← España

PS-00507-2021

1/41  Expediente Nº: PS/00507/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de julio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AIO E-COMMERCE, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 7 de octubre de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: PS/00507/2021 IMI Reference: A56ID 180442- Case Register 339156 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 25 de enero de 2021, la Subdirección General de Inspección de Datos recibió para su valoración un escrito de notificación de brecha de seguridad de los datos personales remitido por AIO E-COMMERCE, S.L. con NIF B88313093 (en adelante, AIO), con entrada en esta Agencia el 15 de enero de 2021, en el que informa a la Agencia Española de Protección de Datos que han sufrido un ataque en la base de datos de los servidores de la empresa. Y que, de los análisis realizados, se han encontrado indicios de accesos no autorizados a datos personales y difusión de datos bancarios de más de 2000 usuarios chinos residentes en España. Se indica que puede haber usuarios afectados en Francia, Grecia, Irlanda, Italia y Portugal. Junto a la notificación se aporta: - Copia de la denuncia correspondiente ante la Dirección General de la Policía de Madrid. - Imagen de un anuncio en idioma chino. - Fichero Excel con las supuestas tarjetas bancarias filtradas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/41 SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, en fecha 16 de febrero de 2021, esta Agencia Española de Protección de Datos (AEPD) se declaró Autoridad principal en este asunto. El traslado de esta cuestión se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que AIO tiene su sede social y establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúan en calidad de “autoridad de control interesada” la autoridad de control de Italia, Francia e Irlanda. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en dicho Estado miembro resultan afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Sobre finales de agosto de 2020 hubo un ataque a la base de datos de los servidores de la empresa. El día 14 de enero de 2021 se anuncia la venta de información de tarjetas bancarias de la empresa afectada. Se ha difundido por las redes sociales de la comunidad china (WeChat sobre todo) el fichero con las credenciales de las tarjetas de más de 2000 usuarios chinos residentes en España. Según consta en el servicio de información de empresas AXESOR, AOI comenzó su actividad el día 13 de febrero de 2019 y tiene como objeto social “Intermediarios del comercio de productos alimenticios, bebidas y tabaco.” Con fecha 11 de febrero de 2021 se solicitó información a AIO E-COMMERCE, S.L. De las respuestas recibidas, en fecha 4 y 10 de marzo de 2021, se desprende lo siguiente: Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final Durante el ejercicio 2020, en concreto a partir del 15 de julio de 2020, AIO identificó ciertos ataques (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/41 El 17 de agosto de 2020, se detectan incidencias en los servidores (…). La dificultad en el tratamiento de lo que entonces era una sospecha (principalmente por la falta de información al respecto), sin poder constatar que se trataba de una brecha y la carencia de medios para ello (en particular de suficientes recursos económicos y técnicos) sin que un excesivo destino de recursos a ello pudiera poner en peligro la continuidad del negocio fundamental de AIO, llevó a AIO a interponer sendas denuncias el 19 y 24 de agosto de 2020, ante la Policía, en las dependencias sitas en el distrito de Madrid-Moncloa Aravaca. Aportan copia de ambas denuncias. (…). El 15 de septiembre de 2020 se reciben informaciones sobre la posibilidad de que una nueva plataforma de características y aspecto muy similar—casi idéntico—a AIO entra en el mercado español. El 25 de septiembre de 2020, se confirma y conoce públicamente una app idéntica a AIO denominada « 猛男外卖 » ha visto la luz en Play Store y App Store. AIO reporta este hecho a App Store y lo denuncia ante la policía. Con fecha 3 de octubre de 2020, se publica un aviso por réplica de datos y App. Durante el mismo día, se anuncia el cierre definitivo de la App réplica. El 12 de octubre de 2020, se vuelve a obtener cierta información de una nueva plataforma idéntica a AIO como en el caso anterior. El 17 de octubre de 2020, se pone a disposición del público en Play Store y App Store una aplicación idéntica denominada «欧浪外卖», se reporta la incidencia a App Store. El 15 de noviembre de 2020, se actualiza la política de privacidad de AIO informando de la implementación de diferentes medidas, entre otras, la anonimización de datos en la app del comercio, la del repartidor y en el ticket; datos tales como el teléfono y dirección de entrega del usuario. Iniciado el ejercicio 2021, el 14 de enero de 2021 se tiene conocimiento de la publicación de un anuncio de venta de código fuente de AIO + Datos personales de todos los usuarios de AIO en (https://www.huarenjiewang.com/xibanya/information.php?id=11596324). AIO se pone inmediatamente en contacto con (***EMPRESA.1) para solicitar la urgente eliminación del anuncio y obtener información sobre anunciante de cara a iniciar acciones legales en defensa de AIO y sus usuarios, según corresponda. Alrededor de las 11:00h del día 15 de enero de 2021, se empieza a tener por parte de AIO información sobre los archivos. A las 13:00h aproximadamente, AIO logra una copia de los archivos divulgados y comienza a analizarlos. Sobre las 13:15h se publica un aviso público y privado para todos los usuarios facilitándoles nueva información. A las 13:30h aproximadamente aparece una publicación en (https://www.huarenjiewang.com/xibanya/information.php?id=11596439) anunciando la venta del código fuente de AIO más los datos personales de todos sus usuarios. A partir de este momento, AIO comienza a informar a todos los usuarios afectados por teléfono de los hechos ocurridos, solicitándoles que tomasen las medidas precisas para que sus cuentas y tarjetas bancarias no se vieran afectadas, siguiendo lo establecido en el punto Cuarto del Protocolo de actuación contra brechas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/41 seguridad. Sobre las 14:00 horas se publican datos personales el administrador de la AIO, incluyendo su NIE. Ese mismo día, sobre las 14:00 horas se publican Datos Personales del administrador de la empresa, incluyendo su NIE. A las 16:07h se registra una denuncia ante la policía del Distrito de Madrid-Centro y a las 18:05 se comunica tal brecha a la AEPD. Asimismo, se ha contactado con un despacho de abogados penalistas para iniciar acciones legales por un presunto delito de daños informáticos y/o las que correspondan. Respecto de las acciones tomadas con objeto de minimizar los efectos adversos de la brecha y la resolución de esta, aportan una relación de 13 medidas técnicas y organizativas que manifiestan haber adoptado: - (…) Manifiestan que se ha adoptado la medida de no almacenar datos completos de las tarjetas de crédito sino solo aquellos imprescindibles para el pago, tales como los últimos cuatro dígitos y la fecha de caducidad. La medida se adoptó con fecha 15 de enero de

  1. Además de la comunicación a la AEPD, las denuncias interpuestas y el inicio de eventuales acciones legales en el ámbito penal y el asesoramiento especializado en materia de protección de datos, así como el refuerzo de los protocolos de seguridad y sistemas de seguridad. No obstante, se sigue trabajando en esclarecer las razones y causas para un mejor y más completo abordaje. Respecto de las causas que hicieron posible la brecha Sospechan que la causa de la brecha ocurrida ha sido (…). Respecto de los datos afectados Tipo de datos y número de afectados: De la información de que se dispone, el número de afectados han sido más de 30.000 usuarios, sabido que tal cifra incluye datos de usuario no registrados en su plataforma. Respecto de los datos de tarjetas bancarias, los datos presuntamente afectados ascienden a más de 2.
  2. Igual que en el caso anterior, se trata de un dato que incluye usuarios que ya no son parte de la plataforma y nunca informaron de ello. La tipología de datos que se publican son los siguientes: 1) Nombre de usuario y número de móvil de registro 2) Información del Perfil del Usuario: la información que el Usuario añade en la Plataforma a efectos de poder utilizar el servicio de AIO: teléfono móvil. 3) Información acerca de las comunicaciones realizadas con AIO. 4) Información que el Usuario facilita indirectamente: Datos derivados del Uso de la Plataforma. Datos de la aplicación y del dispositivo: Dirección IP de Internet, historial de navegación y las preferencias del Usuario. Datos derivados del origen del Usuario: si el Usuario llega a la Plataforma de AIO a través de una fuente externa (como sería por ejemplo un enlace de otra página web o de una red social), datos derivados de las “cookies”: Datos derivados de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/41 terceros externos: AIO podría recopilar información o datos de carácter personal de terceros externos únicamente si el Usuario autoriza a esos tercero s a compartir la información personal. La información facilitada por el tercero externo podrá ser controlada por el Usuario según la propia política de privacidad del tercero externo. Datos sobre la Geolocalización: siempre y cuando los Usuarios lo autoricen, AIO recogerá datos relacionados con su localización, incluyendo la localización geográfica en tiempo real del ordenador o dispositivo móvil. Comunicación a los afectados Manifiestan que todos los usuarios fueron informados haciendo uso de los datos disponibles sobre ellos y recursos de la compañía mediante llamadas telefónicas. Aportan copia de tres facturas telefónicas correspondientes a diciembre de 2020 y enero de 2021 que incluyen la relación de las llamadas realizadas. Utilización por terceros, publicación, indexación De la información de que se dispone, no se tiene constancia del uso de datos obtenidos a través de la brecha, salvo las publicaciones en Internet identificadas. Posibles consecuencias: Accesos no consentidos y usos de datos bancarios de forma fraudulenta. Respecto de las medidas de seguridad implantadas Con anterioridad a la brecha: - Aportan copia del Registro de Actividades del Tratamiento. - Aportan copia del análisis de riesgos de los tratamientos en el que se recogen los riesgos detectados, las medidas mitigadoras implantadas concluyendo que los riesgos se han reducido a niveles aceptables. Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente: No se dispone de suficiente información en la actualidad, completa y veraz, sobre las causas y razones por las que han funcionado o no. Es por ello que se están tomando más medidas de investigación que permitan con mayores recursos y medios afrontar convenientemente el problema. Entre otras las acciones en vía penal y el asesoramiento especializado. Con posterioridad a la brecha: Aportan copia del documento “POLÍTICA DE SEGURIDAD Y PROTOCOLO DE ACTUACIÓN CONTRA BRECHAS DE SEGURIDAD” de fecha 1 de septiembre de 2020, que recoge el protocolo de actuación ante brechas de seguridad. Aportan copia del seguro de responsabilidad civil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/41 En particular, se ha adoptado la medida de no almacenar datos completos de las tarjetas de crédito sino solo los últimos cuatro dígitos y la fecha de caducidad. La medida se adoptó con fecha 15 de enero de
  3. Además de las medidas tomadas, la comunicación a la AEPD, las denuncias interpuestas y el inicio de eventuales acciones legales en el ámbito penal y el asesoramiento especializado en materia de protección de datos, así como el refuerzo de los protocolos de seguridad y sistemas de seguridad. Aportan una relación de 13 medidas técnicas y organizativas que manifiestan haber adoptado: - (…). No obstante, se sigue trabajando en esclarecer las razones y causas para un mejor y más completo abordaje. Manifiestan que las fugas de los datos han sido atajadas hasta donde se tiene conocimiento de ello. CUARTO: Con fecha 5 de enero de 2022, la Directora de la AEPD adoptó una propuesta de proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 6 de enero de 2022 se transmitió a través del sistema IMI esta propuesta de proyecto de decisión como consulta informal y se les hizo saber a las autoridades interesadas que tenían dos semanas desde ese momento para realizar comentarios. QUINTO: Con fecha 24 de enero de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión, que se notificó a AIO conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 7 de febrero de 2022, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 8 de marzo de 2022, se recibe en esta Agencia escrito de AIO en el que aduce alegaciones al citado proyecto de decisión de inicio de procedimiento sancionador en el que, en síntesis, manifestaba que: 1.- Sobre el deber de confidencialidad del art. 5

