← España

PS-00515-2024

1/25  Expediente N.º: EXP202416691 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FUNDACIÓN SOCIEDAD CIENTÍFICA DE ONCOLOGÍA MÉDICA (en adelante, FSOM), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202416691 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La FUNDACIÓN SOCIEDAD CIENTÍFICA DE ONCOLOGÍA MÉDICA, con NIF G07324239 (en adelante, FSEOM) promovió la realización del ***PROYECTO.1, con el objetivo de (…). Los datos eran recogidos por el propio paciente en una aplicación móvil en la que se registraba mediante un código que le suministraba su oncólogo médico. (…) Para la realización de este proyecto, FSEOM contaba con la empresa ***EMPRESA.1 como proveedor y encargado del tratamiento de los datos personales recogidos en el marco del citado estudio. Con fecha 23 de junio de 2023, se notificó a esta Agencia una brecha de datos personales por la FUNDACIÓN SOCIEDAD CIENTÍFICA DE ONCOLOGÍA MÉDICA, con NIF G07324239. En esta notificación se informaba de lo siguiente: - El incidente ha sido Intencionado, para hacer daño al responsable / encargado o a las personas afectadas El origen del incidente ha sido: Externo: Otros, ajenos al responsable y encargado del tratamiento ¿Qué puede haber ocurrido?: Ciberincidente: (…) Como consecuencia del incidente, se ha visto afectada la: Confidencialidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/25 - - - - Referido específicamente a los datos afectados por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? No ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: Ser víctima de campañas de phishing / spamming, Pérdidas financieras, Pérdida de control sobre sus datos personales ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas? Las personas pueden encontrar inconvenientes importantes, produciendo un daño limitado, que podrán superar a pesar de algunas dificultades (costos adicionales, denegación de acceso a servicios comerciales, miedo, falta de comprensión, estrés, dolencias físicas menores, etc.) A fecha de esta notificación, ¿tiene constancia de que se hayan materializado alguno de los daños identificados, con el grado indicado en la cuestión anterior? No Como valora la probabilidad de que el daño anterior se materialice sobre las personas afectadas con la severidad indicada Alta Introduzca una breve descripción de lo ocurrido. El pasado miércoles, 14 de junio de 2023, a últimas horas de la tarde, ***EMPRESA.1 detectó un acceso no autorizado (…) que afecta directamente a datos personales de participantes en un estudio promovido por la Sociedad Española de Oncología Médica, del que ***EMPRESA.1 es la CRO y proveedor tecnológico y, además, encargado del tratamiento. Tipos de datos afectados: Datos de contacto, De salud (otros datos de salud) En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos personales? (…) Indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales 20/06/2023 ¿Conoce la fecha en la que se inició la brecha? Aproximadamente / Estimada Indique la fecha de inicio de la brecha 14/06/2023 Medidas de seguridad antes de la brecha: (…) ¿Ha adoptado tras el incidente nuevas medidas de seguridad que podrían haber evitado la brecha? Si Marque exclusivamente las nuevas medidas de seguridad y las que se hayan actualizado (…). Comunicación a los afectados por la brecha de datos personales ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? No, pero serán informados A más tardar, las personas afectadas serán informadas en la siguiente fecha: 21/07/2023 Medio por el que se informará Comunicación dirigida personalmente a cada afectado (postal, email, sms o similar), Comunicado público o publicación en web corporativa Encargado de tratamiento ¿Hay implicado un encargado de tratamiento en la brecha de datos personales? Si Nombre de la Organización ***EMPRESA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/25 El 21 de julio de 2023 la FSEOM presentó ante esta Agencia un escrito de ampliación de notificación de esta brecha, en el que la información inicialmente proporcionada se mantenía intacta, a excepción de: - - ¿Cuál es su intención? Modificar una notificación hecha con anterioridad para proporcionar información relevante ¿Qué puede haber ocurrido? Puede seleccionar varias opciones: Ser víctima de campañas de phishing / spamming, Pérdida de control sobre sus datos personales ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas? Las personas no se verán afectadas o pueden encontrar algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema (tiempo de reingreso de información, molestias, irritaciones, etc.) En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos personales? 