1/99 Expediente N.º: EXP202305587 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes Contenido ANTECEDENTES..........................................................................................................3 PRIMERO:.................................................................................................................3 SEGUNDO:................................................................................................................ 3 TERCERO:................................................................................................................. 4 CUARTO:...................................................................................................................4 QUINTO:.................................................................................................................... 4 SEXTO:...................................................................................................................... 4 SÉPTIMO:.................................................................................................................. 5 OCTAVO:....................................................................................................................... 5 Marco normativo.....................................................................................................5 Arquitectura de sistemas y base de datos. Aplicación GEA....................................7 Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final.....10 Respecto de las causas que hicieron posible la brecha........................................13 Respecto del contrato de encargado del tratamiento............................................18 Respecto de las medidas de seguridad................................................................18 Respecto de la comunicación a los afectados......................................................25 Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo......................................................................................25 HECHOS PROBADOS................................................................................................28 PRIMERO: Primera notificación de brecha de datos personales..............................28 SEGUNDO: Circunstancias del ataque....................................................................31 TERCERO: Sobre la aplicación GEA de I-DE..........................................................35 CUARTO: Sobre la arquitectura de sistemas y base de datos. Acceso desde aplicaciones.............................................................................................................. 35 QUINTO: Causas que hicieron posible la brecha.....................................................37 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/99 SEXTO: Medidas de seguridad establecidas en la Base de Datos...........................38 SÉPTIMO: medidas inmediatas tras la brecha.........................................................38 OCTAVO: IBERDROLA como encargada del tratamiento respecto de IBERCLI y de CURENERGÍA......................................................................................................... 39 NOVENO: Análisis de riesgos del tratamiento afectado por la brecha de datos personales................................................................................................................ 41 DÉCIMO: Número de personas afectadas y tipo de datos afectados.......................42 FUNDAMENTOS DE DERECHO.................................................................................42 Competencia............................................................................................................ 42 Cuestiones previas...................................................................................................42 Sobre la solicitud de acumulación y la suspensión del plazo para formular alegaciones.............................................................................................................. 43 Respuesta a las alegaciones al Acuerdo de Inicio....................................................45 PRIMERA: SOBRE LA ACUMULACIÓN DE LOS PROCEDIMIENTOS................45 SEGUNDA. – SOBRE LAS ESPECIALES CIRCUNSTANCIAS ACAECIDAS EN RELACIÓN CON LA TRAMITACIÓN DEL PRESENTE EXPEDIENTE Y LA VULNERACIÓN DE LOS PRINCIPIOS DE BUENA FE, CONFIANZA LEGÍTIMA Y SEGURIDAD JURÍDICA.......................................................................................45 TERCERA.- SOBRE LA AFECTACIÓN ADICIONAL A LOS PRINCIPIOS DEL DERECHO SANCIONADOR DERIVADOS DE LA INTERPRETACIÓN EFECTUADA POR LA AEPD................................................................................51 CUARTA.- SOBRE LA PRETENDIDA VULNERACIÓN POR IBERDROLA DEL ARTÍCULO 32 DEL RGPD....................................................................................60 QUINTA. – SOBRE LA PRETENDIDA VULNERACIÓN DEL PRINCIPIO DE SEGURIDAD........................................................................................................ 65 SEXTA. – SOBRE LA VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD EN DETRIMENTO DE LOS DERECHOS DE IBERDROLA ............................................................................................................................. 66 Respuesta a las alegaciones a la Propuesta de Resolución....................................69 PRIMERA: Sobre la indefensión generada a IBERDROLA como consecuencia de no haberse acordado la acumulación de los procedimientos EXP202305587 y EXP202205206.....................................................................................................70 SEGUNDA: Acerca de los actos previos de la AEPD y la vulneración de los principios de buena fe, confianza legítima y seguridad jurídica............................70 TERCERA: Sobre los argumentos sostenidos por la Propuesta de Resolución para considerar que no concurre bis in ídem........................................................76 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/99 CUARTA: Sobre la aplicación de los principios del derecho sancionador a la actividad de la AEPD y la concurrencia de un concurso medial............................79 QUINTA: Sobre la inexistencia de vulneración por I-DE del artículo 32 del RGPD ............................................................................................................................. 84 SEXTA: Sobre la inexistencia de vulneración del principio de confidencialidad e integridad.............................................................................................................. 95 SÉPTIMA: Sobre la vulneración del principio de proporcionalidad en detrimento de los derechos de IBERDROLA...............................................................................99 Integridad y confidencialidad..................................................................................105 Tipificación de la infracción del artículo 5.1.
- f)del RGPD........................................107 Sanción por la infracción del artículo 5.1.
- f)del RGPD............................................108 Artículo 32 del RGPD.............................................................................................110 Tipificación de la infracción del artículo 32 del RGPD.............................................113 Sanción por la infracción del artículo 32 del RGPD................................................114 ANTECEDENTES PRIMERO: Con fecha 18 de marzo de 2022 se notificó a la División de Innovación Tecnológica de esta Agencia Española de Protección de Datos (en adelante AEPD o la Agencia) una brecha de seguridad de los datos personales remitido por I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U. con NIF A95075578 (en adelante, I-DE) como responsable del tratamiento, en la que informa a esta Agencia de lo siguiente: El 15 de marzo de 2022 por la tarde, se detecta un ataque contra la web de gestión de acometidas (GEA) de I-DE. (…). En este momento aún no se identifica afección a datos personales. Al día siguiente, 16 de marzo, se detecta un ataque de fuerza bruta dirigido contra el mismo objetivo (GEA) que el incidente del día anterior. Se repele adoptando medidas. El 17 de marzo se reabre GEA se analiza el registro de actividad y se concluye que ha habido extracción de datos personales. Se indica que el número de afectados es de 4,5 millones de clientes de esta sociedad. SEGUNDO: Con fecha 29 de marzo de 2022, I-DE presenta nueva notificación ampliando la información sobre la brecha de seguridad notificada el 18 del mismo mes, en el que indica que, tras el análisis forense del incidente, el número de sus clientes cuyos datos han sido afectados son 1,35 millones y que también es probable la existencia de datos afectados de clientes de otras sociedades del grupo Iberdrola, ya que el atacante, potencialmente podría haber superado las condiciones de seguridad de la información exclusiva de I-DE, saltando a rangos de información de otras sociedades, lo cual ya ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/99 sido transmitido a la dirección de Sistemas de la Compañía para un análisis detallado de otras afecciones en otras sociedades o negocios del grupo Iberdrola. Asimismo, indican que la fecha exacta de inicio de la brecha es el 7 de marzo de 2022 e informan de que todavía no se ha comunicado la brecha a las personas afectadas y que, a más tardar, serán informadas el 31 de marzo de 2022. Junto a la notificación se aporta: - Informe “Incidente ciber GEA. Descripción incidente y acciones”, en el que describe el ataque sufrido y que incluye, además, el texto de la comunicación que se va a remitir a los afectados. TERCERO: Con fecha 29 de marzo de 2022, CURENERGIA COMERCIALIZADOR DE ULTIMO RECURSO SA, con N.I.F. A95554630 (en adelante CURENERGÍA) presenta notificación de brecha de seguridad, en la que indica que ha tenido constancia el 28 de marzo de 2022 de que ha sido afectada por la brecha de seguridad sufrida por I-DE, indicando la vulneración de la confidencialidad de los datos personales de 1.550.000 de sus clientes, a los cuales aún no ha informado pero que lo hará a más tardar el 31/03/2022. CUARTO: Con fecha con fecha 29 de marzo de 2022, IBERDROLA CLIENTES, S.A., con N.I.F. A95758389 (en adelante IBERCLI) presenta notificación de brecha de seguridad, en la que indica que ha tenido constancia el 28 de marzo de 2022 de que ha sido afectada por la brecha de seguridad sufrida por I-DE, indicando la vulneración de la confidencialidad de los datos personales de 85.000 de sus clientes, a los cuales aún no ha informado pero que lo hará a más tardar el 31/03/2022. QUINTO: Desde el 2 de abril de 2022, se han presentado ante esta Agencia reclamaciones de clientes afectados por el incidente de seguridad, las cuales han sido progresivamente admitidas a trámite desde el 9 de mayo de 2022. SEXTO: Con fecha 6 de abril de 2022, IBERCLI presenta ampliación de la notificación de brecha en la que informa que las personas afectadas por la misma son 1.515.000 y que se les ha informado de la misma el 31 de marzo de 2022 mediante comunicación dirigida personalmente a cada afectado (postal, mail, sms o similar). Junto a la notificación se aporta: - C/ Jorge Juan, 6 28001 – Madrid Informe “Incidente ciberataque 28/03/2022. Descripción incidente y acciones” Anexo Comunicación a interesados www.aepd.es sedeagpd.gob.es 5/99 SÉPTIMO: Con fecha 6 de abril de 2022, CURENERGÍA presenta ampliación de la notificación de brecha en la que informa que las personas afectadas por la misma son 92.550 y que se les ha informado de la misma el 31 de marzo de 2022 mediante comunicación dirigida personalmente a cada afectado (postal, mail, sms o similar). Junto a la notificación se aporta: - Informe “Incidente ciberataque 28/03/2022. Descripción incidente y acciones” Anexo Comunicación a interesados OCTAVO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Durante las presentes actuaciones se han investigado las siguientes entidades: - I-DE REDES ELECTRICAS INTELIGENTES S.A. con NIF A95075578 (en adelante, I-DE) - IBERDROLA S.A. con NIF A48010615 (en adelante IBERDROLA) - IBERDROLA CLIENTES S.A.U. con NIF A95758389 (en adelante, IBERCLI) - CURENERGIA COMERCIALIZADOR DE ULTIMO RECURSO S.A. con NIF A95554630 (en adelante, CURENERGIA) Marco normativo - La normativa reguladora del sector eléctrico, Ley 54/1997, de 27 de noviembre, del Sector Eléctrico, impone una obligación de separación total entre las actividades reguladas, como es la de distribución, y las liberalizadas, como es la comercialización. - El derecho que tienen los consumidores de energía eléctrica al acceso y conexión a las redes de transporte y distribución de energía eléctrica en el territorio español se recoge específicamente en la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico. Las empresas distribuidoras y las empresas comercializadoras son dos entidades diferenciadas en el ámbito del Sector Eléctrico. En este sentido la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/99 Ley 24/2013, de 26 de diciembre, del Sector Eléctrico las define como sujetos distintos. - - Conforme a la regulación del sector eléctrico, el consumidor, para recibir energía eléctrica en su domicilio, necesita ser titular de dos contratos diferenciados con relación