← España

PS-00514-2024

1/42  - Expediente N.º: EXP202416690 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES Contenido ANTECEDENTES..........................................................................................................1 PRIMERO: Instituto de Salud Carlos III......................................................................2 SEGUNDO: Notificación de la brecha de datos personales.......................................3 TERCERO: Inicio de actuaciones previas de investigación........................................9 CUARTO: Reclamación presentada ante la AEPD.....................................................9 QUINTO: Resultado de las actuaciones previas de investigación............................10 1. Contenido del informe pericial elaborado por ***EMPRESA.1 relativo a la brecha de datos que afectó a ***EMPRESA.2......................................................10 2. Recepción de distintas notificaciones vinculadas a dicha brecha de datos personales:........................................................................................................... 15 3. Notificación definitiva de la brecha de datos realizada por el ISCIII:.................15 4. Información relativa a las causas de la brecha de datos personales, así como las medidas adoptadas por ***EMPRESA.2, con carácter inmediato a la brecha y con posterioridad, obtenida durante la investigación:...........................................16 5. Documento “(...)”, elaborado por ***EMPRESA.2 con el fin de dar respuesta a un requerimiento de información formulado por el Inspector, que aporta información relativa a las medidas reactivas adoptadas por ***EMPRESA.2:......19 6. Información aportada por el INSTITUTO DE SALUD CARLOS III:...................22 7. Análisis por parte del Inspector de la implementación de las medidas (…):......27 8. Parte final del informe de actuaciones previas de investigación:......................28 SEXTO: Acuerdo de inicio del procedimiento sancionador.......................................29 SÉPTIMO: No se han formulado alegaciones por parte del ISCIII...........................30 HECHOS PROBADOS................................................................................................30 PRIMERO:............................................................................................................... 30 SEGUNDO............................................................................................................... 30 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/42 TERCERO:............................................................................................................... 31 CUARTO:................................................................................................................. 31 QUINTO:.................................................................................................................. 31 SEXTO..................................................................................................................... 32 SÉPTIMO:................................................................................................................ 32 OCTAVO:.................................................................................................................. 33 NOVENO.................................................................................................................. 34 DÉCIMO:.................................................................................................................. 35 UNDÉCIMO:............................................................................................................. 35 DUODÉCIMO:.......................................................................................................... 35 DECIMOTERCERO:................................................................................................36 DECIMOCUARTO:...................................................................................................36 FUNDAMENTOS DE DERECHO.................................................................................37 I Competencia.......................................................................................................... 37 II Cuestiones previas................................................................................................38 III Obligación incumplida. Integridad y confidencialidad...........................................38 I. BRECHA DE DATOS PERSONALES:...............................................................39 II. AUSENCIA DE UNA SERIE DE MEDIDAS CUYA IMPLANTACIÓN, CON GRAN PROBABILIDAD, HABRÍA EVITADO LA BRECHA DE DATOS PERSONALES O HABRÍA REDUCIDO EL IMPACTO DE LA MISMA:..............................................46 IV Tipificación de la infracción del artículo 5.1.

  1. f)del RGPD y calificación a efectos de prescripción.............................................................................................................. 62 V Declaración de infracción......................................................................................63 RESUELVE:................................................................................................................. 65 PRIMERO: Instituto de Salud Carlos III El Instituto de Salud Carlos III (en adelante, “ISCIII”) es un organismo público de investigación de la Administración General del Estado, de los regulados en el artículo 47 de la Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Innovación, con carácter de organismo autónomo. Así se refleja, en el artículo 1 de su Estatuto, aprobado por el Real Decreto 375/2001, de 6 de abril, que prevé: “Artículo 1. Naturaleza jurídica, adscripción, principios de actuación y denominación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/42 1. El Instituto de Salud Carlos III es un organismo público de investigación con carácter de organismo autónomo, de los previstos en el artículo 43.1.
  2. a)de la Ley 6/1997, de 14 de abril, de Organización y Funcionamiento de la Administración General del Estado, cuya misión es desarrollar y ofrecer servicios científicotecnológicos de la más alta calidad dirigidos al Sistema Nacional de Salud y al conjunto de la sociedad, adscrito orgánicamente al Ministerio de Economía y Competitividad, a través de la Secretaría de Estado de Investigación, Desarrollo e Innovación, y funcionalmente a los Ministerios de Sanidad, Servicios Sociales e Igualdad y de Economía y Competitividad, en la esfera de sus respectivas competencias. (…) 3. El Organismo autónomo Instituto de Salud Carlos III tiene personalidad jurídica pública diferenciada, patrimonio y tesorería propios, así como autonomía de gestión y plena capacidad jurídica y de obrar y, dentro de su esfera de competencia, le corresponden las potestades administrativas precisas para el cumplimiento de sus fines, en los términos previstos en este Estatuto, salvo la potestad expropiatoria. (…)” En el ejercicio de su misión consistente en desarrollar y ofrecer servicios científicotecnológicos dirigidos al Sistema Nacional