PS-00410-2024

1/57  Expediente N.º: EXP202306833 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ÍNDICE ANTECEDENTES..........................................................................................................2 PRIMERO:.................................................................................................................2 SEGUNDO:................................................................................................................ 3 TERCERO:................................................................................................................. 9 CUARTO:...................................................................................................................9 QUINTO:.................................................................................................................. 13 SEXTO:.................................................................................................................... 13 SÉPTIMO:................................................................................................................ 21 OCTAVO:.................................................................................................................. 21 NOVENO:................................................................................................................. 33 HECHOS PROBADOS................................................................................................33 PRIMERO:............................................................................................................... 33 SEGUNDO:.............................................................................................................. 33 TERCERO:............................................................................................................... 33 CUARTO:................................................................................................................. 33 QUINTO:.................................................................................................................. 34 SEXTO:.................................................................................................................... 34 SÉPTIMO:................................................................................................................ 34 OCTAVO:.................................................................................................................. 34 NOVENO:................................................................................................................. 34 DÉCIMO:.................................................................................................................. 35 FUNDAMENTOS DE DERECHO.................................................................................35 I Competencia......................................................................................................... 35 II Cuestiones previas...............................................................................................36 III Contestación a las alegaciones al acuerdo de inicio...........................................36 IV Contestación a las alegaciones a la propuesta de resolución.............................44 V Obligación incumplida. Protección de datos desde el diseño y por defecto..........50 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/57 VI Tipificación de la infracción del artículo 25 del RGPD y calificación a efectos de prescripción.............................................................................................................. 55 VII Sanción por el incumplimiento del artículo 25 del RGPD...................................56 VIII Obligación incumplida. Integridad y confidencialidad........................................58 RESUELVE:................................................................................................................. 59 PRIMERO:............................................................................................................... 59 SEGUNDO:.............................................................................................................. 59 TERCERO:............................................................................................................... 59 CUARTO:................................................................................................................. 59 QUINTO:.................................................................................................................. 59 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de abril de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a INSTITUTO NACIONAL DE CIBERSEGURIDAD DE ESPAÑA, S.A. con NIF A24530735 (en adelante, INCIBE). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: El reclamante, inscrito en un curso masivo online organizado por INCIBE, considera que ha habido un tratamiento indebido de sus datos personales dado que, el día 11/04/2024, en que comienza del curso, se han hecho públicos, para todos los participantes en el curso, datos personales de cada uno de ellos, incluyendo nombre, apellidos, dirección de correo electrónico, ciudad y país, sin consentimiento previo ni información suficiente sobre la finalidad y destinatarios de este tratamiento de datos. Como evidencias, adjunta a su reclamación la cláusula informativa sobre protección de datos de la plataforma de formación donde se realiza el curso, pantallazos de un foro de discusión del propio curso donde varios alumnos comentan el hecho de que determinados datos personales sean visibles para los demás y un ejemplo de los datos del perfil de un compañero a los que puede acceder. SEGUNDO: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/57 De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a INCIBE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La entidad reclamada responde al traslado de la reclamación con fecha 28 de junio de 2023. Junto a dicha respuesta aporta diversa documentación: - Informe final del incidente firmado por el DPD de INCIBE. Este informe incluye varios anexos. Fichero en formato EXCEL con el Análisis de Riesgos realizado para la actividad de tratamiento afectada. Fichero PDF con pliegos de los expedientes de contratación vinculados a la plataforma de formación y la gestión del curso afectado por la incidencia. Fichero en formato PDF que contiene:  Anexo con el análisis y evaluación sobre la necesidad de notificación tanto a esta Agencia como a los afectados, realizado por INCIBE tras incidente.  Informe de auditoría de cumplimiento en materia RGPD y LOPDGDD realizada por empresa externa en INCIBE con fecha de informe 10 de mayo de 2023.  Informe de evaluación y auditoría de adecuación a la normativa de protección de datos realizado por empresa externa en julio de 2020.  Certificado AENOR UNE-EN ISO/IEC 27001:2017 con fecha de expiración 31 octubre 2025.  Certificado conformidad ENS por AENOR para sistemas nivel MEDIO con fecha próxima de renovación 25 octubre 2023.  Informe Técnico de la Incidencia redactado por el área de INCIBE responsable de la plataforma de formación afectada (Área Talento).  Informe de auditoría de Hacking Ético Web realizado por empresa externa a la plataforma de formación afectada por el incidente, con fecha de realización febrero de 2023.  Informe de Auditoría de seguridad externa realizada por empresa externa de INCIBE a la plataforma en fecha 21 de marzo de 2023. En su respuesta, INCIBE afirma que tuvo conocimiento de la brecha por dos correos electrónicos remitidos por sendos alumnos de curso que alertaban de que en la plataforma de formación eran visibles para todos los usuarios los nombres y apellidos reales de los demás, así como su correo electrónico, ciudad y país. Dichos correos electrónicos fueron enviados el mismo día de inicio del curso, 11/04/2023, a las 23:30 horas. El 12/04/2023 INCIBE comunica a DICAMPUS, empresa que gestionaba la plataforma, que deshabilita la visibilidad entre usuarios a las 14:33 horas. En el Informe final firmado por la DPD de INCIBE, con fecha de 28/06/2023, se incluye el siguiente listado de medidas desplegadas a la fecha en que se produce la brecha: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/57 Asimismo, relaciona las acciones llevadas a cabo por INCIBE con posterioridad al incidente: - (…) El informe de la DPD de INCIBE también incorpora un análisis DAFO con un listado de posibles debilidades detectadas tras el incidente y posibles propuestas de mejora, entre las que se encuentran las siguientes debilidades: - (…) Entre las propuestas de mejora de este análisis se encuentran las siguientes: - (…) En la respuesta al traslado, se aporta además un informe del incidente redactado por el “Área Talento” de INCIBE, como departamento responsable de los cursos de formación. En dicho informe se menciona lo siguiente: “La plataforma ofrecida por el proveedor DICAMPUS está basada en MOODLE. El 2 de febrero de 2023 se mantuvo reunión con dicho proveedor, con el que se acordó que las primeras actuaciones a realizar antes de abrir la plataforma para su uso serían:  Parametrización de la plataforma  Realización de auditoría por una empresa externa (solicitado por pliego). Se afirma que antes de poner la plataforma en producción se realizaron las siguientes actividades: “La plataforma fue configurada por el proveedor con algunas indicaciones básicas por parte de INCIBE cuando fue requerida la respuesta y aportación de INCIBE. Estas fueron:  Nombre del dominio (…)  Aspectos de página (…)  Correo electrónico (…)  Página de inicio (…)  Extensiones de Moodle (…)  Formato del curso (…)  Roles (…) El proveedor realizó todas estas configuraciones sin poner ningún impedimento ni problema. En ningún momento se preguntó por parte del proveedor opciones de cómo debería ser el foro, su configuración, etc.” A continuación, en ese mismo informe, consta los siguiente: “Posterior a la configuración, la plataforma recibió dos auditorías de seguridad antes de su puesta en producción, una de una empresa externa, tal como se solicitaba en el contrato, y otra de INCIBE. Las fechas de cada auditoría son las expuestas a continuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/57 Con fecha 1 de marzo de 2023 se recibe, por parte del proveedor, el informe de auditoría realizado por la empresa externa. Con fecha 2 de marzo de 2023 se traslada este informe al área de auditorías de INCIBE, dependiente del área de Desarrollo. Con fecha 7 de marzo, se recibe información por parte del área de auditorías de que se considera conveniente realizar una nueva auditoría por parte de INCIBE. El 15 de marzo de 2023 se comienza a realizar la auditoría por parte del equipo auditor a la plataforma de formación; la auditoría que se realiza es de tipo “caja gris”. Con fecha 22 de marzo de 2023 se recibe el informe de auditoría de INCIBE donde hay dos vulnerabilidades de nivel medio y unas pocas de criticidad baja. Con fecha 22 de marzo se recibe respuesta del proveedor sobre las adaptaciones que han hecho relacionadas con el informe de auditoría. Con fecha 24 de marzo se recibe el informe de autoría de retest (confirmación de si se han solventado los fallos detectados en la auditoría inicial) y esta recibe una valoración de «Satisfactorio». Cabe destacar, nuevamente, que esta auditoría fue realizada antes de poner la plataforma en producción, lo que significa que en ese momento no había ningún curso en ella y tampoco estaba ningún alumno registrado. Funcionalidades como el foro sí estaban habilitadas, pero sin contenido. No obstante, para esta auditoría de caja gris se realizaron las siguientes acciones en la plataforma a petición del equipo auditor:  Elaboración de un usuario de gestión  Generación de un MOOC con opción de automatriculación  Por su parte, el equipo auditor generó un usuario que cuando se inscribió en el curso pasó a tener los permisos de alumno.” (…) La plataforma recababa la siguiente tipología de datos de los alumnos matriculados:  Nombre y Apellidos: Para Identificación del alumno y emisión de certificado.  DNI: Para envío de este valor a la UE en caso de que el curso sea subvencionado con fondos PRTR o dicha formación pueda ser subvencionada en un futuro con fondos PRTR.  Código Postal: Datos estadísticos de residencia de los alumnos y, en especial, relacionados con la España vaciada.  País: Datos estadísticos y si la formación es posible asociarla con fondos PRTR (sólo válido para alumnos de España).  Nacionalidad: Fines estadísticos.  Teléfono y Email: Comunicaciones con los alumnos en caso de ser necesario.  Sexo (H/M): Fines estadísticos.  Fecha Nacimiento, Edad: Fines estadísticos.  Nivel de Estudios (primaria/secundaria/bachiller/FP/Grado/Master/Doctorado/sinestudios/ otros): Fines Estadísticos.  Situación laboral (desempleado/trabajador por cuenta propia/trabajador por cuenta ajena/otros): Fines Estadísticos.  Trabaja o ha trabajado en el sector de la Ciberseguridad (sí/no): fines Estadísticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/57 Se incluye además la cláusula informativa para protección de datos que los alumnos decían aceptar para la inscripción en el curso, en los siguientes términos: “INCIBE trata tus datos en base al consentimiento expreso que nos has otorgado en el momento de recogida de los mismos. INCIBE solamente guarda los datos el tiempo necesario para cumplir la finalidad de su recogida. Los datos personales proporcionados se conservarán mientras no solicites su supresión o retires el consentimiento otorgado. En INCIBE, tratamos los datos que nos has facilitado con el fin de:  Enviar información relativa a eventos de ciberseguridad, hackathones, charlas, conferencias, formaciones y actividades que realice o en las que participe INCIBE.  Seguimiento de la formación a realizar y emisión de los certificados que correspondan.  Fines estadísticos. Realizar la cesión prevista en el artículo 22, del Reglamento (UE) 2021/241 del Parlamento Europeo y del Consejo, de 12 de febrero de  2021, por el que se establece el Mecanismo de Recuperación y Resiliencia: INCIBE recoge exclusivamente la información personal en la medida necesaria para la finalidad detallada con anterioridad. La información no se utilizará para una finalidad incompatible con la descrita”. Por último, en relación con las modificaciones en la configuración de la plataforma realizadas tras el incidente, el Informe sobre el incidente realizado por el “Área Talento” de INCIBE indica lo siguiente: “Con el fin de garantizar la privacidad de los alumnos, con fecha 12 de abril se solicitó al proveedor de la plataforma, por parte de INCIBE, que aplicase los siguientes cambios a todos los cursos/convocatorias que sean publicados en ella:  Cierre de visibilidad de la pestaña de Participantes (listado de participantes), lo que evita ver horas de conexión y acceso al perfil personal del resto de participantes.  Prohibición de que se pueda utilizar el correo interno de la plataforma” TERCERO: Con fecha 12 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos (en adelante SGID) procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/57 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los hechos relacionados a continuación: Analizado el informe sobre el incidente elaborado por el proveedor DICAMPUS, que no está fechado y, según afirma INCIBE, fue remitido el 1 de junio, se concluye lo siguiente: Se acredita documentalmente el informe de la incidencia redactado por el proveedor DICAMPUS a petición de INCIBE, del análisis de este informe se extraen las siguientes afirmaciones relevantes: En relación con el registro de los alumnos, se afirma que se realizaba por auto matriculación con la previa aceptación de la Cláusula Informativa de Protección de Datos. Los datos de registro que los usuarios debían proporcionar a través del formulario eran:                  Nombre de usuario (* obligatorio). Password (* obligatorio). Dirección de correo (* obligatorio). Nombre (* obligatorio). Apellido(