(1)(
  1. f)RGPD Alega AIO que no ha quedado acreditado que el número de afectados sea el indicado por el citado proyecto de decisión (más de 30.000 usuarios siendo 2.000 usuarios de tarjetas bancarias), ni que todos se vieran en la misma medida y forma afectados. Entiende que hacer una «tabla rasa» de la responsabilidad por los hechos descritos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/41 supone conculcar los principios de ponderación, gradación, responsabilidad y causa en los daños que la administración ha de identificar y enjuiciar para imponer una sanción basada en el dolo o la culpa individualizada. Indica que ello no se ha realizado y no puede prosperar la propuesta en la manera indicada. Alega también que se alude al art. 32 del RGPD como elemento agravante cuando, más adelante, se aborda la presunta infracción de dicho artículo como un elemento autónomo al que se propone una sanción. Ello implica sancionar dos veces por los mismos hechos lo cual es contrario al non bis in ídem. Por tanto, entiende que ello ha de decaer como agravante o como elemento en sí mismo sancionable. A su entender, no se acredita por esta Agencia que las medidas adoptadas por AIO fueran insuficientes, si no que cree que es una cuestión valorada subjetivamente sin mayor fundamentación. Alega que AIO contaba con todas las medidas posibles según la normativa, sin que ello se haya desvirtuado. Manifiesta que las medidas con las que contaba AIO en el momento de los hechos eran todas aquellas que la normativa vigente impone y que el hecho de que la brecha haya ocurrido no es por una falta de cumplimiento de la normativa de AIO sino porque un competidor ha empleado malas artes y técnicas de hackeo y ataque a sistemas para vulnerar la información. Es decir, que entiende no es una falta de diligencia de AIO sino un acto doloso antijurídico de otros con expreso deseo de dañar, que no era previsible ni evitable para ningún responsable con las mismas medidas o añadidas, toda vez que se hubiera encontrado la manera de hackearlas igualmente. Alega AIO que tampoco se ha tenido en cuenta la dificultad y complejidad de prever y abordar ataques informáticos constantemente cambiantes como atenuantes y ello se ha de valorar o ponderar. Y que, por tanto no pueden prosperar estas agravantes y, en cambio, sí las atenuantes, dada la exquisita conducta y colaboración de AIO en todo momento con la autoridad y la investigación de los hechos así como el cese de los daños para los interesados. 2.- Medidas de seguridad Se ratifica AIO en todo lo expuesto sobre el non bis in ídem y lo indicado en la alegación anterior sobre la suficiencia—a su juicio—de todas las medidas de seguridad adoptadas y la imposibilidad de prever un ataque premeditado, alevoso y dirigido contra los sistemas informáticos de AIO, cuando éste disponía, en su opinión, de todas las medidas de seguridad que exige la normativa en vigor, así como había adoptado todas las acciones que dicha norma recomienda o exige. 3.- Minimización de datos Alega AIO que el cambio en la cantidad de los datos de todas las tarjetas de crédito (pasar de almacenar todos los dígitos de la tarjeta de crédito de los interesados a almacenar únicamente los últimos cuatro dígitos de las tarjetas de crédito) no obedece a un tratamiento y recopilación abusiva o excesiva de los datos, sino a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/41 capacidades técnicas de los sistemas informáticos y pasarelas de pago en cada momento. En primer lugar, indica AIO que no ha quedado acreditado que sean 2.000 los afectados en los términos de la alegación primera. En segundo lugar, manifiesta que nada cambia de recoger todos a solo los últimos cuatro de cara a AIO y las posibles ventajas que ello pueda tener, puesto que aporta un valor añadido que le generase ese interés en recoger más. En tercer lugar, alega que la diversidad de los clientes, países y medios de pago utilizados por AIO implicaba que no hubiera un sistema técnico único que pudiera funcionar correctamente solo con los últimos cuatro dígitos de las tarjetas. Y que con el tiempo los sistemas informáticos y los proveedores de estos servicios fueron mejorando las funcionalidades e integraciones, permitiendo trabajar cada vez con menos datos a un precio razonable. Coincidiendo con el incidente y las anteriores sospechas, AIO forzó el desarrollo e implementación de mejoras para trabajar con menos datos de las tarjetas. Incide AIO en que no es que ello se pudiera hacer sin más y no se quisiera hacer para tener más datos, sino que a medida que se fueron mejorando los sistemas por parte de AIO así como de los proveedores y ello fue posible a precio asumible, se acometió. Alega AIO que no se puede exigir a un responsable que realice acciones y acometa planes de seguridad y gestión de los datos que no son factibles o que pueden suponer un desembolso tan grande que menoscabe su negocio y la continuidad del mismo. Y que esto es precisamente lo que ocurre en el presente caso, por lo que este motivo no debe prosperar. Finalmente, indica que se deben valorar las atenuantes descritas en el procedimiento y la colaboración con las autoridades y el trabajo de AIO en todo momento con la tutela de los derechos de los interesados. Por todo ello, solicita que se reduzca la propuesta de sanción en cada caso, como sigue: (
  2. i)Infracción del deber de confidencialidad del art. 5
(1)(
  1. f)RGPD: de 5000€ a amonestación y/o apercibimiento por tener por decaídas las agravantes así como por el grado y número de atenuantes. (
  2. ii)Infracción de las medidas de seguridad del art. 32 RGPD: ninguna por ser todas las medidas adoptadas conformes a la normativa de protección de datos y concurrir las atenuantes citadas en relación con la anterior presunta infracción. (iii) Infracción del principio de minimización de datos del art. 5
(1)(
  1. c)RGPD: de 3000€ a amonestación y/o apercibimiento por tener por decaídas las agravantes así como por el grado y número de atenuantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/41 SÉPTIMO: Con fecha 12 de julio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AIO, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, a fin de: - Imponerle una multa de 5000 euros, por la supuesta infracción del artículo 5.1.
  2. f)del RGPD, tipificada en el artículo 83.5 del RGPD. - Dirigirle un apercibimiento, por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. - Imponerle una multa de 3000 euros, por la supuesta infracción del artículo 5.1.
  3. c)del RGPD, tipificada en el artículo 83.5 del RGPD. Asimismo, se le indicaba a AIO que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a AIO conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 20 de julio de 2022, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 28 de julio de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de AIO en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: PRELIMINAR.- De la inobservancia de su escrito de 8 de marzo de 2022 en contestación al proyecto de decisión de inicio de procedimiento sancionador AIO alega que, expedido y notificado el proyecto de decisión de inicio de procedimiento sancionador, alegó, en tiempo y forma, lo que a su Derecho convino sin que esta Agencia hubiera tenido en cuenta nada de lo manifestado. 1.- Ratificación y reiteración en las alegaciones del escrito de 8 de marzo de 2022 AIO ratifica y reiteramos todo lo alegado, en su escrito de alegaciones de 8 de marzo de 2022, solicitando que se tenga por reproducido en este trámite de audiencia, así como los documentos que se acompañaron. 2.- Más alegaciones sobre el deber de confidencialidad del art. 5
(1)(f) RGPD AIO entiende que no ha quedado acreditado que el número de afectados sea el indicado por la resolución ahora en cuestión, ni que todos se vieran en la misma medida y forma afectados. Y que hacer una «tabla rasa» de la responsabilidad por los hechos descritos supone conculcar los principios de ponderación, gradación, responsabilidad y causa en los daños que la administración ha de identificar y enjuiciar para imponer una sanción basada en el dolo o la culpa individualizada. Alega que ello no se ha realizado y no puede prosperar la propuesta en la manera indicada. Además, incide en que los afectados por las tarjetas de crédito fueron 2.000 y no 30.000 como indica el acuerdo de incoación y sobre el que basa la responsabilidad y tipificación de la posible sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/41 Manifiesta AIO que es obligación de la administración acreditar y probar—carga de la prueba—que lo aducido es lo ocurrido en aras de imputar la responsabilidad que se achaca a AIO es cierta. En segundo lugar, indica AIO que en cuanto al concepto de confidencialidad se define en el RGPD en términos genéricos y relativos en función de otros parámetros. En suma, de los considerandos 39º, 49º, 75º, 83º y 85º y artículo 5º del mismo, se desprende que el responsable ha de actuar diligentemente y dentro de los estándares y las posibilidades técnico-económicas y el estado de la técnica en cada momento. Alega AIO que la diligencia mostrada se demuestra en que AIO no solo procedió de conformidad con las medidas técnicas y económicas razonables que entendía debía implementar para garantizar la confidencialidad a la luz de la evaluación del impacto de protección de datos (EIPD) realizada y los protocolos empresariales, sino que incluso superado por un ciberataque actuó tan rápido y pronto como pudo. Y que la confidencialidad y las medidas a adoptar para garantizarla deben estar en función de la EIPD de cada compañía y no de un estándar genérico aplicable a todas las compañías. Por tanto, entiende AIO que procedió con el máximo rigor y diligencia en la protección en función de los previos análisis de riesgos sobre el registro de actividades de tratamiento, EIPD, y sus políticas (todas obran en el expediente) no pudiéndosele imputar una infracción de la confidencialidad que no responde a ningún tipo de culpa o dolo. Y entiende que todo lo anterior no se ha tenido en cuenta ahora en el acuerdo de incoación ahora en juego. Por último, indica que se deben valorar las atenuantes, como muy cualificadas, descritas en el procedimiento y la colaboración y diligencia de AIO para con las autoridades y el trabajo de AIO en todo momento con la tutela de los derechos de los interesados. 3.- Más alegaciones sobre las medidas de seguridad del art. 32 del RGPD Alega AIO que, en relación con las medidas de seguridad, se alude al art. 32 del RGPD como elemento agravante cuando más adelante, se aborda la presunta infracción de dicho artículo como un elemento autónomo al que se propone una sanción. Y que ello implica sancionar dos veces por los mismos hechos lo cual es contrario al non bis in ídem. Por tanto, entiende que ello ha de decaer como agravante o como elemento en sí mismo sancionable. Es más, es parecer de AIO que no se acredita por esta Agencia que las medidas adoptadas por la empresa fueran insuficientes, si no que es una cuestión valorada subjetivamente sin mayor fundamentación. Alega que AIO contaba con todas las medidas posibles según la normativa, sin que ello se haya desvirtuado. Es más, manifiesta que en el citado acuerdo de inicio se alude a «indicios razonables y suficientes de que las medidas de seguridad […] no eran las adecuadas», pero sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/41 embargo no se detalla y explica cuáles son esos indicios en cada caso ni qué criterio se exige para que fuera adecuado (dado que se trata de un hackeo y no a una práctica habitual de mercado). También se indica en el citado acuerdo de inicio que AIO «no dispuso medidas técnicas y organizativas apropiadas para garantizar el nivel de seguridad» sin explicar, a juicio de AIO, cuáles serían éstas en el caso que nos ocupa. Precisamente, entiende AIO que un ataque deliberado (hacking) es tan novedoso y vanguardista que impide conocer qué medidas son válidas para impedirlo. Y que uno tendría que contar proveedores de ciberseguridad de este tipo de ataques (prácticas «blue team-red team», etc.) y sistemas altamente costosos que no puede permitirse. Alega que las medidas con las que contaba AIO en el momento de los hechos eran todas aquellas que la normativa vigente impone y que el hecho de que la brecha hubiera ocurrido no es por una falta de cumplimiento de la normativa de AIO sino porque un competidor ha empleado malas artes y técnicas de hackeo y ataque a sistemas para vulnerar la información. Es decir, no es una falta de diligencia de AIO sino un acto doloso antijurídico de otros con expreso deseo de dañar que no era previsible ni evitable para ningún responsable con las mismas medidas o añadidas toda vez que se hubiera encontrado la manera de hackearlas igualmente. Indica AIO que tampoco se ha tenido en cuenta la dificultad y complejidad de prever y abordar ataques informáticos constantemente cambiantes como atenuantes y ello se ha de valorar o ponderar. Por tanto, entiende que no pueden prosperar estas agravantes y, en cambio, sí las atenuantes (que se deben valorar como muy cualificadas), dada la exquisita conducta y colaboración de AIO en todo momento con la autoridad y la investigación de los hechos así como el cese de los daños para los interesados. 4.- Más alegaciones sobre la minimización de datos del art. 5
