1/128 Expediente N.º: EXP202210465 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ANTECEDENTES.......................................................................................................... 4 PRIMERO:................................................................................................................. 4 SEGUNDO:................................................................................................................ 5 TERCERO:................................................................................................................. 5 CUARTO:................................................................................................................... 5 QUINTO:.................................................................................................................... 6 SEXTO:.................................................................................................................... 16 SÉPTIMO:................................................................................................................ 16 OCTAVO:.................................................................................................................. 16 Previa. Sobre la incoación del expediente sancionador a Telefónica.................... 16 I. Sobre los hechos que motivan la incoación del presente acuerdo de inicio de procedimiento sancionador:.................................................................................. 18 II. Sobre los fundamentos de derecho.................................................................. 32 NOVENO:................................................................................................................. 58 DÉCIMO:.................................................................................................................. 66 UNDÉCIMO:............................................................................................................. 66 Previa. Sobre la continuación del presente expediente sancionador.................... 66 Primera. Aclaración sobre la descripción de hechos probados realizada por la AEPD.................................................................................................................... 67 Segunda. Del incidente en ***APP.1 y las medidas de seguridad: Telefónica contempla medidas técnicas y organizativas que resultan apropiadas para garantizar una seguridad adecuada de los datos personales de sus clientes, incluida la protección contra el tratamiento no autorizado o ilícito........................ 67 Tercera. Superación de la esfera de responsabilidad de Telefónica: circunstancias excepcionales que han hecho posible la superación por terceras personas de las políticas de seguridad implantadas....................................................................... 69 Cuarta. Sobre las cuestiones previas que han sido planteadas por la AEPD en el marco de este expediente..................................................................................... 69 Quinta. Sobre las presuntas infracciones cometidas por parte de Telefónica: vulneración del principio de tipicidad.................................................................... 69 Sexta. La conducta de Telefónica no es antijurídica............................................. 70 Séptima. Ausencia de culpabilidad....................................................................... 70 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/128 Octava. Incumplimiento del principio de proporcionalidad.................................... 70 HECHOS PROBADOS................................................................................................ 71 PRIMERO: Primera notificación de brecha de datos personales.............................. 71 SEGUNDO: Segunda notificación de brecha de datos personales.......................... 72 TERCERO: Obran en el expediente los siguientes correos electrónicos:.................73 CUARTO: Cronología y descripción del ataque:....................................................... 74 1.- Fecha de inicio del ataque: 9 de septiembre de 2022...................................... 75 2. Período del 16 al 20 de septiembre de 2022:................................................... 75 3. 28 de septiembre de 2002................................................................................ 76 QUINTO: Actividades de tratamiento afectadas por el incidente y sobre la aplicación ***APP.1................................................................................................................... 76 SEXTO: Causas que hicieron posible la brecha....................................................... 77 SÉPTIMO: medidas de seguridad previas al incidente............................................. 78 NOVENO: Medidas posteriores al incidente de seguridad....................................... 79 DÉCIMO: Análisis de riesgos de la aplicación afectada por la brecha de datos personales:............................................................................................................... 80 DÉCIMOPRIMERO: Metodología del análisis de riesgos......................................... 81 DÉCIMO SEGUNDO: Ausencia de análisis de riesgos para los derechos y libertades de las personas y de evaluación de Impacto en protección de datos....................... 82 DÉCIMO TERCERO: Ausencia de doble factor de autentificación........................... 82 DÉCIMO CUARTO: Número de personas afectadas y tipo de datos afectados.......82 DECIMO QUINTO: Comunicación a los afectados................................................... 82 FUNDAMENTOS DE DERECHO................................................................................. 83 I Competencia.......................................................................................................... 83 II Cuestiones previas................................................................................................ 83 III Sobre la naturaleza de los datos afectados por la quiebra................................... 84 IV Alegaciones al acuerdo de inicio.......................................................................... 87 Primero. - Consideraciones previas y aclaración sobre la descripción de los hechos realizada por la AEPD en el Acuerdo de Inicio......................................... 87 Segundo. - Del incidente en ***APP.1 y las medidas de seguridad. Telefónica considera que contempla medidas técnicas y organizativas que resultan apropiadas para garantizar una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito........................ 91 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/128 Tercero.- Superación de la esfera de responsabilidad de Telefónica: Circunstancias excepcionales que han hecho posible la superación por terceras personas de las políticas de seguridad implantadas............................................. 96 Cuarta.- Sobre las cuestiones previas planteadas por la AEPD............................ 97 Quinto.- Sobre las presuntas infracciones cometidas por parte de Telefónica. Vulneración del principio de tipicidad.................................................................. 107 V Alegaciones a la propuesta de resolución........................................................... 123 Previa. Sobre la continuación del presente expediente sancionador..................123 Primera. Aclaración sobre la descripción de hechos probados realizada por la AEPD.................................................................................................................. 125 Segunda. Del incidente en ***APP.1 y las medidas de seguridad: Telefónica contempla medidas técnicas y organizativas que resultan apropiadas para garantizar una seguridad adecuada de los datos personales de sus clientes, incluida la protección contra el tratamiento no autorizado o ilícito....................... 125 Tercera. Superación de la esfera de responsabilidad de Telefónica: circunstancias excepcionales que han hecho posible la superación por terceras personas de las políticas de seguridad implantadas..................................................................... 128 Cuarta. Sobre las cuestiones previas que han sido planteadas por la AEPD en el marco de este expediente................................................................................... 128 Quinta. Sobre las presuntas infracciones cometidas por parte de Telefónica: vulneración del principio de tipicidad................................................................... 128 Sexta. La conducta de Telefónica no es antijurídica............................................ 133 Séptima. Ausencia de culpabilidad..................................................................... 134 Octava. Incumplimiento del principio de proporcionalidad.................................. 135 VI Integridad y confidencialidad.............................................................................. 136 VII Tipificación de la infracción del artículo 5.1.
- f)del RGPD................................... 138 VII Sanción por la infracción del artículo 5.1.
- f)del RGPD...................................... 139 IX Artículo 32 del RGPD......................................................................................... 140 X Tipificación de la infracción del artículo 32 del RGPD......................................... 146 XI Sanción por la infracción del artículo 32 del RGPD............................................ 147 XII Medidas............................................................................................................ 148 RESUELVE:............................................................................................................... 148 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/128 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de septiembre de 2022 se notificó a la División de Innovación Tecnológica de la Agencia Española de Protección de Datos una brecha de seguridad de los datos personales remitido por TELEFONICA DE ESPAÑA SAU con NIF A82018474 (en adelante, Telefónica) como responsable del tratamiento. En el escrito recibido se informa de lo siguiente: - Fecha de inicio de la brecha: 16 de septiembre de 2022. Fecha de detección de que la brecha afecta a datos personales: 23 de septiembre de 2022. Fecha de resolución: 20 de septiembre de 2022. Los datos no están cifrados. Resumen del incidente: “(…)” Número aproximado de personas físicas sobre las que se tratan datos personales, referido exclusivamente al tratamiento sobre el que se ha producido la brecha de datos personales: 6.000.000 Número de personas que han visto sus datos afectados por la brecha: 1.021.253 Categorías de datos afectados: Datos de contacto, credenciales de acceso o identificación (usuario y / o contraseña). Como consecuencia del incidente, se ha visto afectada la Confidencialidad No se ha puesto en conocimiento de las autoridades policiales. La comunicación a los afectados está pendiente de decidir. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 30 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos (SGID) realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. TERCERO: Tras el análisis de la notificación de brecha de datos personales y en virtud de las funciones y potestades de esta Agencia a las que refiere el artículo 47 de la Ley Orgánica 3/2018 así como el artículo 58 del Reglamento (UE), con fecha 30 de septiembre de 2022 se ordena a Telefónica que lleve a cabo la comunicación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/128 brecha de datos personales a los interesados conforme al artículo 34 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), sin dilación indebida, para que, una vez tengan conocimiento de esta, puedan adoptar las medidas que consideren oportunas para evitar aquellos riesgos que pudieran afectar a su persona. Frente a dicha Resolución, Telefónica presentó con fecha 13 de octubre de 2022 recurso de reposición, alegando que no se disponía del análisis forense completo y que los datos afectados por el incidente se consideran no identificables para un tercero ajeno a telefónica, el cual fue desestimado mediante Resolución de 20 de octubre de 2022. CUARTO: Con fecha 26 de octubre de 2022 se recibe nueva notificación de la brecha que completaba la notificación inicial. Esta nueva notificación recoge la siguiente información: - En la descripción se indica: “(…)” - Se afirma que la fecha de inicio de la brecha es el 09 de septiembre de 2022. Se afirma que el incidente se detecta el 20 de septiembre por la advertencia de un miembro de la organización. Se afirma que la brecha se da por resuelta el 20 de septiembre de 2022. Se afirma que se detecta el 23 de septiembre de 2022 que la brecha ha afectado a datos personales. Se indica que, en total, se han visto afectadas un total de 1.407.257 personas, todas ellas residentes en España. Se afirma que se podría haber evitado la brecha adoptando medidas adicionales, pero que no se produce por deficiencia de medidas actuales. Se afirma que las nuevas medidas reactivas implantadas han sido “***MEDIDA.1” y “***MEDIDA.2”. Se afirma que se dispone de Análisis de Riesgos y Registro de Incidentes. Se afirma que se ha puesto el incidente en conocimiento de las autoridades policiales. Se afirma que se comunicará a las personas afectadas a más tardar el 28 de octubre de 2022. No existe encargado de tratamiento afectado por la brecha. - Junto a la notificación se aporta la siguiente documentación: - “Informe incidente de privacidad acceso no autorizado a ***APP.1” QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/128 los derechos digitales (en adelante, LOPDGDD), teniendo conocimiento de los siguientes extremos: Del análisis del documento “Informe incidente de privacidad acceso no autorizado a ***APP.1”, aportado por Telefónica en la segunda notificación de la brecha ante esta Agencia en fecha 26 de octubre de 2022 se extrae la siguiente información relevante: - - - - - - Los accesos ilícitos fueron detectados en una de las aplicaciones internas del portal del empleado de Telefónica denominado ***PORTAL.1 (***URL.1). El acceso a este portal era público desde internet y utilizaba método de autenticación basado en credenciales que cada empleado posee (usuario y contraseña). El 23 de septiembre de 2022 el CSIRT-TE (Equipo de respuesta a incidentes de seguridad de Telefónica) informa al DPO de Telefónica de un incidente de seguridad. Indican que es este mismo día cuando se confirma que las peticiones realizadas por los atacantes habían obtenido respuesta, confirmándose la afectación de datos personales, no obstante, se afirma también que en este instante se desconocía el listado completo de datos afectados y asociados a las numeraciones fijas que habían sido consultadas aleatoriamente por el atacante. Como acreditación de esto se aporta captura de pantalla de un correo electrónico interno enviado el 23 de septiembre de 2022 a las 22:17 por parte del equipo de seguridad (CSIRT) con el siguiente contenido: “(…)”. Se afirma que la información afectada fue la siguiente: teléfono fijo, datos técnicos y de configuración del Equipo de Cliente (…). Toda esta información se utilizaba para fines de soporte y mantenimiento al cliente por parte de los equipos técnicos de Telefónica. Se afirma que el día 20 de septiembre de 2022 fue realmente cuando se detecta por parte del equipo de ... un número de peticiones más elevada de lo habitual, que tras análisis realizado se obtuvo que eran efectuadas por parte del usuario ***USUARIO.1 a través del portal ***URL.1, (…), procediéndose a bloquear el usuario en la aplicación hasta analizar qué estaba provocando esas peticiones. Se aporta también captura de pantalla de un correo electrónico enviado por los responsables de ... este mismo día 20 de septiembre de 2022 a las 9:05 horas con el siguiente contenido: “(…)”. Se afirma textualmente lo siguiente “(…)” Se afirma que el día 21 de septiembre de 2022 se recibió aviso en el área de seguridad (CSIRT) por parte del usuario con el cual se habían realizado las peticiones masivas, notificando la incidencia de seguridad. Durante los días 21 y 22 de septiembre de 2022 desde este equipo de seguridad se analiza el caso (…) y se consulta a las áreas afectadas para obtener más información sobre el caso. Se afirma que el día 23 de septiembre de 2022, teniendo en cuenta la información recabada de las distintas áreas se convoca reunión de urgencia por parte del equipo de seguridad, en dicha reunión se obtienen evidencias de que se trataba de un incidente real, solicitando los logs de la aplicación afectada para su análisis por parte del equipo de seguridad, (...). Es este mismo día cuando desde el CSIRT- TE se informa preventivamente al DPD de Telefónica España. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/128 - - - - - Durante los días siguientes continuaron los análisis por parte del equipo de seguridad para detectar si se habían producido más accesos no autorizados, comprobándose el día 29 de septiembre de 2022 que hay una segunda intromisión sospechosa con un nuevo usuario comprometido (***USUARIO.2), se cambió la contraseña y se comunicó al empleado. Este día se procede a bloquear todos los usuarios con acceso a la aplicación ***APP.1 de forma preventiva. Se afirma que una vez finalizado los análisis forenses concluyen que los accesos maliciosos se dieron en tres bloques temporales, del 9 al 11 de septiembre, del 16 al 20 de septiembre y el 28 de septiembre, (…)”, todos estos accesos tenían como propósito obtener datos de equipamientos de clientes (…). Las peticiones maliciosas del día 28 de septiembre se detectaron por las medidas desplegadas por el equipo de seguridad, (…). Afirman que se había obtenido información de 1.612.926 numeraciones fijas que se correspondían con 1.407.257 personas físicas afectadas. En relación con la causa del incidente Telefónica afirma: “(…)”. En el informe del incidente Telefónica realiza una evaluación del nivel de riesgo de la brecha de seguridad siguiendo la guía de brechas de esta Agencia. De este análisis se extrae: - Se afirma que las categorías de datos afectados son: Teléfono fijo asociado a los siguientes datos técnicos y de configuración del equipo del cliente: (…). - Se afirma que estos datos afectados no tienen la misma consideración para Telefónica que para un tercero ajeno a la compañía, ya que para Telefónica la numeración sí es un dato seudónimo pero este dato no permite a un tercero identificar de forma directa o indirecta a un particular de forma razonable. - Se afirma que para Telefónica el número de teléfono fijo es un dato seudónimo en la medida que no puede atribuirse a un interesado sin utilizar información adicional con la que cuenta Telefónica. Sin embargo, se afirma que este dato no permite a un tercero identificar de forma directa o indirecta a una persona física de forma razonable, por lo que Telefónica concluye que no se puede considerar que se haya visto afectado por el incidente ningún dato personal que permita de forma razonable a un tercero identificar directa o indirectamente a una persona física. En relación con el resto de los datos filtrados sobre el equipamiento del cliente afirman que son datos que no permiten la identificación, ni si quiera al asociarse a un número de teléfono fijo: - La dirección MAC tan solo identifica un dispositivo; - El nombre de la red wifi (SSID) no está asociado de manera única a una numeración fija, sino que puede corresponder a más de una numeración; - Las contraseñas de la red Wifi (SSID) filtradas constan en el propio router sin cifrar, tratándose de una práctica comercial habitual. En el informe del incidente se realiza también un análisis de las posibles consecuencias para los afectados siguiendo la guía de la AEPD, concluyendo un nivel de severidad BAJO: “Las personas no se verán afectadas o pueden encontrar algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema (tiempo de reingreso de información, molestias, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/128 - - irritaciones, etc.”, y justificando para ello “que los datos obtenidos no pueden ser considerados datos identificables sin la aplicación de un esfuerzo desproporcionado para los terceros que han accedido a ellos sin autorización, y que entre los datos afectados no se encuentra información sensible considerada como tal por el RGPD”. y un nivel de probabilidad de materialización de las consecuencias BAJO o IMPROBABLE, atendiendo a los siguientes puntos: “1.- La red Wifi, en su configuración por detecto, se encuentra cifrada de extremo a extremo. 2.- El acceso a cada red wifi solo podría realizarse cuando el intruso se encuentre físicamente en la zona de cobertura del domicilio (dirección postal), dato que no se ha filtrado. 3.- Para que el intruso se encuentre físicamente en la zona de cobertura del domicilio de instalación del router sería necesario que el tercero contase con la dirección postal a la que corresponden las claves Wifi (dato que no se ha extraído de los sistemas de Telefónica) y 4.- Sería necesaria una acción adicional”. Se afirma que las actividades de tratamiento afectadas por la brecha son: (…) En relación con las medidas de seguridad preventivas afirman lo siguiente: (…) En relación con las medidas reactivas de mitigación afirman lo siguiente: (…) En relación con la fecha de detección afirman: - El día 23 de septiembre de 2022 es cuando desde el equipo del CSIRT, tras analizar logs de acceso confirman la afectación del listado de datos técnicos y de configuración de los equipos asociados a las numeraciones de teléfono fijo de clientes Telefónica. En relación con los medios de detección afirman: - Por parte del equipo de API Gateway se detectó que un número de peticiones más elevado de lo habitual realizada por un usuario hacia números de teléfono fijo consecutivos. Se verifica con el usuario que no era él quien estaba realizando los accesos. - El incidente fue reportado por el usuario el día 21 de septiembre de 2022 a las 09:54, (tras haber sido alertado por el equipo de ...), a través de correo electrónico remitido al buzón de Incidentes del CSIRT-TE. En este momento comienzan investigaciones internas por parte del equipo de seguridad. - El día 23 de septiembre de 2022 a las 22.17h se confirma que las peticiones realizadas por el atacante han obtenido respuesta, confirmándose la afectación de datos de carácter personal en el incidente. - Afirman que la fecha de inicio de la brecha fue el 9 de septiembre de 2022 y no el 16 de septiembre de 2022 como se había especificado en la notificación inicial de la brecha. Teniendo en cuenta toda la información anterior obtenida del informe documentado de la brecha, en fecha 2 de noviembre de 2022 se realiza un nuevo requerimiento de información a Telefónica marcado por la siguiente línea de investigación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/128 - Que se acredite la comunicación realizada a los afectados. Obtener copia de los análisis de riesgos de los tratamientos afectados por la brecha de seguridad. Que se acredite el correo electrónico de la incidencia notificada por el empleado al equipo de seguridad CSIRT, así como la acreditación de la comunicación que se realiza al DPD. Obtener los detalles sobre los casos de uso de la aplicación afectada (***APP.1). Obtener la descripción técnica de las APIS consumidas en el ataque con objeto de acreditar el alcance de datos afectados. Obtener registros de logs en los que se detectaron las peticiones maliciosas que se realizaron a las APIS, con objeto de acreditar el alcance de datos afectados. En fecha 28 de noviembre de 2022 se recibe respuesta en esta Agencia al requerimiento de información. Del análisis de esta respuesta se extrae: - En relación con la acreditación de la comunicación a los afectados: - Afirman que el medio utilizado mayoritariamente ha sido el correo electrónico y en algunos otros el correo postal cuando no se disponía del dato email. - Afirman que se han enviado 89.244 cartas postales y se acredita este hecho aportando certificado de Correos con fecha de registro el día 31 de octubre de 2022. - Afirman que se han enviado 1.313.395 correos electrónicos, aportando detalles de las fechas en las que se han realizado los envíos, que están comprendidas entre el 27 de octubre de 2022 y el 2 de noviembre de 2022. - Afirman que ha sido necesario realizar la comunicación en fases y en las fechas anteriormente indicadas para así disponer y garantizar una atención adecuada ante las posibles llamadas de petición de información por parte de los clientes, habiendo sido necesario reforzar el número de personas que atienden al canal telefónico y proporcionarles formación adecuada para que pudiesen dar respuesta a las solicitudes de información y dudas de los clientes. Afirman que otro de los motivos para llevar a cabo la comunicación por fases fue el poder atender correctamente a los clientes afectados y evitar la caída de los diferentes medios de gestión habilitados para el cambio de contraseña que se sugería en el contenido de la comunicación (por una posible excesiva demanda). - Afirman que los usuarios afectados eran clientes tanto de Telefónica Movistar como de Telefónica O2. - Acreditan el siguiente contenido de la comunicación para los clientes de Telefónica Movistar: (…) - Acreditan el siguiente contenido de la comunicación para los clientes de Telefónica O2: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/128 - En relación con nuestra solicitud para que aporten los análisis de riesgos para los tratamientos afectadas por la brecha, adjuntan un documento de cuyo análisis se extrae: - En este documento se afirma: “(…)”. - El documento no está firmado, tiene fecha de 24 de noviembre de 2021 y en este se afirma: “AA.RR. realizado en el siguiente período de tiempo: julio-octubre 2021”. - En el apartado referente al objeto del análisis se afirma: “(…)”. - En relación con la metodología se afirma: “(…)”. - Se anexa una relación de controles de seguridad implantados en los activos afectados. - Se analiza la siguiente relación de amenazas y se concluye un nivel de riesgo residual asignándole a cada una de ellas un nivel de probabilidad e impacto: (…) - En relación con nuestra solicitud para que acrediten el correo electrónico que el usuario afectado envió al equipo de seguridad de Telefónica (CSIRT-TE) notificando la incidencia, se nos aporta captura de pantalla, de su análisis se extrae: - El usuario afirma en el correo que tuvo constancia del incidente tras serle notificado vía email el día 20 de septiembre de 2022. - El correo de la incidencia va dirigido al equipo de seguridad (CSIRT-TE) y tiene fecha de 21 de septiembre de 2022 a las 9:54. - El texto completo del correo es el siguiente: “(…)” En relación con nuestra solicitud para que se acredite la comunicación del incidente que desde el equipo de seguridad (CSIRT-TE) se dirigió al DPD, aportan captura de pantalla del correo electrónico remitido con el siguiente contenido: - “(…)” En relación con la solicitud para que aporten información sobre los distintos casos de uso de las aplicaciones afectadas por la brecha, contestan lo siguiente: - Que el portal web ***PORTAL.1 permite acceso a diferentes sistemas internos, entre ellos el afectado por el incidente, la aplicación ***APP.1, a través de la cual el equipo de personas que atiende incidencias técnicas de los clientes puede consultar la información necesaria para el diagnóstico y tratamiento de averías en los equipamientos de conectividad. - Aportan distintas capturas de pantalla que muestran tanto los casos de uso de la aplicación ***APP.1 a través de su interfaz gráfica como las consultas lanzadas por los atacantes, que fueron automatizadas a través de un script, quedando constatado que los atacantes no hicieron uso de la interfaz gráfica de la aplicación sino que utilizaron consultas directas automatizadas que atacaban su funcionalidad sin hacer uso de las opciones de menú, y utilizando un barrido de números de teléfono aleatorios que obtenían datos sobre el equipamiento instalado en el cliente en caso de coincidir este número con el de algún cliente de Telefónica. - - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/128 - - En relación con nuestra solicitud para que aporten la descripción técnica de las APIS que consumieron los atacantes al lanzar las consultas automatizadas, nos aportan un documento con todos los detalles técnicos de estas no obteniéndose información adicional relevante para la presente investigación. En respuesta a la solicitud para que aporten pruebas de algunos registros de logs a través de los cuales detectaron el ataque, aportan captura de pantalla con registros detectados en fecha 16 de septiembre de 2022, de su análisis se constata el tipo de datos a los que pudieron acceder los atacantes, que coincide con los indicados en la notificación de la brecha, quedando constatado que en cada petición automática lanzada por los atacantes se incluía un número de teléfono aleatorio y en caso de que este número coincidía con algún cliente de Telefónica se obtenía como resultado de la consulta los siguientes datos: (…) SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TELEFONICA DE ESPAÑA SAU es una gran empresa y con un volumen de negocios (…). SÉPTIMO: Con fecha 26 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción de los artículos 5.1.
