PS-00363-2021

1/8  Expediente N.º: PS/00363/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia, de una brecha de seguridad de datos personales por parte del responsable del tratamiento del COLEGIO OFICIAL DE FARMACEUTICOS DE CORDOBA, con número de registro de entrada O00007128e2100011640, relativa a un incendio sufrido en las instalaciones del proveedor de servicios OVH, ubicada en Francia, que dio lugar a la pérdida de datos personales y a la destrucción de los servidores que prestaban el servicio de correo, así como las cuentas y contenido de estas, se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: A la vista de los hechos notificados y de los documentos aportados, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos descritos en los apartados anteriores, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), teniendo conocimiento de los siguientes extremos: Fecha de notificación de la brecha de seguridad de datos personales: 13 de marzo de 2021. ENTIDADES INVESTIGADAS COLEGIO OFICIAL DE FARMACEÚTICOS DE CÓRDOBA, con NIF: Q1466002A JOSMAR INDA GROUP SL, con NIF: B14917157 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Respecto a la entidad en la que se ha producido la brecha de seguridad (OVH): OVH es una entidad francesa con establecimiento principal en Francia (también tiene sede en España a través de su filial OVH Hispano S.L.), lo que supone que el incidente tiene carácter transfronterizo, motivo por el cual se ha verificado que en el “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI) y que tiene como objeto favorecer la cooperación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, consta que existe un caso registrado por la autoridad francesa (Número: 185921 Artículo 56: Identificación de la ACP y las AC) en el que esta se declara autoridad de control principal, siendo por tanto dicha autoridad la competente para la investigación relativa a OVH. 2.- Respecto al ámbito competencial de la Autoridad de Control española, se ha realizado una investigación al COLEGIO OFICIAL DE FARMACEÚTICOS DE CÓRDOBA, en adelante COFC, en el marco de la cual se ha requerido, con fecha 25 de mayo de 2021, que aporte determinada información y documentación respecto de la brecha de seguridad. De la respuesta recibida se desprende lo siguiente: Respecto a la empresa: - COFC, tiene suscrito un contrato de prestación de servicio de correo electrónico con la empresa Josmar Inda Group, en adelante INDA, de fecha 1 de junio de 2020, la cual tiene subcontratados los servicios de alojamiento y backup con OVH Hispano S.L. El contrato suscrito entre COFC e INDA incluye, entre otras, las siguientes estipulaciones: “… 5) De conformidad con los dispuesto en el Artículo 32.1 del Reglamento (UE) 2016/679, EL ENCARGADO DEL TRATAMIENTO aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo derivado de la gestión de información de carácter personal. 6) El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, especifica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado.” - INDA, a su vez, ha suscrito un contrato de encargado del tratamiento con OVH Hispano S.L., filial española de OVH, en cuyo ámbito de aplicación se recoge: “OVH – se entiende OVH Hispano, S.L. en todo el clausulado -, en su calidad de Encargado del Tratamiento que actúa siguiendo las instrucciones del Cliente, está autorizada a tratar los Datos Personales del responsable del tratamiento en la medida en que sea necesario para prestar los Servicios. La naturaleza de las operaciones realizadas por OVH en materia de Datos Personales puede enmarcarse en el ámbito de la informática, el almacenamiento y/o cualquier otro Servicio similar tal y como se describe en el Contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 El Cliente determina y controla, a su total discreción, el tipo de Datos Personales y las categorías de interesados. OVH realiza las actividades de tratamiento durante el período previsto en el Contrato.” Aportan copia de las cláusulas particulares suscritas entre INDA y OVH Hispano, S.L. en las que se recogen, entre otras, mitigación (protección contra los ataques denegación de servicio), compromisos de nivel de servicio, tratamientos de datos, se compromete a implementar en sus sistemas técnicos y organizativos las medidas pertinentes para la seguridad de los ficheros automatizados que contengan datos de carácter personal, condiciones de realización de las prestaciones del servicio de Backup. En el escrito remitido a la Inspección de Datos por COFC de fechado el 21 de junio de 2021, informan de lo siguiente: “Que, atendiendo al requerimiento de información realizado, ponemos en su conocimiento que la empresa JOSMAR INDA GROUP S.L., comunicó a este Colegio, que contrató a la entidad OVH Hispano, S.L., el alojamiento del software de correo electrónico en la nube, en