(1)(
  1. c)RGPD Alega AIO que el cambio en la cantidad de los datos de todas las tarjetas de crédito (pasar de almacenar todos los dígitos de la tarjeta de crédito de los interesados a almacenar únicamente los últimos cuatro dígitos de las tarjetas de crédito) no obedece a un tratamiento y recopilación abusiva o excesiva de los datos, sino a las capacidades técnicas de los sistemas informáticos y pasarelas de pago en cada momento, así como a un fallo informático no deseado ni conocido por AIO. Tras consultar estos hechos con su informático, AIO asegura que nunca diseñó un sistema que recogiera todos los datos de las tarjetas de crédito sino solo los necesarios para procesar el pago. Sin embargo, hubo una falla digital que causó el almacenamiento inapropiado de los datos de las tarjetas y que se tardó en identificar. Así, por una parte, se almacenaban los datos esenciales requeridos por la pasarela y que comúnmente es visible solo los últimos 4 dígitos y la fecha de caducidad, y por error, en otro lado se almacenaban todos los datos de las tarjetas introducidas por los usuarios hasta la fecha, tal que no se pudo detectar tal fallo técnico hasta la brecha de la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/41 En primer lugar, alega AIO que no ha quedado acreditado que sean 30.000 los afectados (siendo 2.000 los de tarjetas) en los términos de la alegación segunda. En segundo lugar, entiende AIO que nada cambia de recoger todos a solo los últimos cuatro de cara a AIO y las posibles ventajas que ello pueda tener puesto que aporta un valor añadido que le generase ese interés en recoger más. Es decir, la razón no es voluntaria e interesada sino, como se ha explicado, de un error incontrolable hasta que se identificó y se controló. En tercer lugar, manifiesta AIO que la diversidad de los clientes, países implicados y medios de pago utilizados por AIO implicaba que no hubiera un sistema técnico único que pudiera funcionar correctamente solo con los últimos cuatro dígitos de las tarjetas. Y que con el tiempo los sistemas informáticos y los proveedores de estos servicios fueron mejorando las funcionalidades e integraciones, permitiendo trabajar cada vez con menos datos a un precio razonable. Coincidiendo con el incidente y las anteriores sospechas, AIO forzó el desarrollo e implementación de mejoras para trabajar con menos datos de las tarjetas. Indica AIO que no es que ello se pudiera hacer sin más y no se quisiera hacer para tener más datos, sino que a medida que se fueron mejorando los sistemas por parte de AIO, así como de los proveedores y ello fue posible a precio asumible, se acometió. En cualquier caso, alega AIO que no existe por parte de esta Agencia, la jurisprudencia e incluso las guías o recomendaciones, un estándar prefijado de qué número de datos de la tarjeta de crédito y demás elementales para el pago se consideran mínimos y suficientes para el tratamiento si no que hay que estar a cada caso concreto. Y que si se acude, por ejemplo, a las Recomendaciones 02/2021 (del Comité Europeo de Protección de Datos) relativas a la base jurídica para el almacenamiento de datos de tarjetas de crédito con el fin exclusivo de facilitar operaciones en línea posteriores, no hay un criterio fijo. Se recomienda adoptar «las salvaguardias adecuadas para los interesados y les aseguren el control sobre sus datos personales». Además de cumplir con el art. 6 RGPD, realizar las correspondientes evaluaciones de impacto de protección de datos, etc. Y es que la minimización, no existiendo un estándar único, tiene que valorarse caso por caso y en función de los sistemas técnicos, sus capacidades y los medios con los que cuenta el responsable a su alcance según el estado de la técnica. Y, a su juicio, nada de esto se ha tenido en cuenta ahora. Pues bien, entiende que esto es lo que hizo AIO. Con la información que tenía y el negocio que desempeñaba tomó las medidas en cada momento más adecuadas. Alega que no se puede exigir a un responsable que realice acciones y acometa planes de seguridad y gestión de los datos que no son factibles o que pueden suponer un desembolso tan grande que menoscabe su negocio y la continuidad del mismo. Dicho de otro modo, no se pueden pedir a un responsable esfuerzos que superan la capacidad y medios económicos. Esto es precisamente lo que ocurren en el presente caso, por lo que este motivo no debe prosperar. Alega que los datos que se fueron recogiendo, con los cambios que se fueron produciendo, eran necesarios y proporcionados. En el primer caso porque se estaban recogiendo los mínimos e imprescindibles para procesar los pagos y dentro de la capacidad de los sistemas. En segundo lugar, porque la proporción de éstos se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/41 determina porque no se «recogían todos los datos que se podían recoger» si no los mínimos e imprescindibles para operar (fallas informáticas desconocidas al margen). Y que ello satisface el criterio que regula la minimización de datos a la luz del considerando 156º y art. 5 del RGPD. Entiende que no parece que el acuerdo de incoación haya valorado estos extremos al objeto de identificar la posible infracción de este principio. Se deben valorar, como muy cualificadas, las atenuantes descritas en el procedimiento y la colaboración y diligencia de AIO para con las autoridades y el trabajo de AIO en todo momento con la tutela de los derechos de los interesados. 5.- Autoría y culpa Alega AIO que no concurren en el presente ni autoría ni culpa de AIO en manera alguna. Y que todo lo ocurrido sucedió fuera de la esfera de control razonable y previsible por cualquier operación en la misma situación que AIO. En primer lugar, entiende AIO que ha quedado demostrado que actuó en todo momento sin voluntad de causar los presuntos daños y, al contrario, interés de proteger a los interesados, los datos y cumplir la normativa. En segundo lugar, manifiesta AIO que tampoco ha concurrido culpa ni puede imputársele proceder negligente o carente de la más mínima diligencia. Y ello por cuanto a lo largo de todo el iter y los hechos descritos, AIO ha tratado en todo momento de averiguar el origen de las fallas con miras a solucionarlo. Así mismo, vistas las dificultades y complejidad del asunto requirió ayuda—mediante denuncia—a la policía hasta en dos ocasiones, cumpliendo además con sus deberes legales. También investigó hasta dar con la causa y tomó las decisiones oportunas para mitigar todos los riesgos y daños. En tercer lugar, alega AIO que es obligación de la administración acreditar y probar— carga de la prueba— que lo aducido es lo ocurrido en aras de imputar la responsabilidad que se achaca a AIO es cierta. Y que contaba en todo momento con las medidas de seguridad y protocolos que, en virtud de la evaluación de impacto de protección de datos, eran adecuados para asegurar el tratamiento de los datos y evitar fugas y filtraciones. Indica AIO que no se puede pretender ahora es que ocurrido un hecho maligno a causa de un tercero que ha hecho todo lo posible por romper la confidencialidad de los datos con artimañas espurias e ilícitas (hacking) y que ha conseguido acometer los hechos descritos sobre los datos de tarjetas bancarias, esto se impute a AIO y que éste debiera haber previsto todas las posibles acciones en las que ese tercero hubiera realizado el acto previsiblemente criminal. Manifiesta AIO que razonablemente esto no era posible, las medidas y protocolos de AIO eran razonables para asegurar los datos y cumplir la normativa y no concurre culpa en su proceder. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/41 Por esta razón, entiende no cabe responsabilidad administrativa alguna de AIO por lo sucedido. Por todo ello, solicita que se archiven las presentes actuaciones, reduciendo la propuesta de sanción en cada caso, como sigue: (
  2. i)Infracción del deber de confidencialidad del art. 5
(1)(
  1. f)RGPD: de 5000€ a amonestación y/o apercibimiento por tener por decaídas las agravantes, así como por el grado y número de atenuantes. (
  2. ii)Infracción de las medidas de seguridad del art. 32 RGPD: ninguna por ser todas las medidas adoptadas conformes a la normativa de protección de datos y concurrir las atenuantes citadas en relación con la anterior presunta infracción. (iii) Infracción del principio de minimización de datos del art. 5
(1)(
  1. c)RGPD: de 3000€ a amonestación y/o apercibimiento por tener por decaídas las agravantes, así como por el grado y número de atenuantes. También solicita que para acreditar sus alegaciones se ordene la siguiente práctica de prueba: Primera.- Testifical-pericial del profesional informático que lleva todas las cuestiones de sistemas e informática de AIO, el Sr. don A.A.A., que podrá realizarse incluso mediante declaración jurada/responsable por escrito, en su caso, dadas las dificultades del testigo-perito para expresarse en lengua castellana. Segunda.- Más testifical. Se cite a quien corresponda del cuerpo nacional de policía correspondiente a sendas comisarías de Pozuelo de Alarcón (Madrid) y Madrid-Centro, que podrá realizarse incluso mediante declaración jurada/responsable por escrito, en su caso. Tercera.- Documental. Por reproducidos todos los documentos que se acompañan con el presente escrito (incluso los anunciados) así como los que se acompañaron al escrito de 8 de marzo de 2022 y que obra en expediente. NOVENO: - Con fecha 1 de septiembre de 2022, el órgano instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporados la notificación de la brecha a que dio lugar el presente expediente y su documentación, los documentos obtenidos y generados durante la fase de actuaciones previas de investigación y el informe correspondiente, que forman parte del procedimiento E/00732/2021. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por AIO y la documentación que a ellas acompaña. Por su parte, se descarta la prueba propuesta por AIO en su escrito de alegaciones al acuerdo de inicio del presente procedimiento, “consistente en citar a quien corresponda del cuerpo nacional de policía de las comisarías de Pozuelo de Alarcón (Madrid) y Madrid-Centro, toda vez que ya obra en el expediente la denuncia correspondiente y que los procedimientos penales y policiales tienen sus propios plazos y esta Agencia no puede realizar ninguna acción hasta que se resuelvan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/41 Tampoco corresponde a esta Agencia pedirles explicaciones el trabajo que los cuerpos de seguridad realizan”. Asimismo, en dicho escrito esta Agencia ha requerido a AIO para que en el plazo de diez días hábiles presentara la siguiente información: 1) una declaración responsable del profesional informático que lleva todas las cuestiones de sistemas e informática de la empresa, D. A.A.A., debidamente traducida al español, en la que informe de todas las cuestiones que considere pertinente respecto de si las medidas de seguridad adoptadas por la empresa para prevenir la brecha en cuestión eran las apropiadas según el riesgo previsto al momento de producirse, así como cualquier otra información que considere relevante al caso. 2) En cuanto al número de afectados por la brecha de seguridad y el grado de afectación de éstos, esta Agencia en el acuerdo de inicio del presente procedimiento sancionador no puso en duda la información al respecto proporcionada por AIO en la notificación de la brecha de seguridad que hizo ante esta Agencia ni la información proporcionada en las alegaciones efectuadas. Si la empresa considera que la información proporcionada no resulta acertada, se le requiere que presente:
  2. a)Número de afectados por la brecha de seguridad en cuestión y grado de afectación de éstos.