2622 Indique la fecha en la que se dio por resuelta la brecha 20/07/2023 Comunicación a los afectados por la brecha de datos personales ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? Si Fecha en la que se informó: 20/07/2023 Número de personas informadas 2622 Medio por el que se ha informado Comunicación dirigida personalmente a cada afectado (postal, email, sms o similar) con garantía de entrega y lectura, Comunicado público o publicación en web corporativa SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 13 de julio de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. El 12 de febrero de 2024 se recibió un escrito de la FSEOM, en respuesta a requerimiento de esta Agencia, en el que se aporta, entre otra, la siguiente información: 1. Se aporta como Documento núm. 1: Informe pericial de la brecha, con fecha 5 de julio de 2023, realizado por la Asociación Nacional de Ciberseguridad y Pericia Tecnológica, este informe incorpora las siguientes afirmaciones realizadas por el perito informático: “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/25 “Recomendaciones técnicas que permitirían mejorar la plataforma del cliente: (…) “En el transcurso del trabajo y redacción de este dictamen pericial, ***EMPRESA.1 ha implementado distintas mejoras sobre sus procedimientos, que expongo a continuación: (…) “Además, he podido constatar la planificación de medidas técnicas de mejora que están en marcha o se iniciarán en breve: (…) El informe pericial concluye con el siguiente texto: (…) 2. Se aporta como Documento núm. 2: informe pericial realizado por empresa externa contratada por FSEOM a raíz de la brecha (***EMPRESA.2), de fecha 9 de febrero de 2024. De su contenido se destaca: - “Se notifica por parte de ***EMPRESA.1 a SEOM … mediante correo electrónico fechado el 16 de junio, viernes a las 17:44, el incidente que fue detectado el día 14 de junio afectando a un número indeterminado de clientes de ***EMPRESA.1, entre ellos SEOM, indicando que con la información disponible no se puede concluir que exista afectación a datos personales (…) El martes 20 de junio a las 17:44 se realiza una nueva comunicación por email desde ***EMPRESA.1 informando a SEOM de las medidas adoptadas en sus sistemas, así como del hecho de que no podían concluir aun fehacientemente que hubiese habido afectación a datos personales pero que era posible y lo confirmarían si hubiese sido así. Por la información que obra en poder de ***EMPRESA.2, la confirmación de la afectación de datos personales se produce el día 21 de junio, momento en el cual SEOM envía a ***EMPRESA.1 formulario de notificación para poder comunicar el incidente de forma adecuada a la AEPD, el formulario se recibe el día 22 de junio. Se concluye que en el caso de SEOM, la afectación a los datos personales implica a unos (…) participantes del estudio observacional del proyecto ***PROYECTO.1.” - “En todo este proceso ***EMPRESA.2 comenzó a dar apoyo a SEOM a partir del citado día 23 de junio finalizando el 19 de julio tras el análisis del informe pericial recibido por parte de ***EMPRESA.1. El objetivo perseguido por SEOM era contrastar la veracidad de la información aportada por ***EMPRESA.1 y ampliar lo máximo posible la información para poder evaluar acciones a realizar. (…) Tras la recepción del informe pericial realizado por ***EMPRESA.1 se trasladó el día 18 de julio, la valoración de ***EMPRESA.2 al respecto, concluyendo que la información aportada por dicho informe era correcta y las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/25 adoptadas igualmente adecuadas y evaluando que, en el momento de incidente: o (…) - “Hemos de indicar que tras segundo análisis de la información recibida entre el 23 de junio y el 19 de julio de 2023, incluido algún documento posterior, estimamos que aunque la información de los sistemas y aplicativos centrales de ***EMPRESA.1 es muy completa, así como las medidas implementadas también son satisfactorias, falta completar para SEOM información sobre (…) y que fue el vector origen del incidente, en concreto:  (…)” 3. Se afirma que “Los datos personales afectados por el ciberataque y que se encontraban almacenados en los servidores de ***EMPRESA.1 fueron los siguientes:  Correo electrónico del participante en el Estudio Observacional  Número de teléfono móvil  Datos relativos a la salud (…) consistentes en:  (…) Se aporta como Documento núm. 3: los cuatro cuestionarios de recogida de datos, en los que se solicita, entre otra, la siguiente información: “(…)” y preguntas relativas a la salud (…). 4. Se aporta como Documento núm. 4: registro de actividades de tratamiento de la FSEOM, con, entre otro, el siguiente contenido: - - “REFERENCIA: PROYECTO_***PROYECTO.1” “Encargados de tratamiento”: “***EMPRESA.1: CRO que gestiona el Estudio Observacional en su conjunto desde el punto de vista de la gestión del estudio observacional y desde el punto de vista tecnológico (APP móvil y arquitectura tecnológica)”. “¿Cómo se produce?”: “Recogida, almacenamiento, pseudonimización, extracción de datos pseudonimizados. Acceso a datos pseudonimizados”. “¿Ha firmado contrato?”: “Si”. 