PS-00552-2023

1/173  Expediente N.º: EXP202305790 Procedimiento Sancionador N.º PS/00552/2023. - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19/04/2023 se notifica a la División de Innovación Tecnológica de esta Agencia una brecha de seguridad de datos personales por parte del responsable del tratamiento CECOTEC INNOVACIONES, S.L.U, con NIF B97937890 (en adelante, la empresa), relativa a la exfiltración y puesta en venta en internet de una base de datos con datos personales de clientes y empleados con más de 1 millón de registros, advertida el 5/04/23 por el Instituto de Ciberseguridad Español (INCIBE). En dicha notificación de brecha se ponen de manifiesto los siguientes datos principales: - Resumen del incidente: La empresa recibe notificación del INCIBE el 5/04/23 en la que se informa que un actor malicioso ha publicado un post en un foro de la dark web en el que indica estar en posesión de una base de datos de una empresa española con aproximadamente 1 millón de registros, cuyo nombre no se menciona, si bien de diversos datos aportados parece deducirse que podría tratarse de su empresa, por lo que el INCIBE le advierte de tal publicación, requiriéndole para que compruebe la veracidad del ciberataque a su base de datos, aportándole 17 registros de datos publicados como muestra por el actor malicioso. La empresa no se percata de la notificación enviada hasta que no recibe una segunda notificación del INCIBE del 12/04/23, comunicando el incidente a su Delegada de Protección de Datos e iniciando una investigación de lo sucedido el 14/04/23, que no finaliza hasta el 17/4/23, fecha en la que ésta le informa a INCIBE de que no da crédito a que el ataque sea viable y, en su caso, veraz, habiendo detectado únicamente 6 registros reales de entre los 17 remitidos que pertenecen a una base de datos de su empresa que fue cerrada en 2021, a la que sólo tienen acceso los empleados. Igualmente, se indica que desde la empresa se han tomado medidas de seguridad respecto con la base de datos, reforzando los límites de acceso y uso de la misma. - Se manifiesta que la brecha afecta a la siguiente tipología de datos: “Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de contacto”). - El responsable manifiesta que los datos personales identificados se encuentran ubicados en una plataforma de datos que se cerró en el año 2021, pero a la que pueden acceder empleados para consultar asuntos relacionados con clientes y pedidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/173 - Afectados: 6 interesados. Los datos no estaban cifrados. - Se califica de brecha de confidencialidad y gravedad baja. - Se ha producido el incidente por algún fallo, deficiencia o incumplimiento de medidas de seguridad implementadas: Desconocido - No se ha denunciado ante autoridades. - Se han adoptado nuevas medidas tras la brecha, que no se detallan. - Los afectados no serán comunicados. - Considera que ha tomado todas las acciones posibles y da por resuelta la brecha. SEGUNDO: Con fecha de 3 de mayo de 2023 se ordena por la Directora de la Agencia a la Subdirección General de Inspección de Datos que realice las oportunas investigaciones previas con el fin de determinar tanto la concurrencia y alcance de la brecha de confidencialidad notificada, como la posible responsabilidad de la empresa CECOTEC por un posible incumplimiento de sus obligaciones como responsable de la protección de los datos personales contenidos en dicha plataforma, toda vez que: - Existen dudas sobre la veracidad del ciberataque que niega la reclamada, así como de la concurrencia de una brecha de confidencialidad, y su gravedad o número de afectados, al manifestar el responsable que no da credibilidad alguna al anuncio del ciberdelincuente, a pesar de reconocer que se han identificado 6 datos reales de los 17 registros publicados en la muestra, que se corresponden a datos que se encuentran en una plataforma del responsable. Asimismo, es preciso concretar el tipo de datos personales afectados, puesto que únicamente se indica que la brecha afectó: “a datos personales básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de contacto.” Y cuáles de ellos son de prueba o reales. - Existen dudas sobre el incumplimiento del deber de notificar la brecha a los afectados de la misma, puesto que responsable manifiesta que la brecha afecta a la confidencialidad de los datos y que los datos no estaban cifrados, anonimizados o protegidos de otra forma para que los interesados no puedan ser identificados. Pero, sin embargo, no les ha comunicado la posible brecha ni siquiera a estos 6 casos reales detectados. - Existen dudas sobre las medidas de seguridad previas al incidente al manifestar el responsable que una plataforma cerrada en 2021 continúa en uso, y que precisamente tiene más de un millón de registros de datos, entre los que hay datos personales de clientes y empleados. Al tratarse de una plataforma catalogada por el propio responsable como “cerrada”, existen dudas de que se apliquen actualizaciones de seguridad a la plataforma, y que la misma disponga de las medidas de seguridad adecuadas para proteger la trazabilidad, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/173 disponibilidad, confidencialidad. - Existen dudas sobre la adopción de las medidas de seguridad previas al incidente en el caso de que se esté utilizando una nueva plataforma desde 2021, a la que se hayan migrado dichos datos, puesto que esta migración requiere de medidas adicionales de protección de los datos personales que es preciso comprobar. - Existen dudas sobre las medidas de seguridad previas al incidente al manifestar el responsable que en una misma base de datos en una plataforma cerrada podrían almacenarse datos de prueba con datos reales todavía en uso. - Por todo lo anterior, existen también dudas sobre el cumplimiento de la obligación del responsable de tratar los datos de tal manera que se garantice su confidencialidad. TERCERO: Abiertas las actuaciones de investigación con el número AI/00150/2023, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, y en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, formuló diferentes requerimientos de información y diligencias de comprobación a las que se hará referencia seguidamente. CUARTO: Con fecha de 4/08/2023 se remite por la inspección de la AEPD un primer requerimiento de información a la empresa -notificado el 8/8/23 a la misma-, al objeto de que informase a esta Agencia de los datos y documentos que se solicitan, y de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 30/08/2023 se recibe en esta Agencia primer escrito de respuesta al requerimiento, indicando lo siguiente: 1. En relación con las actividades de tratamiento afectadas por la brecha y el Registro de Actividades de Tratamiento (RAT): Se afirma que la plataforma afectada por el incidente era la antigua tienda en línea de la empresa, basada en el software ***SOFTWARE.1, y que había sido migrada a una nueva plataforma que daba continuidad a la anterior. Las actividades afectadas por la brecha son: C/ Jorge Juan, 6 28001 – Madrid o Actividad “Gestión de clientes” con los siguientes datos incorporados en el RAT:  Finalidad: gestionar los pedidos a través de la web. Atender dudas y quejas de clientes. Gestionar devoluciones y cancelaciones de pedidos. Enviar comunicaciones comerciales a los clientes. www.aepd.es sedeagpd.gob.es 4/173       Fecha inicio actividad: año 2013. Datos afectados: Nombre y apellidos, NIF, email, teléfono y domicilio. Transferencias: los datos pueden ser transferidos haciendo uso de Cláusulas Contractuales Tipo aprobadas por la CE. Plazo de conservación: están marcados por la prescripción de acciones legales de la Ley de Defensa de Consumidores. Medidas de seguridad: (…). Base jurídica: contrato, cumplimiento obligación legal (Ley Consumidores), interés legítimo. Otras actividades afectadas y de las que también consta información en el RAT:  Envío de Newsletter: con fecha de inicio de la actividad 2015.  Cuentas de usuarios web: con fecha de inicio de la actividad 2013.  Gestión de RRHH (afirman la existencia de un empleado afectado que aparecía en la muestra publicada por el atacante): fecha de inicio de la actividad 2014. o 2. En relación con la plataforma afectada se afirma: “La plataforma se erigía como una tienda en línea diseñada a través del software ***SOFTWARE.1, dedicada a la creación y gestión de tiendas virtuales para el comercio electrónico”. Esta plataforma se alojaba en la infraestructura de ***PLATAFORMA.1 y estaba configurada para que no tuviera exposición directa a través de internet, de forma que se “garantiza que todos los datos personales se mantengan resguardados y solo fueran accesibles para los componentes internos de la plataforma.”. Afirman que “La plataforma fue sustituida por una nueva tienda en línea desarrollada internamente que adoptó tecnologías de desarrollo web de código abierto más modernas (…) Esta transición se completó a principios de 2021. A pesar del cierre de la plataforma original, se ha mantenido un acceso limitado a la misma (su ***INTERFAZ.1) con el único fin de poder atender solicitudes, necesidades y/o reclamaciones de clientes de la empresa”. A la fecha de la brecha, por tanto, el ***INTERFAZ.2 (…) de esta plataforma no se encontraba operativo, manteniéndose únicamente activo ***INTERFAZ.1 (…), que permite añadir/editar/eliminar productos y gestionar datos de clientes. 3. En relación con los datos afectados por la brecha de datos personales. Se manifiesta que en la plataforma afectada: “Se almacena una variedad de datos personales que eran esenciales para el funcionamiento y la gestión de la tienda en línea, sin embargo, en el contexto del posible incidente reportado por el INCIBE, los datos supuestamente afectados se relacionan con la tabla ***TABLA.1 dentro de la base de datos”. Los datos afectados según la captura publicada por los ciberdelincuentes fueron: ciudad, código postal, segunda dirección postal, notas sobre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/173 dirección postal, teléfono principal y móvil, DNI y número de identificación fiscal. 4. En relación con la muestra publicada por los ciberdelincuentes se afirma lo siguiente: Se aporta un correo interno donde el departamento de ciberseguridad realiza la siguiente afirmación en relación con los datos que contenía la captura de pantalla publicada en el foro: “Tras realizar el análisis, se vio que los registros de la tabla coinciden con los de la tienda antigua de la empresa. Tras investigar junto al departamento ecommerce e infraestructura pudimos ver que los registros que tiene el atacante son desde 2016 a 2020, esto suponiendo que tenga el 1.000.000 de registros que dice tener, ya que solamente se muestra 18 registros en la imagen que adjunta. En dicha tabla se encuentran datos de usuario como direcciones, código postal, ciudad, teléfono, email…”. 