- f)y 32 del RGPD, tipificadas, respectivamente, en los artículos 83.4 83.5 del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), Telefónica presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: Previa. Sobre la incoación del expediente sancionador a Telefónica Señala Telefónica que ha cumplido con las previsiones de la normativa que resulta de aplicación en relación con la gestión del incidente en el sistema interno de Telefónica ***APP.1, del que trata este Acuerdo de inicio, y que ha colaborado con la Agencia en todo momento, proporcionando toda la información que exige la normativa y que se ha venido solicitando. Indica Telefónica que, a pesar de lo indicado anteriormente, parece que la Agencia no tiene en cuenta que se trata de un incidente en particular y parece concluir, erróneamente, que lo anterior supone que Telefónica no cuenta con unas medidas de seguridad que resulten adecuadas con carácter general. En este sentido y en relación con el contenido sobre el que versa el Acuerdo de inicio, traslada Telefónica que la AEPD no ha analizado en ningún momento la metodología ni los protocolos de actuación de Telefónica en relación con la implantación de medidas de seguridad en los tratamientos de datos de carácter personal. Es decir, parece que se aprovecha la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/128 existencia de un incidente para tramitar una especie de "causa general" en relación con la insuficiencia de medidas de seguridad adecuadas. Resalta Telefónica que existe total y absoluta falta de responsabilidad de ella en relación con las infracciones imputadas pues la consumación de este tipo de delitos requiere necesariamente de una captación previa de los datos del interesado, en este caso a través de una técnica muy sofisticada dirigida en su mayoría a numeraciones de móviles personales de los empleados. Lo anterior evidencia que el atacante ya contaba con esta información con carácter previo y que Telefónica no pudo detectar el ataque realizado en los dispositivos personales de los empleados. Posteriormente, los datos obtenidos sobre credenciales personales fueron utilizados por los atacantes profesionales para acceder de forma ilícita a un sistema interno de Telefónica. Señala Telefónica que los defraudadores que llevan a cabo este tipo de actividades no son sólo personas aisladas, o grupos más o menos organizados, sino que, tras las oportunas investigaciones policiales, se ha podido saber que se trata de ciberdelincuentes perfectamente preparados y con recursos suficientes para dedicarse a este tipo de prácticas indeseables. Sostiene Telefónica que es otra víctima más de los actos delictivos realizados por terceros que la propia Policía Nacional ha considerado que representan “un grave riesgo para la Seguridad Nacional” En ese sentido, por parte de Telefónica se colabora en las investigaciones policiales iniciadas por la Guardia Civil (“***EXPEDIENTE.1”), cuyo objeto es tanto la detección de los responsables de los hechos como determinar su alcance y conexiones con otras actividades similares. Indica Telefónica que, en la actualidad, como perjudicada por las actividades investigadas por la Guardia Civil, está personada como acusación particular en las Diligencias (…). Así, El Jugado de Instrucción (…) consideró, (…), que las actividades delictivas que afectaron a Telefónica están conectadas con las actividades que afectaron al “Punto Neutro Judicial (PNJ)” (la red de telecomunicaciones que conecta los órganos judiciales con otras institucionales del Estado). Manifiesta Telefónica que todo ello demuestra que las actividades delictivas que impactaron en Telefónica afectaron también a otras entidades e instituciones del Estado, acreditándose la complejidad y sofisticación del ataque ejecutado por personas especialmente preparadas para estas actividades delictivas I. Sobre los hechos que motivan la incoación del presente acuerdo de inicio de procedimiento sancionador: Primera. Aclaración sobre la descripción de hechos realizada por la AEPD en el acuerdo de inicio Señala Telefónica que existen una serie de errores en la descripción de los hechos que realiza la AEPD en relación con el incidente de seguridad en ***APP.1 que aclara a continuación. Por ello, Telefónica indica que, tal y como consta en el “Informe incidente de privacidad acceso no autorizado a ***APP.1” (en adelante Informe del Incidente o Informe), que aportó junto a la comunicación completa del Incidente, los hechos tuvieron lugar en las siguientes fechas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/128 • El día 20/09/2022: fue realmente cuando se detectó por parte del equipo de ... (aplicación que gestiona las peticiones a sistemas) un número de peticiones más elevada de lo habitual a ***APP.1. (…). y se procedió a bloquearlo, hasta analizar qué estaba sucediendo, y a restablecer sus credenciales corporativas. Como consta en el Informe, y en la notificación completa del Incidente, en la comunicación inicial presentada a la AEPD se reportó que la fecha en la que se inició este Incidente fue el 16/09/2022. No obstante, una vez concluido el informe forense final, se corrigió este aspecto al confirmarse que realmente fue el 20/09/2022. Es decir, fue ese mismo día 20/09/2022 cuando se detectó el Incidente y se tomaron medidas de contención (…). Al analizar datos de días atrás, para saber desde cuando se estaban produciendo los accesos, se pudo comprobar que comenzaron el 16/09/2022, pero no fue esta la fecha de detección. • El día 21/09/2022: el equipo de respuesta ante incidentes de Telefónica (CSIRT-TE) recibió un aviso de lo que en ese momento no se sabía si podía ser un incidente de seguridad o una simple incidencia provocada por algún sistema que tuviera un automatismo con ese usuario, circunstancias que se han dado en otras ocasiones. Es decir, el CSIRT-TE fue informado sin dilación indebida, y cuando ya se habían adoptado determinadas medidas por parte de ..., no 5 días después. Desde ese mismo día, comenzó a analizarse el caso con los datos aportados por el usuario y se consultó a las áreas afectadas para obtener más información. • El día 23/09/2022: teniendo en cuenta la información recabada de las distintas áreas, se convocó por parte de seguridad una reunión de urgencia para tratar el posible incidente. En dicha reunión, se obtuvieron evidencias de que se tratase un incidente real. Como sabe la Agencia, fue ese mismo día cuando se informó desde el CSIRT- TE de forma preventiva al DPO de Telefónica España. Señala Telefónica que posteriormente cumplió con lo previsto en la normativa de protección de datos y el día 26 de septiembre de 2022 presentó el formulario inicial para notificar la existencia de un incidente de seguridad. Por lo expuesto anteriormente, Telefónica concluye lo siguiente: - No es cierto que las medidas de contención se produjeran 4 días más tarde, ya que el mismo día que se detectaron las consultas masivas (día 20 de septiembre) el usuario desde el cual se habían producido las consultas fue bloqueado. - No es cierto que hasta que el empleado no cambió sus credenciales no cesaron las peticiones masivas ya que el usuario, como se ha indicado anteriormente, se bloqueó en el mismo momento de la detección. - Tampoco es cierto que se estuvieran detectando consultas masivas muy superiores a las habituales y no se actuara por parte de Telefónica. Tras la detección de las consultas masivas el día 20 de septiembre, desde los equipos de seguridad se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/128 actuó con la mayor celeridad y el mismo día de la detección el usuario fue bloqueado. Lo que sí es cierto, y es lo que ha podido confundir a la Agencia, es que tras hacer la investigación se detectó que el día 16 de septiembre también se habían realizado consultas masivas. Estas consultas eran, en todo caso, previas a la detección del incidente (que fue el 20 de septiembre). Recuerda Telefónica que ***APP.1 permite que el equipo de personas que atiende las incidencias técnicas de los clientes pueda consultar la información necesaria para el diagnóstico y tratamiento de averías en los equipamientos de conectividad (router, descodificador de la tv, amplificador wifi, etc.). Señala Telefónica que, sin embargo, en este caso el acceso no autorizado no se produjo a todo el sistema, sino que se produjo tan solo a determinados datos de configuración de algunos equipamientos de conectividad proporcionados por Telefónica. Es decir, (…): En definitiva, entiende Telefónica que es importante que la AEPD tenga clara la secuencia de los hechos y la sofisticación del ataque realizado, que no consistió simplemente en obtener unas credenciales (a través de una técnica sofisticada de fraude dirigida a numeraciones personales de los empleados, tal y como se detallará más adelante) y acceder a un sistema pudiendo consultar toda la información que desease, sino que el atacante conocía con anterioridad las numeraciones personales de los empleados a los que remitió los SMS y también conocía el funcionamiento (…). (…) Segunda. Del incidente en ***APP.1 y las medidas de seguridad: Telefónica contempla medidas técnicas y organizativas que resultan apropiadas para garantizar una seguridad adecuada de los datos personales de sus clientes, incluida la protección contra el tratamiento no autorizado o ilícito. (…) Señala Telefónica que, posteriormente, y en la medida en la que el atacante debía conocer el funcionamiento (…). Telefónica está en desacuerdo con que la AEPD llega a la conclusión de que las medidas de seguridad de Telefónica no resultaban adecuadas para garantizar la confidencialidad de los datos personales que trata, basándose tan solo en un resultado (la existencia de un ataque dirigido que provocó el Incidente de seguridad). Entiende Telefónica que, de la información facilitada en el marco de este Incidente, ha quedado sobradamente demostrado que las medidas de seguridad implantadas por parte de Telefónica en lo que respecta al tratamiento de datos personales de sus clientes son apropiadas y resultan razonables para garantizar una seguridad adecuada. No obstante, no se pueden analizar las actuaciones llevadas a cabo por Telefónica ni las medidas implantadas, sin tener en consideración la continua innovación de las técnicas de fraude y la sofisticación de los atacantes a la hora de perpetrar y evolucionar sus técnicas (tal y como se detallará también en la siguiente alegación). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/128 Además, señala Telefónica que la Agencia no ha analizado en ningún momento la metodología ni los protocolos de actuación con los que cuenta Telefónica en relación con la implantación de medidas de seguridad en los tratamientos de datos de carácter personal. Es decir, tan solo se ha basado en lo sucedido en un incidente puntual para tramitar una especie de "causa general" y argumentar la presunta insuficiencia de medidas de seguridad, estableciendo una clara obligación de resultado y exigiendo una infalibilidad de medidas que carecen totalmente de sentido. En concreto, señala Telefónica que la AEPD parece que reprocha en el Acuerdo de Inicio que Telefónica (…)Indica Telefónica que, en ese sentido, es importante dejar claro que tanto el Grupo Telefónica como Telefónica de España están plenamente concienciados y preocupados por garantizar la seguridad y por el cumplimiento de la normativa en el tratamiento de datos que hacen. Un ejemplo de lo anterior es la existencia de diferentes políticas y manuales con los que cuentan en esta materia. (…) Indica Telefónica que el enfoque sobre la gestión de riesgos en Telefónica, tal y como se describe en este Manual, se basa en definir y aplicar un proceso de análisis de riesgos de seguridad que permita identificar, analizar y evaluar los distintos riesgos de seguridad para alcanzar los objetivos, disminuir situaciones indeseadas y alcanzar la mejora continua del nivel de seguridad. (…) En dicho estándar internacional, se define un catálogo de amenazas y en cada una de ellas se detalla la probabilidad de materialización y el nivel de degradación (potencial daño que una amenaza puede causar a un activo determinado) en cada dimensión de seguridad. Además, ese estándar también cuenta con un catálogo de controles en cada dimensión de seguridad, el nivel de mitigación de la probabilidad y/o degradación para cada amenaza y el tipo de activo en el que aplica el objetivo de control. En concreto, la metodología de análisis de riesgos de seguridad de Telefónica se basa en los siguientes pasos: (…). Lo anterior evidencia que Telefónica, concienciada con la necesidad de evolucionar sus medidas de seguridad, cuenta con numerosas iniciativas para hacerlo. (…) A continuación, Telefónica incluye un recopilatorio de las principales medidas con las que cuenta para cumplir con las obligaciones previstas en la normativa de protección de datos. El hecho de que existan estas medidas justifica también el motivo por el que en este caso se concluyó que la materialización del riesgo de acceso al sistema con credenciales válidas podría ocurrir tan solo bajo circunstancias excepcionales: 2.1. Telefónica cuenta con certificados que acreditan la gestión de la seguridad, atendiendo a lo previsto en la normativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/128 Señala Telefónica que, en su compromiso de cumplir con la normativa que resulta de aplicación y de dotar de la mayor seguridad y calidad a sus servicios, cuenta con diferentes certificados que acreditan la buena gestión de la seguridad de la información. Por ejemplo: (…) Concluye Telefónica que los certificados con los que cuenta acreditan su buena gestión de la seguridad de la información. 2.2 Medidas de concienciación a empleados Telefónica considera fundamental la concienciación de los empleados en lo referente a la seguridad de la información, ya que son una fuente más de detección de posibles incidentes y uno de los eslabones a los que hay que proteger (frente a técnicas de phishing, smishing…). Dentro de esta labor de concienciación, liderada desde el área de seguridad de la información de Telefónica, se realizan por ejemplo las siguientes acciones: • Formación continua, mediante píldoras y consejos de seguridad, cursos de ciberseguridad, talleres específicos como “pescando al Phishing”, etc. • Campañas periódicas de concienciación específicas de Phishing/Smishing/Qrishing2 a todos los empleados para dar formación sobre este tipo de ataques. • Concienciación relacionada con este tipo de ataques, a través de seminarios web y talleres participativos. • Formación sobre las pautas de actuación en caso de recibir notificaciones de origen dudoso, incluida la forma de comunicarse con los equipos de respuesta y gestión de incidentes de Telefónica. • Información y noticias en canales de comunicación internos de Telefónica. Además, indica Telefónica que, con el objetivo de medir el nivel de concienciación de los empleados y determinar si es necesario implementar medidas adicionales, se les realizan encuestas anuales. También se realizan campañas de simulacro de phishing, enviando correos o SMS a todos los empleados con temáticas actuales y simulando lo que podría ser una campaña maliciosa. En caso de que haya empleados que fallen en el simulacro, se les avisa y se les aplican medidas de refuerzo adicional. Aporta Telefónica imágenes de “pantallazos” de correos al respecto. En definitiva, concluye Telefónica que es una empresa muy concienciada con que la seguridad es una cuestión de todos los empleados y no sólo de determinas áreas de la compañía. 