PS-00493-2024

1/18  Expediente N.º: EXP202406965 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 24 de abril de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a FREE TECHNOLOGIES EXCOM, S.L. con NIF B82999798 (en adelante, FREE TECHNOLOGIES). Los hechos que se pone en conocimiento de esta autoridad: La parte reclamante señala que, el ***FECHA.1, recibió un correo electrónico de la compañía reclamada (en texto plano, sin cifrar) informando de una actualización de su área de clientes. En ese correo figuran credenciales de acceso con el conjunto usuario/contraseña, modificando esta última sin previo aviso. La parte reclamante expresa que en el correo indican que la nueva área de clientes incluye datos como su nombre y apellidos, dirección domiciliaria, DNI, teléfono, correo electrónico, contrato, facturas, detalle de llamadas y consumo de datos, así como otros datos protegidos. Manifiesta que no cuenta con multifactor de acceso. Para la parte reclamante, que el correo se envíe con sus credenciales completas para acceder al portal, el cual no tiene autenticación de dos factores, supone una “brecha de seguridad”. Junto al escrito, se aporta captura de pantalla del correo electrónico remitido por la parte reclamada a la parte reclamante, con fecha de ***FECHA.1. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a FREE TECHNOLOGIES, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 16/05/2024 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 24 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 13 de febrero de 2025 la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 32 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante, RGPD, tipificada en el Artículo 83.4.

1. a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: 1.- Ha colaborado con la AEPD. Nunca ha tenido intención de no responder a un requerimiento y que lo sucedido fue un problema puntual. Indica que ha reforzado el control de notificaciones restringiendo accesos, revisando protocolos y estableciendo monitorización continua. 2.- El incidente fue un error humano puntual, ya corregido. Reiniciaron la contraseña del cliente, implementaron un protocolo automático que evita errores futuros y contactaron con el afectado, quien —según la empresa— quedó satisfecho y no sufrió perjuicios. 3.- Verificó que no hubo accesos no autorizados ni filtración de datos; por ello, considera que no existió impacto ni riesgo para el interesado. 4.- Enumera una serie de elementos relativos a la seguridad técnica del correo electrónico. 5.- Es de aplicación el principio de proporcionalidad y solicita la atenuación de sanción 6.- Está invirtiendo en cumplimiento (ENS, NIS2), formación y auditorías. Ha revisado protocolos, reforzado controles y continúa mejorando su seguridad. SEXTO: Con fecha 15 de diciembre de 2025 se formuló propuesta de resolución, en el sentido de que, por la Presidencia de la Agencia Española de Protección de Datos se sancione a la entidad FREE TECHNOLOGIES por la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
2. a)del mismo Reglamento, y calificada como grave a efectos de prescripción en el artículo 73.