5. En relación con los usuarios que tenían acceso a esta plataforma afirman que: - “Los usuarios que tenían acceso a la administración de la plataforma antes del cierre de esta (…). A su vez, cada uno de estos departamentos tenía asignados permisos específicos según su función en la operación de la tienda en línea.” - “En cuanto a la asignación de roles y permisos de acceso a la plataforma, en aquel momento no existía un procedimiento formalizado para esta tarea. La estructura de usuarios, roles y sus permisos estaba configurada de manera relativamente sencilla debido a que, en aquel entonces, la empresa contaba con un número de empleados relativamente pequeño. Se operaba de la siguiente manera: Los responsables de los distintos departamentos comunicaban al Departamento de IT los permisos específicos que necesitaba cada usuario, y IT procedía a asignarlos según las indicaciones.” - Se afirma que después del supuesto incidente se tomaron medidas significativas para fortalecer la seguridad de la plataforma: (…). 6. En relación con las medidas para garantizar la trazabilidad existente en la plataforma, se realizan las siguientes afirmaciones: - La empresa indica que “antes de recibir la notificación por parte de INCIBE, la plataforma ya tenía medidas sólidas implementadas para garantizar la trazabilidad de las acciones en los accesos tanto a la plataforma como al sistema de gestión de la base de datos. Estas medidas fueron diseñadas para garantizar la seguridad y la integridad de los datos, así como para detectar cualquier actividad sospechosa de manera temprana”. - No obstante, esta respuesta contrasta con la afirmación que hace el propio departamento de ciberseguridad en uno de los correos internos aportados en la investigación, donde se afirmaba lo siguiente: “intentamos ver los Logs para ver la trazabilidad y destapar al atacante, pero no pudimos sacar nada en claro, ya que vimos los logs del ***SOFTWARE.1 y no eran de gran utilidad ya que solo mostraban los inicios de sesión de los usuarios, además en su día por temas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/173 rendimiento se desactivaron algunos logs que registraba el CMS y que no se volvieron a activar posteriormente. También vimos que dicho ***SOFTWARE.1 presentaba varias vulnerabilidades de versión, pero no podemos determinar si ese es el vector de entrada”. - Que en lo referente al sistema gestión de base de datos dicen que existían medidas de restricción de acceso directo desde internet y logs de monitorización de accesos y actividad en la base de datos, pero no se detallan ni acreditan. 7. Respecto a las circunstancias del incidente y a la certeza del ataque a la empresa. - Se aporta una hoja Excel que contiene el registro documentado del incidente, que manifiesta que desde la empresa no se da crédito a la veracidad del ataque, si bien se manifiesta que: “El responsable de seguridad corroboró que el correo de INCIBE no era intento de Phishing, por lo que el día 17 de abril a las 11:48 se contactó con este instituto que corroboró este mismo día que la información enviada era correcta. Desde la empresa no se ha podido identificar que el actor malicioso haya podido acceder a los sistemas de la empresa. Aunque el atacante afirma estar en posesión de 1 millón de registros, desde la empresa sólo se puede tener acceso a 17 de ellos. La plataforma tiene más de 1 millón de registros por lo que no coincide con lo publicado por el ciberdelincuente”. - En base a ello, se aporta el informe de la DEP de 19 de abril de 2023 que dio lugar a notificar la brecha a esta Agencia, en el que se manifiesta que a fecha 19 de abril de 2023 la empresa sólo podía confirmar que no habían podido identificar accesos sospechosos a los sistemas internos y que el número de registros que afirmaba disponer el ciberdelincuente no coincidía con los existentes en las bases de datos. Se realiza una valoración detallada del incidente y se concluye con una severidad o impacto MEDIO y probabilidad de materialización BAJA, concluyéndose comunicar el incidente a la AEPD. - No obstante, la conclusión notificada por la empresa a INCIBE y a esta Agencia no coincide con la dada por el responsable de ciberseguridad de la empresa a la DPD, que remite un correo interno a la misma el 15 de abril de 2023 en el que manifiesta no poder determinar con claridad la fuente del ataque, por no tener ningún sistema de monitorización de equipos en la plataforma atacada. Nos referimos al correo interno enviado desde la dirección ***EMAIL.1 a la dirección ***EMAIL.1 el día 14 de abril de 2023 aportando información sobre el incidente, que indica: “Tras realizar el análisis de los registros de la imagen publicada en el foro se vio que coinciden con los de la tienda antigua de la empresa (…) que se cerró en 2021 pero se sigue usando por algunas personas en modo consulta”. “También intentamos ver los logs para ver la trazabilidad y destapar al atacante, pero no pudimos sacar nada en claro ya que solo mostraban los inicios de sesión de los usuarios, además en su día por temas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/173 rendimiento se desactivaron algunos logs. A nivel servidor y base de datos no pudimos ver mucho ya que no se estaba monitorizando. También vimos que dicho ***SOFTWARE.1 presentaba varias vulnerabilidades de versión, pero no podemos determinar si ese era el vector de entrada”. “Tras analizar todos los entornos, el departamento de ciberseguridad no puede determinar si ha sido culpa de malware en un workstation o desde el propio aplicativo web, ya que actualmente desde el workstation no tenemos ningún sistema de monitorización de equipos, además de no tener monitorizado el aplicativo web”. - Se manifiesta asimismo que desde la empresa se han tomado las siguientes medidas: (…). - Se toma la medida adicional (…). No hay constancia de perjuicios causados en posibles clientes afectados. 8. En respuesta a nuestra solicitud para que acrediten los análisis de riesgos de las actividades de tratamientos afectadas por la brecha. Se adjunta copia del informe definitivo de los análisis de riesgos para los derechos y libertades de las personas afectadas por las actividades de tratamiento relacionadas con la brecha (clientes) de fecha 10 de abril de 2022. En este se manifiesta que: “Por motivos que se desconocen, en su día se realizó un análisis de riesgos conjunto para los tratamientos de Clientes y Proveedores, Gestión de RRHH y Selección de personal, por lo que se adjunta el análisis de riesgo conjunto”. Del análisis de este documento por el inspector se extrae que el Informe de análisis de riesgos es de 10 de abril de 2022, por lo que no se informa de los riesgos anteriores a esa fecha; y contiene los siguientes apartados:     Un apartado con la descripción de los tres tratamientos afectados por el análisis: “Clientes y Proveedores”, “Selección de Personal” y “Gestión Recursos Humanos”. Contiene un apartado “Identificación y Análisis de los factores de riesgo (inherente y residual) que remite a un Anexo I, que no se aporta. Contiene un apartado donde se asigna un valor a la probabilidad e impacto para los siguientes riesgos inherentes identificados: realizar transferencias internacionales a países sin adecuación, no facilitar la información de forma correcta, almacenar datos por periodos superiores, carecer mecanismos de control de la relación con encargados, deficiencias en los protocolos de almacenamiento en formato físico. Contiene un apartado con un plan de acción que incorpora las siguientes medidas de control: (…). 9. En relación con los plazos de conservación de los datos personales de las actividades afectadas, afirman que estos son de: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/173 o o o o Hasta 9 años en base a la prescripción de las acciones en materia de consumidores y usuarios. Hasta 4 años conforme a la Ley General Tributaria. Hasta 5 años prescripción general de las acciones que no tienen plazo específico, art 1964 Código Civil. Hasta 6 años en base al art 30 del Código de Comercio. 10. Sobre las medidas preventivas implantadas:  (…) 11. En respuesta a nuestra solicitud para que acrediten los procedimientos implantados en la organización para gestionar las brechas de seguridad que afecten a datos personales. Se afirma que se ha redactado una nueva versión de este procedimiento y se ha puesto en conocimiento de los empleados. Se aporta captura de pantalla de un correo interno informando sobre ello, no obstante, no se aporta copia documental acreditativa. Solo se aporta captura de un correo interno enviado el 10 de agosto de 2023 con el siguiente texto: “(…)”. Afirman que en los últimos meses se han realizado (…), se acreditan capturas de pantalla de actividades realizadas en los días 11 de mayo de 2023 y 27 de junio de 2023. Se afirma que el Responsable de Ciberseguridad ha desarrollado una herramienta interna con la que los empleados pueden (…). No se acredita. 12. En relación con la justificación del motivo por el que notificaron la brecha de datos personales fuera de plazo. La empresa afirma que no fue hasta el jueves 13 de abril de 2023 cuando el INCIBE aportó toda la información referente a la posible brecha y, por tanto, cuando tuvo constancia de la posible filtración y las capturas de pantalla publicadas por el hacker. Y que no contestaron en el plazo máximo de 72 horas porque este expiró fuera de la jornada laboral, puesto que el lunes 17 de abril de 2023 fue también un día festivo y no laborable en Quart de Poblet (municipio en el que se encontraba la sede de la misma en el momento de la gestión del incidente). QUINTO: En fecha 4 de septiembre de 2023 se realiza nuevo requerimiento de información al responsable de tratamiento a la empresa para que amplíe la documentación aportada, que se responde el 18 de septiembre de 2023 de la siguiente forma: 1. Que confirmen si existían análisis de riesgos anteriores al 10 de abril de 2022, así como las posibles actualizaciones posteriores de este tras la brecha. Se confirma que no existe análisis anterior a esta fecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/173 2. Que se aporte el documento referenciado en el análisis de riesgos y no localizado en la respuesta anterior. Se aporta documento Excel con el fichero referenciado en el análisis de riesgos de 10 de abril de 2022 y no localizado en la respuesta al requerimiento anterior, pero no se obtiene información adicional de su análisis. Se incluye fichero Excel con la actualización del análisis de riesgos tras la brecha de seguridad. 