a su punto de suministro (CUPS): Por una parte, el contrato de compra de energía, “contrato de suministro”, que se suscribe entre un consumidor y una empresa comercializadora de electricidad. Aunque también cabe la posibilidad de que el consumidor adquiera la electricidad directamente en el mercado, sin necesidad de comercializador, no es propio de los clientes personas físicas sino de empresas grandes consumidoras de electricidad, indican I-DE, IBERCLI y CURENERGÍA en su respuesta. Por otra, el contrato de acceso a la red o distribución o transporte, “contrato de ATR”, que el consumidor suscribe con la intermediación como mandatario de la empresa comercializadora con la que tiene contratada la compra de energía eléctrica. Aunque también se puede suscribir directamente con la empresa titular de la red, no es propio de los clientes personas físicas sino de empresas grandes consumidoras de electricidad, indican I-DE, IBERCLI y CURENERGÍA en su respuesta. Cuando un cliente desea contratar la electricidad en un punto de suministro o realizar cualquier modificación contractual, dicho cliente acude a una comercializadora, quien en nombre del cliente y como mandatario suyo contrata en su nombre el contrato de ATR, contrato de acceso a la red de distribución. Cualquier modificación contractual que solicita un comercializador a un distribuidor se realiza mediante solicitudes digitales XML cumpliendo los formatos de intercambio entre agentes establecidos por la Comisión Nacional de los Mercados y la Competencia (CNMC), en virtud de la Resolución de 20 de diciembre de 2016, por la que se aprueban los formatos de los ficheros de intercambio de información entre distribuidores y comercializadores de energía eléctrica y de gas natural, y Resolución de 17 de diciembre de 2019, por la que se aprueban nuevos formatos de los ficheros de intercambio de información entre distribuidores y comercializadores y se modifica la Resolución de 20 de diciembre de 2016. Teniendo en cuenta lo anterior: - I-DE, distribuidora de energía eléctrica del grupo Iberdrola, manifiesta que únicamente puede acceder a los datos de sus clientes, es decir, de los usuarios del servicio eléctrico cuyo punto de suministro se encuentra dentro de la red cuya gestión, como distribuidora, le corresponde y no a los gestionados por otras empresas distribuidoras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/99 En relación con los usuarios de su red, conoce el dato de la comercializadora de cada consumidor como consecuencia de la firma con el mismo (o con la comercializadora como mandataria del consumidor) del contrato de ATR. - I-DE indica que no tendría capacidad para conocer ningún tipo de información relacionada con quienes siendo clientes de IBERCLI o de CURENERGIA, comercializadoras de energía eléctrica del grupo Iberdrola en el mercado libre y mercado regulado, respectivamente, no lo fueran de esta distribuidora. Arquitectura de sistemas y base de datos. Aplicación GEA (…) (…): - (…): (…) - (…). (…) (…): - (…). (…). - (…). (…). (…). (…). (…). (…). IBERDROLA indica que la auditoría de verificación de la separación lógica de los accesos a la información por parte de I-DE trae su causa en lo establecido en la normativa reguladora del sector eléctrico, que impone una obligación de separación total entre las actividades reguladas, como la de distribución y las liberalizadas, como es la comercialización, de forma que las empresas distribuidoras deberán acreditar la citada separación. I-DE traslada que, anualmente, emite un informe que se presenta ante el Ministerio para la Transición Ecológica y el Reto Demográfico (MITERD) y la Comisión Nacional de los Mercados y la Competencia (CNMC) para dar cuenta del cumplimiento de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/99 obligaciones en materia de separación de actividades por parte de las sociedad del grupo formado por Iberdrola España y las sociedades participadas por esta con actividades reguladas, esto es, la sociedad I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U., artículo 12.2
- b)de la Ley del Sector Eléctrico y artículo 14 del Código de separación de Actividades de las Sociedades del Grupo Iberdrola España con Actividades Reguladas (“CSA”) disponible en la página web de Iberdrola España, durante el ejercicio. (…). (…): “(…) Alcance del trabajo (…) (…). Procedimientos realizados (…): - (…) - (…) (…) (…) Conclusiones (…). (…). (…).” Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. I-D manifiesta lo siguiente: - El 15 de marzo, por la tarde, se detectó un ataque contra la web de gestión de acometidas de I-DE, (GEA), siendo la secuencia de los hechos la siguiente: - (…). (…). (…). (…). (…). (…). El 16 de marzo de 2022, por la mañana, se produce una ralentización general del acceso a varias webs del grupo Iberdrola. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/99 - A partir del día 17 de marzo de 2022: - (…). (…). (…). (…). (…). (…). (…). (…). A partir del día 17 no se observa tráfico sospechoso ni afectación en ninguno de los sistemas de servicios en internet del grupo Iberdrola. Del análisis del registro de actividad de la aplicación GEA de los últimos días se concluye con fecha 17 de marzo que se ha producido una exfiltración, entre los días 7 y 15 de marzo de 2022, de aproximadamente 4,5 millones de interesados (personas físicas). (…). En fecha 28 de marzo de 2022, la Dirección de Sistemas comunica a IBERCLI y CURENERGIA la existencia de un incidente de seguridad en los sistemas de I-DE que ha podido afectar a la información referida a los clientes de estas compañías y les incluye información referida a los códigos internos de cliente de los afectados, a fin de que las compañías verifiquen si han podido verse comprometidos datos correspondientes a sus clientes. Analizada la información por IBERCLI y CURENERGIA verifican que la brecha de seguridad ha afectado a datos personales de clientes de dichas sociedades. (…). Asimismo, I-DE manifiesta y acredita que desde que tuvo conocimiento del incidente se pusieron en práctica las acciones necesarias para, en coordinación con las organizaciones afectadas, dar cumplimiento a los protocolos internos establecidos a tal efecto y la legislación aplicable, y que incluyen las siguientes acciones: C/ Jorge Juan, 6 28001 – Madrid Comunicación al INCIBE-CERT, Instituto Nacional de Ciberseguridad en España, como equipo de respuesta a incidentes de seguridad informática de referencia Iberdrola. Comunicación a la Oficina de Coordinación Cibernética, en virtud del RDL 12/2018 de seguridad de las redes y sistemas de información que remite el incidente de ciberseguridad a la Policía Nacional para investigación, Comunicación al Centro Nacional de Protección de Infraestructuras Críticas en virtud de la Ley 08/2011 de protección de Infraestructuras Críticas. Presentación de una denuncia ante la Policía Nacional (Unidad Central de Ciberdelincuencia) y el documento presentado por I-DE junto con la misma. www.aepd.es sedeagpd.gob.es 10/99 - Notificación de la brecha de seguridad a la AEPD y a los afectados. En resumen, los sistemas de monitorización permitieron la detección de un volumen anómalo de tráfico, se puso en marcha una actividad de análisis de mayor detalle y las medidas inmediatas que se adoptaron fueron: (…). (…). (…). (…). (…). (…). (…). -IBERCLI y CURENERGIA manifiestan que la cesación del incidente se produjo incluso con anterioridad a que tuvieran conocimiento de que aquel había afectado a datos personales referidos a sus clientes, siendo consecuencia dicho cese de las medidas adicionales de seguridad implementadas por la Dirección de Sistemas (de IBERDROLA) en el aplicativo GEA, tendentes a impedir que, a partir de un acceso al mismo pudiera exfiltrarse mediante la introducción de un código aleatorio información de la Base de Datos referida a clientes de otras entidades del Grupo. Respecto de las causas que hicieron posible la brecha - (…). (…). (…): (…). (…). (…): (…) (…): (…) (…) (…) ( …) C/ Jorge Juan, 6 28001 – Madrid o (…). (…) www.aepd.es sedeagpd.gob.es 11/99 (…) (…) - (…) Respecto de los datos afectados - Los datos de los clientes exfiltrados (…): - (…) (…): (…) - (…): (…). - (…). - (…). (…). - (…). - (…). En fecha 28 de marzo de 2022, la Dirección de Sistemas comunica a IBERCLI y CURENERGIA la existencia de un incidente de seguridad en los sistemas de I-DE que ha podido afectar a la información referida a los clientes de estas compañías y les incluye información referida a los códigos internos de cliente de los afectados, a fin de que las compañías verifiquen si han podido verse comprometidos datos correspondientes a sus clientes. IBERCLI y CURENERGÍA verifican que la brecha de seguridad ha afectado a datos personales de 1.515.000 y 92.550 clientes, respectivamente. Respecto del contrato de encargado del tratamiento - Se aporta el Acuerdo Marco de Protección de Datos Personales del Grupo Iberdrola en el que se detalla el alcance de la prestación de servicios a las empresas del Grupo llevada a cabo por IBERDROLA. Este acuerdo ha sido actualizado en su Anexo II, estando dicha actualización pendiente de formalización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/99 Asimismo, se aporta la Declaración de Aceptación de Iberdrola España S.A.U. de su adhesión al Acuerdo Marco de Protección de Datos Personales del Grupo Iberdrola, actuando la citada entidad, conforme a lo indicado en la cláusula segunda, en su propio nombre y derecho y en representación de las sociedades pertenecientes a su grupo societario sobre las que ostenta directa o indirectamente el control, entre las que se encuentran I-DE, IBERCLI y CURENERGIA. - IBERCLI y CURENERGIA aportan copia del registro de las actividades de tratamiento de datos personales correspondientes a los tratamientos afectados por la brecha: - (…). (…). IBERDROLA aporta copia de los registros de las actividades de tratamiento correspondientes a los tratamientos “Soporte y Mantenimiento de Infraestructuras IT” y “Desarrollo de aplicaciones (SWF)”, que lleva a cabo en su condición de encargada del tratamiento, respecto de diversos tratamientos de las sociedades del Grupo, entre los que se encuentran los afectados por la brecha de seguridad. Respecto de las medidas de seguridad Respecto del análisis de riesgos realizado sobre la actividad del tratamiento que ha sufrido la brecha de seguridad con anterioridad a que se produjera la brecha: - IBERDROLA manifiesta en escrito de respuesta, que el Grupo Iberdrola ha adoptado una metodología de análisis de riesgo de los tratamientos de datos personales que se encuentra implantada de forma automatizada en la propia herramienta corporativa de registro de actividades de tratamiento, de forma que en el propio proceso de registro se determina el nivel de riesgo del tratamiento. - En el caso de los tratamientos respecto de los que IBERDROLA actúa como encargado del tratamiento, señala que la metodología implica la realización del análisis de riesgos en relación con cada uno de los tratamientos respecto de los que IBERDROLA ostenta dicha condición, de forma que ese análisis se desarrolla por la propia entidad responsable del tratamiento en colaboración con IBERDROLA - Por este motivo, el resultado del análisis de riesgos relacionado con los específicos tratamientos (…) figura incorporado a los Registros de Actividades de Tratamiento de I-DE y a los de IBERCLI y CURENERGIA, habiendo sido comunicado sus resultados a IBERDROLA. (…). -Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/99 I-DE, IBERCLI y CURENERGIA indican en sus respuestas que con anterioridad a la incidencia se encontraban implantadas las siguientes medidas de seguridad comunes a la infraestructura TI del Grupo Iberdrola: - (…). (…). (…). (…). (…). (…). (…). (…). Asimismo, al igual que IBERDROLA, describen también las medidas de seguridad específicas del sistema GEA: (…): (…) (…). (…) (…): - (…). (…): - (…). -Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente: (…): - (…). - (…) - (…). - (…). - (…). - (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/99 - (…). - (…). Medidas adoptadas para evitar, en lo posible, incidentes como el sucedido - (…) (…) Respecto de la comunicación a los afectados En fecha 28 de marzo de 2022, la Dirección de Sistemas de IBERDROLA comunica a IBERCLI y CURENERGIA la existencia de un incidente de seguridad en los sistemas de I-DE que ha podido afectar a la información referida a los clientes de estas compañías y les incluye información referida a los códigos internos de cliente de los afectados, a fin de que las compañías verifiquen si han podido verse comprometidos datos correspondientes a sus clientes. IBERCLI y CURENERGÍA trasladan que analizada la información por sus respectivos equipos de sistemas verifican que la brecha de seguridad ha afectado a datos personales de 1.515.000 y 92.550 clientes, respectivamente. Asimismo, resuelven notificar la brecha de seguridad a los afectados. La notificación a los afectados se llevó a cabo, entre los días 31 de marzo y 1 de abril de 2022, a los clientes de los que se disponía de la dirección de correo electrónico, mediante el envío masivo de comunicaciones electrónicas; y por correo postal a los restantes los días 4 y 5 de abril de 2022. - Las tres empresas aportan el modelo de comunicación enviada a los afectados y se comprueba que se ajusta a lo especificado en el artículo 34 del RGPD. Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. IBERDROLA manifiesta que al margen del incidente de seguridad objeto del presente procedimiento no se ha producido ningún otro de naturaleza análoga al mismo. NOVENO: La entidad IBERDROLA es una gran empresa con un volumen de negocios de ***CANTIDAD.1 euros en el año 2021 y de ***CANTIDAD.2 euros en el año 2022, según informe de la entidad Axesor. DÉCIMO: Con fecha 8 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/99 El citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). DÉCIMOPRIMERO: Con fecha 24 de mayo de 2023, IBERDROLA presenta escrito por el que solicita la acumulación del presente expediente con el EXP202205206, así como la suspensión del plazo para la emisión de las alegaciones en tanto no se resuelva acerca de esta petición, indicando lo siguiente: Entiende IBERDROLA que los hechos que sirven de base al ejercicio de la potestad sancionadora que trata de ejercer la Agencia son o tienen una base única que afecta a los dos expedientes sancionadores que han sido aperturados como diferenciados, por lo que solicita la acumulación de ambos procedimientos sancionadores al entender que existe una conectividad necesaria entre los mismos, esto es, que se trata una misma situación que puede redundar en la responsabilidad de ambos. Entiende por ello IBERDROLA que los términos de dicha responsabilidad, total, parcial, en grado de autor, de colaborador o cualquiera otro que proceda de las referencias penales solo pueden apreciarse si se analiza el procedimiento en su conjunto. Sostiene IBERDROLA que la falta de acumulación en el presente caso podría implicar una doble imputación a dos entidades de unos mismos hechos, que a mayor abundamiento pertenecen al mismo grupo empresarial, en concreto al grupo Iberdrola de los que IBERDROLA es la sociedad matriz. De no acumularse ambos expedientes, manifiesta IBERDROLA que se impediría dilucidar cuál es el grado de responsabilidad de cada una de ellas, por cuanto los hechos se analizarían de forma separada y sin entrar a valorar la supuesta actuación simultánea, en términos de responsabilidad, de las dos entidades contra lo que ambos procedimientos se dirigen. De esta forma, podría estarse produciendo una doble imputación de los mismos hechos a ambas entidades sin valorar si la misma es o no compartida o si el reproche sancionador dirigido separadamente contra ambas no debería ser objeto de reducción como consecuencia de esa supuesta concurrencia de responsabilidad. Con ello, se limita, en los términos establecidos en la jurisprudencia constitucional que a continuación se reproduce, el derecho a la defensa de IBERDROLA, al no poder analizar las circunstancias concurrentes en el caso de una forma unificada como consecuencia de la fragmentación provocada por la apertura de dos procedimientos diferenciados. Entiende IBERDROLA que concurren los presupuestos establecidos en el artículo 57 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) que justifican la acumulación de los procedimientos, así como la individualización de la pertinencia de su aplicación al presente supuesto: A) Existencia de "íntima conexión" o "identidad sustancial". Señala IBERDROLA que, en el caso presente, el día 18 de marzo de 2022 se produjo una brecha de seguridad de los datos personales, notificada inicialmente por I-DE. Es esta misma brecha de seguridad la que determina la apertura del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/99 procedimiento en el que se atribuye responsabilidad a IBERDROLA, así como el de aquel que se pretende acumular con el presente, abierto para dilucidar la responsabilidad de I-DE. Indica IBERDROLA que la conectividad, en el presente supuesto, deriva, por tanto, de que se trata de depurar responsabilidad a dos personas jurídicas, pero por un mismo hecho: es la propia Agencia la que deja claro que se trata de una única brecha de seguridad y que sobre la misma es sobre la que se van a fundar, en su caso, las responsabilidades subjetivas de IBERDROLA, en el presente procedimiento, y de I-DE en el procedimiento cuya acumulación se solicita. Por tanto, concluye IBERDROLA que, existiendo unos únicos hechos por los que se imputa responsabilidad tanto a ella como a I-DE, resulta evidente que es necesaria la valoración conjunta de los mismos para poder determinar si existe una responsabilidad conjunta o separada de ambas entidades, así como si la responsabilidad lo sería por distinto título en uno y otro caso. B) Que le corresponda al mismo órgano la tramitación y resolución del procedimiento. Señala IBERDROLA que, junto con el anterior requisito, la LPACAP impone el respeto al principio general de competencia del órgano que ha de dictar la resolución, requisito que se cumple en el presente supuesto, dado que la Ley atribuye la competencia para la tramitación de ambos procedimientos a un único órgano sancionador, por lo que con la acumulación no se pierde ni se difumina esa competencia como consecuencia de la existencia potencial de órganos de instrucción diferente. A juicio de IBERDROLA, el efecto esencial de la acumulación de expedientes es el de que todas las cuestiones a resolver deben ser examinadas en un solo procedimiento y decididas en un único acto final que valore conjuntamente las responsabilidades de todos los implicados. Señala IBERDROLA que el esquema que acaba de analizar tiene, sin duda, características especiales en el ámbito sancionador por la propia estructura y el juicio de valor que la misma encierra. Trae a colación varias Sentencias del Tribunal Constitucional para reseñar que los principales principios y garantías constitucionales del orden penal y del proceso penal han de observarse, con ciertos matices, en el procedimiento administrativo sancionador como el derecho a ser informado de la acusación (SSTC 31/1986, 190/1987, 29/1989) y a utilizar los medios de prueba pertinentes para la defensa (SSTC 2/1987, 190/1987 y 212/1990), así como el derecho a la presunción de inocencia (SSTC 13/1982, 36 y 37/1985, 42/1989, 76/1990 y 138/1990), derechos fundamentales todos ellos que han sido incorporados por el legislador a la normativa reguladora del procedimiento administrativo común. Entiende IBERDROLA que la fragmentación del procedimiento en dos procedimientos separados afecta sustancialmente a la determinación y constatación de los hechos relevantes en el mismo, así como a la delimitación de las potenciales responsabilidades que pudieran corresponder a las entidades a las que se dirigen los procedimientos cuya acumulación se solicita. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/99 Concluye por ello IBERDROLA que la acumulación es una exigencia de la adecuada instrucción y de la garantía del derecho de defensa y que la tramitación por separado de dos expedientes sancionadores a dos personas jurídicas distintas por los mismos hechos es perjudicial para sus intereses. Entiende IBERDROLA que la falta de acumulación en el presente caso podría implicar una doble imputación a IBERDROLA e I-DE, como se ha dicho, de unos mismos hechos, sin que la acumulación permita dilucidar cuál sería el grado de responsabilidad de cada una de ellas, por cuanto los hechos se analizarían de forma separada y sin entrar a valorar la supuesta actuación simultánea, en términos de responsabilidad, de las dos entidades contra lo que ambos procedimientos se dirigen. Entiende que mantener la separación de los procedimientos supone en términos procesales un fraccionamiento de la causa que condiciona la actuación instructora y de propuesta porque aparecen instrucciones diferentes, valoraciones y pruebas potencialmente diferentes y, por tanto, criterios que pueden ser, igualmente, diferenciados. Por todo lo expuesto, IBERDROLA solicita la acumulación de los dos expedientes citados y que se tenga también por solicitada expresamente la suspensión del plazo para la formalización de alegaciones hasta que se resuelva el incidente de acumulación que se plantea conforme al presente escrito. Asimismo, entiende IBERDROLA que, teniendo en cuenta la naturaleza de lo solicitado y la incidencia en la instrucción de los expedientes en cuestión y, finalmente, en el derecho de defensa de los interesados en ambos procedimientos, al afectar sustancialmente al contenido de las alegaciones que IBERDROLA podría efectuar en el supuesto de acordarse la mencionada acumulación, con la consiguiente merma de su derecho a la tutela judicial efectiva en su modalidad de servirse de los medios de prueba necesarios para la adecuada defensa de sus derechos, solicitamos expresamente la suspensión del plazo para la formalización de las alegaciones de forma que las mismas puedan realizarse conforme al criterio de instrucción que estamos solicitando. Por ello, solicita IBERDROLA la suspensión del plazo para la formalización de alegaciones hasta que se resuelva el incidente de acumulación que se plantea conforme al presente escrito. DÉCIMOSEGUNDO: Con fecha 30 de enero de 2024 IBERDROLA presentó escrito de alegaciones a la Propuesta de Resolución del procedimiento sancionador. DÉCIMOTERCERO De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/99 PRIMERO: Primera notificación de brecha de datos personales 1.-Notificaciones de brecha de datos personales realizadas por I-DE: A) Con fecha 18 de marzo de 2022 se notificó a la División de Innovación Tecnológica de esta Agencia Española de Protección de Datos (en adelante AEPD o la Agencia) una brecha de seguridad de los datos personales remitido por I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U. con NIF A95075578 (en adelante, I-DE) como responsable del tratamiento, en la que informa a esta Agencia de lo siguiente: (…). Se indica que el número de afectados es de 4,5 millones de clientes de esta sociedad. A) Con fecha 29 de marzo de 2022 (Número de registro: REGAGE22e00010072289) I-DE presenta una nueva notificación ampliando la información sobre la brecha de datos personales notificada, a través de la aportación de del informe “Incidente ciber GEA. Descripción incidente y acciones.” fechado el 28 de marzo 2022, según el cual: “I-DE, dentro de la prestación de servicios a sus clientes, ofrece un aplicativo web llamado Gestión de Expedientes y Acometidas (GEA): ***URL.1 Este servicio permite a los clientes o sus representantes (instaladores) realizar los trámites pertinentes para el proceso de una conexión a la red. En el transcurso de las sesiones de la aplicación, hay un intercambio de información de datos del cliente que está sometido a los filtros de seguridad propios de la aplicación, de forma que cada cliente (o representante delegado) sólo podrá acceder a la información que corresponda a la seguridad y perfiles de acceso previsto. Indica que el número de afectados clientes de I-DE es de 1.350.000 Indica como fecha de inicio de la brecha el 7 de marzo de 2022 Informa de que todavía no se ha comunicado la brecha a las personas afectadas y que, a más tardar, serán informadas el 31 de marzo de 2022. Asimismo, en el citado informe “Incidente ciber GEA. Descripción incidente y acciones” se indica: “6. Análisis de la información extraída A partir de la información del análisis forense, i-DE ha llevado a cabo un análisis de los registros de información potencialmente extraída. Del fichero enviado a i-DE con los clientes afectados por la brecha de seguridad que contiene 4.5 millones de registros de personas físicas, se ha comprobado que aproximadamente 1,3 millones son clientes de i-DE. El atacante, potencialmente podría haber superado las condiciones de seguridad de la información exclusiva de i-DE, saltando a rangos de información de otras sociedades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/99 Dada la naturaleza de la arquitectura de base de datos (que, teniendo separación lógica, comparte elementos físicos comunes), esto podría suponer que otros datos de clientes fueran de sociedades diferentes a i-DE, lo cual se transmite a la dirección de Sistemas de la Compañía para un análisis detallado de otras afecciones en otras sociedades o negocios del grupo Iberdrola.” 