PS-00288-2025

1/24  Expediente Nº: EXP202402154 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 6 de agosto de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A (en adelante, SFC), mediante el acuerdo que se transcribe: << ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: En fecha 21 de diciembre de 2023, se notificó a esta Agencia una brecha de datos personales de SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A, con NIF A79456232 (en adelante, S. F. CARREFOUR o SFC), relativa a un ciberincidente, con credenciales de usuario comprometidas, con exfiltración de datos personales de clientes entre los que se incluyen datos de medios de pago. Los hechos que se ponen en conocimiento de esta Autoridad son:  Información temporal: La brecha se inició el 17/12/

1. Fecha de detección: 19/12/
2.  Tipología de la brecha: Confidencialidad.  Tipo de incidente: Ciberincidente: Suplantación de identidad (phishing) / Compromiso de cuenta de usuario o administrador, Ciberincidente: Acceso no autorizado a datos en sistema de información (corporativo o servicio en internet).  Encargado: Ninguno implicado.  Referido específicamente a los datos afectados por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? No  Grado el que afectará a las personas: inconvenientes importantes  Resumen del incidente: “El 19.12 a las 09:27 se detecta un volumen anormal de peticiones (…). A las 13:15 se descubre que el atacante, utilizando 19 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 credenciales comprometidas (expuestas a través de una fuente ajena a SFC), (…). Hubo (...) peticiones satisfactorias al servicio afectado que se corresponderían con (...) clientes cuyos datos personales se vieron comprometidos. La fuga afecta a: datos básicos, de contacto, número de DNI económicos y financieros del cliente relativos al producto contratado, datos incompletos sobre medios de pago, ID de cliente y núm. socio de El Club Carrefour. Se resetean las credenciales y se notifica a los 19 clientes afectados. A las 16:20 se implanta un parche para impedir el consumo del servicio afectado. El día 20 se actualizan los datos del incidente, dando como resultado un total de (...) afectados. Tras las medidas implementadas, se confirma el bloqueo del ataque.”  Categorías de datos: (…)  Número de interesados afectados: (...)  Categorías de afectados: Clientes / Ciudadanos.  Comunicación a los afectados: No, pero serán informados a más tardar el 22/12/
3.  Implicaciones transfronterizas: No.  Brecha resuelta: Sí.  Método de detección de la brecha: Medios de detección implementados proactivamente por el responsable o encargado de tratamiento.  Se ha puesto el incidente en conocimiento de las autoridades policiales: Sí. SEGUNDO: Como consecuencia de los hechos conocidos, en fecha 6 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Se detallan en el informe de inspección los siguientes antecedentes que constan en los sistemas de información: - Reclamación 1: o Fecha de entrada: 22 de diciembre de 2023 o Reclamante: A.A.A. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 o Hechos según manifestaciones de la parte reclamante: La persona reclamante manifiesta que la entidad reclamada, a fecha 22/12/2023, le ha informado vía correo electrónico de que ha sufrido una brecha de datos en la que se han visto expuestos sus datos personales. En particular, la comunicación informa de que se han visto comprometidos datos personales básicos, de contacto y número de DNI entre otros datos. o Documentación relevante aportada por la parte reclamante:  Correo electrónico recibido de la entidad. Esta reclamación es la primera que se ha recibido en relación con la brecha de seguridad. - Reclamación 2: o Fecha de entrada: 11 de enero de 2024 o Reclamante: B.B.B. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. o Hechos según manifestaciones de la parte reclamante: La persona reclamante manifiesta que ha recibido a fecha 10/01/2024 una comunicación de la entidad reclamada vía correo postal ordinario, en la que le informa de que ha sufrido una brecha de datos en la que se han visto expuestos sus datos personales. En particular, la comunicación informa de que se han visto comprometidos datos personales básicos, de contacto y número de DNI entre otros datos. o Documentación relevante aportada por la parte reclamante:  - Copia de la carta que ha recibido de la entidad. Reclamación 3: o Fecha de entrada: 26 de enero de 2024 o Reclamante: C.C.C. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. o Hechos según manifestaciones de la parte reclamante: La persona reclamante manifiesta que la entidad reclamada, a fecha 22/12/2023, le ha informado vía correo electrónico de que ha sufrido una brecha de datos en la que se han visto expuestos sus datos personales. En particular, la comunicación informa de que se han visto comprometidos datos personales básicos, de contacto y número de DNI entre otros datos. o Documentación relevante aportada por la parte reclamante:  Correo electrónico que ha recibido de la entidad. - Reclamación 4: o Fecha de entrada: 6 de febrero de 2024 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 o Reclamante: D.D.D. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. o Hechos según manifestaciones de la parte reclamante: La persona reclamante manifiesta que ha recibido una comunicación de la entidad reclamada vía correo postal ordinario, en la que le informa de que ha sufrido una brecha de datos en la que se han visto expuestos sus datos personales. En particular, la comunicación informa de que se han visto comprometidos datos personales básicos, de contacto y número de DNI entre otros datos. o Documentación relevante aportada por la parte reclamante:  - Copia de la carta que ha recibido de la entidad. Reclamación 5: o Fecha de entrada: 9 de abril de 2024 o Reclamante: E.E.E. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. o Hechos según manifestaciones de la parte reclamante: La parte reclamante manifiesta haber recibido una carta remitida por la parte reclamada en la que se le comunica que han sufrido "un acceso ilícito a nuestros sistemas (...) se ha accedido a datos personales básicos, de contacto, número de DNI entre otros datos". La parte reclamante señala que con fecha 5 de abril de 2024 ha sido objeto de un intento de vishing (confirmado telefónicamente con la parte reclamada). Los atacantes le facilitan "sin fallar un solo dato: mi nombre y apellidos completos, mi dirección completa, mi n.º DNI y los cuatro últimos dígitos de mi cuenta bancaria dónde cargan los pagos". o - Documentación relevante aportada por la parte reclamante:  Copia de la carta que ha recibido de la entidad.  Capturas de pantalla con el registro de llamadas recibidas. Reclamación 6: o Fecha de entrada: 10 de mayo de 2024 o Reclamante: F.F.F. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. o Hechos según manifestaciones de la parte reclamante: La persona reclamante manifiesta que con motivo de una brecha de datos sufrida por la entidad reclamada ha empezado a recibir correos electrónicos maliciosos con intentos de phishing suplantando a dicha entidad y en los que figuran su nombre y apellidos, dirección física, código y fecha de alta de cliente y número de tarjeta de fidelidad. o C/ Jorge Juan, 6 28001 – Madrid Documentación relevante aportada por la parte reclamante: www.aepd.es sedeaepd.gob.es 5/24  - Correos electrónicos recibidos. Reclamación 7: o Fecha de entrada: 10 de mayo de 2024 o Reclamante: G.G.G. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. o Hechos según manifestaciones de la parte reclamante: La parte reclamante manifiesta haber recibido un correo electrónico de la entidad reclamada advirtiéndole de que podía recibir un correo spam y de que no hiciera clic en los enlaces. La parte reclamante recibe correo electrónico malicioso con intento de phishing suplantando a dicha entidad en el que figura su nombre y apellidos, dirección física, código y fecha de alta de cliente y número de tarjeta de fidelidad. o - Documentación relevante aportada por la parte reclamante:  Correo electrónico de advertencia recibido de la entidad.  Correo electrónico malicioso recibido. Reclamación 8: o Fecha de entrada: 10 de mayo de 2024 o Reclamante: H.H.H. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. o Hechos según manifestaciones de la parte reclamante: La parte reclamante manifiesta que ha empezado a recibir correos electrónicos maliciosos con intentos de phishing suplantando a dicha entidad y en los que figuran su nombre y apellidos, dirección física, código y fecha de alta de cliente y número de tarjeta de fidelidad. o Documentación relevante aportada por la parte reclamante:  - Correos electrónicos recibidos. Reclamación 9: o Fecha de entrada: 11 de mayo de 2024 o Reclamante: I.I.I. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. o Hechos según manifestaciones de la parte reclamante: La parte reclamante manifiesta que los días 8 y 10 de mayo ha recibido tres correos electrónicos maliciosos con intentos de phishing suplantando a dicha entidad y en los que figuran su nombre y apellidos, dirección física, código y fecha de alta de cliente y número de tarjeta de fidelidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 o Documentación relevante aportada por la parte reclamante:  - Correos electrónicos recibidos. Reclamación 10: o Fecha de entrada: 14 de mayo de 2024 o Reclamante: J.J.J. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. o Hechos según manifestaciones de la parte reclamante: La parte reclamante manifiesta que ha recibido correo electrónico malicioso con intento de phishing suplantando a dicha entidad y en el que figura su nombre y apellidos, fecha de nacimiento, dirección física, código de cliente y número de tarjeta de fidelidad. o Documentación relevante aportada por la parte reclamante:  - Correo electrónico recibido. Reclamación 11: o Fecha de entrada: 16 de mayo de 2024 o Reclamante: K.K.K. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A. o Hechos según manifestaciones de la parte reclamante: La persona reclamante manifiesta que ha empezado a recibir correos electrónicos maliciosos con intentos de phishing suplantando a la entidad reclamada y en los que figuran su nombre y apellidos, dirección, código y fecha de alta de cliente y número de tarjeta de fidelidad. o Documentación relevante aportada por la parte reclamante:  - Correo electrónico recibido. Reclamación 12: o Fecha de entrada: 11 de junio de 2024 o Reclamante: L.L.L. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. o Hechos según manifestaciones de la parte reclamante: La persona reclamante manifiesta que ha recibido correo electrónico malicioso con intento de phishing suplantando a la entidad reclamada y en el que figuran su nombre y apellidos, n.º DNI, código de cliente y número de tarjeta de fidelidad. o Documentación relevante aportada por la parte reclamante:  - Correo electrónico recibido. Reclamación 13: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 o Fecha de entrada: 12 de junio de 2024 o Reclamante: M.M.M. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. o Hechos según manifestaciones de la parte reclamante: La persona reclamante manifiesta que ha recibido correo electrónico malicioso con intento de phishing suplantando a la entidad reclamada y en el que figuran su nombre y apellidos, n.º DNI, código de cliente y número de tarjeta de fidelidad. o Documentación relevante aportada por la parte reclamante:  - Correo electrónico recibido. Reclamación 14: o Fecha de entrada: 8 de julio de 2024, trasladada por la Autoridad Catalana de Protección de Datos. o Reclamante: N.N.N. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. o Hechos según manifestaciones de la parte reclamante: La persona reclamante manifiesta que ha recibido un correo electrónico de CarrefourPASS, que entiende que ha sido remitido suplantando a dicha entidad, en el que aparecen su nombre, apellidos, DNI, código de cliente y número de tarjeta de fidelidad, entendiendo que sus datos personales han sido expuestos a terceros. o Documentación relevante aportada por la parte reclamante:  - Correo electrónico recibido. Reclamación 15: o Fecha de entrada: 8 de septiembre de 2024 o Reclamante: O.O.O. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. o Hechos según manifestaciones de la parte reclamante: La persona reclamante manifiesta que ha recibido dos correos electrónicos, aparentemente de ‘phising’ que utilizan la imagen de Carrefour Pass, entidad de la que es cliente, e incluyen datos personales suyos (nombre, apellidos, DNI, teléfono, dirección, CP, n.º de tarjeta de fidelidad y n.º de cliente). o Documentación relevante aportada por la parte reclamante:  - Correos electrónicos recibidos, en fecha 29 de agosto y 7 de septiembre de
