PS-00514-2021

1/14 Expediente N.º: PS/00514/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de enero de 2021, la Subdirección General de Inspección de Datos recibió para su valoración un escrito de notificación de brecha de seguridad de los datos personales remitido por ALBATROS DATA PROTECTION, S.L. con NIF B83806687 (en adelante, ALBATROS), con entrada en esta Agencia el 8 de enero de 2021, en el que informa a la Agencia Española de Protección de Datos que la SOCIEDAD ESPAÑOLA DE CARDIOLOGÍA, con NIF G83856971 (en adelante, la SEC), el 9 de diciembre de 2021 tuvo conocimiento de un incidente a través del aviso de una de las personas afectadas, que por motivos de seguridad había informado previamente a la Policía. La persona afectada informó que, tras introducir su nombre en el buscador Google, descubrió las fotos de su DNI por ambos lados, indexadas y accesibles al público. Los datos afectados procedían de alguien perteneciente al alumnado, desarrollados y gestionados por la empresa AMBOS MARKETING SERVICE (en adelante, AMS), en calidad de proveedor de servicios de la SEC. Los datos afectados son todos los datos contenidos en el DNI: nombre y apellidos, fecha y lugar de nacimiento, domicilio, nombre progenitores y nº del documento. También datos académicos: participación en master. En el citado escrito de notificación de brecha de seguridad se afirma que se vieron afectados los datos de aproximadamente 170 alumnos. Junto a la notificación se aporta un memorándum de ALBATROS sobre la investigación del incidente en cuestión. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), teniendo conocimiento de los siguientes extremos: Solicitada información y documentación a la SEC, de la respuesta recibida y de la notificación de brecha recibida se desprende lo siguiente: Respecto del responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 La SEC es una Sociedad médico científica de personas físicas, de carácter civil y voluntario, sin ánimo de lucro, creada en el año 1944 para la realización de actividades encaminadas a reducir el impacto adverso de las enfermedades cardiovasculares y promover una mejor salud cardiovascular en la ciudadanía, mediante el estudio y formación a profesionales, así como la prevención y el tratamiento de las enfermedades cardiovasculares en España. Se verifica que en la notificación de brecha consta como nombre del responsable del tratamiento la SEC. Sin embargo, se ha consignado como NIF G83856971, que se ha comprobado corresponde a la FUNDACIÓN CASA DEL CORAZÓN (en adelante, FCC). Contratos de encargo del tratamiento Se ha requerido a la SEC para aportar copia de los contratos suscritos con AMS y documentación donde consten las condiciones de tratamiento de los datos personales, incluyendo los anexos e instrucciones sobre seguridad y protección de datos, suscritos en el marco de la contratación. Aportan copia del contrato de prestación de servicios que las citadas organizaciones, SEC y FCC, tienen suscrito con AMS. En él consta que la SEC ha contratado a la FCC la gestión, control y ejecución del proyecto “curso On-line, de Experto en Insuficiencia Cardiaca aguda”, así como que ambas partes del contrato, SEC/FCC y AMS, acuerdan colaborar en el ámbito de sus respectivas competencias y con el alcance pactado para el desarrollo del entorno virtual de Aprendizaje, secretaría y gestión académica del curso “Capacitación en Insuficiencia Cardiaca Aguda” previsto para noviembre de

1. El contrato es de fecha 15 de julio de
2. Se verifica que, en la documentación aportada, el citado contrato incluye las siguientes cláusulas de confidencialidad y protección de datos: “SÉPTIMA.- Confidencialidad Toda la información intercambiada entre las Partes con motivo del presente Acuerdo se reputará confidencial, comprometiéndose ambas a tomar cuantas medidas estimen oportunas para preservarla en tal condición y no revelarla, salvo que se vean obligadas a ello por Ley o mandato judicial y, en todo caso, limitarla a lo requerido e informar inmediatamente de ello a la otra Parte. OCTAVA.- Datos de carácter personal En cumplimiento de lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo, los firmantes del presente Contrato quedan informados de que tanto los datos que facilitan a través del mismo como cualesquiera otros que faciliten en el futuro serán incorporados a un fichero responsabilidad de cada una de las PARTES, con la finalidad de gestionar el mantenimiento, cumplimiento, desarrollo, control y ejecución de lo dispuesto en el presente Contrato, Asimismo, los firmantes del presente Contrato podrán ejercitar, en cualquier momento, sus derechos de acceso, rectificación, cancelación, en aquellos supuestos que sea posible, y oposición, mediante la remisión de un escrito a las direcciones que se indican en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 encabezamiento