  3. b)Número de afectados por el almacenamiento de los números completos de las tarjetas de crédito, aunque no se hubieran visto afectados por la brecha de seguridad en cuestión. Con fecha 14 de septiembre de 2022, AIO presentó escrito de respuesta ante esta Agencia, en el que don A.A.A., declaró que: Que como responsable de los sistemas e informática de AIO puede asegurar que jamás se diseñó un sistema de recogida y tratamiento de datos que recogiera y tratase todos los datos de las tarjetas de crédito sino sólo los mínimos e imprescindibles para procesar el pago. Que, a pesar de lo anterior, hubo una falla digital en su día que causó el almacenamiento inapropiado de los datos de las tarjetas y que se tardóó́ en identificar por parte de AIO. Que, de esta manera, por una parte, se almacenaban los datos esenciales requeridos por la pasarela y que habitualmente solo recoge y refleja los últimos 4 dígitos y la fecha de caducidad de los medios de pago, y por error, en otro lado se almacenaban todos los datos de las tarjetas introducidas por los usuarios hasta la fecha. Dicho fallo se desconocía y no se pudo detectar tal hasta la brecha de la misma y fuga de datos, momento en que se dieron cuenta de ello y lo corrigieron inmediatamente. Que, además de lo anterior, los datos y tratamiento de los mismos que inicialmente se adoptaron venían dados por las capacidades técnicas y económicas de los sistemas en cada momento. Y ello porque la diversidad de los clientes, países implicados y medios de pago utilizados por AIO implicaba que no hubiera un sistema técnico único que pudiera funcionar correctamente solo con los últimos cuatro dígitos de las tarjetas. Con el tiempo se fueron mejorando los sistemas y las funcionalidades e integraciones, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/41 permitiendo trabajar cada vez con menos datos a un precio razonable. Coincidiendo con el incidente y las anteriores sospechas, AIO forzóó́ el desarrollo e implementación de mejoras para trabajar con menos datos de las tarjetas. Todas las mejoras en la privacidad y protección de los datos se adoptaron tan pronto como el estado de la técnica y los medios técnicos y económicos lo permitieron. DÉCIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: AOI comenzó su actividad el día 13 de febrero de 2019 y tiene como objeto social “Intermediarios del comercio de productos alimenticios, bebidas y tabaco.” SEGUNDO: A partir del 15 de julio de 2020, AIO identificó ciertos ataques (…). TERCERO: (…). CUARTO: El 18 de julio de 2020, (…). QUINTO: El 17 de agosto de 2020, se detectan incidencias en los servidores (…). SEXTO: El 18 de agosto de 2020 (…) SÉPTIMO: (…) OCTAVO: AIO interpuso dos denuncias el 19 y 24 de agosto de 2020, respectivamente, ante la Policía, en las dependencias sitas en el distrito de MadridMoncloa Aravaca. NOVENO: Con posterioridad a la brecha sufrida, (…). DÉCIMO: (…). DÉCIMO PRIMERO: El 15 de septiembre de 2020 AIO recibe informaciones sobre la posibilidad de que una nueva plataforma de características y aspecto muy similar— casi idéntico—a AIO entra en el mercado español. DÉCIMO SEGUNDO: El 25 de septiembre de 2020, se confirma y conoce públicamente que una app supuestamente idéntica a AIO denominada «猛男外卖» ha visto la luz en Play Store y App Store. AIO reporta este hecho a App Store y lo denuncia ante la policía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/41 DÉCIMO TERCERO: Con fecha 3 de octubre de 2020, se publica un aviso por réplica de datos y App. Durante el mismo día, se anuncia el cierre definitivo de la App «猛男外 卖». DÉCIMO CUARTO: El 12 de octubre de 2020 AIO obtiene información de una nueva plataforma supuestamente idéntica a AIO. DÉCIMO QUINTO: El 17 de octubre de 2020 se pone a disposición del público en Play Store y App Store una aplicación supuestamente idéntica a AIO denominada « 欧浪外 卖», se reporta la incidencia a App Store. DÉCIMO SEXTO: El 15 de noviembre de 2020 se actualiza la política de privacidad de AIO informando de la implementación de diferentes medidas, entre otras, la anonimización de datos en la app del comercio, la del repartidor y en el ticket; datos tales como el teléfono y dirección de entrega del usuario. DÉCIMO SÉPTIMO: El 14 de enero de 2021 AIO tiene conocimiento de la publicación de un anuncio de venta de código fuente de AIO + Datos personales de todos los usuarios de AIO en (https://www.huarenjiewang.com/xibanya/information.php? id=11596324). AIO se pone inmediatamente en contacto con (***EMPRESA.1) para solicitar la urgente eliminación del anuncio y obtener información sobre el anunciante. DÉCIMO OCTAVO: Alrededor de las 11:00h del día 15 de enero de 2021, se empieza a tener por parte de AIO información sobre los archivos en cuestión. A las 13:00h aproximadamente, AIO logra una copia de los archivos divulgados y comienza a analizarlos. Sobre las 13:15h se publica un aviso público y privado para todos los usuarios facilitándoles nueva información. A las 13:30h aproximadamente aparece una publicación en (https://www.huarenjiewang.com/xibanya/information.php?id=11596439) anunciando la venta del código fuente de AIO más los datos personales de todos sus usuarios. A partir de este momento, AIO comienza a informar a todos los usuarios afectados por teléfono de los hechos ocurridos, solicitándoles que tomasen las medidas precisas para que sus cuentas y tarjetas bancarias no se vieran afectadas. Sobre las 14:00 horas se publican datos personales el administrador de AIO, incluyendo su NIE. Ese mismo día, sobre las 14:00 horas se publican Datos Personales del administrador de la empresa, incluyendo su NIE. A las 16:07h se registra una denuncia ante la policía del Distrito de Madrid-Centro y a las 18:05 se comunica tal brecha a la AEPD. DÉCIMO NOVENO: Con fecha 15 de enero de 2021, AIO adoptó la medida de no almacenar datos completos de las tarjetas de crédito sino solo aquellos imprescindibles para el pago, tales como los últimos cuatro dígitos y la fecha de caducidad. VIGÉSIMO: Tras haberse producido la brecha, AIO ha adoptado las siguientes medidas: - (…) - Además: la comunicación a la AEPD, las denuncias interpuestas y el inicio de eventuales acciones legales en el ámbito penal y el asesoramiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/41 especializado en materia de protección de datos, así como el refuerzo de los protocolos de seguridad y sistemas de seguridad. VIGÉSIMO PRIMERO: Se han visto afectados por la brecha de seguridad en cuestión más de 30.000 usuarios, incluidos datos de usuarios no registrados en su plataforma. Respecto de los datos de tarjetas bancarias, los datos presuntamente afectados ascienden a más de 2.000, incluidos usuarios que ya no son parte de la plataforma. La tipología de datos que se publicaron son los siguientes: 1) Nombre de usuario y número de móvil de registro 2) Información del Perfil del Usuario: la información que el Usuario añade en la Plataforma a efectos de poder utilizar el servicio de AIO: teléfono móvil. 3) Información acerca de las comunicaciones realizadas con AIO. 4) Información que el Usuario facilita indirectamente:  Datos derivados del Uso de la Plataforma: Datos de la aplicación y del dispositivo: Dirección IP de Internet, historial de navegación y las preferencias del Usuario.  Datos derivados del origen del Usuario: si el Usuario llega a la Plataforma de AIO a través de una fuente externa (como sería por ejemplo un enlace de otra página web o de una red social), datos derivados de las “cookies”. 5) Datos derivados de terceros externos: AIO podría recopilar información o datos de carácter personal de terceros externos si el Usuario autoriza a esos terceros a compartir la información personal. 6) Datos sobre la Geolocalización: siempre y cuando los Usuarios lo autoricen, AIO recogerá datos relacionados con su localización, incluyendo la localización geográfica en tiempo real del ordenador o dispositivo móvil. VIGÉSIMO SEGUNDO: AIO almacenaban los datos esenciales requeridos por la pasarela y que comúnmente es visible solo los últimos 4 dígitos y la fecha de caducidad, y, en otro lado, se almacenaban todos los datos de las tarjetas introducidas por los usuarios hasta la fecha. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/41 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que AIO realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre de usuario, número de móvil, datos bancarios, entre otros tratamientos. AIO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que AIO está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, AIO tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse expuesto indebidamente los datos personales de más de 30.000 usuarios y, respecto de los datos de tarjetas bancarias, los presuntamente afectados serían más 2000. Si bien AIO manifiesta en su cronología de los hechos que en los meses de julio y agosto de 2020 había detectado una actividad anormal en sus servidores (…), AIO ha indicado que en ese momento no pudo constatar la existencia de una brecha de disponibilidad. Al respecto, esta Agencia desea señalar que el objeto del presente procedimiento sancionador de la Agencia Española es el posible acceso indebido a los datos personales obrantes en la base de datos de AIO E-COMMERCE y su puesta a disposición para la venta a través de internet. No se ha entrado a valorar los posibles incidentes ocurridos en julio y agosto de 2020, razón por la que no se tiene evidencias de que los citados datos a los que se hace referencia fueran datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/41 personal ni se ha constatado la existencia de una brecha de disponibilidad en este sentido. Por este mismo motivo, la AEPD no cuestionó a AIO E-COMMERCE sobre la naturaleza y cantidad de datos destruidos/perdidos ni sobre las consecuencias negativas para los interesados. Tampoco esta Agencia ha valorado si se le debió notificar como brecha de datos personales tal situación en los meses de julio y agosto de 2020. Esta Agencia carece de evidencias en sentido contrario dado que el objeto del presente expediente es la brecha de confidencialidad que aconteció en enero de 2021, cuando se publica en internet toda la información de los afectados, y no hay evidencias de que AIO no hubiera sido diligente en la notificación de la brecha de confidencialidad porque la notificaron a esta Agencia el día siguiente. Por su parte, hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. En este sentido, dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
  4. f)del artículo 5 del RGPD. Mientras que la seguridad de los datos personales viene regulada en el artículo 32 del RGPD, que reglamenta la seguridad del tratamiento. Al respecto, esta Agencia entiende que una posible infracción del artículo 32 del RGPD podría responder a la existencia de insuficientes medidas de seguridad (antes y después de que se hubiera producido la brecha en cuestión), mientras que una posible infracción del artículo 5.1.
