1/13 Procedimiento Nº PS/00291/2018 RESOLUCIÓN: R/01546/2018 En el procedimiento sancionador PS/00291/2018, instruido por la Agencia Española de Protección de Datos a D. A.A.A., por presunta infracción a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 10/10/2017, la Directora de la Agencia Española de Protección de Datos acuerda iniciar las presentes actuaciones de investigación en relación con la información publicada en medios de comunicación sobre una brecha de seguridad en las bases de datos del SINDICATO UNIFICADO DE POLICIA (en lo sucesivo SUP), que ha permitido el acceso a datos personales. SEGUNDO: Durante las presentes actuaciones se han realizado investigaciones a D. A.A.A. (en lo sucesivo A.A.A.) y al SUP, teniendo conocimiento de lo siguiente: 1. Con fecha 30/10/2017, desde la Inspección de Datos se accede a diversas noticias publicadas en las direcciones webs ***URL.1, ***URL.2 y ***URL.3 en las que se pone de manifiesto el acceso por parte del Grupo de Anonymous denominado La Nueve a los datos de 17.700 asistentes a cursos organizados por el SUP. También se informa que La Nueve asegura llevar infiltrada en la web desde el año 2013. 2. Con fecha 22/05/2018 desde la Inspección de Datos se realiza una búsqueda en Google sobre el ataque a la web de formación de SUP comprobando que figura un Twitter firmado por LA NUEVE (@La9deAnom) donde se informa del acceso a 17.790 alumnos de todos los Cuerpos y se publica una página con los datos de nombre y apellidos y parcialmente anonimizados los datos de dirección de correo electrónico y NIF, entre otros. 3. Con fecha 01/12/2017 se requiere información al SUP y de la respuesta recibida se desprende: Con fecha 10/10/2017, SUP comparece ante la Unidad de Investigación Tecnológica de la Policía para poner de manifiesto que han tenido conocimiento de que la página web de SUP ha sido hackeada y que el 09/10/2017 el usuario de Twitter @La9deAnon ha revindicado el ataque sufrido. Por este motivo han realizado comprobaciones y verificado que la plataforma atacada corresponde con un servidor propiedad de Neocom Technology & Services, empresa de cursos por Internet contratada por SUP para ofrecer cursos de formación a sus afiliados y terceros a través del dominio aula.supformación.es del SUP. SUP manifiesta que en el ataque han conseguido acceder a un usuario con permisos de administración de la Plataforma de tal manera que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 podían gestionar los cursos, incluso han creado un falso curso con un video propagandístico. SUP manifiesta que el servicio contratado con la empresa no almacena datos personales de los afiliados al Sindicato, no obstante, la compañía tiene acceso a esta información para el buen funcionamiento de los cursos a través de un sistema de “webservices” mediante cifrado seguro SSL. Asimismo, manifiestan que la compañía les ha informado del posible acceso a datos de 1108 usuarios, que se han registrado directamente en los cursos, generalmente usuarios externos, y no a través de la base de datos del SUP. SUP manifiesta que en los twitters publicados por Anonymous se indica que acceden desde 2013 a la plataforma de los cursos y parece que puede ser posible debido a los pantallazos publicados en Twitter por lo que no pueden especificar la cantidad de datos a los que se ha podido acceder. SUP manifiesta que en la publicación de los datos accedidos por Anonymous se muestran contraseñas que no están en uso desde hace al menos dos años. SUP manifiesta que la compañía Neocom Technology & Services era administrada por A.A.A. el cual consta como responsable de los ficheros utilizados por la Plataforma de cursos contratada ya que los datos son facilitados directamente por los usuarios a la Plataforma y los datos de los sindicados no se almacenan en estos servidores. SUP manifiesta que con motivo del ataque han rescindido el contrato en fecha 01/12/2017. 4. Con fecha 01/02/2017 se requiere información a A.A.A. y de la respuesta recibida el 20/02/2017 se desprende: En el año 2010, el SUP suscribió un contrato con Neocom Technology & Services, empresa de la que era administrador A.A.A. que fue rescindido, por cese de actividad de la compañía, el 31 de mayo de 2016 y continuó prestando los servicios directamente A.A.A.. Respecto del ciberataque. A.A.A. manifiesta que el día 09/10/2017 a las 12:02 tiene conocimiento de la creación de un curso falso con una imagen y en la web www.elconfidencial.com se hacen eco de la noticia en la que el grupo La Nueve de Anonymous reivindica el ataque sufrido y la publicación de varios pantallazos y datos personales pixelados. A las 13:00 horas se cierra el acceso a la web de aula.supformacion.es. Una vez detectada la incidencia se procede al estudio de los registros de accesos (losg’