2.3 Medidas de control de acceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/128 (…) 2.4 Medidas para el control de dominios web y correos que puedan incluir contenido malicioso (…) 2.5 Medidas para la protección de los dispositivos proporcionados a los empleados (…) Concluye Telefónica que todo lo anterior no hace más que evidenciar que cuenta con unas medidas que resultan apropiadas para garantizar la confidencialidad de los datos personales que trata. 2.6. Información que el sistema ***APP.1 almacena y riesgo asociado para los derechos y libertades de las personas físicas Señala Telefónica que las medidas de seguridad aplicadas a ***APP.1 también eran adecuadas teniendo en cuenta la categoría de datos almacenada en el sistema y los posibles riesgos que podrían llegar a existir para los derechos y libertades de los interesados. (…) Es evidente que no se trata de datos sensibles, ni datos cuya pérdida de control pudiera implicar graves consecuencias para los interesados, ya que: (...) En cualquier caso, y de cara a la evaluación de riesgos, si un tercero quisiera explotar la información mencionada, debe tenerse en cuenta que: (…) Concluye Telefónica que lo anterior evidencia que las medidas de seguridad de ***APP.1 también eran apropiadas para garantizar la seguridad, teniendo en cuenta la categoría de datos que se almacenaba y la valoración de posibles riesgos para los derechos y libertades de los interesados. 2.7 Revisión y actualización de las medidas técnicas y organizativas de manera continua Indica Telefónica que actúa con total diligencia a la hora de revisar y actualizar las medidas técnicas y organizativas implantadas cuando es necesario y/o conveniente para garantizar al máximo la seguridad del tratamiento de los datos personales de sus clientes, así como el respecto y cumplimiento de los principios rectores que rigen la normativa de protección de datos y, en particular, el Reglamento General de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/128 Señala Telefónica que se realiza un análisis de riesgos de seguridad de los sistemas de información que soportan los tratamientos de datos para determinar si el nivel de riesgos es el adecuado. En caso negativo, se ponen en marcha planes de tratamiento de riesgos para conseguirlo. Advierte Telefónica que para valorar de una manera justa y objetiva la adecuación del proceso de revisión y actualización de las medidas de seguridad adoptadas por la entidad, es necesario determinar el momento en el cual aparece un nuevo riesgo. Es decir, no se puede analizar las actuaciones llevadas a cabo por Telefónica sin tener en consideración que el auge de este tipo de fraudes es notoriamente reciente y las características del fraude cometido en este caso en concreto. Manifiesta Telefónica que ante este tipo de ataques que persiguen la comisión de un delito por parte de un tercero, la compañía lleva a cabo numerosos esfuerzos diarios para proteger a sus clientes: (...) De lo expuesto concluye Telefónica que tiene establecidas medidas técnicas y organizativas que resultan adecuadas y que se revisan y actualizan de manera continua para garantizar una seguridad adecuada de los datos personales de sus clientes, incluida la protección contra el tratamiento no autorizado o ilícito. En definitiva, considera Telefónica que el relato contenido en esta alegación segunda permite demostrar que ha actuado en todo momento con el más absoluto respeto por las obligaciones que le impone la normativa nacional y europea en materia de protección de datos y que ello evidencia que en ningún caso podría considerarse que se encuentra ante la comisión de las presuntas infracciones que señala la AEPD en su Acuerdo de inicio. Tercera. Superación de la esfera de responsabilidad de Telefónica: circunstancias excepcionales que han hecho posible la superación por terceras personas de las políticas de seguridad implantadas. Indica Telefónica que en este caso los atacantes accedieron a ***APP.1 con credenciales legítimas, obtenidas por una campaña muy sofisticada de smishing dirigida a numeraciones personales de los empleados. Es decir, señala Telefónica que es una de las herramientas más avanzadas con las que cuentan los ciberdelincuentes para suplantar la identidad de un tercero y cometer un delito. Señala Telefónica que el atacante conocía con carácter previo los números de teléfono personales de los empleados (que pudo obtener de cualquier ataque a otra institución). Lo anterior provocó que para Telefónica fuese imposible detectar que los empleados estaban recibiendo dichos SMS al enviarse a dispositivos privados. En consecuencia, no pudo establecer unas medidas de forma proactiva que detuviesen el ataque en una fase más temprana. Aclara Telefónica que, cuando el ataque se dirige a numeraciones o cuentas de correo corporativas, Telefónica cuenta con medios para detectarlo a través de las diferentes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/128 medidas de seguridad que tiene implementadas, y que se han detallado en la alegación anterior (como la monitorización de dominios web para detectar páginas que puedan incluir contenido fraudulento). Una vez detectado, se adoptan las medidas necesarias, se resetean las credenciales que se puedan ver implicadas y se comunica inmediatamente a los empleados. Aporta Telefónica imágenes de avisos que ha remitido a sus empleados cuando se ha detectado alguna campaña de smishing, a través de canales internos de comunicación. Desgraciadamente, recuerda Telefónica que tanto ella como otras empresas e instituciones públicas deben enfrentarse cada vez más a terceros cuya intención es la comisión de este tipo de delitos. Dichos terceros siempre van por delante, y mejoran continuamente sus técnicas con dicho objetivo, aprovechando para ello las posibilidades que ofrece el uso de la tecnología y la ingeniería social. Como muestra de lo indicado señala Telefónica las constantes noticias que aparecen en los medios y las recomendaciones y análisis de diferentes organismos, que cada vez con mayor asiduidad, muestran esta problemática. Aporta Telefónica varios ejemplos de ello publicados en diferentes páginas web, incluso de la propia AEPD. En definitiva, señala Telefónica que los suplantadores hacen uso de las mencionadas técnicas de ingeniería social o del descuido de los propios usuarios, a la hora de compartir información en Internet o de permitir que otros accedan a ella, para obtener los datos que necesitan y después dirigirse a las empresas y poder efectuar este tipo de ataques. Recuerda Telefónica que deben tenerse en cuenta las características del ataque y de los ciberdelincuentes que provocaron este Incidente. En estos momentos, varios atacantes han sido detenidos y existe una investigación policial en torno a sus prácticas en el marco de la denominada “***INVESTIGACIÓN.1” y ***INVESTIGACIÓN.2”. Señala Telefónica que ello evidencia la constante evolución y sofisticación de las técnicas utilizadas por los defraudadores y la difícil postura que asumen las diferentes empresas e instituciones que se convierten en objetivos de este tipo de delitos. Ante esta situación, Telefónica no puede sino establecer medidas técnicas y organizativas apropiadas en función de los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas en la medida que éstos se producen, sin que pueda ser exigible que dichas medidas eviten cualquier tipo de riesgo futuro. En definitiva, Telefónica entiende que es fundamental que la AEPD tenga en cuenta la continua innovación de las técnicas de fraude y la sofisticación de los suplantadores a la hora de perpetrar y evolucionar dichas técnicas. Es evidente que en este caso el ataque sufrido fue ejecutado por actores avanzados, como parte de un ataque dirigido. Estos atacantes se caracterizaban por adquirir un conocimiento profundo y detallado de las operativas y las redes de las organizaciones atacadas. No estamos hablando de un atacante oportunista, sino de una operación bien diseñada y que partía de un conocimiento previo de la empresa, probablemente adquirido por otros medios no informáticos con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/128 En consecuencia, Telefónica se convierte en una víctima más de este tipo de delincuentes. Por ello, como ya hemos trasladado, esta parte colabora en las investigaciones policiales iniciadas por la Guardia Civil (“***EXPEDIENTE.1”), cuyo objeto es tanto la detección de los responsables de los hechos como determinar su alcance y conexiones con otras actividades similares. En la actualidad, especifica Telefónica que (como perjudicada por las actividades investigadas por la Guardia Civil) está personada como acusación particular (…). Según Telefónica, todo lo anterior demuestra que las actividades delictivas que impactaron en Telefónica afectaron también a otras entidades e instituciones del Estado, acreditándose la complejidad y sofisticación del ataque ejecutado por personas especialmente preparadas para estas actividades delictivas. II. Sobre los fundamentos de derecho Primera. Sobre las cuestiones previas planteadas por la AEPD Recuerda Telefónica que en el segundo apartado de los fundamentos de derechos del Acuerdo de inicio (relativo a “cuestiones previas”), la AEPD señala que “en el caso que nos ocupa, la brecha de seguridad sufrida ha afectado a datos personales tratados por Telefónica en su condición de responsable del tratamiento, al determinar los fines y medios respectos de esos tratamientos, en virtud del artículo 4.7 del RGPD”. En línea con lo anterior, reseña Telefónica que en el tercer apartado de los fundamentos de derecho, entra a valorar “la naturaleza de los datos afectados por la quiebra” y concluye que “con la dicción actual del RGPD se infiere de forma automática que el número de teléfono fijo es un dato de carácter personal respecto del titular de la línea- es un identificador-, que se basta y se sobra para hacerle identificable”. En relación con la naturaleza de los datos afectados por el incidente, Telefónica sostiene que los atacantes que realizaron las consultas de forma no autorizada introdujeron numeraciones de teléfonos fijos que ya conocían de forma aleatoria. Es decir, que los atacantes ya contaban con las numeraciones de forma previa. Por ello, y pese a lo indicado por la AEPD en el Acuerdo de inicio, Telefónica entiende que deberían tenerse en cuenta en este procedimiento las siguientes consideraciones de cara a valorar si realmente estos datos pueden tener la consideración de datos personales para terceros ajenos a Telefónica: ▪ Sobre la numeración fija, no asociada a ningún otro dato personal Recuerda Telefónica que el pasado 26 de septiembre de 2022 procedió a notificar el Incidente del que deriva este Expediente, atendiendo a lo previsto en la normativa de protección de datos. Una vez realizado el análisis, pudo comprobarse que se habían producido consultas no autorizadas introduciendo numeraciones de teléfono fijo de forma aleatoria (numeraciones que ya conocían los atacantes). Para analizar la naturaleza de este dato, indica Telefónica que, por un lado, debe partirse del concepto de seudonimización previsto en el Reglamento (UE) 2016/679 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/128 del parlamento europeo y del consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, Reglamento general de protección de datos o RGPD), que lo define como: “el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable”. Por último, añade Telefónica que la seudonimización y el cifrado son consideradas por el artículo 32 del RGPD como parte de las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que puede aplicar el responsable de tratamiento. Siendo en este caso, una medida de seguridad aplicada en el sistema al que el atacante tuvo acceso. En definitiva, insiste Telefónica que para esta entidad (operador de servicios de comunicaciones electrónicas), una numeración telefónica fija es un dato seudónimo, en la medida en la que no puede atribuirse a un interesado sin utilizar información adicional, pero que, unido a dicha información adicional con la que cuenta Telefónica permite identificar a sus clientes. Motivo por el cual Telefónica procedió a realizar la comunicación inicial del Incidente detallado. Sin perjuicio de lo anterior, entiende Telefónica que es importante que la Agencia se plantee si los datos que se han visto afectados como consecuencia del Incidente de seguridad realmente permitirían que cualquier tercero pueda identificar directa o indirectamente a la persona física. Para ello, debemos partir del, considerando 26 y de la definición del artículo 4 del RGPD que define dato personal como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Teniendo en cuenta lo anterior, Telefónica no comparte que la numeración telefónica fija permita a un tercero identificar de forma directa o indirecta a un particular de forma razonable, ya que: - El número de teléfono fijo lo ha introducido un tercero de forma completamente aleatoria, sin ni siquiera saber si dicha numeración pertenecía a Telefónica. En cualquier caso, es una información con la que ya contaban los atacantes. - Un número de teléfono fijo corresponde a un hogar, que puede estar compuesto por múltiples personas, y no permite identificar por sí mismo a una persona física. - Dichas numeraciones fijas pueden consultarse en otros organismos, como puede ser la Comisión Nacional de Mercados y la Competencia (en adelante, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/128 CNMC), que traslada información sobre el operador al que pertenece la numeración a través del siguiente enlace https://numeracionyoperadores.cnmc.es/portabilidad/fija sin que dicha consulta se considere un tratamiento de datos de carácter personal - El teléfono fijo no ha sido obtenido de forma directa de los sistemas de Telefónica, ni se han obtenido otros datos que, asociados a dicho número, permitan identificar a una persona física. En caso de que esa numeración introducida correspondiese a Telefónica, los datos obtenidos tan solo han sido datos técnicos de algunos equipamientos de conectividad proporcionados por TDE e instalados en el domicilio del cliente (router, descodificador de la televisión, amplificador wifi, etc.), sin que los mismos se encuentren asociados a otros datos que permitan la identificación de los clientes, tal y como se detallará en el siguiente apartado. Recuerda Telefónica que sobre si el número de teléfono puede constituir un dato personal se ha pronunciado la AEPD y la Audiencia Nacional en varias ocasiones entre las que se encuentran las siguientes: - El Informe Jurídico 0285/2006, al indicar que “desde el punto de vista de la protección de datos personales, el número de teléfono constituirá un dato de carácter personal cuanto resulte adscrito al concreto titular del mismo, o se asocie a datos identificativos adicionales como pueden ser la dirección y esta se almacene con el número llamante, de acuerdo con la definición de datos personales incluida en el artículo 3.