  5. f)del RGPD podría referir al hecho de que se produjo una pérdida de confidencialidad. III Alegaciones aducidas Alegaciones al proyecto de decisión de inicio del procedimiento sancionador En relación con las alegaciones aducidas al proyecto de decisión de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por AIO: 1.- Sobre el deber de confidencialidad del art. 5
(1)(
  1. f)RGPD Alega AIO que no ha quedado acreditado que el número de afectados sea el indicado por el citado proyecto de decisión (más de 30.000 usuarios siendo 2.000 usuarios de tarjetas bancarias), ni que todos se vieran en la misma medida y forma afectados. Entiende que hacer una «tabla rasa» de la responsabilidad por los hechos descritos supone conculcar los principios de ponderación, gradación, responsabilidad y causa en los daños que la administración ha de identificar y enjuiciar para imponer una sanción basada en el dolo o la culpa individualizada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/41 Al respecto, esta Agencia desea señalar que el número de afectados que se toma en cuenta es aquel proporcionado por la misma empresa en la notificación de la brecha de seguridad y en sus escritos de respuesta al requerimiento de información de esta Agencia, de fecha 4 y 10 de marzo de 2021, así como en sus escritos de alegaciones, en los que no indica un número distinto de afectados. Asimismo, se le ha requerido mediante escrito de fecha 1 de septiembre de 2022 que aporte, en caso de considerar que esta información no resulta acertada, el número de afectados por la brecha de seguridad en cuestión y grado de afectación de éstos, así como el número de afectados por el almacenamiento de los números completos de las tarjetas de crédito, aunque no se hubieran visto afectados por la brecha de seguridad en cuestión. No obstante, no ha obtenido respuesta a este respecto por parte de AIO. Por lo que cabe desestimar esta cuestión. Alega también que se alude al art. 32 del RGPD como elemento agravante cuando, más adelante, se aborda la presunta infracción de dicho artículo como un elemento autónomo al que se propone una sanción. Ello implica sancionar dos veces por los mismos hechos lo cual es contrario al non bis in ídem. Por tanto, entiende que ello ha de decaer como agravante o como elemento en sí mismo sancionable. Al respecto, esta Agencia desea señalar que el apartado
  2. e)del artículo 83.2 del RGPD establece que: “(…)Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: (…)
  3. e)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32. (…)” Por su parte, el artículo 25.1 del RGPD señala: “Artículo 25 Protección de datos desde el diseño y por defecto 1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.” En el presente caso, ni en el documento de Análisis de Riesgo ni en el de la Evaluación de Impacto relativa a la protección de datos, aportados por la empresa en su escrito de notificación de brecha de seguridad a esta Agencia, consta que se hubiera siquiera previsto la posibilidad de sufrir un ataque informático. Ya no de estas características, sino un ataque de algún tipo. Una vez sufridos los incidentes de seguridad de julio y agosto 2020, es cierto que la empresa redactó un documento con la “POLÍTICA DE SEGURIDAD Y PROTOCOLO DE ACTUACIÓN CONTRA BRECHAS DE SEGURIDAD”, de 1 de septiembre de 2020. Pero este documento se limita a citar una serie de buenas prácticas en la prevención C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/41 de brechas de seguridad, dirigidas más bien a fortalecer la seguridad de los sistemas, pero no tanto la confidencialidad de los datos en caso de un posible incidente de seguridad, como el que efectivamente se produjo. Por tanto, no puede entenderse que AIO hubiera aplicado, ni “en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principio de protección de datos… e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados”, tal como establece el artículo 25 del RGPD. No obstante, es cierto que la redacción del agravante en cuestión en el documento que da inicio al presente procedimiento sancionador quizás no ha sido la más acertada. Por todo lo expuesto, se estima parcialmente esta alegación presentada por AIO y se dará una nueva redacción al Fundamento de Derecho VI de esta propuesta. Además, alega AIO que no se acredita por esta Agencia que las medidas adoptadas fueran insuficientes y que AIO contaba con todas las medidas posibles según la normativa, sin que ello se haya desvirtuado. También manifiesta que el hecho de que la brecha haya ocurrido no es por una falta de cumplimiento de la normativa de AIO sino porque un competidor ha empleado malas artes y técnicas de hackeo y ataque a sistemas para vulnerar la información, que no era previsible ni evitable para ningún responsable con las mismas medidas o añadidas, toda vez que se hubiera encontrado la manera de hackearlas igualmente. Y que no se ha tenido en cuenta la dificultad y complejidad de prever y abordar ataques informáticos constantemente cambiantes como atenuantes y ello se ha de valorar o ponderar. Al respecto, esta Agencia se reitera en que AIO ni siquiera había previsto la posibilidad de sufrir un ataque informático (de ningún tipo, ya no solo como el sufrido), por lo que no tenía las medidas apropiadas para prevenirlo. Por tanto, se desestima la presente alegación. 2.- Medidas de seguridad Se ratifica AIO en todo lo expuesto sobre el non bis in ídem y lo indicado en la alegación anterior sobre la suficiencia—a su juicio—de todas las medidas de seguridad adoptadas y la imposibilidad de prever un ataque premeditado, alevoso y dirigido contra los sistemas informáticos de AIO, cuando éste disponía, en su opinión, de todas las medidas de seguridad que exige la normativa en vigor, así como había adoptado todas las acciones que dicha norma recomienda o exige. Al respecto, esta Agencia se reitera en lo expuesto en su respuesta a la alegación primera. 3.- Minimización de datos En primer lugar, indica AIO que no ha quedado acreditado que sean 2.000 los afectados en los términos de la alegación primera. Al respecto, esta Agencia se reitera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/41 en que el número de afectados que se toma en cuenta es aquel proporcionado por la misma empresa en la notificación de la brecha de seguridad y en sus escritos de respuesta al requerimiento de información de esta Agencia, de fecha 4 y 10 de marzo de 2021, así como en sus escritos de alegaciones, en los que no indica un número distinto de afectados. Asimismo, se le ha requerido mediante escrito de fecha 1 de septiembre de 2022 que aporte, en caso de considerar que esta información no resulta acertada, el número de afectados por la brecha de seguridad en cuestión y grado de afectación de éstos, así como el número de afectados por el almacenamiento de los números completos de las tarjetas de crédito, aunque no se hubieran visto afectados por la brecha de seguridad en cuestión. No obstante, no ha obtenido respuesta a este respecto por parte de AIO. Por lo que cabe desestimar esta cuestión En segundo lugar, AIO manifiesta que nada cambia de recoger todos a solo los últimos cuatro de cara a la empresa y las posibles ventajas que ello pueda tener, puesto que aporta un valor añadido que le generase ese interés en recoger más. Al respecto, esta Agencia desea señalar que no es objeto del presente procedimiento las ventajas o no de recoger todos o solo los últimos cuatro dígitos de la tarjeta de crédito de sus usuarios, sino que lo que se cuestiona es si la recogida de todos los dígitos de la tarjeta de crédito era necesaria de cara a la finalidad para la que eran recogidos, lo cual ha quedado acreditado que no. Por tanto, se desestima la presente alegación. En tercer lugar, alega que la diversidad de los clientes, países y medios de pago utilizados por AIO implicaba que no hubiera un sistema técnico único que pudiera funcionar correctamente solo con los últimos cuatro dígitos de las tarjetas. Y que con el tiempo los sistemas informáticos y los proveedores de estos servicios fueron mejorando las funcionalidades e integraciones, permitiendo trabajar cada vez con menos datos a un precio razonable. Coincidiendo con el incidente y las anteriores sospechas, AIO forzó el desarrollo e implementación de mejoras para trabajar con menos datos de las tarjetas. Al respecto, esta Agencia desea señalar que en su escrito de fecha 14 de septiembre de 2022, don A.A.A., “como responsable de los sistemas e informática de AIO” afirma que: “(…) Que, a pesar de lo anterior, hubo una falla digital en su día que causó el almacenamiento inapropiado de los datos de las tarjetas y que se tardóó́ en identificar por parte de AIO. Que, de esta manera, por una parte, se almacenaban los datos esenciales requeridos por la pasarela y que habitualmente solo recoge y refleja los últimos 4 dígitos y la fecha de caducidad de los medios de pago, y por error, en otro lado se almacenaban todos los datos de las tarjetas introducidas por los usuarios hasta la fecha. Dicho fallo se desconocía y no se pudo detectar tal hasta la brecha de la misma y fuga de datos, momento en que se dieron cuenta de ello y lo corrigieron inmediatamente. (…) Es decir, la empresa reconoce que en un principio se almacenaban todos los dígitos de la tarjeta de crédito de sus usuarios porque “la diversidad de los clientes, países y medios de pago utilizados por AIO implicaba que no hubiera un sistema técnico único C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/41 que pudiera funcionar correctamente solo con los últimos cuatro dígitos de las tarjetas. Y que con el tiempo los sistemas informáticos y los proveedores de estos servicios fueron mejorando las funcionalidades e integraciones, permitiendo trabajar cada vez con menos datos a un precio razonable”. Con posterioridad, se habría producido una falla digital que “causó el almacenamiento inapropiado de los datos de las tarjetas y que se tardó en identificar por parte de AIO”, tal como reconoce el responsable de los sistemas e informática de AIO. Por tanto, aún cuando ya era posible por el estado de la técnica y era asumible económicamente, se almacenaban “los datos esenciales requeridos por la pasarela y que habitualmente solo recoge y refleja los últimos 4 dígitos y la fecha de caducidad de los medios de pago, y por error, en otro lado se almacenaban todos los datos de las tarjetas introducidas por los usuarios hasta la fecha”. Por todo lo expuesto, se desestima la presente alegación. Finalmente, indica AIO que se deben valorar las atenuantes descritas en el procedimiento y la colaboración con las autoridades y el trabajo de AIO en todo momento con la tutela de los derechos de los interesados. Al respecto, esta Agencia valora positivamente las atenuantes descritas en el Fundamento de Derecho VI y la actitud de AIO con las autoridades y con la tutela de los derechos de los interesados, si bien desea señalar que es la normativa quien le impone a la empresa el deber de colaborar con las autoridades y la obligación de garantizar la tutela de los derechos de los interesados. Alegaciones al acuerdo de inicio del procedimiento sancionador En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por AIO: PRELIMINAR.