4. Reclamación 16: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24 o Fecha de entrada: 22 de diciembre de 2024 o Reclamante: P.P.P. o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A. o Hechos según manifestaciones de la parte reclamante: La parte reclamante denuncia haber sido víctima de un intento de estafa, tras la recepción de una llamada telefónica realizada por una presunta empleada de la parte reclamada que simulaba realizarse desde un número de línea legítimo vinculado a ésta. En la llamada, esa persona puso de manifiesto que conocía el nombre, apellidos, fecha de nacimiento, email y antiguo NIE de la parte reclamante. Le insta a que facilite un código que le llega a su dispositivo para, supuestamente, anular una solicitud de crédito. o Documentación relevante aportada por la parte reclamante:  Respuesta de la parte reclamada a la parte reclamante confirmándole que se trata de un intento fraudulento de captar datos que ya fue detectado y gestionado por la entidad. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos Respecto del servicio afectado por la brecha SFC es un establecimiento financiero de crédito que tiene la categoría de entidad de pago híbrida, regulada y supervisada por el Banco de España y calificada por éste como entidad “pequeña y no compleja”. Entre los productos que comercializa se encuentra la tarjeta Pass, así como otros productos de créditos al consumo, como son los préstamos personales o los préstamos mercantiles (financiación de productos). La brecha tuvo lugar en el servicio de backend denominado (…). (…). (…). Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final - 19/12/2023, 09:27 horas: (…). - 19/12/2023, 10:00 horas: Tras un primer análisis conjunto de los equipos de IT y de Seguridad de la Información, (…). - 19/12/2023, 10:10 horas: Los equipos de IT y de Seguridad de la Información bloquearon (…), y continuaron con el análisis del incidente y las posibles afecciones. - 19/12/2023, 13:15 horas: Tras concluir el segundo análisis en profundidad, se observaron los siguientes hechos y se llevaron a cabo las medidas correctoras oportunas: o (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 o (…). (…). SFC desarrolló y desplegó en producción un parche a las 16:29 del mismo día 19 de diciembre que remediaba la vulnerabilidad detectada. (…), el volumen de llamadas al servicio volvió a estar dentro de los umbrales normales y no se detectó que ningún otro servicio distinto de la (…) se viera afectado por el incidente. (…). - 19/12/2023 19:06 horas: (…). - 19/12/2023, 19:10 horas: (…). - 20/12/2023, 18:32 horas: (…). - 21/12/2023 18:05 horas: Se informó de la brecha a la AEPD. - 21/12/2023, 18:49 horas: Se interpuso la correspondiente denuncia a la Brigada de Delitos de la Policía Nacional. En resumen, las medidas de seguridad inmediatas adoptadas para paralizar el ataque fueron: - (…). - (…). - (…). Documento 5 de la entrada con n.º de registro REGAGE24e
5. Respecto de las causas que hicieron posible la brecha (…). (…). (…). (…). Documento 1 de la entrada con n.º de registro REGAGE24e
6. Respecto de la vulnerabilidad explotada durante la brecha En el escrito de respuesta de la entrada con n.º de registro REGAGE25e00018954067, SFC indica que la vulnerabilidad explotada en la brecha no está identificada en la base de vulnerabilidades del NIST al no tratarse de una vulnerabilidad detectada en una solución de mercado. (…). El proveedor de servicio de Gestión de Vulnerabilidades de SFC ((…)), basándose en el estándar propuesto por el NIST en su cálculo de CVSS (Common Vulnerability Score System) versión 3.1, ha obtenido un CVSS Score de 8.5, que corresponde con una severidad alta. Se aporta como Documento 1 de la entrada con n.º de registro REGAGE25e00018954067 la documentación justificativa del cálculo. Se aplicaron los criterios establecidos en la Política de Seguridad en Aplicaciones. En esta política se clasifican las aplicaciones en tres niveles C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 distintos: aplicaciones de sensibilidad baja, aplicaciones de sensibilidad media y aplicaciones críticas. El activo afectado por la brecha está clasificado como crítico sobre la base de tres criterios: la naturaleza de la información, el tipo de servicio prestado y la exposición del activo. A su vez dependiendo de la clasificación de las aplicaciones, se aplicarán ciertos controles. (…). Asimismo, cuando SFC tuvo conocimiento de la explotación de la vulnerabilidad, implementó distintas medidas, como la activación de un procedimiento de emergencia e implementación de un parche que se publicó en el entorno de producción el mismo día de detección de la brecha. Se aporta como Documento 2 la Política de Seguridad de Aplicaciones de la entrada con n.º de registro REGAGE25e
