PS-00214-2025

1/16  Expediente N.º: EXP202317643 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de septiembre de 2023, se notificó a esta Agencia una brecha de datos personales por la CONSELLERÍA DE MEDIO AMBIENTE TERRITORIO Y VIVIENDA DE LA XUNTA DE GALICIA, con NIF S1511001H (en adelante, CONSELLERÍA). Los hechos que se ponen en conocimiento por medio de la notificación son: El 13 de septiembre de 2023 el Centro Criptológico Nacional (en adelante, CCN) comunica a la CONSELLERÍA que ha tenido conocimiento de un posible incidente con el Rexistro Galego de Identificación de Animales de Compañía (en adelante, REGIAC) y que se cree que se ha podido exfiltrar información de carácter personal de las personas y mascotas registradas en la Web. Se han dado casos de otras aplicaciones similares que han sufrido también un incidente. Iniciados los trabajos de investigación, se verifica que puede haber al menos 7 perfiles comprometidos con diferentes niveles de acceso   Fecha de detección de la brecha: 18 de septiembre de 2023. Número de afectados según notificación: 30.000 según la notificación inicial, 40.000 afectados según información trasladada posteriormente.  Tipología de los datos según notificación: datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, pasaporte y / o cualquier otro documento identificativo, datos de localización, datos de contacto, credenciales de acceso o identificación (usuario y / o contraseña). El responsable indica que se ha comunicado la brecha a los afectados en fecha 3 de octubre de 2023: comunicación del incidente en Diario Oficial de Galicia y web corporativa.  SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 21 de noviembre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/16 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: 1.- Análisis de la brecha. 1.1. Cronología de los hechos. El sistema informático REGIAC sufrió una brecha de datos personales que permitió la exfiltración de aproximadamente 40.000 registros. Dicha brecha, según la información facilitada por el responsable, tuvo lugar entre los días 8 y 9 de septiembre de 2023: “(…).” Se aporta copia de la volumetría del tráfico de consultas a la aplicación. (…) Tal como manifiesta el responsable, la detección del incidente se produjo a partir de una comunicación del CCN al encargado del tratamiento, la AGENCIA PARA LA MODERNIZACIÓN TECNOLÓGICA DE GALICIA (en adelante, AMTEGA). Se aporta copia de dicho mensaje, que fue enviado el 13 de septiembre de 2023: “(…)” El 14 de septiembre de 2023 se recibió un nuevo mensaje del CCN con información adicional sobre esta brecha. En dicho mensaje se avisaba de que existían 7 usuarios comprometidos que podían haber sido empleados para acceder de forma fraudulenta al sistema, así como las direcciones IP utilizadas por los atacantes. Ese mismo día se iniciaron las labores de investigación del incidente y en los días siguientes se realizaron una serie de medidas reactivas. El 19 de septiembre se detectó que desde las direcciones IP facilitadas por el CCN existían accesos a la parte privada de la aplicación. El 19 de septiembre de 2023 el responsable recibió por correo electrónico una comunicación remitida desde la AMTEGA en la que se informaba de una brecha de datos personales en el REGIAC. Dicho correo se remitió a la Delegada de protección de datos de la Vicepresidencia Segunda y Consellería de Medio Ambiente, Territorio y Vivienda, de los que tiene la condición de responsable del tratamiento la Secretaría General Técnica de esta Consellería. La brecha, tal como consta en la notificación presentada ante esta Agencia, se consideró detectada el día 18 de septiembre de 2023. Adicionalmente, se aporta copia del informe elaborado por el encargado del tratamiento (original en gallego y traducción al castellano) e informe elaborado por el responsable. 1.2. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/16 El responsable manifiesta haber realizado las siguientes acciones en respuesta del incidente: (…) 1.3. Causas que hicieron posible la brecha. (…) 1.4. Impacto de la brecha. Posibles consecuencias para los afectados. El impacto de la brecha, tal como manifiesta el responsable, es el siguiente: “se contabilizaron más de 40.000 consultas de información, por lo que se estima un número aproximado de 40.000 personas que podrían ver afectados sus datos personales por la brecha.” Respecto a los datos afectados, se trataría de los siguientes:       Datos identificativos de los propietarios de los animales (nombre y apellidos; documento identificativo). Datos de contacto (teléfono/s; dirección postal y electrónica). Datos relativos a licencias y pólizas de responsabilidad civil. Datos de incidencias con los animales y de su resolución. Credenciales de acceso o identificación (usuario). Datos identificativos y de contacto de los profesionales veterinarios y su número de colegiado. Adicionalmente a los datos mencionados, el responsable señala que también existía documentación escaneada en el sistema, relacionada con:   Documentos generales del propietario: o Autorización al veterinario actuante. o Póliza de seguros. o Certificado de custodia del animal. o DNI escaneados. Documentación de licencias de animales potencialmente peligrosos. Respecto a la documentación escaneada, se ha tratado de profundizar en el volumen de documentos de identidad escaneados que pudieran alojarse en el sistema. El responsable manifiesta: (…). Sobre las posibles consecuencias para los afectados, el responsable emite la siguiente valoración: “Dicha extracción podría dar lugar a que las personas físicas afectadas pudieran ser víctimas de usurpación de identidad, o de campañas de phising/spaming o sufrieran la pérdida de control sobre sus datos personales”. 2.- Medidas de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/16 3.1. Medidas de seguridad implantadas con anterioridad a la brecha. Mecanismos de autenticación. El responsable manifiesta las siguientes medidas de seguridad disponibles en el REGIAC con anterioridad al incidente:  (…) También señala las siguientes medidas de carácter general:  (…) Se aportan capturas y evidencias documentales de las medidas señalas. (…). Adicionalmente a lo expuesto, el responsable señala disponer en el momento del incidente de las siguientes herramientas para el control de auditoría y monitorización:  (…). 3.2. Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente. Como se ha indicado previamente, el ataque se realizó (…). El responsable indica: “(…)”. 3.3. Medidas técnicas y organizativas adoptadas para evitar incidentes como el sucedido. (…) (…) 4.- Otros aspectos. 4.1. Publicación de los datos exfiltrados en Internet. No constan evidencias sobre la publicación o venta de los datos afectados por la brecha. El CCN, al que se solicitó su colaboración, informa al respecto: “este Centro Criptológico Nacional no tiene constancia del uso, publicación o venta en Internet de los datos robados”. CUARTO: Con fecha 21 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

1. f)del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/16 QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: - Se han adoptado medidas técnicas y organizativas con posterioridad al incidente. - La complejidad organizativa y heterogeneidad de usuarios dificultó el despliegue del doble factor de autenticación. - Ausencia de monitorización de los eventos de la aplicación REGIAC a través del sistema SIEM por valoración de riesgo bajo en ENS. - Aplicación de mejoras futuras y tener previsto realizar una auditoría interna de cumplimiento del ENS de la aplicación REGIAC. - Ausencia de daños y colaboración con la AEPD. - Cumplimiento del deber de notificación de brecha y precedente del PS/00291/2018. - Corresponde la aplicación del artículo 77 de la LOPDGDD por tener la condición de Administraciones Públicas SEXTO: Con fecha 9 de marzo de 2026 se formuló propuesta de resolución en la que se dio respuesta a las alegaciones presentadas, se otorgó un plazo para la presentación de alegaciones y se propuso que se declarara que CONSELLERÍA DE MEDIO AMBIENTE TERRITORIO Y VIVIENDA DE LA XUNTA DE GALICIA, con NIF S1511001H, había infringido lo dispuesto en el artículo 5.1.
3. f)del RGPD, tipificada en el artículo 83.5.