3. f)de la LOPDGDD. La notificación de esta propuesta de resolución fue debidamente notificada a la parte reclamada en fecha 15 de diciembre de 2025, concediéndosele un plazo diez días hábiles para formular alegaciones, a contar a partir del día siguiente de la recepción de la notificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 SÉPTIMO: Con fecha 31 de diciembre de 2025, se recibió escrito de alegaciones a la propuesta de resolución en el que FREE TECHNOLOGIES manifestaba lo siguiente: 1.- El incidente se debió a un error humano puntual, habiendo actuado de forma inmediata: reiniciando las contraseñas, contactando con el afectado y activando controles de seguridad. Sostiene que no hubo accesos no autorizados ni exfiltración de datos. 2.- El artículo 32 del RGPD impone una obligación de medios, no de resultado. Defiende que disponía de medidas técnicas y organizativas adecuadas y proporcionadas al riesgo, acordes con el estado de la técnica. 3.- Invoca el artículo 82.3 RGPD para afirmar que el incidente no es imputable a la entidad, al haberse producido por un error humano puntual y no por un fallo estructural del sistema de seguridad. Aduce inexistencia de nexo causal con accesos externos o perjuicio efectivo. 4.- Califica el suceso como puntual, aislado y humano, sin antecedentes similares, ocurrido fuera de los procesos automatizados críticos. Añade que la adopción de medidas correctoras con carácter inmediato demuestra diligencia y excluye la apreciación de negligencia. 5.- Ausencia de acceso no autorizado o filtración a los datos personales objeto de tratamiento. 6. Finalmente, solicita la aplicación del principio de proporcionalidad, destacando la ausencia de perjuicio, el volumen limitado de afectados, la reacción diligente, la falta de antecedentes y la cooperación, interesando que cualquier sanción se sitúe en el tramo mínimo. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta en el expediente imagen de mensaje de correo electrónico remitido el ***FECHA.1 por la parte reclamada al reclamante, aportado por éste junto con la reclamación, con el siguiente contenido: “Excom Para: ***EMAIL.1 Hola A.A.A., Desde Excom seguimos trabajando para ofrécete los mejores servicios de telecomunicaciones con la cercanía y calidad de siempre. En este caso lanzamos un nuevo área privada de clientes, para permitirte acceder a más funcionalidades en la gestión de tus servicios. El área privada está dispo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 dirección y es accesible desde las credenciales que encontrarás en este correo. Estas son tus credenciales de acceso a tu panel clientes en FREE TECHNOLOGIES EXCOM, S.L. USUARIO: (Texto difuminado en la copia aportada) CONTRASEÑA: (Texto difuminado en la copia aportada)” SEGUNDO: Con fecha 30 de abril de 2024, se recoge por esta Agencia evidencia de “Política de Privacidad” de la web https://www.excom.es, en la que consta lo siguiente: “I. ¿Quién es el responsable del tratamiento de sus datos? El responsable del tratamiento de sus datos personales es FREE TECHNLOGIES EXCOM. En adelante, (“GRUPO EXCOM”) con domicilio social en Avda. Valdelaparra nº 27, Edificio nº 1, Planta 2, Oficina 4, 28018, La Moraleja, Alcobendas (Madrid). […]” Además, se recoge por esta Agencia evidencia de la web clientesexom.ispgestion.com cuyo objeto es el acceso a la web de Excom para sus clientes. TERCERO: En la documentación aportada por FREE TECHNOLOGIES en sus alegaciones al acuerdo de inicio, consta un email remitido por la parte reclamante a info@excom.es (…), con el siguiente contenido: “Buenos días, Por favor, no volváis a mandar jamás en un correo con texto plano unas credenciales de usuario con el conjunto de usuario y contraseña, menos si cabe cuando el usuario es el DNI, y con una contraseña que vosotros mismos habéis modificado libremente. En el portal de gestión aparecen datos como mi dirección, teléfono, DNI, cuenta bancaria… ¿es que no tenéis un departamento de seguridad o al menos un poco de sentido común? Saludos.” Con fecha 25 de abril de 2024, a las 19:35:14, desde FREE TECHNOLOGIES se remite un mensaje a la parte reclamante con el siguiente contenido: “Hola [nombre ocultado] Antes de nada, nos gustaría pedirte disculpas por el envío de las credenciales. Fue fruto de un error humano y estamos poniendo en marcha las medidas para que no vuelva a pasar. Queremos informarte también que hemos cambiado el procedimiento de cambio de password para el acceso al Área de Clientes para fortalecer su seguridad. Hemos vuelto a enviarte tus credenciales para mostrarte el nuevo proceso. Asimismo, te anunciamos que desde ayer ya puedes acceder a tu Área de Clientes también desde la app “My EXCOM”, que se encuentra disponible en los stores de Apple y Android. Esperamos que te sea útil. Un saludo” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad FREE TECHNOLOGIES es una empresa constituida en el año 2001, y con un volumen de negocios de 19.487.538 euros en el año 2022. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Respuesta a las alegaciones al acuerdo de inicio y a la propuesta de resolución En la propuesta de Resolución se recogió la contestación a las alegaciones al acuerdo de inicio, a la que nos remitimos, y en respuesta a las alegaciones presentadas a la propuesta de resolución por la entidad reclamada se debe señalar lo siguiente: “PRIMERA.- EXPOSICIÓN PREVIA Y HECHOS” FREE TECHNOLOGIES reconoce que el ***FECHA.1 se envió a la parte reclamante un correo electrónico que contenía, por error humano puntual, credenciales de acceso al área de clientes. Afirma que, tras tener conocimiento del hecho, actuó de forma inmediata reiniciando contraseñas, contactando con el afectado y activando controles de seguridad. Sostiene que no hubo accesos no autorizados ni exfiltración de datos. Sin embargo, no resulta determinante, a efectos de la procedencia de la imputación, que la parte reclamada califique el incidente como un “error humano puntual” ni que afirme la inexistencia de accesos no autorizados o exfiltración de datos. La remisión de credenciales de acceso en un correo electrónico constituye, por sí misma, un hecho relevante desde el punto de vista de la seguridad del tratamiento, al implicar la exposición indebida de un elemento de autenticación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 Asimismo, debe señalarse que la inmediata adopción de medidas correctoras tras la detección del incidente no desvirtúa la apreciación inicial de los indicios, ni elimina la relevancia jurídica del hecho constatado. El procedimiento sancionador se dirige precisamente a determinar si, en el momento de producirse el incidente, las medidas técnicas y organizativas implantadas eran adecuadas conforme a lo exigido por el artículo 32 del RGPD, cuestión que no queda resuelta por la reacción posterior del responsable. Por último, la afirmación de que “no hubo accesos no autorizados ni exfiltración” no impide la continuación del procedimiento, ya que el artículo 32 del RGPD no condiciona la existencia de infracción a la producción de un daño efectivo, sino a la adecuación de las medidas de seguridad frente a los riesgos del tratamiento. Por todo lo expuesto, se desestima la presente alegación. “SEGUNDA.- FUNDAMENTOS DE DERECHO Y ARGUMENTOS DE DEFENSA” “1. SOBRE LA NATURALEZA DE LA OBLIGACIÓN (ART. 32 RGPD): OBLIGACIÓN DE MEDIOS Y RAZONABILIDAD DE LAS MEDIDAS” FREE TECHNOLOGIES sostiene que el artículo 32 RGPD impone una obligación de medios, no de resultado, por lo que no puede exigirse la ausencia absoluta de incidentes ni de errores humanos. Defiende que disponía de medidas técnicas y organizativas adecuadas y proporciona-das al riesgo, acordes con el estado de la técnica. No obstante, aunque la obligación del artículo 32 del RGPD sea de medios, también exige adecuación efectiva al riesgo. FREE TECHNOLOGIES omite que dicha obligación no se satisface con la mera existencia formal de políticas o medidas genéricas, sino con la implantación de medidas técnicas y organizativas efectivamente adecuadas al riesgo concreto del tratamiento. Precisamente, en este caso no se sanciona por el acaecimiento de un resultado, como la exposición de datos personales a terceros, sino por no disponer medidas adecuadas al riesgo que implica el tratamiento de los datos personales. En este caso, el riesgo relevante no era abstracto, sino perfectamente previsible: la gestión y comunicación de credenciales de acceso. El envío de credenciales en texto claro por correo electrónico evidencia que no existían medidas organizativas suficientes para impedir una divulgación indebida de información de autenticación, que es uno de los elementos más sensibles desde el punto de vista de la seguridad. “2. SOBRE LA