del presente Contrato, adjuntando una fotocopia de un documento acreditativo de su identidad.” No aportan más adendas, anexos o instrucciones relacionadas con la protección de datos. No se encuentran instrucciones sobre el borrado, o la devolución al responsable del tratamiento, de los datos de carácter personal una vez cumplida la prestación. Aportan otro contrato de prestación de servicios con otra entidad (TAK LEARNING, SL, en adelante TAK), del año 2014, indicando que TAK es la entidad que desarrolló el campus virtual de la SEC y realiza su mantenimiento. Indican que AMS desarrolló el entorno virtual del curso (que ha generado el incidente) integrándolo en el campus virtual de la SEC. El formulario de preinscripción para el curso “Experto en insuficiencia Cardiaca Aguda” (ICA) se desarrolló por el proveedor AMS, en la plataforma ***PLATAFORMA.1, al cual se le proporcionó alojamiento en el servidor del campo virtual de la SEC. En mayo de 2020 se suscribió un nuevo contrato con la entidad, citando el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 de Protección de Datos Personales (RGPD), incorporando entre otras cláusulas: “Devolver al responsable del tratamiento los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplida la prestación. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por TAK”. Constan también entre otras cláusulas, como obligaciones de TAK: “a. Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios. b. Tratar los datos de acuerdo con las instrucciones del CLIENTE […]” Respecto de la cronología de los hechos El 9 de diciembre una persona afectada informó a la SEC que, tras introducir su nombre en el buscador Google, descubrió las fotos de su DNI por ambos lados, indexadas y accesibles al público. Los datos afectados procedían de un master del año 2015 en el que la persona afectada formó parte del alumnado. Participó del curso “Experto en insuficiencia Cardiaca Aguda” (ICA), impartido a través de la plataforma www.campus.secardiologia.es. El formulario de preinscripción al mencionado curso se desarrolló en una plataforma externa al Campus, pero se subió al servidor de éste. El curso fue desarrollado y gestionado por la sociedad AMS con la que se firmó el 15 de julio de 2015 el contrato de prestación de servicio citado. Los representantes de la SEC han manifestado que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 - Se ha comprobado que, en los demás cursos de posgrado con las mismas características, no se ha producido la misma incidencia. - El master finalizó en el año 2015/2016 y, por motivos que se estaban investigando, los enlaces a la carpeta en la que se alojaban los documentos (imágenes) que los alumnos aportaron con las preinscripciones, seguían accesibles. - Se han realizado pruebas para comprobar si el resto de los archivos alojados en la misma carpeta, se encontraban indexados en el buscador de Google por nombres y apellidos y el resultado de dicha búsqueda ha sido negativo. Respecto de las causas que hicieron posible la brecha Los representantes de la SEC han manifestado que: (…). Medidas de minimización del impacto de la brecha En el informe adjunto a la notificación de brecha consta que la SEC tras ser informada el día (miércoles 9 de diciembre) aplicó inmediatamente las siguientes medidas: (…). Manifiestan que no tienen ninguna información ni indicio del uso, por parte de terceros, de los datos personales afectados por la brecha de seguridad. Se ha requerido también a la SEC para que aporte las comunicaciones mantenidas con AMS para la resolución de la brecha, indicando los representantes de la SEC que para dar solución a la brecha se dirigieron a TAK que les presta los servicios de desarrollo, mantenimiento, seguridad y soporte de la plataforma campus virtual de la SEC. Aportan las comunicaciones mantenidas con TAK. Respecto de los datos afectados Número de afectados: en un primer momento, en la notificación de la brecha a esta Agencia, de fecha 8 de enero de 2021, indicaron que se vieron afectados los datos de aproximadamente 170 alumnos. No obstante, en fecha 3 de febrero de 2021, en la contestación al requerimiento de información de esta Agencia indicaron que fueron 234 afectados y que habían sido notificados todos ellos de la brecha. Aportan copia de la notificación por correo postal, 232 de ellas fechadas el 22/01/
3. Las otras dos notificaciones, realizadas por correo electrónico, están fechadas el día 25/01/