5. “En relación con la comunicación realizada a los afectados informando de la brecha sufrida: con fecha 20 de julio de 2023 se realizó el envío del aviso de incidencia “INCIDENCIAI INFORMÁTICA ESTUDIO ***PROYECTO.1” a través de la plataforma ***URL.1 a todos los participantes en el estudio “***PROYECTO.1” cuya extensión del texto es correspondiente a 4 SMS consecutivos con el siguiente tenor. “INCIDENCIA INFORMATICA ESTUDIO ***PROYECTO.1 Le informamos que se ha producido una incidencia informática en el almacenamiento de datos del estudio ***PROYECTO.1, en el que ha participado. La incidencia ya ha sido resuelta. Le recomendamos que haga caso omiso a cualquier comunicación vía móvil que no sea remitida por su hospital u oncólogo. Podrá acceder a la información completa sobre la incidencia y el alcance en relación con sus datos, a través del enlace seguro a nuestro servidor: ***URL.2”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/25 El enlace inserto en el SMS es la ruta a un archivo oculto y privado en el servidor de página web www.seom.org y que adjuntamos como DOCUMENTO NÚM.5” Se aporta como Documento núm. 5 un documento titulado “COMUNICADO FSEOM ESTUDIO ***PROYECTO.1” con, entre otro, el siguiente contenido: “Desde la FUNDACION SOCIEDAD ESPAÑOLA DE ONCOLOGÍA MÉDICA (FSEOM) informamos de que le paso 14 de junio de 2023, el proveedor del estudio ***PROYECTO.1, sufrió un ataque informático que ha afectado (…), lo que ha supuesto una brecha de confidencialidad de algunos datos personales de los participantes. Como la privacidad es muy importante para nosotros, hemos tomado todas las medidas a nuestro alcance para solucionar el incidente y minimizar los daños que pudieran causarse; (…). Debido a ello, podría producirse cierta pérdida de control sobre los datos personales de los participantes, así como la recepción de comunicaciones no deseadas (…). (…)” En su escrito de 12 de febrero de 2024, la FSEOM afirmó que: “El aviso fue entregado correctamente al 84.4% ((…) usuarios) de los destinatarios y por el contrario no puedo entregarse al 15.6% ((…) usuarios). Se adjuntan informe de entrega y de envío por usuarios como DOCUMENTOS NÚM. 6. También se aporta copia de la notificación y del procedimiento de remisión como DOCUMENTOS NÚM. 7.” Se aporta como Documento núm. 6 capturas de pantalla con el siguiente contenido: “Comunicado julio23 Detalles Fecha: 20/07/2023 13:10 Usuario: fseom Destinatarios: (…) SMS/Destinatarios: 4 Total SMS: 10460 Coste: (…) €” “Mensajes Desconocidos: 0 Entregados: (…) No entregados: (…)” El texto del mensaje enviado es el mismo que se reprodujo anteriormente. Se aporta como Documento núm. 7 una planilla con los siguientes campos en la fila superior: “Número”, “Referencia”, “Nombre”, “Apellidos”, “Entrega” (columna completada con los valores “Entregado”/”No entregado”), “SMS enviado”, “SMS entregado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/25 También se adjunta una planilla con los siguientes campos en su fila superior: “Visita” (columna completada con los valores “no” en todas sus filas), “Clicks”, “Ubicación”, “Dispositivo”, “Modelo”, “Email”, “Fecha de naci”. Asimismo, se acompaña una planilla con los siguientes campos en su fila superior: “Usuario”, “Id SMS”, “IdCampaña”, “Referencia uso”, “Fecha de enví”, “Informe de en”, “Fecha Informe”, “Remitente”, “Destinatario”, “País”, “Routing”, “#SMS”, “Mensaje”, “Operadora”, “CompatibleR”, “En lista negra”, “Descripción e”, “Tipo de error”, “Nombre campaña”. 6. Se aporta como Documento Núm. 8 un certificado firmado el 7 de febrero de 2024 por el secretario de FSEOM, en el que certifica: “Que, tras la comunicación a los afectados de la brecha de seguridad de datos personales ocurrida el día 14 de junio del 2023, no hemos recibido ninguna reclamación o comunicación al respecto por parte de ninguno de ellos.” 7. Se aporta como Documento Núm. 9 captura de pantalla de un correo electrónico enviado el 20 de junio de 2023 desde ***EMPRESA.1 a FSEOM con, entre otro, el siguiente contenido (sic): “Conforme a la conversación mantenida ayer, nos gustaría servirnos de este email para compartir con vosotros información más detallada acerca del incidente de seguridad sufrido por ***EMPRESA.1 mediante un hackeo de un sistema secundario de almacenamiento. (…) Tras días de análisis, tanto por nuestro equipo interno, como por asesores externos y un peritaje tecnológico, vamos conociendo más información acerca de lo ocurrido y, en este momento, no podemos definitivamente confirmar que, en vuestro caso, se hayan visto afectados datos personales relativos a la salud de los pacientes. (…)”. También se aporta captura de pantalla de un correo electrónico enviado el 16 de junio de 2023 desde ***EMPRESA.1 a FSEOM con, entre otro, el siguiente contenido: “Estimado Cliente, Nos ponemos en contacto con Usted para comunicarle, de manera fehaciente, que desde ***EMPRESA.1 se ha detectado un acceso no autorizado a un sistema secundario de almacenamiento que afecta directamente a los datos personales alojados en una base de datos de la cual Usted es Responsable o Encargado del Tratamiento. (…) (

  1. i)(
  2. ii)(iii) (
  3. iv)(