AUSENCIA DE RESPONSABILIDAD IMPUTABLE” FREE TECHNOLOGIES invoca el artículo 82.3 RGPD para afirmar que el incidente no es imputable a la entidad, al haberse producido por un error humano puntual y no por un fallo estructural del sistema de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 En respuesta a esta alegación, cabe señalar que el argumento del “error humano puntual” no exime de responsabilidad en el marco del artículo 32 RGPD. Que el error se produjera en un proceso manual revela una insuficiencia de las medidas organizativas, no un hecho imprevisible o inevitable. Precisamente la adopción de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo deben evitar que se produzcan errores humanos como el ocurrido en este caso. FREE TECHNOLOGIES no ha justificado la existencia de instrucciones o de protocolos para sus empleados que evitasen errores básicos en el envío de credenciales. Por tanto, el incidente sí es imputable a FREE TECHNOLOGIES, por incumplimiento de lo previsto en el artículo 32 del RGPD. Por otra parte, la existencia de medidas genéricas (TLS, cifrado de servidores, control de accesos, logs, formación) no resulta suficiente para desvirtuar la imputación, porque ninguna de ellas evita el envío de credenciales en claro, ni protege frente a divulgaciones indebidas en procesos manuales, ni garantiza la confidencialidad de la información de autenticación en fase de envío o comunicación de los datos. El artículo 32 del RGPD exige que las medidas sean apropiadas al riesgo específico, no solo conformes al estado de la técnica de forma abstracta. “3. SOBRE EL CARÁCTER PUNTUAL, HUMANO Y AISLADO DEL INCIDENTE” FREE TECHNOLOGIES califica el suceso como puntual, aislado y humano, sin antecedentes similares, ocurrido fuera de los procesos automatizados críticos. Añade que la adopción de medidas correctoras inmediatas demuestra diligencia y excluye la apreciación de negligencia. El argumento del “error humano puntual” no exime a FREE TECHNOLOGIES de responsabilidad, ya que el artículo 32 del RGPD no exige la reiteración de incidentes para apreciar un incumplimiento, ni condiciona la infracción a la existencia de una práctica sistemática o continuada. Un único incidente es suficiente para demostrar la insuficiencia de medidas cuando afecta a elementos críticos de seguridad (como credenciales de acceso) o revela una debilidad en los procedimientos internos, Por tanto, aunque el incidente sea único y no recurrente, ello no impide su relevancia. Las actuaciones posteriores (reinicio de contraseñas, comunicación al afectado, revisión de procesos) no eliminan el incumplimiento ya producido. La adecuación de las medidas debe valorarse en el momento del incidente, no a partir de las correcciones introducidas después. “4. SOBRE LA AUSENCIA DE ACCESO NO AUTORIZADO O FILTRACIÓN” FREE TECHNOLOGIES alega ausencia de acceso no autorizado o filtración. Sostiene que los logs y evidencias técnicas no muestran accesos indebidos ni explotación de las credenciales, por lo que el incidente se limitaría al envío erróneo del correo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 No obstante, no es necesario acreditar acceso no autorizado ni daño efectivo. Como ya se dijo en la propuesta de resolución, los HECHOS PROBADOS evidencian deficiencias en las medidas de seguridad aplicadas por FREE TECHNOLOGIES, especialmente en relación con el correo remitido al interesado sobre la actualización de su área de clientes, en el que se incluían credenciales de acceso completas (usuario y contraseña). FREE TECHNOLOGIES vincula la infracción del artículo 32 del RGPD a la existencia de accesos no autorizados, exfiltración o perjuicio efectivo a la persona afectada. Este planteamiento no es conforme a lo establecido por el citado artículo, el cual no exige la producción de algún tipo de daño o perjuicio o la utilización de los datos personales, sino la adopción previa de medidas adecuadas para evitar riesgos indebidos. De hecho, como la propia parte reclamada afirma, no nos encontramos con una obligación de resultado, lo que implica que no es necesario que se materialice un perjuicio a la parte reclamada para que se produzca el tipo infractor, consistente en este caso en la inadecuación de las medidas adecuadas al riesgo. La exposición de credenciales a través de un canal inseguro constituye por sí misma un fallo en las garantías