1. s)(* obligatorio). Ciudad País (* obligatorio). DNI (* obligatorio). Código Postal (* obligatorio). Fecha de nacimiento (* obligatorio). Nacionalidad Teléfono Sexo Edad Nivel de estudios Situación laboral Trabaja o ha trabajado en el sector de la Ciberseguridad. Respecto a la visibilidad de estos campos de datos se afirma: “En relación a los siguientes datos registrados de los usuarios: • DNI • Código Postal • Fecha de nacimiento •Nacionalidad • Teléfono • Sexo • Edad • Nivel de estudios • Situación laboral • Trabaja o ha trabajado en el sector de la Ciberseguridad. Podemos confirmar que se encontraban configurados para no ser mostrados a otros usuarios, siendo visibles únicamente a ellos mismos y a usuarios administradores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/57 Los alumnos también cuentan con la opción, a través de su perfil, de configurar la visualización de su dirección de correo”. Cada campo disponía de una opción de configuración que modificaba su visibilidad, se trata del parámetro con nombre “¿Quién puede ver este campo?”, que podía tener los siguientes valores:  No visible: solo los administradores.  Visible para el usuario: solo usuario y administradores.  Visible para usuario, profesores y administradores.  Visible para todos. En el informe se afirma que para los campos DNI, Cod Postal, Fecha Nacimiento, Nacionalidad, Teléfono, Sexo, Edad, Nivel de Estudios, Situación Laboral y Sector Ciberseguridad, se había cambiado este parámetro configurándose con la opción “Visible para el usuario”, de lo que se deduce que para el resto de los campos recabados en el registro (Nombre y Apellidos, Email, Ciudad, País y Zona Horaria) se había mantenido el valor por defecto, que permitía su visualización para el resto de los alumnos (motivo por el que estos campos fueron los únicos que se visualizaron en los perfiles afectados). Se aporta en este informe varias capturas de pantalla que lo acredita. Con respecto al campo Dirección de Correo, ha quedado constatado que cada alumno disponía un parámetro adicional de configuración (independiente en el perfil del propio usuario), a través del cual podían hacer que este dato no fuese mostrado al resto de alumnos (pasando a ser oculto). No obstante, por defecto este parámetro estaba configurado como visible. De las actuaciones practicadas y que se recogen en el Informe de actuaciones previas de investigación se desprende lo siguiente: La brecha de seguridad estuvo causada por un error en la configuración de privacidad de la plataforma de formación utilizada por INCIBE (Moodle), configuración que existía por defecto en el software y que no se cambió en el diseño previo de la plataforma antes del inicio del primer curso. Moodle incluye un parámetro de configuración en la administración del sitio web (activado por defecto) para que los alumnos puedan interaccionar entre ellos a través del foro de la plataforma, permitiendo que un alumno visualice datos personales del perfil de otro alumno al hacer clic en los enlaces que se habilitan cuando un usuario publicaba un mensaje en el foro de la plataforma. INCIBE tuvo constancia de este error de configuración al serle notificado vía email por dos alumnos del ***CURSO.1, el 11 de abril de 2023 a las 23:30 horas (el curso había iniciado el 11 de abril de 2023 a las 9:00 horas). Los datos filtrados de cada alumno fueron: Nombre y Apellidos, Email, País y Ciudad. Estos campos tenían una opción de configuración (administración del portal) que permitía modificar su visibilidad y hacer que fueran visibles de distinta forma: “visible solo para el propio usuario (y administradores)”, “visible para otros usuarios (y administradores)” o bien “no visible (solo administradores)”, no obstante, estaban configurados por defecto para que fueran visibles para el resto de los usuarios. En relación con el dato Email, tenía un campo de configuración adicional que permitía modificar su visibilidad y hacer que este dato fuese oculto para el resto de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/57 usuarios, este parámetro podía ser alterado en el perfil de configuración del propio usuario, no obstante, por defecto este parámetro estaba configurado para ser visible, por lo que debía cambiarse de forma expresa por el usuario para ocultarlo. Ha quedado constatado que INCIBE formalizó un contrato de suministro para el alquiler del software SaaS de la plataforma con el proveedor DICAMPUS (encargado de proporcionar y parametrizar la plataforma), este contrato formó parte de un expediente de licitación que incluía Pliego de Prescripciones Técnicas y Pliego de Características Generales, es este último el que recoge las cláusulas de protección de datos relacionadas con el encargo de tratamiento de los datos personales. Entre las medidas de seguridad que INCIBE exigió a DICAMPUS estaba la realización de una auditoría de seguridad necesaria y previa a la puesta en producción de la plataforma, ha quedado constatado que esta auditoría se realizó en modalidad caja gris y no detectó el problema de configuración de privacidad existente en la plataforma. Por afirmación de INCIBE esto pudo ser debido a alguna de las siguientes causas: Cuando se realizó la auditoría no existía contenido en el foro de la plataforma (afirman que no había mensajes publicados y por eso no se detectó). El personal que realizó la auditoría no era una persona experta en Moodle. Como medida reactiva tras el incidente se procedió a realizar nueva auditoría que incorporaba los dos requisitos anteriores. En la gestión de la brecha de seguridad se llevaron a cabo las siguientes acciones y medidas reactivas por parte de INCIBE: - (…) Entre las medidas preventivas implantadas por INCIBE destacan: - (…) QUINTO: Con fecha 13 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 25 y del artículo 5.1.
2. f)del RGPD, tipificadas en los artículos 83.4.
3. a)y 83.5.
4. a)del RGPD, respectivamente. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones. 1. En relación con el incumplimiento del artículo 25, realizan las siguientes alegaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/57 1.1. Considera INCIBE que ha cumplido con dicho precepto, así como con las directrices del Comité Europeo de Protección de Datos (en adelante, CEPD), en la medida en que ha actuado con diligencia tanto en la adopción de medidas previas al incidente como en respuesta al mismo. En particular, INCIBE cita las siguientes medidas técnicas y organizativas desplegadas para integrar las garantías necesarias en el tratamiento con anterioridad al momento de producirse la brecha: “• (…) 1.2. Señala que la protección de datos “se configuró como una obligación esencial del contrato”. Al respecto reproduce, en relación con la protección de datos, parte del contenido del “Pliego de Características Generales (instrumento jurídico que rige la contratación, además del contrato) del expediente 040/22, en virtud del cual se proveía la plataforma, establece que el contratista (en este caso DICAMPUS S.L., pero también aplicable a NTT Data conforme a los Pliegos del expediente 032/19)” En concreto menciona las obligaciones de  custodia de los datos adoptando medidas de seguridad de acuerdo con el artículo 32 del RGPD,  colaborar con el INCIBE en el cumplimiento de sus obligaciones (medidas de seguridad, comunicación de brechas, colaborar en EIPD),  disponer de evidencias que demuestren el cumplimiento de la normativa e implantar mecanismos para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento de datos de carácter personal, restaurar la disponibilidad y acceso en caso de incidente y evaluar regularmente la eficacia de las medidas. 1.3. INCIBE destaca, además “el hecho de realizar una auditoría de seguridad a mayores de la exigida en el Pliego de Características Generales”, lo que reflejaría la importancia que concede a la protección de datos y la diligencia en su actuación. 1.4. Señala que “Los datos filtrados de cada alumno fueron: Nombre y Apellidos, Email, País y Ciudad, campos que tenían una opción de configuración que permitía modificar su visibilidad y hacer que fueran visibles de distinta forma: “visible solo para el propio usuario (y administradores)”, “visible para otros usuarios (y administradores)” o bien “no visible (solo administradores)”. Por las características de la plataforma Moodle estaban configurados para que fueran visibles para el resto de los usuarios, algo habitual en los foros de contacto de este tipo de plataformas. En relación con el dato Email, tenía un campo de configuración adicional que permitía modificar su visibilidad y hacer que este dato fuese oculto para el resto de los usuarios, pudiendo ser este parámetro ser alterado en el perfil de configuración del propio usuario, aunque por defecto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/57 estaba establecido para ser visible, por lo que debía cambiarse de forma expresa por el usuario para ocultarlo.” En este sentido cita las Directrices del CEPD, que aluden a la posibilidad de “pedir consentimiento para que los datos personales sean accesibles públicamente, o establecer una configuración de privacidad que permita a los propios interesados controlar el acceso público”, señalando que, en el presente caso, permitía a los usuarios controlar el acceso a sus datos en su plataforma, según consta en el informe elaborado por el proveedor de la plataforma: DICAMPUS, S.L. que obra en el expediente. En concreto a los siguientes: “• DNI • Código Postal • Fecha de nacimiento • Nacionalidad • Teléfono • Sexo • Edad • Nivel de estudios • Situación laboral •Trabaja o ha trabajado en el sector de la Ciberseguridad” 1.5. En relación con la parametrización de la plataforma, alega INCIBE que “fue diligente en sus obligaciones de implementar la privacidad desde el diseño y por defecto, ya que se llevó a cabo la modificación de determinadas configuraciones que venían por defecto en la plataforma Moodle, para adaptarlas al tratamiento concreto” y que los datos “no eran visibles de cualquier manera, sino que era necesario que cada alumno pinchase voluntariamente en el nombre de otro en la sección de participantes, o introdujese una URL. No eran visibles de manera general y abierta a los alumnos. Los datos no eran, por defecto, visibles sin acción”. Alega además que los datos “no eran accesibles de cualquier modo y en ningún caso lo eran a un número indeterminado de personas físicas ya que, como máximo, podían ser visualizados por el número determinado de personas físicas inscritas en el curso”, por lo que considera que no hubo una práctica constitutiva de infracción de la obligación del artículo 25 del RGPD, puesto que adoptó medidas que impedían que los datos fueran accesibles a un número indeterminado de personas físicas sin la intervención de la persona. 1.6. A continuación, INCIBE alega que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/57 “Otra de las pruebas fehacientes del cumplimiento de INCIBE de sus obligaciones en cuanto a la privacidad desde el diseño y por defecto es, como se ha puesto de manifiesto, la realización de auditorías de seguridad con carácter previo al tratamiento, para corregir posibles vulnerabilidades y conseguir la adecuación y efectividad de las medidas técnicas a través de las cuales se protegen los datos sometidos a tratamiento. A raíz de estas auditorías se corrigieron vulnerabilidades de la plataforma, aplicándose cambios de configuración.” Posteriormente hace referencia a que ha cumplido con su obligación de realizar un seguimiento para velar por el cumplimiento: “Pues iniciado el tratamiento y teniendo en cuenta el contexto, una vez detectado por los alumnos que determinados datos eran visibles, INCIBE traslada al proveedor de la plataforma que modifique la configuración y adopte medidas para que los alumnos no pudieran acceder al fichero con los datos de contacto de otros. Los cambios adoptados fueron: - Se desactiva la funcionalidad de acceder a los datos de otros alumnos. - Se modifica la configuración de la plataforma y en caso de que un alumno intente acceder a información de otro mediante URL, se le muestra un mensaje de error” 1.7. En relación con las medidas adoptadas una vez identificada la brecha, INCIBE alega que “reflejan su responsabilidad proactiva en todo momento”. Al respecto cita las siguientes: (…) Cita, además, las medidas correctivas que ya fueron comunicadas a esta Agencia en su respuesta al traslado de la reclamación. 1.8. Por otro lado, cita la sentencia 543/2022, de 15 de febrero de 2022, del Tribunal Supremo, en la que se diferencia entre la obligación de adoptar medidas de seguridad como una obligación de medios y no de resultados. De acuerdo con esta sentencia, entiende que “lo que puede exigírsele a INCIBE como responsable del tratamiento es la implantación de medidas técnicas y organizativas adecuadas en atención al tratamiento de datos que se realiza y los datos personales que se tratan, sin que sea obligatorio garantizar con ello que no va a producirse ningún tipo de brecha, puesto que la obligación es de medios, de ser diligente en la adopción de las medidas y su modo de utilización. 1.9. Por otro lado, INCIBE considera improcedente la sanción con el siguiente argumento: “Tampoco debe olvidarse la responsabilidad proactiva de INCIBE, que adoptó medidas para mitigar la brecha de manera inmediata. Esto, como ha quedado acreditado, supuso que el acceso no autorizado a los datos se suprimió en menos de 48 horas y, como hemos reiterado en numerosas ocasiones a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/57 largo del presente informe, el acceso no autorizado se produjo dentro de un entorno controlado entre alumnos, siendo los datos a los que se podía acceder (se requería acción específica y voluntaria para poder verlos) meros datos identificativos y de contacto. Por ello, aplicadas todas las medidas previas, adoptada una responsabilidad proactiva inmediatamente tras la brecha y habiéndose subsanado la deficiencia garantizando el fin de la brecha y su no reiteración, parece improcedente una sanción por parte de la AEPD.” En este sentido, cita la sentencia del Tribunal de Justicia de la Unión Europea (en adelante, TJUE), en el asunto C-768/21, que señala en relación con los artículos 57 y 58 del RGPD, que la autoridad de control no está obligada a adoptar una medida correctora (en particular una multa), “cuando tal intervención no sea adecuada, necesaria o proporcionada para subsanar la deficiencia constatada y garantizar el pleno respeto de dicho Reglamento” y pone como ejemplo “cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse”. 1.10. Por último, en relación con el artículo 25 del RGPD, afirma INCIBE que no considera proporcionado que la AEPD considere como factor de graduación en calidad de agravante el 76.2