  4. v)Fecha en la que se ha detectado la brecha de seguridad: En la tarde del Miércoles 14 de junio de 2023 Naturaleza de la violación: Acceso no consentido a (…). Proyectos afectados: ***PROYECTO.1 Número potencial de datos afectados: (…) Categorías de datos afectados:  (…)” 8. En su escrito de 12 de febrero de 2024 FSEOM indicó: “Se adjunta como DOCUMENTO NÚM. 10” el Contrato de Prestación del Servicio y el Contrato de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/25 Encargado de Tratamiento suscrito entre FSEOM y ***EMPRESA.1. Adicionalmente, ***EMPRESA.1 relleno un check list que certificaba si era un proveedor compliance in privacy, documento que también se adjunta a este bloque documental” (sic). Se aporta como Documento núm. 10 copia de contrato de fecha 20 de abril de 2021 entre ***EMPRESA.1 (como proveedor) y FSEOM (como cliente), para la realización del proyecto “***PROYECTO.1”. También se aporta copia de contrato entre FSEOM y ***EMPRESA.1, con el objeto de “definir las condiciones conforme a las cuales el ENCARGADO DEL TRATAMIENTO llevará a cabo el tratamiento de datos personales para la prestación del servicio contratado por FSEOM, de conformidad con lo dispuesto en la legislación española de protección de datos y en el artículo 28 del RGPD y concordantes”. En el punto 3 del contrato se establece: “El encargado deberá adoptar las medidas que a tenor del análisis de riesgos realizado por FSEOM, se le hayan comunicado y resulten necesarias para garantizar un nivel adecuado de seguridad, tales medidas se facilitan en el anexo II de este contrato”. Del Anexo II destacan las siguientes medidas (entre otras): “(…)”. El contrato también incorpora un apéndice (Apéndice 3) con información adicional sobre las Medidas de Seguridad de ***EMPRESA.1, destacando las siguientes como relevantes: “(…)” 9. Se aporta como Documento núm. 11 documento de “Informe de riesgos para los derechos y libertades y EIPD” de fecha 25 de junio de 2021 con, entre otro, el siguiente contenido: - “ACTIVOS DE SOPORTE UTILIZADOS Los activos de soporte que se precisa para la realización de las operaciones de tratamiento prevista son:  (…) - “El flujo de datos será el siguiente: (…) - “Las operaciones de tratamiento que se pretenden abordar por parte de la entidad suponen un alto riesgo ara los derechos y libertades de los interesados derivados de:  Tratamiento de datos especialmente sensibles, relacionados con la salud del participante del Estudio Observacional (artículo 9 del RGPD)” (sic) - “Para el tratamiento de los datos personales cuyo riesgo es la revelación de categorías especiales de datos que producen efectos jurídicos sobre las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/25 - personas tales como: discriminación, pérdida de control por el responsable o pérdida de control del secreto profesional, se han propuesto los siguientes controles:  (…)  (…) En relación con la revelación de datos de especial categoría, el nivel de riesgo residual es medio.” En cuanto al responsable de la implementación de tales medidas, el documento señala a “***PUESTO.1 e ***EMPRESA.1”. 10. Se aporta como Documento núm. 12 un documento de ***EMPRESA.1 con el título “NUEVAS MEDIDAS TÉCNICAS Y ORGANIZATIVAS ADOPTADAS POR ***EMPRESA.1 PARA EVITAR, EN LO POSIBLE, INCIDENTES DE SEGURIDAD COMO EL SUCEDIDO”. De su análisis se extraen, entre otras, las siguientes afirmaciones (el subrayado es nuestro): - “(…) 11. Se aporta como Documento núm. 13 un documento de ***EMPRESA.1 con el título “MEDIDAS DE SEGURIDAD PARA REDUCIR RIESGO A ATAQUE SIMILAR” con las medidas que se llevaron a cabo para reducir el riesgo de un ataque de similares características. De su análisis se extraen, entre otras, las siguientes afirmaciones: (…) 12. Se aporta como Documento núm. 14 un documento de FSEOM con el título “Procedimiento de respuesta a brechas de seguridad”, en el que, entre otra información, se indica: “Este procedimiento establece los siguientes aspectos:  Roles y responsabilidades del personal.  Detalles de los contactos adecuados.  Canal de comunicación adecuado.  Pasos que seguir.” También se aporta un documento de ***EMPRESA.1 con el título “Notificación y comunicación de incidentes” (original en inglés). 13. Se aporta como Documento núm. 15 una factura de ***EMPRESA.2 a FSEOM, de fecha 26 de junio de 2023, con la siguiente referencia “***REFERENCIA.1”. También se aportan tres facturas de ***EMPRESA.5 a FSEOM, de fecha 13 de septiembre de 2023, en concepto de: “(…) 14. Se aporta como Documento núm. 16 copia de denuncia presentada ante la Policía Nacional el 17 de junio de 2023 por el representante de ***EMPRESA.1, quien denunció que: “--…ha habido un acceso no autorizado (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/25 -- Se localiza en el servidor un archivo virtual txt cuyo contenido es el siguiente: “Contact ***EMAIL.1 or ***EMAIL.2 ASAP to recovery. Your files are safe”. También se aporta copia de denuncia presentada ante la Policía Nacional el 12 de julio de 2023 por el representante de FSEOM, quien denunció que: “—Que el día 19 de junio del presente año, se informa a la Fundación de que los servidores contratados por ***EMPRESA.1 han sufrido un ciberataque resultando sustraídos los datos de los pacientes que participaron en el estudio anteriormente señalado”. 