4. a)del RGPD. La propuesta de resolución fue notificada el 10 de marzo de 2026, tal y como consta en el justificante que obra en el expediente. Una vez transcurrido el plazo al efecto, no se han recibido alegaciones. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La CONSELLERÍA sufrió una brecha de datos personales entre el 8 y el 22 de septiembre de 2023. La brecha de datos personales afectó a los datos contenidos en el Rexistro Galego de Identificación de Animales de Compañía (en adelante, REGIAC) que (…). La brecha de datos personales permitió la exfiltración de, al menos, 40.000 registros. SEGUNDO: El REGIAC cuenta con un sistema de consulta para los propietarios de animales respecto a los datos asociados a sus mascotas y con un sistema de consulta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/16 para usuarios no propietarios (veterinarios, ayuntamientos, Fuerzas y Cuerpos de Seguridad y operadores de soporte de la aplicación, que sumaban, en la fecha de los hechos, un total de (…). TERCERO: La brecha de datos personales se produjo mediante la (…) según indica la propia CONSELLERIA y se basó en la realización de, al menos 40.000 consultas al sistema desde IP públicas a través de esos usuarios. CUARTO: Los datos afectados por la brecha fueron: datos identificativos de los propietarios de los animales (nombre y apellidos; documento identificativo); datos de contacto (teléfono/s; dirección postal y electrónica); datos relativos a licencias y pólizas de responsabilidad civil, datos de incidencias con los animales y de su resolución, credenciales de acceso o identificación (usuario); tal y como reconoce la propia CONSELLERIA. Adicionalmente a los datos mencionados, de acuerdo con la CONSELLERIA existían 58.546 documentos escaneados en el sistema: autorizaciones al veterinario actuante, póliza de seguros, certificado de custodia del animal, (…). QUINTO: Los usuarios privilegiados accedían al REGIAC mediante un sistema de usuario y contraseña, sin contar con un sistema de doble factor de autenticación. SEXTO: En el momento de producirse los hechos, de acuerdo con la CONSELLERIA, el REGIAC no contaba con (…). SÉPTIMO: La CONSELLERIA tuvo conocimiento de la brecha de datos personales a través del CCN, que le envió correos electrónicos lo días 13 y 14 de septiembre de 2023 alertando de un “(…)”. OCTAVO: Tras haber tenido conocimiento por parte del CCN, la CONSELLERIA adoptó las siguientes medidas reactivas:  (…) NOVENO: Tras la brecha, la CONSELLERIA instauró (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/16 El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CONSELLERÍA realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, como datos identificativos de los propietarios de los animales (nombre y apellidos; documento identificativo), datos de contacto, datos relativos a licencias y pólizas. CONSELLERÍA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones al acuerdo de inicio A continuación, se procede a dar respuesta a las alegaciones presentadas al acuerdo de inicio por la parte reclamada, siguiendo el orden en el que han sido expuestas en los antecedentes de hecho: - En la alegación “PRIMERA” se sostiene, esencialmente, que tras la brecha de datos personales se han adoptado múltiples medidas técnicas y organizativas destinadas tanto a minimizar el impacto de la brecha como a prevenir incidentes similares en el futuro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/16 Al respecto se señala que la adopción de medidas por parte de la CONSELLERIA a efectos de subsanar las deficiencias puestas de manifiesto con la brecha de datos personales, así como para mitigar sus efectos y prevenir que acontecimientos similares vuelvan a producirse, puede valorarse positivamente por parte de esta Agencia en el marco de adaptación de las actuaciones del responsable al cumplimiento del RGPD conforme al artículo 5.2 del RGPD. Lo anterior no obsta para que la materialización de la brecha de datos personales tuviera lugar y supusiera, por tanto, una infracción del artículo 5.1