de Salud y al conjunto de la sociedad, inició el 1 de enero de 2021 el proyecto “Estudio sobre calidad de vida relacionada con la salud de las personas con infección por VIH de la cohorte de la Red de Investigación en SIDA en España (CoRIS-QoL)” (en adelante, “proyecto CoRIS-QoL”), de cuyo tratamiento de datos de carácter personal es responsable el ISCIII. Para la ejecución de dicho estudio, se precisaba de la gestión y mantenimiento de una app (...). Por este motivo, el ISCIII contrató a la empresa ***EMPRESA.2 como encargado del tratamiento, suscribiendo el contrato de encargo de tratamiento con fecha 19 de enero de 2022. SEGUNDO: Notificación de la brecha de datos personales Con fecha 23 de junio de 2023, se notificó a esta Agencia una brecha de datos personales por el INSTITUTO DE SALUD CARLOS III, con NIF Q2827015E (en adelante, ISCIII). En dicha notificación se incluye la siguiente descripción de lo ocurrido: “El (…), ***EMPRESA.2 detectó (…) de un proyecto del que ***EMPRESA.2 es el (…). Se activaron de manera inmediata las siguientes medidas, tras el incidente: - (…). - (…). - (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/42 - (…). Desde ***EMPRESA.2 se continúa el proceso de investigación, (…). A continuación, se reproduce parcialmente la información que figura en la notificación inicial de la brecha de datos personales: NOTIFICACIÓN INICIAL DE LA BRECHA DE DATOS PERSONALES Sobre el tratamiento Número aproximado de personas físicas sobre las que recoge, almacena o trata datos personales de otra forma; referido exclusivamente al tratamiento sobre el que se ha producido la brecha de datos personales: (...) El incidente ha sido (...) El origen del incidente ha sido: (...) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: (...) Como consecuencia del incidente, se ha visto afectada la: (...) Referido específicamente a los datos afectados por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? (…) Tipos de datos afectados Seleccione los tipos de datos que se han visto afectados, exclusivamente de personas físicas, marque todas las opciones aplicables: (...) Entre las personas afectadas, ¿hay miembros de colectivos vulnerables como supervivientes de violencia de género o en riesgo de exclusión social?: (…) Las personas afectadas tienen los siguientes perfiles: (…) En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos personales? (Si desconoce el valor exacto, indique un valor aproximado) (...) Información temporal de la brecha Indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales ***FECHA.1 ¿Conoce la fecha en la que se inició la brecha? (...) Indique la fecha de inicio de la brecha ***FECHA.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/42 Medidas de seguridad antes de la brecha Marque las medidas de seguridad implementadas en la organización antes del suceso de la brecha (Deberá poder acreditar las medidas marcadas ante un eventual requerimiento de la autoridad de control): (…) Comunicación a los afectados por la brecha de datos personales ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? (...) Responsable del tratamiento 1 INSTITUTO DE SALUD CARLOS III Encargado del tratamiento ¿Hay implicado un encargado del tratamiento en la brecha de datos personales? Si Nombre de la Organización ***EMPRESA.2 Junto a la notificación se aporta un documento relativo a la designación de la DPD del referido Instituto. Posteriormente, con fecha ***FECHA.3 una segunda notificación en la que se completaba la información sobre la brecha de datos personales aportada el 23 de junio de 2023. A continuación, se reproduce parcialmente la información que figura en la segunda notificación de la brecha de datos personales: SEGUNDA NOTIFICACIÓN RELATIVA A LA BRECHA DE DATOS PERSONALES (NOTIFICACIÓN COMPLETA) ¿Cuál es su intención? (…) Sobre el tratamiento El incidente ha sido (...) El origen del incidente ha sido: (...) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: (...) Como consecuencia del incidente, se ha visto afectada la: (...) Referido específicamente a los datos afectados por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/42 protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? (…) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: (…) ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas? (…) A fecha de esta notificación, ¿tiene constancia de que se hayan materializado alguno de los daños identificados, con el grado indicado en la cuestión anterior? (…) Como valora la probabilidad de que el daño anterior se materialice sobre las personas afectadas con la severidad indicada (…) Introduzca una breve descripción de lo ocurrido. Evite incluir datos personales, fórmulas del tipo "Ver anexo" y en ningún caso lo aquí escrito podrá suponer una modificación sobre lo consignado en el resto del formulario. (…). (…). (…): (…). (…). (…). Tipos de datos afectados Seleccione los tipos de datos que se han visto afectados, exclusivamente de personas físicas, marque todas las opciones aplicables: (...) Perfil de los afectados, referido exclusivamente a personas físicas Entre las personas afectadas, ¿hay miembros de colectivos vulnerables como supervivientes de violencia de género o en riesgo de exclusión social?: (…) Las personas afectadas tienen los siguientes perfiles: (...) En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos personales? (Si desconoce el valor exacto, indique un valor aproximado) (...) Información temporal de la brecha Indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales ***FECHA.1 ¿Conoce la fecha en la que se inició la brecha? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/42 (…) Indique la fecha de inicio de la brecha ***FECHA.2 La brecha se ha detectado mediante: (…) Medidas de seguridad antes de la brecha Marque las medidas de seguridad implementadas en la organización antes del suceso de la brecha (Deberá poder acreditar las medidas marcadas ante un eventual requerimiento de la autoridad de control): (…) ¿Se podría haber evitado la brecha adoptando alguna medida de seguridad adicional? (...) ¿Dispone de un análisis de riesgos documentado que justifique las medidas de seguridad adoptadas previamente al incidente? (...) Acciones tomadas tras el incidente ¿Ha actualizado su registro de incidentes con la información de esta brecha de datos personales? (...) ¿Ha adoptado tras el incidente nuevas medidas de seguridad que podrían haber evitado la brecha? (...) ¿Ha adaptado / mejorado sus procedimientos y políticas de seguridad? (...) Marque exclusivamente las nuevas medidas de seguridad y las que se hayan actualizado (…) ¿Considera que ha tomado todas las acciones posibles y da por resuelta la brecha? (...) Indique la fecha en la que se dio por resuelta la brecha ***FECHA.2 Comunicación a los afectados por la brecha de datos personales ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? (…) A más tardar, las personas afectadas serán informadas en la siguiente fecha: ***FECHA.3 Medio por el que se informará (…) Responsable del tratamiento 1 Nombre de la Organización INSTITUTO DE SALUD CARLOS III