PS-00246-2024

1/102  Expediente N.º: EXP202307113 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A., B.B.B., C.C.C., D.D.D., E.E.E., F.F.F., G.G.G. y H.H.H., (en adelante, la parte reclamante) interpusieron reclamaciones ante la Agencia Española de Protección de Datos. Las reclamaciones se dirigen contra XFERA MÓVILES, S.A.U., con NIF A82528548 (en adelante, la parte reclamada o XFERA). Los motivos en que basan sus reclamaciones son los siguientes: Reclamación 1, fecha de entrada 2 de abril de REGAGE23e00021932536, con los siguientes datos asociados: - - - y registro Reclamante: A.A.A. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” He recibido correo del proveedor de telefonía indicando que terceras personas han accedido a datos personales con el objeto de suplantación de identidad, razón por la cual, quiero interponer demanda, ya que no han garantizado la seguridad e integridad de la información personal que se les ha suministrado.” Aporta captura con correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 1 de abril de 2023 con información sobre un incidente de seguridad que afectó a sus datos personales. Reclamación 2, fecha de entrada 8 de abril REGAGE23e00022985593, con los siguientes datos: - 2023 de 2023 y registro Reclamante: B.B.B. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” Brecha de seguridad en la base de datos de clientes de Yoigo; terceras personas se han hecho con datos personales míos, sin mi autorización, con el riesgo que conlleva. Dicha posible brecha se me informo ayer 07/04/2023 por correo electrónico y se me ha confirmado hoy día 8 de abril mediante llamada telefónica al número ***TELÉFONO.2, número que se me indicaba en el correo y que me han confirmado por Twitter, de Yoigo donde se me ha indicado que los datos sustraídos son, como mínimo, mi nombre, número de identificación, teléfono y número de cuenta bancaria”. Aporta captura de pantalla con la información recibida por parte de Yoigo comunicando el incidente de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/102 Reclamación 3, fecha de entrada 10 de abril REGAGE23e00023162950, con los siguientes datos: - - - abril de y registro 2023 y registro Reclamante: D.D.D. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” En el mes de marzo se me ha añadido un coste en la factura del teléfono de 1.99. Al contactar con Yoigo me dicen que no saben de donde procede y que lo único que saben es que se dado de alta en tienda física de Yoigo. Me dan un teléfono (***TELÉFONO.1) para que pueda aclarar importe. Es una empresa que protección de datos, pero yo no he contratado. Tampoco me dicen de donde ha salido el alta. Me informan que puedo enviar correo para dar de baja. (***EMAIL.2) para dar de baja una póliza que nunca he contratado. El importe no me lo devolverán. Días más tarde recibo mail de Yoigo donde especifica que ‘debemos ponernos en contacto contigo para informarte que hemos experimentado un incidente, por el cual terceras personas ajanes a nuestra organización pueden haber accedido a algunos de tus datos personales...’ Aporta captura de pantalla de correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 6 de abril de 2023 con la información sobre el incidente de seguridad y la afectación de datos personales.” Reclamación 5, con fecha de entrada 23 de abril de REGAGE23e00025932054, con los siguientes datos asociados: - 2023 Reclamante: C.C.C. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” YOIGO remitió a sus clientes un correo electrónico informativo con fecha 6 de abril de 2023, a las 14:07 horas, en el que se nos comunicaba tales circunstancias (correo que adjunto al presente escrito), y que pude constatar al contactar con el servicio de atención al cliente de la operadora en la que confirman que mis datos se han visto afectados, desde el nombre y dirección, hasta el DNI o el número de la cuenta corriente. “ Aporta captura de pantalla de correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 6 de abril de 2023 comunicando el incidente de seguridad y la afectación de sus datos personales.” Reclamación 4, con fecha de entrada 10 de REGAGE23e00023074494, con los siguientes datos: - de 2023 y registro Reclamante: E.E.E. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” Me dirijo a ustedes con relación al robo de datos personales que ha sufrido mi compañía telefónica, XFERA MOVILES SAU, con nombre comercial YOIGO.A pesar de ser uno de sus clientes, no he recibido ninguna información sobre qué datos míos se han visto comprometidos. Por tanto, me gustaría hacer una reclamación por el tratamiento de mis datos personales. Solicito que se me informe qué datos míos se han visto comprometidos y cómo se han visto afectados, teniendo en cuenta que también se pueden haber visto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/102 - comprometidos los datos de las líneas de las que soy titular siendo 3 líneas móviles y 1 línea fija. Además, solicito que se tomen las medidas necesarias para garantizar que esto no vuelva a suceder. Asimismo, considero que he sufrido daños y perjuicios como resultado de este incidente y solicito que se me indemnice adecuadamente por ello, teniendo en cuenta además como he indicado anteriormente que soy titular de 4 líneas telefónicas en la compañía y se pueden haber visto comprometida también información de las mismas. “ Aporta: o Captura de pantalla de correo electrónico recibido desde la dirección ***EMAIL.1, en fecha 6 de abril de 2023, con la información sobre el incidente de seguridad y la afectación de datos personales. o Copia de DNI, copia del contrato con la compañía y factura de servicios. Reclamación 6, con fecha de entrada 23 de abril de REGAGE23e00026221929, con los siguientes datos asociados: - - 2023 y registro Reclamante: F.F.F. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” Debido al ciberataque sufrido por Yoigo a principios de marzo, me informan que mis datos PERSONALES podrían haber sido expuesto (nombre, apellidos, números de teléfono, DNI, CUENTA BANCARIA, etc.) a ciberdelincuentes. Debido a esto, desde hace 2-3 semanas he recibido phishing muy sofisticado, pero eso no es lo grave. Lo grave, es que mi cuenta bancaria corresponde a un banco vasco muy pequeño, y debido a que les han sustraído mis datos, los ciberdelincuentes saben perfectamente a que banco corresponde mi cuenta bancaria (por el IBAN). Por este motivo, el phishing que estoy recibiendo a todas horas, no solo es sofisticado, sino que está totalmente teledirigido a mi porque conocen todos los datos que arriba menciono. Estoy tremendamente afectado y con el temor de cualquier día caer en la trampa, porque he visto mucho phishing, pero este es muy sofisticado. Como cliente de Yoigo, me veo tremendamente perjudicado y gracias a a esta empresa, vivo con la angustia de caer en alguna trampa y perder mi patrimonio. La presente reclamación es debido a que Yoigo no ha hecho una correcta custodia de mis datos personales y esto me está provocando graves daños psicológicos por las razones antes expuestas. Es curioso, que, dentro de mi contrato, hay 3 líneas más, pero la única que recibe el phishing soy yo, porque soy el titular del contrato y de la cuenta bancaria. Es una evidencia, que este ataque no responde al azar. “ Aporta captura de pantalla de correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 5 de abril de 2023 con la información sobre el incidente de seguridad y la afectación de datos personales. Reclamación 7, con fecha de entrada 11 de mayo de 2023 y registro REGAGE23e00030222022, con los siguientes datos asociados: - Reclamante: G.G.G. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” El día 2 de abril de 2023, recibo un mail de dicha empresa Yoigo que aporto como prueba documental adjunta al presente escrito, en virtud de la cual, se me pone en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/102 - conocimiento de la existencia de un ciberataque en la citada empresa, lo que ha motivado que mis datos personales tanto propios como los de mi familia que figurasen almacenados pudieran haber quedado expuestos frente a terceros de forma indebida. Tras llamar al número de teléfono que figura en el mail no me facilitaron más información que la que ya consta en el mail aportado (no concretando qué datos en particular serían o si ha sido en grado de tentativa o efectivamente se ha consumado una intromisión indebida, y por supuesto tampoco admiten ninguna reparación o indemnización por ello al cliente). Desde dicha fecha vengo recibiendo mensajes fraudulentos como por ejemplo un mail manifestando que tengo un paquete esperando, o algunos SMS suplantando mi Banco manifestando que tengo un problema en mi cuenta, lo que claramente se infiere que se trata de mensajes fraudulentos o phishing. El perjuicio consistente en que puedan suplantarme o el temor a un potencial futuro uso indebido de sus datos personales, cuya existencia haya sido demostrada por el interesado, puede constituir un daño moral que genere derecho a indemnización “ Aporta captura de pantalla de correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 2 de abril de 2023 con la información sobre el incidente de seguridad y afectación de datos personales. Reclamación 8, con fecha de entrada 30 de mayo de 2023 y registro REGAGE23e00034386550, con los siguientes datos asociados: - - Reclamante: H.H.H. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” Soy cliente de Yoigo. En abril recibí un mail en el que se me comunicaba que TODOS los datos de los clientes habían sido filtrados. Solicité que me dijeran explícitamente qué datos. Este grupo ha infringido el RGPD y la LOPDGDD al no custodiar debidamente la información requerida para contratar sus servicios y desde ahora mi identidad puede ser manipulada para fines ilícitos y por tiempo indeterminado. Me gustaría acogerme al amparo de la AEPD ya que esta filtración supone una situación de vulnerabilidad personal crítica por las incorrectas medidas de seguridad tomadas por la empresa Yoigo-GRUPO MASMOVIL - XFERA MOVILES, S.A.U. “ Aporta: o Captura de pantalla del correo inicial recibido desde la dirección ***EMAIL.1 en fecha 3 de abril de 2023 con información sobre el incidente de seguridad y afectación de datos personales. o Captura de pantalla de correo enviado por el reclamante a la dirección ***EMAIL.3 solicitando información adicional sobre el incidente. o Captura de pantalla de correo de respuesta recibido desde la dirección ***EMAIL.3 con el siguiente contenido: “En relación con el incidente, le informamos que hemos detectado un acceso no autorizado a una de las aplicaciones que dan soporte a nuestro canal presencial que permite la visualización de ciertos datos, como datos identificativos, de contacto, información de los servicios contratados con nosotros y el IBAN. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/102 Como indicábamos en la comunicación, es posible que estos datos sean utilizados para intentar usurpar su personalidad, principalmente ante nosotros, si bien hemos modificado nuestras políticas para evitar dicha circunstancia. También le informamos que solo con la información accedida no debería ser posible, por ejemplo, contratar ningún servicio (puesto que requiere de un mandato SEPA) ni acceder a su cuenta bancaria. En todo caso, le recomendamos que tenga cuidado con correos electrónicos, SMS o llamadas que pueda recibir de remitentes desconocidos o que no se identifiquen claramente, en especial si le solicitan códigos, claves de acceso o datos de tarjeta de crédito. En caso de que detecte cualquier actividad sospechosa, le recomendamos que se ponga en contacto con su entidad bancaria y denuncie los hechos a la policía. También puede ponerse en contacto con el Instituto Nacional de Ciberseguridad (INCIBE) en el número 017 o consultar su sitio web ***URL.1. Esperamos haber resuelto sus cuestiones, en cualquier caso, estamos a su disposición” SEGUNDO: Previamente a estas reclamaciones, el 31 de marzo de 2023, XFERA se puso en contacto con la AEPD para realizar la notificación de la quiebra de seguridad de datos personales relacionada con las reclamaciones anteriores. Con fecha 28 de abril de 2023 y registro de entrada REGAGE23e00027432375, XFERA amplió la información sobre la quiebra. De su contenido se extrae la siguiente información relevante - Los datos no estaban cifrados, anonimizados o protegidos de forma ininteligible. Descripción de la brecha: “(…)” Número aproximado de personas físicas sobre las que se realizan operaciones de tratamiento referidas al tratamiento sobre el que se ha producido la brecha de datos personales: ***CANTIDAD.1 Afectados ***CANTIDAD.2. Fecha de detección de la brecha: 28/03/2023 Fecha de inicio de la brecha: 05/03/2023 Fecha en la que se dio por resuelta la brecha: 03/04/2023 Se comunicó a ***CANTIDAD.3. Fecha en la que se informó: 10/04/2023 TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de las reclamaciones a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 7 de junio de 2023, como consta en el certificado que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/102 En fecha 6 de julio de 2023 y registros de entrada REGAGE23e00045313624 y REGAGE23e00045317575, se recibe en esta Agencia escrito de respuesta por parte de XFERA al traslado de las reclamaciones. Dichas reclamaciones fueron admitidas a trámite. El análisis de la documentación aportada se detalla en el siguiente hecho cuarto. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha 6 de julio y registro de entrada REGAGE23e00045313624, se recibe respuesta por parte de XFERA al traslado de las reclamaciones, de la documentación aportada se extrae la siguiente información relevante para la investigación: En relación con el contexto cronológico proporcionan las siguientes afirmaciones: o (…). Afirman que, al tenerse constancia del ataque, XFERA realizó de forma inmediata un primer análisis de riesgos para evaluar las consecuencias para las personas afectadas, adoptando una serie de decisiones y medidas para minimizar estas posibles consecuencias, este análisis fue actualizado posteriormente en fecha 7 de junio de 2023. Aportan documentación acreditativa, de su análisis se extrae el siguiente contenido relevante para la investigación: o o Se valora riesgo inherente repercutido por la brecha como Muy Alto, teniéndose en cuenta los siguientes factores de riesgo: “usurpación de identidad, fraude y posibles pérdidas económicas significativas. Se incluyen las siguientes medidas de contención adoptadas para mitigar el riesgo:  (…) Se aporta copia del Registro de Actividades de Tratamiento (RAT) con información de la actividad afectada por la brecha y el análisis de riesgos para los derechos y libertades en este tratamiento, el documento aportado no incorpora firma ni fecha de creación, no obstante, en su contenido se menciona como fecha de realización del análisis: el mes de diciembre de 2022. Del análisis de este documento se extrae la siguiente información relevante:  (…) En relación con la notificación y la comunicación de la brecha, afirman que notificaron ante esta Agencia inicialmente en fecha 31 de marzo de 2023 y de forma completa en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/102 fecha 28 de abril de 2023. La comunicación a los afectados se inició a partir del 31 de marzo de 2023. En relación con las medidas adoptadas por XFERA para que no se vuelva a producir un incidente similar, afirman: o (…) De la respuesta proporcionada por XFERA se extrae también la siguiente afirmación relevante: “(…)”. En la respuesta de XFERA se aporta la contestación individualizada que da la entidad a cada una de las reclamaciones que se adjuntaron en el traslado. Teniendo en cuenta la información obtenida a raíz de las reclamaciones, de la respuesta al traslado y de la notificación de la brecha, se decide realizar nuevo requerimiento de información al responsable de tratamiento XFERA, en fecha 31 de octubre de 2023, marcado por la siguiente línea de investigación: - Investigar los casos de uso del software afectado (VFR) y su afectación por la brecha. Solicitar acreditación de las medidas de autenticación del software VFR e investigar detalles de los trabajos realizados en los DNS que dieron lugar al posterior incidente de seguridad. Investigar los mecanismos de monitorización que existían implantados y solicitar acreditación de la detección del incidente por parte de la entidad. Solicitar acreditación de las medidas implantadas tras la brecha para reforzar la gestión de cambios en los DNS y resto de medidas reactivas desplegadas. Investigar los detalles de la tipología de datos afectada y el número final de personas físicas involucradas. Investigar las comunicaciones a las personas afectadas. Investigar el procedimiento interno implantado para gestionar brechas de seguridad. En fecha 21 de noviembre de 2023 y registros de entrada REGAGE23e00079341750, REGAGE23e00079342044 y REGAGE23e00079342222 se recibe respuesta al requerimiento anterior por parte de XFERA, de su análisis se extrae la siguiente información relevante: - En relación con la aplicación afectada afirman: “(…)”. - Por parte del inspector se analiza el documento proporcionado con la información sobre los casos de uso del software VFR, obteniéndose la siguiente información relevante: o C/ Jorge Juan, 6 28001 – Madrid El caso de uso afectado por la brecha es “Búsqueda de datos de clientes”. www.aepd.es sedeaepd.gob.es 8/102 o o Tiene como entrada para la búsqueda el MSSISDN y N.º Documento (se afirma que en el momento de la brecha se pedía MSSISISDN o N.º de Documento). Los datos visualizados como resultado de la búsqueda son: “(…)” Se aporta documento que acredita la implantación (…)). Con posterioridad se solicita información adicional en nuevo requerimiento de información sobre el tipo de trabajo realizado y los mecanismos de control que existieron.  - En relación con la acreditación de las medidas reactivas implantadas tras la brecha para reforzar la seguridad de los cambios en la infraestructura DNS y la monitorización del aplicativo VFR, afirman: o o - (…). En relación con las medidas implantadas para reforzar la gestión de los DNS se aporta documento que acredita, a través de capturas de pantalla, (…). En cuanto a las medidas introducidas para reforzar la monitorización interna del aplicativo, se aporta documento con información sobre las reglas implantadas en el sistema de monitorización empleado por XFERA tras la brecha, (…). Se aporta copia de la denuncia presentada el 19 de abril de 2023 ante Policía, de su contenido se extrae para la presente investigación: “(…)”. - En relación con la denuncia interpuesta ante la Policía proporcionan la siguiente afirmación: “(…)”. - En respuesta a nuestra solicitud para que se acredite el procedimiento de gestión de brechas implantado en la organización, aportan documento acreditativo con título “PROCEDIMIENTO DE GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN Y BRECHAS DE SEGURIDAD” y fecha de creación 01 de julio de 2022, este documento incluye apartados con la siguiente información: o o o C/ Jorge Juan, 6 28001 – Madrid El diagrama de flujo del proceso interno de gestión de brechas. Sobre el proceso de identificación del incidente, notificación, registro, análisis, clasificación, escalado, recopilación de evidencias, respuesta, comunicación, cierre y archivo del incidente. Responsabilidades en el proceso de gestión de incidentes. www.aepd.es sedeaepd.gob.es 9/102 - Afirman que entre las medidas adoptadas tras la brecha se implantaron sistemas de vigilancia digital en búsqueda de cualquier dato de los clientes que pudiese estar siendo utilizado o vendido en foros fraudulentos, indicando que esta medida sigue en curso y afirman: “Hemos de decir que no ha aparecido en este proceso de búsqueda ningún dato de los afectados por la brecha a la venta o publicado en ningún lugar de la Deep Web desde que aconteció la fuga hasta el día de la presente”. - En relación con la comunicación de la brecha a los afectados, afirman que se comunicaron a ***CANTIDAD.3, el 99,80% de los casos. La comunicación se realizó por correo electrónico y envío de SMS para aquellos clientes que no disponían del dato email. Afirman: “la brecha de seguridad fue objeto de noticia en medios de comunicación de índole nacional y se puso a disposición de todos los clientes un número de teléfono gratuito que estuvo operativo en el que podían solicitar información de su afectación o no en el incidente, este número fue el ***TELÉFONO.2”. En fecha 12 de marzo de 2024 se realiza un nuevo requerimiento de información dirigido al responsable de tratamiento XFERA, marcado por la siguiente línea de investigación: - Solicitar nuevamente aclaración sobre la filtración de las credenciales del usuario de la aplicación VFR. Solicitar aclaración de los trabajos que provocaron los cambios de DNS. Solicitar aclaración y acreditación de la medida reactiva implantada para mejorar la seguridad en la validación de cambios de los DNS. Solicitar aclaración y acreditación de las nuevas reglas de monitorización que se incluyeron en los sistemas para detectar y alertar de patrones anómalos. Solicitar aclaración del motivo por el que se permitían accesos al aplicativo VFR en horarios no habituales de tiendas y distribuidores. Solicitar aclaración de la medida reactiva implantada eliminación del IBAN como dato de autenticación. En fecha 9 de abril de 2024 y registro de entrada REGAGE24e00026239512 se recibe respuesta al requerimiento anterior por parte de XFERA, de su contenido se extrae la siguiente información relevante para la investigación: - Afirman que no se dispone de información adicional a la ya facilitada relativa a cómo se pudo comprometer las credenciales utilizadas por los atacantes. En relación con los procedimientos de validación que existían en la organización para garantizar la corrección de los trabajos realizados en cambios de DNS, afirman: “(…)”. Por parte del inspector incluye nota aclaratoria del concepto “***CONCEPTO.1”, que consisten en la capacidad de gestionar y configurar la infraestructura de IT de la organización a través de código en lugar de hacerlo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/102 manualmente, creándose archivos de configuración con los requisitos necesarios, facilitando la edición y distribución de las configuraciones. Un aspecto clave de la IaC es el control de versiones de los archivos, que debe tenerse en cuenta al igual que se hace con cualquier otro archivo de código fuente del software. - En relación con la medida reactiva implantada tras la brecha para garantizar la seguridad en los cambios de DNS, afirman: “Nos remitimos a la información facilitada a esta Agencia en noviembre de 2023 en lo relativo a la activación del control de cambios en los trabajos de modificación de configuración del DNS, donde figura la obligación de la necesaria doble validación de los trabajos sobre los DNS que anteriormente no se requería”. Aportan captura de pantalla con nuevas evidencias de la implantación de la doble validación requerida (necesidad de aprobación por dos personas diferentes) para cualquier trabajo que se ejecute sobre cambios en DNS. - En relación con la detección de la brecha y el software de monitorización existente afirman: “(…)”. Por parte del presente inspector se realiza búsqueda en internet para obtener información adicional sobre las herramientas mencionadas (***HERRAMIENTA.1 y ***HERRAMIENTA.2), obteniéndose el siguiente texto de la web del producto (se crea diligencia y adjunta como objeto asociado al expediente): “(…)”. - En relación con las reglas que existían en el sistema de monitorización antes de la brecha, afirman: “En ***SISTEMA.1 se establecía regla para la gestión del rendimiento y consumo”. Se aporta documento con captura de pantalla del servicio que se utilizaba (***SISTEMA.2) con el conjunto de reglas incluidas, visualizándose únicamente el título de cada una de ellas: (…). - En relación con las reglas que se incluyeron tras la brecha como medida reactiva afirman y acreditan documentalmente: “Actualmente en el SIEM de ***PLATAFORMA.1 se encuentran implementados los siguientes casos de uso relativos a reglas de detección de comportamientos anómalos personalizadas y automatización de acciones a través de ***HERRAMIENTA.2: - (…)”. - En respuesta a nuestra solicitud para que aclaren el motivo por el que se permitían accesos al aplicativo afectado (VFR) en horarios no habituales para tiendas y distribuidores, afirman: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/102 “(…)”. - En respuesta a nuestra solicitud para que aporten información aclaratoria en relación con la eliminación del IBAN como dato de autenticación, afirman: “(…)”. - En respuesta a nuestra consulta para que aclaren si entre los datos filtrados existían copias de los DNI de clientes, afirman: “(…)”. CONCLUSIONES DE LAS ACTUACIONES PREVIAS DE INVESTIGACIÓN 1.- (…) 4.- En relación con la notificación de la brecha, en fecha 31 de marzo de 2023 se tiene constancia de la filtración de datos personales y se notifica a la AEPD este mismo día, completándose con una notificación adicional el 28 de abril de 2023. El mismo 31 de marzo de 2023 se inicia el proceso de comunicación a las personas afectadas, realizándose un total de ***CANTIDAD.3 comunicaciones vía email y SMS. La comunicación enviada informa sobre el ataque sufrido por la entidad, la filtración de algunos datos personales (no especifica cuales), las posibles consecuencias de la filtración, recomendaciones de medidas a adoptar por los afectados y datos de contacto para ofrecer más información. 5.- Ha quedado acreditado la existencia de análisis de riesgos para los derechos y libertades de las personas intervinientes en la actividad de tratamiento afectada por la brecha. El análisis incorpora también una evaluación de los riesgos por la materialización de una posible brecha de seguridad en los datos vinculados al tratamiento. 6.- Entre las medidas reactivas se ha constatado: - (…) 7.- Entre las medidas preventivas ha quedado constatado: - (…) 8.- (…). QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad XFERA MÓVILES, S.A.U., es una gran empresa, constituida en el año 2000, con un volumen de negocios de 2.098.178.000 €, en el año 2023. SEXTO: En fecha 25 de septiembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad investigada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.