5. b)puesto que “no hay prueba alguna de que en cualquier otro curso impartido por INCIBE se hayan vulnerado los principios del RGPD ni de la LODPGDD, ni se ha demostrado que en el momento de producirse la brecha en el “Curso básico técnico de ciberseguridad” se produjese en ningún otro de los otros cursos, máxime cuando INCIBE toma las medidas adecuadas asumiendo su responsabilidad desde el diseño y por defecto con carácter previo al inicio del curso, y las configuraciones concretas de la plataforma pueden ser adaptadas por curso. No puede olvidarse tampoco que el “Curso básico técnico de ciberseguridad” fue el primero en abrirse e INCIBE adoptó nuevas configuraciones pasadas menos de 48 horas desde la consciencia de la brecha, por lo que, en cualquier caso, adoptadas las medidas pertinentes para solucionarla en el “Curso básico técnico de ciberseguridad”, éstas pudieron adoptarse para el resto de cursos antes de su inicio y en ningún caso se hubiera producido una brecha.” 2. En relación con la obligación del artículo 5.1 f), INCIBE realiza las siguientes alegaciones relativas al archivo de la presunta infracción: 2.1 INCIBE alega que se produce una brecha de confidencialidad en virtud de la cual “los alumnos matriculados en el curso (y en ningún caso un tercero ajeno al curso) pueden ver determinados datos personales (datos identificativos y de contacto) de otros usuarios de la plataforma en la que se impartía, únicamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/57 el primer día del curso, durante menos de 48 horas, en un entorno cerrado y controlado y con la necesidad de realiza una acción voluntaria para acceder a los mismos (no estaban visibles en abierto, sino que era necesario acceder al perfil de otro alumno realizando la acción de pinchar sobre el mismo o introduciendo una dirección URL).” Añade que los datos que se ven afectados “son datos de contacto básicos: Nombre y apellidos, email (salvo que el alumno cambiase en su perfil la configuración, para que este dato no fuese mostrado), ciudad (solamente en aquellos casos en que los usuarios lo hubiesen cumplimentado, al no tratarse de campo obligatorio) y país. Si bien, dichos datos no eran visibles de manera automática, sino que era necesaria una acción específica por parte de los alumnos para acceder a estos datos de otros alumnos matriculados, como se ha expuesto en el presente informe. Esto supone que la pérdida de confidencialidad no es automática, y además se produce en un entorno cerrado y controlado: en un foro de debate dentro de un curso específico en el que hay un número determinado de personas que comparten intereses e inclinaciones formativas comunes y que pueden tener la necesidad de intercambiar opiniones, motivo por el cual la configuración de la plataforma permite, en general, su visualización para contactar (siempre con acción específica). Ningún tercero externo al curso podía en ningún caso acceder a los datos y la brecha de confidencialidad fue rápidamente corregida (el curso se inició el 11 de abril de 2023 a las 9:00 y el 12 de abril a las 14:33 los datos ya no eran visibles de ningún modo) a través de las medidas solicitadas por INCIBE al proveedor de la plataforma, lo que pone de manifiesto su responsabilidad proactiva y su rápida intervención, siendo la corrección de la pérdida de confidencialidad lo más rápida posible. 2.2. En cuanto al riesgo generado, cita INICBE el considerando 75 del RGPD y sostiene que “en el presente caso no existió un riesgo para los derechos y libertades de las personas físicas, pues se produjo acceso a datos que no entrañan riesgos para los interesados en la esfera de sus derechos y libertades, en un entorno cerrado y controlado al que solamente tienen acceso un número determinado de personas. Además, detectado el acceso a la información, INCIBE adoptó de manera proactiva medidas para mitigarlo y en menos de 48 horas los datos ya no eran visibles por otros alumnos de ningún modo.” 2.3. Añade que “los datos afectados eran datos meramente identificativos y de contacto” y destaca que “no es lo mismo que se produzca una pérdida de confidencialidad en un dato de contacto que en un dato de categoría especial”. Al respecto cita la doctrina puesta de manifiesto por el Tribunal Supremo en las sentencias 1328/2009, 379/2018 y 221/2019, en el sentido de que la exposición de los segundos tiene una mayor virtualidad lesiva, mientras que en el caso de datos “no sensibles” debe acreditarse el perjuicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/57 Cita asimismo el pronunciamiento del TJUE en el asunto C-340/21, del que destaca la afirmación del tribunal de que “un acceso no autorizado a tales datos por parte de «terceros», a los efectos del artículo 4, punto 10, del mencionado Reglamento, no bastan, por sí solos, para considerar que las medidas técnicas y organizativas adoptadas por el responsable del tratamiento de que se trate no eran «apropiadas» con arreglo a los citados artículos 24 y 32” y que “el artículo 32 del Reglamento 2016/679 debe interpretarse en el sentido de que el carácter apropiado de las medidas técnicas y organizativas adoptadas por el responsable del tratamiento en virtud de dicho artículo debe ser apreciado por los órganos jurisdiccionales nacionales en cada caso concreto, teniendo en cuenta los riesgos vinculados al tratamiento y apreciando si la naturaleza, el contenido y la adopción de esas medidas están adaptados a estos riesgos”. 2.4. Concluye INCIBE que “En este sentido, se considera improcedente la sanción, pues INCIBE como responsable del tratamiento ha sido diligente y ha mantenido una actitud de responsabilidad proactiva en todo momento para el cumplimiento y respeto a lo establecido en el RGPD y la garantía de los derechos de los interesados y su protección, siendo esta obligación de diligencia (obligación de medios) la que le es exigida, y no una obligación de garantizar la seguridad de los datos personales y la inexistencia de quiebras de seguridad (obligación de resultados).” SÉPTIMO: Con fecha 19 de agosto de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos - Se sancione a INCIBE por una infracción del artículo 25 del RGPD, tipificada en el artículo 83.4.
6. a)del RGPD, con una multa de 2.000,00 euros. - Se archive el procedimiento sancionador iniciado por la presunta infracción del artículo 5.1
7. f)del RGPD, tipificada en el artículo 83.5 del RGPD. OCTAVO: Con fecha 01/09/2025 se recibió escrito de alegaciones de INCIBE a la propuesta de resolución en las que, en síntesis, manifiesta lo siguiente: Sobre el contexto de los hechos, INCIBE asegura que se trató de un incidente puntual, limitado en su alcance (solo los usuarios del curso tuvieron acceso a los datos), se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/57 respondió con celeridad (menos de 48 horas) y se tomaron medidas que evidencian la responsabilidad proactiva asumida por INCIBE. Destaca que la obligación impuesta por el artículo 25 del RGPD es “una obligación de medios y no de resultado”, por lo que la existencia de un acceso no autorizado no implica per se un incumplimiento. En desarrollo de estas ideas incluye los siguientes fundamentos jurídicos (se sigue la numeración del escrito de alegaciones presentado): 1. Sobre el artículo 25 del RGPD, afirma INCIBE con carácter general que se han seguido las Directrices del CEPD, “actuando la entidad con diligencia en la adopción de medidas previas al tratamiento y, especialmente, tras la brecha”. Afirma que para que pueda haber infracción del artículo 25 del RGPD deben darse tres requisitos que no se dan en este caso: “1. Que se haya producido un fallo estructural o sistémico en el diseño del tratamiento. 2. Que las medidas adoptadas sean manifiestamente inadecuadas o inexistentes. 3. Que dicho fallo haya producido o pueda producir un riesgo relevante o un daño efectivo a los derechos y libertades de los interesados.” 1.1. Señala que existían medidas técnicas y organizativas apropiadas tanto antes del inicio del tratamiento como en el momento de la incidencia, relacionando las siguientes, de las que ya informó en su escrito de alegaciones al acuerdo de inicio: - Análisis de riesgos previo que permitió diseñar medidas preventivas, demostrando un enfoque basado en la responsabilidad proactiva y la privacidad desde el diseño. - Contrató la solución tecnológica a través de un procedimiento público, con un proveedor especializado (NTT DATA) y una plataforma reconocida (Moodle en modalidad SaaS). - La plataforma estaba configurada en un entorno cerrado, accesible solo a os alumnos matriculados, no existiendo visibilidad pública o acceso no autorizado desde el exterior. - El incidente se dio en el contexto estrictamente formativo, lo que mitigaría el impacto potencial y el riesgo de uso indebido de la información. - INCIBE contaba con procedimientos y protocolos internos para gestión de incidencias, que relaciona y que ya constaban en sus escritos anteriores. Asimismo, subraya “todas las medidas específicas implementadas para dar cumplimiento al principio de protección de datos personales desde el diseño antes del inicio del curso y al producirse la brecha”, relacionando las medidas de las que también informaba en su escrito de alegaciones al acuerdo de inicio y han sido reproducidas en apartados anteriores. 1.2. Señala que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/57 “para que pueda hablarse de una infracción del artículo 25 del RGPD, debe verificarse que las medidas técnicas y organizativas adoptadas en la fase de diseño y desarrollo del tratamiento hayan sido manifiestamente inadecuadas o inexistentes, lo que en el presente caso no se acredita en modo alguno”. En este sentido reitera las medidas indicadas anteriormente y añade las siguientes razones adicionales que reforzarían que no éstas no pueden calificarse como inadecuadas o inexistentes: “- Uso de una plataforma estándar del sector con configuración por defecto: La funcionalidad que permitió la visibilidad de determinados datos entre usuarios derivó de una configuración por defecto de Moodle, una de las plataformas educativas más implantadas a nivel mundial. Esta funcionalidad está orientada a facilitar la interacción entre alumnos en entornos colaborativos y formativos, y se encontraba activada conforme a los estándares del software. El hecho de que se mantuviera esta configuración por defecto no puede considerarse un indicio de inadecuación, sino una decisión razonable basada en el uso de una solución ampliamente aceptada en el sector. - Imposibilidad razonable de prever el riesgo asociado: Dado que los datos accesibles eran básicos, no sensibles, ni especialmente protegidos, y que su visualización requería una acción específica por parte del usuario en un entorno cerrado, no era razonable prever que tal configuración implicara un riesgo significativo para los derechos y libertades de los interesados. En consecuencia, no puede afirmarse que la medida adoptada —mantener la configuración estándar del software en su versión educativa— fuera manifiestamente inadecuada. - Aplicación del principio de proporcionalidad: Las medidas fueron proporcionales al riesgo asociado al tratamiento. La plataforma estaba configurada para operar en un entorno cerrado, limitado exclusivamente a los alumnos del curso, quienes compartían una finalidad legítima y un interés formativo común. Adoptar medidas más restrictivas desde el inicio podría haber afectado negativamente a la funcionalidad pedagógica del curso, sin aportar un beneficio proporcional en términos de privacidad. - Ausencia de impacto o perjuicio efectivo: No se ha acreditado que los datos visibles hayan sido utilizados de forma indebida ni que se haya producido un daño concreto, material o inmaterial, a los derechos de los interesados. La incidencia fue contenida en un entorno cerrado, sin acceso de terceros no autorizados, y no ha dado lugar a consecuencias negativas reales. Esta ausencia de impacto también refuerza la adecuación de las medidas, en tanto que cumplieron su función preventiva y de contención. - Capacidad de detección y reacción inmediata: Desde que se recibió el primer aviso de la incidencia el 11 de abril de 2023 a las 23:30 h, INCIBE contactó con el proveedor a las 14:21 h del 12 de abril, y en apenas 12 minutos (a las 14:33
8. h)se desactivó la funcionalidad de visibilidad entre usuarios. Esta rápida actuación evidencia que existían mecanismos operativos y procedimientos eficaces para la detección y resolución de incidencias, lo cual es, en sí mismo, un indicio claro de que las medidas eran adecuadas. - Incorporación de exigencias de protección de datos en la contratación pública: INCIBE no solo adoptó medidas internas, sino que trasladó sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/57 exigencias en materia de protección de datos a los pliegos y contratos del procedimiento de contratación pública, tanto en el expediente 032/19 (contenido del curso) como en el expediente 040/22 (plataforma SaaS). Estas cláusulas reforzaban las obligaciones del proveedor en cuanto a la configuración, seguridad y tratamiento de datos personales, constituyendo una garantía adicional de adecuación desde el inicio. - Existencia de consentimiento expreso por parte de los interesados: Todos los usuarios accedieron al curso mediante automatriculación, tras aceptar de forma expresa la cláusula informativa sobre protección de datos personales. El tratamiento se basaba, por tanto, en consentimiento informado, libre y específico, lo que refuerza la legitimidad del tratamiento y la previsibilidad de que los usuarios podrían interactuar dentro del entorno de formación.” Destaca INCIBE, además, que esta Agencia “ha procedido al archivo de la supuesta infracción del artículo 5.1.