2. Notificaciones de brecha de datos personales realizada por IBERCLI: A) con fecha con fecha 29 de marzo de 2022 (Número de registro: REGAGE22e00010094106), IBERCLI presenta notificación de brecha de seguridad, en la que indica que ha tenido constancia el 28 de marzo de 2022 de que ha sido afectada por la brecha de seguridad sufrida por I-DE, indicando la vulneración de la confidencialidad de los datos personales de 1.550.000 de sus clientes, a los cuales aún no ha informado pero que lo hará a más tardar el 31/03/2022. A) Con fecha 6 de abril de 2022 (Número de registro: REGAGE22e00011889434), IBERCLI presenta modificación de la notificación de brecha de datos personales realizada el 29 de marzo de 2022, en la que informa que las personas afectadas por la misma son 1.515.000 y que se les ha informado de la misma el 31 de marzo de 2022 mediante comunicación dirigida personalmente a cada afectado (postal, mail, sms o similar). Junto a la notificación se aporta: -Informe “Incidente ciberataque 28/03/2022. Descripción incidente y acciones” -Anexo Comunicación a interesados 3. Notificación de brecha de datos personales realizada por CURENERGIA: A) Con fecha 29 de marzo de 2022 (Número de registro: REGAGE22e00010095169), CURENERGÍA presenta notificación de brecha de seguridad, en la que indica que ha tenido constancia el 28 de marzo de 2022 de que ha sido afectada por la brecha de seguridad sufrida por I-DE, indicando la vulneración de la confidencialidad de los datos personales de 85.000 de sus clientes, a los cuales aún no ha informado pero que lo hará a más tardar el 31/03/2022. A) Con fecha 6 de abril de 2022 (Número de registro: REGAGE22e00011892653), CURENERGÍA presenta modificación de la notificación de brecha de datos personales realizada el 29 de marzo de 2022, en la que informa que las personas afectadas por la misma son 92.550 y que se les ha informado de la misma el 31 de marzo de 2022 mediante comunicación dirigida personalmente a cada afectado (postal, mail, sms o similar). Junto a la notificación se aporta: -Informe “Incidente ciberataque 28/03/2022. Descripción incidente y acciones” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/99 -Anexo Comunicación a interesados SEGUNDO: Circunstancias del ataque 1.Según se indica en el resumen del informe “Incidente ciber GEA. Descripción incidente y acciones.” aportado por IBERDROLA en el escrito de respuesta al requerimiento de información realizado por esta AEPD, durante las actuaciones previas de investigación, presentado en fecha 24 de enero de 2023 (Número de registro: REGAGE23e00004670187), y según se indica asimismo en el informe “Incidente ciber GEA. Descripción incidente y acciones.” fechado el 28 de marzo 2022” y aportado por I-DE junto con la segunda notificación de brecha de datos personales, la cronología del ataque es la siguiente: - “El 15 de marzo, por la tarde, se detecta un ataque contra la web de gestión de acometidas de I-DE, (GEA) - El 16 de marzo de 2022, por la mañana, se produce una ralentización general del acceso a varias webs del grupo Iberdrola. - (…) (…) (…) (…). (…). (…) A partir del día 17 de marzo: C/ Jorge Juan, 6 28001 – Madrid (…). A partir del día 17 no se observa tráfico sospechoso ni afectación en ninguno de los sistemas de servicios en internet del grupo Iberdrola Del análisis del registro de actividad de la aplicación GEA de los últimos días se concluye con fecha 17 de marzo que se ha producido una exfiltración, entre los días 7 y 15 de marzo de 2022, de aproximadamente 4,5 millones de interesados (personas físicas). Facilitada a I-DE por la Dirección de Sistemas la información referida a los códigos de cliente de los interesados, ésta comunica en fecha 28 de marzo de 2022 que, de los mimos, únicamente 1,34 millones de registros se corresponden con clientes de I-DE. En fecha 28 de marzo de 2022, la Dirección de Sistemas comunica a IBERCLI y CURENERGIA la existencia de un incidente de seguridad en los sistemas de I-DE que ha podido afectar a la información referida a los clientes de estas compañías y les incluye información referida a los códigos internos de cliente de los afectados, a fin de que las compañías www.aepd.es sedeagpd.gob.es 21/99 verifiquen si han podido verse comprometidos datos correspondientes a sus clientes. Analizada la información por IBERCLI y CURENERGIA verifican que la brecha de seguridad ha afectado a datos personales de clientes de dichas sociedades. (…) 2.Según indica IBERCLI, en el informe “Incidente ciberataque 28/03/2022. Descripción incidente y acciones.” fechado el 4 de abril de 2022” y aportado junto con la segunda notificación de brecha de datos personales, la cronología de los hechos es la siguiente: “3. Hechos Se excluyen del presente relato los elementos relativos exclusivamente al ciberataque a la web GEA de i-DE, dado que según nos consta, la AEPD ya ha sido informada de ellos. Se inician pues los hechos desde el momento en que, por parte de IBERCLI, se tiene conocimiento de haber sido afectada por el ciberataque: 1. El 28 de marzo, desde Sistemas de i-DE se recibe una notificación indicando que, como resultado del análisis efectuado por dicha sociedad, se ha observado que entre los clientes afectados los hay que no corresponden con códigos de cliente de i-DE. 2. Analizada de forma urgente la información que nos entregan se concluye que un total de 1,5 M de clientes de IBERCLI se han visto afectados, a pesar de que la arquitectura de base de datos tiene implantadas medidas de separación lógica y cada sociedad, por aplicación, sólo tiene capacidad de acceder a sus propios clientes. 3. Confirmada la afección de datos de IBERCLI, se procede, el 29/03, a notificar a la AEPD. 4. Se comienza a trabajar en paralelo en la notificación a interesados. Dicha notificación se realiza por oleadas entre los días 31/03 (400.00 notificaciones por email aprox.),01/04 (resto de notificaciones por email) y 04/04 (envío de cartas para clientes de los que no se dispone email). Se establece un dispositivo de atención a los clientes afectados, con un número gratuito y un correo electrónico específico, y se refuerzan los canales habituales dando instrucciones para atender consultas específicas sobre el incidente. Se incluye en anexo copia de la comunicación enviada. 5. IBERCLI ha sido integrada en un plan a nivel de grupo Iberdrola, en el que se incluyen medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes de seguridad como el sucedido. Se ha lanzado para todo el grupo Iberdrola un plan de securización urgente, consistente en: a. Prevención (Controles de Infraestructura) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/99 b. Detección de vulnerabilidades c. Remediación de vulnerabilidades detectadas d. Revisión de protocolos de emergencia 6. Se extiende a IBERCLI el ámbito de la vigilancia digital establecida para el incidente de i-DE, no habiéndose detectado hasta la fecha ninguna publicación en fuentes abiertas o dark web” 3. Según indica CURENERGIA, en el informe “Incidente ciberataque 28/03/2022. Descripción incidente y acciones.” fechado el 4 de abril de 2022” y aportado junto con la segunda notificación de brecha de datos personales, la cronología de los hechos es la siguiente: “3. Hechos Se excluyen del presente relato los elementos relativos exclusivamente al ciberataque a la web GEA de i-DE, dado que según nos consta, la AEPD ya ha sido informada de ellos. Se inician pues los hechos desde el momento en que, por parte de CURENERGIA, se tiene conocimiento de haber sido afectada por el ciberataque: 1. El 28 de marzo, desde Sistemas de i-DE se recibe una notificación indicando que, como resultado del análisis efectuado por dicha sociedad, se ha observado que entre los clientes afectados los hay que no corresponden con códigos de cliente de i-DE. 2. Analizada de forma urgente la información que nos entregan se concluye que un total de 92.550 clientes de CURENERGIA se han visto afectados, a pesar de que la arquitectura de base de datos tiene implantadas medidas de separación lógica y cada sociedad, por aplicación, sólo tiene capacidad de acceder a sus propios clientes. 3. Confirmada la afección de datos de CURENERGIA, se procede, el 29/03, a notificar a la AEPD. 4. Se comienza a trabajar en paralelo en la notificación a interesados. Dicha notificación se realiza por oleadas entre los días 31/03, 01/04 y 04/04 (por email o por envío de cartas para clientes de los que no se dispone email). Se establece un dispositivo de atención a los clientes afectados, con un número gratuito y un correo electrónico específico, y se refuerzan los canales habituales dando instrucciones para atender consultas específicas sobre el incidente. Se incluye en anexo copia de la comunicación enviada. 5. CURENERGIA ha sido integrada en un plan a nivel de grupo Iberdrola, en el que se incluyen medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes de seguridad como el sucedido. Se ha lanzado para todo el grupo Iberdrola un plan de securización urgente, consistente en: a. Prevención (Controles de Infraestructura) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/99 b. Detección de vulnerabilidades c. Remediación de vulnerabilidades detectadas d. Revisión de protocolos de emergencia 6. Se extiende a CURENERGIA el ámbito de la vigilancia digital establecida para el incidente de i-DE, no habiéndose detectado hasta la fecha ninguna publicación en fuentes abiertas o dark web” TERCERO: Sobre la aplicación GEA de I-DE -i-de e IBERDROLA, en sus escritos de respuesta a requerimientos realizados por esta AEPD, indican: -La aplicación GEA es una aplicación web de i-DE que se utiliza para la Gestión de Acometidas Eléctricas, esta aplicación está publicada en Internet para su acceso por parte de los usuarios (clientes, instaladores, etc.) implicados en el proceso de gestión de esos expedientes de acometida: ***URL.1 -Este servicio permite a los clientes o sus representantes (instaladores) realizar los trámites pertinentes para el proceso de una conexión a la red. En el transcurso de las sesiones de la aplicación, hay un intercambio de información de datos del cliente que está sometido a los filtros de seguridad propios de la aplicación, de forma que cada cliente (o representante delegado) sólo podrá acceder a la información que corresponda a la seguridad y perfiles de acceso previsto -(…): ***URL.2 CUARTO: Sobre la arquitectura de sistemas y base de datos. Acceso desde aplicaciones. IBERDROLA, como encargada de tratamiento y que gestiona la base de datos donde las tres empresas afectadas almacenan los datos personales de sus clientes, indica lo siguiente: “(…) (…).” QUINTO: Causas que hicieron posible la brecha IBERDROLA, en su escrito de respuesta presentado el 24 de enero de 2023, indica: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/99 (…). (…). (…): • (…) • (…) • (…) • (…) • (…) • (…) • (…) • (…) • (…) (…) (…) SEXTO: Medidas de seguridad establecidas en la Base de Datos IBERDROLA, respecto a las medidas de seguridad establecidas en la base de datos, en su escrito de respuesta presentado con fecha 24 de enero de 2023, indica lo siguiente: “(…).” SÉPTIMO: medidas inmediatas tras la brecha IBERDROLA, en su escrito de respuesta presentado con fecha 24 de enero de 2023, indica lo siguiente: “(…).” OCTAVO: IBERDROLA como encargada del tratamiento respecto de IBERCLI y de CURENERGÍA Como respuesta al requerimiento de información realizado por esta AEPD a IBERDROLA durante el período de investigaciones previas relativo a los contratos firmados en relación con la protección de datos respecto de la prestación de servicios de soporte informático y de seguridad que presta a I-DE, IBERCLI y CURENERGIA, IBERDROLA, en su escrito de respuesta presentado en fecha 24 de enero de 2023 (Número de registro: REGAGE23e00004670187), indica: - “Se aporta como documento nº 1, Acuerdo Marco de protección de datos personales para el Grupo Iberdrola, en el que se detalla el alcance de la prestación de servicios a las empresas del Grupo llevada a cabo por mi representada, con los requisitos establecidos en el artículo 28 del Reglamento General de Protección de Datos. Este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/99 Acuerdo ha sido actualizado en su Anexo II, que se aporta como documento número 1bis, estando dicha actualización pendiente de formalización. Igualmente se aporta como DOCUMENTO NÚMERO 2 declaración de aceptación de Iberdrola España, S.A.U. de su adhesión al citado Acuerdo Marco, actuando la citada entidad, conforme lo indicado en la cláusula segunda, en su propio nombre y derecho y en representación de las sociedades pertenecientes a su grupo societario sobre las que ostenta directa o indirectamente el control, entre las que se encuentran las tres entidades a las que se refiere el requerimiento de información. El citado “Acuerdo Marco de protección de datos personales para el Grupo Iberdrola”, firmado el 18 de mayo de 2018, está suscrito, por un lado, por IBERDROLA y, de otra, por “las sociedades integradas en el grupo cuya entidad dominante, en el sentido establecido por la ley, es IBERDROLA (en adelante Grupo Iberdrola) que firmen la Declaración de Aceptación que figura como Anexo I a este contrato…”. En dicho acuerdo (en adelante Acuerdo Marco PDP), se indica lo siguiente: En el punto 1 del “Exponen”: “Que las partes han suscrito un Acuerdo Marco de Prestación de Servicios Corporativos por el que se regula la prestación de servicios corporativos de (…) sistemas (…) bajo e Modelo de Corporación Única por parte de IBERDROLA a las sociedades del Grupo Iberdrola beneficiarias (…) Punto 11 “Por ello, se establece este Acuerdo Marco de Protección de Datos Personales bajo el que se legitima el acceso y tratamiento de datos personales por IBERDROLA y las Sociedades del Grupo (prestadoras de servicios) por cuenta de otras Sociedades del Grupo (receptoras del servicio), dando cumplimiento a las diferentes legislaciones de protección de datos personales aplicables, especialmente el RGPD y la legislación española que rige el tratamiento de datos personales por parte de IBERDROLA” En el apartado “CLAUSULAS”, se indica: CLAUSULA SEGUNDA. En su segundo párrafo se indica: “(…)” En dicho Anexo, entre otros servicios, se incluye “Operación y soporte” “Desarrollo” y “Gestión de Sistemas” En la CLÁUSULA SÉPTIMA “Garantías en el tratamiento de datos personales”, se indica: “7.5.-Obligaciones del Encargado del Tratamiento.