- De la inobservancia de su escrito de 8 de marzo de 2022 en contestación al proyecto de decisión de inicio de procedimiento sancionador AIO alega que, expedido y notificado el proyecto de decisión de inicio de procedimiento sancionador, alegó, en tiempo y forma, lo que a su Derecho convino sin que esta Agencia hubiera tenido en cuenta nada de lo manifestado. Al respecto, esta Agencia desea señalar que la LOPDGDD prevé la comunicación formal del proyecto de decisión que inicia el procedimiento sancionador a efectos de interrupción de la prescripción, pero no es el momento procesal idóneo para presentar alegaciones, toda vez que al ser sometido al resto de autoridades de control interesadas, a los efectos del artículo 60 del RGPD, éstas pueden presentar objeciones al citado proyecto, lo cual obligaría a modificar su contenido para poder alcanzar un acuerdo entre todas las autoridades. Además, al no presentar objeciones al citado proyecto de decisión se considera “…que la autoridad de control principal y las autoridades de control interesadas están de acuerdo con dicho proyecto de decisión y estarán vinculadas por este” (artículo 60.6 del RGPD), por lo que tampoco huC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/41 biera sido posible modificar el contenido del acuerdo de inicio de procedimiento sancionador respecto de lo acordado en el citado proyecto de decisión. 1.- Ratificación y reiteración en las alegaciones del escrito de 8 de marzo de 2022 AIO ratifica y reiteramos todo lo alegado, en su escrito de alegaciones de 8 de marzo de 2022, solicitando que se tenga por reproducido en este trámite de audiencia, así como los documentos que se acompañaron. Al respecto, esta Agencia se reitera en sus respuestas a las citadas alegaciones. 2.- Más alegaciones sobre el deber de confidencialidad del art. 5
(1)(f) RGPD AIO se reitera en que no ha quedado acreditado que el número de afectados sea el indicado por la resolución ahora en cuestión, ni que todos se vieran en la misma medida y forma afectados. Y que es obligación de la administración acreditar y probar que lo aducido es lo ocurrido en aras de imputar la responsabilidad que se achaca a AIO es cierta. Al respecto, esta Agencia se remite a lo respondido a la alegación primera al proyecto de decisión de inicio de procedimiento sancionador, por lo que cabe desestimar esta alegación. En segundo lugar, indica AIO que en cuanto al concepto de confidencialidad se define en el RGPD en términos genéricos y relativos en función de otros parámetros y que el responsable ha de actuar diligentemente y dentro de los estándares y las posibilidades técnico-económicas y el estado de la técnica en cada momento. Alega que la diligencia mostrada se demuestra en que AIO no solo procedió de conformidad con las medidas técnicas y económicas razonables que entendía debía implementar para garantizar la confidencialidad a la luz de la evaluación del impacto de protección de datos (EIPD) realizada y los protocolos empresariales, sino que incluso superado por un ciberataque actuó tan rápido y pronto como pudo. Y que la confidencialidad y las medidas a adoptar para garantizarla deben estar en función de la EIPD de cada compañía y no de un estándar genérico aplicable a todas las compañías. Por tanto, entiende AIO que procedió con el máximo rigor y diligencia en la protección en función de los previos análisis de riesgos sobre el registro de actividades de tratamiento, EIPD, y sus políticas (todas obran en el expediente) no pudiéndosele imputar una infracción de la confidencialidad que no responde a ningún tipo de culpa o dolo. Y entiende que todo lo anterior no se ha tenido en cuenta ahora en el acuerdo de incoación ahora en juego. Al respecto, esta Agencia se reitera en que en el presente caso, ni en el documento de Análisis de Riesgo ni en el de la Evaluación de Impacto relativa a la protección de datos, aportados por la empresa en su escrito de notificación de brecha de seguridad a esta Agencia, consta que se hubiera siquiera previsto la posibilidad de sufrir un ataque informático. Ya no de estas características, sino un ataque de algún tipo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/41 La propia herramienta de esta Agencia “Evalúa_Riesgo AEPD”, dirigida a simplificar el análisis para identificar los factores de riesgo inherente para los derechos y libertades de los interesados, tiene un apartado específico sobre “Seguridad en los tratamientos”, para analizar los factores de riesgo que se derivan de la posible materialización de brechas de seguridad sobre los datos personales. Por tanto, aunque la empresa en cuestión careciera de los medios que puede tener una empresa de mayor tamaño, sí que resulta esperable que, como mínimo, se valorara la posibilidad de sufrir una brecha de seguridad. Cuestión que no ha quedado acreditado ni en el Análisis de Riesgos aportado ni en la Evaluación de Impacto correspondiente. Si bien es cierto que una vez sufridos los incidentes de seguridad de julio y agosto 2020, la empresa redactó un documento con la “POLÍTICA DE SEGURIDAD Y PROTOCOLO DE ACTUACIÓN CONTRA BRECHAS DE SEGURIDAD”, de 1 de septiembre de 2020, no es menos cierto que este documento se limita a citar una serie de buenas prácticas en la prevención de brechas de seguridad, dirigidas más bien a fortalecer la seguridad de los sistemas, pero no tanto la confidencialidad, integridad o disponibilidad de los datos en caso de un posible incidente de seguridad, como el que efectivamente se produjo. Cuestión que, por otro lado, no resultaba tan hartamente improbable como para no analizarlo, toda vez que en España se sufre 40.000 ciberataques diarios (https://www.niusdiario.es/economia/empresas/enrique-serranno-hackerciberseguridad-lado-buenos-un-paso-detras_18_3152896833.html). Por tanto, no puede entenderse que AIO hubiera aplicado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo previsto, que es lo que establece la normativa. Por lo que se desestima la presente alegación. Por último, indica que se deben valorar las atenuantes, como muy cualificadas, descritas en el procedimiento y la colaboración y diligencia de AIO para con las autoridades y el trabajo de AIO en todo momento con la tutela de los derechos de los interesados. Al respecto, esta Agencia se reitera en que valora positivamente las atenuantes descritas en el Fundamento de Derecho VI y la actitud de AIO con las autoridades y con la tutela de los derechos de los interesados, si bien desea señalar que es la normativa quien le impone a la empresa el deber de colaborar con las autoridades y la obligación de garantizar la tutela de los derechos de los interesados. 3.- Más alegaciones sobre las medidas de seguridad del art. 32 del RGPD Alega AIO que, en relación con las medidas de seguridad, se alude al art. 32 del RGPD como elemento agravante cuando más adelante, se aborda la presunta infracción de dicho artículo como un elemento autónomo al que se propone una sanción. Y que ello implica sancionar dos veces por los mismos hechos lo cual es contrario al non bis in ídem. Por tanto, entiende que ello ha de decaer como agravante o como elemento en sí mismo sancionable. Al respecto, esta Agencia se reitera en su respuesta a la alegación primera al proyecto de decisión del procedimiento sancionador, por lo que se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/41 Es más, es parecer de AIO que no se acredita por esta Agencia que las medidas adoptadas por la empresa fueran insuficientes, si no que es una cuestión valorada subjetivamente sin mayor fundamentación. Alega que AIO contaba con todas las medidas posibles según la normativa, sin que ello se haya desvirtuado. Al respecto, esta Agencia se reitera en que AIO ni siquiera había previsto la posibilidad de sufrir un ataque informático (de ningún tipo, ya no solo como el sufrido), por lo que no tenía las medidas apropiadas para prevenirlo. Por tanto, se desestima la presente alegación. AIO manifiesta que en el citado acuerdo de inicio se alude a «indicios razonables y suficientes de que las medidas de seguridad […] no eran las adecuadas», pero sin embargo no se detalla y explica cuáles son esos indicios en cada caso ni qué criterio se exige para que fuera adecuado (dado que se trata de un hackeo y no a una práctica habitual de mercado). Y que en el citado acuerdo de inicio se dice que AIO «no dispuso medidas técnicas y organizativas apropiadas para garantizar el nivel de seguridad» sin explicar, a juicio de AIO, cuáles serían éstas en el presente caso. Al respecto, esta Agencia desea señalar que el principio de responsabilidad proactiva del artículo 5.2 del RGPD dispone que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Es el responsable de tratamiento quien mejor conoce a su empresa y a su negocio y sobre quien recae la obligación de demostrar que los tratamientos que realice son conforme al RGPD. Por tanto, no corresponde a esta Agencia indicar qué medidas debió haber adoptado, sino valorar si las medidas adoptadas por la empresa son las apropiadas en función del riesgo previsto. Tal como se ha manifestado anteriormente, la empresa ni siquiera había valorado entre los posibles riesgos que podía afectar a sus tratamientos la posibilidad de sufrir un ataque informático que supusiera una brecha de seguridad de los datos personales y, una vez sufrido el incidente de seguridad de julio y agosto 2020, se limitó a dictar un protocolo con una serie de buenas prácticas que tampoco iban dirigidas a garantizar la confidencialidad, integridad y disponibilidad de sus datos personales. Por lo que se desestima la presente alegación. AIO entiende que un ataque deliberado (hacking) es tan novedoso y vanguardista que impide conocer qué medidas son válidas para impedirlo. Y que uno tendría que contar proveedores de ciberseguridad de este tipo de ataques (prácticas «blue team-red team», etc.) y sistemas altamente costosos que no puede permitirse. Se reitera AIO en que las medidas con las que contaba AIO en el momento de los hechos eran todas aquellas que la normativa vigente impone y que el hecho de que la brecha hubiera ocurrido no es por una falta de cumplimiento de la normativa de AIO sino porque un competidor ha empleado malas artes y técnicas de hackeo y ataque a sistemas para vulnerar la información. Es decir, no es una falta de diligencia de AIO sino un acto doloso antijurídico de otros con expreso deseo de dañar que no era previsible ni evitable para ningún responsable con las mismas medidas o añadidas toda vez que se hubiera encontrado la manera de hackearlas igualmente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/41 Indica AIO que tampoco se ha tenido en cuenta la dificultad y complejidad de prever y abordar ataques informáticos constantemente cambiantes como atenuantes y ello se ha de valorar o ponderar. Al respecto, esta Agencia se reitera en que sufrir un ataque deliberado no resulta “tan novedoso y vanguardista” toda vez que en España se sufren 40.000 ataques diarios. Si bien es cierto que hay ataques tan complejos que resulta prácticamente imposible evitar, en el presente caso AIO, con anterioridad al incidente de julio y agosto 2020, no había previsto la posibilidad de sufrir un ataque deliberado (de este tipo ni de ningún tipo), ni había valorado los riesgos de sufrirlo ni había implantado las medidas apropiadas para prevenirlo ni para mitigar una posible brecha. Por tanto, se desestima la presente alegación. 4.- Más alegaciones sobre la minimización de datos del art. 5