- a)de la Ley Orgánica, que comprende “cualquier información concerniente a personas físicas identificadas o identificables”. - En el mismo sentido, la Sentencia la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 17 septiembre 2008 Recurso ContenciosoAdministrativo 353/2007 (incluso en relación con las numeraciones móviles que habitualmente pertenecen a una única persona física y no a un hogar como se ha señalado anteriormente en relación con las numeraciones fijas) señala que: “En el presente caso la Agencia Española de Protección de Datos no ha razonado, y menos ha acreditado, que a través del número de teléfono móvil se haya identificado al titular del mismo o que a partir del citado número fuese posible tal identificación, de forma que el citado número de teléfono ayuno de otras circunstancias que identifiquen o pudiesen permitir identificar al titular del mismo impide que pueda encajarse en la definición legal de dato de carácter personal. Siendo así, procede la estimación del recurso y la anulación de la resolución impugnada con los efectos derivados de tal anulación”. Indica Telefónica que este criterio ha sido ratificado por la Audiencia Nacional en sentencia de 8 de marzo de 2002. Según se cita en la misma, “para que exista un dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados” y “para determinar si una persona es identificable, hay que considerar el conjunto de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/128 medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona”. - La Resolución de Archivo de Actuaciones, de 20 de octubre de 2008, de la Agencia Española de Protección de Datos. Expediente N.º: E/00357/2008 se establece que “el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable”, y recuerdan la Sentencia de la Audiencia Nacional de 17/09/2008, que ya hemos mencionado, y concluye que “aplicando la citada doctrina jurisprudencial al presente caso resulta que los números de teléfono publicados no pueden ser considerados datos de carácter personal ya que no se encontraban asociados a ningún dato que identificara a sus titulares o que los hiciera identificables”. - Por último, la Sentencia del Tribunal Supremo, Sala Tercera, de lo Contencioso administrativo, Sección 3ª, Sentencia 815/2020 de 18 Jun. 2020, Rec. 1074/2019 que establece que “la grabación de la voz asociada a otros datos como el número de teléfono o su puesta a disposición de otras personas que pueden identificar a quien pertenece ha de considerarse un dato de carácter personal sujeto a la normativa de protección del tratamiento automatizado de los mismos”. A contrario sensu, entiende Telefónica que, según lo indicado por el propio Tribunal Supremo, puede concluirse que en la medida en la que dicho número de teléfono no se encuentra asociado a ningún otro dato que permita identificar a los clientes, no puede considerarse dato personal. En relación con lo anterior, también es importante tener en cuenta que a nivel europeo se ha concluido que tan solo puede considerarse que nos encontramos ante un dato personal cuando el tercero “disponga de medios legales que le permitan identificar a la persona interesada gracias a la información adicional de que dispone el proveedor de acceso a Internet de dicha persona”. Así lo han establecido las siguientes sentencias: - Sentencia del Tribunal de Justicia (Sala Segunda) de la Unión Europea de 19 de octubre de 2016 (Asunto C-582/14) que establece que: “El artículo 2, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que una dirección de protocolo de Internet dinámica registrada por un proveedor de servicios de medios en línea con ocasión de la consulta por una persona de un sitio de Internet que ese proveedor hace accesible al público constituye respecto a dicho proveedor un dato personal, en el sentido de la citada disposición, cuando éste disponga de medios legales que le permitan identificar a la persona interesada gracias a la información adicional de que dispone el proveedor de acceso a Internet de dicha persona”. - En el mismo sentido, la Sentencia del Tribunal General (Sala Octava ampliada) de la Unión Europea de 26 de abril de 2023 (asunto T-557/20) que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/128 señala lo siguiente: “Por lo tanto, al no haber investigado el SEPD si Deloitte disponía de medios legales y factibles en la práctica para poder acceder a la información adicional necesaria para volver a identificar a los autores de los comentarios, el SEPD no podía concluir que la información transmitida a Deloitte constituía información sobre una «persona física identificable» en el sentido del artículo 3, punto 1, del Reglamento 2018/1725”. Telefónica entiende por todo ello que, en cualquier caso, un dato solo podría tener la consideración de dato personal para un tercero cuando éste dispusiese de medios legales que le permitieran identificar a la persona interesada gracias a la información adicional que tuviese el tercero de dicha persona. Concluye Telefónica que, por todo lo anterior, como consecuencia del Incidente no se puede considerar que se haya visto afectado ningún dato que permita que, de una forma razonable, cualquier otra persona diferente a Telefónica pueda identificar directa o indirectamente a una persona física (y mucho menos con medios legales). ▪ Sobre los datos del equipamiento de conectividad Recuerda Telefónica que, entre los datos técnicos y de configuración del equipamiento de la conectividad del cliente que se pudieron consultar al introducir de forma aleatoria las numeraciones fijas se encontraban, por ejemplo: - (…) Alega Telefónica que estos datos no permiten la identificación de los clientes ni si quiera al asociarse a un número de teléfono fijo. Por ejemplo, la MAC tan solo identifica un dispositivo; el nombre de la red wifi no está asociado de manera única a una numeración fija sino que puede corresponder a más de una numeración; y las contraseñas del Wifi constan en el propio router sin cifrar, tratándose de una práctica comercial habitual. Entiende Telefónica que en la medida en la que los datos de carácter personal son cualquier información referente a personas físicas identificadas o identificables, y en este caso no podría determinarse la identidad de una persona física tan solo con los datos obtenidos al introducir el número de teléfono, debe tenerse presente que los datos que se han visto afectados no pueden ser considerados datos de carácter personal para los terceros que han accedido a ellos sin autorización. Concluye Telefónica que debe tenerse en cuenta que: - El número de teléfono fijo no se encuentra asociado a ningún otro dato que permita identificar a los clientes; - Los datos obtenidos al introducir dicho número, y el propio número, no pueden ser considerados datos de carácter personal para los terceros que han accedido a ellos sin autorización. No podría determinarse la identidad de una persona física tan solo con dichos datos de configuración de algunos equipos (router, descodificador de la tv, amplificador wifi, etc.) como MAC, detalles del fabricante del dispositivo, configuración de los puertos de la conexión o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/128 nombres de la red wifi y su contraseña. Insistimos en que se trata de datos que no se encontraban asociados a otros datos que permitieran la identificación de los clientes, y menos de una forma legal. Segunda. sobre las presuntas infracciones cometidas por parte de telefónica: vulneración del principio de tipicidad. Alega Telefónica la ausencia de tipicidad, sobre los siguientes argumentos: que se expondrán con mayor detalle a lo largo de este apartado: 2.1 Sobre la conducta de Telefónica: en ningún caso podría considerarse subsumible en ninguno de los preceptos que esta agencia considera vulnerados Recuerda Telefónica que para que una conducta pueda ser reprochada se exige que esta sea típica, antijurídica y culpable. Dicho principio de tipicidad se encuentra previsto en el artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, Ley 40/2015) e implica no solo la sujeción del procedimiento sancionador a los dictados de las leyes que describen ilícitos e imponen sanciones, sino también su sujeción estricta. A juicio de Telefónica, dicho principio se está vulnerando por no ser la conducta realizada por Telefónica subsumible en ninguno de los preceptos cuya infracción se imputa. Para dejar claro lo anterior, recordemos que los artículos que la AEPD considera vulnerados: artículo 5.1
- f)del RGPD y artículo 32 del RGPD: Indica Telefónica que ninguno de los supuestos mencionados se produce en este caso, pues, en general, cuenta con unas medidas técnicas y organizativas apropiadas en lo que respecta al tratamiento de datos personales en sus sistemas, tal y como ha quedado probado en los hechos de este escrito. Manifiesta Telefónica que dichas medidas técnicas y organizativas son apropiadas y garantizan un nivel de seguridad que es adecuado al riesgo teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto, y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, ya que: ✓ Las medidas técnicas y organizativas implantadas son el resultado de un minucioso y continuo proceso de estudio que abarca múltiples disciplinas y áreas del conocimiento (asesoría jurídica, seguridad, prevención del fraude). Este proceso cumple con todas las garantías y con el máximo respeto y observancia de los principios rectores relativos al tratamiento de datos personales y las medidas de seguridad que se contemplan en los artículos 5. 1
- f)y 32 del RGPD. Además, Telefónica cuenta con políticas de seguridad y manuales operativos de valoración de riesgos de seguridad que detallan una metodología basada en estándares internacionales. De dicha documentación, puede concluirse que esta parte tiene establecidas medidas técnicas y organizativas que resultan apropiadas y que, de hecho, se han aplicado en este caso concreto. Todo ello, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/128 puesto que ha quedado probado que por parte de Telefónica se habían analizado los sistemas afectados por el Incidente y se disponía de un análisis de riesgos que valoraba las medidas aplicadas para garantizar una seguridad adecuada de los datos personales de sus clientes, incluida la protección contra el tratamiento no autorizado o ilícito. Asimismo, ha quedado probado que dichas medidas se revisan y actualizan cuando es necesario a fin de garantizar la seguridad del tratamiento de los datos personales de los clientes y el cumplimiento de las exigencias recogidas en el RGPD. ✓ En concreto, y en relación con la evaluación de riesgos de este caso concreto, recordemos que: - El sistema ***APP.1 almacena información que tan solo se utiliza para fines de soporte y mantenimiento al cliente por parte de los equipos técnicos de Telefónica. - En cuanto a los datos comprometidos por el incidente, los atacantes tan solo tuvieron acceso a datos técnicos y de configuración del equipamiento de conectividad, asociados a un número de teléfono fijo del que ya disponía el atacante (dirección MAC del router, VLANs asociadas a servicios, fabricante del dispositivo y firmware, SSIDs (nombre de la Red WiFi), estándar de cifrado, contraseña de las redes inalámbricas y rangos de direccionamiento de la red interna). Para Telefónica, una numeración telefónica fija es un dato seudónimo, en la medida en la que no puede atribuirse a un interesado sin utilizar información adicional, pero que, unido a dicha información adicional con la que cuenta esta parte permite identificar a sus clientes. En ese sentido, es importante recordar que la seudonimización y el cifrado son consideradas por el artículo 32 del RGPD como parte de las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que puede aplicar el responsable de tratamiento. Siendo en este caso, una medida de seguridad aplicada en el sistema al que el atacante tuvo acceso. Terceros ajenos a Telefónica no podrían determinar la identidad de una persona física tan solo con los datos obtenidos al introducir el número de teléfono (y menos de una forma legal). Teniendo en cuenta lo indicado, es evidente que no se vieron afectados otros datos que permitieran una identificación directa de los interesados, como podían ser el nombre y apellidos, dirección postal, datos de facturación y cuenta bancaria, detalles de llamadas u otro tipo de información sensible de la que dispone Telefónica o se pudiera encontrar en el sistema mencionado. - En cuanto al carácter sensible de estos datos, en este caso no hubo colectivos vulnerables ni menores afectados que hubiese que tener en consideración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/128 Además, y pese a que Telefónica es operador de servicios de comunicaciones electrónicas, no se vieron afectados datos de tráfico ni que se encontrasen sujetos al secreto de las comunicaciones. - No se tienen evidencias de que se haya realizado ningún tipo de explotación adicional de los datos mencionados. Sin perjuicio de lo anterior, se ha valorado en todo momento qué sucedería si los terceros que accedieron a la información detallada quisieran explotar los datos para la comisión de un delito y se ha podido concluir que era y es improbable que existieran consecuencias para los interesados, teniendo en cuenta el detalle de lo sucedido y la información obtenida (este análisis constaba en el Informe del Incidente, con el que