- s)verificando que las direcciones IP desde las que se ha producido el ataque durante las 9:14 y las 10:2 corresponden a dos IP’s una de ellas ubicada en Rumania y la otra en Francia. Asimismo, se obtiene constancia de que se ha accedido utilizando una cuenta de administrador de la Plataforma de cursos y con ella a datos personales de los alumnos sindicados ya que aunque los datos no son almacenados en el servidor que soporta la Plataforma son susceptibles C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 de acceder a ellos a través de la cuenta de administrador. El número de posibles registros accedidos es de 16.676. Además, se ha podido acceder datos de unos 1.500 alumnos no afiliados: nombre y apellidos, DNI, dirección, teléfono, dirección de correo electrónico, nombre de usuario y contraseña encriptada. A.A.A. ha aportado copia de la denuncia interpuesta ante la Policía en fecha 11/10/2017 en relación con el ciberataque en el que se indican las IP’s desde las que se ha producido. A.A.A. ha aportado Registro de Incidencias donde se recoge el ciberataque y donde se indica que se procede al cierre de la web y que no es necesario realizar una recuperación de datos ya que no se ha detectado ninguna pérdida. A.A.A. manifiesta que no tiene constancia de la utilización de los datos accedidos por terceros 5. Con fecha 22/05/2018 desde la Inspección de Datos se realiza un acceso a la dirección web www.aula.supformación.es sin obtener resultado. El acceso devuelve el mensaje de NOT FOUND. TERCERO: Con fecha 27/07/2018/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a A.A.A. por presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- h)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, A.A.A. mediante escrito de 31/07/2018 ha reconocido su responsabilidad en los hechos. No obstante, en fecha 21/11/2018 A.A.A. presento nuevo escrito a través del cual comunicaba una serie de hechos que estimaba de importancia a la hora de ser tenidos en cuenta con la finalidad de que se archivara el procedimiento, o subsidiariamente, que se modificara la sanción en principio acordada. QUINTO: En fecha 23/11/2018, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se archivara a A.A.A. por la presunta infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma. A.A.A., transcurrido el plazo señalado para alegaciones, no presentó escrito alguno. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 PRIMERO. El 30/10/2017, desde la Inspección de Datos de la AEPD se accede a noticias publicadas en las direcciones webs ***URL.1, ***URL.2 y ***URL.3, en las que se pone de manifiesto el acceso por parte del Grupo de Anonymous denominado La Nueve a los datos de 17.700 asistentes a cursos organizados por el SUP. Asimismo, se informa que La Nueve asegura llevar infiltrada en la web desde el año 2013. SEGUNDO. El 22/05/2018, desde la Inspección de Datos de la AEPD se realiza búsqueda en Google sobre el ataque a la web relativa a la formación del SUP comprobando que figura un Twitter firmado por La Nueve (@La9deAnom) donde se informa del acceso a 17.790 alumnos de los diferentes Cuerpos y se publica una página con los datos del nombre y apellidos y, parcialmente anonimizados, los datos de dirección de correo electrónico y NIF, entre otros. TERCERO. El 15/01/2018 la representación del SUP ha indicado que “contrato con Solutions for e Learnning Administrada por A.A.A.…, la responsabilidad del tratamiento y del mantenimiento de la Plataforma”; que el SUP no es titular de la base de datos ya que su titular y propietario es A.A.A. con quien se contrató un servicio de formación on line; que como responsable del tratamiento A.A.A. y como consecuencia del ataque informo al SUP de las actuaciones llevadas a cabo denunciando los hechos ante la Comisaria de Policía de Pozuelo de Alarcón (Madrid) y la notificación de la incidencia por violación de la seguridad de los datos de carácter personal; que se puso en conocimiento de la Dirección General de la Policía los hechos ocurridos y como consecuencia de los mismos el contrato que ligaba a A.A.A. con el SUP fue rescindido con fecha 01/12/2017. CUARTO. A.A.A. mediante escrito de 20/02/2018 ha informado que el año 2010, el SUP suscribió un contrato con Neocom Technology & Services, empresa de la que era administrador, para cubrir las necesidades de la Secretaria de Formación y Servicios del SUP, para la creación alojamiento y mantenimiento de una plataforma online donde poder ofrecer cursos a través de internet o intranet; contrato que fue rescindido por cese