15. Indica FSEOM que “Se adjunta como DOCUMENTO NÚM. 17, copia de la formación realizada en FSEOM en materia de incidentes de seguridad, y copia del argumentario preparado para atender a aquellos afectados de la brecha de seguridad para el caso de que contactasen con FSEOM (DOCUMENTO NÚM. 18). Se aporta como Documento Núm. 17 un documento de “***REFERENCIA.2” con el título “Planificación e implantación de procesos para detectar, contener y mitigar una Violación de Seguridad”. Se aporta como Documento Núm. 18 un documento de “***REFERENCIA.3” con el título “Argumentario (Q&A)”, en el que se indica: “(…) ¿Qué ocurre si utilizan fraudulentamente mis datos? ¿Qué riesgos corro? Son varios los usos fraudulentos de los datos obtenidos por procedimiento delictivo. Lo común es la venta a empresas comercializadoras, así como intentos de acceso a los dispositivos personales. En el caso de venta de datos a empresas comercializadoras, el efecto será la recepción de publicidad no deseada por diferentes vías, (…). Los mayores riesgos están en relación con intentos de acceso a los dispositivos y a la información contenida en ellos (datos personales, cuentas bancarias, etc.), así como la suplantación de identidad (…)”. 16. En su documento de 12 de febrero de 2024, FSEOM indica: “6.4.- En relación con la aclaración referida a que la brecha se hubiera podido evitar adoptando alguna medida adicional, nos referimos a que si ***EMPRESA.1 hubiera dado cumplimiento a la medida (…) acordada en contrato, se hubiera podido evitar el impacto a los afectados.” (sic) Por su parte, en el marco de las actuaciones previas de investigación, esta Agencia ha realizado una serie de comprobaciones en Internet: - El 11 de septiembre de 2024 esta Agencia comprobó que, en relación con la medida reactiva implantada de sustitución de tokens por roles, en la propia web de ***APP.1 con título “Mejores Prácticas de Seguridad Recomendadas Por ***APP.1”, se incorporaba el siguiente texto extraído de la documentación oficial de ***APP.1, en el que se recomendaba no utilizar las claves de acceso de forma directa en la aplicación que necesita acceder a recursos de ***EMPRESA.3 (tokens programáticos), utilizando en su lugar los ROLES como buena práctica de seguridad (***URL.3): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/25 “Uso de roles de ***APP.3 para Aplicaciones y Servicios de ***APP.1 que requieren acceso a ***EMPRESA.3: Para que las aplicaciones que se ejecutan en ***EMPRESA.4 u otros Servicios de ***APP.1 accedan a recursos de ***EMPRESA.3, deben incluir credenciales de ***APP.1 válidas en sus solicitudes a la API de ***APP.1. Recomendamos no almacenar las credenciales de ***APP.1 de forma directa en la aplicación ni en una instancia de ***EMPRESA.4. Estas son las credenciales a largo plazo que no rotan automáticamente y que podrían tener un impacto empresarial significativo si se comprometen. En su lugar, utilice un ROL de ***APP.3 para administrar temporalmente las credenciales para las aplicaciones o los servicios que necesiten acceder a ***EMPRESA.3. Cuando utiliza un ROL, no tiene que distribuir credenciales a largo plazo (como un nombre de usuario y una contraseña o claves de acceso) a una instancia de ***EMPRESA.4 o un servicio de Servicio de ***APP.1 como ***APP.2. El ROL proporciona permisos temporales que las aplicaciones pueden utilizar cuando hacen llamadas a otros recursos de ***APP.1.” - El 19 de septiembre de 2024 esta Agencia comprobó que, con respecto a los procesos establecidos en la norma ISO 27001, en el Anexo A.10 de esta norma, que establece los controles criptográficos para proteger la información, requisitos de cifrado de los datos especialmente protegidos, se indica: “Los controles criptográficos del Anexo A.10 se basan en el principio del mínimo privilegio y exigen que sólo las personas autorizadas tengan acceso a las claves criptográficas y que estas claves estén debidamente protegidas.” - El 20 de septiembre de 2024 esta Agencia comprobó que, en la documentación oficial de ***APP.1, en relación con la “Administración de Identidades” y “Las mejoras prácticas para almacenar y usar secretos de forma segura” en el enlace ***URL.4 podía verse el siguiente contenido, entre otro (el subrayado es nuestro): “Un antipatrón común es incrustar claves de acceso de ***APP.3 dentro del código fuente, los archivos de configuración o las aplicaciones móviles. Cuando se requiera una clave de acceso de ***APP.3 para comunicarse con un servicio de ***APP.1, utilice credenciales de seguridad temporales (a corto plazo). Estas credenciales a corto plazo pueden proporcionarse a través de roles de ***APP.3 para instancias de (...), roles de ejecución para funciones ***APP.4, roles de ***APP.3 de ***EMPRESA.6 para el acceso de usuarios móviles y políticas de ***APP.5 para dispositivos IoT. Cuando interactúe con terceros, es preferible que delegue el acceso a un rol de ***APP.3 con el acceso necesario a los recursos de su cuenta en lugar de configurar un usuario de ***APP.3 y enviar a ese tercero la clave de acceso secreta para ese usuario.