← España

PS-00187-2017

1/25 Procedimiento Nº PS/00187/2017 RESOLUCIÓN: R/03009/2017 En el procedimiento sancionador PS/00187/2017, instruido por la Agencia Española de Protección de Datos a la entidad VTECH ELECTRONICS LIMITED, y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 2/12/2015 la Directora de la Agencia Española de Protección ordenó el inicio de las actuaciones previas de investigación con referencia E/07646/2015. El objeto de éstas era determinar el posible incumplimiento de la normativa de la que ésta Agencia es competente en relación con las noticias aparecidas en los medios sobre una supuesta violación de la seguridad de los datos que habría afectado a los usuarios de productos de la marca VTECH, principalmente juguetes. Las noticias, aparecidas en los medios1 a partir del 27 de noviembre de 2015, informaban de que la compañía VTECH habría sido víctima de un ataque informático que habría provocado el acceso ilícito a datos de millones de cuentas de usuarios, adultos y menores, de países de todo el mundo, incluyendo España. En las declaraciones realizadas por el intruso que accedió a los sistemas de VTECH y por otro experto en seguridad, se informaba de que se había obtenido copia de todos los datos alojados en el sistema y se ponía en cuestión la calidad de las medidas de seguridad aplicadas por la entidad sobre los sistemas afectados. Debido a la caducidad de las actuaciones, éstas fueron archivadas mediante resolución de 19/01/2017 en la que se también se resuelve la apertura de las presentes actuaciones. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practicaron las siguientes diligencias y 1 ***URL.1 ***URL.2 ***URL.3 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 se obtuvo la siguiente información: Durante las presentes actuaciones se han realizado investigaciones a las siguientes entidades: VTECH ELECTRONICS EUROPE B.V. con domicilio en (C/...1) (Países Bajos), registrada en la Cámara de Comercio de Noord en Midden-Limburg con el número X.1, con número SIRET ***SIRET.1, IVA ***IVA.1 y CNIL: ***CNIL.1. VTECH ELECTRONICS EUROPE, S.L. con NIF ***NIF.1 y domicilio en (C/...2) (Madrid) VTECH ELECTRONICS LIMITED con número de registro ***REG.1 y domicilio en (C/...3) Respecto de las empresas del Grupo VTECH: 1. Las empresas del grupo VTECH comercializan sus productos en 35 países y su oficina principal se encuentra en Hong Kong. A pesar de que su catálogo de productos incluye otros productos, el grupo es conocido por los juguetes que comercializa, algunos de los cuales son versiones adaptadas para el uso infantil de tabletas y ordenadores. Con la finalidad de obtener contenidos o funciones adicionales para los productos adquiridos, algunos de los juguetes permiten la creación de cuentas de usuario en distintos sitios web de la compañía. 2. Los juguetes de la marca VTECH son comercializados en España por VTECH ELECTRONICS EUROPE, S.L., en adelante VTECH ESPAÑA. VTECH ESPAÑA comercializa los juguetes a comercios mayoristas y minoristas, pero no a particulares. No se han encontrado evidencias de que VTECH ESPAÑA tenga relación alguna con los sistemas de información afectados por la violación de la seguridad de los datos. 3. VTECH ELECTRONICS EUROPE BV, en adelante VTECH HOLANDA, es un sociedad del grupo con sede en los Países Bajos que presta servicios a otras sociedades del grupo en Europa. VTECH ESPAÑA, con el fin de facilitar el ejercicio de los derechos de acceso, rectificación cancelación y oposición, facilita como domicilio donde ejercerlos los usuarios españoles el suyo pero únicamente redirige dichas solicitudes a VTECH HOLANDA. Servicios y datos afectados 4. Los servicios afectados que contenían datos de usuarios españoles y se vieron afectados son tres: Explor@ Park, Kid Connect y Planet Vtech. Los datos de los usuarios, tanto españoles como de otros países, estaban alojados en el momento de la violación de la seguridad de los datos en servidores de dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 proveedores de servicios de computación en la nube ubicados en Estados Unidos: Amazon Web Services e Internap. 5. Explor@ Park es el nombre comercial del servicio “Learning Lodge” a través del cual los usuarios registrados pueden descargar contenidos extra para algunos de los juguetes comercializados por VTECH ESPAÑA. Fue puesto en marcha en agosto de 2010. Los tipos de datos comprometidos para esta plataforma son:  Información del adulto Nombre y apellidos, dirección de correo electrónico, dirección postal, dirección IP, historial de descargas, contraseña y pregunta y respuesta secreta para recuperarla.  Información del menor: Nombre, sexo, fecha de nacimiento  Registro de las ventas por descarga de contenidos.  Registro del progreso de los menores en los juegos. En el servicio “Learning Lodge” figuran los datos de 115.155 adultos y 138.847 menores españoles que se han visto comprometidos por la violación de la seguridad de los datos. De la política de privacidad aportada como anexo 1 del escrito registrado con número de entrada ***REG.1 se desprende que la responsable de los datos personales incluidos en el servicio Learning Lodge o Explor@ Park es VTECH HOLANDA. El servicio se relanza en enero de 2016. 6. “Kid Connect” es una aplicación que permite intercambiar mensajes de texto, imágenes y grabaciones de audio entre los niños que disponen de algunos de los juguetes comercializados por VTECH y los teléfonos móviles de sus padres. Fue puesto en marcha en julio de 2013. Únicamente dos de los juguetes comercializados en España permiten el uso de esta aplicación y comenzaron a comercializarse en España a lo largo del año 2015. Los tipos de datos comprometidos para esta plataforma son:  Información del adulto: Dirección de correo electrónico, contraseña, las fotos de perfil y nombre de usuarios de padres e hijos.  Los mensajes de texto enviados entre dos usuarios no entregados se conservaban hasta que fueran entregados o por un periodo máximo de 30-40 días.  Los últimos 20 mensajes de texto enviados a un grupo.  Los mensajes de voz y fotografías enviados entre dos usuarios se conservan un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 año. En el servicio “Kid Connect” figuran los datos de 2.336 adultos y 2.338 menores españoles que se han visto comprometidos por la violación de la seguridad de los datos. En el escrito registrado con número de entrada ***REG.1 VTECH ESPAÑA manifiesta que los servicios de la plataforma “Kid Connect” son prestados a través de VTECH HOLANDA. En el anexo 1 del escrito registrado con número ***REG.2 se aporta la política de privacidad que deben aceptar los usuarios de la plataforma “Kid Connect” y de ella se desprende que la responsable de los datos personales incluidos en la plataforma “Kid Connect” es VTECH ELECTRONICS LIMITED, con sede en Hong Kong, en adelante VTECH HONG KONG. Consta en la correspondiente diligencia de 03/04/2017 que consultado el servicio Google Play que proporciona información sobre aplicaciones disponibles para teléfonos móviles con sistema operativo Android, el prestador del servicio de las aplicaciones “Kid Connect”, tanto en Español como en otras lenguas de la Unión Europea, es VTECH ELECTRONICS LIMITED. El servicio se relanza en abril de 2016. 