1. f)del RGPD, tipificada en el artículo 83.5 del RGPD y por la presunta infracción artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/102 El acuerdo de inicio fue notificado conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibido en fecha 27 de septiembre de 2024, como consta en el certificado que obra en el expediente. SÉPTIMO: Notificado el citado acuerdo de inicio, la entidad investigada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: PRIMERA. Necesaria suspensión del procedimiento por prejudicialidad penal. Alega que los hechos objeto de este procedimiento sancionador se encuentran bajo investigación penal, como consecuencia de la denuncia presentada por Xfera ante la Comisaría General de Información de la Policía Nacional, con fecha de 19 de abril de 2023, de la que obra copia en las páginas 245 y siguientes del expediente administrativo. En concreto, afirma que la investigación ha recaído en el Juzgado de Instrucción n.º 28 de Madrid, y está siendo sustanciada a través de las ***DILIGENCIAS.1, en las que Xfera se ha personado como acusación particular. Acompaña, como Documento n.º 1, copia de la Diligencia de Ordenación por la que se tiene a Xfera por personada en dicho procedimiento. En ella se le informa, además, de que se ha declarado el secreto de las actuaciones, tal y como prevé el artículo 302 de la Ley de Enjuiciamiento Criminal. Sostiene que hasta donde tiene conocimiento, esta declaración ha sido prorrogada en varias ocasiones y se mantiene vigente en la actualidad. En este caso, considera que nos encontramos ante una situación en la que los mismos hechos están siendo investigados en sede penal, y donde cualquier decisión administrativa prematura podría resultar contradictoria con lo que se resuelva en tal jurisdicción. Asimismo, destaca que el secreto de sumario declarado en el marco de la investigación penal impide a Xfera acceder a información que podría resultar esencial para la defensa en este procedimiento sancionador. La imposibilidad de acceder a dicha información no solo limita su derecho a la defensa, sino que podría dar lugar a una resolución administrativa basada en hechos que aún no han sido completamente aclarados. Al respecto, el artículo 77.4 de la LPAC establece que los hechos declarados probados en una resolución penal firme vinculan a las administraciones en el marco de los procedimientos sancionadores. Dado que los hechos subyacentes están siendo evaluados en la vía penal, considera que cualquier pronunciamiento administrativo debería suspenderse, a la espera de la pertinente resolución para ofrecer una adecuada seguridad jurídica. Llegados a este punto, expone que en este procedimiento concurren la triple identidad de sujeto, hecho y fundamento que exige la jurisprudencia para suspender la tramitación de un procedimiento sancionador por prejudicialidad penal: 1. En cuanto a la identidad de sujeto, entiende que es clara, toda vez que Xfera es parte del procedimiento penal, y ha sido considerada como responsable de los hechos en este procedimiento sancionador; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/102 2. En lo tocante a la identidad de hecho, afirma que es indiscutible, pues la investigación en ambos ámbitos se centra en la vulneración de los sistemas de Xfera, que habría dado lugar a la exfiltración de datos de algunos de sus clientes; y 3. Finalmente, considera que concurre igualmente la identidad de fundamento, puesto que en este ámbito se analiza la vulneración del deber de confidencialidad, como infracción principal; y en el otro se investiga un posible delito de revelación de secretos con afectación a datos reservados de carácter personal. Alega que sujetos, hechos y bienes jurídicos protegidos coinciden en los ámbitos penal y administrativo: no en vano, ambos procedimientos buscan determinar cómo se produjo el ataque informático y si esa vulneración causó algún impacto real a los afectados. Considera que la resolución penal será determinante, por tanto, no solo para atribuir responsabilidades, sino también para evaluar el alcance del daño, lo que condiciona directamente la decisión en este ámbito administrativo y que continuar con el procedimiento sancionador sin esperar el desenlace del proceso penal supondría vulnerar el derecho a la defensa de Xfera, y atentaría contra los principios de seguridad jurídica y de coherencia. Por consiguiente, considera, que en dicho proceso existe información adicional, no disponible, ni para la AEPD, ni para Xfera cuyo contenido es trascendental para la correcta determinación de los hechos y, en consecuencia, de las responsabilidades que puedan derivarse de los mismos. De esta forma, expone que la continuación del presente procedimiento generaría indefensión a esa parte, en la medida en la que tan sólo dispone de acceso parcial a la documentación e información relativa a supuesto de hecho, con base en el cual se pretende imputarle una infracción de la normativa de protección de datos personales, en gran parte, en base a suposiciones sobre supuestos efectos del incidente de seguridad que, muy probablemente, quedarán esclarecidos en el procedimiento penal, y concretamente, si se produjo, o no, una exfiltración de los datos, más allá de su mera consulta. Así mismo, en particular, considera que esta Agencia dota de relevancia al hecho de la utilización masiva de direcciones IP desde el mismo número como elementos esenciales para la tipificación, calificación y propuesta de sanción como circunstancias agravantes (págs. 37 y 38 del Acuerdo de Inicio), cuyas circunstancias detalladas deben figurar en el expediente del asunto. Por todo lo expuesto, y en virtud del principio de prejudicialidad penal, solicita que se suspenda el presente procedimiento sancionador hasta que se resuelva el procedimiento penal en curso. Solo entonces afirma que podrá evaluarse correctamente la responsabilidad de Xfera y el impacto real de los hechos investigados sobre los afectados. SEGUNDA. - SOBRE EL SUPUESTO DE HECHO Considera que ha de tenerse en cuenta que el sistema VFR estaba dimensionado de tal forma que pudiese escalar de forma automática para poder dar servicio de forma simultánea a un número muy elevado de usuarios, dada cuenta de que en la actualidad la entidad cuenta con un total de más de 1.000 tiendas y era utilizado por más de 11.000 usuarios de diversos servicios de la operadora, que pueden realizar tantas consultas como sean necesarias para atender las peticiones de los clientes; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/102 siendo habitual y recurrente que se produzcan picos de peticiones o las mismas no sean realizadas en horarios de tienda, debido a que Xfera presta servicios de atención al cliente 24 horas al día y que los agentes de tiendas físicas, tratándose de profesionales liberales, con plena autonomía, realizan tareas de gestión en horarios que no son los de tienda, como los que, a juicio de la AEPD y sin aportar evidencia en contra alguna, son situaciones más que habituales en el día a día de Xfera. Expone que en fecha 29 de marzo de 2023, dentro del proceso de monitorización de Xfera, se detectó un posible comportamiento anómalo de la aplicación Vista4Retail (en adelante, “VFR”)1, por lo que, siguiendo los procedimientos internos, se activó un análisis detallado, dando así cumplimiento al procedimiento de gestión de incidentes de seguridad interno, el cual proporciona como Documento n.º 2. Añade que en fechas anteriores próximas a la incidencia de seguridad que nos ocupa, se realizó un trabajo programado sobre los DNS de la sociedad, que provocó que se habilitase el acceso a VRF por fuera del proxy de autenticación, por lo que quedó expuesto el sistema a su acceso sin el doble factor de autenticación de forma temporal y excepcional. En línea con lo anterior, pone de relieve que las consultas irregulares provenían de una única cuenta, que se correspondía con un usuario autorizado, debidamente autenticado con credenciales válidas, por lo que afirma que la herramienta gestionó las peticiones de forma ordinaria, sin generar ninguna alerta o detectarse ninguna incidencia de funcionamiento. Expone que durante una revisión rutinaria efectuada el día 29 de marzo de 2023, se detectó un posible comportamiento anómalo de VFR, lo que provocó que, de forma inmediata, se pusiera en contacto con el titular de dicha cuenta, no reconociendo este ser autor material de las consultas, procediéndose inmediatamente a deshabilitar su cuenta y tratarse el incidente con un potencial ataque contra la seguridad de Xfera. Así, afirma que la incidencia de seguridad derivó en la realización de consultas a la herramienta VFR de forma irregular, por parte de un usuario legítimo, empleando credenciales válidas, al que el atacante había suplantado la identidad en el sistema. Informa que el mismo día 29 de marzo de 2023, tras observar que, potencialmente habría tenido lugar un incidente de seguridad, se realizó un análisis de riesgos inicial para los derechos y libertades de los posibles interesados afectados, el cual aporta como Documento n.º 3 y se modificó inmediatamente el procedimiento de identificación/autenticación de los clientes que pudieran referirse a datos potencialmente afectados por el incidente, realizando desde entonces la verificación de la identidad de los clientes por parte de los servicios de atención al cliente y postventa a partir de datos de los que se tenía certeza que no pudiesen estar afectados por las consultas identificadas. En paralelo, alega que se adoptaron una serie de decisiones destinadas a la contención del ataque y a su posterior resolución. Asimismo, afirma que se implementaron medidas adicionales que ya fueron comunicadas a esta Agencia en la notificación de violación de seguridad de los datos personales y sus posteriores ampliaciones cursadas por Xfera, así como en los requerimientos de información previos al inicio del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/102 Una vez finalizado el análisis completo del incidente, el día 31 de marzo de 2023, expone que se concluyó que, efectivamente, se había producido una violación de seguridad que afectaba a datos personales, e inmediatamente, el mismo día, se procedió a su notificación a la Agencia Española de Protección de Datos a través de la sede del 060 - al no ser posible utilizar el formulario de la Sede electrónica de la Agencia por falta de disponibilidad de este-. Se anexan como prueba de la notificación en plazo de la citada brecha: Documento n.º 4 - 230331 - Justificante notificación brecha y Documento n.º 5 - 230331 - Notificación inicial incidente. Posteriormente, en cumplimiento del deber de responsabilidad proactiva, afirma que Xfera inició el proceso de comunicación de la violación de seguridad a los interesados, siguiendo las especificaciones para tal comunicación recogidas en el artículo 34 del RGPD al respecto. Para ello informa que se hizo uso prioritariamente de la vía del correo electrónico, y como alternativa, el SMS para aquellos casos en los que el cliente no había aportado un correo electrónico como dato de contacto, o en aquellos casos que no se lograra contactar vía correo electrónico, alcanzándose un total de ***CANTIDAD.3 usuarios efectivamente informados. Se anexa como Documento n.º 6 - 230331 - Comunicación maquetada el contenido del mensaje enviado a los clientes. El día 19 de abril de 2023, indica que se procedió a presentar denuncia ante las Fuerzas y Cuerpos de Seguridad los hechos ocurridos y descritos con carácter previo -se adjunta como Documento n.º 7 – denuncia presentada-. En fecha de 28 de abril de 2023, afirma que se procedió a notificar, dentro del plazo de un mes desde la notificación inicial presentada, notificación de cierre de la violación de seguridad. Se anexa como Documento n.º 8 – 230428 - Justificante comunicación completa, que contiene la citada notificación. Expone que en la misma se concluye que no constaba, hasta el momento, la filtración de la información comprometida. A fecha actual, informa que no se ha constatado que se haya publicado en abierto ningún dato de los afectados en la Deep Web, ni en Internet, ni se ha publicitado venta de datos obtenidos del incidente sufrido por Xfera. Alega que tampoco se ha detectado ningún tipo de suplantación de identidad, fraude o pérdidas económicas para los clientes afectados frente a Xfera, ni tampoco se ha aportado evidencia alguna por parte de la AEPD, ni de ninguno de los denunciantes en contra. Afirma que, desde la AEPD, en fecha 12 de mayo de 2023, se remitió el escrito que da cierre a las actuaciones de la División de Innovación Tecnológica en relación con el incidente de seguridad. Se adjunta como Documento n.º 9 - 230512 - Cierre actuaciones división innovación tecnológica, en el que consta que “no están previstas más acciones por parte de esta División con relación a este acto de comunicación de brecha de datos personales” Pese a ello, considera que, concluidas las acciones llevadas a cabo por la División de Innovación Tecnológica de la Agencia sobre el incidente descrito, en las que determinó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/102 que no eran necesarias actuaciones adicionales, la AEPD, apertura expediente e inicia actuaciones de investigación contra Xfera, en relación con la brecha de seguridad. Se adjunta como Documento n. º10 la información solicitada sobre el incidente. Expone que, en fecha de 13 de marzo de 2024, se remitió un tercer requerimiento de información, cuya respuesta fue proporcionada por Xfera el día 9 de abril de 2024. Se adjunta dicha comunicación como Documento n.º 11. Del examen de los hechos relativos al incidente de seguridad arriba relacionados, concluye afirmando que se desprende que la Agencia identifica como constitutivo de infracción, el mero hecho de que se produzca una brecha de seguridad y que se hayan presentado reclamaciones por quienes fueron diligentemente informados de la misma, siendo éste último hecho el único que, en su opinión, hace que la AEPD vuelva a reactivar un procedimiento, respecto al que ella misma había dictado que “no están previstas más acciones por parte de esta División con relación a este acto de comunicación de brecha de datos personales”, sin que se atienda, ni analice el concreto supuesto de hecho, la ausencia de perjuicio asociado o de publicación en abierto de los datos, las medidas de seguridad implementadas, ni las responsabilidades derivadas. TERCERA. Vulneración de los principios “non bis in ídem” y de especialidad. Alega que los hechos que se imputan a Xfera han sido calificados, en el Acuerdo de Inicio, como constitutivos de dos infracciones diferenciadas: por un lado, la vulneración del artículo 5.1.
2. f)del RGPD, tipificada como infracción muy grave, y por otro, el incumplimiento del artículo 32 del RGPD, tipificada como grave. Considera que el Acuerdo de Inicio explica que la primera sanciona la pérdida de confidencialidad de los datos personales, mientras que la segunda reacciona frente a la insuficiencia de las medidas de seguridad implementadas. Sin embargo, esta calificación resulta, en su opinión, incorrecta, ya que ambas infracciones se aplican sobre una misma conducta y persiguen proteger el mismo bien jurídico, lo que vulnera los dos principios expuestos. 3.1. Vulneración del principio non bis in ídem Afirma que en el caso que nos ocupa, las dos infracciones propuestas por la Agencia buscan sancionar la misma conducta: la supuesta falta de adopción de medidas técnicas y organizativas suficientes para garantizar la seguridad de los datos personales. No existe, por tanto, en su opinión, una pluralidad de conductas que pueda justificar la doble sanción. Expone que en el caso de Xfera, la conducta sancionada, que es la falta de adopción de medidas de seguridad adecuadas, ha provocado la pérdida de confidencialidad: sin una, no se habría producido la otra. Considera que ambas infracciones, por tanto, derivan de la misma conducta y se relacionan con el mismo bien jurídico, lo que refuerza la idea de que la doble sanción vulnera el principio non bis in ídem. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/102 Indica que es claro que, ambas infracciones sancionan el mismo hecho: la supuesta insuficiencia de las medidas de seguridad adoptadas para evitar el acceso no autorizado a los datos personales. Esta falta de diferenciación entre los hechos sancionados en cada infracción es precisamente lo que le lleva a concluir que se ha vulnerado el principio non bis in ídem. Dicho lo anterior, también tiene conocimiento de que la AEPD sí ha aplicado este principio en procedimientos como el PS/00027/2021 o el PS/00021/2021. En tales casos, aun existiendo una brecha de confidencialidad derivada de la implementación de insuficientes medidas de seguridad, considera que la AEPD decidió sancionar únicamente por infracción del artículo 5.1.