- e)Medidas de Seguridad. Conforme al RGPD, aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado a riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/99 fines de tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. Las medidas de seguridad a implantar son las que se indican en el Anexo III de este Acuerdo marco PDP” En respuesta al requerimiento de copia del registro a que se refiere el artículo 30 del RGPD, respecto de las actividades de tratamiento de datos personales de las citadas empresas efectuadas bajo su responsabilidad, IBERDROLA responde: “Se aporta, como DOCUMENTOS NÚMEROS 3 y 4 los Registros de Actividades de Tratamiento correspondientes a los tratamientos "Soporte y Mantenimiento de Infraestructuras IT” y “Desarrollo de aplicaciones (SWF)”, llevados a cabo por mi mandante en su condición de encargada del tratamiento, respecto de diversos tratamientos de las sociedades del Grupo Iberdrola, entre los que se encuentran los afectados por la brecha de seguridad: • (…) • (…) Asimismo, indica IBERDROLA que “La Dirección de Sistemas del Grupo Iberdrola administra y opera los equipos físicos que alojan la información, prestando servicio a las diferentes sociedades del Grupo”. NOVENO: Análisis de riesgos del tratamiento afectado por la brecha de datos personales A solicitud de esta AEPD de copia del análisis de riesgos sobre los derechos y libertades de las personas físicas realizado sobre la actividad del tratamiento que ha sufrido la brecha de seguridad con anterioridad a la incidencia, tanto IBERCLI como CURENERGÍA aportaron el mismo documento que es el esquema seguido en el seno del Grupo Iberdrola para la valoración del riesgo en el tratamiento de los datos personales y que se lleva a cabo conforme al mismo: (…) Asimismo, ambas empresas adjuntan un documento explicativo de la lógica seguida para el cálculo del nivel de riesgo conforme a esta metodología, denominado “Lógica de cálculo de Nivel de Riesgo” Explican que dicha metodología se encuentra implantada de forma automatizada en la propia herramienta corporativa de registro de actividades de tratamiento, de forma que en el propio proceso de registro determina el nivel de riesgo del tratamiento. Así pues, la aplicación de dicha metodología en relación con el tratamiento (…) arrojó como resultado un nivel de riesgo MEDIO. En dicho documento se analizan circunstancias o amenazas en el sentido del esquema indicado, las cuales se trasladan al Registro de Actividades de Tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/99 DÉCIMO: Número de personas afectadas y tipo de datos afectados Clientes de IBERCLI afectados: 1.515.000 Clientes de CURENERGIA afectados: 92.550 Tipo de datos afectados: (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que IBERDROLA realiza, entre otros tratamientos, la recogida, conservación, consulta, utilización, supresión, etc., de datos personales de personas físicas, tales como: nombre, apellidos, DNI, dirección postal, número de teléfono, dirección de correo electrónico, datos bancarios, datos relativos al suministro y al consumo eléctrico, cuenta corriente, etc. IBERDROLA realiza esta actividad en su condición de encargado del tratamiento, de conformidad con el artículo 4.8 del RGPD, dado que trata estos datos personales por cuenta de otras empresas pertenecientes al Grupo Iberdrola a las que les presta, entre otros, servicios de Soporte y Mantenimiento de Infraestructuras IT y de Desarrollo de aplicaciones (SWF). Concretamente, en el caso que nos ocupa, presta estos servicios como encargada de tratamiento, entre otras, de I-DE, CURENERGÍA E IBERCLI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/99 El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse producido un ataque informático en un aplicativo web de una de las empresas del Grupo Iberdrola y que ha provocado el acceso ilícito por parte de un tercero no autorizado a datos personales de otras dos sociedades del mismo Grupo y que se encontraban almacenados en la base de datos compartida por diferentes sociedades del grupo y que es administrada y gestionada por IBERDROLA. Por tanto, la brecha de seguridad sufrida ha afectado a datos personales tratados por IBERDROLA en su condición de encargada del tratamiento. III Sobre la solicitud de acumulación y la suspensión del plazo para formular alegaciones Respecto de la solicitud de acumulación del presente expediente y el EXP202205206 realizada por IBERDROLA, procede señalar que el artículo 57 de la LPACAP establece: “El órgano administrativo que inicie o tramite un procedimiento, cualquiera que haya sido la forma de su iniciación, podrá disponer, de oficio o a instancia de parte, su acumulación a otros con los que guarde identidad sustancial o íntima conexión, siempre que sea el mismo órgano quien deba tramitar y resolver el procedimiento. Contra el acuerdo de acumulación no procederá recurso alguno”. (el subrayado es nuestro) Por tanto, es una posibilidad que tiene la Administración, no estando obligada a proceder a la acumulación en caso de ser solicitada. Si embargo, ello no obsta para que se motive a continuación las razonas por las cuales se ha considerado oportuno tramitar ambos procedimientos sancionadores por separado. Así, si bien los dos expedientes sancionadores, uno dirigido contra I-DE y otro contra IBERDROLA, S.A., parten del mismo incidente de seguridad (el ataque a la aplicación GEA, aplicativo web de I-DE), el mismo ha producido dos brechas de datos personales diferentes y diferenciadas, tal y como se refleja en los Antecedentes de Hecho de la presente propuesta, especialmente en el Antecedente de hecho Octavo, donde se reseña la información recabada durante la fase de actuaciones previas de investigación llevadas a cabo por esta AEPD. Así, por un lado, el ataque se produjo a través de un aplicativo web de I-DE, aprovechando una vulnerabilidad del mismo y que permitió el acceso a la base de datos de I-DE y que afectó a la confidencialidad de 1.350.000 clientes de I-DE. Por ello, el procedimiento sancionador relativo al EXP202205206 se dirige exclusivamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/99 a I-DE como responsable del tratamiento de los datos personales de sus clientes y como consecuencia de una vulnerabilidad existente en un aplicativo web suyo. De otro lado, en el ciberataque no sólo se vieron afectados datos personales de I-DE, sino que, al acceder a la base de datos de I-DE, la cual se encontraba alojada en un sistema en el que coexisten bases de datos de otras empresas del mismo grupo, el atacante aprovechando vulnerabilidades de las bases de datos consiguió acceder a las bases de datos de otras dos empresas, IBERCLI y CURENERGÍA, afectando a la confidencialidad de datos personales de clientes de estas dos últimas. Estas diferentes bases de datos de diferentes empresas se alojan o se llevan a cabo en un sistema mantenido y soportado exclusivamente por IBERDROLA, la cual, en consecuencia, es encargada de tratamiento de todas ellas, es decir, de I-DE, IBERCLI y CURENERGÍA. Este hecho ha supuesto que se inicie el presente procedimiento sancionador a IBERDROLA, pero por su responsabilidad como encargada de tratamiento de IBERCLI y de CURENERGÍA y exclusivamente por la brecha de datos personales que ha afectado únicamente a los datos personales de los clientes de estas dos empresas comercializadoras y solamente atendiendo a la responsabilidad que puede tener IBERDROLA en cuanto a la configuración de la base de datos que gestiona respecto de estas dos empresas afectadas. En este sentido, esa afectación a datos personales de clientes alojados en bases de datos de I-DE no puede formar parte de este procedimiento sancionador dirigido exclusivamente a IBERDROLA, por cuanto I-DE no es responsable ni de los datos personales de clientes afectados que pertenecen a otras empresas, ni de la posible falta de adopción de medidas adecuadas para la protección de la confidencialidad de los datos personales de otras empresas alojados en una base de datos que gestiona IBERDROLA como encargada del tratamiento. Por tanto, se ha de analizar de forma independiente la gestión de las bases de datos que realiza IBERDROLA respecto de esas terceras empresas, sin que pueda responder I-DE por posibles incumplimientos de la normativa de protección de datos en dicha gestión. Por tanto, estando dirigido los procedimientos sancionadores a diferentes sujetos (dos empresas diferentes), estar afectados los datos personales de clientes de diferentes empresas, no teniendo I-DE nada que ver con los datos de clientes ajenos, tramitarse por vulnerabilidades o incumplimientos respecto de sistemas diferentes (en uno un aplicativo web, de I-DE, en este, una base de datos que gestiona IBERDROLA),etc, es por lo que no se ha considerado por esta AEPD acumular los dos expedientes, sino tramitar los dos procedimientos sancionadores de forma separada, al estar claramente separada la responsabilidad que se atribuye a cada uno, así como tratarse de brechas de datos personales diferentes y que afectan a datos personales tratados por responsables diferentes. Asimismo, ello no le produce indefensión a IBERDROLA por cuanto en todo momento conoce los hechos que se le imputan, la infracción que los mismos suponen, la responsabilidad en que ha incurrido, así como que ha tenido y tiene la oportunidad de formular alegaciones y presentar cuanta documentación considere oportuna en defensa de sus intereses que le permite la legislación aplicable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/99 Por último, en cuanto a la solicitud de suspensión del plazo para formular alegaciones al Acuerdo de Inicio mientras no se decida sobre la acumulación de los dos procedimientos, se significa que dicha posibilidad no existe ni en la normativa aplicable de protección de datos (RGPD Y LOPDGDD) ni en la LPACAP. Por el contrario, en esta última ley lo que se establece es la obligatoriedad de que los trámites que deban ser cumplimentados por los interesados son de obligado cumplimiento: “Artículo 73. Cumplimiento de trámites. 1. Los trámites que deban ser cumplimentados por los interesados deberán realizarse en el plazo de diez días a partir del siguiente al de la notificación del correspondiente acto, salvo en el caso de que en la norma correspondiente se fije plazo distinto.” Por tanto, no procede la solicitud de suspensión, al no existir legalmente esta posibilidad, ni la misma ha tenido efecto alguno, no habiéndose suspendido, en consecuencia, el plazo para formular alegaciones. IV Respuesta a las alegaciones al Acuerdo de Inicio En respuesta a las alegaciones presentadas se señala lo siguiente: PRIMERA: SOBRE LA ACUMULACIÓN DE LOS PROCEDIMIENTOS Reitera IBERDROLA de nuevo la solicitud de acumulación y se remite a la solicitud presentada al efecto el 24 de mayo de 2023. A este respecto, procede remitirse a lo argumentado en el Fundamento de Derecho anterior, en el que se da debida respuesta a esta cuestión. SEGUNDA. – SOBRE LAS ESPECIALES CIRCUNSTANCIAS ACAECIDAS EN RELACIÓN CON LA TRAMITACIÓN DEL PRESENTE EXPEDIENTE Y LA VULNERACIÓN DE LOS PRINCIPIOS DE BUENA FE, CONFIANZA LEGÍTIMA Y SEGURIDAD JURÍDICA Alega IBERDROLA que esta AEPD ha vulnerado los principios de seguridad jurídica, buena fe y confianza legítima establecidos en el artículo 3.2
- e)de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante LRJSP) ya que mediante escrito fechado el 18 de abril de 2022, de la División de Innovación Tecnológica de la AEPD, se indica, en relación con la información adicional aportada por I-DE relativa a la brecha de datos personales sufrida por ella, que “Tras el análisis de la información adicional aportada, la brecha de seguridad ha sido actualizada en el registro de notificaciones de brechas de seguridad y no se prevé el inicio de otras acciones por parte de esta Agencia”. Sin embargo, posteriormente y sin que conste ninguna actuación posterior hasta la fecha del primer requerimiento de información que se le dirige a I-DE (escrito firmado el 8 de julio de 2022 por el Inspector actuante) de lo que parece desprenderse la iniciación por la AEPD de actuaciones de investigación, sin existir acuerdo o decisión alguna en este sentido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/99 Entiende IBERDROLA que ello pone de manifiesto que no procedía la realización de investigación adicional relacionada con la brecha por cuanto la AEPD al firmar el referido escrito de 18 de abril consideró adecuadas las manifestaciones efectuadas por I-DE, IBERCLI y CURENERGIA, no apreciando en la brecha la concurrencia de elemento alguno que justificase la realización de actuaciones de investigación tendentes a determinar si se había producido una presunta vulneración de la normativa de protección de datos. Sin embargo, continua IBERDROLA, la AEPD el 9 de mayo de 2022, acuerda la admisión a trámite de reclamaciones (formuladas con anterioridad al 18 de abril de 2022) y la iniciación de actuaciones previas de investigación, pero sin que conste en el expediente ninguna actuación o circunstancia relacionada con este caso que hubiera sido aportada o acaecido en el período que mediaba entre el 18 de abril y la fecha de admisión a trámite y que justifique el inicio de las mismas. Asimismo, entiende IBERDROLA que el escrito de 18 de mayo de 2022 supone que la AEPD consideraba que la información recibida de ella sobre la brecha era suficiente para entender que no concurría en I-DE ni en IBERDROLA ni en ninguna otra de las entidades que había procedido a la notificación del incidente responsabilidad alguna por un supuesto incumplimiento de la normativa de protección de datos, lo que determinaba el archivo de un expediente que, sin embargo, la AEPD decide abrir días después sin que concurra indicio alguno que implique un cambio sustancial en la naturaleza, circunstancias o severidad de la brecha. De ello concluye IBERDROLA que la AEPD adoptó una decisión que contradice frontalmente con la previa adoptada apenas 20 días antes. A este respecto, procede señalar, en primer lugar, que el citado escrito de 18 de mayo de 2022 estaba dirigido únicamente a I-DE y con relación a las notificaciones realizadas por la misma a la División de Innovación Tecnológica de esta AEPD como consecuencia de una brecha de datos personales sufrida por ella. Por tanto, dicho escrito en modo alguno se refiere a la brecha de datos personales sufrida por IBERCLI y CURENERGIA y por la que se tramita el presente procedimiento sancionador a IBERDROLA como encargada de tratamiento de las mismas, por mucho que intente ahora extenderlo a este expediente. Se recoge en la propuesta de resolución que no obstante, y a mayor abundamiento de lo anterior, como quiera que de la brecha de datos personales notificada por I-DE se derivó la brecha sufrida por IBERCLI y CURENERGÍA, se procede a responder la errónea interpretación que realiza IBERDROLA en relación con el citado escrito. Así, dicho escrito está firmado de forma genérica por la AEPD, proviene de la División de Innovación Tecnológica, la cual se encarga de recibir las notificaciones de las brechas de datos personales y registrarlas en el