5. f)del RGPD. - En la alegación “SEGUNDA” se invoca marco jurídico institucional y que la complejidad organizativa y heterogeneidad de usuarios dificultó el despliegue del doble factor de autenticación. La CONSELLERIA incide, además, en que este asunto ha sido solucionado y en las medidas adoptadas tras la brecha de datos personales. Sin embargo, las dificultades operativas, la diversidad de perfiles profesionales o la necesidad de campañas formativas atribuidas al encargado del tratamiento no excluye la responsabilidad de la CONSELLERÍA. La complejidad organizativa no elimina el deber jurídico de garantizar un nivel de seguridad adecuado al riesgo como exige el RGPD. Al contrario, la existencia de distintos perfiles y entidades con acceso a nivel de usuario de la plataforma comprometida, debían haber sido valoradas desde un inicio para asegurar la adopción de medidas técnicas y organizativas de todo tipo necesarias para asegurar un adecuado nivel de protección de los datos personales. Por otra parte, en relación con las medidas adoptadas con posterioridad a la brecha de datos personales, como se ha señalado previamente, no obvian que esta tuviera lugar y que diera lugar, por tanto, a la infracción imputada. Sin perjuicio de lo anterior, esta AEPD valora positivamente el comportamiento de la CONSELLERIA en relación con las acciones llevadas a cabo por dicha entidad dirigidas al cumplimiento de lo establecido en el RGPD y LOPDGDD, en consideración al principio de mejora continua. - La alegación “TERCERA” se centra en la ausencia de monitorización de los eventos de la aplicación REGIAC a través del sistema SIEM, debido a la valoración de riesgo bajo según el Esquema Nacional de Seguridad (en adelante, ENS). Debe precisarse que el cumplimiento formal del ENS no equivale automáticamente al cumplimiento del mandato establecido en el RGPD relativo a la adopción de todas las medidas técnicas y organizativas apropiadas. El RGPD exige una evaluación específica del riesgo para los derechos y libertades de las personas físicas, que puede no coincidir con la categorización técnica establecida en el ENS. Asimismo, debe destacarse que la ausencia de monitorización avanzada dificultó la detección temprana de la brecha de datos personales, lo que revela una insuficiencia en las medidas técnicas y organizativas adecuadas y, por ende, el incumplimiento del artículo 5.1
6. f)del RGPD. - En la alegación “CUARTA” se indica que continúan desarrollándose mejoras, incluyendo una nueva versión de la aplicación, la realización de un nuevo análisis de riesgos y la previsión de una auditoría interna de cumplimiento del ENS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/16 Como ya se ha señalado, estas actuaciones reflejan una voluntad de mejora continua, alineada con el principio de responsabilidad proactiva exigido por el RGPD. No obstante, se remite a lo señalado sobre que no altera que se produjera una vulneración del RGPD en los términos contenidos en el acuerdo de inicio. - En la alegación “QUINTA” se argumenta que no consta la producción de daños efectivos a los interesados, lo que se refleja en que no se han recibido reclamaciones. Asimismo, se alega que la Consellería ha actuado sin negligencia o intencionalidad, mostrando plena colaboración con la autoridad de control. Insiste, además, en que determinados aspectos escapaban de su control, lo que justifica una demora en la implementación de determinadas medidas como el doble factor de autenticación. En primer lugar, respecto a la aseveración de que no se ha producido, bajo criterio de la CONSELLERIA, daño efectivo a los interesados siendo prueba de ello, la ausencia de quejas o reclamaciones, conviene señalar el derecho a la protección de datos es un derecho fundamental constitucionalmente reconocido en el artículo 18.4 de la CE. Este derecho fundamental reconoce el derecho de los ciudadanos al control sobre sus datos, tengan estos datos o no dimensión constitucional. La pérdida de confidencialidad de los datos personales de los titulares de los datos personales afectados por la brecha supone por sí misma una lesión a su derecho fundamental de protección de datos. Por otra parte, en relación a la ausencia de culpabilidad se señala que el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." Esto es, el principio de responsabilidad exige la concurrencia de o bien intencionalidad o bien negligencia. En estos términos se