de actividad de la citada empresa el 31/05/2016, si bien A.A.A. continuo prestando los servicios directamente como autónomo. QUINTO. Consta que A.A.A. el 11/10/2017 formuló ante la Comisaria de Policía de Pozuelo de Alarcón (Madrid) denuncia en relación con la quiebra de seguridad y hackeado de la página aula.supformracion.es aportando dos hojas impresas, así como tres ficheros de logs, uno general y otros dos relativos a las IPs desde las que se han producido los ataques ***IP.1 y ***IP.2 de Rumania y Francia respectivamente; y un archivo con incidencias del documento de seguridad. SEXTO. Consta aportado Registro de notificación de incidencias nivel medio y alto con fecha 09/10/2017 por el responsable del fichero o tratamiento A.A.A., como consecuencia de violación de seguridad de datos personales, fichero Alumnos SUP, en el que se detalla la incidencia producida, consecuencias y efectos, medias correctoras aplicadas, procedimientos realizados, etc. En el documento A.A.A. señala que “A las 12:02 del 09/10/2017, en comunicación con … del SUP que han hackeado la página aula.supfolrmacion.es. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Efectivamente habían subido un curso falso con una imagen. El confidencia.es publica la información. La autoría la revindica “LA Nueve” un grupo vinculado a Annymous. Url la notica: ***URL.1/ Publican varios pantallazos y datos pixelados de la base de datos Sobre la 13:00 se cierra la página al público Analizando los logs del sistema descubro que se han conectado desde las siguientes direcciones IP a las 9:14 y las 10:28: ***IP.1 ***IP.2 Corresponden a IP de Rumania y Francia. Hemos tenido constancia de que desde una de las cuentas administrativas de la plataforma se ha accedido de manera ilícita y reiterada a datos personales de alumnos custodiados en la misma. (…)” SEPTIMO. Consta Acta de Comparecencia de la representante del SUP ante la Unidad de Investigación Tecnológica de la Comisaría General de la Policía Judicial a través de la cual informa del ataque padecido. OCTAVO. El 22/05/2018 por la Inspección de Datos se realiza un acceso a la dirección web www.aula.supformación.es sin obtener resultado. El acceso devuelve el mensaje de NOT FOUND. NOVENO. A.A.A. mediante escrito de 31/07/2018 ha reconocido su responsabilidad en los hechos acontecidos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. “principio de seguridad de los datos” El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
- c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
- a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 En este mismo sentido se pronuncia el artículo 2
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por A.A.A., correspondiendo adoptar las calificadas de nivel medio alto, en atención al tipo de información básica que contiene, tal como se especifica en el artículo 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 93 y 94 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establece: “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. Y el artículo 94, “Copias de respaldo y recuperación” “1. Deberán establecerse procedimientos de actuación para la realización como mínimo semanal de copias de respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos. 2. Asimismo, se establecerán procedimientos para la recuperación de los datos que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción. Únicamente, en el caso de que la pérdida o destrucción afectase a ficheros o tratamientos parcialmente automatizados, y siempre que la existencia de documentación permita alcanzar el objetivo al que se refiere el párrafo anterior, se deberá proceder a grabar manualmente los datos quedando constancia motivada de este hecho en el documento de seguridad. 3. El responsable del fichero se encargará de verificar cada seis meses la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos. 4. Las pruebas anteriores a la implantación o modificación de los sistemas de información que traten ficheros con datos de carácter personal no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad. Si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de seguridad”.
- b)Autenticación: procedimiento de comprobación de la identidad de un usuario.
- c)Contraseña: información confidencial, frecuentemente constituida por una cadena de caracteres, que puede ser usada en la autenticación de un usuario o en el acceso a un recurso.
- d)Control de acceso: mecanismo que en función de la identificación ya autenticada permite acceder a datos o recursos.
- e)Copia de respaldo: copia de los datos de un fichero automatizado en un soporte que posibilite su recuperación. También, el artículo 5.2.