7. Planet Vtech es una plataforma a través de la cual los clientes que adquirieron el producto “Ciberespía PC” a lo largo del año 2009 podían registrarse para acceder a un juego virtual. Fue puesto en marcha en 2008. Los tipos de datos comprometidos para esta plataforma son:  Información del adulto: Nombre, dirección de correo electrónico, contraseña, pregunta y respuesta secreta para la recuperación de la contraseña, domicilio postal, dirección IP e historial de descargas.  Información del menor: Nombre, nombre de su avatar, contraseña, género, fecha de nacimiento y puntuación en los juegos. En el servicio “Planet Vtech” figuran los datos de 10.482 adultos y 9.514 menores españoles que se han visto comprometidos por la violación de la seguridad de los datos. VTECH ESPAÑA manifiesta que debido al reducido número de ventas se solicitó el cierre de la plataforma para España en el año 2010. VTECH HONG KONG manifiesta que la plataforma se cerró el 29 de noviembre de 2015 y que destruirá los datos tan pronto como la investigación y los litigios iniciados en relación a la violación de la seguridad de los datos hayan finalizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 En el anexo 1 del escrito registrado con número ***REG.2 se aporta la política de privacidad que deben aceptar los usuarios de la plataforma “Planet Vtech” en la que se identifica como responsable a “VTECH ELECTRONICS EUROPE” sin especificar el tipo de sociedad. Por otro lado, el dominio planetvtech.es está registrado a nombre de VTECH HONG KONG, que es también quien facilita a la autoridad de protección de datos de Hong Kong la información sobre la finalidad de la recogida de datos y los datos más precisos sobre la puesta en marcha y parada del sistema. Requerida una aclaración sobre la identidad de la responsable de los datos de la plataforma Planet Vtech, en el escrito registrado con número ***REG.3 VTECH ESPAÑA manifiesta que “A todos los efectos, el responsable del fichero es VTECH ELECTRONICAS EUROPE BV (Países Bajos).”. El servicio se suspendió en noviembre de 2015 y no se volverá a poner en marcha. 8. El registro en cualquiera de las tres plataformas es voluntario ya que los productos comercializados por VTECH ESPAÑA funcionan sin necesidad de ser usuarios registrados. El registro en las plataformas únicamente aporta un valor añadido al producto. Parte de los contenidos accesibles desde Explor@ Park pueden adquirirse en forma de cartuchos, por lo que no es necesario tener conectividad para acceder a ellos. Según manifiesta VTECH ESPAÑA en su último escrito, registrado con número ***REG.3, las formas en las que los usuarios podían proporcionar los datos a las plataformas son las que siguen:  Mediante un software que se puede instalar en el ordenador del usuario y a través del cual se puede conectar con las plataformas.  En el caso de los productos con conectividad inalámbrica el usuario se puede registrar utilizando la aplicación Learning Lodge que viene incluida en el juguete.  Kid Connect es una aplicación de mensajería instantánea similar a Whatsapp que debía instalarse en los móviles de los padres para que éstos pudiesen comunicarse con los juguetes de VTECH que tuviesen esa capacidad.  El registro en la plataforma Planet Vtech se realizaba a través de su sitio web. 9. VTECH ESPAÑA tiene declarados una serie de ficheros en el Registro General de Protección de Datos, que no tiene relación con los sistemas afectados por la violación de la seguridad de los datos, sino que contienen datos de diferentes campañas de fidelización realizadas con los clientes que adquieren productos de VTECH. Cronología de los hechos 10. Según la información facilitada por el grupo VTECH y las publicaciones halladas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 en sus sitios web, los hechos relativos a la violación de la seguridad de los datos ocurrieron según en el siguiente orden:  23/11/20152 VTECH HONG KONG recibe un correo electrónico de un periodista que alerta de la violación de la seguridad de los datos. En ese momento comienza una auditoría interna de sus sistemas.  24/11/2015 La auditoría interna detecta irregularidades ocurridas el 14/11/2015 en el sitio web de Explor@ Park.  26/11/2015 La auditoría interna se confirma la violación de seguridad de los datos.  27/11/2015 El periodista que informó a VTECH HONG KONG de la violación de la seguridad de los datos publica en un diario digital el primero de una serie de artículos 3 informando sobre la el incidente. Se remite un correo electrónico a los usuarios registrados de Explor@ Park en el que se les informa de que personas no autorizadas habían tenido acceso a la base de datos del sistema y se les proporciona un enlace a la página de notas de prensa4 en lengua inglesa.  28/11/2015 Se suspenden los servicios Explor@ Park y Kid Connect.  5/12/2015 Se añaden comunicados de prensa en lengua española en la página principal de VTECH ESPAÑA y en una página específica dentro del sitio web5.  7/12/2015 Se remite un nuevo correo a los usuarios registrados de Explor@ Park en el que se amplía la información ofrecida previamente proporcionándose en este caso además un enlace al sitio web de la compañía en España con información sobre la violación de la seguridad de los datos. En la comunicación se informa de la suspensión temporal del servicio y recomienda el cambio de las clave de usuario porque éstas podrían haber sido descifradas por el intruso y se informa de la suspensión. 2 La cronología sobre lo ocurrido los primeros días se obtiene de los puntos 12 y 13 de las notas de prensa publicadas por el grupo VTECH e incluidas en la diligencia de 14/11/2016. La nota de prensa en lengua inglesa ofrece mayor detalle. 3 ***URL.4 4 ***URL.5 5 ***URL.6 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25  9/12/2015 Se remite un correo a los usuarios registrados de Kid Connect en el que se informa de que una persona no autorizada había tenido acceso a la base de datos del sistema y de la suspensión temporal del servicio, incluyendo el enlace al sitio web de la compañía en España con información sobre la violación de la seguridad de los datos. En la comunicación se recomienda el cambio de las clave de usuario en otras páginas o servicios donde se haya utilizado la misma contraseña.  15/12/2015 Se detiene a un hombre en el Reino Unido como sospechoso de la violación de la seguridad de los datos.  23/01/2016 Se reabre la plataforma Explor@ Park, con sus principales funciones activas.  