7. Respecto de las auditorías técnicas SFC señala que realiza auditorías técnicas (pentests) de sus activos de forma periódica y describe el criterio de selección de los activos a auditar en el escrito de respuesta de la entrada con n.º de registro REGAGE24e00063724654: a) (…). b) (…). c) (…). d) (…). (…). (…). (…). (…). Se aporta como Documento 2 de la entrada con n.º de registro REGAGE24e00063724654 el último pentest realizado con carácter previo a la brecha que se realizó entre el 9 y 17 de noviembre de
8. Se aporta como Documento 3 de la entrada con n.º de registro REGAGE24e00063724654 cuadro acreditativo del estado de las vulnerabilidades en cuestión. (…). Respecto de las credenciales comprometidas en la brecha Como ya se ha descrito, el 19 de diciembre de 2023, SFC detecta un volumen anormal de peticiones al servicio que devuelve información de cliente en los canales digitales de aquellos clientes que disponen de una tarjeta PASS: Los accesos se produjeron desde 19 cuentas de usuario distintas y desde 10 direcciones IP, tal y como quedó registrado en el log de accesos de (...). […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 La mayoría de las direcciones corresponden al mismo proveedor de servicios de internet y rango de red. […] Se registraron un total de 19 identificadores de usuario distintos con los cuales se estaría intentando lograr algún tipo de acceso no autorizado. Se ha investigado en distintos foros especializados y a través de distintas herramientas la posible fuga o exposición de información de dichos usuarios, teniendo en cuenta los distintos identificadores de usuario y números de NIF proporcionados, sin obtener ningún hallazgo relacionado. […] Documento 2 de la entrada con n.º de registro REGAGE24e
9. Con relación a las credenciales comprometidas, SFC indica que se trata de cuentas de cliente cuyo proceso de alta es realizado por el propio cliente de manera autónoma desde los canales telemáticos sin la asistencia ni intervención personal de SFC. (…). Respecto de los datos afectados (…). (…). SFC indica que de los (...). Tipologías de datos afectados: - (…). - (…). Respecto de la comunicación enviada a los afectados Se aporta como Documento 6 de la entrada con n.º de registro REGAGE24e00033575481 la comunicación enviada a las personas afectadas. Se indica que en aquellos casos en los que las personas afectadas disponían de una dirección de correo electrónico, la comunicación se envió por correo electrónico. En el resto de los casos, la comunicación se envió por correo postal. Se aporta como Documento 4 de la entrada con n.º de registro REGAGE24e00063724654 la confirmación del envío del correo electrónico (…). De los (...), que son aquellos afectados que tienen la condición de titulares de los productos de SFC. En relación con la fecha del envío, tal y como acredita el Documento 4: los correos electrónicos se enviaron el 22 de diciembre de 2023 y las comunicaciones postales, al implicar una mayor carga logística y haber varios festivos con motivo de la época del año, se enviaron los días 29 de diciembre de 2023 y 2 y 3 de enero de
10. (…) tras ponderar los siguientes factores: o C/ Jorge Juan, 6 28001 – Madrid Las más limitadas categorías de datos personales afectados en relación con los titulares y el grado de riesgo que suponía para sus derechos y libertades. www.aepd.es sedeaepd.gob.es 12/24 o El hecho de que los titulares hubieran sido informados. o Las dificultades logísticas para contactar con los cotitulares afectados (SFC no cuenta con la dirección postal de los cotitulares y, como hemos expuesto, la dirección de correo electrónico es un dato que el cotitular no debe facilitar de forma obligatoria). En el marco de las actuaciones de investigación, se solicita a SFC explicación de si la brecha fue comunicada a los siguientes reclamantes relacionados en el presente informe: A.A.A., B.B.B., D.D.D., E.E.E., F.F.F., G.G.G., H.H.H., I.I.I., J.J.J., K.K.K., L.L.L. y M.M.M.. SFC acredita haber comunicado la brecha a todos ellos excepto a M.M.M. que no le notificó la brecha por el hecho de ser cotitular. Documento 5 de la entrada con n.º de registro REGAGE24e
11. Respecto de las medidas de seguridad implantadas Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido. - - (…) o (…). o (…). o (…). o (…). o (…). o (…). o (…):  (…)  (…).  (…) (…) o (…). o (…). (…). o (…). (…). o (…). Se aporta la última infografía enviada a empleados previa al incidente, así como la última campaña de phishing lanzada en abril de