registro que lleva al efecto, y en el cual se indicó lo siguiente: “En relación con la información adicional aportada mediante registro de entrada REGAGE22e00010072289, relativa a una brecha de datos personales en un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/99 tratamiento de I-DE REDES ELECTRICAS INTELIGENTES S.A.U. informamos que: Tras el análisis de la información adicional aportada, la brecha de seguridad ha sido actualizada en el registro de notificaciones de brechas de seguridad y no se prevé el inicio de otras acciones por parte de esta Agencia. No obstante, le recordamos la necesidad de investigar las causas del incidente hasta entender cómo y por qué ha sucedido, y la obligación de tomar las acciones oportunas para evitar que vuelva a suceder y minimizar el impacto potencial sobre los afectados, así como la obligación de documentar cualquier incidente de seguridad que pueda afectar a los datos personales como los hechos relacionados con los mismos y las medidas correctivas aportadas tal y como establece el artículo 33.5 del RGPD. Si en el trascurso del tiempo obtuviera indicios que impliquen un cambio sustancial en la naturaleza, circunstancias o severidad de la brecha, puede realizar una nueva notificación completa a través de nuestra sede electrónica https://sedeagpd.gob.es/sede-electronica-web/. Así mismo, le informamos que en el siguiente enlace tiene a su disposición la guía para la gestión y notificación de brechas de seguridad de los datos personales publicada por esta Agencia: https://www.aepd.es/media/guias/guiabrechas-seguridad.pdf” Como encabezado consta “DIVISIÓN DE INNOVACIÓN TECNOLÓGICA” En el lateral izquierdo del escrito se indica que “Firmado electrónicamente por: Agencia Española de Protección de Datos. A fecha 18/04/2022” No aparece firmado por la Directora de la Agencia, no tiene parte dispositiva en la que se acuerde o resuelva algo, ni tiene indicación de recurso alguno contra la misma. Por tanto, y en contra de lo que afirma I IBERDROLA, este escrito no tiene carácter decisorio, ni por su contenido, que únicamente contiene una previsión y que en modo alguno puede entenderse que supone que esta AEPD ha valorado y decidido que no concurría en I-DE ni en IBERDROLA (aunque insistimos que se dirige exclusivamente a I-DE) responsabilidad alguna por un supuesto incumplimiento de la normativa de protección de datos, lo que supone el archivo de unas actuaciones -tal y como ha querido entender IBERDROLA -, ni tampoco por su forma, pues ni siquiera formalmente refleja una decisión, ni mucho menos una resolución de archivo de actuación alguna, pues para que ello sea así, el único órgano competente para ello es la actual Directora de la AEPD. Así, el Artículo 13 del Estatuto de la AEPD, aprobado mediante Real Decreto 389/2021, de 1 de junio, se determinan las funciones de la Presidencia: 1. Corresponde a la Presidencia de la Agencia Española de Protección de Datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/99
- d)Dictar las resoluciones y directrices que requiera el ejercicio de las funciones de la Agencia, en particular las derivadas del ejercicio de las competencias previstas en el artículo 57 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y del ejercicio de los poderes de investigación y de los poderes correctivos dispuestos en el artículo 58 del citado Reglamento. Por tanto, para proceder al archivo de unas actuaciones investigación se requiere, primero, que se hayan iniciado (bien por haberse admitido a trámite una reclamación, bien por iniciativa propia, lo cual en ambos casos exige una resolución expresa firmada por la Directora), lo cual no había sucedido en el momento de emitirse el referido escrito de la División de Innovación Tecnológica y, en segundo lugar, es necesario de nuevo una resolución expresa por parte de la Directora archivando dichas actuaciones por entender, ahora sí, que de la información recabada en dichas investigaciones, no se concluye la existencia de infracción en la normativa de protección de datos, lo cual no se había producido. En el presente caso, tras la notificación de la brecha de datos personales por parte de I-DE, CURENERGIA e IBERCLI, se presentaron varias reclamaciones por personas afectadas por la misma, las cuales fueron admitidas a trámite de forma conjunta por la AEPD en cumplimiento del artículo 64 LOPDGDD: Artículo 64. Forma de iniciación del procedimiento y duración. 1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación. 2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación. Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Cuando fuesen de aplicación las normas establecidas en el artículo 60 del Reglamento (UE) 2016/679, el procedimiento se iniciará mediante la adopción del proyecto de acuerdo de inicio de procedimiento sancionador, del que se dará conocimiento formal al interesado a los efectos previstos en el artículo 75 de esta ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/99 Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio, podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. Artículo 67. Actuaciones previas de investigación. 1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica. (el subrayado es nuestro) De dicha normativa no se infiere en modo alguno que la AEPD tenga que justificar de la manera que exige IBERDROLA el inicio de actuaciones previas en el sentido de que tenga que haber algo nuevo o alguna circunstancia nueva o de que las reclamaciones hayan tenido que aportar circunstancias nuevas y diferentes respecto de la documentación aportada por I-DE en su notificación de la brecha a esta Agencia, pues ello no viene exigido por la normativa indicada, además de que no se puede pretender que los afectados aporten algo nuevo, al margen de conocer que se ha vulnerado la confidencialidad de sus datos personales por un ciberataque de cuyas circunstancias desconocen. Precisamente las actuaciones previas de investigación se realizan para esclarecer los hechos y las circunstancias de lo acontecido, recabando más información al objeto de poder determinar o no la existencia de una posible infracción de la normativa en materia de protección de datos. En este sentido, el inicio de investigaciones previas y su realización, potestad de la AEPD con o sin reclamaciones, no prejuzga nada, sino que permite recabar la información necesaria para determinar si hay indicios o no de infracción. Incluso tras dicha investigación, puede ser que se archiven las actuaciones por entender, a la vista de la información recabada, que no existen indicios de infracción. Lo cual, en el presente caso, no ha sucedido. Lo que sí indica la normativa es que, tras la presentación de reclamaciones, esta Agencia debe decidir si las admite a trámite o no, habiendo decidido finalmente su admisión mediante, esta vez sí, Acuerdo de admisión a trámite, firmado por la Directora de la Agencia con fecha 9 de mayo de 2022. Y, como indica el artículo 67.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/99 LOPDGDD referenciado, la AEPD puede llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias. Es una potestad que tiene atribuida por el RGPD y por la LOPDGDD. Asimismo, y a mayor abundamiento de todo, incluso en el supuesto de no haber existido las reclamaciones, el escrito de la División de Innovación Tecnológica no hubiera sido tampoco óbice ni obstáculo para el ejercicio de las potestades de investigación que tiene la AEPD de conformidad con el citado artículo 64.2 que determina que “Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio, podrá existir una fase de actuaciones previas de investigación…” Por tanto, el presente procedimiento sancionador no se ha iniciado por el contenido o por alguna información nueva aportada en las reclamaciones, sino por la información y documentación obtenida tras el período de actuaciones previas de investigación, al inferirse de la misma posibles vulneraciones a la normativa en materia de protección de datos. Por otro lado, trae a colación IBERDROLA la Sentencia del Tribunal Supremo, de 22 de febrero de 2016 (recurso 4048/2013), entendiendo que es plenamente aplicable al caso, en la que se indica: “Acorde con los hechos sucintamente expuestos podemos considerar lesionada la confianza legítima, pues la Administración no puede adoptar decisiones que contravengan las perspectivas y esperanzas fundadas en las propias decisiones anteriores de la Administración. Cuando se confía en la estabilidad de su criterio, evidenciado en múltiples actos anteriores en un mismo sentido, que lleva al administrado a adoptar determinadas decisiones, se genera una confianza basada en la coherencia del comportamiento administrativo, que no puede defraudarse mediante una actuación sorprendente. […] Conviene tener en cuenta que confianza legítima requiere, en definitiva, de la concurrencia de tres requisitos esenciales. A saber, que se base en signos innegables y externos
(1); que las esperanzas generadas en el administrado han de ser legítimas
(2); y que la conducta final de la Administración resulte contradictoria con los actos anteriores, sea sorprendente e incoherente
(3). Exactamente lo que acontece en el caso examinado, a tenor de los hechos antes relatados. Recordemos que, respecto de la confianza legítima, venimos declarando de modo reiterado, por todas, Sentencia de 22 de diciembre de 2010 (recurso contencioso-administrativo núm. 257 / 2009), que << el principio de la buena fe protege la confianza legítima que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Lo que es tanto como decir que el principio implica la exigencia de un deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se desprenden de los propios actos constituyendo un supuesto de lesión a la confianza legítima de las partes "venire contra factum propium >> (el subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/99 A este respecto se significa que la doctrina establecida en la misma no es de aplicación al presente caso, ya que, como se ha indicado anteriormente, ni ha sido una decisión de esta Administración, ni por su forma ni por su contenido, ni las mismas han provocado que se confíe en la estabilidad de su criterio, ya que no ha habido ningún criterio al respecto, ni mucho menos evidenciado en múltiples actos anteriores en un mismo sentido, por lo que la actuación de esta Agencia en relación a lo alegado no ha supuesto una conducta final de ella que resulte contradictoria con actos anteriores que sea sorprendente ni incoherente, en el sentido de la doctrina del Tribunal. Por último, en cuanto a la referencia que realiza IBERDROLA respecto de que en el Acuerdo de la Directora de la AEPD, de 9 de mayo de 2022, por el que se admiten a trámite las reclamaciones formuladas contra IBERCLI, en la que se hace referencia al expediente AT/02233/2022, del cual señala IBERDROLA que desconoce cuál es este expediente, solicitando que se le indique si se ha procedido a la apertura de algún otro tipo de procedimiento contra ella y a cuyo expediente no se le ha dado acceso, procede señalar que bajo el citado expediente se agrupan las reclamaciones recibidas por afectados por la brecha de datos personales sufrida, las cuales fueron admitidas a trámite de forma conjunta mediante el citado Acuerdo, no suponiendo el mismo ningún expediente ni procedimiento dirigido contra IBERDROLA ni contra ninguna de las empresas integrantes del Grupo Iberdrola. A este respecto, se recuerda de nuevo que dichas reclamaciones, al tener su base en una brecha de datos personales, las mismas únicamente se admiten a trámite y ello conlleva, como se ha señalado, la posibilidad de iniciar actuaciones de investigación para el esclarecimiento de los hechos y de todo lo acaecido, siendo la documentación y todo lo recopilado durante dichas actuaciones lo que ha motivado, exclusivamente, el inicio del presente procedimiento sancionador, y no las citadas reclamaciones, por lo que las mismas no forman parte de este procedimiento. Asimismo, se informa que no se realiza ninguna tramitación más de las mismas más allá de comunicar (que no notificar) a los reclamantes el inicio, en este caso, de un procedimiento sancionador y también la resolución que recaiga en el mismo. . Por lo expuesto, se desestima la alegación formulada. TERCERA.- SOBRE LA AFECTACIÓN ADICIONAL A LOS PRINCIPIOS DEL DERECHO SANCIONADOR DERIVADOS DE LA INTERPRETACIÓN EFECTUADA POR LA AEPD Alega IBERDROLA en este apartado que el Acuerdo de Inicio incurre en importantes vulneraciones de los principios de derecho administrativo sancionador, ya que implica la imposición de dos infracciones cuyo contenido es, en realidad idéntico o respecto de las que, cuanto menos, cabe apreciar la subsunción de una de ellas en la otra: 1.Vulneración del principio non bis in idem Alega IBERDROLA que en el Acuerdo de Inicio la AEPD considera que las medidas de seguridad implementadas por ella no han sido, a su juicio, las adecuadas y que ello C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/99 implica una doble vulneración del RGPD, por una parte, entiende que IBERDROLA no ha adoptado las medidas técnicas y organizativas adecuadas, exigidas por el artículo 32 del RGPD; y, por otra, entiende vulnerado el principio de seguridad, quebrantando, supuestamente, el artículo 5.1
- f)del RGPD, del que el artículo 32 no es sino mera concreción. Entiende IBERDROLA que ello supone que se imponen dos sanciones diferenciadas, respectivamente, por considerar que carece de las adecuadas medidas de seguridad y porque entiende que se ha producido, por carecer de tales medidas, una brecha de confidencialidad de los datos personales. Y, además, establece para ambas supuestas infracciones unas circunstancias modificativas de la responsabilidad de IBERDROLA en todo punto idénticas, tanto en su determinación como en la fundamentación jurídica de su imposición. Señala IBERDROLA que de ello se desprende que la AEPD considera que un mismo hecho (la supuesta insuficiencia de medidas de seguridad) sería constitutivo de dos infracciones del mismo bien jurídico protegido (la adecuada garantía de los derechos y libertades de los interesados). Y ello, por cuanto se sancionaría, por una parte, la ausencia de las medidas de seguridad que la AEPD considera necesario adoptar y, por otra, el principio de seguridad y confidencialidad, que exige la adopción de tales medidas. Por tanto, sostiene IBERDROLA que, incurriendo en la triple identidad de sujeto, hecho y bien jurídico protegido, no cabe duda de que se ha vulnerado el principio de non bis in idem, por lo que cabría sólo imputar y sancionar por una sola infracción, que en este caso sería únicamente por el artículo 32, ya que sólo cabría apreciar la supuesta insuficiencia de medidas de seguridad. Frente a ello, procede explicar la diferencia entre la vulneración del art. 5.1.f y el artículo 32 del RGPD, la cual se ampliará en el punto siguiente respecto al alegación relativa a la existencia de concurso medial, así como la diferente tipificación en apartados incluso distintos del art. 83 del RGPD y la diferente calificación de ambos a los efectos de la prescripción en la LOPDGDD. El art. 5.1.