08/08/2016 Se reabre el servicio Kid Connect en España para algunos de los productos. Forma en la que se produjo la violación de la seguridad de los datos Los detalles sobre la forma en que se produjo la violación de la seguridad de los datos son proporcionados por VTECH HONG KONG a la autoridad de protección de Datos de Hong Kong, quien los comparte con esta Agencia, en respuesta a la solicitud de colaboración realizada. 11. El intruso utilizó una técnica denominada “Inyección de SQL” para conseguir acceso al entorno del sistema Planet Vtech alojado en el servicio Amazon Web Services. La Inyección de SQL es un tipo de ataque conocido al menos desde 2003. Ha estado en la lista6 de las 10 vulnerabilidades más utilizadas entre los años 2003 y 2011 y ha afectado a centenares de miles 7 de sitios web de todo el mundo a pesar de que su solución es conocida y sencilla de implementar. 12. Posteriormente el intruso forzó la realización de una conexión inversa 8, desde un servidor de pruebas de Hong Kong al equipo del intruso. No se dispone de información sobre cómo el atacante pudo conocer la existencia del servidor o forzar la conexión inversa. 6 ***URL.7 7 ***URL.8 ***URL.9 8 Reverse shell C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 13. Una vez que el intruso tuvo acceso al servidor de pruebas de Hong Kong, localizó claves de acceso a las bases de datos alojadas en Amazon Web Services e Internap. 14. Con las claves de acceso de los servidores en Estados Unidos y una conexión abierta al servidor de pruebas de Hong Kong, el intruso creo una conexión a las bases de datos de los sistemas afectados y tuvo acceso a éstos. Sobre las medidas de seguridad previas 15. Según manifiestan los responsables de VTECH HOLANDA y VTECH HONG KONG, los sistemas afectados tenían implementados numerosas medidas de seguridad entre las que se encontraban cortafuegos, controles que impedían el acceso de personal no autorizado, políticas de minimización en la recogida, tratamiento y retención de datos y la formación del personal responsable en materia de seguridad. 16. Según manifiesta VTECH HONG KONG, el servidor que aloja los datos de los usuarios de Explor@ Park disponía de un cortafuegos (firewall) a nivel de red, pero no de un cortafuegos a nivel de aplicación. Al conectarse el intruso desde el servidor de pruebas de Hong Kong, el cortafuegos a nivel de red no bloquea la conexión ya que la entiende válida. El uso de un cortafuegos a nivel de aplicación podría haber prevenido la intrusión, pero el servidor no disponía de dicho sistema. 17. VTECH HONG KONG elabora entre 2002 y 2015 un conjunto de guías y documentos de políticas de seguridad con el fin de incrementar la seguridad en los tratamientos de datos personales. Dos de los documentos son guías para el desarrollo de aplicaciones web y para la seguridad de los entornos web de producción. La guía de seguridad de los entornos web de producción establece que en los servidores deberían de instalarse cortafuegos a nivel de aplicación pero VTECH HONG KONG manifiesta que la guía, implementada el 25 de agosto de 2015, no tiene efecto retroactivo y no se aplicó a los sistemas que sufrieron la violación de la seguridad de los datos, que estaban desarrollados previamente. La guía para el desarrollo de aplicaciones web establece que deberán de realizarse pruebas para evitar ataques comunes entre los cuales cita la inyección de SQL. Nuevamente VTECH HONG KONG manifiesta que la guía, implementada el 2 de junio de 2014, no tiene efecto retroactivo y no se aplicó a los sistemas que sufrieron la violación de la seguridad de los datos, que estaban desarrollados previamente. 18. En junio de 2015 se contrata un proveedor de servicios externos la realización de una serie de pruebas de penetración9 en los servicios del grupo VTECH. La realización de pruebas en los servidores que alojan Explor@ Park y Kid 9 Es un tipo de prueba realizada sobre un sistema informático, red o aplicación web cuya finalidad es encontrar vulnerabilidades que un atacante podría explotar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 Connect estaba planificada pero en el momento de ocurrir la violación de la seguridad de los datos no había sido ejecutada. Sobre las medidas correctivas adoptadas antes de la reapertura de los servicios 19. VTECH HONG KONG solicitó la realización de un informe a una empresa auditora externa denominada Mandiant10 al que esta Agencia no ha tenido acceso. 20. VTECH HONG KONG manifiesta que ha realizado las siguientes mejoras sobre las medidas de seguridad para evitar que se produzca una nueva violación de la seguridad de los datos. a. Se ha implantado una política que asigna a cada miembro del equipo una cuenta única de acceso al servidor y una política de claves que contempla la caducidad de estas y exige un determinado nivel de complejidad. Antes no existía un mecanismo específico. b. Se ha implementado una política que bloquea las cuentas de usuario si se produce un número determinado de intentos de acceso fallidos. Antes no existía mecanismo alguno. c. Se han implementado controles, que antes no existían, para que las cuentas de administrador local no puedan ser utilizadas en otros servidores y evitar así la propagación de una violación de la seguridad de los datos a otros servidores. d. Anteriormente no se revisaba el tráfico saliente con origen en servidores internos, ahora todas las conexiones salientes pasarán a través de un único punto que sólo permitirá el tráfico legítimo. e. Se ha mejorado el diseño de la red para separar los entornos de pruebas y los que tienen los datos reales y minimizar y controlar los accesos entre ambos. f. Instalación de un cortafuegos a nivel de aplicación. TERCERO: Con fecha de 1/06/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VTECH ELECTRONICS LIMITED con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3

  1. h)de la citada Ley. CUARTO: Notificado el acuerdo de inicio, VTECH ELECTRONICS LIMITED mediante escrito de fecha 11/07/2017 formuló alegaciones, significando en síntesis, lo siguiente: -La entidad tenia implementadas aquellas medidas de índole técnica y organizativas 10 ***URL.10 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 necesarias, atendiendo al estado de la tecnología en el momento de ocurrir el ciberataque. La entidad es una víctima y no un culpable. -Entre los días 12 y 14 de noviembre de 2015 un delincuente violo las medidas de seguridad, que supuso la puesta en marcha por parte de VTECH de mecanismos de auditoria interna para esclarecer lo sucedido así como la inmediata suspensión el 28/11/2015, informando en todo momento de lo sucedido a los usuarios, mostrando una actitud diligente y responsable. - el acuerdo de inicio se basa en acusaciones y vagas presunciones y datos no constatados, por cuanto afirma que el ataque conocido como Inyección SQL es “ de solución sencilla y fácil de implementar” pese a reconocer que “ha afectado a centenares de miles de sitios web en todo el mundo”, lo que es contradictorio, todo ello no está acreditado. Como tampoco la afirmación de que “el uso de un cortafuegos a nivel de