Encargado del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/42 ¿Hay implicado un encargado del tratamiento en la brecha de datos personales? Si Nombre de la Organización ***EMPRESA.2 Al final de la notificación se indica: “(…).” Junto a la notificación se aporta el informe pericial de ***FECHA.5 elaborado para ***EMPRESA.2 por ***CARGO.1 (***EMPRESA.1) titulado “***INFORME.1” (***EXPEDIENTE.1), al que hace referencia el antecedente quinto. TERCERO: Inicio de actuaciones previas de investigación Como consecuencia de los hechos conocidos, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) a raíz de una brecha de seguridad sufrida por el encargado del tratamiento ***EMPRESA.2. CUARTO: Reclamación presentada ante la AEPD Con fecha 9 de agosto de 2023 el representante de A.A.A., participante en el Proyecto “CoRIS-Qol”, interpuso una reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a INSTITUTO DE SALUD CARLOS III. Los hechos que se pone en conocimiento de esta autoridad son los siguientes: “(…).” Junto con la reclamación, se aporta un correo electrónico de fecha ***FECHA.4 enviado por el ISCIII al reclamante. En dicho correo electrónico se le advierte de que sus datos personales (de contacto y de salud) se habían visto expuestos (…). QUINTO: Resultado de las actuaciones previas de investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/42 1. Contenido del informe pericial elaborado por ***EMPRESA.1 relativo a la brecha de datos que afectó a ***EMPRESA.2 El informe de actuaciones previas de investigación de 15 de octubre de 2024 reproduce parcialmente el contenido del informe pericial de la brecha de fecha ***FECHA.5 realizado por la (...) (***EMPRESA.1), destacando diversas afirmaciones realizadas por el perito informático que lo firma. A continuación, se reproducen párrafos extraídos del informe de actuaciones previas de investigación relativos a dicho informe pericial. En cada caso, se ha incluido un título con el tema analizado en el párrafo o párrafos reproducidos: 1.1. Detección de la brecha de datos personales por parte de ***EMPRESA.2: “(…).” 1.2. (…): “(…).” 1.3. Fecha y duración de la brecha de datos personales: “(…)”. 1.4. (…): “(…).” 1.5. (…): “(…).” 1.6. (…): “(…).” 1.7. (…): “(…)”. “(…)”. “(…)”. “(…)”. “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/42 1.8. (…): “         (…). (…). (…). (…). (…). (…). (…). (…)”. 1.9. Mejoras implementadas por ***EMPRESA.2 tras la brecha de datos: “(…):             (…). (…). (…). (…). (…). (…). (…). (…). (…). (…). (…). (…)”. 1.10. Medidas planificadas por ***EMPRESA.2 en el momento en el que se elaboró el informe pericial de ***EMPRESA.1: “(…):        (…). (…). (…). (…). (…). (…). (…)”. 1.11. Conclusiones del informe pericial de ***EMPRESA.1: “(…). (…). (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/42 (…). (…). (…)”. 2. Recepción de distintas notificaciones vinculadas a dicha brecha de datos personales: El informe de actuaciones previas de investigación refleja que el incidente de seguridad que afectó a ***EMPRESA.2 como encargado del tratamiento fue objeto de varias notificaciones de brechas de datos personales a la AEPD: Fecha Notificación ***FECHA.3 Notifica La Brecha Proyecto Afectado Personas Afectadas ISCIII CORIS-QOL (...) “ 3. Notificación definitiva de la brecha de datos realizada por el ISCIII: El informe de actuaciones previas de investigación reproduce parcialmente la notificación definitiva de la brecha realizada por el ISCIII el ***FECHA.3: “En fecha ***FECHA.3 y registro de entrada (...) se recibe notificación de brecha de seguridad por parte del INSTITUTO DE SALUD CARLOS III con la siguiente información relevante: -Se afirma como responsable al propio INSTITURO DE SALUD CARLOS III y como encargado de tratamiento a ***EMPRESA.2. -Se afirma un total de afectados de (...) pacientes que serán comunicados a más tardar el ***FECHA.3. -Se afirma como fecha detección el ***FECHA.1. -Descripción de la brecha: (…).” 4. Información relativa a las causas de la brecha de datos personales, así como las medidas adoptadas por ***EMPRESA.2, con carácter inmediato a la brecha y con posterioridad, obtenida durante la investigación: El informe de actuaciones previas de investigación analiza la información obtenida de diversos documentos, aportados durante la investigación de la brecha de datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/42 “En fecha 21 de febrero de 2024 y registros de entrada (...), (…),(…), (…),(…) se recibe respuesta al requerimiento, de su análisis se extrae la siguiente información relevante: Se aporta documento redactado por ***EMPRESA.2 con una descripción de los hechos, con las causas del incidente e información sobre las medidas implantadas por esta entidad, de este documento se extraen las siguientes afirmaciones relevantes para la investigación (subrayada parte relevante por presente inspector): “(…)”. “(…)”. “Se comparte listado preliminar con las principales medidas reactivas adoptadas (…) inmediatamente tras el incidente:          (…). (…). (…). (…). (…). (…). (…). (…). (…).            (…). (…). (…). (…). (…). (…). (…). (…). (…). (…). (…) (subrayado del Inspector). (…): (…) -Se aporta documento con el plan de acción (…). De su análisis se extraen las siguientes afirmaciones (se subraya parte relevante para presente inspector): -“(…)”. (…) -“(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/42 - “(…)”. - “(…)”. - “(…)”. - “(…)”. - “(…)”. -“(…)”. - En respuesta a nuestra solicitud para que aclaren (…): “(…)”. 5. Documento “(...)”, elaborado por ***EMPRESA.2 con el fin de dar respuesta a un requerimiento de información formulado por el Inspector, que aporta información relativa a las medidas reactivas adoptadas por ***EMPRESA.2: El informe de actuaciones previas de investigación reproduce parte del contenido del documento “(...)” (dicho documento se menciona en el apartado tercero de la parte dispositiva del acuerdo de inicio), en el que ***EMPRESA.2 aclara varios aspectos relacionados con contenido del informe pericial de ***EMPRESA.1: 5.1. Mejoras relativas a (…): “- Aportan documento con afirmaciones proporcionadas por ***EMPRESA.2 aclarando varios puntos del informe pericial. Se destaca (se subraya parte relevante por presente inspector): - En relación con las mejoras introducidas tras la brecha para (...), se afirma: “(…)”. 5.2. Mejoras relativas a (…): “- En relación con las mejoras introducidas para (…), se afirma: “(…): -(…) -(…)”. (subrayado del Inspector en el informe de actuaciones previas de investigación). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/42 En relación con la (…), el informe de actuaciones previas de investigación también señala: “(…): (…) “(…): (…).” (…): (…) “(…).” 5.3. Mejoras relativas (…): “- En relación con las mejoras (…), se afirma: “(…)”. “(…)”. (subrayado del Inspector). 