el mes de marzo de 2021, cuando se produjo el incendio en las instalaciones de los Data Center de OVH en Estrasburgo. Con anterioridad a esta fecha, el Colegio Oficial de Farmacéuticos de Córdoba desconocía la existencia de esta contratación. Que, en virtud de ello, este Colegio está estudiando para adoptar las medidas que se consideren pertinentes y cerciorar que JOSMAR INDA GROUP S.L., como Encargado del Tratamiento, ofrezca todas las garantías suficientes, conforme el RGPD, que aseguren la adecuada protección de los datos de carácter personal.” Aportan copia del contrato de prestación de servicios suscrito entre INDA y OVH Hispano, S.L., cuyas condiciones particulares están fechadas el día 17 de marzo de 2014 y consta, entre otras, la siguiente cláusula: “CLAUSULA 14: TRATAMIENTO DE DATOS. En el desarrollo de los servicios objeto del presente contrato, OVH – se entiende OVH Hispano, S.L. en todo el clausulado -, en calidad de Encargado del Tratamiento de los datos del Cliente, manifiesta que cumple con el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, RDLOP), por lo que, en virtud de dicha normativa, OVH asume las siguientes obligaciones: • Únicamente tratará los datos personales del Cliente a los que tiene acceso, conforme a las instrucciones de éste, prohibiéndose expresamente su aplicación o utilización con un fin distinto al establecido en la relación que les vincula. • No cederá o comunicará dichos datos, ni siquiera para su conservación, a terceras personas. • De acuerdo con lo establecido en el RDLOPD, se compromete a implementar en sus sistemas técnicos y organizativos las medidas pertinentes para la seguridad de los ficheros automatizados que contengan datos de carácter personal. EN todo caso, se aplicarán las medidas de seguridad de nivel básico de dicho RDLOPD, salvo indicación en otro sentido del Cliente quien deberá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 solicitar la aplicación de las medidas de seguridad de nivel medio y/o alto si los datos alojados en el Servidor Privado Virtual de OVH requirieran la adopción de tales medidas. • OVH dispone de un Documento de Seguridad en el que se contemplan todas las medidas de seguridad adoptadas para dar cumplimiento a la normativa vigente en materia de Protección de Datos de Carácter Personal. • OVH será responsable de cualquier incumplimiento de las medidas de seguridad imputables a ella o a sus empleados. • Una vez finalizada la relación entre OVH y el Cliente, la primera se compromete a devolver al Cliente los datos que haya tratado en su Servidor Privado Virtual y no conservará en su poder ningún soporte o documento que contenga dichos datos. NO obstante, OVH podrá conservar los datos, debidamente bloqueados, en tanto puedan derivarse responsabilidades de su relación con el Cliente. • El Cliente queda informado de que sus datos personales serán tratados por OVH con la finalidad de permitir el desarrollo, cumplimiento y control de la prestación de servicios contratada, así como su seguimiento y facturación. El cliente puede, en todo momento, ejercer sus derechos de acceso, rectificación, cancelación y oposición dirigiendo para ello un escrito a la sede social de OVH (C/ Princesa nº 22, 2º Dcha.; 28008 Madrid)”. (…) TERCERO: En fecha 12 de agosto de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad investigada, JOSMAR INDA GROUP SL, por la presunta infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4 del RGPD. Notificado el acuerdo de inicio, la entidad investigada presentó escrito de alegaciones en el que, en síntesis, manifestaba que el concepto de alquiler utilizado para los anexos contractuales llevaba implícita la intervención de un tercero y, consiguientemente, la autorización requerida por el RGPD para proceder a la contratación con OVH HISPANO. CUARTO: En fecha 17 de septiembre de 2021, se formuló propuesta de resolución, proponiendo: <<Que por la Directora de la Agencia Española de Protección de Datos se dirija a JOSMAR INDA GROUP SL, con NIF B14917157, un apercibimiento, por infracción del artículo 28.2 del RGPD, conforme a lo dispuesto en el artículo 83.4 del citado RGPD, calificada como grave a efectos de prescripción en el artículo 73 apartado