aplicación podría haber prevenido la intrusión”, sin estar amparado en ningún informe técnico la veracidad al cien por cien de tal afirmación. La AEPD otorga presunción de veracidad a lo declarado por el delincuente y a lo publicado en diversos medios de comunicación : “En las declaraciones realizadas por el intruso que accedió a los sistemas de VTECH y por otro experto en seguridad, se informaba de que se había obtenido copia de todos los datos alojados en el sistema y se ponía en cuestión la calidad de las medidas de seguridad aplicadas” sin saber donde y cuando se hicieron las mismas ni la identidad del experto en seguridad. Estos hechos son inciertos. -las actuaciones practicadas adolecen de falta de prueba, mas halla de las hipotéticas declaraciones realizadas por las personas citadas ut supra. - el conjunto de medidas necesarias aludiendo al art. 9 LOPD es un concepto vago y amplio, los artículos 80 y 81 del RDLOPD, exigen medidas de nivel básico, las cuales se regulan en los arts. 89 y siguientes, siendo todas ellas implementadas sobradamente. Tal como se acredita mediante la aportación al procedimiento del documento “Corporate en Data Security measures at the time of Cyber Attack” -en particular, durante el desarrollo de los servicios Learning Lodge y Kid Connect, y con anterioridad a su puesta en marcha de forma pública, se adoptaron e implementaron las siguientes medidas de seguridad: I.Instalación de cortafuegos en los servidores en los que s procesaban datos de clientes. II.El acceso a servidores que contenían dichos datos, estaba restringido únicamente a personal muy limitado, con acceso protegido por contraseña. III.El acceso a datos de clientes era únicamente viable a través de aplicaciones restringidas a usuarios autorizados. IV.VTECH no almacenaba o procesaba ningún dato de carácter bancario o financiero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 V.Las contraseñas de acceso estaban encriptados. VI.La gestión de las cuentas de sus clientes estaba debidamente protegida mediante la oportuna validación mediante contraseña. VII.Los mensajes de los usuarios se almacenaban por periodo de tiempo limitado y estaban convenientemente encriptados por el protocolo AES 128. VIII.La mayoría de software y contenidos vendidos a través del servicio Learning Lodge estaba encriptado. IX.Los contenidos descargables de terceros contaban con las oportunas licencias y estaban sometidos a auditorias de seguridad. A partir de noviembre de 2014 se inició un proceso de auditoría interna para implementar mejores medidas de seguridad, cuya primera fase finalizo en VTECH (Hong Kong) en mayo de 2015, mientras que la segunda fase , dirigida al examen de los datos almacenados en China, estaba planeada para ser llevada a cabo al momento de sufrir el ataque. Se tomaron las siguientes medidas, traducidas en decisiones relevantes:
  2. a)En febrero de 2015 se desarrollan controles de seguridad de VTECH ( Hong Kong) guiados por el Consejo de Ciber Seguridad, para reforzar las medidas a implementar en Hong Kong.
  3. b)Entre los meses de julio y noviembre de 2015 se desarrollan planes de acción, comprobando la seguridad, mediante test de penetración en sus paginas webs por terceros y la implantación de un sistema de detección y prevención de intrusiones.
  4. c)En octubre de 2015, se reemplazó el cortafuegos existente hasta entonces en sus oficinas de Hong Kong con una plataforma líder en prevención y detección de intrusiones FortiGate, para extender el empleo de dicha plataforma para encauzar el tráfico a través de este cortafuegos, cuando sucedió el ataque. Por ello, las medidas de seguridad existentes en el momento del ataque no permitían predecir, la delictiva intrusión perpetrada. - De todo lo anterior se desprende lo siguiente:  No se ha probado que VTECH no contase con las medidas de seguridad necesarias que exige la LOPD, puesto que la única prueba existente es la declaración del delincuente y de un desconocido experto en seguridad.  Resulta acreditado, que tanto VTECH GROUP, como VTECH ( Hong Kong) están activamente comprometidas en el desarrollo e implementación de medidas tendentes a mejorar la prevención de intrusiones no autorizadas, resultando imposible desde el punto de vista técnico garantizar la seguridad al cien por cien. Se aportan documentos adjunto a las alegaciones, diversos documentos internos de la empresa donde se plasmas los diversos protocolos implementados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 -Vulneración de presunción de inocencia y culpabilidad. No existe material probatorio más allá de las declaraciones antes referenciadas, puesto que la emisión de notas de prensa de VTECH cuando sufrió el ataque, no implica ni equivales a que no tuviera implementados los sistemas de seguridad exigibles por la legislación sectorial de protección de datos. Tampoco ha podido acreditarse el elemento culpabilistico. -disconformidad con la cuantía de la sanción que se propone en el acuerdo de inicio. No se ajusta a los criterios del art. 45.4 LOPD. Se basa la determinación de la cuantía en el apartado
  5. b)relativo al volumen de datos afectados, computando el número de usuarios asociados al servicio pero no cual e el que realmente existió, si realmente existió. Asimismo en el momento o del ataque, se tenían estándares de seguridad como la encriptación bajo protocolo AES 128, por lo que no puede utilizarse como agravante. Se achaca el aparado
  6. c)relativo a la vinculación de la actividad del infractor, debiendo incardinarse, en todo caso, en el apartado b), ya que ninguna empresa del Grupo VTECH se dedica en absoluto al tratamiento de datos de carácter personal, sino que tienen por objeto la fabricación, venta y distribución de juguetes. En cuanto al aparado
  7. c)el volumen de negocio o actividad del infractor, debe tenerse en cuenta que el volumen de negocio en España de los servicios de VTECH Hong Kong atacados, no es tan grande como se sugiere. En cuanto al apartado j), relativo a que no se tenían implantadas las medidas para evitar el ataque, la naturaleza de los datos, y la lenta reacción, se esta en absoluto desacuerdo. Pues se tenían políticas de seguridad razonables para prevenir el ataque. En cuanto a la edad de los titulares de los datos, los menores, no se explica a que se refiere la mayor antijuridicidad que puede acarrear. La reacción lenta, tan solo dos días después del ataque, el 26 de noviembre, se concluye por VTECH que es un ataque criminal de hackers. Y el 29 se suspenden los servicios afectados. Concurren circunstancias atenuantes como las previstas en el art. 45.4 aparatados, a), por el carácter puntual de la infracción,
  8. e)nula obtención de beneficio alguno,
  9. f)inexistente grado de intencionalidad,
  10. g)falta de reincidencia,
  11. i)la existencia de sistemas de seguridad, previamente implantados en el ataque. Por todo ello, en aplicación del art. 45.5