- f)del RGPD se vulnera cuando se produce una pérdida de confidencialidad, de integridad o de disponibilidad de los datos personales, lo que puede producirse o no por ausencia o deficiencia de las medidas de seguridad. Este principio tan sólo determina el cauce a través del cual puede lograrse el mantenimiento de la confidencialidad, integridad o disponibilidad cuando explicita “mediante la aplicación de medidas técnicas y organizativas apropiadas”, que no son estrictamente de seguridad. Indica IBERDROLA que las medidas técnicas y organizativas apropiadas a las que hace mención el art. 5.1.
- f)RGPD son las medidas de seguridad del art. 32 del RGPD. Esto sería simplificar la esencia del RGPD cuyo cumplimiento no se limita a la implantación de medidas técnicas y organizativas de seguridad; significaría, en nuestro caso, reducir la garantía exigida mediante el principio de integridad y confidencialidad a su logro únicamente con medidas de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/99 Cuando el art. 5.1.
- f)del RGPD se refiere a medidas técnicas u organizativas apropiadas para garantizar los derechos y libertades de los interesados en el marco de la gestión del cumplimiento normativo del RGPD lo hace en el sentido previsto en el art. 25 del RGPD relativo a la privacidad desde el diseño. Este precepto determina que, “Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados” (el subrayado es nuestro) Debe señalarse que hay múltiples medidas técnicas u organizativas que no son de seguridad y que puede implementar el responsable del tratamiento como cauce para garantizar este principio. Sin embargo, el art. 32 del RGPD comprende la obligación de implementar medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo. De seguridad. Sólo de seguridad. Además, su objetivo es garantizar un nivel de seguridad adecuado al riesgo independientemente de que se haya producido una quiebra de seguridad, mientras que en el caso del artículo 5.1.
- f)del RGPD se debe garantizar la confidencialidad e integridad y se materializa, en este caso, con la pérdida de la confidencialidad de los datos. Como se puede observar los dos artículos persiguen fines distintos, aunque puedan estar relacionados. Entrando ya de lleno en el examen del non bis in idem, la Sentencia de la Audiencia Nacional de 23 de julio de 2021 (rec. 1/2017) dispone que, “(…) Conforme a la legislación y jurisprudencia expuesta, el principio non bis in ídem impide sancionar dos veces al mismo sujeto por el mismo hecho con apoyo en el mismo fundamento, entendido este último, como mismo interés jurídico protegido por las normas sancionadoras en cuestión. En efecto, cuando exista la triple identidad de sujeto, hecho y fundamento, la suma de sanciones crea una sanción ajena al juicio de proporcionalidad realizado por el legislador y materializa la imposición de una sanción no prevista legalmente que también viola el principio de proporcionalidad. Pero para que pueda hablarse de "bis in ídem" debe concurrir una triple identidad entre los términos comparados: objetiva (mismos hechos), subjetiva (contra los mismos sujetos) y causal (por el mismo fundamento o razón de castigar):
- a)La identidad subjetiva supone que el sujeto afectado debe ser el mismo, cualquiera que sea la naturaleza o autoridad judicial o administrativa que enjuicie y con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/99 independencia de quién sea el acusador u órgano concreto que haya resuelto, o que se enjuicie en solitario o en concurrencia con otros afectados.
- b)La identidad fáctica supone que los hechos enjuiciados sean los mismos, y descarta los supuestos de concurso real de infracciones en que no se está ante un mismo hecho antijurídico sino ante varios.
- c)La identidad de fundamento o causal, implica que las medidas sancionadoras no pueden concurrir si responden a una misma naturaleza, es decir, si participan de una misma fundamentación teleológica, lo que ocurre entre las penales y las administrativas sancionadoras, pero no entre las punitivas y las meramente coercitivas.” Tomando como referencia lo anteriormente explicitado, no se ha vulnerado el principio non bis in ídem, puesto que, si bien entendido grosso modo los hechos se detectan consecuencia de una brecha de datos personales, la infracción del art. 5.1.
- f)del RGPD se concreta en una clara pérdida de confidencialidad y disponibilidad, la infracción del art. 32 del RGPD se reduce a la ausencia y deficiencia de las medidas de seguridad (solo de seguridad) detectadas, presentes independientemente de la brecha de datos personales. Y todo ello frente a las alegaciones formuladas por IBERDROLA que considera que en ambos preceptos se exige una única conducta que es implantar la seguridad adecuada. No es cierto, puesto que el art. 5.1.
- f)del RGPD no se constriñe a la garantía de la seguridad adecuada al riesgo, sino a la garantía de la integridad y confidencialidad. Y no sólo mediante medidas de seguridad, sino mediante todo tipo de medidas técnicas u organizativas apropiadas. Como se ha indicado, mediante el art. 5.1.
- f)del RGPD se sanciona una pérdida de integridad y confidencialidad, y mediante el art. 32 del RGPD la ausencia y/o deficiencia de las medidas de seguridad implantadas por el responsable del tratamiento. Medidas de seguridad ausentes o deficientes, añadimos, que infringen el RGPD independientemente de que no se hubiera producido la pérdida de confidencialidad y de integridad. Por último, respecto de la aplicación de idénticos agravantes en ambas infracciones, hemos de significar que las circunstancias previstas en el art. 83.2 del RGPD y las dispuestas en el art. 76.2 de la LOPDGDD son las únicas que se pueden aplicar por la AEPD para cualquier infracción. Lo determinante en este caso, respecto de la prevista en el art. 83.2.
- b)del RGPD no es que coincidan en su uso, sino la fundamentación que se establezca para su consideración. Dicho todo lo cual, no se considera que existe vulneración del principio de non bis in ídem, consagrado en el artículo 25 de la Constitución Española. 2.Subsidiariamente, existencia de concurso medial entre las dos conductas imputadas a IBERDROLA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/99 Alega IBERDROLA que, por otra parte, el Acuerdo de Inicio identifica (y pretende sancionar) una pluralidad de infracciones que, supuestamente, habría cometido (lo que se niega de plano) cuando, en realidad, una de ellas se encontraría subsumida y embebida en la otra, dando lugar a un concurso medial en los términos previstos en el artículo 29.5 de la LRJSP. Entiende IBERDROLA que no puede sancionarse ambas infracciones, dado que la comisión de la supuesta infracción del artículo 32.1 del RGPD determinaría la supuesta vulneración del artículo 5.1.
- f)del mismo texto legal y se estaría sancionando por unos mismos hechos, pues considera que la supuesta infracción del artículo 5.1
- f)traería necesaria e inseparablemente causa de la supuesta falta de implementación diligente de las medidas a las que se refiere el artículo 32.1 del RGPD. Trae IBERDROLA a colación determinada jurisprudencia (por todas, la Sentencia 339/2015 de 25 de septiembre de 2015 de la Audiencia Nacional -recurso 262/2014que cita la Sentencia del Tribunal Supremo de 8 de febrero de 1999, -recurso 9/1996-): “la aplicación del concurso medial exige una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que es indispensable que las unas no puedan cometerse sin ejecutar las otras”. Así, debe existir “una relación tal entre las infracciones concernidas que una de ellas derive necesariamente de la otra, de modo que no sea posible la comisión de una sin ejecutar la otra” (por todas, la Sentencia de la Audiencia Nacional de 26 de diciembre de 2013, -recurso 416/2012). Por ello concluye I-DE que es evidente que se produce tal relación entre las dos infracciones que pretenden imputarse contra ella. A este respecto, se significa, tal y como se ha señalado anteriormente, que el art. 32 del RGPD, aunque relacionado con el art. 5.1.
- f)del RGDP no circunscribe el principio en su totalidad. Así, El artículo 5.1.
- f)del RGPD es uno de los principios relativos al tratamiento. Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. Pues bien, el art. 5.1.
- f)del RGPD recoge el principio de integridad y confidencialidad y determina que los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas y de todo tipo, no sólo de seguridad. Por otra parte, el art. 32 del RGPD reglamenta cómo ha de articularse la seguridad del tratamiento en relación con las medidas de seguridad concretas que hay que implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/99 riesgo que incluya entre otras cuestiones, la capacidad confidencialidad de los datos. de garantizar la Como se ha señalado, este precepto, el art. 32 del RGPD, aunque relacionado con el art. 5.1.
- f)del RGDP no circunscribe el principio en su totalidad. El art. 5.1.
- f)del RGPD exige taxativamente que se garantice la confidencialidad, y requiere para su aplicación una pérdida de confidencialidad. Podemos encontrarnos con supuestos en que existan medidas inadecuadas sin que por ello se haya producido una pérdida de integridad y confidencialidad. Muestra de ello, no sólo es esta diferencia entre la vulneración del art. 5.1.f y el artículo 32 del RGPD, sino la diferente tipificación en apartados incluso distintos del art. 83 del RGPD y la diferente calificación de ambos a los efectos de la prescripción en la LOPDGDD. En el supuesto examinado, tal y como consta en los hechos probados, hay una clara pérdida de confidencialidad puesto de manifiesto a través de un claro resultado: se produjo un acceso ilegítimo por un tercero no autorizado a datos personales. Asimismo, tal y como se ha indicado, el art. 5.1.
- f)del RGPD se vulnera cuando se produce una pérdida de confidencialidad o de integridad de los datos personales, lo que puede producirse o no por ausencia o deficiencia de las medidas estrictamente de seguridad. Este principio tan sólo determina el cauce a través del cual puede lograrse el mantenimiento de la confidencialidad, integridad o disponibilidad cuando explicita “mediante la aplicación de medidas técnicas y organizativas apropiadas”, que no son estrictamente de seguridad. Indica IBERDROLA que las medidas técnicas y organizativas apropiadas a las que hace mención el artículo 5.1.
- f)son las medidas de seguridad del art. 32 del RGPD. Esto sería simplificar la esencia del RGPD cuyo cumplimiento no se limita a la implantación de medidas técnicas y organizativas de seguridad; significaría, en nuestro caso, reducir la garantía exigida mediante el principio de integridad y confidencialidad a su logro únicamente con medidas de seguridad. Como se ha señalado anteriormente, cuando el art. 5.1.
- f)del RGPD se refiere a medidas técnicas u organizativas apropiadas para garantizar los derechos y libertades de los interesados en el marco de la gestión del cumplimiento normativo del RGPD lo hace en el sentido previsto en el art. 25 del RGPD relativo a la privacidad desde el diseño. Reiteramos que hay múltiples medidas técnicas u organizativas que no son de seguridad y que puede implementar el responsable del tratamiento como cauce para garantizar este principio. Y todo ello frente a las alegaciones formuladas de contrario por IBERDROLA que considera que en ambos preceptos se exige una única conducta que es implantar la seguridad adecuada. No es cierto, puesto que el art. 5.1.