3. f)del RGPD. 3.2. Vulneración del principio de especialidad Alega que el artículo 32 es la norma que se ajusta con mayor precisión a los hechos objeto de este procedimiento, ya que regula de forma detallada las medidas técnicas y organizativas que deben implementarse para garantizar un nivel de seguridad adecuado al riesgo. Y que, por el contrario, el artículo 5.1.f), al ser una disposición más general, debe ceder ante la aplicación de la norma especial, que contempla de manera más específica el comportamiento ilícito. En el presente caso, considera que el artículo 32 del RGPD regula de manera más precisa las obligaciones de seguridad cuya vulneración se atribuye a Xfera, mientras que el artículo 5.1.
4. f)se limita a enunciar un principio general. Por tanto, afirma que la correcta aplicación del principio de especialidad exige que la conducta de Xfera sea sancionada únicamente bajo el artículo 32, y que se excluya la aplicación del artículo 5.1.f). En definitiva, entiende que la doble calificación realizada en el Acuerdo de Inicio no se ajusta a derecho, ya que vulnera tanto el principio non bis in ídem como el principio de especialidad. Expone que la conducta antijurídica sancionada es única, y debe ser subsumida en el artículo 32 del RGPD, que es la norma que más exactamente se ajusta a los hechos y que aplicar tanto el artículo 5.1.
5. f)como el artículo 32, no solo es contrario a la doctrina del TJUE y del Tribunal Supremo, sino que también resulta desproporcionado, tal y como ha subrayado el Comité Europeo de Protección de Datos en sus Directrices sobre el cálculo de sanciones. Por todo lo expuesto, solicita que, en la resolución definitiva, se desestime la aplicación del artículo 5.1.
6. f)del RGPD al procedimiento que nos ocupa, y que los hechos se califiquen exclusivamente como una infracción del artículo 32 del mismo Reglamento, de acuerdo con los principios antes expuestos. CUARTA. La actuación de Xfera fue diligente; adecuación y correcta implementación de las medidas de seguridad. Entrando en el fondo del asunto, alega que el presente expediente trae causa de un incidente de seguridad que fue identificado por los procesos internos de monitorización de la empresa, que detectaron un comportamiento anómalo a través de una aplicación utilizada en sus servicios de interacción con clientes (puntos de venta, call centers, atención al cliente, etc.). Estas consultas, afirma, que fueron realizadas con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/102 credenciales válidas de un usuario autorizado, quien manifestó no haber realizado dicha actividad. Manifiesta que, de manera inmediata, Xfera desactivó la cuenta y trató el incidente como un posible ataque de exfiltración de datos. Expone que Xfera respondió con celeridad al detectar la brecha, activando las medidas necesarias para restaurar la seguridad del sistema y notificando tanto a la AEPD como a los clientes afectados y complementando esta información con posterioridad. Alega que, durante todo el proceso, la empresa siguió los protocolos establecidos a tal efecto, implementando mejoras significativas en sus políticas de seguridad para evitar que incidentes similares se repitan en el futuro. Le sorprende que esta autoridad considere las medidas reactivas adoptadas tras la brecha como una prueba de insuficiencia preventiva: todo lo contrario, en su opinión son una muestra del compromiso de Xfera con la protección de los datos personales y la mejora continua de sus sistemas. 4.1. Las medidas implementadas por Xfera eran adecuadas. Expone que, para llevar a cabo dicha actividad de tratamiento, se efectuó, en su momento, el correspondiente análisis de riesgos, que aporta dentro del Informe detalle tratamiento Enrollment como Documento n.º 12. Como acreditación de la instauración de las medidas de seguridad citadas, más concretamente la del Doble factor de autenticación, aporta de nuevo como Documento n.º 13 - Implementación IAP Google + 2FA VFR distribuidor. (…) Reitera que la herramienta afectada por el incidente de seguridad habilita la operativa principal de los agentes que atienden a los clientes, teniendo una función de “directorio” o “buscador”. A través de esta, se les permite efectuar consultas sobre los clientes, es decir, se trata de un buscador que gestiona las funciones diarias llevada a cabo por los agentes de esta operadora en diversos canales, que constituyen la base de su actividad de negocio y comercial. Lo anterior desea que sea puesto en contexto por esta Agencia; especialmente a la hora de identificar posibles medidas que resulten aplicables toda vez que no cabe que la misma estuviera sometida a un cifrado o a ciertas medidas excesivamente restrictivas ya que, se estaría interrumpiendo drásticamente – por no decir impidiendola dinámica de atención a los clientes y potenciales clientes, que verían imposibilitadas sus labores. En definitiva, alega que no es viable operativamente, para ninguna entidad, bloquear la herramienta de iteración básica del dealer o agente en su operativa ordinaria. Concluye afirmando que se trata de una herramienta concebida para permitir realizar consultas de forma masiva y de forma escalable y, siendo esta la principal virtud y finalidad para la que fue diseñado, contraprogramar esta funcionalidad implicaría un altísimo conste económico, técnico y de tiempo. 4.2. No es razonable interpretar las medidas reactivas como insuficiencia preventiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/102 Manifiesta que al tratarse de un ataque que utilizaba credenciales legítimas sobre un sistema con alta carga de consultas legítimas, la detección era más difícil. A pesar de ello, una vez identificado el problema, expone que Xfera adoptó medidas reactivas no solo para contener el daño, sino para reforzar la seguridad del sistema, práctica habitual en ciberseguridad, ya que la mejora continua forma parte de todos los estándares de seguridad conocidos. Considera evidente que el hecho de que Xfera haya implementado medidas adicionales, como la mejora de los sistemas de monitorización y la revisión de las políticas de autenticación, no debe considerarse como una admisión de que las medidas preventivas originales fueran insuficientes. Afirma que estas acciones responden al deber de diligencia que impone el RGPD, que obliga a los responsables del tratamiento a revisar y mejorar sus políticas de seguridad en función de las amenazas detectadas. Expone que la capacidad de una empresa para aprender de un incidente y ajustar sus mecanismos de protección es precisamente lo que garantiza una mayor seguridad para los datos de los clientes en el futuro. Penalizarla por ello se le antoja, cuanto menos, contraproducente, y contrario a las Directrices 04/2022 del CEPD, según las cuales la cooperación de la empresa, su capacidad para rectificar y mejorar tras un incidente, y su cumplimiento con el principio de responsabilidad proactiva deben influir positivamente en la cuantificación de la sanción final. 4.3. La retirada del IBAN de la aplicación VFR se realizó para evitar futuros fraudes. Alega que la rápida implementación de una medida que reforzó la autenticación tras la brecha demuestra un claro compromiso con la protección de los derechos de los interesados, lo que no solo redujo el riesgo de suplantación de identidad, sino que también evitó que uno de los datos comprometidos (el IBAN) pudiera ser utilizado de forma fraudulenta en el futuro. Considera que este enfoque, consistente en sustituir un dato vulnerado por otro no vulnerado, tras identificar un riesgo concreto, entra dentro de las acciones que el CEPD valora para mitigar los daños y perjuicios sufridos por los interesados. Por tanto, afirma que la retirada del IBAN como dato de autenticación no debe verse como una admisión de que su uso inicial era inadecuado, sino como una respuesta responsable que contribuye a paliar los posibles daños, lo que debe actuar como factor atenuante al evaluar la gravedad de la infracción. 4.4. Del cierre de actuaciones por la División de Innovación Tecnológica de la AEPD. Expone que, en fecha de 12 de mayo de 2023, se recibe un escrito de la Agencia, por el cual se concluyen las actuaciones relacionadas con la brecha de seguridad que nos ocupa por la División de Innovación Tecnológica. Afirma que la División de Innovación Tecnológica de la Agencia es la sección técnica que examina el cumplimiento y la gestión de las brechas de seguridad, conforme a la normativa de protección de datos de carácter personal. Alega que de su propio análisis se concluye que no es necesaria la realización de actuaciones adicionales, en la medida en la que Xfera ha actuado conforme a sus obligaciones, notificando a la autoridad y a los interesados, brindando a éstos la información pertinente y el soporte que pudiesen precisar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/102 4.5. Xfera como víctima de una actuación criminal respecto a la que se ha decretado secreto de sumario. Reiterar la importancia de situar correctamente a Xfera en su posición de víctima de un ataque criminal instrumentado a través de un altamente complejo, interviniendo finalmente, como ya ha sido puesto de manifiesto, las Fuerzas y Cuerpos de Seguridad. Considera que este enfoque no debe ser obviado, en la medida en la que, la Agencia debe contemplar que, pese a un despliegue de medidas adecuado y diligente, cabe la posibilidad de que, pese a ello, el Responsable del Tratamiento sea víctima de una brecha de seguridad, la cual, debe ser gestionada de forma correcta, como prevé la propia normativa de protección de datos, pero en su opinión no puede considerarse, de forma automática, que el propio acontecimiento de la brecha, de forma autónoma, determine una falta de negligencia de la entidad afectada, en la medida en la que ésta viene provocada por la actuación criminal de un tercero, que ya está siendo investigada, consiguientemente, en la vía penal. 4.6. Conclusión: vulneración del principio de culpabilidad. Concluye que al no haberse acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de Xfera no procede la identificación en la conducta de esa parte de una infracción de la normativa de protección de datos personales por el mero hecho de haber sido víctima de un acto delictivo y, consecuentemente, considera que no procede la imposición de ningún tipo de sanción. Afirma que sólo es posible sancionar administrativamente con base en el RGPD cuando haya quedado debidamente acreditada por parte de la autoridad administrativa competente la concurrencia de una actuación culpable, intencionada (dolosa) o negligente por parte de responsable de tratamiento, algo que en su opinión no ha sucedido en el presente procedimiento. Es por ello por lo que considera que el presente Acuerdo de Inicio no es ajustado a derecho, pues impone a XFERA una obligación de resultado, consistente en el establecimiento de medidas infalibles, al imputar una infracción del artículo 5.1 apartado
7. f)y del artículo 32 del RGPD, basándose únicamente en el resultado que se produce por la actuación criminal de un tercero, sin atender a la diligencia utilizada y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas. En este sentido, resalta que la implementación de medidas inquebrantables, ni es viable, puesto que toda medida por muy segura que sea, y cuente con las garantías e incluso certificaciones de seguridad oportunas, tiene vulnerabilidades; ni es exigible por la normativa que resulta de aplicación. En el caso que nos ocupa, alega que no hay indicios de que la empresa actuara de forma negligente. De hecho, afirma que la información obrante en el expediente muestra lo contrario: Xfera implementó medidas preventivas razonables, como el uso del doble factor de autenticación (2FA) y la monitorización de sus sistemas. Expone que el incidente de seguridad se produjo debido a una operación técnica sobre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/102 configuración del DNS, que permitía el acceso evitando el proxy de autenticación de VFR. Indica que este fallo técnico no puede considerarse negligente, ya que se trató de un incidente aislado y no de una falta sistemática de seguridad. Además, tras la detección de la brecha, manifiesta que Xfera actuó con celeridad para mitigar los daños, notificando a la AEPD y a los afectados dentro de los plazos establecidos y adoptando medidas adicionales para reforzar su sistema de seguridad. En definitiva, considera vulnerado el principio de culpabilidad, al imputar a Xfera una infracción basada exclusivamente en el resultado del ataque, sin demostrar la existencia de negligencia o dolo en su actuación y que las medidas adoptadas por Xfera antes y después del incidente demuestran que la empresa cumplió con su obligación de medios, y no se puede exigir una seguridad infalible. En este sentido, solicita que se tenga en cuenta el principio de culpabilidad y que, en caso de que se aprecie algún grado de responsabilidad, se valore la imposición de una sanción menos gravosa, como el apercibimiento, de acuerdo con el artículo 58.2.
8. b)del RGPD y el artículo 76.3 de la LOPDGDD. QUINTA. Falta de proporcionalidad de la sanción. Alega que, en el presente caso, la AEPD ha propuesto una sanción de 4.000.000 euros, una cuantía claramente desproporcionada teniendo en cuenta las circunstancias del caso y las medidas adoptadas por Xfera tanto antes como después de la ocurrencia del incidente. Considera que esta cifra no refleja una evaluación adecuada del impacto real del incidente ni de las acciones correctivas adoptadas por la empresa, que ha demostrado su compromiso con la mejora continua de sus sistemas de seguridad. De entrada, entiende oportuno insistir en que sancionar tanto por el artículo 5.1.