  12. a)LOPD debería imponerse, en el hipotético caso de sanción, aquella que estuviera en la horquilla de las infracciones leves. QUINTO.- Como práctica de prueba, se acordó por el Instructor del procedimiento, dar por reproducido e incorporar al expediente, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/06601/2016 y las alegaciones al acuerdo de inicio del procedimiento PS/00187/2017 presentadas por VTECH ELECTRONICS LIMITED. Todo ello con su correspondiente documentación adjunta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 SEXTO: En fecha de 4/08/2017, por el Instructor del procedimiento, y a la vista de las alegaciones formuladas por VTECH ELECTRONICS LIMITED., se solicitó al Subinspector actuante, la ratificación del Informe de Actuaciones Previas de Inspección que da lugar al presente expediente sancionador, aportando escrito de fecha 11/09/2017, en el que se hace constar lo siguiente: (…)En relación a las alegaciones realizadas por VTECH ELECTRONICS LIMITED (VTECH HONG KONG) en su escrito de 11/07/2017 con número de registro de entrada ***REG.4, el subinspector actante realiza las siguientes consideraciones: 1. Las afirmaciones que se hacen en el informe de actuaciones previas en relación con las medidas de seguridad adoptadas por VTECH ELECTRONICS LIMITED (VTECH HONG KONG) con anterioridad a la intrusión, se realizan basándose en los datos aportados por la propia VTECH HONG KONG a la Autoridad de Protección de Datos de Hong Kong (APDHK) en el contexto del caso número ***CASO.1. Uno de los documentos incluidos en las actuaciones de inspección es un escrito de VTECH HONG KONG en el que responde a las cuestiones planteadas por la APDHK el 01/12/2015. En el punto B.2.a del escrito la entidad responde a la cuestión “Análisis de la causa origen del hackeo (e.g. Cuáles eran las vulnerabilidades y como fueron aprovechadas por el atacante para conseguir acceso a los datos, y como fueron estos extraídos)” 11. Su respuesta comienza afirmando que ”Primero, el hacker utilizó técnicas de inyección de SQL para conseguir acceso al entorno PlanetVtech en Amazon…”12. A.A.A.. 2. Existen vulnerabilidades asociadas a técnicas de inyección de SQL documentadas desde 200213. Según la clasificación de OWASP14, los ataques basados en este tipo de técnicas han estado entre los 10 más relevantes desde 200415. Otro de los documentos incluidos en las actuaciones de inspección es un escrito de VTECH HONG KONG en el que responde a las cuestiones planteadas por la APDHK el 04/02/2016. En el punto 9.i del escrito, a la pregunta 16 “Su “Guía para la gestión de servidores de entornos de producción” establece que “el servidor web se 11 “root-cause analysis of the hack (e.g. what were the vulnerabilities and how they were exploited for the attacker to gain access to the data, and how the data was exfiltrated);” 12 “First, the hacker utilized SQL injection techniques to gain access to a PlanetVtech environment in Amazon…” 13 ***URL.11 14 Proyecto internacional dedicado a determinar y combatir las causas que hacen que el software sea inseguro. 15 ***URL.12 16 Your “Production Web Server Management Guideline” states that “web server to be protected by a web application firewall”. In this regard, please confirm whether a web application firewall was installed for PlanetVtech environment ; if yes, why the web application firewall could not prevent SQL injection; if no, why the Guideline is not followed C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 protegerá por un cortafuegos de aplicaciones web”. Por favor, confirme si el entorno Planet Vtech tenía instalado un cortafuegos a nivel de aplicación; si es así, indique por qué el cortafuegos de aplicaciones web no pudo prevenir el ataque de inyección de SQL y si no es así, por qué no se siguió la guía.”. Su respuesta a la cuestión es que el entorno Plante Vtech no tenía instalado cortafuegos de aplicaciones web (WAF), que la guía fue implementada el 25/08/2015 y que no se siguieron las indicaciones de ésta porque no tenía efectos retroactivos y el entorno en Plante Vtech era anterior a esa fecha. VTECH HONG KONG responde en otro escrito a las cuestiones planteadas por la APDHK el 16/03/2016 y en su punto A.7 reconoce que en el momento de la intrusión tampoco había instalado cortafuegos de aplicaciones web en los otros dos entornos afectados Learning Lodge y Kid Connect. Es en el punto A.1.f del escrito mediante el que VTECH HONG KONG responde a las cuestiones planteadas por la APDHK el 06/05/2016, el que se informa de que después de la intrusión se ha procedido a la implantación de cortafuegos de aplicaciones web para monitorizar todo el tráfico entrante antes de que llegue a los servidores interno s de la compañía. En el escrito VTECH HONG KONG proporciona un enlace a la página del web del producto seleccionado 17, de la marca Incapsula. En la página se describen las capacidades del producto, entre las cuales se afirma que “está en una posición perfecta para filtrar solicitudes maliciosas como las de ataques de inyección de SQL, XSS y otros…” y también que “…protege frente a todas las amenazas de seguridad, incluida la inyección de SQL… ”. Sobre la efectividad de los cortafuegos de aplicaciones web se pueden encontrar en Internet estudios académicos publicados18 en fechas tan tempanas como 2006 y otros muchos artículos publicados por empresas del sector TIC192021. 3. En el punto 9.ii del escrito que responde a las cuestiones planteadas por la APDHK el 04/02/2016, a la pregunta22 “Su “Guía para el desarrollo de aplicaciones y sitio web” establece que “La aplicación y los servicios y APIs asociados a ésta se probarán para resistir ataques comunes como los de inyección de SQL…”. En relación a dicha afirmación, por favor especifique como se monitorizó la implementación de esta guía, las medidas que fueron adoptadas para prevenir la inyección de SQL en el entorno Plante Vtech, y explique por qué el hacker aun así pudo tener acceso al entorno Planet Vtech”. 17 ***URL.13 18 ***URL.14 19 ***URL.15 20 ***URL.16 21 ***URL.17 22 “Your “Website/ Web App Development Guidelines” states that “application & associated application API’s and Services tested to withstand common attacks such as SQL injection…”. In this regard, please specify how the implementation of this guideline is monitored, the measures that had been adopted to prevent SQL injection in the PlanetVtech environment, and explain why the hacker can still access to your PlanetVtech environment ;” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 Su respuesta a la cuestión afirma que las acciones concretas del intruso continúan siendo investigadas por las autoridades del Reino Unido y que confían en que el resultado de dichas investigaciones podrá ayudar a esclarecer lo ocurrido. También afirman que la fecha de implementación de la guía en cuestión es el 02/06/2014 y que no tenía efectos retroactivos sobre entornos desarrollados previamente. 