de seguridad, generando un riesgo claro y evitable para los clientes de la FREE TECHNOLOGIES, sobre todo cuando el acceso a la información se realiza sin ningún tipo de clave de seguridad. Y ello con independencia de que finalmente un tercero las haya utilizado o no. “5. SOBRE LA PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA” FREE TECHNOLOGIES solicita la aplicación del principio de proporcionalidad, destacando la ausencia de perjuicio a la parte reclamante, el volumen limitado de afectados, la reacción diligente, la falta de antecedentes y la cooperación, interesando que cualquier sanción se sitúe en el tramo mínimo legalmente previsto. FREE TECHNOLOGIES invoca resoluciones judiciales en las que los tribunales han procedido a la reducción de sanciones impuestas por esta Agencia, sugiriendo que tales precedentes deberían conducir a una minoración de la sanción eventualmente impuesta en este procedimiento. A este respecto, debe recordarse que las resoluciones judiciales citadas por la parte reclamada no establecen un criterio general de reducción de sanciones, sino que responden a la valoración de circunstancias concretas, propias de cada expediente. Los tribunales, al revisar sanciones administrativas, no aplican reducciones de manera automática, sino que examinan si, en el caso específico enjuiciado, la Administración ha motivado adecuadamente la cuantía de la sanción conforme a los criterios del artículo 83.2 del RGPD y al principio de proporcionalidad. En este sentido, la jurisprudencia exige que dicha graduación esté debidamente motivada y conectada con las circunstancias acreditadas del caso concreto. Por ello, la mera cita de sentencias en las que se reducen sanciones no constituye, por sí sola, un argumento válido, si no se identifica qué circunstancias concurrentes en aquellos supuestos serían equiparables al presente expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 En consecuencia, la alegación relativa a reducciones acordadas por los tribunales no desvirtúa ni condiciona la valoración que corresponde realizar en este expediente conforme a los criterios del artículo 83.2 del RGPD y al principio de proporcionalidad. La proporcionalidad opera únicamente una vez acreditado el incumplimiento, y no desvirtúa que la gestión de credenciales es un ámbito de riesgo elevado y que las medidas existentes no evitaron el incidente, que afectó a un elemento crítico de seguridad. Además, la aportación de documentación y la presentación de alegaciones no constituyen cooperación activa en los términos del artículo 83.2.
4. f)RGPD, sino el ejercicio legítimo del derecho de defensa. Como conclusión, debe afirmarse que las alegaciones de FREE TECHNLOGIES no desvirtúan la imputación de una infracción del artículo 32 del RGPD, al no haber acreditado que las medidas implantadas fueran apropiadas para garantizar un nivel de seguridad adecuado al riesgo inherente al tratamiento de credenciales de acceso. “TERCERA.- DOCUMENTACIÓN APORTADA” FREE TECHNLOGIES sostiene que ha aportado al procedimiento documentación suficiente y acreditativa de su actuación diligente tras tener conocimiento del incidente de seguridad, y requiere a la AEPD a que realice cualquier prueba técnica adicional para acreditar la inexistencia de acceso no autorizado. Sin embargo, tales extremos no alteran la constatación del hecho objetivo de que se produjo una vulneración de la seguridad de los datos personales, consistente en la divulgación indebida de credenciales, circunstancia que, por sí misma, resulta relevante a efectos del artículo 32 del RGPD. Además, la Administración no está obligada a abrir un período probatorio cuando los hechos se consideran suficientemente acreditados con la documentación obrante en el expediente, ni cuando la prueba solicitada se dirige a cuestionar valoraciones jurídicas o a introducir hipótesis alternativas no respaldadas por indicios objetivos. Por todo lo expuesto, se desestima la presente alegación. III Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que FREE TECHNOLOGIES, como responsable del tratamiento, realiza la recogida, conservación y comunicación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellidos, dirección física, DNI, teléfono, correo electrónico, contrato, facturas, detalle de llamadas y consumo de datos, correo electrónico y contraseña de sus clientes, entre otros tratamientos. FREE TECHNOLOGIES realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. En el artículo 32 del RGPD se regulan las medidas de seguridad que deben adoptarse para garantizar un nivel de seguridad adecuado al riesgo que presente el tratamiento de datos personales. IV Obligación incumplida. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/18 organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
