no incluían datos de viaje ni de pasaporte” y que "El primer acceso confirmado a la red de GLOBALIA por parte del atacante tuvo lugar a través 33.-[………] para una cuenta desconocida el día 12 de mayo de 2018.”Informe elaborado por el equipo técnico del reclamado el que se identifican las tareas técnicas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/35 acometidas para el cierre de la brecha y las mejoras de protección implantadas, atendiendo a las recomendaciones de IBM; análisis de riesgo respecto de las medidas de seguridad en el tratamiento de los datos de venta online a pasajeros de Air Europa; el análisis de riesgos efectuado por la Sociedad respecto de la necesidad o no de notificación a la AEPD y a interesados acerca de la brecha de seguridad experimentada. CUARTO: El reclamado en fecha 14/11/2019 ha aportado Informe forense de ***EMPRESA.3 de enero de 2019 basado en investigaciones realizadas y el análisis de las posibles causas, señalando entre otras que “La investigación realizada por ***EMPRESA.3 identificó pruebas concluyentes de violación en AIR EUROPA”; copia del contrato de asistencia y gestión de sistemas de información y comunicaciones de 31/10/2009 entre GLOBALIA SISTEMAS Y COMUNICACIONES, S.L.U. y el reclamado en el que ostentan la condición de responsable y encargado del tratamiento respectivamente; copia el Plan de Respuesta ante Incidentes de Ciberseguridad de GLOBALIA de 05/07/2019 y Manual de Seguridad de la Información de fecha 31/10/2013 QUINTO: El 04/06/2020 el reclamado ha aportado Evaluación de impacto del tratamiento de “Venta a clientes por canales alternativos”. SEXTO: El reclamado ha aportado en periodo de pruebas documentos relativos a medidas que tenía implantadas con anterioridad al incidente de seguridad declarado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
3. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” El RGPD establece en el artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. El artículo señala que: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/35 (…)
4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. (…) Por otra parte, el artículo 4 del RGPD, Definiciones, establece en sus apartados 7, 8 y 12: “(…) 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; (…) 12) «violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos; (…)” Asimismo, el artículo 24, Responsabilidad del responsable del tratamiento, establece que: “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3. La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento”. Y el artículo 25, Protección de datos desde el diseño y por defecto, señala que; “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/35 probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. 3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo”. Por tanto, para subsanar una violación de seguridad el responsable del tratamiento debe ser capaz de reconocerla y la consecuencia de tal violación es que el responsable del tratamiento no puede garantizar el cumplimiento de los principios relativos al tratamiento de los datos personales, tal como se establece en el artículo 5 del RGPD. La seguridad de los datos personales viene regulado en los artículos 32, 33 y 34 del RGPD. III El RGPD define las quiebras de seguridad de los datos personales como aquellos incidentes que ocasionan la destrucción, pérdida o alteración accidental o ilícita de datos personales, así como la comunicación o acceso no autorizado a los mismos. Desde el pasado 25/05/2018, la obligación de notificar a la Agencia las brechas o quiebras de seguridad que pudiesen afectar a datos personales es aplicable a cualquier responsable de un tratamiento de datos personales, lo que subraya la importancia de que todas las entidades conozcan cómo gestionarlas. Por consiguiente, tan pronto como el responsable del tratamiento tenga conocimiento de que se ha producido una violación de la seguridad de los datos personales debe, sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, notificar la violación de la seguridad de los datos personales a la autoridad de control competente, a menos que el responsable pueda demostrar, atendiendo al principio de responsabilidad proactiva, la improbabilidad de que la violación de la seguridad de los datos personales entrañe un riesgo para los derechos y las libertades de las personas físicas. El responsable del tratamiento debe comunicar al interesado sin dilación indebida la violación de la seguridad de los datos personales en caso de que puede entrañar un alto riesgo para sus derechos y libertades, y permitirle tomar las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/35 precauciones necesarias. La comunicación debe describir la naturaleza de la violación de la seguridad de los datos personales y las recomendaciones para que la persona física afectada mitigue los potenciales efectos adversos resultantes de la violación. Dichas comunicaciones a los interesados deben realizarse tan pronto como sea razonablemente posible y en estrecha cooperación con la autoridad de control, siguiendo sus orientaciones o las de otras autoridades competentes, como las autoridades policiales. Así, por ejemplo, la necesidad de mitigar un riesgo de daños y perjuicios inmediatos justificaría una rápida comunicación con los interesados, mientras que cabe justificar que la comunicación lleve más tiempo por la necesidad de aplicar medidas adecuadas para impedir violaciones de la seguridad de los datos personales continúas o similares. En el artículo 33 del RGPD establece la forma en que ha de notificarse una violación de la seguridad de los datos personales a la autoridad de control. En este mismo sentido se señala en los Considerandos 85 y 86 del RGPD: