← España

PS-00424-2023

1/33  Expediente Nº: EXP202304633 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a 4FINANCE SPAIN FINANCIAL SERVICES, S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202304633 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 17 de febrero de 2023 se notificó a la División de Innovación Tecnológica de esta Agencia una brecha de seguridad de los datos personales remitido por 4FINANCE SPAIN FINANCIAL SERVICES, S.A.U. con NIF A86521309 (en adelante, VIVUS) como responsable del tratamiento. Como consecuencia de los hechos conocidos, con fecha 11 de abril de 2023, la Directora de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos (SGID) realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 17 de febrero de 2023 el responsable 4FINANCE SPAIN FINANCIAL SERVICES (en adelante VIVUS) realiza una notificación inicial de la brecha de datos personales con registro de entrada REGAGE23e00010208403, en la que manifiesta haber sufrido una brecha de confidencialidad por acceso no autorizado a datos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/33 clientes, incluyendo datos básicos, identificativos y de contacto de un total de 427 empleados. El responsable indica que siguen investigando el incidente. Con fecha 31 de marzo de 2023 se recibe notificación adicional de la brecha de datos personales con registro de entrada REGAGE23e00021779018, en la cual se manifiesta: - - - Descripción del incidente: consistente en un acceso no autorizado a los perfiles de clientes de la base de datos de VIVUS. El incidente fue investigado internamente. En cuanto a la fecha de inicio afirman que es desconocida, mientras que se determina como fecha de detección el 14 de febrero de

  1. Indican que los datos afectados no estaban cifrados. Respecto a las consecuencias para las personas afectadas, afirman que no resultan afectadas, salvo algunos inconvenientes muy limitados, pero en cualquier caso reversibles. En cuanto a las categorías de datos afectados se encuentran: datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, datos de medios de pago (Tarjeta bancaria, etc.…), y datos de contacto. Número de afectados: 9636 (No hay menores), afirman que no serán comunicados. Afirman que lo han puesto en conocimiento de autoridades policiales. Método detección: Comunicación de algún afectado. Se incluye resumen en el que se manifiesta que mediante ataque de fuerza bruta probando combinaciones de DNI/contraseña y Email/contraseña, los ciberdelincuentes tuvieron acceso a los datos personales del perfil de cliente de 9636 personas físicas. Estos datos incluían nombre y apellidos, DNI/NIE, fecha de nacimiento, dirección postal, email, IBAN, teléfono móvil y tarjeta bancaria seudonimizada. Afirman que 139 clientes han sido víctimas de fraude al haberse solicitado un crédito a su nombre a través de la aplicación, y una vez concedido han contactado vía WhatsApp con el cliente para solicitar devolución inmediata a un número de cuenta bancaria de los ciberdelincuentes. Afirman que como medida reactiva han implantado 2FA. El responsable manifiesta que no comunicará a los afectados al no considerar alto riesgo. Desde la presente autoridad se ordenó al responsable para que llevase a cabo la comunicación de la brecha de datos personales a los interesados conforme al artículo 34 del RGPD sin dilación indebida y con objeto de que puedan adoptar las medidas que consideren oportunas para evitar aquellos riesgos que pudieran afectar a su persona. En fecha 11 de abril de 2023 y registro de entrada REGAGE23e00023503645, se recibe escrito por parte de VIVUS confirmando el envío de la comunicación individualizada a todos los clientes afectados por la brecha, aportando captura de pantalla de un correo electrónico donde únicamente se aprecia la dirección remitente (vivus@sm.vivus.es) (pero no las direcciones destino). El cuerpo de este correo contiene información sobre el incidente ocurrido, sobre los datos que se han podido ver afectados, las medidas adoptadas por la compañía tras el incidente, las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/33 recomendaciones sobre posibles medidas a adoptar por parte del cliente afectado y las posibles vías de contacto para obtener más información. Asimismo, en relación con la brecha indicada se han recibido las siguientes reclamaciones en esta Agencia por parte de personas afectadas: Reclamación 1: en fecha 03 de febrero de 2023 y registro de entrada REGAGE23e00007166247, se recibe reclamación de A.A.A. relacionada con la presunta suplantación de identidad al haberse solicitado un préstamo en su nombre y habiendo sido este concedido por VIVUS e ingresado en una cuenta bancaria de su titularidad. El traslado de esta reclamación a VIVUS se realiza en fecha 16 de marzo de 2023 y se recibe posteriormente respuesta en fecha 13 de abril de 2023 y registro de entrada REGAGE23e
  2. Reclamación 2: en fecha 05 de febrero de 2023 y registro de entrada REGAGE23e00007349177, se recibe reclamación de B.B.B. relacionada con la presunta suplantación de identidad al haberse solicitado un préstamo en su nombre y habiendo sido este concedido por VIVUS e ingresado en una cuenta bancaria de su titularidad. El traslado de esta reclamación se realiza en fecha 16 de marzo de 2023 y se recibe respuesta en fecha 13 de abril de 2023 y con registro de entrada REGAGE23e
  3. Reclamación 3: en fecha 05 de febrero de 2023 y registro de entrada REGAGE23e00007333527, se recibe reclamación de C.C.C. relacionada con la presunta suplantación de identidad al haberse solicitado un préstamo en su nombre y habiendo sido este concedido por VIVUS e ingresado en una cuenta bancaria de su titularidad. El traslado de esta reclamación a VIVUS se realiza en fecha 16 de marzo de 2023 y se recibió respuesta en fecha 13 de abril de 2023 y registro de entrada REGAGE23e
  4. Reclamación 4: en fecha 06 de febrero de 2023 y registro de entrada REGAGE23e00007574937, se recibe reclamación de D.D.D. relacionada con la presunta suplantación de la identidad al haberse solicitado un préstamo en su nombre y habiendo sido este concedido por VIVUS e ingresado en una cuenta bancaria de su titularidad. Aporta copia de la denuncia ante la Policía y copia de DNI. El traslado de esta reclamación a VIVUS se realiza en fecha 16 de marzo de 2023 y se recibió respuesta en fecha 13 de abril de 2023 y registro de entrada REGAGE23e
  5. Reclamación 5: en fecha 11 de febrero de 2023 y registro de entrada REGAGE23e00008763533, se recibe reclamación por parte de E.E.E. relacionada con la presunta suplantación de identidad al haberse solicitado un préstamo en su nombre y habiendo sido este concedido por VIVUS e ingresado en una cuenta bancaria de su titularidad de la cual era conocedora esta compañía. Se adjunta copia de la denuncia interpuesta ante la Policía Nacional. El traslado de esta reclamación a VIVUS se realiza en fecha 16 de marzo de 2023 y se recibió respuesta en fecha 13 de abril de 2023 y con registro de entrada REGAGE23e
  6. Reclamación 6: en fecha 23 de febrero de 2023 y registro de entrada REGAGE23e00011468445, se recibe reclamación de F.F.F. relacionada con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/33 presunta suplantación de la identidad en la solicitud de un préstamo concedido por VIVUS e ingresado en una cuenta bancaria de su titularidad. El traslado de esta reclamación a VIVUS se realiza en fecha 16 de marzo de 2023 y se recibió respuesta en fecha 13 de abril de 2023 y registro de entrada REGAGE23e
  7. En fecha 16 de marzo de 2023 se dio traslado al responsable VIVUS de las distintas reclamaciones recibidas, solicitándose la siguiente información: - Descripción detallada y cronológica de los hechos y especificación de las causas del incidente. - Número de personas afectadas, categoría de los datos involucrados y posibles consecuencias para los afectados. - Acciones tomadas para solucionar el incidente y medidas para que no vuelva a suceder. - Análisis de riesgos del tratamiento, medidas de seguridad preventivas implantadas y evaluación de impacto en su caso. - Copia del Registro de Actividades de Tratamientos. - Si se ha comunicado a los afectados, el canal utilizado, fecha de comunicación y detalle del mensaje enviado. En caso de no haberse realizado la comunicación, indicar los motivos. VIVUS respondió en fecha 13 de abril de 2023 y de forma individualizada a cada uno de los traslados realizados por esta entidad. De contenido de los mencionados escritos se extrae la siguiente información relevante: - - - - Para cada una de las reclamaciones se aporta un análisis detallado del escenario de afectación del cliente concreto, señalando las fechas en que tuvieron constancia de la correspondiente incidencia, así como los detalles relativos a las comunicaciones que tuvieron con cada cliente. En relación con las causas provocaron el incidente afirma:  Que en fecha 10 de agosto de 2022 fue cuando recibió la primera notificación de un cliente, el cual denunciaba haber recibido dinero en su cuenta bancaria en virtud de un préstamo que no había solicitado.  Que los atacantes realizaron numerosos intentos de inicio de sesión utilizando distintas direcciones IP y haciendo uso del DNI o e-mail del cliente (como nombre de usuario) y una contraseña, obtenidos a partir de fuentes externas y ajenas a VIVUS. Una vez accedían solicitaban préstamos en nombre del cliente los cuales eran aceptados y desembolsados en la cuenta del mismo. Posteriormente, los atacantes procedían a contactar con dicho cliente a través de WhatsApp solicitando la devolución del importe a un número de cuenta que era controlada por ellos. Afirma que existe un total de 9636 afectados y que la tipología de datos afectados era la existente en el área personal de usuario web. De forma concreta, se encontraba: Nombre y Apellidos, Fecha Nacimiento, Dirección Postal, Email, Teléfono Móvil, DNI/NIE, IBAN, Tarjeta bancaria seudonimizada, así como datos sobre préstamos en activo que tuviera concedido el usuario aún no finalizado como el importe, los intereses devengados, plazo y vencimiento. Respecto a las posibles consecuencias para los afectados sostiene que la naturaleza del conjunto de datos personales al que se accedió no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/33 - - - - proporcionaba información sustancial sobre la situación financiera y que se consideraban que no entrañaba un alto riesgo para los derechos y libertades de los afectados. En relación con las acciones adoptadas por el responsable para solucionar el incidente, comunican la adopción de las siguientes medidas:  Registrar la brecha en registro de incidentes.  Denuncia ante Policía.  Comunicación oficial a los distintos clientes y a través de la página web sobre información de que la entidad no hace uso de WhatsApp.  Restablecer todas las contraseñas de los usuarios con fecha 11 de febrero de
  8.  Implantación de un sistema de doble factor de autenticación implementado en fecha 21 de febrero de
  9.  Modificación de la política de contraseñas de inicio de sesión, aumentando su complejidad y obligando a modificarla a todo usuario.  Mejora del funcionamiento del sistema SIEM, revisando el procedimiento interno de respuesta ante incidentes.  Inclusión de clientes afectados por fraude en una determinada categoría con el fin de evitar consecuencias derivadas.  Envío de comunicación a todos los clientes afectados. Se solicitará su acreditación en nuevo requerimiento. En respuesta a nuestra solicitud para que aporten el análisis de riesgos y las medidas de seguridad que se concluyeron, afirman lo siguiente: “El tratamiento de los datos de acceso de los clientes a los perfiles web y la adquisición de aplicaciones online no suponen riesgos elevados para la protección de datos, por lo que no se ha realizado una Evaluación de Impacto de dichos tratamientos. No obstante, para garantizar las medidas técnicas y organizativas se implementaron las siguientes medidas de seguridad específicamente relevantes para el incidente de seguridad informado:  Monitoreo de seguridad.  Política de contraseñas: se definen reglas de complejidad mínima para las contraseñas utilizadas para iniciar sesión en los perfiles de los clientes.  Protección de aplicaciones web.  Cortafuegos y sistemas de prevención de intrusiones. Protección contra Malware.  Informes, gestión e investigación de incidentes de seguridad: la gestión de incidentes de seguridad está bien establecida y cumple con las expectativas del Grupo 4finance.” Afirma que, desde septiembre hasta finales de noviembre de 2020, el departamento de seguridad de la información realizó una evaluación integral de riesgos de seguridad de la información con el objetivo de evaluar y mejorar las medidas de seguridad en las áreas de software, red y distribución de datos, personas y procesos. Como resultado de ello se mejoraron las medidas de seguridad para proteger a la organización contra ataques automatizados de fuerza bruta relacionados con la averiguación de contraseñas. Indica haber realizado una prueba de penetración externa de la aplicación vivus.es por una firma de servicios profesionales en fechas comprendidas entre el 9 y el 17 de febrero de
  10. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/33 - Aportan el Registro de Actividades de Tratamiento, en lengua inglesa, con la actividad de tratamiento afectada por la brecha: “Customer Registration and Contract Signing”. Señalan que la violación ha sido comunicada a todos los clientes afectados en fecha 11 de abril de 2023 y que fue notificada inicialmente a la AEPD el 17 de febrero de
  11. Afirman que entre las medidas adoptadas para evitar nuevos incidentes ha sido clave la implantación del sistema de doble autenticación (2FA) en el servicio web. En el marco de esta investigación, en fecha 30 de junio de 2023 se realiza un primer requerimiento de información al responsable VIVUS: - Que se acredite la comunicación de la brecha realizada, pues únicamente se había aportado el texto de la comunicación. Se solicita la adopción de las medidas organizativas existentes en la organización para gestionar incidentes de seguridad que afecten a datos personales (la gestión de brechas de datos personales). Que se acrediten las comunicaciones que mantuvo la entidad con el primer cliente afectado que contactó con la empresa en fecha 10 de agosto de
  12. Que se acredite de los análisis de riesgos para garantizar tanto la seguridad de los tratamientos como los derechos y libertades de las personas afectadas, así como, en su caso, las evaluaciones de impacto. Que acrediten las medidas reactivas implantadas tras la brecha de seguridad, incidiendo en aquellas medidas destinadas a parar los ataques de fuerza bruta y a monitorizar la trazabilidad de los usuarios. Que se acredite la denuncia interpuesta ante los cuerpos de seguridad. Investigar los detalles del procedimiento existente para identificar a los clientes que solicitan préstamos a través del área web. En fecha 19 de julio de 2023 y registros de entrada REGAGE23e00048973515 y REGAGE23e00049304085, se recibe respuesta al requerimiento anterior, extrayéndose de su análisis la siguiente información relevante para la investigación: - - - Afirma que las credenciales de acceso utilizadas ya estaban disponibles por parte de los atacantes con carácter previo a la brecha, posiblemente procedente de filtraciones de terceras partes y fuentes externas, por lo que el presente ataque no corresponde a un ataque de fuerza bruta sino a un ataque “credential stuffing”. Aportan documento con el volumen total de intentos de inicio de sesión fallidos desglosado por fechas. De su análisis destacan los días comprendidos entre el 4 y el 14 de febrero de 2023, con picos de hasta 18 millones de intentos fallidos en un único día. Indica que en los momentos previos a la brecha los sistemas de VIVUS estaban protegidos contra un elevado número de conexiones fallidas de la siguiente forma:  La protección contra ataques de "fuerza bruta" se implementó en la aplicación web vivus.es, aumentando el tiempo de espera de autenticación después de un intento fallido para un usuario específico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/33 - - - - - Tras los siguientes intentos de autenticación fallidos, el tiempo de espera se duplicaba para estos usuarios.  La protección contra un gran número de peticiones web falsas se implementó en el software WAF Imperva, principalmente con el propósito de prevenir ataques de denegación de servicio (DoS). El ajuste de configuración consistió bloquear cualquier fuente que genere más de 450 peticiones por segundo.  Afirman que los sistemas de seguridad para el producto vivus.es estaban preparados para detectar y alertar sobre patrones de ataque habituales en aplicaciones web (Inyecciones SQL, Cross Site Scripting (XSS), File Inclusion Attacks, Directory Traversal Attacks, DoS/DDoS attacks etc), pero no detectaban ni alertaban sobre un elevado número de intentos de conexión fallidos. Se aporta grabación de la llamada telefónica recibida por parte del cliente afectado el 11 de agosto de 2022 a las 20:46 horas, en la cual el usuario afectado comunica haber recibido dinero de un préstamo que no había solicitado. Posteriormente, en fecha 12 de agosto de 2022, este cliente remitió vía email la copia de la denuncia presentada, correo que fue respondido por VIVUS el 17 de agosto de 2022 informando al cliente de lo siguiente: “nuestra compañía ha procedido a activar el procedimiento aplicable a estos casos, que incluye la gestión del expediente como caso de fraude lo que implica la paralización de todas las acciones de recobro de la deuda ya que una vez denunciados los hechos no le será reclamada por nuestra parte“. Del informe preliminar del director de INFOSEC (Departamento de Seguridad de VIVUS) redactado en fecha 15 de marzo de 2023 se extraen las siguientes afirmaciones:  El 21 de febrero de 2023 se implementó el 2FA que paralizó el ataque.  Hubo 3905 casos de éxito de los 218401 intentos realizados utilizando combinación de DNI/CONTRASEÑA.  Hubo 6977 casos de éxito de los 2728941 intentos de acceso realizados por los atacantes usando combinaciones de EMAIL/CONTRASEÑA.  Del total de los accesos exitosos afirman evidencias de acceso a datos de un total de 9497 clientes de VIVUS. Acreditan dos análisis de penetración realizados en febrero de 2022 (a la aplicación móvil de VIVUS) y junio de 2023 (a la aplicación web que daba acceso al área personal de clientes). Del análisis de dichos informes se concluye que las vulnerabilidades que se detectaron no están vinculadas con el vector de ataque de la presente brecha de seguridad. Afirma que cada incidente detectado era analizado y gestionado por el procedimiento de gestión de incidentes y que se actualizó el análisis de riesgos. Se acredita documentalmente el procedimiento de gestión de incidentes anterior. Se aporta cuatro documentos con distintos análisis y evaluaciones de la severidad del incidente, realizados en distintos momentos temporales (a medida que se iban descubriendo casos), utilizándose para ello una metodología interna basada en la metodología propia de ENISA. En estos análisis se asignaba con un valor cuantitativo el nivel de riesgo del incidente, valorándose para ello tres parámetros principales:  El contexto de la brecha (siendo 1 mínimo y 4 máximo). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/33   La facilidad de identificación de la persona afectada (con valor entre 0 y 1 como máximo) Las circunstancias en las que se produjo la brecha (con valor de gravedad de 0 a 2 como máximo). Tras el análisis se asignaba un valor final al nivel de riesgo del incidente, haciendo uso para ello de la siguiente fórmula: [Severidad Incidente= (Contexto*Facilidad De Identificación Del Afectado) + Circunstancias]. Del análisis de cada documento aportado con las evaluaciones anteriores se extrae para el presente informe:     C/ Jorge Juan, 6 28001 – Madrid Se aporta un primer documento con la evaluación inicial del incidente cuando únicamente se conocía un caso afectado, el cual está firmado el con fecha 11 de agosto de 2022 por la DPD de la entidad. Para cuantificar el riesgo se asignó el valor mínimo al contexto

(1), un valor de 0.75 a la Facilidad de Identificación (que tenía el siguiente significado según metodología “La identificación es posible a partir de los datos violados, con necesidad de investigación para descubrir la identidad del individuo“), concluyendo la evaluación que el incidente NO tenía la suficiente entidad para comunicarla a la AEPD. Esto contrasta con la tipología de datos filtrados a través del área web de cliente, ya que el conjunto de estos datos permitía una fácil identificación del individuo sin necesidad de investigación especial adicional. Se aporta un nuevo documento con una segunda evaluación del incidente cuando se conocían 11 clientes afectados, firmado por la DPD en fecha 1 de septiembre de 2022 y concluyéndose con un valor del riesgo BAJO, afirmándose que “la severidad del incidente NO es de suficiente entidad para que deba notificarse a la autoridad competente ni a los interesados”. En la valoración del riesgo también se asignó un valor de 0.75 a la facilidad de identificación, siendo el valor máximo de la escala utilizada 1, con el significado “La identificación es posible a partir de los datos filtrados sin necesidad de realizar una investigación especial para descubrir la identidad del individuo”. El conjunto de datos que se estaban filtrando a través del área web del cliente eran, entre otros, el Nombre y Apellidos, Fecha Nacimiento, Dirección Postal, Email, Teléfono Móvil, DNI/NIE, lo cuales resultan suficientes para obtener una identificación de la persona afectada sin necesidad de realizar investigación especial. Se aporta un tercer documento con la evaluación del incidente cuando se conocieron 83 clientes afectados, firmado por la DPD en fecha 14 de noviembre de 2022, cuyo resultado fue un valor de riesgo BAJO, afirmándose que “el incidente NO tiene la suficiente entidad como para que deba comunicarse la brecha de seguridad a la Agencia Española de Protección de Datos ni a los interesados, en tanto que la información personal presuntamente vulnerada era mínima, y teniendo en cuenta que el acceso ha sido completamente restringido”. Se asignó el mismo valor para el Contexto y Facilidad de Identificación que en puntos anteriores. Un documento con la evaluación del incidente cuando se disponía de la siguiente información: “menos de 35000 inicios de sesión exitosos, pero www.aepd.es sedeagpd.gob.es 9/33 - - se desconoce el alcance de los datos de acceso, actualmente 427 clientes han sido defraudados (a fecha 17 de febrero de 2022)”. Este documento está firmado por la DPD en fecha 17 febrero de 2023 y en la evaluación se concluye un nivel de riesgo MEDIO, asignándose en este caso un valor máximo de 1 a la Facilidad de Identificación del cliente afectado (superior al valor de 0.75 dado en los documentos anteriores). No obstante, el conjunto de datos personales filtrados era el mismo que para los clientes afectados anteriores. El resultado de este análisis llevó a la siguiente conclusión: “[…] debe comunicarse a la Agencia Española de Protección de Datos. No obstante, a la vista de la categoría de datos vulnerada no se considera que haya riesgos para los derechos y libertades de los interesados, en tanto que la información personal vulnerada es mínima, por lo que se concluye que no es necesario realizar una comunicación a los clientes”.  Dentro de los cuatro documentos anteriores se encuentra un apartado que hace referencia a la valoración del incidente por parte del departamento de seguridad de VIVUS: “Clasificación de gravedad determinada por la Unidad de Seguridad de la Información de acuerdo con el Procedimiento de Respuesta a Incidentes de Seguridad de la Información: ALTA GRAVEDAD (Nivel 1) debido al impacto financiero”, Pese a dicha afirmación se valoró como no necesario notificar el incidente. En relación con los cuatro documentos anteriormente analizados en los que VIVUS concluyó un nivel de riesgo y severidad de la brecha, por parte de esta inspección se procede a realizar una simulación con la herramienta AsesoraBrecha, utilizando los mismos datos que ya se disponían por parte de VIVUS en septiembre de 2022, y obteniéndose como resultado la obligación de notificar la brecha ante esta Agencia sin dilación indebida. De la misma forma, se hace uso de la herramienta Comunica-Brecha con la información que disponía el responsable en septiembre de 2022, obteniéndose como resultado “Debería comunicar la brecha a la AEPD”. Los datos de entrada utilizados en ambas herramientas fueron los siguientes:  Sector de actividad: Entidad Financiera  La brecha es consecuencia de ciberincidente con acceso no autorizado a datos personales.  Datos afectados: básicos, número DNI, dirección postal, teléfono, email, financieros sin medios de pago.  Personas afectadas: 56 (información que ya se disponía por el responsable a fecha 27 de septiembre de 2022, fecha en la que VIVUS interpone denuncia aportando el listado de afectados conocidos en ese momento).  Para las posibles consecuencias se ha considerado en la simulación el menor daño posible (pese a que las consecuencias reales y conocidas en esta fecha eran posiblemente de mayor gravedad), asignándose el valor: “las personas pueden encontrar algunos inconvenientes muy limitados y reversibles que superarán sin problema”. Tomando en consideración el procedimiento de valoración de severidad de ENISA, Recommendations for a methodology of the assessment of severity of personal data breaches, que VIVUS ha establecido como referencia: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/33   El Contexto (DPC) se valoró con valor 1, no obstante, debió asignarse valor superior, ya que según esta metodología (se hace por el presente inspector la traducción no oficial al idioma español):  Datos simples, Puntuación básica preliminar =
  1. La puntuación DPC podría aumentarse en 1, por ejemplo, cuando el volumen de los «datos simples» o las características del responsable del tratamiento sean tales que se pueda habilitar la elaboración de perfiles de la persona o se puedan hacer supuestos sobre la situación social/financiera de la persona), con DPC = 2, o bien:  Datos financieros, Puntuación básica preliminar =
  2. La puntuación del DPC podría reducirse en 1, por ejemplo, cuando el conjunto de datos específicos incluye cierta información financiera, pero aún no proporciona ninguna visión significativa de la situación financiera de la persona (por ejemplo, números simples de cuentas bancarias sin más detalles), con DPC = 2, o bien:  Datos financieros, Puntuación básica preliminar =
  3. La puntuación del DPC podría aumentarse en 1, por ejemplo, cuando, debido a la naturaleza o al volumen del conjunto de datos específicos, se divulgue información financiera completa (por ejemplo, tarjeta de crédito) que pueda permitir el fraude o se cree un perfil social/financiero detallado. DPC=
  4. La Facilidad de Identificación del afectado debería valorarse como EI = 1, y no un valor inferior (VIVUS otorga un valor EI=0,75), tal y como se ha analizado en el punto anterior. De ello se concluye que el valor asignado desde VIVUS a las distintas variables de la fórmula de cálculo de severidad fue inferior a lo que se debió asignar, dado el escenario que se estaba conociendo sobre el incidente de seguridad, debiéndose haber obtenido un resultado final de severidad que podría estar entre MEDIA y MUY ALTA. Dicho resultado hubiera dado lugar a que VIVUS comunicara la incidencia a la AEPD y a los afectados desde el primer suceso. - En relación con la denuncia interpuesta por parte del responsable, en la respuesta al requerimiento se afirma: “los casos afectados se recopilaban de forma manual y dada la dificultad a la hora identificarlos a través de la información parcial disponible, fueron necesarias hasta 4 ampliaciones de la denuncia inicial”, aportando en la respuesta la siguiente documentación.  Copia de la denuncia inicial interpuesta el 12 de agosto de 2022 con la información del cliente afectado el 11 de agosto de
  5.  Copia de la ampliación a la denuncia anterior interpuesta el 28 de septiembre de 2022 en la que afirman que en días posteriores han sido afectados nuevos clientes, solicitándose prestamos de forma fraudulenta con un importe global de 42610 euros y habiendo sido estafado 19830 euros. En esta ampliación aportan un listado con los datos de los clientes afectados a los que VIVUS realizó el ingreso del importe del préstamo solicitado de forma fraudulenta, encontrándose en este listado aproximadamente 56 números de cuenta bancaria de clientes distintos. Del análisis de este listado por el presente inspector llama la atención que la misma IP utilizada en la solicitud del préstamo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/33 - - de 10 de agosto de 2022 (del que se tuvo constancia el 11 de agosto de 2022 tras recibir comunicación del cliente afectado), fue utilizada posteriormente para solicitar con éxito dos nuevos préstamos fraudulentos en fecha posterior, el 8 de octubre de 2022 a las 10:53 y a las 11:
  6.  En las denuncias acreditadas, VIVUS afirma que los atacantes habían entrado en el área personal de cada uno de estos clientes y habían solicitado un nuevo préstamo en la modalidad de contratación a distancia en nombre del cliente afectado. Aportan copia de un documento con las condiciones generales del préstamo que se aceptan (mediante la marcación de un checkbox) en el momento de la solicitud del préstamo online. En respuesta a nuestra solicitud para que detallen los procedimientos existentes para identificar a un cliente cuando se solicitaba un préstamo a través del portal web, afirman que existen dos vías de posible identificación:  Para solicitar un PRIMER PRÉSTAMO se utiliza el denominado “procedimiento onboarding”. Afirman que este procedimiento no fue el utilizado por los atacantes, pues todos los clientes afectados solicitaron previamente un primer préstamo. Este procedimiento de identificación inicial consiste en:  En una primera pantalla donde se solicita datos de contacto y se recaba consentimiento de política de privacidad y de comunicaciones comerciales.  En una segunda pantalla se requiere número de DNI y una contraseña para crear la cuenta o perfil.  En una tercera pantalla se solicita nombre, apellidos y fecha nacimiento.  En una cuarta pantalla se solicita una dirección en España.  En una quinta pantalla se solicita número de teléfono y se verifica posteriormente mediante el envío de un SMS con un código único de un solo uso que el usuario debe introducir.  En una sexta y última pantalla se ofrecen distintas opciones de acreditación de la identidad, bien aportando las credenciales de Banca Online (a través del servicio TINK), bien aportando la documentación acreditativa a través de un formulario y esperar llamada telefónica que verificaría los datos.  Para solicitar SEGUNDOS Y POSTERIORES préstamos (única vía afectada por el incidente de seguridad), únicamente se requiere la identificación en el área personal web del cliente, utilizando para ello las credenciales de usuario (DNI o EMAIL + Contraseña). Una vez ingresado en el área web bastaba con seleccionar la cantidad de dinero que se desea solicitar, el plazo de devolución deseado y aceptar las condiciones de contratación activando una casilla de verificación (checkbox). En relación con este proceso de identificación afirman haber adoptado e implantado tras la brecha de seguridad las siguientes medidas reactivas:  El restablecimiento de todas las contraseñas de los clientes de forma que, cuando los clientes acceden a su área personal, se obliga a establecer una nueva contraseña. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/33 Implementación de un segundo factor de autentificación (2FA), generando un código de verificación de 4 dígitos que se envía a través del canal SMS al número de teléfono registrado del cliente. Este sistema de doble Factor de Autenticación 2FA fue reforzado posteriormente en abril de 2023 mediante la adición de dos nuevas reglas (bloqueo de 5 minutos tras 3 intentos fallidos, siendo necesario nuevo código de verificación, y la necesidad de un nuevo código si el cliente se conecta y desconecta de su perfil). Acreditan un documento actualizado del protocolo interno para la gestión de incidentes, cuya actualización tiene fecha 29 de abril de
  7. Las modificaciones introducidas en el mismo han consistido han sido:  Ajustar los plazos de las fases de respuesta a incidentes internos, en caso de retraso en la detección, para cumplir el plazo de notificación del GDPR.  Se incluye la posibilidad de involucrar a expertos legales externos en la respuesta a las violaciones de datos personales.  Se revisa la plantilla de evaluación del riesgo de la violación de datos personales incluyendo nueva calculadora de gravedad mejorada. Acreditan las siguientes medidas técnicas reactivas implantadas para mejorar la detección de incidentes de seguridad:  Cuando los intentos de autenticación fallidos desde una única dirección IP de origen superan los umbrales diarios definidos, el sistema Splunk SIEM genera una alerta en tiempo real que se envía a un correo electrónico de alerta al departamento de seguridad y a un canal de Slack.  Cuando los eventos de autenticación exitosa se originan desde una única dirección IP de origen y están accediendo a más de 4 cuentas de clientes distintas en un mismo día, una alerta en tiempo real es generada por el sistema Splunk SIEM y es enviada a un correo electrónico del departamento de seguridad.  Cuando los atacantes utilizan direcciones IP estáticas durante un período prolongado éstas se introducen en una lista negra especial y en caso de intento de autenticación posterior se genera una alerta en tiempo real por el sistema Splunk SIEM y se envía al correo electrónico de alerta al departamento de seguridad. En respuesta a nuestra solicitud para que se acrediten los análisis de riesgos para las actividades de tratamiento afectadas por la brecha, realizan la siguiente afirmación: “En mayo de 2022, con base en la planificación de un nuevo proceso de onboarding (completado en Octubre de 2022) se realizó el correspondiente Análisis de Riesgos en materia de Protección de Datos relativo a la Actividad de tratamiento denominada CUSTOMER REGISTRATION AND CONTRACT SIGNING.” Se aporta documento acreditando este análisis de riesgos para los derechos y libertades de las personas físicas afectadas por los tratamientos de la actividad mencionada. De su análisis se extrae:  Tiene fecha de creación 06 de mayo de
  8.  Se identifican amenazas y factores de riesgo para los derechos y libertades de los interesados, diferenciando entre riesgo inherente y el riesgo residual, haciendo referencia de si el riesgo ha sido mitigado total  - - - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/33 - - o parcialmente. No obstante, no se listan las medidas de seguridad concluidas a raíz de este análisis para mitigar los riesgos.  Se incluye un apartado de conclusiones donde se afirma que el nivel de riesgo inherente es ALTO y residual MEDIO, realizándose también la siguiente afirmación: “la actividad analizada implica, entre otros, la elaboración de perfiles sobre cuya base se toman decisiones que pueden producir efectos jurídicos para las personas físicas. Lo anterior, con base en el documento denominado LISTAS DE TIPOS DE TRATAMIENTOS DE DATOS QUE REQUIEREN EVALUACIÓN DE IMPACTO RELATIVA A PROTECCIÓN DE DATOS de la Agencia Española de Protección de Datos, implica una obligación para 4FINANCE como responsable del tratamiento de llevar a cabo una EIPD de forma obligatoria del tratamiento analizado.” Se acredita documento para la actividad de tratamiento “Customer Registration And Contract Signing”, con fecha de realización 13 de mayo de
  9. En ella se realiza un análisis y descripción sistemática del tratamiento, un análisis de las partes intervinientes, una evaluación de la necesidad y proporcionalidad del tratamiento y una evaluación y gestión de los riesgos, listándose medidas adoptadas en su mitigación. En respuesta a nuestra solicitud para que acrediten el envío de la comunicación realizada sobre el incidente a las personas afectadas, aportan listado Excel con que contiene el Email y Nombre/Apellidos de personas comunicadas, pero no se detalla la fecha en la que se realizó el envío. En fecha 2 de agosto de 2023 se realiza nuevo requerimiento de información al responsable VIVUS respecto a las siguientes actuaciones: - La correcta acreditación de las comunicaciones realizadas. - La fecha de inicio de la actividad de tratamiento “Customer Registration And Contract Signing”. - La confirmación de si existían análisis de riesgos en fecha anterior a mayo de 2022, y su acreditación en su caso. En fecha 18 de agosto de 2023 y registro de entrada REGAGE23e00056162842 se recibe respuesta al requerimiento anterior de cuyo análisis se extrae la siguiente información relevante para la investigación: - Se acredita la comunicación masiva enviada a los clientes afectados en fecha 11 de abril de 2023 a las 20:
  10. - Afirman que la actividad de tratamiento denominada “Customer Registration And Contract Signing” se inició el día 20 de diciembre de 2012 con motivo del registro del primer cliente en la plataforma. - En relación a la confirmación de si existían análisis de riesgos realizados en fecha anterior al que ya habían aportado (mayo de 2022), se expone lo siguiente:  Que tras la entrada en vigor del RGPD se han realizado auditorías internas y externas en protección de datos, una de ellas a finales de 2019 y en la cual se detectó la necesidad de realizar y documentar análisis de riesgos que diera cumplimiento al art 32 del RGPD. Como consecuencia de ello “la compañía elaboró en mayo de 2020 un análisis de riesgos en formato excel (Risk Assessment Spain) que recogía la probabilidad de ocurrencia de determinados riesgos. No C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/33    obstante, de acuerdo con lo recogido en el informe posterior de auditoría externa del año 2021, dicho análisis de riesgos no recogía adecuadamente los riesgos para los derechos y libertades de los afectados”. Se acredita captura de pantalla de este documento Excel. Del análisis por el presente inspector se concluye que se analizan factores de riesgo de forma generalizada y no para una actividad de tratamiento concreta. Además es realizado desde la perspectiva de las consecuencias e impacto para la propia compañía (pérdidas económicas e impacto financiero), no tratándose, por tanto, de un análisis de riesgos para la actividad de tratamiento afectada por la brecha que tuviera en cuenta amenazas tanto para la seguridad de los tratamientos como para los derechos y libertades de los interesados. Se acredita un nuevo documento “INFORME DE ANALISIS DE RIESGOS RELATIVA A PROTECCIÓN DE DATOS” con fecha de redacción 29 de mayo de 2021 y firmado por la Delegada de Protección de Datos. Del análisis de este documento por el presente inspector se concluye:  En la introducción se afirma el siguiente texto: “El presente documento es el resultante de la realización de las actividades constitutivas de la Evaluación de Impacto en materia de Protección de Datos (en adelante DPIA), conforme a lo establecido en el artículo 35 y 36 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 y las Guías prácticas elaboradas por la AEPD”.  Contiene los siguientes apartados Aspectos Preparatorios y Organizativos, Identificación de Datos Afectados y Evaluación del Nivel de Riesgo.  En el apartado referente a la evaluación del nivel de riesgo se analizan los siguientes factores de riesgo identificados:  Intrusión Ilegítima en sistemas.  Fraude interno.  Errores humanos y tecnológicos (tanto en la gestión de préstamos, gestión de reclamaciones, comunicaciones comerciales y gestión de datos de empleados).  Este análisis no es específico para la actividad de tratamiento afectada por la brecha y no tiene en cuenta factores de riesgos para los derechos y libertades de las personas afectadas por la actividad de tratamiento. Se afirma que en fecha posterior sí se elaboró un análisis de riesgos específico por actividad de tratamiento siguiendo la Guía de Gestión de Riesgos de esta Agencia. Este análisis se corresponde con el aportado en respuesta al requerimiento anterior y que tiene fecha de redacción mayo de
  11. Afirman que la compañía está trabajando en la implementación de una herramienta informática (CompaaS) que permitirá una gestión más efectiva y ágil el cumplimiento de sus obligaciones, así como registrar y revisar periódicamente su análisis de riesgos en materia de protección de datos. CONCLUSIONES C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/33
  12. El vector de ataque de la brecha estuvo causado por el acceso ilegítimo por parte de los atacantes al área web de múltiples clientes, utilizando credenciales válidas que estos conocían previamente (pares de DNI o Email + Contraseña), posiblemente a raíz de alguna filtración. El modus operandi era el siguiente: - Una vez que los atacantes accedían al área personal del cliente afectado, procedían a solicitar préstamos que fueron aceptados de forma automática, ingresándose el importe en la cuenta bancaria asociada al cliente. - Posteriormente, los atacantes contactaban por vía WhatsApp haciéndose pasar por VIVUS, informándoles de que por error se había concedido un nuevo préstamo en su nombre y en la que solicitaban su devolución en un número de cuenta que era controlada por los propios atacantes.
  13. Ha quedado constatado que la brecha afectó a 9497 clientes de VIVUS cuya identidad fue suplantada, habiendo solicitado en nombre de muchos de ellos préstamos personales que fueron concedidos de forma automática por la plataforma.
  14. En cuanto a los datos filtrados a través del área web del cliente consistieron en: nombre y apellidos, fecha nacimiento, dirección postal, email, teléfono móvil, DNI/NIE, IBAN, tarjeta bancaria seudonimizada, así como datos relativos a préstamos que se encontraban en vigor frente a la compañía.
  15. Ha quedado constatado que VIVUS detectó inicialmente la brecha el 11 de agosto de 2022 a raíz de la comunicación recibida por parte de un cliente afectado. Posteriormente, en fecha 1 de septiembre de 2022 la compañía tenía constancia de al menos 11 casos afectados, y en fecha 14 de noviembre de 2022 al menos 83 clientes afectados. No obstante, la brecha no fue notificada ante la presente autoridad hasta el día 17 de febrero de 2023, cuando ya se tuvo constancia de afectación de, al menos, 427 defraudados.
  16. Ha quedado acreditado que VIVUS analizó el nivel de riesgo y severidad de la brecha en distintas fechas (11 de agosto de 2022, 1 de septiembre de 2022 y 14 de noviembre de 2022), haciendo uso de una metodología interna basada en ENISA consistente en la utilización de una fórmula para calcular el valor final del riesgo a partir de variables como el Contexto del Incidente, la Facilidad de Identificación y las Circunstancias del incidente, asignando un valor a cada una de estas variables según una escala detallada en la propia metodología. Del valor final del riesgo obtenido de la fórmula anterior la parte reclamada consideró que NO era necesario notificar la violación a la AEPD ni a los afectados.
  17. Se ha constatado que el valor asignado a algunas de estas variables fue inferior al que se debió asignar, teniendo en cuenta el conocimiento que se tenía sobre el incidente en estos momentos. Tras el uso, por parte del presente inspector, de las herramientas Asesora Brecha y Comunica Brecha utilizando la información que VIVUS conocía en septiembre de 2022, se ha obtenido como resultado en ambas herramientas la necesidad de notificar tanto a la AEPD como a los afectados.
  18. En relación con la comunicación de la brecha a los afectados, ha quedado acreditado que el responsable finalmente comunicó el incidente a todos los afectados en fecha 11 de abril de 2023, tras recibir la orden de comunicar por parte de esta autoridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/33
  19. Ha quedado constado que no existían análisis de riesgos específicos para los derechos y libertades de las personas interesadas en la actividad de tratamiento afectada por la brecha hasta el de 6 mayo de
  20. Con anterioridad a esta fecha existieron análisis de riesgos que no eran específicos de una actividad de tratamiento y dirigidos al posible impacto financiero repercutido para el propio responsable, no analizándose riesgos para los derechos y libertades de las personas afectadas por los tratamientos. Ha quedado también acreditado que la actividad de tratamiento afectada por la brecha constaba en el Registro de Actividades de Tratamiento de VIVUS y que se inició en diciembre de
  22. Ha quedado acreditada la existencia de una Evaluación de Impacto para la Protección de Datos (EIPD) de la actividad de tratamiento afectada por la brecha, realizada el 13 de mayo 2022 y que recoge la siguiente información: - Un análisis y descripción sistemática del tratamiento - Un análisis de la necesidad y proporcionalidad del tratamiento - Un análisis y gestión de los riesgos.
  23. En relación con las medidas preventivas implantadas en momentos previos a la brecha, se constata el siguiente listado: - Monitorización de la seguridad: revisión de eventos, pruebas de seguridad y evaluación de vulnerabilidades. - Política de contraseñas con reglas de complejidad mínima para iniciar sesión en el área web de clientes. - Medidas contra ataques de fuerza bruta basadas en tiempos de espera tras intentos fallidos de inicio de sesión. - Cortafuegos y protección contra antimalware. - Prevención de ataques de DDOS, inyección SQL y otras amenazas a través del software Imperva Web Aplication Firewall. - Análisis de penetración del portal web vivus.es en junio de 2023, previamente (febrero 2022) se había realizado otro análisis de penetración, pero con el foco en la aplicación móvil de VIVUS. - Procedimiento interno para gestionar los incidentes de seguridad.
  24. En relación con las medidas reactivas implantadas por el responsable tras conocerse la brecha de seguridad, se han constatado las siguientes: C/ Jorge Juan, 6 28001 – Madrid - Implantación de un sistema de Doble Factor de Autenticación (2FA) implantado en fecha 21 de febrero de
  25. Afirman que la implantación de esta medida fue clave para solucionar la brecha ya que no se detectaron casos posteriores. - Restablecimiento de todas las contraseñas de clientes en fecha 11 de febrero de
  26. - Inclusión de los clientes afectados por fraude en una categoría especial para evitar posibles consecuencias derivadas. www.aepd.es sedeagpd.gob.es 17/33 - Mejora del sistema de monitorización SIEM con la implantación de nuevas funcionalidades de análisis en tiempo real de eventos, en concreto:  Generándose alertas cuando los intentos de autenticación fallidos desde una misma IP superan un umbral diario definido.  Generándose alertas cuando se originan eventos de autenticación exitosa desde una misma IP en más de cuatro cuentas cliente.  Listas negras de IP sospechosas para realizar seguimiento ante nuevas autenticaciones recibidas. - Se realizó una comunicación a todos los clientes informando que la entidad no hace uso de WhatsApp como vía de contacto. - Se actualizó el procedimiento interno de gestión de incidentes (a fecha 29 de abril de 2023) revisándose la plantilla para evaluar el riesgo y la gravedad de un incidente que afecte a datos personales, introduciendo ajustes en los plazos de respuesta para poder cumplir con la notificación del RGPD.
  27. En relación con el proceso de identificación de clientes para la concesión de préstamos, ha quedado constatado que todos los clientes afectados ya habían solicitado un primer préstamo con anterioridad y, por tanto, ya habían realizado el proceso de identificación y registro inicial en el sistema (que requiere al usuario aportar documentación identificativa o hacer uso del servicio externo de identificación de banca online TINK). No obstante, queda acreditado que, para la solicitud de segundos y posteriores préstamos, VIVUS únicamente requería la correcta autenticación en el área web del cliente haciendo uso del nombre de usuario (DNI o Email) y su contraseña. Con posterioridad y como medida reactiva tras la brecha, VIVUS implantó el doble factor de autenticación (2FA) en el proceso de autenticación (login) de clientes en el área web, haciendo uso del envío de SMS con un código seguro de un solo uso y válido para una única conexión al área web personal del cliente, no conociéndose nuevos casos de fraude a raíz de la implantación de esta medida.
  28. Del análisis de medidas preventivas y reactivas acreditadas se constata insuficiencias en la implantación de medidas técnicas para garantizar la identidad de los usuarios que solicitaban segundos (y posteriores) préstamos a través del área web. La introducción del segundo factor de autenticación (2FA) como mecanismo reactivo, pese a no ser un método que asegure la protección total ante ataques, ofrece un nivel superior de seguridad, evitando casos de suplantación de identidad aun cuando las contraseñas de los clientes ya se han visto comprometidas. Reforzar al máximo la seguridad del proceso de autenticación resultaba adecuado, teniendo en cuenta el potencial impacto que tiene la posibilidad de solicitar préstamos con el único requisito de autenticarse correctamente en el portal web.
  29. Por otro lado, también se han detectado carencias en las medidas técnicas preventivas implantadas para monitorizar y, fundamentalmente, alertar ante la existencia de múltiples intentos de inicio de sesión fallidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/33 TERCERO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad 4FINANCE SPAIN FINANCIAL SERVICES, S.A.U. es una gran empresa con un volumen de negocios de 66.551.000 euros en el año
  30. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que VIVUS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «Responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina. Por su parte, el artículo 4.2 del Reglamento define el “tratamiento” de datos personales como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”” III Obligación incumplida del artículo 5.1 f) del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/33 El artículo 5.1 del RGPD establece los principios relativos al tratamiento, indicando, entre otras cuestiones, que los datos personales serán: “f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” El principio de confidencialidad, dentro del marco del RGPD, implica la obligación de garantizar que los datos personales se mantengan protegidos y únicamente puedan ser accesibles por aquellos que tienen autorización para su tratamiento, con el fin previsto y/ consentido por los titulares de los datos. En este sentido, el RGPD define a los datos personales como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” En el caso que nos ocupa, de las actuaciones de investigación realizadas por la presente autoridad, se desprende una presunta vulneración del citado principio de confidencialidad. Dicha vulneración se manifiesta a través de las siguientes circunstancias:  El hecho, confirmado por la parte reclamada, de que los atacantes accedieran a datos personales de los clientes mediante su acceso ilegítimo utilizando combinaciones credenciales válidas (pares de DNI o Email + Contraseña). Con independencia de la forma en que accedieron a dichas credenciales, su uso para acceder a la información personal de los afectados constituye una manifestación de la vulneración del citado principio.  El contacto posterior de los atacantes con los clientes afectados haciéndose pasar por la parte reclamada para solicitar la devolución del dinero a cuentas controladas por los atacantes. Debe de tenerse en cuenta, además, que el resultado favorable del fraude no solo se basó en la información personal obtenida ilegítimamente, sino que también se valió de la confianza que los clientes depositaron en VIVUS.  Las distintas reclamaciones presentadas por los afectados a la presente autoridad que emergen como respuesta a las acciones ilícitas y que ponen de manifiesto tanto la exposición de sus datos personales sin su consentimiento como la gestión posterior y reactiva de la situación por parte de VIVUS.  La denuncia presentada por la parte reclamada y posteriormente ampliada ante las cuerpos y fuerzas de seguridad en la cual ponían de manifiesto el número de afectados conocidos en dicho momento, con el fin de que realizasen las actuaciones oportunas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/33  La comunicación de la brecha por la propia parte reclamada realizada tanto a la presente autoridad como a los propios afectados. Si bien dicha comunicación fue realizada de forma tardía y progresiva, supone un reconocimiento de la vulneración de la confidencialidad de los datos personales de los afectados. Conviene señalar que la vulneración del principio de confidencialidad en el presente caso involucra un conjunto de datos personales cuya naturaleza amplifica las implicaciones de la brecha de seguridad. Ello se desprende en la circunstancia de que entre los mismos, además de datos identificativos o de contacto como nombres, direcciones, DNI/NIE, y números de teléfono, también se encontraban diversos datos financieros de los usuarios, como el IBAN e información sobre prestamos existentes en vigor. La combinación de este tipo de datos personales, incluyendo el conocimiento sobre el estado financiero de los clientes, eleva significativamente el nivel de riesgo y las implicaciones de la vulneración de la confidencialidad. Esto se debe a la circunstancia de que dicha combinación no solo aumenta la cantidad de información disponible para un actor malicioso, sino que también amplía el espectro de posibles abusos. Dado que no se trata de datos aislados o piezas individuales de información, sino de la exposición de un conjunto integrado de datos personales y financieros, cuando se combinan, pueden ser utilizados para construir un perfil completo y detallado de la situación financiera y personal de un individuo, lo cual puede permitir a un atacante realizar operaciones de fraude y suplantación de identidad con una mayor tasa de éxito. De forma concreta, la elaboración de un perfil sobre los individuos afectados permite a los atacantes diseñar estrategias de engaño altamente personalizadas, como el phishing o scamming, aumentando significativamente la probabilidad de éxito. Debe de tenerse en cuenta que la información detallada facilita la creación de mensajes creíbles que pueden engañar a las víctimas para que revelen aún más información o realicen acciones que comprometan su seguridad financiera y personal. De la misma forma, el acceso no autorizado y la exposición de datos financieros, como la información sobre préstamos, colocan a los afectados en una posición de vulnerabilidad financiera significativa. Este nivel de acceso, además de poner en riesgo los activos financieros de los afectados, también puede tener un impacto negativo duradero en su historial crediticio y su reputación financiera. De la misma forma, la información sobre préstamos solicitados, aparte de ser sensible desde un punto de vista financiero, puede contener detalles sobre la situación económica y necesidades personales de los clientes que podría ser utilizada en contra de su voluntad. Esta información puede motivar, no solo conductas fraudulentas, sino también la manipulación y el chantaje, puesto que los actores maliciosos pueden explotar el conocimiento de las vulnerabilidades financieras de una persona para presionarla o inducirla a realizar acciones contra su voluntad o intereses. Por último, no puede obviarse el número considerable de afectados de la brecha cuya magnitud llego a afectar a 9497 clientes. Esta circunstancia, de igual forma, amplia significativamente la gravedad de la vulneración del principio de confidencialidad. Debe de tenerse en cuenta que un elevado número de afectados no solo manifiesta la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/33 escala del incidente, sino que también multiplica las oportunidades para un mal uso de la información personal, lo que aumenta de forma exponencial el riesgo de fraudes o suplantaciones de identidad, en los términos anteriormente indicados. IV Tipificación y calificación de la infracción del artículo 5.1.f) del RGPD De confirmarse, la citada infracción del artículo 5.1.f) del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “
  31. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/
  32. (…)” V Sanción por la infracción del artículo 5.1.f) del RGPD Según el artículo 83.2 del RGPD “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; b) la intencionalidad o negligencia en la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/33 c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32; e) toda infracción anterior cometida por el responsable o el encargado del tratamiento; f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; g) las categorías de los datos de carácter personal afectados por la infracción; h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. De la misma forma, el artículo 76 de la LOPDGDD establece una serie de criterios para graduar la posible sanción, siguiendo lo dispuesto en el apartado k) del anterior artículo: “De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: a) El carácter continuado de la infracción. b) La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. c) Los beneficios obtenidos como consecuencia de la comisión de la infracción. d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente. f) La afectación a los derechos de los menores. g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” Teniendo en cuanta dichos preceptos, en el presente supuesto se considera que procede graduar la sanción a imponer en los siguientes términos: a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de daños y perjuicios que hayan sufrido; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/33 La concurrencia de la agravante en la vulneración del principio de se manifiesta en la naturaleza, gravedad y duración de la infracción. La naturaleza de la infracción, que implicaba la exposición de datos personales y financieros, destaca el riesgo significativo para los derechos y libertades de las personas afectadas, especialmente considerando el potencial para el fraude financiero y la suplantación de identidad. La gravedad se manifiesta por el impacto directo sobre la integridad financiera y personal de los clientes, así como por el potencial daño a largo plazo en su confianza y percepción de seguridad. Además, la duración de infracción, que cesó tras la implementación efectiva de medidas correctivas, extendió innecesariamente el período de vulnerabilidad de los datos personales de los clientes, ampliando el marco temporal en el cual los datos estuvieron expuestos a riesgos de seguridad. Asimismo, la concurrencia de la agravante también se manifiesta en el número de interesados afectados, dado que impactó a más de 9.000 clientes, lo que resalta tanto la escala del incidente como el volumen considerable de individuos cuyos derechos y libertades fueron comprometidos. Esta amplia afectación amplifica la gravedad de la infracción, dado que cada cliente afectado representa un potencial caso de fraude, suplantación de identidad, o pérdida financiera, multiplicando exponencialmente las repercusiones negativas del incidente. Agravante prevista en el apartado b) del artículo 83.2 del RGPD: b) la intencionalidad o negligencia en la infracción; El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. En este sentido, establece que en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, profesionalidad que concurre en el presente supuesto, dado que la actividad de la recurrente es de constante y abundante gestión de datos de carácter personal, lo cual implica un mayor rigor y cuidado con el fin de ajustarse a las previsiones legales. En este caso, aunque no se sugiere una intencionalidad directa, la negligencia emerge tanto en la demora en la notificación de la brecha a los afectados (la cual tuvo lugar tras requerimiento de esta entidad) como en la reacción tardía tras el conocimiento de la vulneración de la confidencialidad de los datos personales de sus clientes. Dichos elementos reflejan una omisión en el deber de cuidado que VIVUS tenía hacia la protección de los datos de sus clientes, lo que refuerza y amplifica la gravedad de la infracción y justifica, en consecuencia, la concurrencia de esta agravante. Agravante prevista en el apartado b) del artículo 76 del RGPD: b) La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Teniendo en cuenta que el núcleo de la actividad empresarial de VIVUS se basa en la concesión de préstamos y, por ende, en el tratamiento intensivo de datos personales y financieros, dicha vinculación profundiza la gravedad de la infracción. La empresa opera en un sector donde la confianza y la seguridad de la información resulta fundamental, y por tal motivo tiene la responsabilidad garantizar con mayor rigurosidad los principios de protección de datos respecto a la información que gestiona en virtud de dicha actividad, entre la cual se encuentran datos sensibles, como datos bancarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/33 y/o financieros. La naturaleza de la actividad de VIVUS, en consecuencia, amplifica las consecuencias de la presunta infracción, circunstancia que justifica la concurrencia de la presente agravante. En función de las mencionadas circunstancias, de acuerdo con lo dispuesto en el artículo 83.5 del RGPD, y sin perjuicio de lo que resulte de la instrucción del presente procedimiento, se considera adecuado fijar como posible sanción una multa de cuantía de 200.000 € (DOS CIENTOS MIL EUROS) VI Obligación incumplida del artículo 32 RGPD El artículo 32 “Seguridad del tratamiento” del RGPD establece: “
  33. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
  34. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
  35. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
  36. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/33 naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este sentido, el considerando 83 del RGPD señala que “
(83)A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. En el presente caso, de conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 32 del RGPD. La imputación bajo el artículo 32 del RGPD en el contexto de VIVUS se basa en las presuntas deficiencias identificadas en la aplicación de medidas de seguridad técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo que supone el tratamiento de datos personales. De las actuaciones de investigación realizadas por la presenta autoridad se han desprendido diversas circunstancias que manifiestan un incumplimiento en relación con los requerimientos específicos del artículo. Así, aunque VIVUS realizó análisis de riesgo en distintas fechas utilizando una metodología interna basada en ENISA, se desprende de las actuaciones previas una asignación incorrecta de valores a variables clave lo cual implica una subestimación significativa del riesgo y severidad de la brecha. Ello manifiesta una posible inadecuación en la evaluación del riesgo al no tener en cuenta el estado de la técnica, los costos de implementación, y los riesgos para los derechos de las personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/33 De la misma forma, la demora en la comunicación del incidente a los afectados hasta el 11 de abril de 2023, después de recibir la orden de la autoridad competente, destaca una limitación en la capacidad de VIVUS para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento de datos. Esta demora en la notificación podría suponer mayores riesgos para los individuos afectados, incumpliendo de esta forma la obligación del artículo 32 de restaurar la disponibilidad y el acceso a los datos personales de manera rápida en caso de incidente. Asimismo, la falta de análisis de riesgos específicos para los derechos y libertades de las personas interesadas en la actividad de tratamiento, y la concentración en impactos financieros para VIVUS en lugar de en los riesgos para los individuos afectados, subraya un enfoque inadecuado en la protección de datos desde una perspectiva centrada en el individuo. La implementación de medidas reactivas por VIVUS, aunque necesaria y útil para abordar las consecuencias de la brecha de seguridad, al mismo tiempo revela