pronuncia la jurisprudencia de nuestro país, como, por ejemplo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/16 “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/16 A la vista de lo anterior, no puede sostenerse en este punto la ausencia de culpa de la CONSELLERIA que sufrió una brecha de datos personales como consecuencia de una usurpación de credenciales y que carecía de medidas de todo tipo, como el doble factor de autenticación o una política de modificación periódico de contraseñas, entre otros. Asimismo, debe señalarse que el responsable responde, de conformidad con el artículo 29 del RGPD, por las actuaciones llevadas a cabo por su encargado de tratamiento o sus empleados. Asimismo, se insiste en que el RGPD establece un sistema basado en la prevención y el análisis y gestión de los riesgos, que requiere la evaluación de su impacto y probabilidad, así como la adopción de medidas de todo tipo adecuadas. Por último, no debe olvidarse que atender los requerimientos de la AEPD en tanto que autoridad de control responde a un deber de colaboración impuesto por el RGPD, cuyo incumplimiento puede llevar aparejado la imposición de una sanción tras la tramitación del oportuno procedimiento sancionador. - En la alegación “SEXTA” se expone que se cumplieron las obligaciones de notificación a la autoridad de control y a los interesados conforme a los artículos 33 y 34 del RGPD, y se invoca un precedente de la Agencia Española de Protección de Datos (PS/00291/2018) en el que se acordó el archivo. Debe señalarse que el cumplimiento de las obligaciones de notificación no subsana una eventual infracción previa de vulneración de la confidencialidad de datos personales. Los artículos 33 y 34 del RGPD regulan la gestión de la brecha de datos personales una vez producida; no sustituyen ni corrigen la eventual falta de medidas adecuadas con carácter previo. Asimismo, se insiste en que el objeto del presente procedimiento sancionador es una infracción del artículo 5.1
7. f)del RGPD, sin que se imputen las infracciones de los artículos 33 y 34 del RGPD anteriormente mencionados. Por otra parte, respecto al precedente señalado por la CONSELLERÍA, cada caso debe analizarse conforme a sus circunstancias fácticas específicas. - En la alegación “SÉPTIMA” se invoca el artículo 77.2 de la Ley Orgánica 3/2018, que establece que cuando el responsable o encargado sea una Administración Pública autonómica, la autoridad de control dictará resolución declarando la infracción y, en su caso, estableciendo medidas correctivas, sin imposición de multa administrativa. Se señala que, este argumento es correcto, puesto que el artículo 77 de la LOPDGDD desarrolla la posibilidad abierta por el RGPD para los Estados miembros en el artículo 83.7 del mismo. Se señala que el presente procedimiento sancionador tiene por objeto la declaración de la infracción en los términos previstos en el mencionado artículo, sin perjuicio de que en este caso concreto no se haya estimado necesario la imposición de medidas correctivas adicionales. Por todo lo expuesto, han de desestimarse todas las alegaciones efectuadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/16 IV Obligación incumplida. Integridad y confidencialidad El artículo 5.1.f), “Principios relativos al tratamiento”, del RGPD establece: “1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” El principio de confidencialidad e integridad, recogido en el artículo 5.1
9. f)RGPD, obliga a los responsables del tratamiento a garantizar un nivel adecuado de protección de los datos personales de manera que se garantice la confidencialidad e integridad de estos, evitando accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Esto incluye implementar medidas técnicas y organizativas apropiadas de todo tipo para proteger los datos frente a posibles brechas de datos personales, tanto externas como internas. Estas medidas deben ser apropiadas para evitar que se materialicen los riesgos en los derechos y libertades de las personas físicas que puedan derivarse del tratamiento, y deben ser revisadas y actualizadas periódicamente para garantizar su eficacia. En el presente caso, la documentación obrante en el expediente muestra que la CONSELLERÍA vulneró el artículo 5.1.