(1)(
  1. c)RGPD En primer lugar, alega AIO que no ha quedado acreditado que sean 30.000 los afectados (siendo 2.000 los de tarjetas) en los términos de la alegación segunda. Al respecto, esta Agencia se reitera en su respuesta a la alegación primera al proyecto de decisión de inicio de procedimiento sancionador. En segundo lugar, alega AIO que el cambio en la cantidad de los datos de todas las tarjetas de crédito no obedece a un tratamiento y recopilación abusiva o excesiva de los datos, sino a las capacidades técnicas de los sistemas informáticos y pasarelas de pago en cada momento, así como a un fallo informático no deseado ni conocido por AIO. Tras consultar estos hechos con su informático, AIO asegura que nunca diseñó un sistema que recogiera todos los datos de las tarjetas de crédito sino solo los necesarios para procesar el pago. Sin embargo, hubo una falla digital que causó el almacenamiento inapropiado de los datos de las tarjetas y que se tardó en identificar. Y que, por una parte, se almacenaban los datos esenciales requeridos por la pasarela y que comúnmente es visible solo los últimos 4 dígitos y la fecha de caducidad, y por error, en otro lado se almacenaban todos los datos de las tarjetas introducidas por los usuarios hasta la fecha, tal que no se pudo detectar tal fallo técnico hasta la brecha de la misma. Alega AIO que nada cambia de recoger todos a solo los últimos cuatro de cara a AIO y las posibles ventajas que ello pueda tener puesto que aporta un valor añadido que le generase ese interés en recoger más. Es decir, la razón no es voluntaria e interesada sino, como se ha explicado, de un error incontrolable hasta que se identificó y se controló. Al respecto, esta Agencia se reitera en que no es objeto del presente procedimiento las ventajas o no de recoger todos o solo los últimos cuatro dígitos de la tarjeta de crédito de sus usuarios, sino que lo que se cuestiona es si la recogida de todos los dígitos de la tarjeta de crédito era necesaria de cara a la finalidad para la que eran recogidos, lo cual ha quedado acreditado que no. Por tanto, se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/41 En tercer lugar, manifiesta AIO que la diversidad de los clientes, países implicados y medios de pago utilizados por AIO implicaba que no hubiera un sistema técnico único que pudiera funcionar correctamente solo con los últimos cuatro dígitos de las tarjetas. Y que con el tiempo los sistemas informáticos y los proveedores de estos servicios fueron mejorando las funcionalidades e integraciones, permitiendo trabajar cada vez con menos datos a un precio razonable. Coincidiendo con el incidente y las anteriores sospechas, AIO forzó el desarrollo e implementación de mejoras para trabajar con menos datos de las tarjetas. Indica AIO que no es que ello se pudiera hacer sin más y no se quisiera hacer para tener más datos, sino que a medida que se fueron mejorando los sistemas por parte de AIO, así como de los proveedores y ello fue posible a precio asumible, se acometió. Al respecto, esta Agencia se reitera en que es AIO misma reconoce que en un principio se almacenaban todos los dígitos de la tarjeta de crédito de sus usuarios porque no había un sistema técnico único que pudiera funcionar correctamente solo con los últimos cuatro dígitos de las tarjetas. Y que con el tiempo los sistemas informáticos y los proveedores de estos servicios fueron mejorando las funcionalidades e integraciones, lo que permitió trabajar cada vez con menos datos a un precio razonable. Pero que, con posterioridad, se habría producido una falla digital que causó el almacenamiento inapropiado de los datos de las tarjetas y que se tardó en identificar por parte de AIO, tal como reconoce la misma empresa. Por tanto, aún cuando ya era posible por el estado de la técnica y era asumible económicamente, se almacenaban los datos esenciales requeridos por la pasarela y que habitualmente solo recoge y refleja los últimos 4 dígitos y la fecha de caducidad de los medios de pago, y por error, en otro lado se almacenaban todos los datos de las tarjetas introducidas por los usuarios hasta la fecha. Por más de que fuera producto de un error, lo cierto es que AIO estaba almacenando más datos que los necesarios para el tratamiento en cuestión, tal como la empresa misma reconoce. Por todo lo expuesto, se desestima la presente alegación. Por su parte, alega AIO que no existe por parte de esta Agencia, la jurisprudencia e incluso las guías o recomendaciones, un estándar prefijado de qué número de datos de la tarjeta de crédito y demás elementales para el pago se consideran mínimos y suficientes para el tratamiento si no que hay que estar a cada caso concreto. Y que si se acude, por ejemplo, a las Recomendaciones 02/2021 (del Comité Europeo de Protección de Datos) relativas a la base jurídica para el almacenamiento de datos de tarjetas de crédito con el fin exclusivo de facilitar operaciones en línea posteriores, no hay un criterio fijo. Y que la minimización tiene que valorarse caso por caso y en función de los sistemas técnicos, sus capacidades y los medios con los que cuenta el responsable a su alcance según el estado de la técnica. Y, a su juicio, nada de esto se ha tenido en cuenta ahora. AIO entiende que esto es lo que hizo. Con la información que tenía y el negocio que desempeñaba tomó las medidas en cada momento más adecuadas. Alega que no se puede exigir a un responsable que realice acciones y acometa planes de seguridad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/41 gestión de los datos que no son factibles o que pueden suponer un desembolso tan grande que menoscabe su negocio y la continuidad del mismo. Alega que los datos que se fueron recogiendo, con los cambios que se fueron produciendo, eran necesarios y proporcionados. En el primer caso porque se estaban recogiendo los mínimos e imprescindibles para procesar los pagos y dentro de la capacidad de los sistemas. En segundo lugar, porque la proporción de éstos se determina porque no se «recogían todos los datos que se podían recoger» si no los mínimos e imprescindibles para operar (fallas informáticas desconocidas al margen). Y que ello satisface el criterio que regula la minimización de datos a la luz del considerando 156º y art. 5 del RGPD. Entiende que no parece que el acuerdo de incoación haya valorado estos extremos al objeto de identificar la posible infracción de este principio. Al respecto esta Agencia desea señalar que aunque un principio se hubieran recogido los datos mínimos e imprescindibles para procesar los pagos, dentro de la capacidad de los sistemas, no es menos cierto que una vez el estado de la técnica lo permitió y era asumible económicamente se continuaron recogiendo más datos que los necesarios para dicho tratamiento, aunque hubiera sido producto de un fallo que AIO no supo identificar correctamente, tal como la empresa en cuestión afirma. Por tanto, se desestima la presente alegación. 5.- Autoría y culpa Alega AIO que no concurren en el presente ni autoría ni culpa de AIO en manera alguna. Y que todo lo ocurrido sucedió fuera de la esfera de control razonable y previsible por cualquier operación en la misma situación que AIO. En primer lugar, entiende AIO que ha quedado demostrado que actuó en todo momento sin voluntad de causar los presuntos daños y, al contrario, interés de proteger a los interesados, los datos y cumplir la normativa. Al respecto, esta Agencia desea señalar que no cuestiona que AIO hubiera tenido una voluntad de causar los presuntos daños, sino que entiende que la empresa no ha sido todo lo diligente que hubiera debido. En segundo lugar, manifiesta AIO que tampoco ha concurrido culpa ni puede imputársele proceder negligente o carente de la más mínima diligencia. Y ello por cuanto a lo largo de todo el iter y los hechos descritos, AIO ha tratado en todo momento de averiguar el origen de las fallas con miras a solucionarlo. Así mismo, vistas las dificultades y complejidad del asunto requirió ayuda—mediante denuncia—a la policía hasta en dos ocasiones, cumpliendo además con sus deberes legales. También investigó hasta dar con la causa y tomó las decisiones oportunas para mitigar todos los riesgos y daños. Al respecto, esta Agencia se reitera en que con anterioridad a producirse los incidentes de seguridad en cuestión la empresa ni siquiera había previsto la posibilidad de sufrir un ataque informático ni había analizado su probabilidad ni había implantado las medidas apropiadas a fin de impedirlo o mitigar debidamente las posibles consecuencias para los derechos y libertades de los interesados. Y que se entiende C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/41 que ello no fue debido a una intención por parte de AIO de no cumplir con los requisitos que el RGPD impone, sino que la actuación de la empresa con anterioridad a producirse la brecha no fue todo lo diligente que debió ser. Y lo mismo cabe indicarse respecto al almacenamiento de los números completos de la tarjeta de crédito de los usuarios. Una vez que las posibilidades técnicas lo hacían posible y era viable económicamente, AIO almacenaba más dígitos que los necesarios debido a un error que ni siquiera fue capaz de identificar hasta que se produjo la brecha en cuestión. Nuevamente se insiste en que se entiende que ello no fue debido a una intención por parte de AIO de no cumplir con los requisitos que el RGPD impone, sino que la actuación de la empresa con anterioridad a producirse la brecha no fue todo lo diligente que debió ser. En tercer lugar, alega AIO que es obligación de la administración acreditar y probar— carga de la prueba— que lo aducido es lo ocurrido en aras de imputar la responsabilidad que se achaca a AIO es cierta. Y que contaba en todo momento con las medidas de seguridad y protocolos que, en virtud de la evaluación de impacto de protección de datos, eran adecuados para asegurar el tratamiento de los datos y evitar fugas y filtraciones. Al respecto, esta Agencia considera que todo lo que afirma ha quedado debidamente acreditado en el expediente, tanto la falta de previsión del riesgo posible de que AIO sufriera un ataque informático como el hecho de que se almacenaban más dígitos que los necesarios, aunque fuera producto de un error involuntario por su parte. Indica AIO que no se puede pretender ahora es que ocurrido un hecho maligno a causa de un tercero que ha hecho todo lo posible por romper la confidencialidad de los datos con artimañas espurias e ilícitas (hacking) y que ha conseguido acometer los hechos descritos sobre los datos de tarjetas bancarias, esto se impute a AIO y que éste debiera haber previsto todas las posibles acciones en las que ese tercero hubiera realizado el acto previsiblemente criminal. Al respecto, esta Agencia desea señalar que no se pretende que la empresa hubiera previsto todas las posibles acciones en las que un tercero hubiera realizado un acto previsiblemente criminal, sino que en el presente caso no ha quedado acreditado que se hubiera siquiera previsto alguna posibilidad de sufrir algún ataque y que por ello no se había analizado siquiera ese riesgo ni se habían previsto las medidas apropiadas a fin de evitarlo ni mitigar sus indeseados efectos. Por todo lo expuesto, se desestima la presente alegación. IV Deber de confidencialidad El artículo 5.1.