4. De las respuestas dadas por la propia VTECH HONG KONG a la APDHK se desprende que:  A fecha de 02/06/2014 en un documento de la propia entidad se reconoce como común el tipo de ataque de inyección de SQL y se establece que deben probarse contra ese tipo de ataques. Si se hubiesen realizado algún tipo de pruebas sobre el entorno Plante Vtech, aunque no fueran completas, debería de haberse informado en este punto a la APDHK, pero no se hizo. De ello se desprende que VTECH HONG KONG no realizó ninguna prueba de resistencia a ataques de inyección de SQL sobre dicho entorno.  A fecha de 25/08/2015 en un documento de la propia entidad se establece la obligación de proteger los servidores mediante cortafuegos de aplicaciones web. A pesar de ello, la entidad reconoce que en el momento de la intrusión (noviembre de 2015), ninguno de los tres entornos afectados tenía instalados cortafuegos de aplicaciones web. 5. En su escrito de alegaciones VTECH HONG KONG proporciona una relación de medidas de seguridad adoptadas durante el desarrollo de los servicios Learning Lodge y Kin Connect. Nótese que no se describen o citan las adoptadas para la plataforma Planet Vtech, que fue a través de la cual dio comienzo la intrusión. La segunda de las medidas de la relación es “El acceso a los servidores que contenían datos de clientes estaba restringido únicamente a personal muy limitado, con acceso protegido por contraseña.”. A pesar de lo expresado en el párrafo anterior, a este respecto debe tenerse en cuenta lo manifestado por VTECH HONG KONG en respuesta a las cuestiones planteadas por la APDHK el 06/05/2016. En el punto A.1.a del escrito se informa de que antes de la intrusión no existía “ninguna medida específica para la identificación de cuentas de usuarios y la política de contraseñas”23 y que después de la intrusión de se le asignó a cada miembro del equipo de desarrollo un usuario único de conexión al servidor con una clave en la que se aplica una política de gestión de claves que impone una fecha de caducidad y una complejidad mínima a las claves. 6. Además de lo antedicho, VTECH HONG KONG en respuesta a las cuestiones planteadas por la APDHK el 06/05/2016 manifiesta en el punto A.1.b del escrito que antes de la intrusión no existía un mecanismo de bloqueo de claves mientras que 23 No specific measure for users accounts identification and password policy. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 después de la intrusión se impuso una política que bloquea las cuentas de usuario después de un determinado número de intentos fallidos de acceso. Teniendo en cuenta lo antedicho, mediante el presente escrito el subinspector actuante se ratifica en el contenido del informe de actuaciones previas y de las restantes diligencias practicadas.(…) SEPTIMO: Mediante diligencia de Instrucción de 11/09/2017 se incorporó como prueba documental el Informe de ratificación arriba trascrito. OCTAVO: En fecha de 25/09/2017 por el Instructor del Procedimiento se emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos, se sancione a VTECH ELECTRONICS LIMITED con multa de 90.000 € (noventa mil euros) por la infracción de los artículos 9 de la LOPD, en relación con los artículos 91 y 93 del RDLOPD, tipificada como grave en el artículo 44.3
  13. h)de dicha norma. NOVENO: Notificada la Propuesta de Resolución, VTECH ELECTRONICS LIMITED en fecha de 1/11/2017, de acuerdo con lo dispuesto en el artículo 85.2 de la LPACAP procedió al pago voluntario de la sanción propuesta con la reducción del 20 % de la misma, en la cuantía de 72.000 euros. DECIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En fecha de 26/11/2015 por una auditoria interna de VTECH se confirma una violación de seguridad de los datos que somete a tratamiento derivados de la prestación de diversos servicios, a raíz de la recepción de un correo electrónico de un periodista que alerta de la citada violación de seguridad. DOS.- En fecha de 28/11/2015 se suspenden los servicios Explor@ Park y Kid Connect. Y en fecha de 5/12/2015 se añaden comunicados de prensa en lengua española en la página principal de VTECH ESPAÑA y en una página especifica dentro del sitio web xxx.vtech.es/comunicado-explorapark. TRES.- En fechas de 7/12/2015 y 9/12/2015 se remiten correos electrónicos a los usuarios registrados en los servicios Explor@ Park y Kid Connect informando de la suspensión temporal del servicio y recomendando el cambio de claves de usuario porque podrían haber sido descifradas por un intruso, y se recomienda el cambio de las claves de usuario en otras páginas o servicios donde se haya utilizado la misma contraseña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 CUATRO.- Respecto de la forma en que se produjo el ataque, VTECH informa a la autoridad de protección de Datos de Hong Kong, que el intruso utilizo la técnica denominada Inyeccion SQL para conseguir acceso al entorno de Vtech Planet. Dicha técnica es un tipo de ataque conocido al menos desde 2003(…). CINCO.- Kid Connect” es una aplicación que permite intercambiar mensajes de texto, imágenes y grabaciones de audio entre los niños que disponen de algunos de los juguetes comercializados por VTECH y los teléfonos móviles de sus padres. Únicamente dos de los juguetes comercializados en España permiten el uso de esta aplicación y comenzaron a comercializarse en España a lo largo del año 2015. Los tipos de datos comprometidos para esta plataforma son:  Información del adulto: Dirección de correo electrónico, contraseña, las fotos de perfil y nombre de usuarios de padres e hijos.  Los mensajes de texto enviados entre dos usuarios no entregados se conservaban hasta que fueran entregados o por un periodo máximo de 30-40 días.  Los últimos 20 mensajes de texto enviados a un grupo.  Los mensajes de voz y fotografías enviados entre dos usuarios se conservan un año. En el servicio “Kid Connect” figuran los datos de 2.336 adultos y 2.338 menores españoles que se han visto comprometidos por la violación de la seguridad de los datos. SEIS.- La Guía para “la gestión de servidores de entornos se producción” de VTECH, prevé la utilización de un cortafuegos de aplicaciones web” – que impediría la efectividad del ataque mediante la técnica Inyeccion SQL- y fue implementada en fecha de 25/08/2015. VTECH explica a la Autoridad de Protección de Datos de Hong Kong, que no se aplicó al entrono Planet Vtech porque dicha guía no tenía efectos retroactivos, y dicho entorno es anterior a esa fecha. SIETE.- VTECH reconoce que el momento de la intrusión no había instalado cortafuegos de aplicaciones web en los entornos Learning Lodge y Kid Connect. OCHO.- La Guía para “el desarrollo de aplicaciones y sitio web” de VTECH preveía pruebas de resistencia a ataques de inyección SQL, y la razón que VTECH esgrime para no haberla aplicado es porque no tenía efectos retroactivos sobre entornos desarrollados previamente. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 4.1
  14. c)de la Directiva 95/46/CE y los artículos 2.1
  15. c)y 37.