9. f)del RGPD, lo que supone una constatación directa de que no se ha producido una vulneración del principio de integridad y confidencialidad, ni una afectación real o significativa a los derechos de los interesados. Esta decisión de archivo refuerza la conclusión de que no concurre uno de los elementos esenciales para apreciar una infracción del artículo 25 del RGPD: la existencia de un riesgo relevante o un daño efectivo derivado del tratamiento. Si no se acredita una brecha relevante de seguridad ni una afectación a la confidencialidad, tampoco puede sostenerse que las medidas de diseño fuesen manifiestamente inadecuadas. En consecuencia, el archivo del artículo 5.1.
10. f)confirma que no existió un resultado lesivo ni una amenaza grave para los derechos y libertades, por lo que no cabe imputar a INCIBE responsabilidad alguna por el artículo 25 RGPD, máxime cuando Informe de alegaciones al acuerdo de propuesta sancionadora de la AEPD. Expediente: EXP202306833 Página 8 de 22 se han demostrado medidas adecuadas, respuesta diligente y responsabilidad proactiva en todo momento. En conclusión, y a la luz de todos los elementos analizados, no puede sostenerse que las medidas técnicas y organizativas adoptadas por INCIBE fueran manifiestamente inadecuadas o inexistentes. Por el contrario, el conjunto de actuaciones preventivas, contractuales, técnicas y reactivas desplegadas, evidencia un cumplimiento efectivo del principio de protección de datos desde el diseño y por defecto, descartando así que concurra una infracción del artículo 25 del RGPD.” 1.3. A continuación, INCIBE destaca el “carácter limitado, acotado y sin impacto relevante del incidente”. En concreto, señala que ha quedado acreditado en el expediente que solo eran visibles ciertos datos, ninguno de ellos de categoría especial, solo fueron visibles para usuarios matriculados en el curso, la incidencia duró menos de 48 horas y no existen indicios de impacto significativo. Señala que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/57 “Conforme a lo establecido en las Directrices del Comité Europeo de Protección de Datos (EDPB) sobre violaciones de seguridad (Guidelines 01/2021), este tipo de incidentes no alcanzan, por sí solos, el umbral de notificación si no existe una probabilidad alta de afectación significativa a los derechos de los interesados”. Y añade que así lo ha entendido también la propia Agencia en resoluciones anteriores, mencionando los expedientes E/03835/2020, E/00216/2021 y E/05175/2020, en los que se archivaban actuaciones en relación con brechas de seguridad por haber adoptado las entidades afectadas medidas adecuadas. En relación con el presente caso, subraya que “- La configuración de la plataforma Moodle respondía a un entorno educativo estándar, en el que la visibilidad entre alumnos estaba activada para propiciar la interacción didáctica. Esta funcionalidad es común en plataformas MOOC y no implica, por sí sola, un tratamiento excesivo o injustificado de datos, especialmente cuando los datos visibles eran meramente identificativos y dentro de un entorno cerrado. - INCIBE había contratado dicha plataforma en modalidad SaaS con un proveedor tecnológico (NTT DATA), configurada inicialmente conforme a parámetros ampliamente utilizados en contextos académicos online, lo cual forma parte de una práctica habitual y razonable en el sector educativo digital. - Además, se adoptaron medidas de revisión posteriores al incidente, mediante la convocatoria del Comité de Seguridad en dos ocasiones (1 y 8 de junio de 2023), en las que se analizaron, documentaron e implementaron mejoras adicionales de configuración y reducción de datos, solicitando al proveedor una mayor minimización de los datos visibles y almacenados. Asimismo, deben destacarse argumentos adicionales que refuerzan aún más la inexistencia de infracción del artículo 25 RGPD: - Naturaleza limitada y no intrusiva de los datos: los datos visibles eran únicamente identificativos y no sensibles, por lo que el impacto real sobre la privacidad de los interesados fue mínimo. No se trató de información financiera, sanitaria ni de acceso a credenciales. Informe de alegaciones al acuerdo de propuesta sancionadora de la AEPD. - Autocontrol del usuario: en particular, el campo de correo electrónico podía ser configurado individualmente por cada usuario, quien tenía la opción de ocultarlo desde su perfil. Este control personalizable reduce aún más el riesgo derivado. - Legitimidad del tratamiento: todos los usuarios del curso habían aceptado expresamente el tratamiento de sus datos mediante el formulario de inscripción, con información clara y accesible sobre el uso de la plataforma y la política de privacidad. - Entorno cerrado y controlado: no existió en ningún momento posibilidad de acceso externo, ya que el entorno estaba limitado a usuarios registrados, lo que excluye una brecha de seguridad en el sentido técnico definido por el RGPD (artículo 4.12). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/57 - Buena fe y ausencia de negligencia grave: INCIBE actuó con diligencia desde el momento en que tuvo conocimiento del incidente, corrigiendo la configuración en cuestión de minutos. No se ha producido una omisión deliberada ni una actuación contraria a la lex artis en el sector. - Confianza legítima en configuraciones estándar: la configuración por defecto de Moodle es ampliamente utilizada en el sector educativo, lo cual genera una expectativa razonable de cumplimiento normativo por parte del responsable. Así lo reconoce el principio de confianza legítima, aplicable en el marco del Derecho administrativo sancionador.” Concluye al respecto que INCIBE “aplicó, en todo momento, medidas razonables y proporcionadas al riesgo derivado del tratamiento, tal como exige el principio de responsabilidad proactiva consagrado en el artículo 5.2 y el artículo 24.1 del RGPD”. Asimismo, afirma que actuó de forma inmediata al incidente, en línea con las Directrices 01/2021 del CEPD, mencionando las medidas que ya manifestó en sus escritos de respuesta al traslado y de alegaciones al acuerdo de inicio y que han sido reproducidas. Añade que: “En este sentido, INCIBE ha actuado conforme a los principios de protección de datos por diseño y por defecto, teniendo en cuenta: - La plataforma utilizada (Moodle) tiene una configuración estándar que habilita esta visibilidad, configurada así por defecto para fomentar la interacción educativa. - La configuración por defecto fue heredada del proveedor. - INCIBE debió preverla, pero actuó de forma diligente tan pronto como se notificó. - INCIBE, al conocer dicha configuración, procedió a su modificación inmediata, mostrando diligencia y responsabilidad proactiva. - Posteriormente implementó medidas de minimización (reducción de los datos almacenados) y control (comités, plan de mejora). Se implementó un plan de acción interno y se convocaron Comités de Seguridad para revisar y reforzar las medidas de protección, incluyendo la reducción de datos almacenados al mínimo necesario conforme a los principios de minimización y limitación del tratamiento. Esto demuestra una “protección desde el diseño” incluso tras el incidente, reforzando el enfoque proactivo exigido por el RGPD. Por otro lado, debe subrayarse que INCIBE cumplió plenamente con el artículo 33.5 del RGPD, documentando debidamente la violación de seguridad, incluyendo los hechos relacionados con ella, sus efectos y las medidas correctoras adoptadas. Toda esta documentación fue facilitada de forma transparente a la AEPD con el objetivo de permitir la verificación del cumplimiento normativo por parte del responsable. Este cumplimiento documental constituye una prueba más del enfoque diligente y proactivo seguido por INCIBE ante un incidente que, en todo caso, no implicó consecuencias materiales ni intangibles sobre los derechos de los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/57 Finalmente, debe recordarse que el artículo 25 RGPD impone una obligación de medios, no de resultado, lo que implica que el mero hecho de que se produzca una incidencia no determina automáticamente la existencia de una infracción, siempre que se hayan aplicado medidas razonables y se haya actuado con diligencia para evitar y corregir el problema. Así lo ha reconocido el Tribunal de Justicia de la Unión Europea (TJUE, C-768/21) y la propia AEPD, señalando que no procede sanción cuando el responsable actúa conforme al principio de diligencia y responsabilidad proactiva”. Menciona a continuación la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero, para señalar que la obligación de adoptar medidas es de medios y no de resultado, ya mencionada en apartados anteriores. Concluye que dicha jurisprudencia “refuerza la posición de que, en el presente caso, INCIBE adoptó todas las medidas técnicas y organizativas adecuadas antes, durante y después del tratamiento, actuando con la debida diligencia y conforme al principio de responsabilidad proactiva, lo que debe ser suficiente para descartar una infracción del artículo 25 RGPD y para concluir que no procede la imposición de sanción alguna”. 2. Sobre el principio de proporcionalidad y evaluación del riesgo, señala INCIBE la imposibilidad de exigir una garantía absoluta de privacidad. Afirma que “la interpretación del artículo 25 debe realizarse teniendo en cuenta el contexto, la finalidad del tratamiento y el riesgo para los derechos y libertades de los interesados” y la sanción debe ser graduada de acuerdo con los factores recogidos en el artículo 83.2 del RGPD, mencionando de nuevo el expediente E/03835/2020 y otras en las que “se ha reconocido el archivo cuando: - El acceso fue limitado en el tiempo y a un grupo cerrado de personas.  Los datos no fueron especialmente sensibles. - Se actuó con rapidez para su corrección. - Se implementaron medidas correctoras tras el incidente. - La incidencia no se trató de un fallo sistémico.” Señala, en relación con el presente caso, que “Esta configuración exigía, además, una acción activa del usuario para acceder a los datos —hacer clic en el perfil desde el foro— lo que elimina cualquier atisbo de tratamiento masivo, automatizado o no controlado. El sistema no realizaba por defecto un tratamiento indiscriminado, sino que operaba bajo lógicas funcionales estándar del entorno educativo online, lo cual refuerza que no existió una omisión dolosa ni negligencia grave. Todo lo anterior se cumple en el presente caso: se ve afectado un único curso, la duración fue inferior a 48 horas, el acceso estaba restringido a alumnos autenticados, los datos eran meramente identificativos, y se actuó con máxima celeridad. En concreto en el presente caso: - Los datos afectados fueron limitados (nombre, apellidos, email, ciudad y país), todos ellos de naturaleza identificativa no sensible, conforme al artículo 9 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/57 del RGPD. Los datos expuestos son datos básicos de contacto, no sensibles ni financieros, ni que impliquen un riesgo elevado (como credenciales o datos de salud). - El acceso solo era posible para usuarios registrados en el curso, en un entorno cerrado y autenticado, sin exposición al exterior ni acceso desde buscadores u otros usuarios no participantes. Por tanto, la exposición fue en un entorno cerrado, accesible únicamente para usuarios matriculados y autenticados, sin posibilidad de acceso externo o por terceros no autorizados - La visibilidad no era inmediata ni masiva: requería que un usuario del curso hiciera clic en el nombre de otro usuario desde un foro para visualizar su perfil. - La duración del incidente fue menor a 48 horas, siendo mitigado rápidamente, minimizando el posible impacto y sin que conste ningún daño o perjuicio derivado a los afectados de esta incidencia. - Existencia de medidas de seguridad técnicas y organizativas razonables - INCIBE contaba con un sistema técnico de formación contratado bajo un modelo SaaS con el proveedor NTT DATA, que ofrecía una instancia de Moodle configurada conforme a parámetros habituales en este tipo de entornos. La configuración de foros que permitía visibilidad de perfil entre alumnos se ajusta a un criterio funcional del sistema, no a una brecha de seguridad en sentido estricto, al no haber existido tratamiento ilícito ni acceso por parte de terceros no autorizados. Además: - El acceso a los datos estaba restringido exclusivamente a usuarios registrados y autenticados en el curso. - La configuración que generó el incidente no respondía a una negligencia o falta de medidas, sino a un estándar funcional de la plataforma que fue corregido inmediatamente al detectarse su impacto. - INCIBE reaccionó en menos de 12 minutos desde la notificación al proveedor, adoptando la medida técnica correctora que eliminó la visibilidad. - Posteriormente, se activaron mecanismos internos de mejora, a través de dos Comités de Seguridad, en los que se revisó el tratamiento, se evaluaron los riesgos, se redujo el volumen de datos almacenados y se elaboró un plan de acción.” Cita al respecto que “como señala el EDPB en sus Directrices sobre Seguridad del Tratamiento (02/2020), no basta con analizar un fallo puntual, sino que debe valorarse la existencia de un enfoque global de cumplimiento, y INCIBE ha demostrado que contaba con políticas y procedimientos adecuados para garantizar la seguridad de los datos personales. Por tanto, no se ha producido un daño significativo a los derechos y libertades de las personas afectadas, lo que fue también valorado por INCIBE al no notificar el incidente como brecha de seguridad conforme al artículo 33 del RGPD, al no existir probabilidad alta de riesgo para los derechos de los interesados.” Cita asimismo el considerando 85 del RGPD, en los siguientes términos: “Según el Considerando 85 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/57 “Cuando un responsable del tratamiento evalúe la necesidad de notificar una violación de la seguridad de los datos personales a la autoridad de control, deberá tener en cuenta la probabilidad y gravedad del riesgo para los derechos y libertades de las personas físicas.” El considerando 85 indica