3. Que acrediten el procedimiento interno implantado para la gestión de brechas de seguridad. Se realiza la siguiente afirmación: “Se informa a la AEPD que, en el último año el puesto de Delegado de Protección de Datos ha sido ocupado por tres personas distintas, no habiendo una continuidad en las funciones del Delegado de Protección de Datos especificadas en el artículo 39 del Reglamento 2016/679 de 27 de abril de 2016 (en adelante, “RGPD”). Es por ello por lo que, actualmente, la empresa se encuentra en un proceso de revisión urgente de documentos y de decisión de medidas a tomar y de procedimientos a implementar, entre los que se encuentra la revisión de todos los análisis de riesgos realizados y la valoración de la necesidad de realizar una evaluación de impacto de los mismos”. Se afirma que el 14 de septiembre de 2023 se constituyó un Comité de Seguridad al objeto de dictar medidas. Se aporta un documento interno con lo que la empresa manifiesta ser unas fichas que contienen el Plan interno de gestión de brechas de seguridad, que no contiene firma ni fecha de creación, solo una “fecha de última actualización (…)”, y se acompaña otro documento denominado Protocolo de Gestión de Brechas de Seguridad, que no está firmado, en el que consta únicamente el siguiente texto al final del documento: “Fecha de última actualización (…)”. En relación con la versión de ***SOFTWARE.1 utilizada por la plataforma (1.6.1.24), la empresa afirma: “Respecto a la versión 1.6.1.24 de la plataforma de ***SOFTWARE.1 (en adelante, “la plataforma”), es importante determinar que, aunque en esta versión existen vulnerabilidades conocidas (CVE), la mayoría de estas afectan a ***INTERFAZ.2 (…) y, tal y como indicamos en nuestro escrito contestando al anterior requerimiento, ***INTERFAZ.2 (…) no se encuentra activo. Únicamente se encuentra activo el ***INTERFAZ.1 de la plataforma que, además, tiene aplicado un nivel de acceso a datos. En cuanto a las vulnerabilidades que le afectaban, las mismas ya fueron identificadas y abordadas con las medidas de seguridad apropiadas, de conformidad con lo establecido en nuestro primer escrito. Reconoce que la razón por la cual la plataforma todavía está accesible en Internet es que todavía no se ha realizado la migración de las integraciones de la antigua plataforma a la nueva. Manifiestan que el ***INTERFAZ.1 sigue activo por: “(…). Además, algunas de estas integraciones siguen requiriendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/173 que se pueda acceder al ***INTERFAZ.1 de la plataforma desde Internet. No obstante, lo anterior, en los próximos meses (…)”. 4. Solicitar información sobre la posible comunicación a las personas afectadas por la brecha. Por parte de la empresa se afirma que “no se ha informado a las personas físicas potencialmente afectadas por el ataque, sin perjuicio de que a futuro desde esta entidad se tenga constancia de que la exfiltración sea, en su caso, real; en cuyo supuesto, se realizará la preceptiva comunicación e información a las personas físicas afectadas”. Afirman, asimismo, (…) sin detectar compraventa o actividad alguna de los datos supuestamente afectados. SEXTO: Con fecha de 4 de agosto de 2023, al objeto de comprobar la veracidad de la información publicada en el foro y la filtración de datos personales de clientes de la empresa, el inspector establece comunicación con el usuario del foro que publicó el mensaje con la muestra en el que afirmaba estar en posesión de esta base de datos, a la que el usuario responde confirmando que la base de datos pertenece a la empresa, que contiene 1.086.185 registros con datos de clientes con 837.606 números de teléfonos móviles únicos, y aporta una nueva muestra que contiene hasta 7.000 datos personales de 1.000 afectados o diferentes titulares organizados por NIF. La referida muestra y las comunicaciones mantenidas entre ciber-atacante y el inspector se unen como prueba al Informe de Actuaciones de Investigación de 1 de diciembre de 2023, al que se hará referencia posteriormente. SEPTIMO: Con fecha de 2 de noviembre de 2023, se une al expediente diligencia de acceso por el inspector a la plataforma de la reclamada, en la que manifiesta que ha accedido con dicha fecha a la URL aportada en las capturas de correos anteriores (intercambiados con INCIBE) y que correspondía con la dirección de acceso a la antigua plataforma basada en ***SOFTWARE.1 (y posible origen del ataque), constatándose lo siguiente: - Que el acceso a la URL ***URL.1 sigue estando disponible, accediéndose al ***SERVICIO.1 de la instalación del software ***SOFTWARE.1. - Se constata que la versión utilizada de ***SOFTWARE.1 es la versión 1.6.1.24, y contrastando el estado de esta versión en la propia web de este código abierto se concluye que es una versión bastante obsoleta y fuera de soporte desde junio de 2019, con múltiples vulnerabilidades (tanto en el ***SERVICIO.2 como en el ***SERVICIO.1) que requieren como solución actualizar versiones posteriores. OCTAVO: Como consecuencia de estas actuaciones, con fecha de 1 de diciembre de 2023 se dicta Informe de Actuaciones Previas por parte del inspector encargado del expediente de investigación, al que se une la documentación obtenida en las diligencias practicadas por el instructor con fechas de 4 de agosto y 2 de noviembre a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/173 las que se ha hecho referencia anteriormente, así como los requerimientos y respuestas de la empresa y resto de documentos obrantes en el expediente. En base a las actuaciones practicadas, el Informe emite las siguientes CONCLUSIONES: 1.- En relación con el vector de ataque no se ha podido acreditar si fue a causa de malware en una Workstation o a través de la propia aplicación software utilizada para la antigua plataforma de tienda online de la empresa. No obstante, se ha constatado que esta plataforma estaba basada en una versión obsoleta y desactualizada del software ***SOFTWARE.1, con vulnerabilidades conocidas, fuera de soporte desde el año 2019, y que disponía de la parte de administración (***SERVICIO.1) con acceso público desde internet (aunque restringido por usuario y contraseña). 2.- En relación con la detección y notificación de la brecha, desde la empresa se tuvo conocimiento de la misma a raíz del aviso recibido vía mail por parte de INCIBE el 5/4/23, alertando de la posible venta y filtración de datos de esta organización a través de un foro en la dark web. Respecto a la cronología, queda acreditado por los correos electrónicos aportados que el primer aviso de brecha/ciberataque se produjo el 5/04/23, pero no se advirtió por la empresa hasta que no se le hizo un segundo aviso el 12/04/23, contestando finalmente a INCIBE el 17/04/23, y notificando la brecha a esta AEPD el 19/04/23. 3.- Por parte de la empresa se niega que la filtración sea real, haciendo referencia a que en el mensaje del foro no se menciona en ningún momento que la base de datos pertenezca a esta organización y, por otro lado, que los 17 datos de muestra que contiene la captura de pantalla publicada no son suficientes para poder determinar que ha existido filtración real de la base de datos de la compañía. No obstante, reconocen que estos registros de prueba coinciden con datos almacenados en una de sus tablas de la base de datos. 4.- Por parte del inspector se ha contactado con el usuario que decía poner a la venta la supuesta base de datos con objeto de contrastar la veracidad de la información y verificar la existencia de filtración de datos personales, habiendo este confirmado que la base de datos a la que hace referencia el mensaje pertenece a la compañía la empresa y contiene 1086185 registros con datos de clientes. El usuario aportó al inspector una nueva muestra que contiene 1000 registros (datos personales de 1.000 titulares diferentes), que son adicionales a los 17 publicados en la muestra, con idéntica estructura de campos y datos que la captura publicada. En relación con esta estructura de campos la empresa había confirmado que se corresponde con la tabla “***TABLA.1” de su base de datos, que contiene los siguientes datos personales de 1.000 personas: “***TABLA.12, postcode, city, other, phone,phone_mobile, vat_number, dni. 5.- En relación con las medidas preventivas implantadas antes de detectar la brecha de seguridad para garantizar la seguridad de los tratamientos de datos personales por la antigua plataforma de venta online, se ha constatado que: - Los Logs de esta plataforma (basada en ***SOFTWARE.1) (…), por lo que no fueron de utilidad para identificar y detectar el posible ataque, además por temas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/173 de rendimiento (…), careciendo de medidas adecuadas para garantizar la trazabilidad en el momento de suceder la brecha. - Esta plataforma, pese a ser antigua y estar en proceso de migración, se mantenía activa disponiendo de acceso directo desde internet únicamente a la parte de ***SERVICIO.1 (afirman que esto era necesario por requisitos de integración con la nueva plataforma implantada). - De otro lado, ha quedado también acreditado que la antigua plataforma hacía uso de la versión 1.6.1 de ***SOFTWARE.1, la cual se ha constatado que pertenece a una versión desactualizada, fuera de soporte desde el año 2019 y con múltiples vulnerabilidades críticas que afectaban tanto a ***SERVICIO.2 (…) como al ***SERVICIO.1 (…). - Por otra parte, se ha constatado que existían las siguientes medidas preventivas implantadas:  (…) 6.- Tras detectar la brecha de seguridad se adoptaron las siguientes medidas reactivas para fortalecer la seguridad de la plataforma:  (…) 7.- Se ha constatado que no se ha comunicado el incidente a las personas afectadas por la brecha (o potencialmente afectadas). Por parte de la empresa se afirma que no es necesaria esta comunicación alegando que no dan crédito a que la filtración fuese real, teniendo únicamente la certeza de filtración de algunos registros mostrados en la captura de pantalla publicada en el foro. 8.- En relación con los análisis de riesgos, ha quedado acreditado la existencia de análisis documentado realizado en la fecha 10 de abril de 2022. La empresa confirma que no constan análisis de riesgos con fecha anterior a la anteriormente indicada, no obstante, ha quedado constado que la actividad de tratamiento afectada por la brecha se inicia en el año 2013 (“Gestión de Clientes”). NOVENO: Se obtiene el Informe Axesor de actividad mercantil de la empresa con fecha de 1 de diciembre de 2023, que se une al expediente, que indica que la entidad investigada posee el siguiente volumen de negocio según datos de Axesor a fecha de 2022: a. (…) DÉCIMO: Con fecha 1 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte imputada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta comisión de 4 infracciones administrativas tipificadas en el Artículo 83.4 del RGPD y Artículo 83.5 del RGPD, sancionadas con la siguiente multa: - Por la infracción del Artículo 5.1.