  16. g)en relación con el artículo 36 de la LOPD. II En el presente caso se atribuye a VTECH ELECTRONICS LIMITED la comisión de la infracción del art. 9 de la LOPD, en relación con el servicio prestado a través de la plataforma Kid Connect, que dispone que (…)El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.”(…) A la vista de las alegaciones formuladas por VTECH y de la práctica de la prueba consistente en la incorporación como prueba documental del expediente de actuaciones previas de inspección, las citadas alegaciones y el Informe de ratificación del Inspector actuante en las referidas actuaciones, se considera procedente poner en relación la comisión del art. 9 de la LOPD, con lo previsto en los artículos 91 y 93 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RDLOPD en adelante) que establecen lo siguiente: “Artículo 91. Apartados 1 a 3 Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. Artículo 93 (apartados 1 y 2) Identificación y autenticación 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. III Frente a las alegaciones de VTECH al acuerdo de inicio se solicita informe de ratificación al Inspector actuante, tal como consta en el antecedente SEXTO de la presente propuesta y que lleva a la conclusión de que, al contrario de lo manifestado por VTECH, esta Agencia no basa la imputación en declaraciones de un delincuente y un desconocido experto en seguridad informática, sino que son los propios representantes de VTECH, quien en respuesta a la solicitud de información de la Autoridad de Protección de Datos de Hong Kong (APDHK en lo sucesivo) , manifiesta que la intrusión se trata en el uso de técnicas de inyección SQL. Por otro lado, en cuanto a la ausencia de culpabilidad alegada por VTECH, en la medida en que tenía implementadas las medidas adecuadas en relación con el desarrollo tecnológico del momento, conviene hacer la oportuna remisión al citado Informe de Ratificación de del inspector actuante de fecha 11/09/2017, del que se extrae sin asomo de duda, que VTECH era conocedor de las medidas técnicas a implementar para evitar el ataque sufrido, véanse los puntos 2 a 4. En el mismo sentido conviene traer a colación lo señalado en el apartado 16 del antecedente segundo de la presente propuesta (…)Según manifiesta VTECH HONG KONG, el servidor que aloja los datos de los usuarios de Explor@ Park disponía de un cortafuegos (firewall) a nivel de red, pero no de un cortafuegos a nivel de aplicación. Al conectarse el intruso desde el servidor de pruebas de Hong Kong, el cortafuegos a nivel de red no bloquea la conexión ya que la entiende válida. El uso de un cortafuegos a nivel de aplicación podría haber prevenido la intrusión, pero el servidor no disponía de dicho sistema.(…) Asimismo, siguiendo con la falta de culpabilidad alegada por VTECH debe tenerse en cuenta que las guías desarrolladas por la entidad, preveían pruebas de resistencia a los ataques de inyección SQL y la razón de su no aplicación, es – según sus propias afirmaciones - porque no se aplicaba con efectos retroactivos a entornos desarrollados previamente. Pues bien, VTECH estaba en condiciones de aplicar dichas Guías a todos los entornos, sean o no anteriores y nada hizo al respecto, circunstancia que acredita el elemento subjetivo de la entidad, al menos a título de culpa o negligencia grave. Por otro lado, del informe citado que se remite a las declaraciones de los representantes de VTECH, se deduce claramente que con anterioridad al ataque producido, no existía una asignación de identificación para cada usuario y en su caso, el correspondiente sistema de verificación, véase el folio 231 que recoge la respuesta que VTECH facilita a APDHK y cuyo análisis se hace en el Informe de ratificación del Inspector actuante, en el punto 5 que señala (…)A pesar de lo expresado en el párrafo anterior, a este respecto debe tenerse en cuenta lo manifestado por VTECH HONG KONG en respuesta a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 cuestiones planteadas por la APDHK el 06/05/2016. En el punto A.1.a del escrito se informa de que antes de la intrusión no existía “ninguna medida específica para la identificación de cuentas de usuarios y la política de contraseñas” y que después de la intrusión de se le asignó a cada miembro del equipo de desarrollo un usuario único de conexión al servidor con una clave en la que se aplica una política de gestión de claves que impone una fecha de caducidad y una complejidad mínima a las claves.(…) Por todo ello se considera que VTECH ha incumplido lo dispuesto en el art. 9 de la LOPD en relación con los artículos 91 y 93 del RDLOPD. IV La conducta que se atribuye a VTECH encuentra su tipificación, como grave en el artículo 44.3
  17. h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen“, Ha resultado probado que los ficheros de los que es responsable la entidad denunciada, carecían de una implementación eficaz de las medidas de seguridad previstas en los artículos 91 y 93 del RDLOPD, en la medida en que por un tercero ajeno a la organización – persona no autorizada – tuvo acceso a la base de datos de los servicios citados ut supra, lo que constituye una vulneración de la obligación del art 91. Por otra parte, en cuanto al mecanismo que requiere el art. 93, también se entiende vulnerado por no tener implementado el mismo, según se extrae de las declaraciones de los representantes de VTECH. La Sala 3ª del Tribunal Supremo, Sección 6ª, en sentencia de 28/10/00, en recurso de casación para la unificación de doctrina, precisa que para que surja un tipo infractor en materia de protección de datos – la sentencia analiza el deber de cancelación, pero resulta especialmente clarificadora dadas las alegaciones de VTECH que minimiza las consecuencias del acceso a una base de datos personales por terceros no autorizados-, basta que “resulten afectados los derechos de las personas que la presente Ley ampara”. Para determinar si en este caso quedan afectados tales derechos, resulta clarificadora la doctrina del Tribunal Constitucional recogida por última vez en su sentencia de 292/2000. Deslinda la sentencia la función del derecho fundamental a la intimidad del artículo 18.1 –que protege frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad-, de la función del derecho fundamental a la protección de datos, que persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado, y que en consecuencia tiene un objeto más amplio, extendiéndose a cualquier tipo de dato C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 personal, sea o no íntimo, cuyo conocimiento o empleo por terceros puede afectar a sus derechos, sean o no fundamentales. En palabras del Tribunal: (...) el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo; y este derecho fundamental a la protección de datos atribuye a su titular un poder de disposición y de control sobre los datos personales, que se concretan jurídicamente en la facultad de consentir la recogida, obtención y acceso, su almacenamiento y tratamiento, y su posible, por un tercero, sea el Estado o un particular. V El artículo 45 de la LOPD, apartados 2 a 5, establece: 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” VTECH solicita la aplicación de la degradación prevista en el apartado 5 del citado precepto, son embargo debe tenerse en cuenta, en primer lugar, la reiterada jurisprudencia y traer a colación, a modo de ejemplo, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En segundo lugar, VTECH basa su petición, en la concurrencia significativa de varios criterios previstos en el apartado 4, - a), e),