que, para evaluar notificación o sanción, se debe valorar “la probabilidad y gravedad del riesgo para los derechos y libertades. Por tanto, no hubo riesgo significativo que justificara notificación o sanción. Los elementos objetivos del caso (alcance, duración, datos afectados, medidas correctoras) no justifican una sanción, sino el archivo del expediente. En consonancia con el criterio mantenido por la Agencia Española de Protección de Datos en algunas resoluciones, el deber de aplicar medidas técnicas y organizativas desde el diseño y por defecto (art. 25 RGPD) no exige garantizar la ausencia absoluta de cualquier incidencia, sino demostrar que el responsable ha realizado una evaluación de riesgos adecuada, ha implantado controles razonables y ha reaccionado con diligencia y ante cualquier desviación. En dicho procedimiento, la AEPD valoró que la clave estaba en la existencia de un enfoque proactivo y preventivo, así como en la capacidad del responsable para responder de manera ágil y responsable ante el incidente. Este criterio es plenamente aplicable al presente caso, en el que INCIBE contaba con medidas previamente establecidas, detectó la desviación gracias al aviso de un alumno, y corrigió de forma inmediata el error de configuración, reforzando además los controles técnicos y organizativos” También en relación con este punto, cita el Considerando 78 del RGPD señalando que “no impone una garantía absoluta de invulnerabilidad, sino una razonable adecuación a los riesgos previsibles y una reacción inmediata ante cualquier desviación”, añadiendo que la AEPD ha reiterado que la existencia de un incidente no implica atomáticamente infracción, señalando que “la propia Guía para la gestión y notificación de brechas de seguridad indica claramente que notificar una brecha no conlleva de manera automática la iniciación de un procedimiento sancionador, sino que, en muchos casos, constituye una evidencia de diligencia por parte de la organización. (página 45 “La notificación de brecha no implica la imposición de una sanción”). La Agencia enfatiza que lo relevante no es el hecho en sí del incidente, sino cómo lo gestiona el responsable”. 3. Sobre la diligencia y responsabilidad proactiva, alega INCIBE que ha cumplido con esta obligación en la medida en que “no se limitó a solucionar la configuración errónea, sino que, de forma voluntaria y sin requerimiento previo, adoptó una serie de medidas reforzadas para garantizar la no repetición del incidente”, añadiendo un listado de medidas que ya han sido mencionadas en alegaciones al acuerdo de inicio y analizadas anteriormente. Afirma en relación con estas medidas que “Todo ello es coherente con el principio de responsabilidad proactiva (accountability) recogido en el artículo 5.2 del RGPD, que obliga a los responsables a demostrar el cumplimiento efectivo de la normativa. Como ha reiterado la AEPD en sus resoluciones, la adopción inmediata de medidas correctoras y preventivas, y la colaboración con la Agencia, son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/57 elementos que deben valorarse para atenuar o excluir responsabilidad sancionadora. (Resolución AEPD PS/03835/2020) El incidente no generó, ni objetivamente podía generar, un riesgo real para los derechos o libertades de los interesados, conforme a los parámetros del artículo 32 del RGPD. El principio de responsabilidad proactiva exige una respuesta diligente, no la eliminación absoluta de cualquier exposición eventual, sobre todo si esta ocurre en un entorno autenticado, con finalidad didáctica, y sin implicar datos sensibles ni consecuencias materiales. INCIBE aplicó todas las medidas razonables para asegurar la configuración y confidencialidad, tanto antes como después del incidente, lo que excluye que pueda imputarse una vulneración del RGPD.” 4. En relación con medidas preventivas y mejoras posteriores adoptadas, señala INCIBE que el artículo 83.2 del RGPD “contempla como circunstancias atenuantes la adopción de medidas efectivas tras la detección de un incidente y la colaboración con la autoridad de control. En este sentido, INCIBE ha llevado a cabo una serie de actuaciones que demuestran su compromiso con la protección de datos y la mejora continua: - Se redujo el volumen de datos tratados al mínimo estrictamente necesario, aplicando el principio de minimización. - Se estableció un plan integral de mejora continua orientado a reforzar la seguridad y privacidad de los datos. - Se actualizaron y reforzaron los protocolos de configuración de la plataforma, así como la formación interna del personal responsable. - Se modificaron los parámetros de visibilidad dentro de la plataforma para garantizar una mayor protección de la privacidad de los usuarios. - Se redefinió la política de minimización de datos, limitando el tratamiento exclusivamente a los datos imprescindibles para la finalidad educativa. - Se instauró un plan de acción interno permanente para la revisión y actualización constante de configuraciones y medidas de seguridad. De este modo, la entidad no solo corrigió la incidencia puntual, sino que implementó mejoras estructurales y duraderas que contribuyen a evitar la repetición de situaciones similares, evidenciando una actitud proactiva y responsable en materia de protección de datos.” 5. En relación con la ausencia de notificación a la AEPD y afectados, indica que no decidió notificar la brecha por no haberse producido un riesgo real para los derechos y libertades de los afectados, por a ver tenido la AEPD conocimiento de la misma por la reclamación presentada y por haber sido la actuación preventiva y correctora rápida y eficaz. 6. Señala la ausencia de omisión dolosa o negligencia grave en el diseño del tratamiento en relación con la obligación del artículo 25 del RGPD, entendiendo que la infracción de dicho artículo “requiere, para su apreciación, un incumplimiento sustancial de las obligaciones de diligencia exigibles a un responsable del tratamiento, y no puede basarse exclusivamente en un resultado no deseado si no se acredita negligencia relevante o falta de diligencia debida. En el presente caso, INCIBE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/57 actuó con la diligencia exigible, reaccionando con inmediatez y eficacia desde el mismo momento en que tuvo conocimiento del incidente. INCIBE no ha cometido una omisión voluntaria ni previsible, sino que actuó conforme a lo habitual en el uso del software contratado.” Al respecto señala que “El diseño e implementación de la plataforma de formación online (MOOC), externalizada a través del proveedor NTT DATA, se realizó conforme a estándares técnicos de amplia difusión Moodle) cuya configuración inicial por defecto no fue desarrollada ad hoc por INCIBE, sino ofrecida en un entorno SaaS. La diligencia del responsable se debe medir también en función de su capacidad técnica real de control sobre los sistemas empleados, especialmente en entornos SaaS donde ciertas configuraciones vienen predefinidas. El incidente se debió a una configuración por defecto de Moodle, sistema que incorpora la opción de visibilidad entre usuarios como funcionalidad estándar en los foros para promover la interacción. Este comportamiento es ampliamente conocido y aceptado en entornos educativos online, donde se fomenta la colaboración entre participantes. Lo relevante aquí es que dicha visibilidad requería una acción voluntaria del usuario (acceder al perfil desde el foro), no tratándose en modo alguno de un acceso automático o indiscriminado. No puede considerarse, por tanto, que INCIBE diseñara su sistema sin tener en cuenta la privacidad, sino que configuró una solución basada en un sistema probado y extendido, y reaccionó con diligencia ante una situación no prevista.” Y a continuación reitera que INCIBE actuó de forma diligente desde el momento en que tuvo constancia del incidente. Concluye abundando en este argumento que “INCIBE no ha actuado de forma intencionada ni negligente, sino que la causa raíz fue una configuración por defecto del software Moodle, ampliamente utilizado y que no fue modificada expresamente por desconocimiento razonable, pero que fue corregida con rapidez y diligencia. Es importante distinguir que el acceso a los datos personales no fue automático ni masivo, sino que requería una acción voluntaria y específica por parte de los usuarios, eliminando así la posibilidad de una divulgación accidental o masiva. No se ha identificado ningún uso malicioso o intencionado de los datos por parte de los alumnos, lo que confirma la ausencia de un perjuicio real para los interesados. En consecuencia: - No existió intención de vulneración. - La causa fue una configuración técnica estándar. - La reacción fue diligente y efectiva.” 7. Señala INCIBE que existe jurisprudencia y precedentes de la AEPD que respaldan sus alegaciones. En concreto afirma lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/57 “La incidencia afectó a un número limitado de usuarios dentro de un entorno cerrado y seguro, durante un período breve de tiempo. No se registraron accesos externos ni uso indebido de los datos, y las medidas correctoras fueron implantadas en un plazo de minutos tras la detección. Estos datos corroboran la ausencia de un riesgo real y significativo para los derechos y libertades de los interesados. La AEPD ha archivado procedimientos similares cuando se han cumplido los siguientes criterios (que concurren también en este caso): - Visibilidad limitada a un entorno cerrado y seguro (usuarios del mismo curso, comunidad interna).  Incidencia puntual y limitada en el tiempo. - Existencia de medidas adecuadas, actuación diligente y rápida gestión. - Datos de carácter básico, sin componente especialmente sensible ni impacto material.  Corrección rápida del comportamiento del sistema. - Ausencia de daño a los interesados, ni utilización indebida de los datos. - -Medidas internas posteriores para evitar recurrencia y reforzar garantías. Se solicita que, conforme a resoluciones previas, se valore el archivo del expediente, dado que: - Resolución E/03835/2020: archivo por tener implementadas medidas adecuadas. - Resolución E/00216/2021: archivo por existencia de medidas de seguridad y organizativas preventivas razonables a fin de evitar este tipo de incidencias, y acordes con el nivel de riesgo. - Resolución AI-06098/2019: Archiva actuaciones tras errores administrativos que expusieron datos, al no apreciarse negligencia grave y haberse corregido la situación. Nuestro error de configuración técnica es equivalente a un error administrativo puntual; la corrección inmediata y el refuerzo de medidas respaldan la no sanción. - Resolución E-05175-2020 en que se archivan actuaciones valorando la existencia de medidas técnicas y organizativas razonables para evitar este tipo de incidencia, no obstante y una vez detectada ésta, se produce una diligente reacción al objeto de implementar medias para eliminarla. - Resolución E/04740/2020: Se archivaron las actuaciones tras un ataque informático que permitió el acceso no autorizado a datos personales, valorándose la rápida notificación, colaboración con la AEPD y la adopción de medidas correctoras efectivas. Nuestro incidente, de carácter puntual y limitado, fue gestionado con igual diligencia y transparencia, justificando igualmente el archivo sin sanción. - Resolución E/02825/2018: En este expediente, la AEPD archivó un procedimiento tras la notificación de la desaparición de un ordenador portátil que contenía datos personales de clientes, dado que la empresa afectada adoptó medidas adecuadas para mitigar los riesgos. Esta resolución pone en valor la importancia de la diligencia y la correcta gestión ante incidentes de seguridad, concluyendo que tales actuaciones excluyen la existencia de responsabilidad sancionadora. En consonancia con esta doctrina, la actuación de INCIBE ante el incidente objeto del presente expediente ha sido igualmente diligente, inmediata y orientada a minimizar cualquier riesgo para los derechos de los afectados. En estas resoluciones se concluye que no existe incumplimiento grave o negligente que justifique la imposición de sanción, procediéndose al archivo del expediente. INCIBE considera que un incidente con acceso limitado y sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/57 consecuencias tangibles no supone una infracción del principio de integridad y confidencialidad, al no acreditarse un riesgo significativo ni un fallo sistémico en las medidas adoptadas.” 8. Por último, destaca INCIBE la colaboración y buen cumplimiento. Afirma que desde la detección de la brecha ha colaborado de manera transparente y efectiva con la Agencia, proporcionando toda la información requerida y facilitando las actuaciones, reflejando así su compromiso con la cooperación y el cumplimiento normativo. Asimismo, que su actuación ha estado guiada por la buena fe, sin intencionalidad ni negligencia. De acuerdo con las alegaciones expuestas en los ocho puntos señalados, concluye INCIBE que “no se acredita un incumplimiento grave, estructural ni negligente por parte de INCIBE del artículo 25 RGPD. Se ha demostrado la adopción de medidas razonables, una reacción inmediata, colaboración plena con la AEPD y una voluntad continua de mejora. Todo ello excluye la existencia de responsabilidad sancionadora y justifica, en coherencia con precedentes de la propia Agencia, el archivo del expediente” y solicita el archivo de las actuaciones por no haberse incumplido los artículos 5.1