9. f)como por el 32 genera una carga punitiva desproporcionada, pues la pérdida de confidencialidad derivada de una brecha de seguridad ya está contenida en la infracción relacionada con las medidas de seguridad. Afirma que la AEPD justifica la sanción separada sobre la base de la gravedad de la pérdida de confidencialidad, pero al sancionar la causa y el efecto de la misma infracción, se está duplicando injustificadamente la penalización, lo que, en su opinión, vulnera el principio de proporcionalidad. Entiende que, en este caso, una sanción de 4.000.000 euros no solo resulta desproporcionada en relación con los hechos, sino que tampoco se ha acreditado que sea necesaria para lograr los fines disuasorios. Por tanto, solicita que, a la luz del principio de proporcionalidad, se reduzca la sanción impuesta a Xfera. Argumenta que la empresa ha demostrado una voluntad proactiva para corregir la situación, implementando mejoras significativas en sus sistemas de seguridad, lo que debería ser tenido en cuenta a la hora de graduar la sanción. Considera que la imposición de una sanción más moderada no solo sería adecuada, sino que también respetaría los principios de necesidad e idoneidad consagrados en la Ley 40/2015. SEXTA. Circunstancias aplicables al caso individual, conforme al art. 83.2 RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/102 6.1. Naturaleza, gravedad y duración de la infracción. Afirma que, en este caso, no se ha acreditado que ninguno de los afectados haya sufrido daño alguno a consecuencia de la exfiltración de los datos. Manifiesta que Xfera ha reforzado sus servicios de vigilancia digital, que monitorizan de forma continua la Deep web y varios foros frecuentados por delincuentes digitales, en busca de cualquier dato que pudiera estar relacionado con la exfiltración. Informa que, hasta la fecha, no se ha detectado ningún indicio de intentos de vender o utilizar los datos para fines ilícitos. Lo anterior desea poner en relación con el hecho de que el incidente fue detectado a través de las propias medidas de seguridad implementadas por Xfera, lo que permitió reaccionar de forma efectiva para limitar su duración. Considera que esta detección fue clave para que se pudiera intervenir con prontitud, conteniendo el impacto de la brecha y minimizando el tiempo en que los datos estuvieron expuestos, lo que entiende que debería ser tenido en cuenta igualmente por esta Agencia, a los efectos de moderar la sanción propuesta. 6.2. De la ausencia de perjuicio para los interesados afectados por la brecha. Expone que la Agencia realiza una manifestación genérica sobre posibles efectos de la brecha que no responden a la realidad de los hechos probados, sin concretar en modo alguno qué reclamaciones o interesados considera víctimas de phishing. Indica que, en concreto, se han interpuesto 8 reclamaciones contra XFERA, de entre los ***CANTIDAD.3 interesados a los que se notificó (lo que supone el 0,00049984 del total de notificados). Se aporta como Documento n.º 14, siquiera resumidamente, la realidad de lo que consta en el expediente en relación con las reclamaciones presentadas. Afirma que ningún reclamante relata ni señala (ni, en ningún caso consta acreditada) la existencia perjuicio alguno relacionado con la brecha, ni económico ni material y que no consta la existencia de perjuicio material o económico como resultado de la brecha de seguridad de XFERA. 6.3. Intencionalidad o negligencia en la sanción. No niega que el incidente estuvo relacionado con un problema con la configuración del DNS, pero desea señalar que se trató de una cuestión puntual, y no del resultado de una negligencia grave o de una omisión sistemática en las medidas de seguridad. Afirma que la causa fue una actuación sobre la infraestructura de DNS, y no la falta de previsión o a la inexistencia de medidas de seguridad adecuadas que se le atribuye. Añade que, de hecho, antes del incidente, Xfera había implementado medidas avanzadas de seguridad, como el doble factor de autenticación (2FA), que no hacen sino acreditar su esfuerzo por dotarse de unas medidas de seguridad sólidas. Considera que las medidas de seguridad implementadas antes del incidente, junto con la rápida respuesta tras su detección, demuestran que Xfera actuó con la diligencia necesaria y en cumplimiento de sus obligaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/102 6.4. Medidas adoptadas para paliar los daños y perjuicios sufridos por los interesados. Entiende oportuno destacar, igualmente, que en cuanto tuvo conocimiento de la existencia del ataque, Xfera adoptó medidas efectivas para mitigar los daños causados por la brecha de seguridad. Manifiesta que esta reacción rápida y espontánea, tal como señalan las Directrices 04/2022 del CEPD, es un factor que debe considerarse atenuante, dado que demuestra, en su opinión, que Xfera actuó de forma proactiva antes de cualquier acción por parte de la autoridad de control. Finalmente, concluye afirmando que Xfera no se limitó a paliar los daños inmediatos, sino que también implementó mejoras en sus sistemas de seguridad para prevenir futuros incidentes. Considera que estas acciones correctivas, como el refuerzo de las reglas de monitorización y la adopción de nuevas medidas de control, demuestran la diligencia de Xfera y su compromiso con la mejora continua y que, en conjunto, estas medidas demuestran que Xfera hizo todo lo posible para limitar las repercusiones del incidente y proteger a los afectados, lo que, según las Directrices del CEPD, debería ser considerado, en su opinión, un factor atenuante en la evaluación de la sanción. 6.5. Infracciones anteriores cometidas por Xfera. Destaca que en relación con la posible consideración de las resoluciones PS-004482020, PS-00237-2019, y PS-00104-2020 como precedentes en este procedimiento, dichas infracciones estarían prescritas, por lo que no deberían ser tenidas en cuenta. Entiende que las diferencias en el alcance y la naturaleza de los expedientes mencionados por la Agencia limitan su aplicabilidad como precedentes al caso que nos ocupa. Todo ello, de acuerdo con el párrafo 88 de las Directrices 04/2022 del CEPD, según el cual las infracciones anteriores relacionadas con un mismo objeto pueden considerarse más pertinentes que las que abordan cuestiones distintas, como son las tres indicadas por la Agencia. De ahí que considere que no es razonable utilizar estos precedentes como agravantes, a efectos del cálculo de la sanción. 6.6. Adhesión a códigos de conducta o a mecanismos de certificación aprobados. Alega que Xfera cuenta con las certificaciones ISO 27001 de Seguridad de la Información y 27701 de Gestión de la Privacidad de la Información, así como Esquema Nacional de Seguridad nivel Alto, lo que, en su opinión, acreditaría el cumplimiento por parte de la empresa de los más altos estándares de seguridad de la información, circunstancia que es auditada periódicamente. Se aportan como Documento n.º 15 y Documento n.º 16 las certificaciones referidas a Xfera móviles S.A.U. en cuanto a la ISO 27001 y a la ISO 27701. Así mismo se aporta el certificado, como Documento n.º 17, correspondiente a la certificación ENS nivel Alto de Xfera. Adicionalmente, informa que Xfera se encuentra adherida al Código de Conducta de Tratamiento de Datos en la Actividad Publicitaria, siendo esto reflejo de su compromiso con el cumplimiento de los más altos estándares en materia de protección de datos. SÉPTIMA. Proposición de prueba. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/102 En orden a la acreditación de los hechos, solicita la apertura del periodo probatorio en el que sean admitidos y practicados los siguientes medios de prueba: 1. Documental, consistente en la unión al procedimiento de los documentos aportados; 2. Pericial, a realizar por J.J.J. y L.L.L., ambos Profesores titulares de la Universidad de ***LOCALIDAD.1, y cuyo ámbito, detallado en la carta de aceptación de encargo que se anexa como Documento n.º 18, se referirá al análisis de las medidas de seguridad de Xfera que pudiesen ser de interés en relación con este procedimiento. Informa que este informe está siendo redactado en la actualidad, y será aportado a esta Agencia a la mayor brevedad, al amparo de lo previsto en el artículo 76.1 de la LPAC. Por todo lo expuesto, solicita que se proponga el archivo de las actuaciones en la propuesta de resolución que se redacte, debido a la ausencia de culpabilidad y a la no vulneración del principio de exactitud. Subsidiariamente, en atención a la cualificada disminución de la culpabilidad concurrente en Xfera, se imponga únicamente una sanción de apercibimiento y subsidiariamente, se proponga unas sanciones más leves que las incluidas en el Acuerdo de inicio de procedimiento sancionador. OCTAVO: En fecha 4 de marzo de 2025 y con número de registro de entrada REGAGE25e00014827098Se, se ha recibido en esta Agencia, la reclamación formulada por M.M.M., referida a XFERA MÓVILES, S.A.U. en la que afirma que, siendo cliente de la operadora de telefonía reclamada, el 2 de abril de 2023, recibió una comunicación de esta en la que le informaban que habían experimentado un incidente por el cual, terceras personas ajenas a la organización podrían haber accedido a algunos de los datos que tratan de él como cliente. Refiere que desde ese momento no para de recibir comunicaciones de spam con multitud de enlaces maliciosos o fraudulentos. En fecha 11 de abril de 2025, se admitió a trámite la reclamación formulada. NOVENO: En fecha 24 de junio de 2025, se formuló propuesta de resolución, proponiendo: <<Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a XFERA MÓVILES, S.A.U., con NIF A82528548, - por la infracción del artículo 5.1.
10. f)del RGPD, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el artículo 72.1
11. a)de la LOPDGDD, con una multa de 2.500.000 euros. - por la infracción del artículo 32 del RGPD, tipificada conforme a lo dispuesto en el artículo 83.4 del RGPD, calificada como grave a efectos de prescripción, en el artículo 73
12. f)de la LOPDGDD, con una multa de 1.500.000 euros. >> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibida en fecha 25 de junio de 2025, como consta en el certificado que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/102 DÉCIMO: En fecha 26 de junio de 2025, XFERA MÓVILES presentó un escrito a través del cual solicitaba la ampliación del plazo conferido para presentar alegaciones. En fecha 30 de junio de 2025, el órgano instructor del procedimiento acordó la ampliación de plazo hasta un máximo de cinco días, que debían computarse a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones El citado acuerdo fue notificado en fecha 1 de julio de 2025, como consta en el acuse de recibo que obra en el expediente. UNDÉCIMO: En fecha 16 de julio de 2025, XFERA MÓVILES presentó escrito de alegaciones a la Propuesta de Resolución, reiterando básicamente las alegaciones ya presentadas ante el Acuerdo de Inicio y en el que, en síntesis, manifiesta que: PRIMERA. - DE LA NECESARIA SUSPENSIÓN DEL PROCEDIMIENTO POR PREJUDICIALIDAD PENAL. Considera jurídicamente improcedente (y potencialmente lesivo para el derecho de defensa de XFERA) continuar con la tramitación y resolución del procedimiento sancionador mientras permanezca abierta y no resuelta la causa penal 1471/2023, actualmente en instrucción en el Juzgado de Instrucción n.º 28 de Madrid. Por ello, en aplicación de los artículos 22.1.