ya cuenta la Agencia, y volveremos a referirnos a él al tratar el principio de proporcionalidad). Teniendo en cuenta el ejercicio de ponderación mencionado en los párrafos anteriores, concluye Telefónica que cuenta con unas medidas de seguridad apropiadas que garantizan un nivel de seguridad que es adecuado al riesgo (en particular, para impedir el acceso o uso no autorizado de los datos personales de los clientes) y que Telefónica realizó un análisis de riesgos adecuado en este caso. Señala Telefónica que las causas que han originado el Incidente no pueden atribuirse bajo ningún concepto a una ausencia de previsión y control ni, por tanto, a un incumplimiento de las obligaciones establecidas en la normativa en materia de protección de datos. Por el contrario, se han producido determinados actos de terceros, a los que ya hemos hecho referencia en los hechos y que detallaremos de nuevo al tratar la ausencia de culpabilidad de Telefónica. Alega Telefónica que la norma no exige la infalibilidad de las medidas de seguridad, sino que estas sean apropiadas. Infalibilidad que sí parece estar exigiéndose a Telefónica, atendiéndose tan solo al resultado producido en este caso y asumiendo de esa forma la existencia de una obligación de resultados y una responsabilidad objetiva (sobre la que nos pronunciaremos con mayor detalle más adelante) como justificación suficiente para considerar que existen dos infracciones y que son muy grave y grave respectivamente. Señala Telefónica que incluso el Grupo de trabajo sobre protección de datos del artículo 29, en las “Directrices sobre la notificación de las violaciones de la seguridad de los datos personales de acuerdo con el Reglamento 2016/679” reconoce que, aunque se implementen las medidas de seguridad pueden existir riesgos, al indicar que: “(…) un elemento clave de cualquier política en materia de seguridad de los datos es poder, en la medida de lo posible, prevenir una violación y, cuando a pesar de todo se produzca, reaccionar de forma rápida”. Por su parte, recuerda Telefónica que el CIPL (Centre for Information Policy Leadership), en sus comentarios acerca de las directrices sobre la notificación de violaciones de datos personales del Grupo de Trabajo del Artículo 29 (“Comments by the Centre for Information Policy Leadership On the Article 29 Working Party’s “Guidelines on personal data breach notification under Regulation 2016/679” Adopted on 3 October 2017”) ilustra bien la diferencia entre mitigación del riesgo e infalibilidad, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/128 al indicar que no puede ser una obligación para las organizaciones garantizar la seguridad absoluta de las operaciones de tratamiento de datos (“It cannot be an obligation for organisations to guarantee absolute security of data processing activities”). Señala Telefónica que, en el mismo sentido, la Sentencia de la Audiencia Provincial de Valladolid (Sección 1ª) núm. 74/2010 de 10 marzo (AC 2010\368), en relación con el presunto incumplimiento de medidas de seguridad por parte de un banco, expone que: “En cualquier sistema operativo, incluso en el tradicional, existen riesgos y lo determinante para atribuir responsabilidades será si en el utilizado se daban garantías suficientes, sin que pueda llegarse a la conclusión contraria por el mero hecho de que posteriormente se hayan mejorado los sistemas de seguridad, que es de lógica que se vayan modernizando y perfeccionando ante nuevas prácticas defraudatorias que hacen ineficaces los anteriores”. Destaca Telefónica que es fundamental destacar que el Tribunal Supremo establece que la obligación de las empresas de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado (Sentencia 543/2022 del Tribunal Supremo de 15 de febrero de 2022): “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento. En las obligaciones de resultado existe un compromiso consistente en el cumplimiento de un determinado objetivo, asegurando el logro o resultado propuesto, en este caso garantizar la seguridad de los datos personales y la inexistencia de filtraciones o quiebras de seguridad. En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones “de diligencia “ o “de comportamiento”. La diferencia radica en la responsabilidad en uno y otro caso, pues mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y la diligencia utilizada. En la obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable. En estas últimas, la suficiencia de las medidas de seguridad que el responsable ha de establecer ha de ponerse en relación con el estado de la tecnología en cada momento y el nivel de protección requerido en relación con los datos personales tratados, pero no se garantiza un resultado (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/128 Ya hemos razonado que la obligación que recae sobre el responsable del fichero y sobre el encargado del tratamiento respecto a la adopción de medidas necesarias para garantizar la seguridad de los datos de carácter personal no es una obligación de resultado sino de medios, sin que sea exigible la infalibilidad de las medidas adoptadas. Tan solo resulta exigible la adopción e implantación de medidas técnicas y organizativas, que conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado.” En definitiva, concluye Telefónica que lo expuesto no hace más que evidenciar que el hecho de que las medidas de seguridad no puedan llegar a ser infalibles en ningún caso significa que no sean adecuadas. Así, la legalidad o no de una medida de seguridad (es decir su adecuación) viene determinada por su contribución a la reducción de la probabilidad de ocurrencia del incidente, no en asegurar un resultado. Todo lo anterior confirma la falta de tipicidad de la conducta reprochada legalmente. 2.2 Sobre la redacción de la normativa que resulta de aplicación: conceptos jurídicos indeterminados que contribuyen a incrementar la inseguridad jurídica e indefensión de Telefónica Subraya Telefónica que el principio de tipicidad también implica la exigencia de que la norma tipifique de forma clara y precisa cuáles son las conductas que el ordenamiento califica como infracciones y cuáles las concretas sanciones previstas para tales ilícitos. La Sentencia del Tribunal Supremo de 26 de junio de 2001 (RJ 2001, 5740), que recuerda la doctrina del Tribunal Constitucional a tal efecto, señala que: “La doctrina del Tribunal Constitucional y la jurisprudencia de esta Sala han visto en el principio de legalidad una doble garantía: una de orden material y alcance absoluto, referida tanto al ámbito estrictamente penal como administrativo, que refleja la importancia de la seguridad jurídica en dichos campos limitativos de derechos y que supone la imperiosa necesidad de predeterminación normativa de las conductas infractoras y de las sanciones correspondientes , es decir la existencia de preceptos jurídicos (" lex previa ") que permitan predecir con suficiente grado de certeza ("lex certa") aquellas conductas infractoras y se sepa a qué atenerse en cuanto a la aneja responsabilidad y a la eventual sanción; otra, de carácter formal, relativa a la exigencia de que exista una norma del suficiente rango que se identifica con el rango legal (por todas STC 61/1990, de 29 de marzo (RTC 1990, 61) [ RTC 1990, 61] )”. Por ello, señala Telefónica que otra exigencia unida al principio de tipicidad es la importancia de que la norma reguladora no efectúe formulaciones vagas, abiertas o excesivamente amplias de los ilícitos y sanciones, que carezcan de la suficiente determinación, ya que “se permitiría al órgano sancionador actuar con un excesivo arbitrio y no con el prudente y razonable que permitiría una debida especificación normativa” (STC 61/1990, de 29 de marzo). A tenor de lo anterior, alega Telefónica, en relación con los artículos del RGPD que se consideran vulnerados en el presente procedimiento sancionador, la ambigüedad e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/128 indeterminación de los conceptos recogidos en dichos preceptos, tales como: “seguridad adecuada”, “medidas técnicas y organizativas apropiadas” o “nivel de seguridad adecuado al riesgo”. Dichos conceptos no son definidos en la normativa de protección de datos, y esta Administración, en su aplicación e interpretación, actúa de manera arbitraria exigiendo a Telefónica una responsabilidad objetiva, al centrarse tan solo en el resultado producido en un Incidente en concreto y sin tener en cuenta que no puede exigirse la infalibilidad de las medidas adoptadas (tal y como se ha detallado en el punto 2.1 de este apartado). Recuerda Telefónica que es el artículo 9.3 CE el que dispone que: “La Constitución garantiza el principio de legalidad, la jerarquía normativa, la publicidad de las normas, la irretroactividad de las normas sancionadoras no favorables o restrictivas de derechos individuales, la seguridad jurídica, la responsabilidad y la interdicción de la arbitrariedad de los poderes públicos”. Como señala la STC 104/2009, de 4 de mayo (RTC 2009, 104) “la garantía material implica que la norma punitiva permita predecir con suficiente grado de certeza las conductas que constituyen infracción y el tipo y grado de sanción del que puede hacerse merecedor quien la cometa, lo que conlleva que no quepa constitucionalmente admitir formulaciones tan abiertas por su amplitud, vaguedad o indefinición, que la efectividad dependa de una decisión prácticamente libre y arbitraria del intérprete y juzgador”. En relación con las infracciones y las sanciones administrativas, y con los aplicadores del Derecho administrativo sancionador, la Sentencia núm. 145/2013 de 11 julio del Tribunal Constitucional (Pleno) (RTC 2013\145) indica que cuando existen estos conceptos indeterminados éstos están obligados a “atenerse, no ya al canon de interdicción de arbitrariedad, error patente o manifiesta irrazonabilidad derivado del art. 24 CE, sino a un canon más estricto de razonabilidad, lo que es determinante en los casos en que la frontera que demarca la norma sancionadora es borrosa por su carácter abstracto o por la propia vaguedad y versatilidad del lenguaje (STC 297/2005, de 21 de noviembre [RTC 2005, 297] , FJ 8, y las Sentencias que allí se citan)”. En definitiva, concluye Telefónica que la AEPD está propiciando una situación de inseguridad jurídica y dificultando la defensa de Telefónica, pudiendo vulnerarse en consecuencia determinados principios que se encuentran garantizados constitucionalmente (artículos 24, 25 y 9.3 de la Constitución Española). 2.3 Subsidiariamente: sobre la interpretación y aplicación de la normativa realizada por la AEPD. Error en la tipificación y calificación de la infracción y consecuente determinación de la sanción En primer lugar, Telefónica considera que la apreciación de las dos infracciones (del artículo 5.1
- f)y 32 del RGPD) también evidencia un error en la tipificación y calificación de los hechos que realiza la AEPD y en la consecuente determinación de la sanción, pues es evidente que ambos preceptos regulan la seguridad de los datos personales, haciéndolo el primer precepto de una forma más genérica que el segundo, como puede apreciarse a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/128 Artículo 5.1
- f)RGPD: ”1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales (…). Artículo 32 del RGPD: “(…) el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (…)” Entiende Telefónica que en el artículo 5 del RGPD se recogen los principios que rigen, con carácter general, el tratamiento de datos personales. Atendiendo a dicha generalidad, en su apartado
- f)se hace referencia a la necesidad de “una seguridad adecuada”. En ese sentido, en ningún caso podría considerarse aplicable a este caso el artículo 5.1
- f)del RGPD, cuya redacción es tan genérica que la Administración podría defender que cualquier vulneración del Reglamento puede subsumirse como infracción del mismo. Más allá de lo anterior, recordemos que en ningún caso puede exigirse la infalibilidad de unas medidas de seguridad, ni que sirvan para obtener un resultado concreto. Es decir, el simple hecho de que tenga lugar un incidente de seguridad no puede llevar a la AEPD a la conclusión de que se vulnera el mencionado principio del RGPD. Por su parte, señala Telefónica que el artículo 32 del RGPD (“seguridad del tratamiento”) recoge con carácter más específico la referencia a las “medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo” que la AEPD considera vulneradas. Por tanto, es el artículo 32 del RGPD el que realmente hace referencia a las “medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”. Además, dicho precepto se encuentra recogido en la Sección 2 del Capítulo IV del RGPD, que con mayor grado de especialidad contiene las previsiones relativas a la “Seguridad de los datos personales”. Asimismo, señala Telefónica que, por su parte, la LOPDGDD en su artículo 73 f), a diferencia del artículo 72.1 a), prevé como infracción grave “