1. f)del RGPD, una multa de 140.000 euros. Por la infracción del Artículo 32 del RGPD, una multa de 750.000 euros. Por la infracción del Artículo 33 del RGPD, una multa de 100.000 euros. Por la infracción del Artículo 34 del RGPD, una multa de 40.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/173 UNDÉCIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte imputada presentó solicitud de ampliación de plazo y copia del expediente con fechas de 12, 15 y 17 de abril de 2024. Con fecha de 18/04/2024 se dicta acuerdo de ampliación de plazo y remisión de copia del expediente a CECOTEC. En dicho acuerdo se hace constar que la copia del expediente se remitirá a la dirección postal de CECOTEC, en formato USB, a la vista de que su tamaño excede del máximo que permite la notificación electrónica. La notificación de dicho acuerdo de ampliación y copia y del escrito de las claves necesarias para abrir el fichero adjunto se produce el 19/04/2024 por vía electrónica, si bien la notificación de la copia del expediente por vía postal no se produce hasta el 30/04/24. Con fecha de 25 de abril de 2024 -habiendo recibido la notificación de ampliación de plazo y remisión de copia, pero no habiendo todavía recibido el expediente remitido por vía postal-, CECOTEC presenta un primer escrito de alegaciones al acuerdo de inicio (en adelante, Aleg AI #1). Este primer escrito de alegaciones al acuerdo de inicio no adjunta documentación alguna, y solicita el archivo del expediente y apertura de nuevo plazo de alegaciones, manifestando, en síntesis, lo siguiente: o PREVIA. VULNERACIÓN DEL PROCEDIMIENTO LEGALMENTE ESTABLECIDO. INFRACCIÓN DEL ART. 24 CE. Donde pone de manifiesto no haber recibido la copia del expediente alegando que se produce indefensión al no disponer de la misma, constitutiva de nulidad de pleno derecho por carencia absoluta del procedimiento. En virtud de ello, mediante “OTROSIDIGO PRIMERO” formulan se abra plazo alegaciones complementarias. o PRIMERA.- VULNERACIÓN DEL PRINCIPIO NE BIS IN IDEM POR SANCIONAR DOS VECES LA MISMA CONDUCTA RESPECTO A LAS INFRACCIONES CONTEMPLADAS EN LOS ART. 5.1. F) Y ART. 32 DEL RGPD. Muestran su disconformidad respecto a la tipificación de los hechos realizada por la AEPD en al ámbito del art. 5.1.
2. f)y del art. 32 del RGPD, puesto que implica sancionar dos veces la misma conducta, en base a lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid Conforme a las Directrices 04/2022 del European Data Protection Board, o Comité Europeo de Protección de Datos (en adelante, “CEPD”) sobre el cálculo de las multas bajo el RGPD, las disposiciones invocadas por la AEPD en el presente expediente sancionador protegerían el mismo interés jurídico, esto es, la seguridad adecuada de los datos personales, siendo ilegal sancionar dos veces al infractor por la misma ofensa. En este sentido, debemos citar la Sentencia ‘Austrian www.aepd.es sedeagpd.gob.es 14/173 o o Verwaltungsgerichtshof’, Ra 2018/02/1023, apartado 7. Seguidamente, CECOTEC continúa señalando que: “En el presente supuesto, el interés jurídico protegido (la confidencialidad de los datos) es el mismo. La AEPD centra ambas infracciones en que no se han adoptado medidas de seguridad técnicas y organizativas adecuadas, lo que ha afectado a la capacidad de garantizar la confidencialidad”, lo que implica vulnerar, según las Directrices del CEPD “el ‘principio de consumo’ o que una infracción es un paso previo a la otra” Asimismo, existiría, a juicio de esta parte, una vulneración del principio ‘ne bis in idem’, conforme el criterio de la Audiencia Nacional (por todas: Sentencia de la Audiencia Nacional de 23 de julio de 2021 (rec. 1/2017). Se cita también el Auto del Tribunal Supremo (Contencioso), sec. 1ª, A 13-07-2023, rec. 3120/2023. Se alega la aplicación del Principio contenido en el artículo 29 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, la “LRJSP”): 5. Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida. SEGUNDA. – AUSENCIA DE CULPABILIDAD O NEGLIGENCIA GRAVE RESPECTO DE LAS INFRACCIONES CONTEMPLADAS EN LOS ART. 5.1. F) Y ART. 32 DEL RGPD. o o o o o C/ Jorge Juan, 6 28001 – Madrid “Es importante resaltar que la brecha de seguridad comunicada el 19 de abril del 2023 se produce en la plataforma de CECOTEC no por falta de medidas de seguridad o que estas sean ineficaces sino por el ataque de un tercero (hacker) que accede vulnerando de forma irregular el acceso al sistema. Citamos, en este sentido, la Sentencia de la Audiencia Nacional (Contencioso), sec. 1ª, S 10-11-2017, rec. 32/2016”. “Con relación a la plataforma de CECOTEC a la que, consta acreditado, se accedió por un tercero ilegalmente, debemos resaltar como se ha venido informando a la AEPD en fase de investigaciones previas, que sí se disponía de medidas de seguridad técnicas y organizativas tendentes a evitar el acceso de terceros no autorizados como eran el disponer de “controles de acceso”. Con relación a dicha plataforma, informamos a la AEPD que se ha deshabilitado y desconectado de internet. En la plataforma no se tratan por CECOTEC datos de categoría especial o de mayor sensibilidad, ni tampoco de menores de edad. La existencia de vulnerabilidades que recoge el escrito relativo al Acuerdo de Inicio, no supone necesariamente infracción de las medidas de seguridad, habida cuenta que la seguridad total no existe y que la obligación de seguridad de la información no es de ‘resultado’ sino una obligación ‘de medios’. En este sentido nuestro www.aepd.es sedeagpd.gob.es 15/173 o o o Tribunal Supremo, en STS 188/2022 de 15 de febrero de 2022. Por otro lado, una comunicación no autorizada de datos personales o un acceso no autorizado a tales datos por parte de terceros, no bastan, por sí solos, para considerar que las medidas técnicas y organizativas adoptadas por el responsable del tratamiento no eran apropiadas con arreglo a los citados artículos 24 y 32. Sino que es necesario que la administración acredite que existe cierto grado de intencionalidad. Y es que en este sentido se ha pronunciado el Tribunal de Justicia de la Unión Europea (en adelante, “TJUE”) a través de su sentencia, de fecha 14 de diciembre de 2023, recaída en el asunto C 340-2021. Y la jurisprudencia española, en sentencias como la STC nº 76/1990 de 26 de abril, o la Sentencia de la Sala de lo Contencioso-administrativo de la Audiencia Nacional, Sección 1ª, de 23 de diciembre de 2013, Rec. 341/2012: Que no hay prueba- más allá de meros indicios- que permita acreditar que se han visto afectados más de 6 usuarios reales. Se citan algunos de los supuestos de brechas de seguridad que fueron archivados por esta Agencia, como la sufrida por Facebook en 2019, la de Decathlon, o el de Iberdrola en 2022. TERCERA. - AUSENCIA DE PRUEBA DE QUE LAS MEDIDAS SON INEFICACES. Se señala que debe aplicarse la presunción de inocencia, y el “Principio In dubio pro reo” al concurrir serias dudas de que las medidas adoptadas por CECOTEC fueran ineficaces y que la base de datos objeto del ciberataque fuera la de CECOTEC. Dado que la administración está aplicando una responsabilidad objetiva que no existe, puesto que el acuerdo de inicio se basa en indicios como el número de usuarios de la plataforma y a la vista de la prueba practicada, existen dudas razonables. CUARTA. - INEXISTENCIA DE LA INFRACCIÓN DEL ART. 33 RGPD EN CUANTO A LA NOTIFICACIÓN FUERA DE PLAZO DE 72H. o o o C/ Jorge Juan, 6 28001 – Madrid “El email remitido a CECOTEC por INCIBE el 13 abril de 2023 indica que no puede determinar si se trata de información verídica y si ha sido expuesta en otras filtraciones. La tabla con información es sólo de dirección postal, número teléfono móvil y número de DNI. No estaban afectados nombres y apellidos como se manifiesta en el acuerdo de inicio del procedimiento sancionador” Y esta situación de incertidumbre se prolonga en el tiempo de forma que, con los datos que se tenían tanto por INCIBE como por CECOTEC al tiempo de brecha (abril 2023) no existía la obligación verdadera de notificar la brecha, pues solo había certeza de 6 personas reales afectadas, lo que conforme a la guía de la AEPD no implicaba obligación de notificación, y aun así, por CECOTEC se decidió proactivamente notificar. Que no es obligatorio notificar todas las brechas de datos personales, www.aepd.es sedeagpd.gob.es 16/173 o dado que el RGPD prevé una excepción a esta obligación cuando el responsable pueda garantizar que es improbable que la brecha de datos personales entrañe un riesgo. Por ello, teniendo en consideración la tipología de datos afectada, ya mencionada, en la que no había ni datos identificativos de nombre y apellidos y resultando afectados, inicialmente, sólo 6 personas reales, hacían improbable la existencia de riesgo. En este sentido conviene traer el criterio del antiguo Grupo de Trabajo del Artículo 29 que en las Directrices WP250, determina cuando sería probable que entrañe un riesgo. El cómputo del día ‘a quo’ que ha tenido en cuenta la AEPD para calcular el inicio del término de las 72 horas, esto es, el 17/04/2023 es totalmente arbitrario, puesto que en aquel momento, en realidad, CECOTEC no estaba en disposición o tenía un ‘conocimiento’ real de que se hubiera producido una violación de datos. QUINTA. - INEXISTENCIA DE LA INFRACCIÓN DEL ART 34 RGPD. NOTIFICACIÓN A LOS INTERESADOS. o No existe la infracción dado que no se ha acreditado que la brecha de seguridad sufrida por CECOTEC haya supuesto un “alto riesgo” para los derechos y libertades de los interesados con la consecuente obligación de notificar a los mismos más allá de la valoración subjetiva llevada a cabo por el instructor. o CECOTEC inició las comprobaciones oportunas desde el momento inicial que se tuvo conocimiento del email del INCIBE y se contactó con ellos telefónicamente, y aunque inicialmente tuvo dudas acerca de la certeza de la brecha pero ésta fue finalmente notificada a la Autoridad de Control conforme fue obteniendo información al respecto. En este marco, se llevó a cabo internamente una valoración sobre el “alto riesgo” en base a la información objetiva que disponía al tiempo de conocer la brecha en base a los factores indicados en Directrices 9/2022 sobre la notificación de violaciones