12. Documento 4 de la entrada con número de registro REGAGE24e
13. Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 (…). (…). Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido. - - Medidas de seguridad técnicas o (…). o (…). Otras medidas o (…). o (…). (…). o (…). o (…). o (…). o (…). o (…). o (…). Documento 5 de la entrada con n.º de registro REGAGE24e
14. Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo SFC manifiesta que no ha habido recurrencia de hechos ni eventos análogos ni antes ni después de la comunicación de la brecha. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que S. F. CARREFOUR realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, entre ellos datos identificativos, documentales, de contacto, relativos a los servicios contratados y datos económicos, financieros y de pago. S.F. CARREFOUR realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/24 IV Obligación incumplida. Artículo 5.1.f) del RGPD. Integridad y confidencialidad. La letra f) del artículo 5.1 del RGPD propugna: "
15. Los datos personales serán: (…) f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." El principio de confidencialidad e integridad recogido en el artículo 5.1 f) del RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de manera que se garantice la confidencialidad e integridad de los datos personales, evitando accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Esto incluye implementar medidas técnicas y organizativas apropiadas de todo tipo para proteger los datos frente a posibles brechas de datos personales, tanto externas como internas. Estas medidas deben ser apropiadas para evitar que se materialicen los riesgos en los derechos y libertades de las personas físicas que puedan derivarse del tratamiento, y deben ser revisadas y actualizadas periódicamente para garantizar su eficacia. En el presente caso, consta la producción de una brecha de datos personales. Conforme a la información de la que se dispone, incluida en la notificación a esta AEPD por S.F. CARREFOUR de dicha brecha, así como la incluida en la información obtenida en las actuaciones previas de investigación llevadas cabo, consta que en fecha 19 de diciembre de 2023, a raíz de un volumen anómalo de peticiones al servicio (…), servicio empleado por la aplicación móvil, S.F. CARREFOUR detectó la brecha de datos personales. Tal y como consta en el informe de actuaciones previas de investigación y en la misma notificación de la brecha remitida a esta Agencia: “El 19.12 a las 09:27 se detecta un volumen anormal de peticiones (…), principalmente, en el día 18.
16. A las 10:00 se identifica que el 94% de las peticiones provienen de 10 IPs y se confirma el ataque. A las 10:10 se bloquean las IPs. A las 13:15 se descubre que el atacante, utilizando 19 credenciales comprometidas (expuestas a través de una fuente ajena a SFC), ha obtenido (…). Hubo (...) peticiones satisfactorias al servicio afectado que se corresponderían con (...) clientes cuyos datos personales se vieron comprometidos. (…).” Conforme a información remitida a esta Agencia por S.F. CARREFOUR durante las actuaciones de investigación, la tipología de datos que se han visto afectados es la siguiente: - (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24 Con relación a las credenciales comprometidas, SFC indica que se trata de cuentas de cliente cuyo proceso de alta es realizado por el propio cliente de manera autónoma desde los canales telemáticos sin la asistencia ni intervención personal de SFC. (…). La suma de clientes arroja un total de (...) afectados. En el informe de actuaciones previas de investigación que consta en el expediente se detalla cuál fue el origen de la brecha: “(…). (…). (…).” El informe de actuaciones previas de investigación constata que (…). Pueden observarse claras deficiencias en las medidas establecidas en relación con el acceso indebido por un tercero a las cuentas de los clientes. El informe de actuaciones previas de investigación constata (…). En relación con este aspecto, S.F. CARREFOUR en su contestación a la inspección de esta Agencia, apunta que el servicio de (…). En definitiva, las deficiencias que condujeron a que pudiera ejecutarse el ciberataque y que este tuviera éxito fueron: -Configuración vulnerable desde la implantación del servicio