5. a)la seudonimización y el cifrado de datos personales;
6. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
7. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
8. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." En el presente caso, en el correo electrónico remitido por FREE TECHNOLOGIES a la parte reclamante, se le informa de una actualización de su área de clientes, incluyendo las credenciales de acceso con el conjunto usuario/contraseña, habiendo sido modificada la contraseña de la parte reclamante por FREE TECHNOLOGIES sin previo aviso. El envío de los datos de usuario y contraseña en claro sin ningún tipo de contraseña para el acceso, a través del correo electrónico no es un medio adecuado para garantizar un nivel de seguridad adecuado al riesgo que puede suponer la pérdida de integridad y confidencialidad de los datos personales Con relación a la seguridad del correo electrónico, el “Informe de buenas prácticas” de mayo de 2021, CNN-CERT BP02, del Centro Criptológico Nacional, servicio adscrito al Centro Nacional de Inteligencia, cuya misión es contribuir a la mejora de la ciberseguridad española, recoge una serie de vulnerabilidades del correo electrónico y de las diversas formas en que éstos pueden ser atacados, así como recomendaciones de seguridad. En el apartado 4.2 de dicho Informe se describe la “Seguridad de las comunicaciones vía email”, con las siguientes aseveraciones en sus páginas 37 a 39: “El protocolo involucrado en este proceso de envío es SMTP. Este protocolo ha sido utilizado desde 1982 y cuando fue implementando no se tuvieron en cuenta medidas de seguridad tales como el cifrado o la autenticación de las comunicaciones. Esto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/18 quiere decir que todo el proceso de envío descrito anteriormente se realizaría en texto plano, es decir, que en cualquier punto de la trasmisión un atacante podría ver y manipular el contenido de los correos. Debido a estas carencias en SMTP se han ido desarrollando diversas tecnologías y extensiones que permiten incorporar medidas de seguridad para garantizar la autenticación, integridad y cifrado a las comunicaciones vía correo electrónico. Algunas de las tecnologías más conocidas son STARTTLS, SPF, DKIM y DMARC…Aunque los proveedores de correo más conocidos como Google, Yahoo y Outlook cifran y autentican los emails utilizando este tipo de tecnologías, muchas organizaciones siguen haciendo un uso descuidado del correo electrónico. Téngase en cuenta, además, que estas tecnologías deben ser implementadas tanto en el origen como en el destino para que puedan utilizarse. Asimismo, algunas de estas medidas son susceptibles de ser atacadas. Por ejemplo, STARTTLS es susceptible a ataques downgrade, en donde un atacante en una situación man-in-the-middle puede forzar a que no que lleve a cabo la negociación TLS (bastaría con reemplazar la cadena STARTTLS). Incluso en el caso de que se establezca la comunicación TLS de forma satisfactoria, los servidores de correo por los que pasa el email hasta alcanzar el destino tendrían acceso a su contenido. Debido a estos hechos, se deduce que no es suficiente con delegar la seguridad del correo electrónico a las tecnologías subyacentes encargadas de hacer llegar el mismo a su destinatario.” Hay que señalar que el RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que, en virtud del principio de responsabilidad proactiva del artículo 5.2 del propio RGPD, el cual comporta la exigencia de que el responsable del tratamiento asegure la efectiva privacidad e integridad de los datos, tanto el responsable como el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Además, el responsable tiene que estar en condiciones de demostrar que ha implantado esas medidas y que las mismas son las adecuadas para lograr la finalidad perseguida. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/18 En este mismo sentido el considerando 83 del RGPD señala que: “