de datos personales en virtud del RGPD de fecha 28 de marzo de 2023. -Respecto a la naturaleza, la sensibilidad y el volumen de los datos personales: Se trataba datos de contacto no completos ni de categoría especial. -Respecto al volumen de datos: Acreditados sólo 6 datos de personas reales. -Respecto a la facilidad de la identificación de los individuos: Era compleja habida cuenta que no figuraban los nombres y apellidos de los interesados, ni hay documentación asociada. -Respecto al tipo de violación: Afectó a la confidencialidad de los datos por un tercero no autorizado, pero no a otras esferas como la disponibilidad e integridad. - Respecto a la gravedad de las consecuencias para las personas: Se consideró que no resultaba grave dado que no son datos de categoría o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/173 especial, la suplantación de identidad no es automática ni sencilla al no constar nombre y apellidos de los afectados, ni por otro lado, consta acreditada. -Respecto a las características del individuo: No se trataba de sujetos vulnerables ni de menores de edad. o o o Tras dicha evaluación interna y acorde al resultado de la herramienta COMUNICA BRECHA facilitada por la propia AEPD, CECOTEC no estimó necesario comunicar la brecha. Se pretende también evitar la “fatiga innecesaria de las notificaciones”, a la que se refieren las mencionadas Directrices 9/2022 sobre la notificación de violaciones de datos personales, que señalan que el umbral para comunicar la brecha a los particulares es más elevado que para notificar a las autoridades de supervisión. Por último, la AEPD en función de las competencias correctivas que tiene atribuidas por el artículo 34.4 del RGPD, debería haber indicado a CECOTEC en la fase de actuaciones previas o al trasladarle el acuerdo de inicio del presente procedimiento que procediese a la notificación de la brecha a los interesados, si consideraba que era preceptivo. Y se indica que: “no alcanza a entender esta parte que esta orden se haya instruido en otros procedimientos seguidos ante la AEPD – tal y como se desprende, entre otras, de la resolución, de fecha 17 de febrero de 2022, recaída en el PS Nº E/06660/2021 o en los expedientes de actuaciones previas de investigación E/06214/2020, y E/06177/2020 y en el presente procedimiento se haya ignorado, íntegramente, la posibilidad de ofrecer dicha posibilidad previa CECOTEC, optando directamente por la apertura del presente Acuerdo de Inicio”. SEXTA. - FALTA DE PROPORCIONALIDAD EN LA IMPOSICIÓN DE LAS SANCIONES Y AUSENCIA DE GRADUACIÓN. o Con carácter previo, se informa a la AEPD que la plataforma ‘***SOFTWARE.1’, está totalmente deshabilitada, cesando el tratamiento de datos. o No se contemplan circunstancias atenuantes que concurren: como que CECOTEC no ha obtenido beneficio alguno; no consta reiteración de conducta, antecedentes o intencionalidad de causar daño por parte de CECOTEC; asimismo, no están acreditados daños y perjuicios ni existe informe sobre hipotéticos daños, así como tampoco existe ninguna reclamación por parte de algún usuario, la brecha no afecta datos de categoría especial ni datos de menores de edad. Y no se han valorado las medidas correctivas adoptadas por CECOTEC sin haber sido solicitadas o requeridas por la AEPD, conforme artículo 83, apartado 2, letra i). En general existe una falta de proporcionalidad manifiesta al fijar la cuantía de la sanción: que el límite cuantitativo máximo sea tan amplio no justifica esta cantidad, que debe ajustarse a la capacidad económica y se considera o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/173 o - - desproporcionada según la jurisprudencia y artículo 29 de la LRJSP.- Se alegan sentencias varias como la STS de 2 de junio de 2003, Tribunal Supremo en su Sentencia de 29 de julio de 2014 (Sala de lo ContenciosoAdministrativo, Sección 1ª). Respecto de cada infracción se considera que la multa impuesta es desproporcionada por no haberse considerado las circunstancias siguientes: a. Respecto a las sanciones impuestas de 140.000€ por la infracción del artículo 5.1.
3. f)del RGPD y 750.000€ por la infracción del artículo 32 del RGPD resultan totalmente desproporcionadas habida cuenta la ausencia de prueba de que se haya materializado daño alguno y de que no existe queja o reclamación de ningún usuario, unido a que los datos accedidos de los 6 usuarios reales, no permitirían actualmente una suplantación de identidad al no disponerse del completo DNI/NIF y sólo del número y letra, ni tampoco de los nombres y apellidos. Habiéndose adoptado medidas correctivas sin ser requeridas por la AEPD procedería su graduación y atenuación. b. Respecto a la sanción impuesta de 100.000€ por la infracción del artículo 33 del RGPD, en caso de apreciarse su concurrencia, la cuantía deviene completamente desproporcionada habida cuenta que la brecha se comunicó voluntariamente por CECOTEC, no hay reclamación alguna de usuarios y que el retraso respecto a esas 72 horas es tan sólo de sólo 3 días porque no se conocía el total alcance de la violación, habiendo, asimismo, días festivos dentro del citado plazo como se acreditó. c. Respecto a la sanción impuesta de 40.000€ por la infracción del artículo 34 del RGPD, indicar que en caso de apreciarse su concurrencia, la cuantía deviene completamente desproporcionada igualmente habida cuenta que, sólo hay prueba de 6 interesados afectados reales, sus datos no son sensibles o de categoría especial y no permitirían actualmente una suplantación de identidad al no disponerse del completo DNI/NIF y sólo del número y letra, ni tampoco de los nombres y apellidos. Se deben considerar las medidas correctivas que fueron adoptadas con posterioridad y que han sido comunicadas a la AEPD, enumerando las mismas y haciendo referencia a las evidencias de su adopción que se han aportado en el procedimiento. Por último, se informa que la Compañía sigue mejorando, estando inmersa actualmente en una auditoría de cumplimiento normativo RGPD y en la actualización de los análisis de riesgos, realización de EIPD y verificación de medidas de seguridad. Y que se muestra dispuesta a aceptar cualquier propuesta de mejora. DUODÉCIMO: Con fecha de 30/04/24 se notifica a CECOTEC acuerdo de inicio del procedimiento en el que -contestando a la solicitud formulada mediante OTROSIDIGO PRIMERO del escrito de alegaciones presentado así como a la alegación previa formulada- se aclara que es posible la presentación de alegaciones complementarias hasta que se dicte Propuesta de Resolución, y que el plazo de presentación de alegaciones al acuerdo de inicio finalizará una vez transcurra el plazo otorgado que fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/173 objeto de ampliación (cuyo cómputo se ha reanudado al notificarse en esa misma fecha 30/04/24 la copia del expediente que fue remitida a su domicilio postal). Como consecuencia de ello, CECOTEC presenta un segundo escrito de alegaciones al acuerdo de inicio con fecha de 8/05/2024 (en adelante, Aleg AI #2), en el que “habiendo tenido acceso al expediente” formula, en síntesis 4 alegaciones complementarias a las realizadas: PRIMERA. - AUSENCIA DE GRADUACIÓN. o o Consta en la página 222 del expediente administrativo relativo a ‘EVIDENCIAS SIGNIFICATIVAS PARA LA GRADUACIÓN’ que por el Inspector sólo se ha tenido en cuenta como criterio para la graduación la cifra de volumen de negocios de CECOTEC para el ejercicio 2022. Si bien, en el acuerdo de inicio se mencionan sucintamente la gravedad, naturaleza y duración de cada una de las infracciones, a juicio de la AEPD, pero no se ha contemplado por la Agencia ningún criterio de graduación de las sanciones tendentes a su atenuación, como ya se señaló en su primer escrito de alegaciones. Se añade que: “Conforme a las Directrices 04/2022 del ‘European Data Protection Board’ sobre el cálculo de las multas, siguiendo la estructura del RGPD, después de haber evaluado la naturaleza, gravedad y duración de la infracción, así como su carácter intencional o negligente de la infracción que, es única y exclusivamente a lo que en este caso se ha ceñido la AEPD, la autoridad de control debe tener en cuenta los factores agravantes y atenuantes restantes enumerados en el artículo 83, apartado 2, del RGPD así como, las categorías de datos personales afectados. Y sin embargo, repite CECOTEC que la AEPD no ha valorado la escasa relevancia de las categorías de datos personales afectados, ni que no hay reincidencia en infracciones por parte de CECOTEC, y tampoco se ha tenido en cuenta el grado de cooperación con la autoridad de control para mitigar riesgos. Por otra parte, añaden que el artículo 76. 2 de la “LOPDGDD”) señala que se deben tener en consideración dos circunstancias que no concurren en este caso, para atenuar o agravar la sanción que son:
4. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
5. f)La afectación a los derechos de los menores. Por tanto, al no concurrir deben ser considerados para atenuar. SEGUNDA. – RESPECTO AL ATAQUE DE UN TERCERO (HACKER) Y LA COMUNICACIÓN MANTENIDA POR EL INSPECTOR.   C/ Jorge Juan, 6 28001 – Madrid Se insiste en el carácter de víctima de un ataque informático de CECOTEC, así como que no constan acreditados tampoco daños y perjuicios y que no queda desvirtuada la presunción de inocencia de CECOTEC. En relación con lo que se señala en el HECHO SEXTO (folio 12) referido al contacto que el inspector hizo constar en su Informe API relativo a que www.aepd.es sedeagpd.gob.es 20/173 había mantenido con el ciber atacante el día 4 de agosto de 2023, en la que el usuario responde confirmando que la base de datos pertenece a la empresa, y que contiene 1.086.185 registros, adjuntándose una nueva muestra; CECOTEC hace constar lo siguiente: (
6. i)Dado que en el folio 203 se observa que consta el dato del correo electrónico del que podría ser un posible autor identificable, por lo que se informa que se va a interponer la correspondiente denuncia ante la Policía Nacional, cuya copia se adjuntará para su unión al expediente administrativo. (