  2. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/41
  3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de más de 30.000 usuarios (2.000 datos de tarjetas bancarias), obrantes en la base de datos de AIO, fueron indebidamente expuestos a un tercero. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de propuesta de resolución de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a AIO, por vulneración del artículo 5.1.
  4. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
  5. f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
  6. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  7. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  8. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 5.1.
  9. f)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/41 A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por la pérdida de la confidencialidad de los datos personales de más de 30.000 usuarios, 2.000 de los cuales son usuarios relativos a datos de tarjetas bancarias. - Grado de responsabilidad del responsable del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32 RGPD (apartado d): las medidas de seguridad existentes al producirse la brecha de seguridad eran insuficientes de acuerdo con el posible riesgo para los datos personales en cuestión, toda vez que ni en el documento de Análisis de Riesgo ni en el de la Evaluación de Impacto relativa a la protección de datos, aportados por la empresa en su escrito de notificación de brecha de seguridad a esta Agencia, consta que se hubiera siquiera previsto la posibilidad de sufrir un ataque informático. Ya no de estas características, sino un ataque de algún tipo. Y, una vez sufridos los incidentes de seguridad de julio y agosto 2020, la empresa redactó un documento con la “POLÍTICA DE SEGURIDAD Y PROTOCOLO DE ACTUACIÓN CONTRA BRECHAS DE SEGURIDAD”, de 1 de septiembre de 2020, en el que se limita a citar una serie de buenas prácticas en la prevención de brechas de seguridad, dirigidas más bien a fortalecer la seguridad de los sistemas, pero no tanto la confidencialidad de los datos en caso de un posible incidente de seguridad, como el que efectivamente se produjo. Como atenuantes: - Cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados (apartado c): se adoptaron medidas para evitar que los datos personales continuaran expuestos, se informó rápidamente a los interesados de la existencia de la brecha y se implantaron nuevas medidas de seguridad a fin de evitar que pudiera producirse nuevamente un incidente de estas características. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  10. f)del RGPD, permite fijar inicialmente una sanción de 5.000 € (cinco mil euros). VII Medidas de seguridad El Artículo 32 “Seguridad del tratamiento” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/41 “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  11. a)la seudonimización y el cifrado de datos personales;
  12. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  13. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  14. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha, consta la existencia de indicios razonables y suficientes de que las medidas de seguridad, tanto de índole técnica como organizativas, con las que contaba AIO en relación con los datos que sometía a tratamiento, no eran las adecuadas. La consecuencia de esta falta de medidas de seguridad adecuadas fue la exposición a terceros ajenos de los datos personales de más de 30.000 usuarios y respecto de los datos de tarjetas bancarias, los datos de los presuntamente afectados, asciende a más 2000. Es decir, los afectados se han visto desprovistos del control sobre sus datos personales. En este caso, la búsqueda en internet, por ejemplo, del nombre, apellidos o número de móvil de alguno de los afectados puede ofrecer resultados que combinándolos con los ahora accedidos por terceros ajenos, permitan el acceso a otras aplicaciones de los afectados o la creación de perfiles de personalidad, que no tienen por qué haber sido consentida por su titular. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/41 Esta posibilidad supone un riesgo añadido que se ha de valorar y que aumenta la exigencia del grado de protección en relación con la seguridad y salvaguarda de la integridad y confidencialidad de estos datos. Este riesgo debe ser tenido en cuenta por el responsable del tratamiento que, en función de este, debe establecer las medidas técnicas y organizativas necesarias que impedida la pérdida de control de los datos por parte del responsable del tratamiento y, por tanto, por parte de los titulares de los datos que se los proporcionaron. De los hechos descritos no consta que AIO como responsable del tratamiento hubiera dispuesto de las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, toda vez que consta acreditado que terceros ajenos tuvieron acceso a información reservada y al presunto uso fraudulento de datos bancarios, no siendo hasta el 15 de enero de 2021,cuando adoptan la medida de no almacenar datos completos de las tarjetas de crédito, sino solo aquellos imprescindibles para el pago. La consecuencia de la no implantación de medidas de seguridad apropiadas (art 32 RGPD) fue el acceso indebido a datos personales por terceros ajenos, vulnerando del principio de confidencialidad (art 5.1.
  15. f)del RGPD). Lo anterior sin perjuicio del resultado de la valoración de las pruebas que se pudieran requerir en el presente procedimiento. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a AIO, por vulneración del artículo 32 del RGPD. VIII Tipificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  16. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/41 A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  17. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. (…) IX Sanción por la infracción del artículo 32 del RGPD Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  18. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  19. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por su parte, el considerando 148 del RGPD indica: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” De conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la infracción en cuestión es leve a los efectos del artículo 83.2 del RGPD dado que, en el presente caso, no obran antecedentes en esta Agencia por infracción similar y se trata de una empresa pequeña de tipo “Autónoma”, que ha actuado con diligencia en lo referente a la notificación sin dilación indebida de la brecha de seguridad a esta Agencia Española de Protección de Datos y las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/41 acciones tomadas tendentes a minimizar las consecuencias negativas de la citada brecha de seguridad de los datos personales de sus clientes, todo lo cual permite considerar una disminución de la culpa en los hechos, por lo que se considera conforme a Derecho no imponer sanción consistente en multa administrativa y sustituirla por dirigir un apercibimiento a AIO. Por tanto, de confirmarse la citada infracción del artículo 32 del RGPD, correspondería dirigir un apercibimiento a AIO. X Minimización de datos El artículo 5.1.
  20. c)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  21. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)” En el presente caso, consta que se almacenaban todos los dígitos de la tarjeta de crédito de los interesados. Si bien es cierto que, una vez producida la brecha de seguridad objeto del presente expediente, se procedió a almacenar únicamente los últimos cuatro dígitos de las tarjetas de crédito. No obstante, en su escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador y en la declaración responsable aportada por el responsable de sistemas de la empresa, AIO reconoce que a partir de cierto punto dicho almacenamiento se produjo debido a una falla digital de la cual no fue consciente hasta que se produjo la brecha en cuestión. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de propuesta de resolución de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a AIO, por vulneración del artículo 5.1.
  22. c)del RGPD. XI Tipificación de la infracción del artículo 5.1.
  23. c)del RGPD De confirmarse, la citada infracción del artículo 5.1.
  24. c)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/41
  25. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  26. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” XII Sanción por la infracción del artículo 5.1.
  27. c)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado
  28. a)(apartado a): por el almacenamiento de los datos de las tarjetas de crédito de al menos 2.000 personas, sin ser éste necesario. - Negligencia en la infracción (apartado b): la empresa ha sido negligente a la hora de comprobar si se almacenaban todos los dígitos de las tarjetas de crédito de los interesados. Como atenuantes: - Cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados (apartado c): detectado el incidente en cuestión, se procedió a almacenar únicamente los últimos cuatro dígitos de las tarjetas de crédito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/41 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  29. c)del RGPD, permite fijar inicialmente una sanción de 3.000 € (tres mil euros). A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a AIO E-COMMERCE, S.L., con NIF B88313093, por una infracción del Artículo 5.1.
  30. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 5.000,00 € (cinco mil euros). Que por la Directora de la Agencia Española de Protección de Datos se dirija un apercibimiento a AIO E-COMMERCE, S.L., con NIF B88313093, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. Que por la Directora de la Agencia Española de Protección de Datos se sancione a AIO E-COMMERCE, S.L., con NIF B88313093, por una infracción del Artículo 5.1.
  31. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 3.000,00 € (tres mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 6.400,00 euros y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-050522 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/41 R.R.R. SUBINSPECTORA DE DATOS ANEXO >> SEGUNDO: En fecha 24 de octubre de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6400 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/41 cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00507/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a AIO E-COMMERCE, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  32. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-171022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.