13. g)y 77.4 de la LPACAP, solicita a la Agencia Española de Protección de Datos que suspenda el presente procedimiento sancionador hasta que se dicte resolución firme en el procedimiento penal actualmente en curso. Aporta de nuevo Documento n.º 1, Diligencia de Ordenación del Juzgado y Documento n.º 2 – Denuncia policial presentada por XFERA. SEGUNDA. - DE LA INSTRUCCIÓN DEL EXPEDIENTE ADMINISTRATIVO POR LA AGENCIA. Manifiesta que el incidente fue notificado por XFERA el 31 de marzo (Documento n.º 3 – Justificante notificación brecha (31.03.2023)) tanto a la AEPD como a los interesados (Documento n.º 4 – Comunicación maquetada (31.03.2023). Reitera que la actuación de XFERA fue valorada por la propia División de Innovación Tecnológica de la AEPD, que el 12 de mayo de 2023 acordó el cierre de actuaciones (el cual se proporciona como Documento n.º 5 – Cierre actuaciones DIT (12.05.2023)), al considerar que no procedía adoptar medidas adicionales tras la notificación y que la entidad había actuado conforme a sus obligaciones legales y concretamente con lo dispuesto en los artículos 33 y 34 del RGPD (véase el Documento n.º 6 – Respuesta noviembre 2023). Del examen de los hechos relativos al incidente de seguridad, incide en que la Agencia identifica como constitutivo de infracción el mero hecho de que se produzca una brecha de seguridad y que se hayan presentado reclamaciones por quienes fueron diligentemente informados de la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/102 Considera que la tramitación del presente expediente comporta una serie de irregularidades que le generan indefensión: - Al considerar como probados hechos sobre los que no consta acreditación, como es la supuesta filtración de la información afectada por la brecha. - Al no haber admitido a trámite las reclamaciones que constan en el expediente, negando a esta parte la posibilidad de oponerse a ello. - Negando la relevancia y valoración realizada por la DIT con relación a la incidencia acaecida, en contra de las funciones que ésta tiene atribuidas por el propio Estatuto de la Agencia, y que aplica de forma habitual, tal y como consta recogido en la Memoria de la Agencia. Por ello, considera que la Propuesta de Resolución no resulta ajustada a derecho, procediendo el archivo de las presentes actuaciones. TERCERA. - SOBRE LA SUPUESTA INFRACCIÓN DEL ARTÍCULO 5.1. F) DEL RGPD. Indica que la Agencia debe sancionar de conformidad con los principios de la potestad sancionadora de la Administración Pública, que no deben confundirse con la facultad de actuar de forma arbitraria. Así, se requiere que, en aras de lograr la seguridad jurídica del administrado, la actuación sancionadora de la Administración mantenga criterios de coherencia, intentando no contradecirse o aplicar criterios o baremos distintos en cada resolución. En su opinión manifiesta que queda sobradamente acreditado que XFERA contaba con medidas adecuadas, pertinentes y proporcionadas, -que se detallan de nuevo en la siguiente alegación- y que la brecha de seguridad acaecida no hubiera podido evitarse dada su naturaleza. Esto pone de manifiesto que, en su opinión, aunque se produjo una brecha de confidencialidad, la compañía actuó de manera diligente, adoptando medidas de seguridad adecuadas antes y después de la misma, por lo que no se produjo un incumplimiento del principio de integridad y confidencialidad (art. 5.1.f RGPD). 3.1 XFERA como víctima de una actuación criminal. Reitera ante esta Agencia que, la brecha que nos ocupa fue acometida por delincuentes, quienes, infringiendo lo dispuesto en los artículos 264 y 264 bis de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, decidieron llevar a cabo tal intromisión, aun a sabiendas de la pena de prisión que conlleva tal conducta, la cual podría ascender a de dos a cinco años, así como una multa del tanto al décuplo del perjuicio ocasionado. En este sentido, informa que la misma fue presuntamente perpetrada por una persona que ha sido detenida como consecuencia de sus actos y que está actualmente en proceso de ser juzgada para responder de sus responsabilidades penales. De este modo, expone que, pese al establecimiento de diversas medidas de seguridad, por muy alta que sea la inversión y medios dedicados por las empresas para prevenir los ciberataques, en absoluto es posible detectar y precaver en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/102 totalidad las nuevas oleadas de ataques, que cada vez son más continuas, complejas e imprevisibles. Por todo lo anterior, reitera la importancia de situar correctamente a XFERA en su posición de víctima de un ataque criminal instrumentado a través de un altamente complejo, interviniendo finalmente, como ya ha sido puesto de manifiesto, las Fuerzas y Cuerpos de Seguridad. De ahí que llegue a la conclusión de que, al no haberse acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de XFERA, no proceda en su opinión la identificación en la conducta de esa parte de una infracción de la normativa de protección de datos personales por el mero hecho de haber sido víctima de un ciberataque, y, consecuentemente, no proceda la imposición de ningún tipo de sanción, todo ello teniendo en consideración la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE) relativas a los asuntos C-683/21 (Nacionalinis visuomenės sveikatos centras) y C-807/21 (Deutsche Wohnen) publicada el día 5 de diciembre de 2023 ya que, en caso contrario, entiende que se estaría aplicando la responsabilidad objetiva. En definitiva, considera vulnerado el principio de culpabilidad y responsabilidad objetiva, al imputar a XFERA una infracción basada exclusivamente en el resultado del ataque, sin demostrar la existencia de negligencia o dolo en su actuación. Considera que las medidas adoptadas por XFERA antes y después del incidente demuestran que la empresa cumplió con su obligación de medios, y no se puede exigir una seguridad infalible. CUARTA. - SOBRE EL SUPUESTO INCUMPLIMIENTO DE LO DISPUESTO EN EL ARTÍCULO 32 DEL RGPD. Considera necesario reiterar que el incidente de seguridad fue identificado por los procesos internos de monitorización de XFERA, tras detectar un comportamiento anómalo a través de una aplicación utilizada en sus servicios de interacción con clientes. 4.1. De la adecuación de las medidas implementadas por XFERA. Tal y como expuso en las medidas de seguridad ya facilitadas a esta Agencia, alega que el código OTP o las medidas de doble factor de autenticación no son exigibles de forma general para una validación de la autenticación de los usuarios en entidades del sector de las Telecomunicaciones. En el supuesto que nos ocupa, indica que XFERA no sólo detecta de forma proactiva el acceso, sino que lo hace de forma temprana. Considera que este hecho debe ser puesto en contexto por la AEPD, ya que, la detección de una brecha de estas características en el término de días resulta extremadamente inusual, dada la elevada complejidad de la misma, siendo sólo posible con una proactividad y medios como los aplicados por parte de XFERA en cumplimiento del principio de responsabilidad proactiva y diligencia debida. Manifiesta que lo anterior debe ser tenido en cuenta como un resultado de la adecuación de las medidas de seguridad implantadas por XFERA, las cuales, se enumeran de nuevo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/102 Aporta análisis de riesgos, dentro del Informe detalle tratamiento Enrollment como Documento n.º 7. En este sentido, considera que a pesar de que la AEPD hace alusión de forma reiterada a lo largo de la Resolución al número de IPs desde las que el atacante realiza su conexión, este hecho no es especialmente relevante desde el punto de vista de la seguridad. En concreto, explica que las comunicaciones entre la base de datos central del aplicativo VFR y las tiendas está protegida mediante el protocolo HTTPS (Hypertext Transfer Protocol Secure), que significa "Protocolo de Transferencia de Hipertexto Seguro" que cifra la información que se transmite, lo que implicaría que, en caso de ser interceptada por un usuario no autorizado, no tendría posibilidad de acceder al contenido de la misma. Adicionalmente, expone que la base de datos central que alojaba los datos que VFR ponía a disposición de sus usuarios autenticados estaba también debidamente cifrada. Por lo tanto, afirma que sí se aplicaban medidas de cifrado a los datos personales para evitar su acceso por parte de usuarios no autorizados. Ocurre que, en este caso, el usuario estaba haciendo uso del aplicativo con unas credenciales válidas, por lo que tenía acceso a la información. En resumen, considera que las supuestas soluciones que plantea la AEPD, más allá de su idoneidad teórica, no son realistas desde un punto de vista técnico u operativo, teniendo además en cuenta la excepcionalidad del tipo de ataque sufrido, que no cuenta con precedentes conocidos en cuanto a su forma de ejecución y complejidad. Como se indicaba, manifiesta que la causa de la brecha no puede atribuirse a una deficiencia en las medidas preventivas en sí mismas, sino a una operación técnica aislada, puntual y única que tuvo lugar el 21 de febrero de 2023. Durante ese día, un empleado de XFERA aplicó una configuración desactualizada del sistema DNS, lo que provocó que temporalmente no fuese obligado acceder a VRF a través del proxy de autenticación que gestionaba el doble factor de autenticación. Esta circunstancia permitió que, durante el período entre el 21 de febrero y el 29 de marzo de 2023, fuesen posibles las consultas a los datos únicamente con usuario y contraseña, sin requerir el segundo factor de autenticación. No obstante, subraya que este hecho no implica una falta estructural de medidas de seguridad, sino que con independencia de que esta medida se hubiera inhabilitado se mantenían otras que, conforme a los riesgos identificados, debieran ser suficientes para la adecuada protección de los datos personales. Expone que la brecha no deviene de la falta del doble factor de identificación, sino de la obtención por el atacante, de una forma que no se ha podido determinar, de las credenciales de un usuario legítimo. En este sentido, no se está en posición de afirmar, tampoco por la AEPD, que si el doble factor hubiese estado vigente se habría abortado la posibilidad del ataque, ya que dicha medida no es infalible y podría haber estado igualmente comprometida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/102 Por todo ello, considera que lo que debe valorarse no es la existencia o no de una medida concreta, sino la adecuación de las medidas conforme a las amenazas identificadas y su nivel de riesgo. En este sentido, indica que la AEPD no ha tenido en consideración en su Resolución la jurisprudencia del Tribunal Supremo aportada en el entorno de las alegaciones al acuerdo de inicio del presente procedimiento sancionador y reiterada en este escrito. En concreto, la sentencia 543/2022 de 15 de febrero de 2022, la cual es clara al afirmar que la adopción de medidas de seguridad en el tratamiento de datos personales no puede considerarse una obligación de resultado, sino una obligación de medios. Incide en que la eventualidad que provocó este caso fue causada por la aplicación de un archivo desactualizado de configuración, que restauró una versión anterior del DNS, desactivando el proxy de autenticación. Este tipo de incidentes, aunque indeseables, son difícilmente evitables en cualquier proceso tecnológico complejo, y no reflejan una negligencia en las medidas preventivas adoptadas por la empresa. Por último, reitera que en el supuesto analizado no consta acreditado que se haya producido una exfiltración de los datos. Aunque hay sospechas de ello, conforme a la información facilitada por la Policía tras la denuncia, este extremo no ha sido confirmado. Por lo que entiende que la AEPD, no puede apoyarse en un hecho no probado para tratar de agravar los hechos acaecidos, ni mucho menos la sanción a imponer. Considera que sí existía una correcta identificación, análisis y valoración del riesgo, ya que la herramienta VRF, así como sus aplicativos complementarios, contaban con todas las medidas oportunas para mitigar los riesgos asociados al tratamiento, debidamente identificados, dando cumplimiento asimismo a lo dispuesto en el artículo 32 del RGPD. Así pues, entiende que, porque el 2FA se encontrara deshabilitado, no puede colegirse una sanción por incumplimiento del artículo 32 del RGPD toda vez que es una medida adicional, no aplicable conforme al análisis de riesgos realizado y que, ni mucho menos, resulta legalmente exigible a las actividades desarrolladas por las operadoras de telecomunicaciones. Pero, aunque se admitiese que el doble factor fuera necesario, afirma que su desactivación no respondió a un acto intencionado, sino que deriva de una actuación incorrecta de un usuario cualificado, el programador encargado de una actualización, cuya probabilidad de producirse es ínfima. Este desafortunado incidente se ve acompañado de una pérdida de la confidencialidad de las credenciales de un usuario legítimo. En su opinión, la probabilidad de que ambas situaciones se diesen de forma combinada en el tiempo era prácticamente nula, por lo que no puede inferirse de esta circunstancia, tan absolutamente impredecible e improbable, una falta de diligencia por parte de XFERA. En definitiva, manifiesta que XFERA ha demostrado su compromiso con la seguridad de los datos y con la mejora continua de sus sistemas de protección, en línea con el principio de responsabilidad proactiva establecido en el RGPD. Considera que la rápida respuesta de la empresa, junto con las mejoras implementadas, refuerzan la idea de que, incluso en un entorno de alta actividad como el de la aplicación VFR, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/102 XFERA ha cumplido con sus obligaciones de medios y ha actuado de forma diligente en todo momento. 4.2. De la improcedencia de interpretar las medidas reactivas como insuficiencia preventiva. Alega que la capacidad de una empresa para aprender de un incidente y ajustar sus mecanismos de protección es precisamente lo que garantiza una mayor seguridad para los datos de los clientes en el futuro. Considera que penalizarla por ello, evidencia una dinámica donde, desde una perspectiva enfocada en el resultado, se obvian las medidas implementadas por la mercantil víctima de la brecha de seguridad. Afirma que este proceder es contrario a lo dispuesto en las Directrices 04/2022 del CEPD, según las cuales la cooperación de la empresa, su capacidad para rectificar y mejorar tras un incidente, y su cumplimiento con el principio de responsabilidad proactiva deben influir positivamente en la cuantificación de la sanción final. De ahí que entienda que las medidas reactivas adoptadas por XFERA no deban ser vistas como un reconocimiento de insuficiencia en las medidas originales, sino como una adaptación lógica y proactiva a las circunstancias derivadas de la brecha. Y que afirmar que la adopción de medidas de mejora es un reconocimiento de una falta de diligencia previa, llevaría al absurdo de que un responsable del tratamiento no evolucionase su sistema de gestión por temor a que pueda considerarse por esta Agencia como un reconocimiento de una negligencia, lo que provocaría su completa desactualización. Considera que esta concepción es absolutamente errónea y contraria al espíritu de los procesos de mejora continua y el propio RGPD. De esta forma, expone que el mismo artículo 32 requiere que se lleve a cabo este proceso de evolución de las medidas, requiriendo en su apartado 1.