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/25 - El 24 de septiembre de 2024 esta Agencia comprobó que en la documentación oficial de ***APP.1, en relación con la información sobre buenas prácticas en seguridad y recomendaciones para la implementación del Esquema Nacional Nivel MEDIO a través de la configuración de ***APP.1, en la página web ***URL.5 podía verse, entre otro, el siguiente contenido (La información no estaba actualizada con la última versión del ENS (RD 311/2022): Medida relacionada del RD 3/2010 (Anexo II 4.2.5. Mecanismo de Autenticación, página 27): “El acceso a los sistemas y activos se puede controlar comprobando que el usuario raíz no tenga claves de acceso adjuntas a su función de ***APP.3. Asegúrese de eliminar las claves de acceso raíz. En su lugar, cree y utilice el sistema basado en roles Cuentas de ***APP.1 para ayudar a incorporar el principio de funcionalidad mínima”. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR el 15 de diciembre de 2024, la entidad FSEOM es una asociación con un volumen de ventas de (…) euros. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/25 consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  5. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que FSEOM realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: correo electrónico, número de teléfono móvil y datos relativos a la salud. FUNDACION SEOM realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Integridad y confidencialidad La letra
  6. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." Pérdida de confidencialidad de los datos personales El 23 de junio de 2023, FSEOM, en su calidad de responsable del tratamiento, notificó a esta Agencia una brecha de datos personales en la que informaba que “***EMPRESA.1 detectó un acceso no autorizado (…) que afecta directamente a datos personales de participantes en un estudio promovido por la Sociedad Española de Oncología Médica, del que ***EMPRESA.1 es la CRO y proveedor tecnológico y, además, encargado del tratamiento”. En su escrito de 12 de febrero de 2024, FSEOM aporta como Documento núm. 10 la copia de contrato de fecha 20 de abril de 2021 entre ***EMPRESA.1 (como proveedor) y FSEOM (como cliente), para la realización del proyecto “***PROYECTO.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/25 Por todo lo expuesto, esta Agencia entiende que se habría producido una pérdida de confidencialidad de los datos personales vinculados proyecto “***PROYECTO.1 promovido por FSEOM. Datos personales afectados El 21 de julio de 2023 la FSEOM presentó ante esta Agencia un escrito de ampliación de notificación de esta brecha, en el que indicaba que se habían visto afectados por este incidente los datos de contacto y de salud de (…) personas. En su escrito de 12 de febrero de 2024 FSEOM indicó que “Los datos personales afectados por el ciberataque y que se encontraban almacenados en los servidores de ***EMPRESA.1 fueron los siguientes:  Correo electrónico del participante en el Estudio Observacional  Número de teléfono móvil  Datos relativos a la salud (…) consistentes en:  (…) En el Documento núm 3 de tal escrito puede verse que se solicitaba a los interesados los siguientes datos personales: “(…)” y preguntas relativas a la salud (…). Por todo lo expuesto, esta Agencia entiende que se habrían visto afectados por la brecha objeto del presente procedimiento los siguientes datos personales de (…) personas físicas: (…) y preguntas relativas a la salud. Cronología de los hechos y medidas técnicas u organizativas El 20 de abril de 2021 según se desprende del Documento núm. 10 anexo al escrito de FSEOM de 12 de febrero de 2024, FSEOM y ***EMPRESA.1 firmaron un contrato de encargado de tratamiento, en cuyo Anexo II se obligaba a ***EMPRESA.1 a “(…)”. También este contrato incorporaba un Apéndice 3 con información adicional sobre las Medidas de Seguridad de ***EMPRESA.1, entre las que se contaba: (…). El 23 de junio de 2023, FSEOM, en su calidad de responsable del tratamiento, notificó a esta Agencia una brecha de datos personales en la que informaba que ***EMPRESA.1 (encargado del tratamiento) detectó un acceso no autorizado a los datos personales de participantes en el estudio del proyecto “***PROYECTO.1”. El 5 de julio de 2023 la Asociación Nacional de Ciberseguridad y Pericia Tecnológica realizó un informe del incidente en el que indicaba que el 14 de junio de 2023 ***EMPRESA.1 detectó (…). El informe explicaba que (…). En cuanto a la cronología de los hechos, (…). El ataque se produjo por (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/25 El citado informe pericial enumera una serie de recomendaciones técnicas para mejorar la plataforma de ***EMPRESA.1, entre las que destacan: (…). También en el informe se detallan mejoras implementadas por ***EMPRESA.1, respecto a (…). El 9 de febrero de 2024 la empresa ***EMPRESA.2 realizó un segundo informe pericial de la brecha en cuestión, en el que se indicaba que en el momento del incidente (…). ***EMPRESA.1 habría implantado “NUEVAS MEDIDAS TÉCNICAS Y ORGANIZATIVAS ADOPTADAS POR ***EMPRESA.1 PARA EVITAR, EN LO POSIBLE, INCIDENTES DE SEGURIDAD COMO EL SUCEDIDO”, tales como: (…), También ***EMPRESA.1 habría adoptado “MEDIDAS DE SEGURIDAD PARA REDUCIR RIESGO A ATAQUE SIMILAR” como: (…) Por su parte, el 11 de septiembre de 2024 esta Agencia comprobó que, en relación con la medida reactiva implantada de sustitución de tokens por roles, en la propia web de ***APP.1 con título “Mejores Prácticas de Seguridad Recomendadas Por ***APP.1”, se incorpora el siguiente texto extraído de la documentación oficial de ***APP.1, en el que se (…). El 19 de septiembre de 2024 esta Agencia comprobó que, con respecto a los procesos establecidos en la norma ISO 27001, en el Anexo A.10 de esta norma, que establece los controles criptográficos para proteger la información, requisitos de cifrado de los datos especialmente protegidos, se indica: “Los controles criptográficos del Anexo A.10 se basan en el principio del mínimo privilegio y exigen que sólo las personas autorizadas tengan acceso a las claves criptográficas y que estas claves estén debidamente protegidas.” El 20 de septiembre de 2024 esta Agencia comprobó que en la documentación oficial de ***APP.1, en relación con la “Administración de Identidades” y “Las mejoras prácticas para almacenar y usar secretos de forma segura” en el enlace ***URL.4 puede verse el siguiente contenido, entre otro (el subrayado es nuestro): “Un antipatrón común es incrustar claves de acceso de ***APP.3 dentro del código fuente, los archivos de configuración o las aplicaciones móviles. Cuando se requiera una clave de acceso de ***APP.3 para comunicarse con un servicio de ***APP.1, utilice credenciales de seguridad temporales (a corto plazo). Estas credenciales a corto plazo pueden proporcionarse a través de roles de ***APP.3 para instancias de (...), roles de ejecución para funciones ***APP.4, roles de ***APP.3 de ***EMPRESA.6 para el acceso de usuarios móviles y políticas de ***APP.5 para dispositivos IoT. Cuando interactúe con terceros, es preferible que delegue el acceso a un rol de ***APP.3 con el acceso necesario a los recursos de su cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/25 en lugar de configurar un usuario de ***APP.3 y enviar a ese tercero la clave de acceso secreta para ese usuario.” El 24 de septiembre de 2024 esta Agencia comprobó que en la documentación oficial de ***APP.1, en relación con la información sobre buenas prácticas en seguridad y recomendaciones para la implementación del Esquema Nacional Nivel MEDIO a través de la configuración de ***APP.1, en la página web ***URL.5 puede verse, entre otro, el siguiente contenido (La información no está actualizada con la última versión del ENS (RD 311/2022): Medida relacionada del RD 3/2010 (Anexo II 4.2.5. Mecanismo de Autenticación, página 27): “El acceso a los sistemas y activos se puede controlar comprobando que el usuario raíz no tenga claves de acceso adjuntas a su función de ***APP.3. Asegúrese de eliminar las claves de acceso raíz. En su lugar, cree y utilice el sistema basado en roles Cuentas de ***APP.1 para ayudar a incorporar el principio de funcionalidad mínima”. En conclusión, el hecho de que ***EMPRESA.1 (encargado del tratamiento) no tuviera implantadas las medidas que han sido examinadas, facilitó que la brecha de datos personales se produjera y el mayor impacto de la misma. Las referidas medidas fueron introducidas por el encargado el tratamiento a posteriori (de forma reactiva), con el fin de evitar que volviera a producirse una brecha de datos personales similar. En virtud del artículo 4.8 del RGPD el encargado del tratamiento es quien “trate datos personales por cuenta del responsable del tratamiento”. Aunque la brecha de datos personales se produjera en los sistemas de ***EMPRESA.1, encargado del tratamiento, y aunque dicho encargado no tuviera implantadas, en el momento en el que se produjo la brecha de datos personales las medidas que acaban de ser analizadas, que, con gran probabilidad, habrían impedido que dicha brecha se produjera o, al menos, habrían reducido su impacto, el responsable del tratamiento es FSEOM. Por todo lo expuesto, esta Agencia entiende que FSEOM, como responsable del tratamiento, no tenía implantadas las medidas técnicas u organizativas apropiadas para evitar un incidente como el que se produjo. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a FSEOM, por vulneración del artículo 5.1.
  8. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
  9. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/25 una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  12. a)a
  13. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  14. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  15. b)la intencionalidad o negligencia en la infracción;
  16. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  17. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  18. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/25
  19. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  20. g)las categorías de los datos de carácter personal afectados por la infracción;