insuficiencias en la anticipación y mitigación de riesgos para la seguridad de los datos personales. Ello resalta la importancia de una evaluación continua del riesgo, la planificación proactiva de la seguridad y una respuesta ágil a incidentes, conforme a los requisitos del artículo 32 del RGPD, circunstancias todas ellas que no han sido tenido en cuenta por VIVUS, tal y como se deduce de las actuaciones practicadas. En este sentido, la decisión inicial de VIVUS de permitir nuevas solicitudes de préstamos sucesivos basándose únicamente en una forma de autenticación con usuario y contraseña revela una subestimación de los riesgos asociados con el robo de identidad y el fraude financiero. Basándose en que los clientes afectados ya habían completado un proceso de identificación para su primer préstamo, el sistema de VIVUS no exigía una verificación de identidad rigurosa para transacciones subsecuentes. Esta práctica abre la puerta a que actores maliciosos, si llegan a obtener credenciales de acceso de los clientes, puedan solicitar préstamos fraudulentamente. La implementación del Doble Factor de Autenticación (2FA) por VIVUS constituye, sin duda, un avance significativo en la protección de la seguridad de los datos y la integridad de sus transacciones financieras. Sin embargo, este avance llega en un momento reactivo, después de que se hayan manifestado vulnerabilidades críticas y se haya producido una brecha de seguridad con efectos amplios. La adopción de 2FA, aunque crucial, manifiesta una oportunidad perdida de haberse anticipado y mitigado proactivamente los riesgos antes de que se materializasen en daños reales para los clientes, lo cual es, en esencia, la finalidad que persigue el citado artículo 32. Las mencionadas carencias detectadas en las medidas preventivas previas a la brecha, especialmente en lo que respecta a la autenticación de usuarios para la solicitud de préstamos sucesivos, subrayan una adecuada evaluación de riesgo adecuada conforme a lo estipulado por el artículo 32 del RGPD. Como se indica en las conclusiones de las actuaciones de investigación, a pesar de la mejora significativa que representa el 2FA, la situación pone de relieve carencias en las medidas técnicas preventivas previas a la brecha, particularmente en lo que respecta a la monitorización C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/33 de intentos de inicio de sesión fallidos y la generación de alertas. La falta de un sistema efectivo para detectar patrones anómalos de autenticación facilita a posibles atacantes la explotación de credenciales comprometidas sin ser detectados de manera oportuna. No puede obviarse en el presente caso la naturaleza de la actividad de VIVUS, la cual opera en el sector financiero, lo que conlleva a que el tratamiento de datos personales involucre información sensible, incluyendo detalles financieros y de identificación personal. Las circunstancias relativas a dicha actividad, supone una mayor exigencia respecto a las medidas técnicas y de seguridad con el fin de proteger los derechos en materia de protección de datos de los usuarios. Por último, conviene destacar que la falta de medidas de seguridad adecuadas por parte de VIVUS es una cuestión que va más allá de la brecha de seguridad específica producida. Si bien la implementación de medidas reactivas como el Doble Factor de Autenticación (2FA) y la mejora del sistema de monitorización SIEM fueron pasos importantes en respuesta a la brecha, el incumplimiento de VIVUS radica en una omisión más amplia y preexistente: la falta adopción de un marco de seguridad de datos integral y proactivo. Esta falta de medidas de seguridad adecuadas, independientemente de la brecha, señala una desconexión entre la evaluación de los riesgos potenciales y la implementación de medidas técnicas y organizativas necesarias para prevenir tales incidentes. La situación evidencia una desconexión en la cultura de seguridad de la información de VIVUS, donde las medidas tienden a ser reactivas en lugar de estar encaminadas en una estrategia de seguridad proactiva y basada en el riesgo. Esta postura reactiva limita la efectividad de las medidas de seguridad y aumenta la vulnerabilidad a futuras brechas, ya que no todas las medidas de seguridad necesarias están directamente relacionadas con la prevención de incidentes específicos, sino con la creación de un entorno seguro de forma integral. En definitiva, las medidas adoptadas por VIVUS, la naturaleza de su actividad y su gestión reactiva con independencia de la brecha de seguridad acaecida subrayan un presunto incumplimiento del artículo 32 del RGPD) que exige la implementación de medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo del tratamiento de datos personales. Si bien VIVUS tomó medidas reactivas, dichas acciones llegaron como respuesta a una vulnerabilidad ya explotada, en lugar de como parte de una estrategia proactiva de gestión de riesgos. VII Tipificación y calificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/33
  1. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  2. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. VIII Sanción por la infracción del artículo 32 del RGPD En los términos indicados por el mencionado artículo 83.4 del RGPD la infracción del artículo 32 se sancionará, “con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” Asimismo, de acuerdo con los criterios anteriormente establecidos supuesto se considera que en el presente supuesto procede graduar la sanción a imponer en los siguientes términos: Agravante prevista en el apartado
  3. a)del artículo 83.2 del RGPD:
  4. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de daños y perjuicios que hayan sufrido; En el presente supuesto se desprende la concurrencia de la citada agravante considerando la naturaleza, gravedad y duración de la presunta infracción cometida. En el caso de la naturaleza de la infracción se manifiesta en el tratamiento inadecuado de datos personales y financieros, un aspecto crítico teniendo en cuenta la sensibilidad de la información involucrada. Por su parte, la gravedad se desprende del potencial daño significativo de los derechos y libertades de los individuos afectados que posee la no adopción de las medidas de seguridad adecuadas, incluyendo riesgos de fraude y pérdida financiera. Además, la duración de la infracción, extendiéndose desde el momento de la brecha hasta la implementación tardía de medidas correctivas, justifica la concurrencia de la citada agravante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/33 Agravante prevista en el apartado
  5. b)del artículo 83.2 del RGPD:
  6. b)la intencionalidad o negligencia en la infracción; En los términos anteriormente indicados respecto a la doctrina del Tribunal Supremo respecto a la imprudencia, en el presente caso la negligencia se manifiesta en la falta de previsión y en la adopción tardía de medidas como el 2FA, que son fundamentales para la protección de datos personales. Esta negligencia indica una omisión en la aplicación de un enfoque de seguridad de datos proactivo y basado en el riesgo, indispensable para prevenir accesos no autorizados y otras formas de compromiso de datos. La negligencia, por tanto, se manifiesta en este caso en no anticipar y mitigar los riesgos, especialmente en un sector tan sensible como el financiero, lo cual justifica la concurrencia de la mencionada agravante. Agravante prevista en el apartado
  7. b)del artículo 76 del RGPD:
  8. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. La infracción del artículo 32 por VIVUS se ve particularmente agravada por la estrecha vinculación de su actividad empresarial con el tratamiento intenso y continuado de datos personales, dado que la concesión de préstamos implica la gestión de información personal y financiera de forma ordinaria y masiva. En este sentido, la falta de medidas de seguridad adecuadas pone en riesgo la esencia de la operatividad en que se basa este tipo de entidades y merma la confianza en el sector financiero digital. De la misma forma, la naturaleza de dicha actividad exigía una mayor rigurosidad en la adopción de las medidas de seguridad, exigencia que no fue materializada en el caso que nos ocupa. Teniendo en cuenta las condiciones generales para la imposición de multas administrativas establecidas por el ya mencionado artículo 83.2 del RGPD, atendiendo a las circunstancias del presente supuesto y sin perjuicio de lo que resulte de la instrucción del presente procedimiento, se propone como posible sanción una multa de cuantía de 400.000 € (CUATROCIENTOS MIL EUROS). IX Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  9. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/33 Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a 4FINANCE SPAIN FINANCIAL SERVICES, S.A.U., con NIF A86521309, por la presunta infracción del Artículo 5.1.
  10. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, las distintas reclamaciones interpuestas y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  11. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería:, sin perjuicio de lo que resulte de la instrucción: - Por la supuesta infracción del artículo 5.1.
  12. f)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 200.000,00 euros. - Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 400.000,00 euros. QUINTO: NOTIFICAR el presente acuerdo a 4FINANCE SPAIN FINANCIAL SERVICES, S.A.U., con NIF A86521309, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  13. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/33 presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 480.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 480.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 360.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (480.000,00 euros o 360.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-18032024 Mar España Martí Directora de la Agencia Española de Protección de Datos >> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/33 SEGUNDO: En fecha 25 de abril de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 360000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/33 el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202304633, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a 4FINANCE SPAIN FINANCIAL SERVICES, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  14. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.