7. ii)Así mismo, señala que no consta que esta AEPD le haya proporcionado dicho dato en ningún requerimiento, lo que hubiera sido útil y no hubiera perjudicado a la investigación; y que INCIBE tampoco se lo hizo constar, señalando que no podía determinar si se trataba de información verídica. Al igual que en el primer escrito de alegaciones presentado, no se adjunta ningún documento al referido escrito de alegaciones complementarias. Posteriormente, tal y como se había anunciado, se presenta con fecha de 13/5/24 un nuevo escrito de alegaciones cuyo objeto es aportar copia de la denuncia presentada por CECOTEC por ciberdelincuencia ante la Policía Nacional, a la que se hacía referencia en su escrito de alegaciones complementarias. Que se acompaña como DOCUMENTO 1. DÉCIMO TERCERO: Con fecha de 3/06/2024, se dicta acuerdo de apertura de periodo de prueba del procedimiento por la inspectora. En dicho acuerdo de prueba, además de darse por reproducido el expediente, así como expedir y unir las dos diligencias que fueron expedidas por la instructora en la misma fecha - sobre comprobación de no disponibilidad de acceso a la plataforma ***SOFTWARE.1 y para unir una copia del esquema base de datos publicado por el desarrollador de la misma para la versión 1.6. de la plataforma ***SOFTWARE.1-, se requiere CECOTEC la siguiente documentación/información: - Al objeto de acreditar que, como manifiesta CECOTEC en sus alegaciones, los campos de la muestra facilitada por el ciber-atacante al inspector con fecha de 4 de agosto de 2023 no coinciden con los de la denominada tabla “access” de la plataforma ***SOFTWARE.1 en el momento del ciberataque, se requiere aporte dicha tabla de access. Se especifica que deberá aportarse el contenido de la citada tabla access con la totalidad de registros reflejados en la misma a fecha de 5 de abril de 2023; así como la posteriormente obtenida por el departamento de ciberseguridad entre el 12 y 14 de abril de 2023 al objeto de comprobar la veracidad del ciberataque. Se hace constar que dicha tabla deberá presentarse, preferentemente en formato electrónico, pudiendo aportarse en un soporte físico (CD o USB) en el caso de no ser susceptible de conversión en formato electrónico, por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/173 exceder en tamaño al máximo permitido en el sistema Notific@. - Visto el Anexo 2 del escrito de 30 de agosto de 2023 denominado “estructura.presta.png”, se requiere aporte de nuevo el mismo en un formato y resolución adecuados para permitir que sus datos sean claramente legibles. Deberá informar expresamente si el citado Anexo 2 se corresponde con la estructura de la base de datos de la plataforma personalizada por CECOTEC a fecha del ciber-ataque (5 de abril de 2023), o en las fechas posteriores de comprobación del ciber-ataque por CECOTEC. Y en cualquier caso, se requiere concrete durante qué fechas se utilizó por CECOTEC esta estructura del Anexo 2 como sistema de gestión de contenido de la plataforma. - Aporte documentación justificativa de los cambios producidos en la citada estructura de la base de datos de la plataforma desde el 5 de abril de 2023 hasta la actualidad. - Habiéndose negado que el número de registros de la plataforma coincida con el señalado con el ciber-atacante, se requiere aporte documentación justificativa que acredite el número de registros contenidos en la plataforma a fecha del ciberataque (o comprobación por CECOTEC del mismo), distinguiendo lo siguiente: - Por una parte, documento que acredite el número total de titulares de datos personales contenidos en la plataforma, desglosados por “consumers, supliers, y manufacturers”. - Por otra parte, documento que acredite el número total de titulares de datos personales correspondientes a personas físicas. Con fecha de 4/07/24 CECOTEC contesta a este primer acuerdo de prueba, solicitando copia de las dos Diligencias expedidas con fecha de 3 de junio de 2024, aclaración respecto al alcance de la “documentación justificativa de los cambios sufridos por la plataforma desde el 5-4-23 hasta la actualidad”, y aportando 5 documentos: - C/ Jorge Juan, 6 28001 – Madrid Como Documento Nº.1 se facilita la tabla “access” que se entiende fue solicitada por la instructora que contiene 2.047 accesos de 18 perfiles. Documento Nº.2 se correspondiente con la estructura genérica de la base de datos de ***SOFTWARE.1. Se acompaña como Documento Nº.3 la estructura personalizada que utilizaba CECOTEC en la plataforma, incluyéndose como Documento Nº.4 una breve explicación de sus funcionalidades para un mejor desarrollo y seguimiento de la actividad de la entidad. Y se hace constar que la estructura que consta en el documento 4 “fue utilizada por CECOTEC desde junio de 2016 hasta la fecha de cierre de la plataforma”. Se acompaña como Documento Nº.5 captura de pantalla en la que se www.aepd.es sedeagpd.gob.es 22/173 puede comprobar el número total de titulares de datos personales contenidos en la plataforma a fecha del ciberataque filtrados por consumers, suppliers y manufacturers. Se hace constar que: “El número que se observa es el total de los usuarios, correspondiendo los datos de contacto a personas físicas, si bien algunos de ellos se refieren a datos de personas físicas que no actúan en calidad de particulares, sino, en representación de una empresa o en el ejercicio de su actividad profesional.” DÉCIMO QUINTO: A la vista de la documentación aportada por CECOTEC hasta el momento, y las peticiones formuladas por la misma, con fecha de 27/08/24 se dicta acuerdo ampliatorio de prueba por la instructora. Dicho acuerdo de ampliación de prueba tiene por objeto entregar copia de las diligencias solicitadas por la misma, aclarar la duda planteada, y requerir la aportación por CECOTEC de los siguientes documentos: - Aporte el contenido íntegro de la tabla que aparece en la estructura personalizada de ***SOFTWARE.1 aportada como Documento 3, con el nombre de “***TABLA.1” (en adelante, tabla ***TABLA.1), tal y como se hallaba reflejada a la fecha del anuncio del ciberatacante (5 abril 2023), o a la fecha en que se realizaron las comprobaciones por su departamento de ciberseguridad (12 y 13 de abril de 2023). Toda vez que la tabla de access que se aporta como Documento 1, sobre tipos de perfiles de empleados de la entidad, no se corresponde con la tabla de access que fue solicitada por la instructora. - Habiendo señalado en su escrito de contestación al acuerdo de prueba que la estructura del documento 3 era la que estaba vigente a la fecha de cierre de la plataforma (enero de 2021), se le requiere para que aclare si esta estructura permaneció invariable hasta el 5 de abril de 2023, fecha de publicación del presunto ciberataque. Y en caso de ser diferente, aporte la captura de la nueva estructura. Con fechas de 20 y 24 de septiembre de 2024, CECOTEC contesta al acuerdo de ampliación de prueba (en adelante, [ContPrueba#2]), aportando un fichero Excel cifrado con clave, donde según la imputada se contiene la mencionada tabla ***TABLA.1 contenida en su plataforma, señalando que: ““De acuerdo con la información facilitada por el departamento de IT, conviene indicar que el contenido de la tabla “***TABLA.1” que se aporta en el presente escrito es el mismo que a fecha de cierre de la plataforma en diciembre de 2022. En este sentido, se confirma que este contenido es el mismo que a fecha del anuncio por el ciberatacante (5/4/2023) y que a fecha en la que se hicieron las comprobaciones (12/04/2023 y 13/04/2023)”. DÉCIMO SEXTO: Con fecha de 6 de febrero de 2025, se procede a cotejar y comparar el contenido de la segunda muestra proporcionada por el actor malicioso, de 1000 registros, con los datos contenidos en la tabla ***TABLA.1 aportada por CECOTEC, a los efectos de comprobar las coincidencias y comprobar si el ciber-atacante tuvo acceso a estos registros, así como para conocer a cuántas personas afectó, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/173 Como resultado de estas actuaciones se expide una diligencia con fecha de 14 de febrero de 2025, que se une al presente procedimiento, en la que se adjunta el listado Excel de coincidencias organizadas por DNI, tras realizar una validación de DNIs. Y se hace constar el resumen del resultado obtenido: 1. Análisis registros y datos personales de la TABLA ***TABLA.1 DE CECOTEC. Haciendo constar el número total de registros, campos, y datos personales contenidos en la misma. 2. Análisis datos personales y titulares de la MUESTRA 2 proporcionada por el actor malicioso. Donde se señala que los datos personales contenidos en la muestra de 1000 registros corresponden a un total de 933 personas físicas que aparecen con un DNI válido, 50 personas físicas cuyo número de DNI es inválido o incorrecto, y 17 corresponden con empresas. Y se detallan los campos y datos personales contenidos en dicha muestra. 3.- Análisis comparativo entre la muestra 2 y la tabla ***TABLA.1. Donde se señala que: “La muestra 2 contiene 1000 registros, todos los cuales se encuentran incluidos en la tabla ***TABLA.1. Se observa que coinciden hasta los códigos identificadores que se generan automáticamente por la base de datos, que el actor malicioso no podría deducir si no hubiera accedido a la misma. (id ***TABLA.1, id country, id costumer, id supplier…etc). Las 933 personas físicas incluidas con DNI verificado se encuentran incluidas en la tabla ***TABLA.1 de CECOTEC e incluyen los datos que se han señalado”. DÉCIMO SÉPTIMO: Con fecha de 7 de marzo de 2025, se notificó a CECOTEC la Propuesta de resolución de expediente sancionador de 26 de febrero de 2025, por la que a la luz de la prueba practicada, se consideraba probado que la citada tabla “***TABLA.1” contenida en la plataforma ***SOFTWARE.1 de CECOTEC había sido objeto del ciberataque publicado en la dark web el 5-4-23, y que como consecuencia de éste se había constatado que el actor malicioso había accedido, al menos, a los datos personales contenidos en la misma correspondientes a 933 personas físicas, en lugar de las 6 personas físicas cuya brecha fue detectada y notificada por la empresa. Y como consecuencia, de ello, se respondía a las alegaciones formuladas contra el acuerdo de inicio y se acordaba elevar el importe de dos de las multas inicialmente fijadas en el acuerdo de inicio relacionadas con el número de afectados (Art 5.1.