4. Tipo de datos afectados: En la contestación al requerimiento de esta Agencia indican que se vieron afectados los siguientes datos: Imagen del DNI (nombre y apellidos, fecha y lugar de nacimiento, domicilio, nombre de los progenitores y número del documento). Imagen del Título académico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Indexación. Los participantes del curso subían los ficheros de imagen de DNI con un nombre de fichero puesto por ellos mismos. En los casos en los que el nombre del fichero (como el caso de la persona que reportó el incidente a la SEC) contenía su nombre y apellidos, podía resultar indexado por nombre y apellidos el DNI. Aportan al respecto un estudio realizado sobre los nombres impuestos a los ficheros realizando las siguientes manifestaciones: - Al subir los documentos, los alumnos identificaban los archivos que adjuntaban a su solicitud, a su libre albedrío o con el nombre asignado de formar predeterminada por su aplicación de escaneo. - Del análisis realizado sobre la carpeta que contenía las imágenes adjuntas a la preinscripción en el curso, se ha podido comprobar lo siguiente: + La única persona que nombró al archivo correspondiente a su DNI con su nombre y apellidos, sin ningún otro carácter o signo, fue aquella cuyo documento apareció indexado en Google. + Otros 25 alumnos, nombraron el documento que contenía su DNI con su nombre y primer apellido o ambos apellidos, separados por un guion bajo. + 14 alumnos designaron el archivo correspondiente al título con su nombre y primer apellido o ambos apellidos, separados por un guion bajo. + El resto de los archivos alojados en la carpeta en cuestión, aparecen nombrados con conceptos indeterminados o un número largo asignado por la aplicación de escaneo (por ejemplo: 00a16bb7c6c209694b5c3e1497802d01_TITULO, 18a704ea9e512efee965f4cbac91dbfc_DNI, T__tulo_Medicina001, etc..). + Igualmente, se ha comprobado que otros archivos tienen estos nombres: ATRÁS, back, CEDULA, DNI, DNI_2caras, dni-maria, VERO, IMG_4487, titulomedicina. + Por ello, se han realizado las verificaciones correspondientes, a fin de comprobar si alguno de los archivos cuyo nombre contenía algún dato identificativo de los alumnos, podían localizarse en el buscador de Google tecleando su nombre y/o apellidos y el resultado de dicha búsqueda ha sido negativo. + Por lo tanto, de la investigación realizada hasta esa fecha, se puede concluir que GOOGLE únicamente ha indexado a su buscador, por nombre y apellidos, el archivo correspondiente a quien notificó el incidente, dado que el contenido del archivo es una imagen y el nombre del fichero contenía su nombre y apellidos, sin ningún otro signo o caracter. Respecto de la notificación de la brecha a esta Agencia La persona afectada comunicó la incidencia a la SEC el 9 de diciembre de
5. Consta un informe de una empresa de seguridad (adjunto a la notificación de brecha) fechado el 08 de enero de 2021 en el que la empresa de seguridad indica que la SEC debe notificar la brecha. Se notifica a esta Agencia el 09 de enero de
6. Respecto de las medidas de seguridad implantadas con anterioridad a la brecha Aportan copia del Registro de Actividades del Tratamiento de SEC, en cuya ficha número 4 figura el tratamiento correspondiente a Cursos de Formación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Los representantes de la SEC indican que con motivo de la entrada en vigor del RGPD, la entidad realizó un análisis global de los tratamientos de datos personales que lleva a cabo para su adaptación al RGPD. Aportan copia del informe de adecuación al RGPD, realizado en el mes de septiembre de 2018, en cuyos apartados 6.2, 6.4 y 6.6 se contiene el análisis del tratamiento de datos en la formación online. Indican que las medidas de seguridad del Campus virtual de la SEC son las siguientes: (…). La política de seguridad indica que se encuentra en el Registro de Actividades del Tratamiento aportado, concretamente, en las páginas 28 a 40 Medidas de Seguridad Tratamientos Automatizados. Aportan copia del PROCEDIMIENTO NOTIFICACION BRECHAS SOCIEDADES DEL CORAZON-2020, que recoge el procedimiento establecido para la notificación de brechas de seguridad el grupo de sociedades de las que forma parte SEC. La SEC no se encuentra adherida a ningún Código de Conducta ni posee tampoco certificaciones en el marco de los arts. 40 y 42 del RGPD. Respecto de las medias implementadas con posterioridad a la brecha, para evitar incidentes similares y para su resolución Los representantes de la SEC señalan que: (…). TERCERO: Con fecha 12 de enero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. El citado acuerdo de inicio se notificó conforme a las normas establecidas en la LPACAP el día 13 de enero de 2022, como consta en el acuse de recibo que obra en el expediente. CUARTO: Con fecha 20 de enero de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de la SEC en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que mostraba su conformidad con el citado acuerdo de inicio y con la propuesta de sanción contenida en el mismo, manifestando su pesar por el incidente acaecido e insistiendo que el mismo se ha tratado de un hecho puntual en el marco de una actuación global de diligencia y estricto cumplimiento de la normativa vigente