14. d)que exista: “un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento”. Por tanto, considera que haber adoptado medidas adicionales no supone ninguna prueba de la inadecuación de las anteriores, constando en el caso que nos ocupa únicamente un incidente aislado, frente a los millones de procedimientos realizados por esta entidad en la que ha quedado acreditada la eficacia de las medidas. QUINTA. - DE LA INADMISIÓN DE LA RESPONSABILIDAD OBJETIVA. Alega que la AEPD en su Propuesta de Resolución, identifica dos infracciones, con base, exclusivamente, en un escueto análisis del resultado, considerando que la concurrencia de una brecha de seguridad conlleva la automática consideración de que no se adoptaron medidas adecuadas y, por tanto, a juicio de la AEPD, surgiendo automáticamente la responsabilidad directa por parte de XFERA. Considera que la AEPD establece así una obligación de resultado, sin entrar a valorar el tratamiento de datos personales efectivamente realizado. Afirma que la imputación de dos infracciones muy graves, con la imposición de la consiguiente sanción, fundamentada exclusivamente en un resultado indeseado en un supuesto aislado supone adoptar un principio de responsabilidad objetiva en el ámbito sancionador, vetado por nuestro ordenamiento jurídico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/102 Expone que la AEPD parece confundir el concepto de responsabilidad proactiva con la obligación de resultado que impone la responsabilidad objetiva, independientemente de si media dolo o culpa por parte de XFERA. Concluye que al no haberse acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de XFERA no procede la identificación de la conducta en una infracción de la normativa de protección de datos personales por el mero hecho de haber sido víctima de un acto delictivo y, consecuentemente, no procede la imposición de ningún tipo de sanción. Considera que la presente Propuesta de Resolución no es ajustada a derecho, pues impone a XFERA una obligación de resultado, consistente en el establecimiento de medidas infalibles, al imputar una infracción del artículo 5.1 apartado
15. f)y del artículo 32 del RGPD basándose únicamente en el resultado que se produce por la actuación criminal de un tercero, sin atender a la diligencia utilizada y sin considerar el despliegue de medidas técnicamente adecuadas e implantadas. En el caso que nos ocupa, afirma que no hay indicios de que la empresa actuara de forma negligente. Considera que la información obrante en el expediente muestra lo contrario: XFERA implementó medidas preventivas razonables, como la monitorización constante de sus sistemas, lo que permitió detectar el acceso irregular. Expone que el incidente de seguridad se produjo debido a una operación técnica sobre la configuración del DNS, que permitía el acceso evitando el proxy de autenticación de VFR y que, por tanto, este fallo técnico no puede considerarse negligente, ya que se trató de un incidente aislado puntual (fruto de unos trabajos en curso) y no de una falta sistemática de seguridad. Además, añade que, tras la detección de la brecha, XFERA actuó con celeridad para mitigar los daños, notificando a la AEPD y a los afectados dentro de los plazos establecidos y adoptando medidas adicionales para reforzar su sistema de seguridad. Incide en que la actuación de XFERA tras el incidente demuestra un esfuerzo constante por minimizar los riesgos y proteger los derechos de los interesados. Por todo lo anterior, considera que la Propuesta de Resolución no resulta conforme a derecho, al imponer a XFERA una responsabilidad objetiva, consistente en la exigencia de adopción de unas medidas infalibles, no admisible por nuestro ordenamiento jurídico. SEXTA. - SOBRE LA EXISTENCIA DE UN CONCURSO MEDIAL. Insiste en que ante una sola acción ilícita que ha sido calificada con dos infracciones distintas, se infringe el principio non bis in ídem, consagrado en el artículo 31.1 de la Ley 40/2015. Afirma que no existe esa supuesta diferencia entre que un artículo se refiera a la infracción de la obligación de confidencialidad y otro a la adopción de medidas adecuadas, sino que ambos se refieren a la aplicación de medidas técnicas u organizativas apropiadas para garantizar la seguridad en el tratamiento de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/102 Considera que ambas infracciones se proyectan sobre una única conducta supuestamente infractora —la omisión o insuficiencia de medidas técnicas y organizativas adecuadas para proteger los datos personales—, cuya consecuencia directa es la pérdida de confidencialidad. No se trata, por tanto, en su opinión, de dos acciones diferenciadas que pudieran justificar sanciones autónomas, sino de una única acción con una única finalidad vulnerada: la seguridad de los datos personales. Solicita a la Agencia que, en aplicación de los principios de non bis in ídem, ante la concurrencia de un concurso medial o concurso de infracciones, proceda a calificar los hechos imputados exclusivamente como infracción del artículo 5.1
16. f)del RGPD, en la medida en la que es la infracción que se identifica como más grave, descartando la aplicación adicional del artículo 32 del RGPD, dejando ésta última sin efectos. SÉPTIMA. - SOBRE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN. Ratificándose en las previas alegaciones al Acuerdo de Inicio, considera que, habiendo sido XFERA. diligente en su actuación, no procede la imposición de sanción alguna. No obstante, para el hipotético caso de que se considerase la existencia de un supuesto incumplimiento de la normativa de protección de datos, considera que la sanción que pretende imponer la AEPD no resulta, en ningún caso, proporcional, tanto por su cuantía desproporcionada como por la aplicación incorrecta de los elementos moduladores de la responsabilidad Expone que la AEPD, al imponer una sanción tan elevada en el presente caso, parece pasar por alto el esfuerzo realizado por XFERA para minimizar los daños y reforzar sus medidas de seguridad tras la brecha. Este tipo de actuación debería ser valorada positivamente, en lugar de considerar la sanción como un mero castigo por la ocurrencia del incidente e, incluso, tratar de agravarlo por la adopción diligente de medidas complementarias. 7.1. Sobre la supuesta infracción del artículo 5.1.
17. f)RGPD. 7.1.1 Agravantes invocados por la AEPD. Sobre “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicio que hayan sufrido” Afirma que, de los ***CANTIDAD.3 notificados por la brecha de seguridad, solo ocho personas formularon reclamaciones y que, de dichas reclamaciones, ninguna acredita perjuicio económico o uso ilícito de los datos. En su opinión, la inexistencia de reclamaciones acreditativas de perjuicios concretos, la ausencia de vínculo causal con la brecha en los pocos casos que alegan afectación, y el carácter meramente especulativo de los daños invocados, desacreditan objetivamente la pretensión de agravar la infracción con base en unas repercusiones para los interesados que, en la práctica, no se han materializado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/102 La intencionalidad o negligencia en la infracción. Considera que no resulta acreditado que XFERA haya incurrido en una falta de diligencia sancionable, y menos aún que tal conducta pueda ser calificada de grave. Lejos de ello, afirma que los hechos muestran una actuación proporcionada, técnica y organizativamente coherente, que excluye toda intencionalidad o negligencia grave. Por ello, considera que resulta improcedente aplicar la circunstancia agravante. Sobre las categorías de los datos de carácter personal afectados por la infracción. Alega que la aplicación del agravante del artículo 83.2.
18. g)RGPD carece de base jurídica y fáctica, incurre en duplicidad sancionadora y constituye una extensión indebida de un precepto que debe reservarse a supuestos de tratamiento de datos especialmente sensibles. En consecuencia, solicita que se elimine dicha circunstancia de la valoración agravatoria de la infracción. Sobre toda infracción anterior cometida por el responsable o el encargado del tratamiento. Expone que la AEPD sostiene que deben considerarse como agravantes las resoluciones sancionadoras dictadas en procedimientos anteriores contra esa entidad, concretamente los expedientes PS/00027/2021, PS/00448/2020 y PS/00104/2020. Sin embargo, afirma que esta apreciación resulta improcedente por varias razones que afectan tanto a su relevancia jurídica como a su adecuación fáctica al caso que nos ocupa. En primer término, porque las resoluciones PS/00448/2020 y PS/00104/2020 hacen referencia a hechos ocurridos en los años 2019 y 2020 y en segundo lugar porque la propia lógica del sistema sancionador exige un mínimo de actualidad en la conducta precedente para ser valorada como indicio de reincidencia o tendencia. Afirma que atribuirles dicho valor resultaría, en la práctica, improcedente, en la medida en la que no guardan vinculación con el presente supuesto de hecho. Sobre la vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Considera que no concurre la circunstancia agravante prevista en el artículo 76.2.
19. b)LOPDGDD, ya que: • No existe una relación directa entre el tratamiento ordinario de datos personales por parte de XFERA y el incidente objeto del procedimiento. • El hecho generador de la brecha es una acción delictiva externa que convierte a esta entidad en sujeto pasivo de una conducta ajena. • La aplicación automática del agravante desnaturaliza su finalidad y vulnera el principio de proporcionalidad y de tipicidad sancionadora. 7.2 Sobre la supuesta Infracción del artículo 32 RGPD. 7.2.1 Agravantes invocados por la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/102 Sobre la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido. Reitera que la entidad ha cumplido diligentemente con dicho mandato, adoptando medidas conforme al principio de responsabilidad proactiva del artículo 24 RGPD, incluyendo protocolos de respuesta rápida, notificación oportuna y colaboración plena con la autoridad de control. Considera que el incidente de seguridad fue causado por agentes externos maliciosos, no por una actuación negligente o deliberada de esta entidad, lo que refuerza que no existió una cesión o uso ilícito de los datos por parte del responsable, sino una conducta ilícita de terceros frente a la cual se actuó con la diligencia debida. Alega que no consta en el expediente perjuicio alguno acreditado, ni material ni inmaterial, sufrido por los interesados afectados, lo cual impide considerar que se haya producido una afectación real, efectiva y concreta del derecho fundamental, más allá de un riesgo hipotético que fue gestionado y mitigado por esta entidad conforme a los estándares del RGPD. Sobre la intencionalidad o negligencia en la infracción. Considera que se ignoran por completo los límites técnicos razonables de cualquier sistema de seguridad, así como el marco legal aplicable, que no exige una invulnerabilidad absoluta, sino un despliegue proporcionado de medidas ajustadas al riesgo. En esencia, insiste en que la brecha no fue consecuencia de una omisión deliberada o de una ausencia de medios, sino de un encadenamiento excepcional de factores que no podía preverse razonablemente, incluso en escenarios de gestión avanzada del riesgo. En cualquier caso, como ya ha señalado, manifiesta que la ausencia de consecuencias reales debería llevar a una valoración más prudente de la gravedad del incidente, especialmente cuando la entidad afectada adoptó de forma inmediata medidas de contención, notificó a la Agencia y a los interesados, y revisó de forma exhaustiva sus sistemas para prevenir futuras incidencias. Sobre toda infracción anterior cometida por el responsable o el encargado del tratamiento. Expone que el expediente no aporta elementos propios ni diferenciados que permitan sostener una agravación específica en el contexto del artículo 32, más allá de lo ya alegado de forma general sobre la supuesta falta de diligencia. Por tanto, considera que mantener la agravación en este apartado con base en una justificación genérica y ya replicada implica una vulneración del principio de motivación suficiente y no reiterativa en el ejercicio de la potestad sancionadora. En consecuencia, entiende que no procede aplicar la agravante del artículo 83.2.
20. b)RGPD en relación con la presunta infracción del artículo 32, por tratarse de una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/102 valoración idéntica a la ya impugnada y por no aportar la AEPD justificación adicional ni específica que sustente su aplicación diferenciada en este contexto. Sobre la vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Alega que la AEPD reitera la aplicación del agravante relativo a la vinculación de la actividad del responsable con el tratamiento de datos personales, esta vez en el contexto del artículo 32 RGPD, sin introducir elementos nuevos que justifiquen su aplicación diferenciada. Afirma que esta duplicidad incurre en una valoración reiterativa que, en la práctica, multiplica el efecto sancionador a partir de una misma base fáctica, lo que resulta contrario al principio de proporcionalidad. Además, tal y como ha argumentado a lo largo del presente procedimiento, en el presente supuesto, entiende que la existencia de una brecha de seguridad provocada por un ataque externo no guarda relación directa con la actividad comercial ordinaria de XFERA ni con la forma en que esta trata los datos en su operativa diaria. Insiste en que la actividad de tratamiento no fue origen ni causa del incidente, y menos aún un factor agravante del mismo. Considera que aplicar el agravante sobre esta base desvirtúa su finalidad y genera un efecto automático que vacía de contenido su valoración casuística. Sobre las atenuantes no apreciadas por la Agencia. Expone que, conforme al principio de proporcionalidad sancionadora, resulta imprescindible que, junto a la gravedad de los hechos, se valoren también todas las circunstancias atenuantes que concurran en el caso, volviéndolas a invocar. 1) Medidas correctoras adoptadas para mitigar las consecuencias de la brecha (art. 83.2.c RGPD) 2) No afectación de categorías especiales de datos personales (art. 83.2.g RGPD) 3) Cooperación activa con la Agencia Española de Protección de Datos (art. 83.2.f RGPD) 4) Adhesión a códigos de conducta y mecanismos de certificación (art. 83.2.j RGPD) Alega que la compañía cuenta con certificaciones reconocidas internacionalmente, aprobados con arreglo al artículo 42, tales como la ISO 27001, de Sistema de Gestión de Seguridad de la Información; e ISO 27701, de Gestión de la Privacidad de la Información; cuyas evidencias se aportan como Documento n.º 8 y Documento n.º 9, respectivamente. Asimismo, se aporta el certificado, como Documento n.º 10, correspondiente a la certificación del Esquema Nacional de Seguridad nivel Alto de XFERA. Además, afirma que XFERA se encuentra entre los operadores de telecomunicaciones que suscribieron con AUTOCONTROL sendos Códigos de Conducta, conforme al artículo 40 del RGPD, uno de Tratamiento de Datos en la actividad publicitaria (Documento n.º 11) y otro para la resolución de controversias de protección de datos en el sector de las comunicaciones electrónicas (Documento n.º 12). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/102 5) Inexistencia de beneficio económico derivado del incidente (art. 83.2.k RGPD) Por último, solicita la apertura del periodo probatorio en el que sean admitidos y practicados los siguientes medios de prueba: • Pericial, a realizar por J.J.J. y L.L.L., ambos Profesores titulares de la Universidad de ***LOCALIDAD.1, y cuyo ámbito, detallado en la Carta de aceptación de encargo que se anexa como Documento n.