6. Información aportada por el INSTITUTO DE SALUD CARLOS III: En relación con otra información aportada por el ISCIII durante la investigación, el informe de actuaciones previas de investigación señala lo siguiente: “Este organismo notificó el ***FECHA.3 la brecha de seguridad sufrida por ***EMPRESA.2, afectando este incidente a datos identificativos y de salud de pacientes del proyecto de investigación CoRIS-Qol (Proyecto sobre la calidad de vida de infectados por VIH). En fecha 29 de enero de 2024 se notifica requerimiento de información dirigido a ISCIII marcado por la siguiente línea de investigación: -Solicitar detalles del número final de pacientes afectados y tipología de los datos. -Investigar la comunicación realizada a las personas afectadas. -Investigar contrato de encargo formalizado y notificación recibida por parte del encargado. -Investigar análisis de riesgos y medidas de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/42 “En fecha 12 de febrero de 2024 y registro de entrada (...) se recibe respuesta por parte del ISCIII al requerimiento anterior, de su análisis se extrae la siguiente información relevante: -Aportan las siguientes afirmaciones: “El Instituto de Salud Carlos III (en adelante, ‘ISCIII’) es un organismo público de investigación de la Administración General del Estado, de los regulados en el artículo 47 de la Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Investigación, con carácter de organismo autónomo, cuya misión es desarrollar y ofrecer servicios científico-tecnológicos de la más alta calidad dirigidos al Sistema Nacional de Salud y al conjunto de la sociedad.” “En el marco del ejercicio de sus funciones, en el ISCIII lleva desarrollándose desde el 1 de enero de 2021 el proyecto ‘Estudio sobre calidad de vida relacionada con la salud de las personas con infección por VIH de la cohorte de la Red de Investigación en SIDA en España (CoRISQoL)” (en adelante, ‘proyecto CoRIS-QoL’), de cuyo tratamiento de datos de carácter personal es responsable el ISCIII, y para cuya ejecución se precisaba de la gestión y mantenimiento de una app (…)” “Como resultado de esta necesidad, se contrató con la empresa ***EMPRESA.2 el desarrollo de trabajos preventivos, correctivos y evolutivos de la ***PLATAFORMA.1, suscribiéndose el correspondiente contrato de encargo de tratamiento el 19 de enero de 2022” -Aportan copia del contrato de encargo de tratamiento de datos personales formalizado con ***EMPRESA.2, con fecha de firma 22 de diciembre de 2021, de su análisis se extrae la siguiente información: -Realiza descripción de la tipología de datos tratadas en el encargo. -Incluye apartado con las obligaciones de ***EMPRESA.2 frente al ISCIII y las medidas para garantizar la seguridad de los tratamientos. Destacando los textos: “(…)”. “(…)”. - Acreditan la notificación de la brecha que realiza ***EMPRESA.2, inicialmente en fecha ***FECHA.1 y posteriormente ampliada en fechas (…) de 2023. Estas notificaciones confirman que el número potencial de pacientes afectados es de (...). La brecha fue notificada por parte del ISCIII a la AEPD en fecha 23 de junio de 2023. [Las notificaciones de brecha ante la AEPD por parte del ISCIII hacen referencia a (...) pacientes] - Acreditan correo interno enviado por la (…) informando a (…) del ISCIII sobre las decisiones tomadas tras el incidente. El correo es enviado en fecha 28 de junio de 2023 e incorpora el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/42 “(…): -(…). -(…).” - Se acredita la comunicación de la brecha a los (...) afectados, realizada vía email en fecha 21 de julio de 2023, aportando información sobre el incidente, la naturaleza de los datos afectados, recomendaciones de seguridad y canales de contacto para obtener información adicional. - Se acredita certificado de borrado de los datos del proyecto CoRIS-Qol por parte del encargado de tratamiento, con fecha ***FECHA.5. - Confirman la siguiente tipología de datos afectados: -(…). -(…). -(…). - Aportan Registro de Actividades de Tratamiento con la actividad afectada “(…): (…)”. - Acreditan análisis de riesgo para la actividad afectada, (…). No dispone de fecha de creación ni de firma. (…): “- (…) - (…) - (…) - (…) - (…) (…). -Se acredita documento adicional con un nuevo análisis de riesgos realizado, en este caso, por parte del encargado del tratamiento (***EMPRESA.2), con fecha 28 de octubre de 2022 y con título “(…)”, de este documento se extrae: “(…)”. “(…)”. “(…)”. “(…)”. -Acreditan documentalmente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/42 - El (…), el documento no está firmado e incorpora los siguientes apartados: (…). Destaca: “(…)”. “(…)”. “(…)”. -Procedimiento de (…). -Procedimiento de (…). -Procedimiento de (…). - Relación de medidas preventivas implantadas por ***EMPRESA.2 con anterioridad a la brecha, destacando: “(…)” En el momento del incidente podemos destacar las siguientes medidas de seguridad: -(…). - (…). - (…). -(…). -Relación de medidas reactivas adoptadas por el encargado tras la brecha, este documento ya ha sido analizado en puntos anteriores y recoge tanto las medidas reactivas desplegadas por ***EMPRESA.2 de forma inmediata tras detectar el incidente, como la relación de medidas que se incluyeron (…). Destacan las siguientes medidas implantadas para evitar incidentes similares:      (…). (…). (…). (…). (…). -Aportan la siguiente afirmación en relación con el nombramiento del DPD: “A fecha de elaboración de este informe, debido (…), se ha procedido a dar de baja a la DPD que figuraba en la fecha de la brecha (se adjunta justificante de la comunicación de supresión como Anexo 25), y se ha procedido a comunicar a la AEPD la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/42 designación del (…) como DPD (se adjunta el justificante de la comunicación de la designación como Anexo 26) Además, con el objetivo de reforzar la capacidad de respuesta en materia de protección de datos de carácter personal, el ISCIII se encuentra actualmente tramitando la contratación de personal externo especializado en esta materia”. 7. Análisis por parte del Inspector de la implementación de las medidas (…): En relación con esta cuestión, el informe de actuaciones previas de investigación indica: “Con respecto a la (…): “(…)”. 8. Parte final del informe de actuaciones previas de investigación: En su parte final, el informe de actuaciones previas de investigación señala: 1) (…). 2) El ataque afectó a datos de, al menos, los siguientes proyectos de investigación médica: (…) - Proyecto CORIS-QoL: proyecto de investigación sobre la calidad de vida de pacientes diagnosticados con la enfermedad VIH, el responsable de tratamiento es el INSTITUTO DE SALUD CARLOS III. Los ficheros exportados contenían datos identificativos y de salud. 1) La auditoría forense constata amplio listado de medidas reactivas implantadas por ***EMPRESA.2 tras la brecha (páginas 3 y 5 del presente informe), entre estas medidas destacan las siguientes por su relevancia para evitar incidentes similares (su implantación previa hubiera evitado con gran probabilidad el impacto de la brecha): - (…). (…). (…). 1) ***EMPRESA.2 disponía de (…). (…) 1)En relación con la investigación realizada al INSTITUTO DE SALUD CARLOS III: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/42 -(…). [Las notificaciones de brecha ante la AEPD por parte del ISCIII hacen referencia a (...) pacientes] -(…). -(…). -(…) SEXTO: Acuerdo de inicio del procedimiento sancionador Con fecha 20 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
  3. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: No se han formulado alegaciones por parte del ISCIII Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  4. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  5. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: ***EMPRESA.2 (***EMPRESA.2), proveedor tecnológico y encargado del tratamiento del ISCIII, sufrió una brecha de datos personales, (…). En este sentido, el informe de actuaciones previas de investigación de 15 de octubre de 2024 indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/42 “1) (…).” (el subrayado es nuestro) El ISCIII ha aportado, en contestación a un requerimiento de información del Inspector de la AEPD, el contrato de encargo de tratamiento con ***EMPRESA.2 de fecha 19 de enero de 2022. SEGUNDO El ciberataque afectó a datos de varios proyectos clínicos de investigación, entre ellos, el Proyecto CORIS-Qol del ISCIII. Se trataba de un proyecto de investigación sobre la calidad de vida de pacientes diagnosticados con la enfermedad VIH. El responsable del tratamiento era el ISCIII. En relación con esta cuestión, el informe de actuaciones previas de investigación de 15 de octubre de 2024 señala: “(…)2) El ataque afectó a datos de, al menos, los siguientes proyectos de investigación médica: (…) -Proyecto CORIS-QoL: proyecto de investigación sobre la calidad de vida de pacientes diagnosticados con la enfermedad VIH, el responsable de tratamiento es el INSTITUTO DE SALUD CARLOS III. Los ficheros exportados contenían datos identificativos y de salud.” (el subrayado es nuestro). TERCERO: La brecha de datos personales afectó a los datos personales de (...) personas. En este sentido, se refleja tanto en la notificación inicial de la brecha de datos personales a esta Agencia con fecha 23 de junio de 2023 como en la segunda notificación a la Agencia de fecha ***FECHA.3. Asimismo, aparece reflejada en el “Informe sobre la brecha de seguridad producida en el marco del proyecto “Estudio sobre calidad de vida relacionada con la salud de las personas con infección por VIH de la cohorte de la red de investigación en sida en España (CORIS-QOL)”, presentado ante la AEPD por el ISCIII el 7 de agosto de 2024, en contestación a un requerimiento de información del Inspector. CUARTO: Los ficheros afectados por el ataque contenían datos identificativos y de salud. Los datos personales filtrados como consecuencia de la brecha fueron el (…) y datos de salud de las personas físicas participantes en el proyecto (pacientes diagnosticados con la enfermedad VIH). El informe de actuaciones previas de investigación de 15 de octubre de 2024 indica: “1) En relación con la investigación realizada al INSTITUTO DE SALUD CARLOS III: -(…).” (el subrayado es nuestro). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/42 QUINTO: La brecha de datos personales se produjo en (…). Así se refleja en el cuadro resumen sobre cómo se produjo la brecha de datos personales que figura en el informe pericial de ***EMPRESA.1 de fecha ***FECHA.5 (***EXPEDIENTE.1) con el título “***INFORME.1”, aportado por el ISCC, junto a la segunda notificación de la brecha de datos personales de fecha ***FECHA.3. En el apartado titulado “DÓNDE” del referido cuadro figura, entre otra, la siguiente información: “-(…). - (…).” SEXTO (…). (…). (…). En este sentido, el cuadro resumen sobre cómo se produjo la brecha de datos personales que figura en el informe pericial de ***EMPRESA.1 de fecha ***FECHA.5 (***EXPEDIENTE.1) con el título “***INFORME.1”, aportado por el ISCC, junto a la segunda notificación de la brecha de datos personales de fecha ***FECHA.3, indica la siguiente información en el apartado denominado “DÓNDE”: “- (…). - (…). - (…).” SÉPTIMO: La brecha de datos personales se produjo como consecuencia de (…). (…). (…). (…). En relación con esta cuestión, el cuadro resumen sobre cómo se produjo la brecha de datos personales que figura en el informe pericial de ***EMPRESA.1 de fecha ***FECHA.5 (***EXPEDIENTE.1) con el título “***INFORME.1”, aportado por el ISCC, junto a la segunda notificación de la brecha de datos personales de fecha ***FECHA.3, indica la siguiente información en el apartado denominado “CÓMO”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/42 “-(…). - (…). - (…).” Asimismo, el informe de actuaciones previas de investigación de 15 de octubre de 2024 señala: “1) (…).” (el subrayado es nuestro). OCTAVO: (…). (…). (…). Así se refleja en el cuadro resumen sobre cómo se produjo la brecha de datos personales que figura en el informe pericial de ***EMPRESA.1 de fecha ***FECHA.5 (***EXPEDIENTE.1) con el título “***INFORME.1”, aportado por el ISCC, junto a la segunda notificación de la brecha de datos personales de fecha ***FECHA.3, en el apartado denominado “QUIÉN”: En el apartado titulado “QUIÉN” del referido cuadro figura, entre otra, la siguiente información: “- (…) - (…). - (…).” NOVENO (…).  (…).  (…).  (…)  (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/42 Esta información figura en el apartado titulado “CUÁNDO” del cuadro resumen sobre cómo se produjo la brecha de datos personales que figura en el informe pericial de ***EMPRESA.1 de fecha ***FECHA.5 (***EXPEDIENTE.1) con el título “***INFORME.1”, aportado por el ISCC, junto a la segunda notificación de la brecha de datos personales de fecha ***FECHA.3: “INICIO - (…). - (…). - (…) FIN - (…)” DÉCIMO: El ***FECHA.6 un representante de ***EMPRESA.2 denunció la brecha de datos personales ante la Policía Nacional. UNDÉCIMO: El 18 de julio de 2023 se reunió el Comité Ejecutivo (...), órgano de gobernanza del proyecto CoRIS-QoL, y tomó las siguientes decisiones: a. Proceder a la comunicación de la brecha de seguridad a las personas afectadas. b. Poner fin a la relación mantenida con ***EMPRESA.2 en el marco del proyecto CoRIS-QoL, procediendo al borrado completo de los datos que obraran en sus sistemas, (…). La información relativa al acuerdo adoptado por el Comité Ejecutivo aparece reflejada en el “Informe sobre la brecha de seguridad producida en el marco del proyecto “Estudio sobre calidad de vida relacionada con la salud de las personas con infección por VIH de la cohorte de la red de investigación en sida en España (CORIS-QOL)”, presentado en la AEPD por el ISCIII el 7 de agosto de 2024 en contestación a un requerimiento de información del Inspector. DUODÉCIMO: ***EMPRESA.2 procedió al borrado de todos los datos del proyecto CoRIS-QoL con fecha ***FECHA.5. El informe de actuaciones previas de investigación señala: “- Se acredita certificado de borrado de los datos del proyecto CoRIS-Qol por parte del encargado de tratamiento, con fecha ***FECHA.5.” El ISCIII ha aportado un certificado emitido por ***EMPRESA.2 el 3 de agosto de 2023 en el que se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/42 “(…). (…),” DECIMOTERCERO: El 9 de agosto de 2023 el representante de A.A.A., participante en el Proyecto “CoRIS-Qol”, interpuso una reclamación ante la AEPD, en la que indicaba: “(…).” (el subrayado es nuestro). DECIMOCUARTO: En la fecha en la que se produjo la brecha de datos personales (***FECHA.2) ***EMPRESA.2 no tenía implantadas las siguientes medidas, que fueron implementadas en el sistema de ***EMPRESA.2 con posterioridad a la brecha.  (…).  (…).   (…). (…).  (…).  (…). En relación con esta cuestión el informe de actuaciones previas de investigación de 15 de octubre de 2024 indica: “1) La auditoría forense constata amplio listado de medidas reactivas implantadas por ***EMPRESA.2 tras la brecha (páginas 3 y 5 del presente informe), entre estas medidas destacan las siguientes por su relevancia para evitar incidentes similares (su implantación previa hubiera evitado con gran probabilidad el impacto de la brecha): - (…). (…). (…). (…). (el subrayado es nuestro) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/42 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el INSTITUTO DE SALUD CARLOS III realiza, entre otros, los tratamientos consistentes en la recogida, registro, conservación, modificación, extracción, consulta, utilización de datos personales de personas físicas. En el caso examinado, los datos personales de las personas participantes en el proyecto denominado “Estudio sobre calidad de vida relacionada con la salud de las personas con infección por VIH de la cohorte de la Red de Investigación en SIDA en España (CoRIS-Qol)”. En contestación a un requerimiento de información del Inspector, el ISCIII ha elaborado el “Informe sobre la brecha de seguridad producida en el marco del proyecto “Estudio sobre calidad de vida relacionada con la salud de las personas con infección por VIH de la cohorte de la Red de Investigación en SIDA en España (CoRIS-Qol)”. En dicho documento, que da respuesta a varias preguntas planteadas por el Inspector en su requerimiento de 29 de enero de 2024, figura la siguiente información: “1.2. Detalles de todos los tipos de datos personales afectados que estaban almacenados en los servidores del Encargado. Los datos de los pacientes participantes afectados (…) fueron los siguientes: - (…). - (…). - (…).” En consecuencia, algunos de los datos personales afectados por la brecha de datos pertenecen a las categorías especiales de datos personales contempladas en el artículo 9 del RGPD. El ISCIII realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/42 III Obligación incumplida. Integridad y confidencialidad La letra
  6. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En el presente caso, se ha producido una brecha de confidencialidad como consecuencia del acceso no autorizado (…) a información confidencial (parte de la cual eran datos personales sanitarios), almacenada (…) de la empresa ***EMPRESA.2, encargado del tratamiento. Así se refleja en los siguientes documentos que obran en el expediente:  Las Notificaciones inicial y segunda notificación de la brecha de datos realizadas por el ISCIII ante la AEPD.  El informe pericial elaborado por ***EMPRESA.1 de fecha ***FECHA.5.  El informe de actuaciones previas de investigación de fecha 15 de octubre de 2024. I. BRECHA DE DATOS PERSONALES: 1.Notificaciones de 23 de junio y ***FECHA.3 ante la AEPD: En la notificación inicial de la brecha de fecha 23 de junio de 2023 figuraba la siguiente descripción de lo ocurrido: “El (…), ***EMPRESA.2 detectó (…) de un proyecto del que ***EMPRESA.2 (…). Se activaron de manera inmediata las siguientes medidas, tras el incidente: - (…). - (…). - (…). - (…). Desde ***EMPRESA.2 se continúa el proceso de investigación, (…).” (subrayado de la AEPD). Por su parte, la segunda notificación de la brecha ante la AEPD de ***FECHA.3 (calificada como completa) también detalla la brecha de confidencialidad sufrida. A continuación, se reproduce parte de la notificación de la brecha de ***FECHA.3 (subrayado de la AEPD): SEGUNDA NOTIFICACIÓN RELATIVA A LA BRECHA DE PERSONALES (NOTIFICACIÓN COMPLETA) C/ Jorge Juan, 6 28001 – Madrid DATOS www.aepd.es sedeaepd.gob.es 27/42 Sobre el tratamiento El incidente ha sido (...) El origen del incidente ha sido: (...) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: (...). Como consecuencia del incidente, se ha visto afectada la: (…) ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: (…) Tipos de datos afectados Seleccione los tipos de datos que se han visto afectados, exclusivamente de personas físicas, marque todas las opciones aplicables: (…) Perfil de los afectados, referido exclusivamente a personas físicas Entre las personas afectadas, ¿hay miembros de colectivos vulnerables como supervivientes de violencia de género o en riesgo de exclusión social?: (…) Las personas afectadas tienen los siguientes perfiles: (…) En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos personales? (Si desconoce el valor exacto, indique un valor aproximado) (...) Información temporal de la brecha Indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales ***FECHA.1 ¿Conoce la fecha en la que se inició la brecha? (…) Indique la fecha de inicio de la brecha ***FECHA.2 La brecha se ha detectado mediante: (…) Indique la fecha en la que se dio por resuelta la brecha ***FECHA.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/42 2. Informe pericial elaborado por ***CARGO.1 (***EMPRESA.1): Como señala el antecedente segundo de esta resolución, el ISCIII aportó, junto a la segunda notificación de la brecha de datos de ***FECHA.3, un informe pericial de ***EMPRESA.1 de fecha ***FECHA.5 (***EXPEDIENTE.1) con el título “***INFORME.1”. El referido informe fue realizado tras el análisis de la brecha de datos personales y la obtención de evidencias (…). En las tres primeras conclusiones del informe pericial se señala: “(…): I. (…). II. (…) III. (…).” (subrayado de la AEPD). 2.1. Cuadro resumen sobre cómo se produjo la brecha de datos personales: En dicho informe pericial, se incluye un cuadro que explica cómo se produjo la brecha de datos personales. (…..) 2.2.¿Dónde se produjo la brecha de datos personales? Como puede observarse, la brecha de datos se produjo en (…) (hecho probado quinto). En este sentido, el informe pericial de ***EMPRESA.1 señala: “(…). (…).” (subrayado de la AEPD). El cuadro del informe pericial de ***EMPRESA.1 y los hechos probados quinto y sexto reflejan que: “    (…). (…). (…). “(subrayado de la AEPD). 2.3. Origen de la brecha de datos personales: (hecho probado séptimo) En cuanto al origen de la brecha de datos, el informe pericial de ***EMPRESA.1 señala como origen de la brecha (…). En este sentido, señala: “  (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/42  (…).  (…).” (subrayado de la AEPD). 2.4. ¿Cómo se produjo la brecha de datos personales? (hecho probado octavo) En cuanto a la forma en la que se llevó a cabo el ataque: “    (…). (…). (…). (subrayado de la AEPD). 2.5. ¿Cuándo se produjo la brecha de datos personales? (hecho probado noveno) Tal y como refleja el cuadro resumen del informe de ***EMPRESA.1 la brecha de datos tuvo lugar ***FECHA.2. (…). 3.Informe de actuaciones previas de investigación de fecha 15 de octubre de 2024: En la parte final del informe de actuaciones previas de investigación de 15 de octubre de 2024, se señala (subrayado nuestro). “1) (…). 2)(…): (hecho probado segundo) (…) -(…). (…) 1) (…): (hechos probados primero, tercero, undécimo y duocédimo). -(…). [Las notificaciones de brecha ante la AEPD hacen referencia a (...) pacientes] -(…). -(…). (…) En conclusión, se produjo una brecha de datos personales materializada en una pérdida de confidencialidad. La brecha tuvo lugar como consecuencia del acceso no autorizado (…) a datos personales de un proyecto de investigación médica (Proyecto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/42 CORIS-QoL). Los ficheros exportados en el ataque contenían datos personales identificativos y de salud. II. AUSENCIA DE UNA SERIE DE MEDIDAS CUYA IMPLANTACIÓN, CON GRAN PROBABILIDAD, HABRÍA EVITADO LA BRECHA DE DATOS PERSONALES O HABRÍA REDUCIDO EL IMPACTO DE LA MISMA: La documentación obrante en el expediente, evidencia que en momento en el que se produjo la brecha de datos personales (***FECHA.2) el encargado del tratamiento no tenía implantadas una serie de medidas que, con gran probabilidad, habrían evitado que la brecha de datos personales se produjera o habrían reducido el impacto de la misma, según se desprende del contenido del informe pericial realizado a instancias de la parte reclamada. Las referidas medidas fueron introducidas una vez que la brecha de datos ya se había producido con el fin de evitar que pudiera repetirse. Dicha implantación posterior evidencia la ausencia de tales medidas, al tiempo que refleja que la parte reclamada ha considerado necesaria su adopción a la vista del tratamiento de datos personales realizado. En particular, lo muestran los siguientes documentos: 1.Documentos elaborados por ***EMPRESA.2 (encargado del tratamiento) en los que se detallan las medidas preventivas y reactivas adoptadas:     Medidas de seguridad preventivas implementadas por ***EMPRESA.2 con anterioridad a la brecha de seguridad. Nuevas medidas técnicas y organizativas adoptadas por ***EMPRESA.2 para evitar, en lo posible, incidentes de seguridad como el sucedido (versiones reducida y amplia, que incluye explicaciones y capturas de pantalla) Medidas de seguridad para reducir riesgo a ataque similar (versiones reducida y amplia, que incluye explicaciones y capturas de pantalla). (...). 2. Informe pericial elaborado por ***EMPRESA.1 de fecha ***FECHA.5, tanto el resumen ejecutivo como el informe pericial completo. 3. Informe de actuaciones previas de investigación de 15 de octubre de 2024. El informe de actuaciones previas de investigación de 15 de octubre de 2024 señala una serie de medidas reactivas, que fueron introducidas por ***EMPRESA.2 tras la brecha de datos personales, cuya implantación previa hubiera evitado, con gran probabilidad, (…), que ocasionó la brecha de datos personales, se completara con éxito. La mayor parte de la información relativa a dichas medidas se ha obtenido en respuesta a requerimientos de información formulados por el Inspector. Se reproduce la referencia a dichas medidas reactivas en el informe de actuaciones previas de investigación: (hecho probado decimocuarto) “1) La auditoría forense constata amplio listado de medidas reactivas implantadas por ***EMPRESA.2 tras la brecha (páginas 3 y 5 del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/42 informe), entre estas medidas destacan las siguientes por su relevancia para evitar incidentes similares (su implantación previa hubiera evitado con gran probabilidad el impacto de la brecha): - (…). (…). (…). (…).” A continuación, se va a analizar cada una de dichas medidas reactivas. Posteriormente, se analizarán otras medidas introducidas por ***EMPRESA.2 tras la brecha de datos personales que hubieran evitado la brecha de datos o, al menos, habrían reducido su impacto: 1. (…). 1.1. Informe pericial de ***EMPRESA.1: El informe pericial de ***EMPRESA.1 ha revelado que (…). En el apartado 4 de dicho informe titulado “Recomendaciones” se formula la siguiente recomendación técnica relativa a (…): “4. RECOMENDACIONES (…): I. (…). (…) VI. (…). (…) (subrayado de la AEPD). En el apartado 5 de dicho informe titulado “(…)” se incluyen tanto medidas ya implementadas por ***EMPRESA.2 como medidas que tiene previsto implantar relativas a tokens programáticos de seguridad, indicando: “5. MEJORAS IMPLEMENTADAS O PLANIFICADAS: (…): ✓ (…). ✓ (…). (…) ✓ (…). (…) ✓ (…). (…) ✓ (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/42 (…) (…): • (…).” (subrayado de la AEPD). 1.2. Documento denominado “(...)” elaborado por ***EMPRESA.2, en contestación a un requerimiento de información del Inspector: El documento denominado “(...)”, elaborado por ***EMPRESA.2 en contestación a un requerimiento de información del Inspector, incluye la siguiente información: “(…).” (subrayado de la AEPD). Por tanto,    (…). (…). (…). En dicho documento, ***EMPRESA.2 aporta la siguiente información relativa a las medidas de mejora introducidas (…): “ii. (…): - (…). - (…). (…).” Por tanto, tras la brecha de datos personales ***EMPRESA.2 (…). (…): - (…) - (…). - (…). 1.3. Documento denominado “(…)” En dicho documento se señala: (…). (…): 1. (…). (…): (…) (…).” (subrayado de la AEPD). (…). 1.4. Informe de actuaciones previas de investigación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/42 El informe de actuaciones previas de investigación incluye numerosas referencias a los (…). Del conjunto de las mismas, se reproduce el análisis realizado por el Inspector del documento (…): “(…)”, (…): (…) “(…).” (…) “(…).” (subrayado del Inspector). En resumen, la brecha de datos personales fue posible como consecuencia de (…). (…). (…). 2. (…). 2.1. Informe pericial de ***EMPRESA.1: En el apartado 4 del informe pericial de ***EMPRESA.1 titulado “Recomendaciones” se formula la siguiente recomendación técnica: “4. (…) (…): (…) IX. (…): o (…) o (…) (subrayado de la AEPD). En el apartado 5 de dicho informe titulado “Mejoras implantadas o planificadas” se incluyen tanto medidas ya implementadas por ***EMPRESA.2 como medidas que tiene previsto implantar, indicando: “5. (…): (…): (…) (…): (…) • (…). (…)” (subrayado de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/42 2.2. Documento denominado “(...)” elaborado por ***EMPRESA.2 en contestación a un requerimiento de información del Inspector: El documento denominado “(...)”, elaborado por ***EMPRESA.2 en contestación a un requerimiento de información del Inspector, incluye la siguiente información: “II. (…). (…) 2.3. Documento denominado “(…)” En dicho documento se indica: “(…).” (…). En resumen, en el momento en el que se produjo la brecha de datos (…). (…). 3. (…). 3.1. Informe pericial de ***EMPRESA.1: En el apartado 5 de dicho informe pericial, titulado “Mejoras implantadas o planificadas”, se incluyen tanto medidas ya implementadas por ***EMPRESA.2 como medidas que tiene previsto implantar, indicando: “5. (…): (…): (…) ✓ (…). (…)” (subrayado de la AEPD). 