en materia de protección de datos. También hacen constar nuevamente que la utilización de una plataforma independiente al Campus Virtual, la plataforma ***PLATAFORMA.1 implicada en el incidente acecido, se utilizó de forma puntual por la SEC hasta el momento en que los formularios para la inscripción y preinscripción online de los alumnos en los cursos de formación pudieron ser integrados en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 campus virtual, en el mes de octubre de 2016, no volviéndose a trabajar, desde dicha fecha, con plataformas independientes al Campus. Y que, por lo tanto, desde el 2016, todos los formularios de inscripción y preinscripción en los programas formativos de la SEC se encuentran integrados en el campus virtual y completamente securizados con protocolo HTTPS, unificándose así la gestión de datos personales en un entorno completamente seguro que ha sido desarrollado por la empresa TAK LEARNING, S.L. El artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas establece que: “
7. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. (…)”. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la SEC y la sanción que podría imponerse. Por ello, tomando en consideración que la SEC ha reconocido su responsabilidad en el presente caso en su escrito de alegaciones al acuerdo de inicio del expediente, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La SEC ha contratado a la FCC la gestión, control y ejecución del proyecto “curso On-line, de Experto en Insuficiencia Cardiaca aguda”. SEGUNDO: Mediante contrato de 15 de julio de 2015, la SEC y la FCC, por una parte, y AMS, acordaron colaborar en el ámbito de sus respectivas competencias y con el alcance pactado para el desarrollo del entorno virtual de Aprendizaje, secretaría y gestión académica del curso “Capacitación en Insuficiencia Cardiaca Aguda” previsto para noviembre de
8. El citado contrato incluye las siguientes cláusulas de confidencialidad y protección de datos: “SÉPTIMA.- Confidencialidad Toda la información intercambiada entre las Partes con motivo del presente Acuerdo se reputará confidencial, comprometiéndose ambas a tomar cuantas medidas estimen oportunas para preservarla en tal condición y no revelarla, salvo que se vean obligadas a ello por Ley o mandato judicial y, en todo caso, limitarla a lo requerido e informar inmediatamente de ello a la otra Parte. OCTAVA.- Datos de carácter personal En cumplimiento de lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo, los firmantes del presente Contrato quedan informados de que tanto los datos que facilitan a través del mismo como cualesquiera otros que faciliten en el futuro serán incorporados a un fichero responsabilidad de cada una de las PARTES, con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 finalidad de gestionar el mantenimiento, cumplimiento, desarrollo, control y ejecución de lo dispuesto en el presente Contrato, Asimismo, los firmantes del presente Contrato podrán ejercitar, en cualquier momento, sus derechos de acceso, rectificación, cancelación, en aquellos supuestos que sea posible, y oposición, mediante la remisión de un escrito a las direcciones que se indican en el encabezamiento del presente Contrato, adjuntando una fotocopia de un documento acreditativo de su identidad.” TERCERO: En el año 2014, se firmó contrato de prestación de servicios con TAK, en el que se indica que TAK es la entidad que desarrolla el campus virtual de la SEC y realiza su mantenimiento. En mayo de 2020 se suscribió un nuevo contrato con la entidad, citando el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 de Protección de Datos Personales (RGPD), incorporando entre otras cláusulas: “Devolver al responsable del tratamiento los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplida la prestación. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por TAK”. Constan también entre otras cláusulas, como obligaciones de TAK: “a. Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios. b. Tratar los datos de acuerdo con las instrucciones del CLIENTE […]” CUARTO: AMS desarrolló el entorno virtual del curso (que ha generado el incidente) integrándolo en el campus virtual de la SEC. El formulario de preinscripción para el curso “Experto en insuficiencia Cardiaca Aguda” (ICA) se desarrolló por el proveedor AMS, en la plataforma ***PLATAFORMA.1, al cual se le proporcionó alojamiento en el servidor del campo virtual de la SEC. QUINTO: El 9 de diciembre una persona afectada informó a la SEC que, tras introducir su nombre en el buscador Google, descubrió las fotos de su DNI por ambos lados, indexadas y accesibles al público. Los datos afectados procedían de un master del año 2015 en el que la persona afectada formó parte del alumnado. Participó del curso “Experto en insuficiencia Cardiaca Aguda” (ICA), impartido a través de la plataforma ***URL.