º 13, se referirá al análisis de las medidas de seguridad de XFERA que pudiesen ser de interés en relación con este procedimiento. Indica que este informe está siendo redactado en la actualidad, y será aportado a esta digna Agencia a la mayor brevedad, al amparo de lo previsto en el artículo 76.1 de la LPAC. Por todo lo expuesto, solicita a la AEPD que tenga por formuladas las anteriores alegaciones, por aportados los documentos que se facilitan y por propuestos los indicados medios de prueba y previos los trámites oportunos: I. Dicte resolución por medio de la cual señale el archivo del Procedimiento n.º 07113/2023, con base en la existencia de un procedimiento penal en curso que afecta de forma sustancial a los hechos probados sobre los que versa el presente expediente. II. Subsidiariamente, dicte resolución por medio de la cual señale el archivo del Procedimiento n.º 07113/2023, debido a ausencia de culpa o negligencia de XFERA. III. Subsidiariamente a todo lo anterior, en el caso de que la AEPD resuelva en contra de la fundamentación jurídica que sostiene XFERA, solicita a la AEPD que tenga en cuenta las circunstancias atenuantes fundamentadas en las anteriores alegaciones y, consecuentemente, culmine el procedimiento mediante un apercibimiento y, en última instancia, si considera que procede la imposición de una sanción, modere o module la recogida en la Propuesta de Resolución, atendiendo a los argumentos manifestados en el cuerpo del presente escrito de alegaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: A.A.A., B.B.B., C.C.C., D.D.D., E.E.E., F.F.F., G.G.G. y H.H.H., interpusieron reclamaciones ante la Agencia Española de Protección de Datos, contra XFERA MÓVILES, S.A.U., con NIF A82528548. Los motivos en que basan sus reclamaciones son los siguientes: Reclamación 1, fecha de entrada 2 de abril de REGAGE23e00021932536, con los siguientes datos asociados: - 2023 y registro Reclamante: A.A.A. Reclamado: XFERA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/102 - - Hechos según manifestaciones de la parte reclamante:” He recibido correo del proveedor de telefonía indicando que terceras personas han accedido a datos personales con el objeto de suplantación de identidad, razón por la cual, quiero interponer demanda, ya que no han garantizado la seguridad e integridad de la información personal que se les ha suministrado.” Aporta captura con correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 1 de abril de 2023 con información sobre un incidente de seguridad que afectó a sus datos personales. Reclamación 2, fecha de entrada 8 de abril REGAGE23e00022985593, con los siguientes datos: - - - y registro de 2023 y registro Reclamante: C.C.C. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” YOIGO remitió a sus clientes un correo electrónico informativo con fecha 6 de abril de 2023, a las 14:07 horas, en el que se nos comunicaba tales circunstancias (correo que adjunto al presente escrito), y que pude constatar al contactar con el servicio de atención al cliente de la operadora en la que confirman que mis datos se han visto afectados, desde el nombre y dirección, hasta el DNI o el número de la cuenta corriente. “ Aporta captura de pantalla de correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 6 de abril de 2023 comunicando el incidente de seguridad y la afectación de sus datos personales.” Reclamación 4, con fecha de entrada 10 de REGAGE23e00023074494, con los siguientes datos: - 2023 Reclamante: B.B.B. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” Brecha de seguridad en la base de datos de clientes de Yoigo; terceras personas se han hecho con datos personales míos, sin mi autorización, con el riesgo que conlleva. Dicha posible brecha se me informo ayer 07/04/2023 por correo electrónico y se me ha confirmado hoy día 8 de abril mediante llamada telefónica al número ***TELÉFONO.2, número que se me indicaba en el correo y que me han confirmado por Twitter, de Yoigo donde se me ha indicado que los datos sustraídos son, como mínimo, mi nombre, número de identificación, teléfono y número de cuenta bancaria”. Aporta captura de pantalla con la información recibida por parte de Yoigo comunicando el incidente de seguridad. Reclamación 3, fecha de entrada 10 de abril REGAGE23e00023162950, con los siguientes datos: - de abril de 2023 y registro Reclamante: D.D.D. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” En el mes de marzo se me ha añadido un coste en la factura del teléfono de 1.99. Al contactar con Yoigo me dicen que no saben de donde procede y que lo único que saben es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/102 - que se dado de alta en tienda física de Yoigo. Me dan un teléfono (***TELÉFONO.1) para que pueda aclarar importe. Es una empresa que protección de datos, pero yo no he contratado. Tampoco me dicen de donde ha salido el alta. Me informan que puedo enviar correo para dar de baja. (***EMAIL.2) para dar de baja una póliza que nunca he contratado. El importe no me lo devolverán. Días más tarde recibo mail de Yoigo donde especifica que ‘debemos ponernos en contacto contigo para informarte que hemos experimentado un incidente, por el cual terceras personas ajanes a nuestra organización pueden haber accedido a algunos de tus datos personales...’ Aporta captura de pantalla de correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 6 de abril de 2023 con la información sobre el incidente de seguridad y la afectación de datos personales.” Reclamación 5, con fecha de entrada 23 de abril de REGAGE23e00025932054, con los siguientes datos asociados: - - y registro Reclamante: E.E.E. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” Me dirijo a ustedes con relación al robo de datos personales que ha sufrido mi compañía telefónica, XFERA MOVILES SAU, con nombre comercial YOIGO.A pesar de ser uno de sus clientes, no he recibido ninguna información sobre qué datos míos se han visto comprometidos. Por tanto, me gustaría hacer una reclamación por el tratamiento de mis datos personales. Solicito que se me informe qué datos míos se han visto comprometidos y cómo se han visto afectados, teniendo en cuenta que también se pueden haber visto comprometidos los datos de las líneas de las que soy titular siendo 3 líneas móviles y 1 línea fija. Además, solicito que se tomen las medidas necesarias para garantizar que esto no vuelva a suceder. Asimismo, considero que he sufrido daños y perjuicios como resultado de este incidente y solicito que se me indemnice adecuadamente por ello, teniendo en cuenta además como he indicado anteriormente que soy titular de 4 líneas telefónicas en la compañía y se pueden haber visto comprometida también información de las mismas. “ Aporta: o Captura de pantalla de correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 6 de abril de 2023 con la información sobre el incidente de seguridad y la afectación de datos personales. o Copia de DNI, copia del contrato con la compañía y factura de servicios. Reclamación 6, con fecha de entrada 23 de abril de REGAGE23e00026221929, con los siguientes datos asociados: - 2023 2023 y registro Reclamante: F.F.F. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” Debido al ciberataque sufrido por Yoigo a principios de marzo, me informan que mis datos PERSONALES podrían haber sido expuesto (nombre, apellidos, números de teléfono, DNI, CUENTA BANCARIA, etc.) a ciberdelincuentes. Debido a esto, desde hace 2-3 semanas he recibido phishing muy sofisticado, pero eso no es lo grave. Lo grave, es que mi cuenta bancaria corresponde a un banco vasco C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/102 - muy pequeño, y debido a que les han sustraído mis datos, los ciberdelincuentes saben perfectamente a que banco corresponde mi cuenta bancaria (por el IBAN). Por este motivo, el phishing que estoy recibiendo a todas horas, no solo es sofisticado, sino que está totalmente teledirigido a mi porque conocen todos los datos que arriba menciono. Estoy tremendamente afectado y con el temor de cualquier día caer en la trampa, porque he visto mucho phishing, pero este es muy sofisticado. Como cliente de Yoigo, me veo tremendamente perjudicado y gracias a a esta empresa, vivo con la angustia de caer en alguna trampa y perder mi patrimonio. La presente reclamación es debido a que Yoigo no ha hecho una correcta custodia de mis datos personales y esto me está provocando graves daños psicológicos por las razones antes expuestas. Es curioso, que, dentro de mi contrato, hay 3 líneas más, pero la única que recibe el phishing soy yo, porque soy el titular del contrato y de la cuenta bancaria. Es una evidencia, que este ataque no responde al azar. “ Aporta captura de pantalla de correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 5 de abril de 2023 con la información sobre el incidente de seguridad y la afectación de datos personales. Reclamación 7, con fecha de entrada 11 de mayo de 2023 y registro REGAGE23e00030222022, con los siguientes datos asociados: - - Reclamante: G.G.G. Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” El día 2 de abril de 2023, recibo un mail de dicha empresa Yoigo que aporto como prueba documental adjunta al presente escrito, en virtud de la cual, se me pone en conocimiento de la existencia de un ciberataque en la citada empresa, lo que ha motivado que mis datos personales tanto propios como los de mi familia que figurasen almacenados pudieran haber quedado expuestos frente a terceros de forma indebida. Tras llamar al número de teléfono que figura en el mail no me facilitaron más información que la que ya consta en el mail aportado (no concretando qué datos en particular serían o si ha sido en grado de tentativa o efectivamente se ha consumado una intromisión indebida, y por supuesto tampoco admiten ninguna reparación o indemnización por ello al cliente). Desde dicha fecha vengo recibiendo mensajes fraudulentos como por ejemplo un mail manifestando que tengo un paquete esperando, o algunos SMS suplantando mi Banco manifestando que tengo un problema en mi cuenta, lo que claramente se infiere que se trata de mensajes fraudulentos o phishing. El perjuicio consistente en que puedan suplantarme o el temor a un potencial futuro uso indebido de sus datos personales, cuya existencia haya sido demostrada por el interesado, puede constituir un daño moral que genere derecho a indemnización “ Aporta captura de pantalla de correo electrónico recibido desde la dirección ***EMAIL.1 en fecha 2 de abril de 2023 con la información sobre el incidente de seguridad y afectación de datos personales. Reclamación 8, con fecha de entrada 30 de mayo de 2023 y registro REGAGE23e00034386550, con los siguientes datos asociados: - Reclamante: H.H.H. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/102 - - Reclamado: XFERA Hechos según manifestaciones de la parte reclamante:” Soy cliente de Yoigo. En abril recibí un mail en el que se me comunicaba que TODOS los datos de los clientes habían sido filtrados. Solicité que me dijeran explícitamente qué datos. Este grupo ha infringido el RGPR y la LOPDGDD al no custodiar debidamente la información requerida para contratar sus servicios y desde ahora mi identidad puede ser manipulada para fines ilícitos y por tiempo indeterminado. Me gustaría acogerme al amparo de la AEPD ya que esta filtración supone una situación de vulnerabilidad personal crítica por las incorrectas medidas de seguridad tomadas por la empresa Yoigo-GRUPO MASMOVIL - XFERA MOVILES, S.A.U. “ Aporta: o Captura de pantalla del correo inicial recibido desde la dirección ***EMAIL.1 en fecha 3 de abril de 2023 con información sobre el incidente de seguridad y afectación de datos personales. o Captura de pantalla de correo enviado por el reclamante a la dirección ***EMAIL.3 solicitando información adicional sobre el incidente. o Captura de pantalla de correo de respuesta recibido desde la dirección ***EMAIL.3 con el siguiente contenido: “En relación con el incidente, le informamos que hemos detectado un acceso no autorizado a una de las aplicaciones que dan soporte a nuestro canal presencial que permite la visualización de ciertos datos, como datos identificativos, de contacto, información de los servicios contratados con nosotros y el IBAN. Como indicábamos en la comunicación, es posible que estos datos sean utilizados para intentar usurpar su personalidad, principalmente ante nosotros, si bien hemos modificado nuestras políticas para evitar dicha circunstancia. También le informamos que solo con la información accedida no debería ser posible, por ejemplo, contratar ningún servicio (puesto que requiere de un mandato SEPA) ni acceder a su cuenta bancaria. En todo caso, le recomendamos que tenga cuidado con correos electrónicos, SMS o llamadas que pueda recibir de remitentes desconocidos o que no se identifiquen claramente, en especial si le solicitan códigos, claves de acceso o datos de tarjeta de crédito. En caso de que detecte cualquier actividad sospechosa, le recomendamos que se ponga en contacto con su entidad bancaria y denuncie los hechos a la policía. También puede ponerse en contacto con el Instituto Nacional de Ciberseguridad (INCIBE) en el número 017 o consultar su sitio web ***URL.1. Esperamos haber resuelto sus cuestiones, en cualquier caso, estamos a su disposición” SEGUNDO: Previamente a estas reclamaciones, el 31 de marzo de 2023, XFERA se puso en contacto con la AEPD para realizar la notificación de la quiebra de seguridad de datos personales relacionada con las reclamaciones anteriores. Con fecha 28 de abril de 2023 y registro de entrada REGAGE23e00027432375, XFERA amplió la información sobre la quiebra. De su contenido se extrae la siguiente información relevante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/102 - Los datos no estaban cifrados, anonimizados o protegidos de forma ininteligible. Descripción de la brecha: “(…).” Número aproximado de personas físicas sobre las que se realizan operaciones de tratamiento referidas al tratamiento sobre el que se ha producido la brecha de datos personales: ***CANTIDAD.1 Afectados ***CANTIDAD.2 Fecha de detección de la brecha: 28/03/2023 Fecha de inicio de la brecha: 05/03/2023 Fecha en la que se dio por resuelta la brecha: 03/04/2023 Se comunicó a ***CANTIDAD.3. Fecha en la que se informó: 10/04/2023 TERCERO: En relación con el vector de entrada de la brecha, ha quedado constatado que (…). En fecha 19 de abril de 2023, XFERA procedió a presentar una denuncia en relación con los hechos que propiciaron la brecha ante el Cuerpo Nacional de Policía, (…). CUARTO: (…) QUINTO: Ha quedado constatado que la brecha afectó a un volumen aproximado de ***CANTIDAD.4 de la entidad, filtrándose la siguiente tipología de datos personales: Nombre y apellidos, fecha de nacimiento, número de NIF, correo electrónico, números de teléfono, IBAN de la cuenta asociada y dirección física. El IBAN de la cuenta asociada se encontraba sin cifrar ni anonimizar, como se desprende de la notificación de brecha realizada por XFERA, con registro de entrada REGAGE23e00027432375, en la que consta: “Referido específicamente a los datos afectados por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? No” El dato del IBAN, que se mostraba en VRF antes de la brecha, era utilizado por XFERA, según ha informado a esta Agencia, no para autenticar al cliente, sino para procesos de negocio que requerían que se informase al cliente del número de cuenta en el que se estaba cargando la factura al mismo. SEXTO: Entre las medidas reactivas se ha constatado: o (…) SÉPTIMO: Entre las medidas preventivas ha quedado constatado: - (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/102 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el