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. Concluye por ello Telefónica que, en caso de considerarse la existencia de infracción, en ningún caso podría calificarse la conducta de Telefónica como muy grave. Lo contrario supondría un evidente error en la calificación de los hechos que han tenido lugar en este caso. Este error en la calificación de los hechos desencadena también el consecuente error en la graduación de las sanciones que se proponen, ya que se reiteran de forma constante y se duplican. Telefónica alega que de ello se aprecia una clara reiteración en la voluntad de agravar las dos presuntas infracciones con los mismos fundamentos. En la medida en la que en ningún caso podría considerarse que la conducta de Telefónica es muy grave, por infracción del artículo 5.1f), tampoco podrían tenerse en las agravantes que se aplican a ese precepto. En conclusión, alega Telefónica que no cabe realizarle imputación alguna, ya que no puede subsumirse su conducta en ninguno de los preceptos que la AEPD considera vulnerados. Más allá de lo anterior, todavía es más evidente que en ningún caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/128 podría calificarse dicha conducta como muy grave, ya que en caso de entender la Agencia que las medidas técnicas y de seguridad no son adecuadas debería atenderse a lo indicado en este apartado. Tercera. La conducta de Telefónica no es antijurídica Telefónica rechaza la antijuridicidad de su conducta en base a los argumentos que se resumen a continuación, y que han quedado plasmados en los hechos de este escrito: - Telefónica cuenta con medidas técnicas y organizativas diseñadas para garantizar una seguridad adecuada de los datos personales de sus clientes, incluida la protección contra el tratamiento no autorizado o ilícito. Por ejemplo, cuenta con: • (…) - Telefónica cuenta con múltiples mecanismos para detectar el acceso ilegítimo a datos personales, que se adaptan de forma constante. Por ejemplo: • (…) En cualquier caso, recuerda Telefónica que la norma no exige la infalibilidad de dichas medidas, sino que las mismas contribuyan a reducir el riesgo. Cuarta. Ausencia de culpabilidad Entiende Telefónica que tampoco concurre el requisito de culpabilidad en su actuación, es decir, que no existe el elemento subjetivo de culpa requerido para la imposición de sanciones administrativas. Señala Telefónica que su actitud revela una inequívoca voluntad de proceder conforme a Derecho, sin existir en modo alguno intencionalidad de infringir la norma y teniendo en todo caso voluntad de cumplimiento. Es doctrina reiterada la que considera que los principios inspiradores del orden penal son de aplicación al derecho administrativo sancionador, señalando que uno de los principales componentes de la infracción administrativa es el elemento de la culpabilidad, lo que presupone que la acción u omisión ha de ser en todo caso imputable a su autor por malicia, imprudencia, negligencia o ignorancia inexcusable. Es decir, es necesaria la constatación de la intervención culpable por parte de Telefónica, que no se ha producido. En tanto no exista conducta culpable, no puede imponerse sanción alguna. A ello se refiere el artículo 28 de la Ley 40/2015 al disponer que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Señala Telefónica que dicha Ley ha venido a sustituir con “culpa” la anterior “simple inobservancia”, lo que supone el reconocimiento de que la simple inobservancia no podía ser entendida efectivamente como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva. La jurisprudencia mayoritaria de nuestro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/128 Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990) destacaban que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso (artículo 25.1 CE) o de las exigencias inherentes a un Estado de Derecho, y requiere la existencia de dolo o culpa. En este sentido, por ejemplo, la Sentencia del Tribunal Supremo de 16 de diciembre de 2015, señala que: “En concreto, sobre la culpa, este Tribunal ha declarado que, en efecto, la Constitución española consagra sin duda el principio de culpabilidad como principio estructural básico del Derecho Penal y ha añadido que, sin embargo, la consagración constitucional de este principio no implica en modo alguno que la Constitución haya convertido en norma un determinado modo de entenderlo (STC 150/1991). Este principio de culpabilidad rige también en materia de infracciones administrativas, pues en la medida en que la sanción de dicha infracción es una de las manifestaciones del ius puniendi del Estado resulta inadmisible en nuestro ordenamiento un régimen de responsabilidad objetiva o sin culpa (STC 76/1990)”. Señala Telefónica que la falta de culpabilidad en el caso examinado se manifiesta en torno a que: - La conducta de Telefónica se desempeñó con toda la diligencia profesional exigible, que actuó con buena fe, y que, por ello mismo, no cabe imputársele un actuar culposo. Es decir, la actitud de Telefónica, tal y como ha quedado manifestado en el presente escrito, revela una inequívoca voluntad de proceder conforme a Derecho sin existir en modo alguno intencionalidad de infringir la norma y teniendo en todo caso voluntad de cumplimiento (desarrollado a continuación en el punto 4.1). - Las conductas que han provocado las consecuencias expuestas en el Acuerdo de Inicio en ningún caso son imputables a Telefónica (desarrollado a continuación en el punto 4.2). 4.1 La actuación diligente y de buena fe de Telefónica Entiende Telefónica que todo lo expuesto en el presente escrito es plenamente demostrativo del rigor y diligencia con la que ha actuado, recordemos que: - Telefónica ha actuado con toda la diligencia exigible a la hora de implantar unas medidas técnicas y organizativas (conforme al estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, la probabilidad y gravedad de los riesgos) que resultan apropiadas para garantizar una seguridad adecuada. Asimismo, Telefónica trabaja constantemente en la mejora de las medidas de las que dispone con el objetivo de evitar la comisión de cualquier tipo de fraude, en la formación y en la adaptación de los protocolos de seguridad dentro de la organización. Recordemos que el detalle de medidas con las que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/128 cuenta Telefónica ha quedado detallado en la alegación segunda de los hechos de este escrito. En relación con estas medidas, como ya se ha trasladado, debe quedar claro que la norma no exige su infalibilidad sino que éstas sean apropiadas (como ya se ha indicado en la alegación primera de estos Fundamentos). Sin embargo, insistimos en que la Agencia tan solo se centra en el resultado producido, sin tener en cuenta las circunstancias completamente ajenas a Telefónica que han tenido lugar, exigiendo en consecuencia una responsabilidad objetiva. - Telefónica ha venido actuando en todo momento de buena fe, y de forma proactiva. - Telefónica también actuó con total diligencia en la gestión del Incidente, que procedió a comunicar a los interesados, indicándoles claramente las medidas que debían adoptar para cambiar su contraseña y resolviendo todas las dudas que les surgieron con posterioridad. Desde la comunicación, y en tan solo 10 días, desde el buzón del DPO de Telefónica se llegaron a enviar unos 1.700 emails aproximadamente. Asimismo, se adaptaron las operativas de atención al cliente para que pudiera proporcionarse a los interesados la información que necesitasen en relación con el Incidente. De todo lo anterior subraya Telefónica su buena fe y su diligencia profesional, pues no sólo en ningún momento tuvo ánimo ni intención de incumplir sus obligaciones, sino que actuó en plena creencia de su respeto y plenamente convencida de la efectividad de las medidas de seguridad, establecidas para reducir el riesgo que estaba implicado y ayudando a los interesados a solventar el mínimo riesgo que pudiera existir. Todo ello, amparado en la consideración de que la amenaza de (…). Nuestro Alto Tribunal también ha abordado la buena fe en numerosas ocasiones, así lo hacía ya en la Sentencia del Tribunal Supremo de 17 de diciembre de 1988 que disponía que: “no es justo sancionar a quien obra de buena fe procediendo dejar sin efecto la sanción cuando el actuar del inculpado fue debido a una determinada creencia excluyente de la culpabilidad”. 4.2 Circunstancias excepcionales y ajenas a Telefónica. Acciones intencionadas de terceros para la comisión de un delito Concluye Telefónica que las causas que han originado la situación descrita en el Acuerdo de inicio no pueden imputarse bajo ningún concepto a una ausencia de previsión y control por parte de Telefónica ni, por tanto, a un incumplimiento de las obligaciones establecidas en la normativa en materia de protección de datos. Por el contrario, dichas causas vienen derivadas de determinadas acciones de terceros ajenos a la esfera de actuación y de responsabilidad de Telefónica. Reseña Telefónica que todo lo anterior evidencia la ausencia de culpabilidad y que la AEPD parece estar centrándose tan solo en el resultado, al considerar que existe infracción por el hecho de “sufrir un ataque informático (…)”. Prácticas de las que en cualquier caso no es responsable Telefónica. Como indica la propia Agencia, se trata de un “ataque informático”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/128 Recuerda Telefónica lo previsto en el artículo 27 del Código Penal (en adelante, CP), por lo que los responsables de la comisión de un delito son los “autores y los cómplices”, siendo autores “quienes realizan el hecho por sí solos, conjuntamente o por medio de otro del que se sirven como instrumento” (artículo 28 CP). Y está claro que esos autores son terceros, que nada tienen que ver con Telefónica. Entiende Telefónica que sólo puede concluirse que estamos ante acciones de terceros con voluntad de causar un perjuicio mediante la comisión de conductas delictivas. Telefónica ha actuado en todo momento de buena fe y con la diligencia debida desde la decisión de sobreponerse a los perjuicios que terceros pueden ocasionar, circunstancias que en ningún momento estuvo en situación de evitar. Lo anterior supone que nos encontramos ante un supuesto de fuerza mayor, por encajar las circunstancias descritas en dicho concepto, que determina la falta de responsabilidad o culpabilidad en la conducta infractora. Destaca Telefónica que en nuestro derecho, no existe una definición pormenorizada de los casos comprendidos dentro de este concepto y cualquier aproximación a una enumeración ha resultado a la postre interpretada como una cita non numerus clausus, ampliada por la vía de la analogía o la interpretación jurisprudencial. Por ello, la más adecuada es la fijada en nuestro Código Civil por cuanto la define por sus características, como aquellos “sucesos que no hubieran podido preverse, o que, previstos, fueran inevitables” (art. 1105 CC), rasgos que ya se ha visto se producen en nuestro caso. Entiende Telefónica que difícilmente la comisión de un delito como es un ciberataque puede ser impedido por Telefónica, más teniendo en cuenta que los atacantes mejoran constantemente sus técnicas y las características de estos atacantes, tal y como se ha indicado. Sobre la fuerza mayor, como eximente de la responsabilidad, debido a la inevitabilidad previa o imprevisibilidad del suceso interesa destacar: • Sentencia de la Audiencia Provincial de Málaga (Sección 5ª) núm. 154/2010 de 22 marzo: “La doctrina jurisprudencial entiende la fuerza mayor y el caso fortuito que contempla el artículo 1105 del Código Civil, en cuanto eximentes de responsabilidad como sucesos que, respectivamente, no hubieran podido preverse, o que, previstos, fueran inevitables”. • Sentencia de la Audiencia Provincial de Barcelona (Sección 15ª) de 10 octubre 2002 (JUR 2004\14118): “La eximente de responsabilidad que configura el art.1105 del CC (…) en cuanto determina la ausencia de culpa, debe apreciarse ponderando la inevitabilidad del suceso en consideración a la diligencia exigible (…)”. • Sentencia de la Audiencia Provincial de Barcelona (Sección 15ª) de 31 diciembre 2002 (JUR 2004\14170): “La eximente de responsabilidad que configura la norma citada (cuya general expresión en nuestro ordenamiento se contiene en el art.1105 del Código Civil [LEG 1889, 27] (…) se configura como la negación de la culpa, ausencia que debe ser apreciada ponderando la inevitabilidad previa o imprevisibilidad del suceso en consideración a la diligencia exigible (…), que no es la media o común del «buen padre de familia», sino la del buen profesional, siendo éste el modelo de conducta a observar en la ejecución de su prestación” ▪ Telefónica ha actuado siempre con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/128 plena y fundada creencia excluyente de toda responsabilidad y en cumplimiento de la legislación aplicable. Más en particular, y sobre la consideración de un ciberataque como causa de fuerza mayor, es fundamental que se tenga en cuenta la Sentencia 37/2022 de 14 Mar. 2022 (Rec. 13/2022 de la Audiencia Nacional, Sala de lo Social). Esta Sentencia comienza recordando la doctrina judicial civilista, STS (Sala de lo Civil) de 22 de noviembre de 2018, que señala que es “una fuerza superior a todo control y previsión que debe ponderarse a efectos de su concurrencia con la normal y razonable previsión que las circunstancias exijan adoptar en cada supuesto concreto”. Continúa señalando que: “Sobre esta nota se ha entendido que debe procederse a una evaluación estudiándose la singularidad en cada caso concreto pues se trata de un concepto jurídico que debe deducirse del conjunto de circunstancias que motiven el hecho o acontecimiento que sobreponiéndose a la voluntad del obligado lo determinan a quebrantar la obligación que le corresponda, ya que siendo la posibilidad