9. SEXTO: El 8 de enero de 2021 una empresa realiza un informe en el que indica a la SEC que debe notificar la brecha. SÉPTIMO: (…). OCTAVO: La SEC tras ser informada el día miércoles 9 de diciembre aplicó inmediatamente las siguientes medidas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 (…). NOVENO: No se tiene ninguna información ni indicio del uso, por parte de terceros, de los datos personales afectados por la brecha de seguridad. DÉCIMO: La brecha de seguridad en cuestión afectó a 234 alumnos. A 232 de estos afectados se les notificó el 22/01/2021 mediante correo postal que se había producido la brecha en cuestión. A otros dos afectados se les notificó de tal cuestión mediante correo electrónico el día 25/01/
10. DÉCIMO PRIMERO: Se vieron afectados los siguientes datos por la brecha de seguridad: Imagen del DNI (nombre y apellidos, fecha y lugar de nacimiento, domicilio, nombre de los progenitores y número del documento). E imagen del Título académico. DÉCIMO SEGUNDO: Los participantes del curso subían los ficheros de imagen de DNI con un nombre de fichero puesto por ellos mismos. En los casos en los que el nombre del fichero (como el caso de la persona que reportó el incidente a la SEC) contenía su nombre y apellidos, podía resultar indexado por nombre y apellidos el DNI. Del análisis realizado sobre la carpeta que contenía las imágenes adjuntas a la preinscripción en el curso, se ha podido comprobar lo siguiente: + La única persona que nombró al archivo correspondiente a su DNI con su nombre y apellidos, sin ningún otro carácter o signo, fue aquella cuyo documento apareció indexado en Google. + Otros 25 alumnos, nombraron el documento que contenía su DNI con su nombre y primer apellido o ambos apellidos, separados por un guion bajo. + 14 alumnos designaron el archivo correspondiente al título con su nombre y primer apellido o ambos apellidos, separados por un guion bajo. + El resto de los archivos alojados en la carpeta en cuestión, aparecen nombrados con conceptos indeterminados o un número largo asignado por la aplicación de escaneo (por ejemplo: 00a16bb7c6c209694b5c3e1497802d01_TITULO, 18a704ea9e512efee965f4cbac91dbfc_DNI, T__tulo_Medicina001, etc..). + Igualmente, se ha comprobado que otros archivos tienen estos nombres: ATRÁS, back, CEDULA, DNI, DNI_2caras, dni-maria, VERO, IMG_4487, titulomedicina. + Se comprobó que ninguno de los archivos cuyo nombre contenía algún dato identificativo de los alumnos, podían localizarse en el buscador de Google tecleando su nombre y/o apellidos. + GOOGLE únicamente ha indexado a su buscador, por nombre y apellidos, el archivo correspondiente a quien notificó el incidente, dado que el contenido del archivo es una imagen y el nombre del fichero contenía su nombre y apellidos, sin ningún otro signo o caracter. DÉCIMO TERCERO: Las medidas de seguridad del Campus virtual de la SEC son las siguientes: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 DÉCIMO CUARTO: Producida la brecha de seguridad en cuestión, la SEC ha adoptado las siguientes medidas: (…). FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la SEC realiza, entre otros tratamientos, la recogida y conservación de la documentación escaneada que acredita la identidad y la titulación de los alumnos del curso objeto del incidente analizado. La SEC realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al quedar expuesto indebidamente los documentos de identidad y la titulación de los alumnos del curso objeto del incidente aquí analizado. Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. La seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que regulan tanto la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III Medidas de seguridad El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “
11. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
12. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
13. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
14. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, (…). Por tanto, de la documentación obrante en el expediente, resulta evidente que las medidas adoptadas de forma previa a producirse la brecha objeto del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 expediente, no eran las adecuadas a fin de impedir que se produjera un incidente de estas características. De conformidad con las evidencias de las que se dispone en esta resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la SEC, por vulneración del artículo 32 del RGPD. IV Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) f) La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/
15. (…)” V Sanción por la infracción del artículo 32 del RGPD Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.b) del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por su parte, el considerando 148 del RGPD indica: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” De conformidad con las evidencias de que se dispone en esta resolución de procedimiento sancionador, se considera que la infracción en cuestión es leve a los efectos del artículo 83.2 del RGPD dado que, en el presente caso, se trata de una entidad que declara ser sin ánimo de lucro, de la que no constan antecedentes de infracción ni reclamación alguna ante esta Agencia y que, ni bien tuvo conocimiento de que se había producido el incidente en cuestión, adoptó diligentemente una serie de medidas a fin de minimizar el impacto que éste podía causar a los afectados por la brecha de seguridad y para evitar que incidentes similares pudieran producirse en un futuro, todo lo cual permite considerar una disminución de la culpa en los hechos, por lo que se considera conforme a Derecho, no imponer sanción consistente en multa administrativa y sustituirla por dirigir un apercibimiento a la SEC. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a la SOCIEDAD ESPAÑOLA DE CARDIOLOGÍA, con NIF G83856971, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, un apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a la SOCIEDAD ESPAÑOLA DE CARDIOLOGÍA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-050522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es