10. f)del RGPD, principios relativos al tratamiento, al no garantizar debidamente la confidencialidad e integridad de los datos de carácter personal como consecuencia de la brecha de datos personales producida. Tal y como resulta de las actuaciones de investigación y de la notificación a la AEPD realizada por la CONSELLERIA, el sistema informático REGIAC sufrió una brecha de datos personales que permitió la exfiltración de más de 40.000 registros. El mencionado sistema informático “(…) El vector de entrada de la brecha de datos personales fue la usurpación de credenciales de acceso de 7 usuarios legítimos “(…)”. Además, se especifica que los perfiles de los usuarios usurpados eran variados (…). Asimismo, una vez que se tuvo acceso al sistema, se realizaron consultas masivas (más de 40.000) a los datos contenidos en la aplicación desde IP públicas, en particular, los días 8 y 9 de septiembre de 2023. Así según información aportada por el propio responsable: “(…).” Tras la detección de la brecha, la CONSELLERIA adoptó distintas medidas destinadas a la minimización de sus efectos y resolución final. Así:  (…) Por tanto, la duración de la brecha ha de establecerse, como mínimo, entre el 8 de septiembre de 2023 y el 22 de septiembre de 2023, fecha en la que se adoptaron C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/16 medidas por las que forzó a los administradores y operadores internos a la modificación de sus contraseñas. En cuanto a la tipología de los datos afectados se han identificado los siguientes:      Datos identificativos de los propietarios de los animales (nombre y apellidos; documento identificativo). Datos de contacto (teléfono/s; dirección postal y electrónica). Datos relativos a licencias y pólizas de responsabilidad civil. Datos de incidencias con los animales y de su resolución. Credenciales de acceso o identificación (usuario). Adicionalmente a los datos mencionados, la CONSELLERIA señala que también existían (…) documentos escaneados en el sistema que incluían datos personales de los propietarios de los animales (autorizaciones al veterinario, pólizas de seguros, certificados de custodia del animal, copias del DNI, licencias de animales potencialmente peligrosos). Sin perjuicio de que el vector de entrada fuera un compromiso de credenciales legítimas, debe destacarse que, en el momento de producirse los hechos, existían otras deficiencias en las medidas técnicas y organizativas que posibilitaron la expansión y materialización de la brecha: En primer lugar, se señala que tal y como reconoce la propia CONSELLERIA, carecía de una política de expiración o modificación de contraseñas: “(…)”. Además, el sistema de acreditación de identidad para la realización de consultas por parte de los usuarios privilegiados que tenían acceso a todo el sistema (veterinarios, ayuntamientos y cuerpos de seguridad) se basaba en usuario y contraseña, sin que se contara con un doble sistema de autenticación. Por otra parte, la brecha de datos personales no fue detectada, hasta que el 13 de septiembre de 2023, aun cuando las primeras consultas masivas se remontan al 8 de septiembre de 2023. Además, la detección se produjo por el aviso realizado por un tercero (el CNN, que facilitó los usuarios posiblemente comprometidos, así como las IP desde las que se estaban realizando las consultas). Tal y como señala la CONSELLERIA en el momento en que se produjeron los hechos “(…)”. Lo anterior pone de manifiesto la ausencia de medidas de detección temprana de incidentes que fueran capaces de alertar no solo de consultas masivas, sino de conexiones realizadas desde IP públicas, sin que existieran limitaciones siquiera al número de consultas que podían realizarse. Todo ello favoreció la explotación automatizada de la vulnerabilidad. Por último, no puede obviarse que la CONSELLERIA carecía de un sistema de gestión y eliminado de perfiles inactivos: “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/16 Tras la brecha de datos personales, la CONSELLERÍA ha adoptado diferentes medidas correctoras, estableciendo, entre otros: (…). En conclusión, lo anterior pone de manifiesto una ausencia de medidas técnicas y organizativas de todo tipo que supone la vulneración del artículo 5.1
11. f)del RGPD, ya que terceros no autorizados tuvieron acceso a los datos personales de los afectados, al no haberse garantizado la confidencialidad e integridad de los datos personales tratados en atención al riesgo existente. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la CONSELLERÍA, por vulneración del artículo 5.1.
12. f)del RGPD, transcrito anteriormente. V Tipificación y calificación de la infracción del artículo 5.1.
13. f)del RGPD El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
14. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Declaración de la infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/16 puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
16. a)…
17. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. d)… 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción, lo que resulta aplicable a este caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/16 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que CONSELLERÍA DE MEDIO AMBIENTE TERRITORIO Y VIVIENDA DE LA XUNTA DE GALICIA, con NIF S1511001H, ha infringido lo dispuesto en el artículo 5.1.
18. f)del RGPD, infracción tipificada en el artículo 83.5.
19. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a CONSELLERÍA DE MEDIO AMBIENTE TERRITORIO Y VIVIENDA DE LA XUNTA DE GALICIA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
20. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-090326 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es