- b)del Reglamento de desarrollo de la LOPD define la autenticación como el procedimiento de comprobación de la identidad de un usuario; el mismo artículo, letra h), define la identificación como el procedimiento de reconocimiento de la identidad de un usuario; y en la letra
- e)se refiere a la copia de respaldo como copia de los datos de un fichero automatizado en un soporte que posibilite su recuperación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 III El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo RGPD), que entro en vigor el 25/05/2018, establece que las violaciones de la seguridad de los datos personales pueden entrañar daños y perjuicios físicos, materiales o inmateriales para las personas físicas. Por consiguiente, tan pronto como el responsable del tratamiento tenga conocimiento de que se ha producido una violación de la seguridad de los datos personales debe, sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, notificar la violación de la seguridad de los datos personales a la autoridad de control competente, a menos que el responsable pueda demostrar, atendiendo al principio de responsabilidad proactiva, la improbabilidad de que la violación de la seguridad de los datos personales entrañe un riesgo para los derechos y las libertades de las personas físicas. El responsable del tratamiento debe comunicar al interesado sin dilación indebida la violación de la seguridad de los datos personales en caso de que puede entrañar un alto riesgo para sus derechos y libertades, y permitirle tomar las precauciones necesarias. La comunicación debe describir la naturaleza de la violación de la seguridad de los datos personales y las recomendaciones para que la persona física afectada mitigue los potenciales efectos adversos resultantes de la violación. Dichas comunicaciones a los interesados deben realizarse tan pronto como sea razonablemente posible y en estrecha cooperación con la autoridad de control, siguiendo sus orientaciones o las de otras autoridades competentes, como las autoridades policiales. Así, por ejemplo, la necesidad de mitigar un riesgo de daños y perjuicios inmediatos justificaría una rápida comunicación con los interesados, mientras que cabe justificar que la comunicación lleve más tiempo por la necesidad de aplicar medidas adecuadas para impedir violaciones de la seguridad de los datos personales continúas o similares. En el artículo 33 del RGPD establece la forma en que ha de notificarse una violación de la seguridad de los datos personales a la autoridad de control, determinando lo siguiente: “1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación. 2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento. 3. La notificación contemplada en el apartado 1 deberá, como mínimo: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13
- a)describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
- b)comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
- c)describir las posibles consecuencias de la violación de la seguridad de los datos personales;
- d)describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. 4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. 5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.” Por otro lado, el artículo 34 del Reglamento mencionado indica cuando es necesario informar de una violación de la seguridad de los datos personales al interesado, señalando lo siguiente: “1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida. 2. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b),
- c)y d). 3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes:
- a)el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;
- b)el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13
- c)suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados. 4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3.” IV En el presente caso, consta en los hechos probados que A.A.A. como responsable del fichero ha aportado el Registro de la notificación efectuada en relación con la quiebra producida el 08/10/2017, consecuencia de la violación a la seguridad de los datos personales relativo a un fichero de alumnos del SUP en la que se detalla la incidencia producida, sus consecuencias y efectos, las medias correctoras aplicadas, procedimientos realizados, etc. El denunciado expone detalladamente todas las actuaciones llevadas a cabo tras la detección de la quiebra o brecha de seguridad producida sin que se haya tenido noticia o constancia de la utilización por terceros de los datos personales, no detectándose perdidas de datos. En el documento aportado A.A.A. señala que a las 12:02 del día 09/10/2017, en comunicación con uno de los responsables del SUP le informa que habían hackeado la página aula.supformacion.es, que la autoría lo reivindica “LA Nueve”, grupo vinculado a Anonimus, publicando mensajes relacionados con el ataque. Tras las noticias se realizaron comprobaciones sobre los servicios, web, campus virtual, bases de datos, etc., no detectándose intrusión ni afectación de ningún tipo. Seguidamente como medida correctora se cerró la página al público, teniéndose constancia a través de los logs del sistema que se habían conectado desde direcciones IP de Rumania y Francia. De la documentación aportada se desprende que A.A.A. ha cumplido lo establecido en el RGPD al notificar la quiebra o brecha de seguridad detectada en la página del SUP, aún con anterioridad a ser plenamente aplicable el mencionado Reglamento. El plazo establecido de las 72 horas para notificar se cumplió con creces puesto que de dicha violación se tuvo noticias el 08/10/2017 y el 09/10/2017, a las 12:02 horas, en comunicación con un responsable del SUP se le informó que habían hackeado la página aula.supformacion.es constituyendo un riesgo para los datos de carácter personal alojados en la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Por otra parte, se hace necesario hacer referencia a otras circunstancias que concurren en el presente caso que atenúan más si cabe la culpabilidad del denunciado, como lo acredita que la única denuncia policial existente acerca de los hechos acaecidos fuera formulada por el propio denunciado ante la Comisaria de Policía de Pozuelo de Alarcón (Madrid), el 11/10/2017, de lo que se infiere que en ningún momento pretendiera ocultar los hechos, para así evitar cualquier perjuicio que de la quiebra se pudiera ocasionar a terceras personas; que desde el mismo momento que tuvo conocimiento de los hechos notificara al SUP la incidencia producida, coordinándose con el citado sindicato y sus representantes a fin de minimizar los riesgos que pudieran producirse. Tampoco se ha tenido noticia de que se haya lesionado el derecho a la protección de datos de ninguna persona y que cuando ocurrieron los hechos la empresa que ofrecía el alojamiento de la plataforma de formación online del SUP, Neocom Thecnology & Services, S.L. había sido disuelta, siendo el denunciado en calidad de trabajador autónomo quien asumió el servicio que aquella venía prestando. A mayor abundamiento, como consecuencia de esta última circunstancia expresada, el cierre y disolución de la empresa anterior, su situación económica es grave al contar con créditos pendientes de pago y numerosas deudas con la Administración Tributaria a lo que habría que sumar las cargas familiares que ha de soportar (esposa e hijos) y cuyas necesidades ha de atender mínimamente. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a D. A.A.A., con NIF ***NIF.1, por una presunta infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la misma norma. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es