3.2. Documento denominado “(...)” elaborado por ***EMPRESA.2 en contestación a un requerimiento de información del Inspector: El documento denominado “(...)”, elaborado por ***EMPRESA.2 en contestación a un requerimiento de información del Inspector, incluye la siguiente información: “iv. (…). (…)” (subrayado de la AEPD). 3.3. Documento denominado “(…) En dicho documento se (…). (…). (…). La medida adoptada es relevante dado que (…), en los que no solo figuraban datos personales identificativos o de contacto, sino también datos de salud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/42 4. (…). 4.1. Informe pericial de ***EMPRESA.1: En el apartado 4 de dicho informe titulado “Recomendaciones” se formula la siguiente recomendación técnica: “4. (…) (…): VI. (…).” (subrayado de la AEPD). En el apartado 5 de dicho informe pericial, titulado “Mejoras implantadas o planificadas”, se incluyen tanto medidas ya implementadas por ***EMPRESA.2 como medidas que tiene previsto implantar, indicando: “5. (…): (…): (…) ✓ (…). (…) (…): (…) • (…). (…) • (…).” (subrayado de la AEPD). 4.2. Documento denominado “(…)” Dicho documento señala lo siguiente: “6. (…). (…).” (subrayado de la AEPD). (…). (…). Por otra parten, en el documento elaborado por ***EMPRESA.2 analizado (titulado “(…) se contempla una nueva funcionalidad que resulta necesario destacar: “9. (…). (…) (subrayado de la AEPD). 4.3. Documento denominado “(...)” elaborado por ***EMPRESA.2 en contestación a un requerimiento de información del Inspector: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/42 El documento denominado “(...)”, elaborado por ***EMPRESA.2 en contestación a un requerimiento de información del Inspector, incluye la siguiente información: “III. (…). (…).” (subrayado de la AEPD). En una captura de pantalla se muestra que la eliminación de MFA está habilitada y se indica: “(…).” (…): (…). (…).   En este sentido, es importante recordar que la brecha de datos personales se produjo (…). (…). 5. (…): Durante la brecha de datos personales se produjo una exfiltración de datos personales (algunos de los cuales eran datos de salud, categoría especial de datos personales del artículo 9 del RGPD). Los atacantes consiguieron exportar archivos que contenían dichos datos de carácter personal. Con posterioridad a la brecha de datos personales, ***EMPRESA.2 ha implantado (…).   (…). (…). En el apartado 5 de dicho informe pericial, titulado “(…)”, se incluyen tanto medidas ya implementadas por ***EMPRESA.2 como medidas que tiene previsto implantar, indicando: “5. MEJORAS IMPLEMENTADAS O PLANIFICADAS: (…): (…) ✓ (…). (…) ✓ (…). (…) (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/42 (…) • (…). (…)” (subrayado de la AEPD). 5.2. Documento denominado “(…)” Dicho documento señala lo siguiente: “7. (…). (…).” (subrayado de la AEPD). (…). (…). (…). (…). (…). 6. Mejoras en la detección relacionadas con (…): El documento denominado “(...)”, elaborado por ***EMPRESA.2 en contestación a un requerimiento de información del Inspector, incluye la siguiente información: “(…): i. (…) (…)”. (subrayado de la AEPD). Como puede observarse, ***EMPRESA.2 está tratando (…). 7. (…). 7.1. Informe pericial de ***EMPRESA.1: En el apartado 5 de dicho informe pericial, titulado “(…)”, se incluyen tanto medidas ya implementadas por ***EMPRESA.2 como medidas que tiene previsto implantar, indicando: “5. MEJORAS IMPLEMENTADAS O PLANIFICADAS: (…): (…) ✓ (…). ✓ (…). (…)” (subrayado de la AEPD). 7.2. Documento denominado “(...)”: En dicho documento se señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/42 “(…): (…) (…) • (…). • (…). • (…).” (subrayado de la AEPD). 7.3. Documento denominado “(…)” En el último apartado de dicho documento, que se titula “(…)”, se indica: “• (…).” (subrayado de la AEPD). En resumen, en el momento de la brecha de datos personales, en ***EMPRESA.2 (…). El informe pericial de ***EMPRESA.1 refleja que el (…). Tras la brecha de datos personales, ***EMPRESA.2 ha decidido (…). A continuación, se incluye una tabla resumen en la que se reflejan las medidas por ***EMPRESA.2 en el momento de la brecha de datos personales y las implantadas por dicha empresa tras la brecha: (…) En conclusión, el hecho de que ***EMPRESA.2 (encargado del tratamiento) no tuviera implantadas las medidas que han sido examinadas, permitió que la brecha de datos personales se produjera y el mayor impacto de la misma. Las referidas medidas fueron introducidas por el encargado del tratamiento a posteriori (de forma reactiva), con el fin de evitar que volviera a producirse una brecha de datos personales similar. Aunque la brecha de datos personales se produjera en los sistemas de ***EMPRESA.2, encargado del tratamiento, y aunque dicho encargado no tuviera implantadas, en el momento en el que se produjo la brecha de datos personales las medidas que acaban de ser analizadas, que, con gran probabilidad, habrían impedido que dicha brecha se produjera o, al menos, habrían reducido su impacto, el responsable del tratamiento es el ISCIII, que es quien determina los fines y los medios del tratamiento. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a INSTITUTO DE SALUD CARLOS III, por vulneración del artículo 5.1
  8. f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
  9. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/42 administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." V Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “7.Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD, dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  12. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  13. b)Los órganos jurisdiccionales.
  14. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  15. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/42
  16. e)Las autoridades administrativas independientes.
  17. f)El Banco de España.
  18. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  19. h)Las fundaciones del sector público.
  20. i)Las Universidades Públicas.
  21. j)Los consorcios.
  22. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/42 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. De acuerdo con el art. 1 del Real Decreto 375/2001, de 6 de abril, por el que se aprueba el Estatuto del Instituto de Salud "Carlos III", el Instituto de Salud Carlos III es un organismo público de investigación con carácter de organismo autónomo (…). A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del Artículo 5.1.
  23. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. La sanción que corresponde imponer es la declaración de infracción. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que INSTITUTO DE SALUD CARLOS III, con NIF Q2827015E, ha infringido lo dispuesto en el artículo 5.1.
  24. f)del RGPD, infracción tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a INSTITUTO DE SALUD CARLOS III. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/42 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  25. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250625 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.