11. f)ni 25 del RGPD o, subsidiariamente, se considere la inexistencia de responsabilidad sancionable conforme a los principios de tipicidad, culpabilidad y proporcionalidad. NOVENO: INCIBE es un Sociedad Mercantil Estatal, cuyo régimen jurídico está previsto en el capítulo V del título II de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. De acuerdo con sus cuentas anuales, publicadas en el apartado de transparencia de su página web, su cifra de negocio correspondiente al ejercicio 2022 fue de 349.896 euros. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 11/04/2023 a las 9:00 horas se inició un curso online en la plataforma de formación de INCIBE denominado “***CURSO.1”. SEGUNDO: El curso fue organizado por INCIBE, responsable del tratamiento, que formalizó un contrato de suministro para el alquiler del software de la plataforma con el proveedor DICAMPUS, con quien suscribió un contrato de encargo, y que tenía encomendado el mantenimiento y la programación de la plataforma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/57 TERCERO: En fecha 11/04/2023, a las 23:30 horas, INCIBE tuvo conocimiento de una brecha de datos personales en el curso anteriormente mencionado a través de dos correos electrónicos remitidos por dos alumnos. En dichos correos se alertaba de que en la plataforma de formación del curso eran visibles, para todos los usuarios del curso, los nombres y apellidos de los demás, así como su correo electrónico, su ciudad y país. CUARTO: El 12/04/2023 INCIBE contactó con DICAMPUS que procedió a deshabilitar la visibilidad entre usuarios a las 14:33 horas de ese mismo día. QUINTO: La brecha se produjo por un error en la configuración de privacidad de la plataforma de formación utilizada por INCIBE (Moodle), configuración que existía por defecto en el software y que no se cambió en el diseño previo de la plataforma antes del inicio del curso por el responsable del tratamiento. SEXTO: Los datos filtrados de cada alumno al que se accedió a su perfil fueron: Nombre y Apellidos, Email, País y Ciudad. Estos campos tenían una opción de configuración (administración del portal) que permitía modificar su visibilidad y hacer que fueran visibles de distinta forma: “visible solo para el propio usuario (y administradores)”, “visible para otros usuarios (y administradores)” o bien “no visible (solo administradores)”, no obstante, estaban configurados por defecto para que fueran visibles para el resto de los usuarios. En relación con el dato Email, tenía un campo de configuración adicional que permitía modificar su visibilidad y hacer que este dato fuese oculto para el resto de los usuarios, este parámetro podía ser alterado en el perfil de configuración del propio usuario, no obstante, por defecto este parámetro estaba configurado para ser visible, por lo que debía cambiarse de forma expresa por el usuario para ocultarlo. Por su parte, los datos correspondientes a País y Ciudad únicamente se mostraban rellenados en aquellos supuestos en los que se hubieran indicado en el proceso de matrícula. SÉPTIMO: El curso afectado por la incidencia tuvo un número aproximado de 9.000 alumnos inscritos y la brecha de datos personales afectó a 399 usuarios únicos cuyos datos de perfil fueron filtrados y visualizados por otros alumnos. De los 9.000 alumnos inscritos, 318 accedieron al menos a un perfil que no era el suyo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/57 OCTAVO: Hasta el 12 de junio de 2023 los datos tratados por la plataforma Moodle obtenidos del proceso de inscripción eran: nombre, apellidos, DNI, correo electrónico, código postal, fecha nacimiento, nacionalidad, teléfono, nivel estudios, situación laboral. No obstante, los únicos datos necesarios eran nombre, apellidos, DNI, correo electrónico, mientras que el resto se recababa con fines estadísticos. NOVENO: INCIBE tenía desplegadas, con anterioridad a la brecha, diferentes medidas de seguridad relativas al curso y a la plataforma utilizada. DÉCIMO: Como consecuencia de la brecha de datos personales, se llevaron a cabo las siguientes acciones y medidas reactivas por parte de INCIBE: - (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/57 un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que INCIBE realiza, entre otras operaciones de tratamiento, la recogida, registro, conservación y utilización de datos personales de personas físicas -alumnos de sus cursos de formación- en concreto: nombre, apellidos, dirección de correo electrónico, ciudad y país, entre otros. INCIBE realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada al acuerdo de inicio, cabe señalar lo siguiente (se mantiene la numeración utilizada en el antecedente sexto): 1. Alegaciones sobre el artículo 25 1.1. En relación con la diligencia y las medidas técnicas y organizativas señaladas por INCIBE, cabe destacar que, con independencia de ellas, ha quedado acreditado que se ha producido una brecha de datos personales, que INCIBE reconoce (la exposición de determinados datos de 399 alumnos del curso a otros alumnos del curso) y también que esa brecha es consecuencia directa de la configuración de la privacidad de la plataforma utilizada para la formación, que permitía, por defecto, que los datos de los 9.000 usuarios (alumnos) fueran visibles para los demás, que no fue modificado antes del inicio del curso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/57 1.2. En relación con el hecho de que la protección de datos “se configurara como una obligación esencial del contrato”, cabe aclarar que INCIBE, como responsable del tratamiento, responde por la toma de decisiones sobre los fines y medios del tratamiento. En el caso que nos ocupa, en relación con la configuración de la plataforma, que ha originado la brecha. Así, un encargado actúa por cuenta del responsable conforme a las instrucciones proporcionadas por este. En este sentido, no puede obviarse lo previsto en el artículo 28.1 del RGPD que exige que, a la hora de elegir un encargado, el responsable seleccione a aquel que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. Asimismo, el artículo 28.3 RGPD consagra entre los elementos a incluir en el contrato que rija la relación entre el responsable y el encargado las medidas de seguridad, conforme al artículo 32 RGPD, a adoptar e implementar por este. Asimismo, conviene hacer referencia a lo previsto en el Considerando 78 del RGPD en el que se hace referencia a la necesidad de tener presentes los principios de protección de datos desde el diseño y por defecto en el contexto de los contratos públicos. “78. (…) Al desarrollar, diseñar, seleccionar y usar aplicaciones, servicios y productos que están basados en el tratamiento de datos personales o que tratan datos personales para cumplir su función, ha de alentarse a los productores de los productos, servicios y aplicaciones a que tengan en cuenta el derecho a la protección de datos cuando desarrollan y diseñen estos productos, servicios y aplicaciones, y que se aseguren, con la debida atención al estado de la técnica, de que los responsables y los encargados del tratamiento están en condiciones de cumplir sus obligaciones en materia de protección de datos. Los principios de la protección de datos desde el diseño y por defecto también deben tenerse en cuenta en el contexto de los contratos públicos”. 1.3. En cuanto a haber realizado una auditoría de seguridad como muestra de la importancia que concede a la protección de datos y la diligencia en su actuación, cabe reiterar la respuesta a la primera alegación, en el sentido de que, a pesar de esa auditoría, ha quedado acreditada una brecha de datos personales consecuencia de una configuración de la plataforma contraria a la normativa de protección de datos personales. 1.4. Sobre los datos que han quedado expuestos y la posibilidad que ofrecía la plataforma de configurar y controlar el acceso a esos datos, INCIBE cita la alusión de las Directrices del CEPD a la posibilidad de “pedir consentimiento para que los datos personales sean accesibles públicamente, o establecer una configuración de privacidad que permita a los propios interesados controlar el acceso público”, señalando que, en el presente caso, la plataforma permitía a los usuarios controlar el acceso a sus datos en su plataforma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/57 Sin embargo, esa posibilidad se menciona en el punto 58 de las Directrices como un ejemplo de cómo dar la oportunidad a los interesados de intervenir antes de poner a disposición sus datos. Este matiz queda claro de la lectura de los puntos inmediatamente anteriores de las directrices, que señalan lo siguiente (el subrayado es nuestro): “56. El artículo 25, apartado 2, establece además que los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. Por defecto, el responsable del tratamiento debe limitar la accesibilidad y ofrecer al interesado la posibilidad de intervenir antes de publicar o poner de otro modo datos personales acerca del interesado a disposición de un número indeterminado de personas físicas. 57. Poner datos personales a disposición de un número indeterminado de personas puede hacer que los datos se difundan todavía más de lo inicialmente previsto. Esto es especialmente pertinente en el contexto de internet y los motores de búsqueda. Significa que, por defecto, los responsables deben ofrecer a los interesados la oportunidad de intervenir antes de que sus datos personales sean accesibles a través de la internet pública. Esto es especialmente importante en el caso de los niños y grupos vulnerables. 58. En función de los fundamentos jurídicos del tratamiento, la oportunidad de intervenir podría variar en el contexto del tratamiento. Por ejemplo, pedir consentimiento para que los datos personales sean accesibles públicamente, o establecer una configuración de privacidad que permita a los propios interesados controlar el acceso público.” Es decir, que los datos personales no deben ser accesibles a un número indeterminado de personas sin la intervención previa del interesado. Y que esta posibilidad de intervenir, según las directrices, puede arbitrarse de varias maneras según el contexto, entre las que cita, por ejemplo, “establecer una configuración de privacidad que permita a los propios interesados controlar el acceso público”. En el presente caso la plataforma ofrecía a los usuarios esa posibilidad de configuración. Pero lo hacía una vez que el curso se había iniciado y sus datos eran por defecto accesibles para los demás usuarios. No cabe por tanto asumir que esa posibilidad de configuración, en este caso concreto, diera cumplimiento a las obligaciones del artículo 25.2 del RGPD. 1.5. En relación con la alegación de INCIBE de que modificó determinados aspectos de la plataforma que venían configurados por defecto y que los datos no eran visibles sin una previa actuación de los demás interesados (consistente en pinchar voluntariamente en el nombre de otro alumno en la sección de participantes o introducir una URL), tampoco cabe considerar que esto signifique que no eran, por defecto, accesibles. En este sentido, el artículo 25.2 del RGPD establece que las medidas “garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas”. La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/57 “persona” a la que se refiere dicho inciso es la persona cuyos datos se tratan y lo que se establece es que sus datos personales, por defecto, no sean accesibles. Si consideramos que los datos personales objeto de este procedimiento no tenían por qué ser conocidos para los demás usuarios del curso, el hecho de que otros usuarios pudieran acceder a los mismos (por ejemplo, pinchando en el perfil de otro alumno) implica que estos pueden ser conocidos sin que la persona cuyos datos se exponen haya podido dar su consentimiento, configurar su accesibilidad o intervenir de algún otro modo en esa decisión. Volviendo a los puntos 56 a 58 de las Directrices del CEPD citadas, la “puesta a disposición” de unos datos se puede hacer de diferentes modos. Pero siguiendo las citadas directrices, cabe entender que la previsión de que los datos, por defecto, “no sean accesibles” no se refiere solo a que no lo sean de forma pública, sino para personas que no tienen por qué conocerlos, sin antes ofrecer al interesado la posibilidad de intervenir en la puesta a disposición de los mismos. En relación con este mismo inciso, alega también INCIBE que además de considerar que no eran “accesibles de cualquier modo”, tampoco lo eran “a un número indeterminado de personas físicas ya que, como máximo, podían ser visualizados por el número determinado de personas físicas inscritas en el curso”, por lo que considera que no se da el supuesto mencionado en el último inciso del artículo 25.2 del RGPD. Al respecto hay que señalar que el artículo 25.2 del RGPD obliga al responsable del tratamiento a aplicar las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Por tanto, por defecto, los datos personales sólo podrán ser objeto de acceso cuanto tal acceso sea necesario para los fines específicos del tratamiento, y en el caso que se examina el acceso a los datos de los alumnos por otros alumnos no era necesario, por lo que INCIBE debió adoptar las medidas necesarias para que los datos no pudieran ser consultados por defecto por otros alumnos. El último inciso del artículo 25.2 recoge, en particular, las medidas que deberán adoptarse para que los datos por defecto no sean accesibles a un número indeterminado de personas, lo que no quiere decir que no deban establecerse otras medidas que eviten accesos no necesarios a los datos personales en otras circunstancias. En este sentido, de nuevo cabe referirse a las Directrices citadas anteriormente, en cuyo párrafo 55 indican que “el responsable del tratamiento debe limitar quién tiene acceso y qué tipo de acceso a los datos personales en función de una evaluación de necesidades y asegurarse además de que los datos personales sean efectivamente accesibles para quienes los necesiten cuando los necesiten, por ejemplo en situaciones críticas. Deben observarse controles de acceso para todo el flujo de datos durante el tratamiento” y en su párrafo 56 señalan que “el artículo 25, apartado 2, establece además que los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas (…)”. En definitiva, el establecimiento de las medidas contempladas, en particular, en el último inciso del artículo 25.2 para limitar del acceso a los datos a un número indeterminado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/57 de personas físicas, no excluye la aplicación de las medidas adecuadas que limiten por defecto, con carácter general, la accesibilidad de los datos en función de una evaluación de necesidades. Así las cosas, el principio de minimización de datos recogido en el artículo 5.1.