- f)del RGPD no se constriñe a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/99 la garantía de la seguridad adecuada al riesgo, sino a la garantía de la integridad y disponibilidad. Y no sólo mediante medidas de seguridad, sino mediante todo tipo de medidas técnicas u organizativas apropiadas. Como hemos indicado, mediante el art. 5.1.
- f)del RGPD se sanciona una pérdida de integridad y confidencialidad y mediante el art. 32 del RGPD la ausencia y deficiencia de las medidas de seguridad implantadas por el responsable del tratamiento. Medidas de seguridad ausentes o deficientes, añadimos, que infringen el RGPD independientemente de que se hubiera producido o no una pérdida de confidencialidad y de integridad. En el presente caso se ha infringido el citado artículo 32 con independencia de si se ha sufrido finalmente una brecha de confidencialidad o no, porque la conducta reprochable y que vulnera dicho precepto es la falta o inadecuación de esas medidas, en sí mismas, es decir, se infringe y se sanciona por ello con independencia de si se ha producido una brecha de datos personales o no. Lo cual no es óbice para que, en caso de materialización de una brecha de datos personales, se considere esta circunstancia como un agravante, de conformidad con el RGPD. Por contra, en el presente supuesto, para que estemos ante una infracción del artículo 5.1.
- f)ha sido y es requisito ineludible que se vulnere la confidencialidad de los datos personales (lo que no sucede con la infracción del artículo 32) En cuanto al concurso medial, procede señalar que el artículo 29 de la LRJSP no resulta de aplicación al régimen sancionador impuesto por el RGPD. Y ello por cuanto: 1. El RGPD es un sistema completo. El RGPD es una norma comunitaria directamente aplicable en los Estados miembros, que contiene un sistema nuevo, completo y global destinado a garantizar la protección de datos de carácter personal de manera uniforme en toda la Unión Europea. En relación, específicamente y también, con el régimen sancionador dispuesto en el mismo, resultan de aplicación sus disposiciones de manera inmediata, directa e íntegra previendo un sistema completo y sin lagunas que ha de entenderse, interpretarse e integrarse de forma absoluta, completa, íntegra, dejando así indemne su finalidad última que es la garantía efectiva y real del Derecho Fundamental a la Protección de Datos de Carácter Personal. Lo contrario determina la merma de las garantías de los derechos y libertades de los ciudadanos. De hecho, una muestra específica de la inexistencia de lagunas en el sistema del RGPD es el artículo 83 del RGPD que determina las circunstancias que pueden operar como agravantes o atenuantes respecto de una infracción (art. 83.2 del RGDP) o que especifica la regla existente relativa a un posible concurso medial (art. 83.3 del RGPD). A lo anterior hemos de sumar que el RGPD no permite el desarrollo o la concreción de sus previsiones por los legisladores de los Estados miembros, a salvo de aquello que el propio legislador europeo ha previsto específicamente, delimitándolo de forma muy concreta (por ejemplo, la previsión del art. 83.7 del RGPD). La LOPDGDD sólo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/99 desarrolla o concreta algunos aspectos del RGPD en lo que este le permite y con el alcance que éste le permite. Ello es así porque la finalidad pretendida por el legislador europeo es implantar un sistema uniforme en toda la Unión Europea que garantice los derechos y libertades de las personas físicas, que corrija comportamientos contrarios al RGPD, que fomente el cumplimiento, que posibilite la libre circulación de estos datos. En este sentido, el considerando 2 del RGPD determina que, “
(2)Los principios y normas relativos a la protección de las personas físicas en lo que respecta al tratamiento de sus datos de carácter personal deben, cualquiera que sea su nacionalidad o residencia, respetar sus libertades y derechos fundamentales, en particular el derecho a la protección de los datos de carácter personal. El presente Reglamento pretende contribuir a la plena realización de un espacio de libertad, seguridad y justicia y de una unión económica, al progreso económico y social, al refuerzo y la convergencia de las economías dentro del mercado interior, así como al bienestar de las personas físicas”. (el subrayado es nuestro) Sigue indicando el considerando 13 del RGPED que, “
(13)Para garantizar un nivel coherente de protección de las personas físicas en toda la Unión y evitar divergencias que dificulten la libre circulación de datos personales dentro del mercado interior, es necesario un reglamento que proporcione seguridad jurídica y transparencia a los operadores económicos, incluidas las microempresas y las pequeñas y medianas empresas, y ofrezca a las personas físicas de todos los Estados miembros el mismo nivel de derechos y obligaciones exigibles y de responsabilidades para los responsables y encargados del tratamiento, con el fin de garantizar una supervisión coherente del tratamiento de datos personales y sanciones equivalentes en todos los Estados miembros, así como la cooperación efectiva entre las autoridades de control de los diferentes Estados miembros. El buen funcionamiento del mercado interior exige que la libre circulación de los datos personales en la Unión no sea restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales”. (el subrayado es nuestro) En este sistema, lo determinante del RGPD no son las multas. Los poderes correctivos de las autoridades de control previstos en el art. 58.2 del RGPD conjugado con las disposiciones del art. 83 del RGPD muestran la prevalencia de medidas correctivas frente a las multas. Así, el art. 83.2 del RGPD dice que “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j).”. De esta forma las medidas correctivas, que son todas las previstas en el art. 58.2 de RGPD salvo la multa, tienen prevalencia en este sistema, quedando relegada la multa económica a supuestos en los que las circunstancias del caso concreto determinen que se imponga una multa junto con las medidas correctiva o en sustitución de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/99 Y todo ello con la finalidad de forzar el cumplimiento del RGPD, evitar el incumplimiento, fomentar el cumplimiento y que la infracción no resulte más rentable que el incumplimiento. Por ello, el art. 83.1 del RGPD previene que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias”. (el subrayado es nuestro) Para que dicho sistema funcione con todas sus garantías en necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español-, ya sea por la aplicación de un concurso medial distinto del dispuesto en el RGPD, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. 2. No hay laguna legal, no hay aplicación supletoria del art. 29 del RGPD. Amén de lo expuesto, significar que no hay laguna legal respecto de la aplicación del concurso medial. Ni el RGPD permite ni la LOPDGDD dispone la aplicación supletoria de las previsiones del art. 29 de la LRJSP. Tampoco existe aplicación subsidiaria del art. 29 del RGPD. En el Título VIII de la LOPDGDD relativo a “Procedimientos en caso de posible vulneración de la normativa de protección de datos”, el artículo 63 que abre el Título se dispone que "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Si bien existe una remisión clara a la LPACAP, no se establece en absoluto una aplicación subsidiaria respecto de la LRJSP que no contiene en su articulado disposición alguna relativa a procedimiento administrativo alguno. De igual forma que la AEPD no está aplicando los agravantes y atenuantes dispuestos en el art. 29 de la LRJSP, puesto que el RGPD establece los suyos propios, por ende, no hay laguna legal ni aplicación subsidiaria del mismo, tampoco cabe la aplicación de apartado relativo al concurso medial y por idénticas razones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 45/99 En todo caso, los precedentes judiciales citados por la demandante sobre el concurso medial devienen de la aplicación de la LOPD del año 99 que trasponía la Directiva 95/46/CE, estableciendo el RGPD un sistema claramente distinto. En aquel momento, el artículo 115 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, sí preveía una aplicación supletoria de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. En tercer lugar y ya deteniéndonos en el supuesto concreto examinado, y sin perjuicio de lo antedicho, se debe destacar que no hay concurso medial. El artículo 29.5 de la LRJSP establece que “Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. Pues bien, el concurso medial tiene lugar cuando en un caso concreto la comisión de una infracción es un medio necesario para cometer otra distinta. Los hechos constados determinan la comisión de dos infracciones distintas, sin que la conculcación del artículo 32 del RGPD (seguridad del tratamiento), tal y como asevera la parte recurrente, sea el medio necesario por el que se produce la infracción del artículo 5.1.F) del RGPD (principio de confidencialidad). En conclusión, de todo ello y en contra de todo lo argumentado, ha quedado probado que I-DE no fue diligente por cuanto no garantizó adecuadamente la confidencialidad de los datos personales de sus clientes, así como que no contaba con las medidas técnicas y organizativas adecuadas para garantizar un nivel apropiado de seguridad. Por lo expuesto, se desestima la alegación. CUARTA.- SOBRE LA PRETENDIDA VULNERACIÓN POR IBERDROLA DEL ARTÍCULO 32 DEL RGPD Alega IBERDROLA no estar conforme con que en el Acuerdo de Inicio se indique que no contaba con las medidas de seguridad apropiadas para garantizar una total separación entre los datos personales de las distintas empresas respecto de las cuales actúa como encargada del tratamiento, pues sostiene que, tal y como ha venido poniendo de manifiesto en las respuestas dadas a la AEPD en los diferentes requerimientos de información, ha quedado acreditado que había implementado sistemas de seguridad robustos que (…). Procede IBERDROLA a continuación a detallar de nuevo cómo funciona el acceso a la información contenida en la base de datos por parte de las diferentes aplicaciones. Así, según lo indicado, la base de datos donde se almacenan los datos personales de clientes de las diferentes empresas del Grupo Iberdrola está (…). Sin embargo, (…) (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 46/99 -(…). -(…). Por tanto, si bien se indica que el código cliente no es accesible para los usuarios, no es menos cierto que, si se genera una transacción con la tabla CLIENTE usando el “código cliente”, ello hace que no lleve el filtro previo de “Código Sociedad”, y entonces sí que se puede acceder a datos personales de otras empresas una vez que el código cliente que se indique en la URL se corresponda con el cliente de otra sociedad con la que únicamente tenga esta separación lógica. Por tanto, se estaba permitiendo que, modificando el código cliente en la URL de este aplicativo web, se accediera a datos personales de clientes de otras empresas con las que no se tiene ninguna relación y frente a las que es obligatorio salvaguardar la confidencialidad de los mismos frente a terceros no autorizados. Es decir, con o sin ciberataque, lo que se refleja es que, modificando ese código en la url, se sorteaba la separación lógica implantada. Por tanto, la misma no era adecuada o era insuficiente, lo cual supone una vulneración del art. 32, pues refleja una falta o insuficiencia de medidas apropiadas para garantizar una seguridad adecuada, según el riesgo, en el tratamiento de los datos personales. IBERDROLA parece sostener que la responsabilidad de ello la tiene el ciberdelincuente por aprovechar una vulnerabilidad en un aplicativo web. Sin embargo, si la separación lógica hubiera sido adecuada (o si hubiera existido separación física), el ataque se hubiera constreñido exclusivamente a los clientes de I-DE. La vulnerabilidad aprovechada por el atacante fue que se visualizaba el código cliente en la URL y que, además, se permitía modificar dicha URL haciendo llamadas a la tabla CLIENTE y así acceder a los datos personales almacenados en esa tabla. Que luego ello permitiera, además, acceder a datos personales de clientes de otras empresas es consecuencia de una deficiente separación lógica en la base de datos. Dicha deficiencia está precisamente en permitir que el código interno de GEA, el “COD_CLIENTE” generase transacciones con la tabla CLIENTE y no llevaran el filtro previo de “Código Sociedad”. Esto se permitió porque así estaba configurado (y, por las declaraciones de IBERDROLA, así también está establecido en las aplicaciones del resto de empresas que comparten la tabla CLIENTE y la misma separación lógica) Por tanto, el ciberdelincuente no explotó esa vulnerabilidad en la separación lógica en la tabla afectada, sino que se topó con ella. En este sentido, no es de recibo que, bajo ningún concepto, se pueda acceder desde un aplicativo de una empresa a los datos personales de clientes de otras empresas. Ello es responsabilidad de IBERDROLA por cuanto, como encargada de tratamiento, gestiona la base de datos del Grupo. Por otro lado, alega IBERDROLA que la AEPD ha vinculado el supuesto incumplimiento del artículo 32 con la producción del resultado que se produjo como consecuencia de la concurrencia de una serie de factores que resultaban imprevisibles y que fueron detectados y solventados de forma inmediata. Concluye por ello que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 47/99 AEPD está imponiendo, en lo que respecta a la adopción de medidas de seguridad, una obligación de resultado, pero que sin embargo es una obligación de medios. A este respecto, trae a colación o manifestado por el Tribunal Supremo en su sentencia de 15 de febrero de 2022 (recurso de casación 7359/2020), que señala de forma clara que la obligación impuesta por la normativa de protección de datos personales, de adoptar medidas técnicas y organizativas encaminadas a garantizar la confidencialidad, disponibilidad e integridad de la información, es una obligación de medios y no de resultado. A este respecto, procede señalar que