  33. f)
  34. g)
  35. i)-de acuerdo con el art. 45.5
  36. a)de la LOPD. Pues bien, deben desestimarse por cuanto, los apartados
  37. a)y
  38. e)operarían como agravantes, con carácter general, y en este caso no han sido apreciados como tal. En cuanto al apartado
  39. f)el grado de intencionalidad, debe ponerse en relación con el elemento subjetivo en la comisión de la infracción, y el deber de cuidado o diligencia desplegada, conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
  40. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD). En el mismo sentido, la STAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD). Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. En este sentido, VTECH podía obrar de otro modo en relación con los hechos acaecidos, pues preveía en sus Guías citadas ut supra, la implementación de pruebas de resistencia a ataques como la Inyeccion SQL y la razón por la que no se aplicaron, únicamente corresponde a la entidad. Finalmente, respecto del aparado
  41. i)invocado por VTECH, debe desestimarse pues precisamente lo que se ha acreditado es que no tenía los sistemas o mecanismos adecuados, o implementados de forma correcta para evitar el acceso indebido por parte de terceros. En este punto debe traerse a colación lo señalado en el Informe emitido por el Inspector actuante a requerimiento del Instructor del procedimiento donde se señala que (…) De las respuestas dadas por la propia VTECH HONG KONG a la APDHK se desprende que: • A fecha de 02/06/2014 en un documento de la propia entidad se reconoce como común el tipo de ataque de inyección de SQL y se establece que deben probarse contra ese tipo de ataques. Si se hubiesen realizado algún tipo de pruebas sobre el entorno Plante Vtech, aunque no fueran completas, debería de haberse informado en este punto a la APDHK, pero no se hizo. De ello se desprende que VTECH HONG KONG no realizó ninguna prueba de resistencia a ataques de inyección de SQL sobre dicho entorno. • A fecha de 25/08/2015 en un documento de la propia entidad se establece la obligación de proteger los servidores mediante cortafuegos de aplicaciones web. A pesar de ello, la entidad reconoce que en el momento de la intrusión (noviembre de 2015), ninguno de los tres entornos afectados tenía instalados cortafuegos de aplicaciones web. (…). En cuanto a la graduación de la sanción a imponer, de conformidad con el art. 45.4 LOPD, se considera que procede graduar la sanción a imponer en la cuantía de 90.000 euros de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD,
  42. b)El volumen de los tratamientos efectuados. Frente a esta valoración inicial, VTECH manifiesta que se desconoce el volumen de datos afectados, pues se desconoce a qué C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 accedió el tercero no autorizado. Sin embargo debe recordarse el concepto de tratamiento de datos que recoge el art. 3 de la LOPD, que implica que el simple acceso a la base de datos que se trate, se considera tratamiento. Asimismo la interpretación finalista del art. 9 dela LOPD demanda que se proteja el riesgo al que pueden verse sometidos los datos de carácter personal, por ello, la simple vulnerabilidad de una base de datos – fichero- se considera contraria a la norma y a la hora de analizar la antijuridicidad y el desvalor de la acción típica, es un elemento relevante el volumen del fichero afectado. En este caso, el volumen de usuarios de los tres servicios afectados por la violación de seguridad de los datos es de más de 277.000, en concreto el servicio Kid Connect tiene en España 2.336 adultos y 2.338 menores Por otro lado, debe tenerse en cuenta lo previsto en el apartado
  43. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. VTECH sostiene, en síntesis, que su actividad es la fabricación, distribución y venta de juguetes y no la explotación de bases de datos para eliminar la aplicación como agravante del citado apartado c). Alegación que debe ser desestimada, pues el precepto no se refiere únicamente a los profesionales del sector de explotación de bases de datos o listbrokers, sino que ha de ponerse el elemento a analizar en que la actividad desarrollada, lleve aparejado el tratamiento de datos personales. En este caso, es obvio que los juguetes de VTECH tienen servicios asociados que conllevan inexorablemente el tratamiento de datos personales, - al permitir crear cuentas de usuario, perfiles, etc.,.- y es precisamente esa circunstancia la que se ha tenido en cuenta, con independencia de que el objeto de su negocio no sea la explotación de bases de datos. Es decir, VTECH en el desarrollo de su actividad realiza un elevado volumen de tratamientos de datos personales. También deben tenerse en cuenta los apartados
  44. d)y
  45. j)por cuanto la entidad es una gran empresa en su sector de negocio y se estima una grave falta de diligencia al conocer que el sistema no tenía medidas implantadas para evitar el ataque, la naturaleza de los datos referidos a menores de edad y la reacción lenta de acuerdo con la cronología de los hechos. VTECH manifiesta que no encuentra mayor grado de antijuridicidad en la conducta, por la circunstancia a referida al acceso a datos de menores de edad. Frente a ello debe señalarse que, tal como recoge la normativa internacional, europea y nacional, que por su relevancia, influencia y proyección en los textos normativas de cualquier sociedad avanzada y en cualquier sector que se trate, excusan cita, los menores de edad son un colectivo especialmente vulnerable cuyas razones son obvias, por ello demandan mayor protección. De ahí que el deber de cuidado ha desplegar sea mucho mayor y por tanto su incumplimiento, obviamente, aumentara la antijuridicidad de la conducta. Finalmente, al contrario de lo manifestado por VTEHC, estamos ante una “reacción lenta”, dada la diligencia exigible a la entidad por las circunstancias expuestas durante el presente apartado. Por todo ello procede determinar la cuantía de la sanción a imponer en 90.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 No obstante, de conformidad con lo dispuesto en el artículo 85.2 de la LPACAP, que dispone que (…)Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, (…) y habiendo procedido al pago de la sanción propuesta con anterioridad a la presente resolución, procede una reducción de un 20 % de la sanción, con lo que el importe efectivo de la sanción se reduce a 72.000 € ( setenta y dos mil euros). Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VTECH ELECTRONICS LIMITED, por una infracción del artículo 9 de la LOPD de la LOPD, tipificada como Grave en el artículo 44.3
  46. h)de la LOPD, una multa de 90.000 € (noventa mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD, a la que se aplica una reducción del 20% resultando el importe de la sanción abonada en la cuantía de 72.000 € (setenta y dos mil euros), de conformidad con lo establecido en el artículo 85.2 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a VTECH ELECTRONICS LIMITED. TERCERO: Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.