de prever los sucesos un concepto amplio, hay que entenderlo en su aplicación legal y práctica, como excluyente de aquellos sucesos totalmente insólitos o extraordinarios que, aunque no imposibles físicamente, no son de los que puede calcular una conducta prudente. Sobre la concurrencia de causa de fuerza mayor como consecuencia del ataque de virus ransomware en XXXXXXXX, S.A.U. El análisis de los elementos configuradores de la fuerza mayor de los apartados anteriores permite concluir que el ataque informático a través de un virus ransomeware que se traduce en el "secuestro" de la información clave de la empresa, afectando de forma determinante a su operatividad, puede ser calificado como un supuesto de fuerza mayor. En efecto, concurren todos los elementos configuradores que permiten concluir la existencia de causa de fuerza mayor: imposibilidad, existencia de una relación causal entre el incumplimiento de la obligación contractual y el hecho obstativo, inimputabilidad y (al menos) inevitabilidad. Elementos aplicados a la situación concreta descrita en la solicitud de constatación de fuerza mayor, formulada por la empresa. (…) no puede afirmarse como se recoge en la resolución recurrida, que el ataque por ser previsible no puede constituir causa de fuerza mayor y ello por cuanto: - La fuerza mayor no se reduce a los supuestos de carácter imprevisible, sino también a aquellos que, siendo previsibles, resultan inevitables. - Cuando se trata de supuestos previsibles, la inevitabilidad debe analizarse ponderando, de un lado, las medidas implantadas por la empresa para la evitación del ataque y, de otro, la complejidad de la circunstancia externa que provoca la imposibilidad objetiva. Analizadas las medidas de seguridad, por consultora externa en informe forense, se constata como eran las propias de un comerciante diligente, sin que pueda imputarse comportamiento negligente y, además, si quiera se conocen medidas alternativas que hubiera podido impedir el ataque del virus, lo que revela su carácter inevitable, debiendo, por tanto, subsumirse en el supuesto de fuerza mayor”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/128 Teniendo en cuenta lo anterior, concluye que: “el ataque informático a través de un virus ransomeware en una actividad empresarial que gravita sobre una "arquitectura" esencialmente digital como la que lleva a cabo la demandante puede subsumirse en el concepto de fuerza mayor por lo siguiente: - Primero, el origen humano del hecho obstativo no impide que pueda subsumirse un hecho imposibilitante en el concepto de fuerza mayor; - Segundo, concurre una imposibilidad absoluta y objetiva sobre una de las prestaciones esenciales empresariales del contrato de trabajo (dar ocupación efectiva); - Tercero, existe una relación causal entre el incumplimiento de la obligación y el hecho obstativo; - Cuarto, dado el nivel de diligencia preventiva adoptado por la demandante puede afirmarse que concurre la nota de inimputabilidad y (como mínimo) la de inevitabilidad. En este supuesto, pese a tratarse de un riesgo conocido (y, por ende, previsible), se dan suficientes elementos para entender que el nivel de diligencia empresarial para prevenir este riesgo ha sido el suficientemente elevado como para descartar que su conducta empresarial pueda calificarse como negligente (y por ello imputable), Especialmente porque las medidas que conforman la "Política de seguridad de la información" de la compañía constituyen medidas de precaución adecuadas dentro del grado de esfuerzo y coste de un "ordenado y diligente comerciante". Concluye Telefónica que todo lo expuesto evidencia que no ha concurrido en este caso el elemento esencial de culpabilidad en la conducta de Telefónica, requisito del derecho sancionador, ya que: • Es evidente y ha quedado probado a lo largo del presente escrito que la actuación de esta parte ha sido diligente en la implantación y adaptación de sus medidas de seguridad. • En cualquier caso, y ante un ataque dirigido, dicho ataque se produce por multitud de factores que son ajenos a la voluntad y capacidad de actuación de Telefónica, en la medida en la que es evidente que se ha tratado de terceros que tienen la voluntad de cometer un delito, acción que resulta inevitable para Telefónica. Por lo tanto, reitera Telefónica que en este caso no hay nexo causal por acción u omisión, entre Telefónica y el resultado final, debido a la intervención de terceros con entidad suficiente para alterar ese nexo. No existiendo conducta antijurídica, ni típica, ni culpable de Telefónica en los hechos imputados insistimos en que no debería haberse incoado el procedimiento sancionador, ni debe imponerse a Telefónica sanción alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/128 Quinta. Incumplimiento del principio de proporcionalidad Alega Telefónica que, en el hipotético caso de que la AEPD carente del adecuado soporte legal y con el único objetivo de imponer una multa, considere sancionar económicamente a Telefónica, el importe de tal sanción deberá ser estimado atendiendo en todo caso al principio de proporcionalidad que rige la potestad sancionadora. A la necesidad de proporcionalidad se refiere la Sentencia del Tribunal Supremo de 2 de junio de 2003, según la cual el principio de proporcionalidad “tiende a adecuar la sanción, al establecer su graduación concreta dentro de los márgenes posibles, a la gravedad del hecho constitutivo de la infracción, tanto en su vertiente de antijuricidad como de culpabilidad, ponderando en su conjunto las circunstancias objetivas y subjetivas que integran el presupuesto de hecho sancionable y, en particular, como resulta del artículo 131.3 de la Ley 30/92, la intencionalidad o reiteración, la naturaleza de los perjuicios causados y la reincidencia”. Reseña Telefónica que el desarrollo de este principio fundamental no se circunscribe exclusivamente al ámbito jurisprudencial. Los órganos legislativos nacionales y europeos también han tenido en cuenta este principio jurídico a la hora de configurar la normativa de protección de datos, en la que podemos encontrar múltiples referencias al principio de proporcionalidad. En concreto, debido a la importancia que reviste este principio jurídico, señala Telefónica que el propio Reglamento General de Protección de Datos se encarga de introducirlo en sus Considerandos 4, 129 y 148. A las consideraciones generales contenidas en dichos Considerandos, que ilustran grosso modo el sentido interpretativo con el que se debe analizar el Reglamento, se le añaden las disposiciones particulares que afectan de manera específica a la imposición de multas administrativas. Así, de las condiciones generales para la imposición de multas administrativas se ocupa el Reglamento General de Protección de Datos en su artículo 83. En concreto, el primero de los apartados de este precepto establece que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias”. Por su parte, el apartado 2 establece que “las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j)”. Alega Telefónica que de la interpretación de los preceptos expuestos que realiza la AEPD en su Acuerdo de inicio se desprende una clara vulneración del principio de proporcionalidad que debería regir la potestad sancionadora. Dicha vulneración se materializa en la voluntad de imponer a Telefónica una sanción económica que resulta de todo punto ineficaz y desproporcionada. En concreto, Telefónica considera que no se han tenido debidamente en consideración las previsiones de los artículos 83.1 y 83.2 del RGPD a la hora de determinar el importe de la multa administrativa propuesta. En concreto, la AEPD ha reiterado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/128 constantemente los mismos argumentos para justificar la presunta aplicación de diferentes agravantes y no ha tenido en cuenta la concurrencia de los criterios de graduación que, bajo las premisas del mencionado al artículo 83, permitirían apreciar una reducción del importe de la sanción en caso de que se apreciara a una infracción de la normativa. 5.1 De las agravantes apreciadas por esta agencia en el acuerdo de inicio • Naturaleza, gravedad y duración (en relación con la presunta infracción del artículo 5.1
- f)- En primer lugar, y sobre la consideración de que “la naturaleza de la infracción es grave puesto que acarrea una pérdida de confidencialidad y, por tanto, de disposición y control irremediable sobre los datos personales”, entiende Telefónica que la AEPD está exigiendo una vez más una obligación de resultados en relación con el hecho de impedir la existencia de una violación de seguridad. Señala Telefónica que, siguiendo este razonamiento, el simple hecho de que un delincuente consiguiera atacar un sistema y provocar un incidente de seguridad supondría que nos encontramos ante una infracción grave, exigiendo en consecuencia una responsabilidad objetiva a cualquier responsable del tratamiento y como justificación suficiente. Como hemos venido trasladando a lo largo del escrito, es evidente que en este caso el resultado del delito cometido por un tercero queda fuera de la esfera de responsabilidad de Telefónica. En cualquier caso, en este caso, el Incidente no ha supuesto ninguna pérdida de control irremediable sobre los datos personales de los clientes (teniendo en cuenta la categoría de datos afectados y los posibles riesgos para los interesados, a los que ya nos hemos referido en los hechos y volveremos a referirnos a continuación). - En segundo lugar, y sobre el número de personas afectadas, indica señala Telefónica que se limita la AEPD a indicar que “son muy numerosos los afectados, pues asciende a más de un millón de clientes de Telefónica: 1.407.257” de forma constante, sin tener en cuenta que con independencia del número de teléfonos que devolvieron datos al atacante, los datos obtenidos no permiten que un tercero pueda identificar a dicha persona física, ya que se trata de datos que son solo usados para soporte y mantenimiento del router de Telefónica. Reitera Telefónica que no se ha tenido en cuenta la categoría de datos afectados, pues solo se produjo un acceso no autorizado a los datos de configuración de algunos equipos de conectividad que Telefónica pone a disposición de sus clientes (router, descodificador de la tv, amplificador wifi, etc.) al introducir de forma aleatoria numeraciones de teléfono fijo (ni si quiera se obtuvo esa numeración directamente de Telefónica, sino que los atacantes ya contaban con esos datos). Insiste Telefónica en que no se vio afectado ningún dato que permitiera identificar a una persona por parte de terceros ajenos a Telefónica. Además, no se vieron afectados otros datos como podían ser el nombre y apellidos, dirección postal, datos de facturación y cuenta bancaria, detalles de llamadas u otro tipo de información sensible de la que dispone Telefónica o se pudiera encontrar en los equipos mencionados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/128 - En cuanto al nivel de los daños y perjuicios sufridos, advierte señala Telefónica que se limita la AEPD a señalar que es “Alto”, teniendo en cuenta los datos sustraídos. Es decir, la AEPD extrae una serie de conclusiones sobre las consecuencias para los interesados, que no prueba en ningún momento. Más allá de que vuelve a utilizar el argumento de que se trata de un número muy considerable de clientes. Sin embargo, desde Telefónica no se tienen evidencias de que se haya realizado ningún tipo de explotación adicional de los datos mencionados. Por ello, las posibles consecuencias que la AEPD menciona en su Acuerdo de inicio no se han visto materializadas. Reseña señala Telefónica además que la categoría de datos afectados por el incidente no entra en la categoría de datos sensibles recogida en el art. 9 del RGPD, ni datos cuya pérdida de control pudiera implicar graves consecuencias para los interesados. Es decir, tan solo se trataban datos de configuración de algunos equipos de conectividad que Telefónica pone a disposición de sus clientes al introducir de forma aleatoria numeraciones de teléfono fijo. Sin perjuicio de lo anterior, y para valorar la gravedad de las consecuencias, para saber qué sucedería si los terceros que accedieron a la información detallada quisieran explotar los datos para la comisión de un delito, recuerda señala Telefónica el análisis realizado por ella cuanto tuvo lugar el Incidente. En ese caso, habría que tener en cuenta que: • La red Wifi, en su configuración por detecto, se encuentra cifrada de extremo a extremo. Es decir, entre cualquier dispositivo que se conecte al router y dicho router; • El acceso a cada red Wifi solo podría realizarse cuando el intruso se encuentre físicamente en la zona de cobertura del domicilio de instalación del router. Hay que tener en cuenta que encontrarse en una zona de cobertura fuera del domicilio puede resultar bastante complejo en función de las características del domicilio o edificio, pudiendo llegar a necesitarse incluso medios adicionales para obtenerla, como antenas especiales; • Para que el intruso se encuentre físicamente en la zona de cobertura del domicilio de instalación del router sería necesario que el tercero contase con la dirección postal a la que corresponden las claves Wifi (dato que no se ha extraído de los sistemas de Telefónica). Más allá de lo anterior, es importante recordar que el nombre de la red Wifi (SSID, Serv