  21. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  22. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas prev***APP.3ente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  23. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  24. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  25. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  26. a)El carácter continuado de la infracción.
  27. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  29. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  30. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  31. f)La afectación a los derechos de los menores.
  32. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  33. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de ventas de FSEOM ((…) euros). A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/25 acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): por el acceso indebido a los datos personales de (…) personas físicas: (…), debido a no contar con las medidas técnicas u organizativas apropiadas para evitar un incidente como el que dio origen al presente procedimiento. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): Entre los datos afectados por la brecha, había datos de salud de los pacientes participantes en el Proyecto “***PROYECTO.1”. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): FSEOM se trata de una organización dedicada a recabar datos de salud sobre una patología determinada, por lo que está habituada al tratamiento de datos personales El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  34. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 70.000,00 euros. VII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
  35. f)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  36. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/25 En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a FUNDACION SEOM para que, en el plazo de TRES MESES, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, no solo para cumplir con la normativa, sino para demostrar su cumplimiento antes las autoridades de control e interesados. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FUNDACIÓN SOCIEDAD CIENTÍFICA DE ONCOLOGÍA MÉDICA, con NIF G07324239, por la presunta infracción del Artículo 5.1.
  37. f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/25 TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la violación de la seguridad de los datos personales, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 70.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a FUNDACIÓN SOCIEDAD CIENTÍFICA DE ONCOLOGÍA MÉDICA, con NIF G07324239, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 42.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (56.000,00 euros o 42.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/25 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-111224 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 15 de enero de 2025, FSOM ha procedido al pago de la sanción en la cuantía de 42.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: FSOM ha renunciado expresamente a cualquier acción o recurso en vía administrativa contra la sanción. CUARTO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  39. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/25 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentar***APP.3ente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 42.000,00 euros y su pago implicaría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/25 la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, FSOM ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas y renunciando expresamente a cualquier acción o recurso en vía administrativa. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 70.000,00 euros. Tras haber procedido FUNDACIÓN SOCIEDAD CIENTÍFICA DE ONCOLOGÍA MÉDICA al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 42.000,00 euros. SEGUNDO: DECLARAR la terminación del procedimiento EXP202416691, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a FUNDACIÓN SOCIEDAD CIENTÍFICA DE ONCOLOGÍA MÉDICA para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución CIENTÍFICA DE ONCOLOGÍA MÉDICA. a FUNDACIÓN SOCIEDAD QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, por parte de la presente autoridad se acepta la renuncia expresamente manifestada por FUNDACIÓN SOCIEDAD CIENTÍFICA DE ONCOLOGÍA MÉDICA, no cabiendo en consecuencia la interposición de recurso potestativo de reposición frente a la presente resolución, todo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/25 ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contenciosoadministrativa. En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP, dado que no cabe ningún recurso en vía administrativa al haber renunciado expresamente, la presente resolución será firme y plenamente ejecutiva a partir de su notificación. No obstante, conforme a lo previsto en el artículo 90.3.
  40. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. 1259-180225 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.