1. l)de la LOPDGDD. >> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 QUINTO: La entidad investigada no ha presentado alegaciones a la Propuesta de Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: El COFC tiene suscrito un contrato de prestación de, entre otros, el servicio de correo electrónico con la empresa INDA, de fecha 1 de junio de 2020. SEGUNDO: INDA tiene subcontratados con OVH Hispano S.L. los servicios de alojamiento y backup del correo electrónico del COFC, sin el previo conocimiento de éste. TERCERO: En fecha 10/3/2021 se produjo un incendio en las instalaciones de los Data Center OVH en Estrasburgo afectando a los servidores donde se alojaba el servicio de correo electrónico utilizado por el COFC y sus colegiados. FUNDAMENTOS DE DERECHO PRIMERO: En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. SEGUNDO: Se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 28.2 del RGPD, que señala que: “2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. “ Para permitir al encargado de un tratamiento recurrir a otro encargado, el RGPD recoge la necesidad de una autorización previa, por escrito, del responsable, pudiendo ser esta específica o general. Si bien con la existencia de una autorización específica es suficiente para proceder a la subcontratación, no ocurre lo mismo con una autorización general, pues con el fin de que el responsable pueda oponerse, es necesario informar a éste de cualquier cambio previsto en la incorporación o sustitución de otros encargados. En el supuesto de la autorización general, la información es esencial, pues permite oponerse el responsable del tratamiento a la subcontratación pretendida (por ejemplo, si no reúne las medidas técnicas u organizativas que se fijaron en la autorización general). De lo anterior, se concluye que la autorización previa siempre es obligatoria. Información esta, que el COFC afirma no haber recibido y Josmar no afirma haber realizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 TERCERO: La infracción se tipifica en el artículo 83.4.
2. a)del RGPD según el cual: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
3. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; …>.” A efectos del plazo de prescripción de las infracciones, el artículo 73 de la LOPDGDD, bajo la rúbrica “Infracciones consideradas graves”, establece lo siguiente: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
4. l)La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles.” En el presente caso, concurren las circunstancias infractoras previstas en el artículo 83.4 del RGPD, arriba transcrito. CUARTO: Establece la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en el Capítulo III relativo a los “Principios de la sancionadora”, en el artículo 28 la bajo la rúbrica “Responsabilidad”, lo siguiente: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” El artículo 70 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, señala lo siguiente: Artículo 70. Sujetos responsables. “1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
5. a)Los responsables de los tratamientos.
6. b)Los encargados de los tratamientos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8
7. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
8. d)Las entidades de certificación.
9. e)Las entidades acreditadas de supervisión de los códigos de conducta. 2. No será de aplicación al delegado de protección de datos el régimen sancionador establecido en este Título.” QUINTO: El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
10. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
11. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” Sin perjuicio de lo establecido en el artículo 83.5, apartados
12. a)y b), del RGPD, en su art. 58.2
13. b)dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: "En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante." En el presente caso, atendiendo a la diligencia llevada a cabo por la entidad investigada en lo referente a las acciones correctivas llevadas a cabo para evitar la repetición de los hechos objeto de este procedimiento, así como la no intencionalidad de ocultar la participación de terceros en el contrato, que se desprende de la inclusión de anexos contemplando el alquiler de equipos, circuitos e incluso software, permite considerar una disminución de la culpa en los hechos, por lo que se considera conforme a Derecho, no imponer sanción consistente en multa administrativa y sustituirla por la sanción de apercibimiento, de conformidad con el artículo 76.3 de la LOPDGDD en relación con el articulo 58.2
14. b)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a JOSMAR INDA GROUP SL, con NIF B14917157, por una infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4 del RGPD, un apercibimiento. SEGUNDO: REQUERIR a JOSMAR INDA GROUP SL, con NIF B14917157, que implante las medidas correctoras que resulten necesarias para adecuar su actuación a la normativa de protección de datos personales que impidan que en el futuro se repitan hechos similares. En particular, deberá solicitar, conforme al artículo 28.2 del RGPD, autorización al responsable del tratamiento en caso de que recurra a otro encargado para el tratamiento. TERCERO: NOTIFICAR la presente resolución a JOSMAR INDA GROUP SL. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
15. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-231221 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es