12. c)del RGPD se encuentra relacionado directamente con la privacidad por defecto del art. 25.2 del mismo texto legal. Asimismo, lo anterior, debe ponerse en relación con uno de los ejes vertebradores del RGPD: asegurar el control sobre sus datos por parte del interesado. En el presente caso no debe olvidarse que el número de inscritos en el curso era de aproximadamente 9.000 personas y que los datos de cada uno de los alumnos pudieron haber sido accedidos por cada uno de ellos, produciéndose finalmente el acceso a los perfiles de 399 usuarios únicos. Esto supone una pérdida directa del interesado sobre el control de sus propios datos personales. En el presente caso, el alcance y riesgos de que los datos estén disponibles en el marco de una plataforma cerrada y solo para sus usuarios son mucho menores que si se tratara de una publicación en Internet, por ejemplo. Pero siguiendo las citadas Directrices, cabe entender que las medidas deben asegurar que los datos personales sean efectivamente accesibles para quienes los necesiten cuando los necesiten, lo que INCIBE no hizo en este caso. 1.6 y 1.7. En cuanto a las auditorías realizadas con carácter previo a la brecha y las medidas adoptadas una vez identificada la brecha, de nuevo cabe reiterar la respuesta a la primera alegación, en el sentido de que, a pesar de esa auditoría y de las medidas adoptadas con posterioridad, en lo que se refiere a las obligaciones que impone el artículo 25 del RGPD, ha quedado acreditada una brecha de datos personales y la decisión de configuración de la plataforma como origen de esta. Además, conviene remarcar que algunas de las medidas adoptadas con posterioridad al incidente, como, por ejemplo, la modificación de los datos exigidos por la plataforma se produjo el 12 de junio de 2023, esto es, con posterioridad al traslado de la reclamación efectuada por la AEPD, que se realizó el 28 de mayo de 2023. 1.8. En cuanto a la alegación sobre la obligación de adoptar medidas de seguridad como una obligación de medios y no de resultados, al hilo de la Sentencia 543/2022, de 15 de febrero de 2022, del Tribunal Supremo, cabe recordar, de nuevo, que en el presente procedimiento no se considera que haya quedado acreditada una falta generalizada de medidas de seguridad. Lo que se considera acreditado es que existió efectivamente una brecha de confidencialidad (la puesta a disposición de determinados datos de los alumnos del curso a terceros no autorizados) y que esa brecha se debió a un error en la configuración de la plataforma que, de no producirse, no hubiera generado la brecha. De la misma manera, si el número de datos de los alumnos disponibles en la plataforma se hubiera limitado al mínimo imprescindible, el número de datos personales de los afectados expuestos, se hubiera reducido considerablemente. Estos aspectos suponen, por tanto, el incumplimiento de los principios de protección de datos desde el diseño y por defecto previsto en el artículo 25 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/57 Efectivamente puede existir una brecha “a pesar de” haberse tomado medidas razonables para evitar que ésta se produzca. No obstante, en el presente caso está identificada la causa de la brecha y ésta es una errónea configuración de la plataforma desde su inicio. La sentencia del Tribunal Supremo que cita INCIBE señala que “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento” Pero el TS en su sentencia señala también que no es exigible la infalibilidad de las medidas adoptadas, pero sí resulta exigible la adopción e implantación de medidas técnicas y organizativas, que conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado, lo que pudo hacerse en este caso configurando la aplicación para que los datos de los alumnos no fueran accesibles por defecto. Sin embargo, no se estableció ninguna medida en este sentido, cuando la técnica en el momento en el que se produjeron los hechos permitía establecer tales medidas. En relación con esta cuestión hay que hacer referencia, también, a la SAN de 29 de octubre de 2024, rec. 1824/2021, que dispone que “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. Asimismo, cabe citar la sentencia del Tribunal Constitucional 94/1998, de 4 de mayo, en la que el Tribunal Constitucional señalaba que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. En este sentido, el enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD -partiendo de la doble configuración de la seguridad como un principio relativo al tratamiento y una obligación para el responsable o el encargado del tratamiento- no impone en ningún caso la infalibilidad de las medidas, sino su adecuación constante al riesgo. Sin perjuicio de lo anterior, se reitera que el objeto del presente procedimiento sancionador no versa sobre una posible infracción del artículo 32 del RGPD, sino C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/57 sobre una brecha de datos personales que se produjo como consecuencia directa de una configuración contraria al artículo 25 del RGPD. 1.9. Por otro lado, cita INCIBE la sentencia del TJUE, en el asunto C-768/21, que señala en relación con los artículos 57 y 58 del RGPD, que la autoridad de control no está obligada a adoptar una medida correctora (en particular una multa). Al respecto cabe señalar que el TJUE señala que la autoridad no está obligada establecer una sanción pecuniaria en todo caso. El artículo 57 establece las funciones que tienen las autoridades de control (en este caso la AEPD) y el artículo 58 los poderes de los que dispone para llevar a cabo esas funciones, entre ellos, la posibilidad de imponer multas. En relación con esas previsiones, lo que el TJUE plantea es que aunque se reúnan las condiciones para la imposición de una multa la autoridad de control no tiene necesariamente que imponerla y menciona circunstancias que pueden tenerse en cuenta para no hacerlo. En cualquier caso, corresponde a la AEPD, en el ejercicio de las competencias legalmente atribuidas, determinar la medida correctiva a imponer, valorando las circunstancias concretas del caso concreto. 1.10. Por último, considera INCIBE que no tiene cabida la agravante de vinculación de la actividad al no haber prueba alguna de que en otro curso promovido por INCIBE se hayan vulnerado los principios del RGPD y porque la formación no constituye la actividad directa y habitual del organismo. La circunstancia mencionada figura en el artículo 76.2
13. b)de la LOPDGDD como criterio a tener en cuenta en relación con la cuantía de las multas, en los siguientes términos: 2. De acuerdo a lo previsto en el artículo 83.2.
14. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: (…)
15. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. De acuerdo con el tenor literal del artículo, la vinculación de la actividad del infractor no se limita a la actividad concreta del infractor, sino a que exista una vinculación con el tratamiento de datos personales en la actividad del infractor en cuyo marco se produce la infracción, en el presente caso, la organización de cursos de formación online, y no cabe duda de que la formación es una actividad habitual de INCIBE que se encuentra vinculada “con la realización de tratamientos de datos personales” En este sentido, cabe tomar en consideración en primer lugar que INCIBE presta diferentes servicios en el marco de los cuales se realizan tratamientos de datos. En el Registro de actividades de tratamiento de datos personales publicado en la página web de la entidad figura un listado de 16 tratamientos. Parte de ellos tienen que ver con la gestión ordinaria del organismo (gestión de RRHH, procedimientos de contratación, etc.), pero varios tienen que ver con la prestación de servicios a los ciudadanos como usuarios de servicios de INCIBE (como sería el caso del canal de denuncias, la línea de ayuda 017 o las propias actividades de formación). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/57 Así, la formación, aun cuando no se trate de la competencia principal de INCIBE, como se alega, sí ocupa un papel relevante entre las actividades del organismo, como se deduce del listado de cursos que se ofrecen en el apartado de formación de su página web y de su inclusión en su Plan Estratégico para el periodo 2023-2025. Sentado lo anterior, cabe indicar en cuanto a la proporcionalidad de la sanción, que el acuerdo de inicio fijaba inicialmente la sanción por el presunto incumplimiento del artículo 25 RGPD en 3.500 euros. No obstante, conviene señalar que las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD consagran tres elementos como punto de partida para la imposición de multas: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 RGPD) y la gravedad de la infracción en cada caso concreto atendiendo a las circunstancias del artículo 83.2 RGPD en sus apartados a),
16. b)y g). En el presente caso, sin perjuicio de las circunstancias valoradas en el acuerdo de inicio, se considera que ha de tenerse en cuenta la escasa duración de la infracción. Así, el curso con los defectos de configuración comenzó a las 9 de la mañana del 11 de abril de 2023. INCIBE tuvo conocimiento de la brecha de datos personales ese mismo día a las 23.30 horas. A las 14:33 horas del 12 de abril de 2023, el encargado del tratamiento, a instancia del responsable, había deshabilitado la opción de visibilidad entre los usuarios. Por otra parte, el 12 de junio de 2023 se modificaron los datos personales exigidos por la plataforma a los mínimos indispensables. Atendiendo a lo anterior, cabe estimar la alegación de INCIBE respecto a la proporcionalidad de la sanción en los términos anteriormente indicados, en virtud de las circunstancias determinadas en el artículo 83.2
17. a)RGPD. 2. Alegaciones sobre el artículo 5.1
18. f)A la vista de las alegaciones de INCIBE realizadas al acuerdo de inicio, y revisada la documentación obrante en el expediente, se comprueba que, en este caso concreto, el origen de la brecha es consecuencia directa y única de una defectuosa configuración de la plataforma de formación que no cumplía con las exigencias en materia de protección de datos previstas por el artículo 25 del RGPD. En este sentido, las Directrices 4/2019 relativas al artículo 25 del CEPD a las que se ha hecho referencia anteriormente, señalan que: “7. Con arreglo al artículo 25, apartado 1, el responsable del tratamiento aplicará las medidas técnicas y organizativas adecuadas concebidas para aplicar los principios de protección de datos e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos y proteger los derechos y libertades de los interesados. Tanto las medidas adecuadas como las garantías necesarias tienen la finalidad de proteger los derechos de los interesados y garantizar que la protección de sus datos personales se integre en el tratamiento. 8. En un sentido amplio, cabe entender que las medidas técnicas y organizativas y las garantías son cualquier método o medio que el responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/57 pueda emplear en el tratamiento. Para que sean adecuadas, las medidas y las garantías necesarias deben ser adecuadas para conseguir el fin previsto, es decir, deben aplicar los principios de protección de datos de forma efectiva. Por lo tanto, el requisito de que sean adecuadas está estrechamente ligado al requisito de la efectividad” De lo anterior, se deriva que el artículo 25 exige en su apartado primero que el responsable implemente las medidas adecuadas para aplicar los principios -entre los que se incluye, entre otros, el artículo 5.1 f)- de manera efectiva, atendiendo a la naturaleza, ámbito, contexto y fines del tratamiento. Asimismo, las mencionadas directrices determinan: “41. (…) el término «por defecto» aplicado al tratamiento de datos personales se refiere a la toma de decisiones relativas a valores de configuración u opciones de tratamiento establecidos o prescritos en un sistema de tratamiento, como una aplicación informática, un servicio o un dispositivo periférico, o bien un procedimiento de tratamiento manual que afecte a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. 42. El responsable debe elegir y responsabilizarse de aplicar parámetros y opciones de tratamiento por defecto de manera que, por defecto, solo se lleve a cabo el tratamiento que sea estrictamente necesario para cumplir el fin lícito establecido”. En este sentido, el apartado segundo del artículo 25 establece se han de adoptar las medidas técnicas y organizativas adecuadas para garantizar, por defecto, el cumplimiento de los principios que deben regir el tratamiento, entre ellos, el principio de integridad y confidencialidad previsto en el artículo 5.1 f). Por lo anterior, procede archivar la presunta infracción, lo que supone, de facto, la estimación de la conclusión de la alegación realizada por INCIBE por la que se solicitaba el archivo de la presunta infracción del artículo 5.1
19. f)del RGPD. IV Contestación a las alegaciones a la propuesta de resolución En respuesta a las alegaciones presentadas por la entidad reclamada a la propuesta de resolución, cabe señalar lo siguiente (se mantiene la numeración utilizada en el antecedente octavo): Con carácter previo cabe señalar que buena parte de las alegaciones presentadas a la propuesta de resolución reiteran argumentos ya señalados en las alegaciones al acuerdo de inicio, a los que se ha dado respuesta en el fundamento anterior. En particular, las referidas a las medidas adoptadas con anterioridad y posterioridad al incidente y que INCIBE cita como muestra de su actuación proactiva y diligente. A continuación, se da respuesta a las alegaciones formuladas, siguiendo la numeración del escrito presentado por INCIBE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/57 1. En relación con el argumento de que la entidad ha actuado con diligencia en la adopción de medidas previas al tratamiento y tras la brecha, cabe reiterar lo ya señalado en contestación a las alegaciones al acuerdo de inicio, en el sentido de que, con independencia de las medidas adoptadas y la pertinencia de todas ellas, lo cierto es que ha quedado acreditado que se ha producido una brecha de datos personales, que INCIBE reconoce, y también que esa brecha es consecuencia directa de la configuración de la privacidad de la plataforma utilizada para la formación, que permitía, por defecto, que los datos de los 9.000 usuarios (alumnos) fueran visibles para los demás, que no fue modificado antes del inicio del curso. Afirma INCIBE que para que pueda haber infracción del artículo 25 del RGPD debe haberse “producido un fallo estructural o sistémico en el diseño del tratamiento”. Sin embargo, de la redacción del artículo 25 no cabe entender que los fallos de diseño deban ser estructurales, dado que el artículo obliga a aplicar las medidas apropiadas y en su apartado 2, el artículo 25 enumera, a modo de ejemplo, aspectos concretos en los que se aplica (cantidad de datos, plazo de conservación, accesibilidad). Así, de considerar, como afirma INCIBE, que solo cuando el diseño de un tratamiento falla de forma estructural o sistémica hay un incumplimiento del artículo 25, implicaría que, siempre que el responsable adoptara medidas con carácter general estaría cumpliendo con lo establecido en ese artículo aun cuando algunas de esas medidas no fueran adecuadas y permitieran la transgresión de alguno de los principios de protección de datos, como en este caso. Sin embargo, lo que pretende el RGPD es poner el foco precisamente en esa fase de diseño del tratamiento, para que en cada uno de los aspectos del tratamiento se valoren los riesgos y las medidas a adoptar. Si en esa fase, como sucede en el presente caso, hay una decisión de diseño (la configuración de la plataforma), que afecta a los datos personales que se tratan (que sean visibles o
20. no)y se toma una decisión (mantener la configuración por defecto) que supone un riesgo (y que, de hecho, se ha materializado en una brecha), puede entenderse que esa decisión supone un incumplimiento del artículo citado. Cuestión distinta es la valoración de ese incumplimiento a los efectos de determinar el importe correspondiente a la sanción a imponer, conforme a lo previsto en el artículo 83.2, desarrollado por las Directrices 04/2022, sobre el cálculo de las multas bajo el RGPD, que se recogía en la mencionada propuesta de resolución y se reproduce en esta resolución. Señala también INCIBE que para que haya un incumplimiento debe darse la condición de que “las medidas adoptadas sean manifiestamente inadecuadas o inexistentes”. De nuevo cabe decir que el mantenimiento de los parámetros de configuración por defecto de la plataforma ha sido, en este caso concreto, manifiestamente inadecuados para el tratamiento que se realiza, y que se han manifestado, además, en la materialización de una brecha de datos personales, alertada por los afectados (personas matriculadas en el curso) y aceptada y tratada como tal por INCIBE. Por último, señala INCIBE que para que haya incumplimiento es necesario que el fallo “haya producido o pueda producir un riesgo relevante o un daño efectivo a los derechos y libertades de los interesados.” No obstante, el artículo 25 no recoge tal apreciación. Conviene aclarar, en este sentido, que el artículo 25 se vincula a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/57 garantizar el cumplimiento de los principios previstos en el artículo 5 del RGPD. Principios que tienen por objeto, como no puede ser de otra manera, garantizar un nivel adecuado de protección de los datos personales, asegurando, en último término, el control de sus titulares sobre los mismos. 1.1. En relación con medidas técnicas y organizativas adoptadas tanto antes del inicio del tratamiento como en el momento de la incidencia, cabe reiterar lo ya señalado en respuesta a las alegaciones al acuerdo de inicio. 1.2. En relación con la adecuación de las medidas, añade INCIBE sobre el uso de la plataforma que se ha usado una plataforma estándar del sector con configuración por defecto y con una funcionalidad orientada a facilitar la interacción entre alumnos propia de un entorno colaborativo y educativo. Esto no impide, sin embargo, que deba hacerse una evaluación de si los parámetros establecidos por defecto en dicha aplicación son adecuados al tratamiento en este caso concreto por parte del responsable del tratamiento. El hecho de que hayan existido reclamaciones al respecto e INCIBE las haya atendido como brechas de datos personales, ponen de manifiesto, precisamente, que esa parametrización no era adecuada. El hecho de que INCIBE mantenga la parametrización por defecto no es, como afirma, “una decisión razonable basada en el uso de una solución ampliamente aceptada en el sector”, como afirma, sino una constatación de que, en este punto en concreto, no se ha tenido en cuenta la privacidad por defecto en esa parametrización. Afirma asimismo INCIBE que la plataforma “estaba configurada para operar en un entorno cerrado, limitado exclusivamente a los alumnos del curso, quienes compartían una finalidad legítima y un interés formativo común. Adoptar medidas más restrictivas desde el inicio podría haber afectado negativamente a la funcionalidad pedagógica del curso, sin aportar un beneficio proporcional en términos de privacidad.” Sin embargo, el propio hecho de que existan reclamaciones al respecto e INCIBE las trate efectivamente como una brecha de datos personales, resulta contradictorio con esta afirmación. En primer lugar, porque adoptar medidas más restrictivas (esto es, no mostrar por defecto los datos de nombre, apellidos, lugar de residencia, etc.) no impedía la interacción de los alumnos entre sí. En segundo lugar, porque alertado por los usuarios sobre este punto, INCIBE modificó la parametrización restringiendo los datos visibles por defecto y permitiendo, a pesar de esa configuración, la interacción entre alumnos. En este sentido, se subraya, además, que omite INCIBE que una configuración más coherente con la normativa en materia de protección de datos no hubiese impedido que los titulares de los datos personales, esto es, los alumnos, hubiesen podido modificar los parámetros y optar por una configuración menos restrictiva. Señala INCIBE que existía un consentimiento expreso por parte de los interesados en la medida en que todos habían aceptado la cláusula informativa sobre datos personales. Dicha cláusula no se refería, sin embargo, a que sus datos fueran a ser compartidos con los demás alumnos y, de hecho, existía la posibilidad de que los alumnos configuraran la plataforma para que no lo fueran. Es decir, por defecto eran visibles cuando no era necesario que lo fueran. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/57 Afirma INCIBE, que esta Agencia “ha procedido al archivo de la supuesta infracción del artículo 5.1.
21. f)del RGPD, lo que supone una constatación directa de que no se ha producido una vulneración del principio de integridad y confidencialidad, ni una afectación real o significativa a los derechos de los interesados”. Al respecto cabe decir, en primer lugar, que estrictamente no se ha procedido al archivo, sino que el instructor propone el archivo de la infracción del artículo 5.1
22. f)del RGPD. En segundo lugar, que el motivo de dicha propuesta es el siguiente: “Revisada la documentación obrante en el expediente administrativo se evidencia que la brecha de datos personales fue consecuencia directa y exclusiva de la defectuosa parametrización y configuración de la plataforma, sin la que no se hubiera producido esta. En consecuencia, en este caso concreto, no se aprecia una conculcación separada del artículo 5.1
23. f)RGPD, independiente de la infracción del artículo 25 RGPD.” Es decir, que no se afirma que no se haya producido una vulneración del principio de integridad y confidencialidad ni una afectación real de los derechos de los interesados. Lo que se afirma en la propuesta de resolución es que, dado que la brecha es consecuencia directa y exclusiva de la defectuosa parametrización de la plataforma, no procede imputar una infracción, independiente, del artículo 5.1 f). Tal y como se recoge en la fundamentación relativa a la infracción del artículo 25 RGPD, este precepto exige la adopción de medidas técnicas y organizativas apropiadas para garantizar los principios del tratamiento recogidos en el artículo 5 del RGPD, entre los que se incluye el principio de integridad y confidencialidad- desde el diseño y por defecto. La brecha de datos personales se ha producido, el propio tratamiento que le da INCIBE es de esta naturaleza, afecta a la confidencialidad de los datos personales de los afectados (por ese motivo INCIBE adopta como medida la modificación de dicha parametrización) y esa brecha es consecuencia de una decisión concreta (el mantenimiento de la parametrización por defecto de la plataforma). Cuestión distinta es que la calificación de esos hechos se corresponda con una infracción del artículo 25 y no con dos infracciones separadas de los artículos 5.1
24. f)y 25 del RGPD. 1.3. INCIBE destaca el “carácter limitado, acotado y sin impacto relevante del incidente”. Al respecto cabe reiterar y ampliar lo ya mencionado en respuesta a las alegaciones al acuerdo de inicio en relación con la escasa duración de la infracción, que se ha tenido en cuenta en la graduación de la sanción en virtud de las circunstancias determinadas en el artículo 83.2
25. a)RGPD. Sin embargo, este carácter limitado no implica que no se haya producido un incumplimiento, así como, por ejemplo, el elevado número de afectados. Por otro lado, cita INCIBE resoluciones anteriores de archivo en relación con brechas de datos personales en las que las entidades habían adoptado medidas adecuadas. En este sentido se subraya que no cabe realizar una valoración general sin atender a las circunstancias concretas de cado uno de los casos concretos. No en vano, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/57 artículo 83.1 del RGPD exige que la actuación de la autoridad de control se base en los principios de proporcionalidad, eficacia y que persiga un carácter disuasorio. Sin olvidar, además, que la imposición de una multa debe responder a las circunstancias concretas del caso concreto, puesto que debe ser individualizada. Así, en el presente caso, se imputa que una decisión concreta de diseño (la parametrización de la plataforma), no garantizaba el cumplimiento de los principios de protección de datos, entre ellos el de confidencialidad y el de minimizaci