8. f)y 34 del RGPD). Y como consecuencia de ello, proponer la imposición de las siguientes multas administrativas por la comisión de las siguientes infracciones: - Por la infracción del artículo 5.1.
9. f)RGPD, multa de 300.000€. Por la infracción del artículo 32 RGPD, multa de 750.000€. Por la infracción del artículo 33 RGPD, multa de 100.000€. Por la infracción del artículo 34 RGPD, multa de 100.000€. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/173 Se adjunta con esta Propuesta copia de la Diligencia expedida el 14 de febrero de 2025, por ser el único documento unido al expediente que no se hallaba en poder de la parte imputada. DÉCIMO OCTAVO: Con fecha de 18 de marzo de 2025, CECOTEC presenta escrito de alegaciones frente a la propuesta de resolución del procedimiento, que no adjunta documentación alguna, señalando en un total de seis alegaciones (previa, y primera a quinta), que se enuncian a continuación, siendo objeto de desarrollo y contestación en el Fundamento de Derecho V de esta Resolución: PREVIA.- Se reiteran en las alegaciones y fundamentos ya efectuados en los escritos previos. PRIMERA.– Hechos controvertidos. Como introductorio de las alegaciones segunda a cuarta se mencionan los que fueron declarados como 3 hechos controvertidos en la propuesta de resolución. SEGUNDA: Del número de registros finalmente afectados. 2.A. Principio de culpabilidad y proporcionalidad con relación a las infracciones contempladas en los Arts. 5.1.
10. f)y 32 del Reglamento General de Protección de Datos (RGPD). Inexistencia de nexo de causalidad. 2.B) Ausencia de graduación de la sanción. TERCERA. –De la eficacia de las medidas de seguridad técnicas y organizativas con las que contaba la Compañía. 3.A. Infracción del principio de tipicidad y ausencia de responsabilidad del artículo 5.1
11. f)RGPD. 3.B. Infracción del artículo 32 RGPD, ausencia de culpabilidad y falta de Proporcionalidad. CUARTA. – Disconformidad con el dies a quo respecto a la notificación de la brecha. Falta de proporcionalidad de la infracción del artículo 33 del RGPD. 4.A) Dies ad quo. Señala que es el día 17-4-23, y que subsidiariamente, debería ser el 14-4-24. 4.B) Falta de proporcionalidad infracción artículo 33 del RGPD. QUINTA.– Ausencia de necesidad de notificación de los interesados al tiempo de la brecha. Infracción artículo 34 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta acreditado que el día 5-4-23, el Instituto Nacional de Ciberseguridad Español (INCIBE) detectó una publicación en un foro de la dark web C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/173 en la que se anuncia la venta de una base de datos de una empresa española cuyos datos se correspondían con los publicados sobre CECOTEC en infoempresa.com, remitiendo a la misma un correo electrónico el mismo día 5-4-23 a las 14:53 horas con el asunto “alerta de incidente de ciberseguridad”, cuyo contenido era el siguiente: “El pasado día 5 de abril se ha detectado una publicación en el foro sinister.ly donde el actor malicioso que opera bajo el alias de "***USUARIO.1" indica estar en posesión de base de datos con aproximadamente 1 millón de registros de clientes de una reconocida empresa española cuya denominación social no menciona. Sin embargo, específica que se trata de una empresa fundada en 1995, especializada en la venta de artículos de hogar y electrodomésticos, con un patrimonio neto de 25.080.126 euros, cuya facturación anual alcanzaría 106.423.475 euros y cuyos beneficios ascenderían a 16.733.555 euros. Se ha podido comprobar que la entidad afectada podría ser su empresa (CECOTEC INNOVACIONES SL) dada la coincidencia con los datos de facturación y de fundación que indica el actor malicioso. (https://www.infoempresa.com/es— es/es/empresa/cecotec innovaciones—
12. sl)Para acceder a la base de datos completa es preciso ponerse en contacto con el actor malicioso, a través de correo electrónico o mensajería instantánea (Telegram o ICQ Asimismo, ***USUARIO.1 proporciona un enlace para acceder a una muestra de los datos en venta. La muestra es una imagen en la que aparece una tabla con información carácter personal de un total de 17 ciudadanos, algunos españoles, presuntos clientes de la empresa afectada. Aunque en algunas columnas de la tabla la información está enmascarada, los siguientes datos aparecen en claro: - —Dirección postal (ciudad, país y código postal) - -Número de teléfono móvil - -Número de documento nacional de identidad Hasta el momento no se han publicado comentarios 0 respuestas que permiten determinar si se trata de información verídica y si ha sido expuesta en otras filtraciones. Fuentes: (…) Lo ponemos en su conocimiento por si no tuviesen constancia o pudiesen comprobar si realmente se hubiese producido la filtración y tomar las medidas oportunas. De conformidad con el RGPD, si se trata de información real y ha afectado a la confidencialidad, disponibilidad o integridad de datos personales, el responsable del tratamiento deberá evaluar si existe riesgo (…)”. A través de la fuente puesta de manifestó en dicho correo, se podía acceder al citado anuncio de venta de la base de datos, que adjuntaba una muestra de 17 registros de la base de datos, y tenía el siguiente contenido, que ha sido reflejado en el correo electrónico de 14 de abril de 2023 aportado como Anexo 7 del escrito Resp#1 de CECOTEC: “(…) Message: I have a Spain E-commerce base. It is a renowed spanish company that was founded in 1995 The company specialized in household articles and small electrical appliances. It has a 25.080.126 euro Net Worth: Turnover 106.423.475 euro; Earnings 17.733.555 euro Year end results, and average daily purchase value of USS 749.795. I have almost 1 M entries of costumers, manufacturers and suppliers phone leads. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/173 Check the picture here: https….” (Traducción al español por esta Agencia) “(…) Mensaje: Tengo una base de comercio electrónico en España. Es una renombrada empresa española que fue fundada en 1995. La empresa especializada en artículos para el hogar y pequeños electrodomésticos. Tiene un valor neto de 25.080.126 euros; Volumen de negocios 106.423.475 euros; Ganancias 17.733.555 euros Resultados finales del año, y valor medio diario de compra de USS 749.795. Tengo casi 1 M entradas de clientes, fabricantes y proveedores con número de teléfono. Echa un vistazo a la imagen aquí: https....” SEGUNDO: Con fecha 19 de abril de 2024 a las 18:19 horas, CECOTEC notifica a esta Agencia que se ha detectado una brecha de confidencialidad de datos personales que afecta a 6 personas reales, aportando un informe de su DPD en el que consta señalado que se ha verificado que la muestra inicial de 17 registros contenida en el anuncio del actor malicioso coincide con los contenidos en una tabla denominada “***TABLA.1” de una antigua plataforma de tienda online denominada “***SOFTWARE.1” que viene utilizándose por CECOTEC para gestionar sus clientes desde el año 2016, cuyo (…) ***SERVICIO.2 se cerró en enero de 2021, pero que seguía activa en ***INTERFAZ.1. Se hace constar que no se considera necesario comunicar la brecha producida a estos 6 afectados, por no concurrir una probabilidad de que entrañe alto riesgo tras la valoración realizada. Respecto al tratamiento de los datos personales realizado a través de la citada plataforma de antigua tienda on line queda acreditado que: - - - CECOTEC inició el tratamiento de los datos personales obtenidos de sus clientes para gestionar la tienda online contenidos en la citada Plataforma ***SOFTWARE.1 de código abierto basada en servicios web en el año 2013 (según RAT aportado). No obstante, la empresa manifiesta que la plataforma ***SOFTWARE.1 no comenzó a utilizarse hasta 2016, lo que no consta actualizado en el RAT aportado al procedimiento. La empresa no aporta acreditación de este aspecto. No obstante, se ha podido comprobar que es cierto que los datos personales contenidos en la tabla “***TABLA.1” se refieren todos ellos a datos obtenidos entre 2016 y 2021 por lo que se tiene por cierto este hecho a favor de la empresa. En enero de 2021 el tratamiento fue modificado en los términos manifestados en el escrito de Resp#1, que señala que “la plataforma fue sustituida por una nueva tienda en línea sustituida internamente que adoptó tecnologías de desarrollo web de código abierto más moderno cuya transición se completó en enero de 2021”, pero: “a pesar del cierre de la plataforma original, se ha mantenido un acceso limitado a la misma (***INTERFAZ.1) con el único fin de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/173 - poder atender solicitudes, necesidades y/o reclamaciones de clientes de la empresa”. Consta que a fecha de la brecha (5-4-23) la plataforma se correspondía con la versión 1.6 de ***SOFTWARE.1, cuya estructura básica fue personalizada por CECOTEC, y aporta como Anexo 2, y se hallaba desactualizada, sin soporte, y con acceso directo a internet (con código de usuario y contraseña) al citado ***INTERFAZ.1 o ***SERVICIO.1 (), señalando la Resp#2 de CECOTEC que: “(…) La razón por la cual la plataforma todavía estaba accesible en Internet en dicha fecha es todavía no se ha realizado la migración de las integraciones de la antigua plataforma a la nueva. El ***INTERFAZ.1 sigue activo por: “la necesidad de mantener integraciones activas con nuestra nueva tienda en línea. Estas integraciones operan en modo lectura y son esenciales para el funcionamiento de nuestro sistema por lo que actualizar la plataforma a una versión más reciente podría generar inconvenientes en las mismas. Además, algunas de estas integraciones siguen requiriendo que se pueda acceder al ***INTERFAZ.1 de la plataforma desde Internet. No obstante, lo anterior, en los próximos meses se van a realizar las gestiones técnicas oportunas para realizar la migración de todas las integraciones de la plataforma y eliminar por completo la exposición de la plataforma de Internet”. - Por último, se ha acreditado mediante Diligencia de 3 de junio de 2024 que CECOTEC ha procedido a la inhabilitación del acceso a internet de la plataforma al que hace referencia el escrito de AlegAI#1 de 25-4-23. Sin embargo, no se aporta acreditación alguna que justifique que han cesado la totalidad de las operaciones de tratamiento de los datos personales realizados a través de dicha plataforma, no constando acreditado que la reclamada haya procedido ni al cese del tratamiento, ni al bloqueo y/o supresión de los datos personales contenidos en la misma. TERCERO: CECOTEC ha reconocido que la base de datos que como consecuencia del ciberataque al que se refieren los hechos anteriores, se ha producido una brecha de confidencialidad de los datos personales contenidos en una de las tablas de esta plataforma ***SOFTWARE.1 denominada “***TABLA.1”, cuyo contenido íntegro ha sido aportado por CECOTEC el 24-9-24 (…), toda vez que se ha comprobado que el actor malicioso ha podido acceder sin autorización a parte de los datos personales contenidos en la misma, y los ha puesto en venta en un foro de la dark web con fecha de 5-4-23, publicando una muestra de 17 registros que se corresponden íntegramente con los contenidos en la citada tabla, de los cuales 6 corresponden a personas físicas y el resto son datos de prueba. Ello se reconoce por la reclamada en los siguientes escritos: - A la notificación de la brecha de 19 de abril de 2023, se adjunta un informe del DPD, en el que se señala que en la plataforma ***SOFTWARE.1: “Se almacena una variedad de datos personales que eran esenciales para el funcionamiento y la gestión de la tienda en línea, sin embargo, en el contexto del posible incidente reportado por el INCIBE, los datos supuestamente afectados se relacionan con la tabla ***TABLA.1 dentro de la base de datos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/173 - En el primer Informe detallado del incidente aportado como Anexo 3 de su escrito de 30 de agosto de 2023 (Resp#1), CECOTEC reconoce que coinciden los 17 registros de la muestra contenida en el anuncio pero que no se da crédito a que lo expuesto por “***USUARIO.1 sea viable o, en su caso, veraz”. - Como Anexo 7 del primer escrito de respuesta al requerimiento de investigación (Resp#1), se acompaña un correo electrónico que el Director de Ciberseguridad de CECOTEC remitió a la DPD de CECOTEC el 14 de abril de 2023, en el que tras realizar las pertinentes averiguaciones al objeto de comprobar la verosimilitud del ataque basándose en la muestra inicial que el actor malicioso había publicado en su anuncio de 17 registros, señala lo siguiente (el subrayado es nuestro): “Tras realizar el análisis, se vió que los registros de la tabla coinciden con los de la tienda antigua de cecotec (…) que se cerró en 2021. No obstante, actualmente dicha página la usan algunas personas a modo de consulta. Tras investigar junto al departamento de ecommerce e infraestructura, pudimos ver los registros que tiene el atacante de la base de datos son desde el 2016 al 2020, esto suponiendo que tenga el 1.000.000 de registros que dice tener, ya que solamente muestra 18 registros en la imagen que adjunta. En dicha tabla se encuentran datos de usuario como direcciones, código postal, ciudad del usuario, teléfono, dni .“ - Posteriormente, el primer escrito de alegaciones presentado frente al acuerdo de inicio (Aleg AI#1) se reconoce que la citada plataforma de CECOTEC “fue víctima de un ciberataque”, y por tanto, que el origen de la brecha fue el acceso ilegítimo del actor malicioso que publicó el anuncio, al realizar siguientes afirmaciones: o “Es importante resaltar que la brecha de seguridad comunicada el 19 de abril del 2023 se produce en la plataforma de CECOTEC no por falta de medidas de seguridad o que estas sean ineficaces sino por el ataque de un tercero (hacker) que accede vulnerando de forma irregular el acceso al sistema”(…) o “Con relación a la plataforma de CECOTEC a la que, consta acreditado, se accedió por un tercero ilegalmente, debemos resaltar como se ha venido informando a la AEPD en fase de investigaciones previas, que sí se disponía de medidas de seguridad técnicas y organizativas tendentes a evitar el acceso de terceros no autorizados como eran el disponer de “controles de acceso”. o “No se ha acreditado que la brecha de seguridad sufrida por CECOTEC haya supuesto un “alto riesgo”(…)” inicialmente tuvo dudas acerca de la certeza de la brecha pero ésta fue finalmente notificada a la Autoridad de Control conforme fue obteniendo información al respecto”. - Ello se confirma en el segundo escrito de alegaciones presentado el 8 de mayo de 2024 (AlegAI#2) al recibir la copia del expediente, se hace constar: “(…) Lo empresa ha sido víctima de un ciberataque en sus sistemas, habiéndose adoptado medidas correctoras de formo inmediata y existiendo medidas adecuadas previas al incidente”. - Y, finalmente, con fecha de 13 de mayo de 2024, se presenta copia de la denuncia presentada ante la Policía Nacional, en la que CECOTEC denuncia haber sido víctima de un presunto delito a causa del ciberataque anunciado en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/173 foro de la dark web al que se refiere el presente expediente. En concreto, se indica que: : “II.— Que, como consecuencia de dicho traslado, CECOTEC ha tenido conocimiento de los datos de carácter identificativo con los que opera aquél que supuestamente habría obtenido datos de carácter personal de consumidores y/o usuarios de la Compañía de forma ilícita, dedicándose a su vez a su Venta, a través del foro https://sinister.ld” (copian datos del anuncio publicado el 5 de abril de 2023 por el ciberdelincuente). “IV.- Teniendo en cuenta que el tercero, cuyos datos se aportan a través de la presente Denuncia, se dedica a la comercialización de una base de datos de carácter personal de consumidores y/o usuarios, supuestamente de la Compañía, así como pudiendo verse afectadas otras sociedades mercantiles ajenas a la Compañía, esta parte quiere poner a disposición de las Fuerzas y Cuerpos de Seguridad del Estado la información de la que se- dispone a los efectos legales oportunos. ' ' CUARTO: Respecto al alcance de la brecha de confidencialidad de datos personales cabe señalar que se ha practicado prueba y ha quedado acreditado que el actor malicioso accedió de forma no autorizada, al menos, a un total de 1.000 registros contenidos en la citada tabla “***TABLA.1” de CECOTEC, de los cuales 933 correspondían a personas físicas con DNI válido, cuyos datos personales no habían sido cifrados ni seudonimizados, sino que aparecían visibles y expuestos en su totalidad, y sin enmascarar en ninguno de sus 24 campos. Lo que se deduce de las siguientes evidencias unidas al procedimiento: - Con fecha de 4 de agosto de 2023, siguiendo las instrucciones contenidas en los correos de alerta del INCIBE que constaban en el procedimiento, el inspector contacta con el usuario malicioso y obtiene una segunda muestra de 1000 registros de la base de datos. Así lo hace constar en la conclusión cuarta de su informe lo siguiente: “4.- Por parte del inspector se ha contactado con el usuario que decía poner a la venta la supuesta base de datos con objeto de contrastar la veracidad de la información y verificar la existencia de filtración de datos personales, (…) y contiene 1086185 registros con datos de clientes. El usuario aportó al inspector (…), que son adicionales a los 17 publicados en la muestra, con idéntica estructura de campos y datos que la captura publicada. En relación con esta estructura de campos la empresa había confirmado que se corresponde con la tabla “***TABLA.1” de su base de datos, que contiene los siguientes datos personales de 1.000 personas: “***TABLA.12, postcode, city, other, phone,phone_mobile, vat_number, dni.” - Tal y como señala el informe API, con fecha de 2 de noviembre de 2023 se incorporan al procedimiento la copia del correo electrónico de respuesta remitido por el actor malicioso al inspector el 4 de agosto de 2023, y la muestra de 1000 registros obtenida del mismo. En concreto, dicho correo electrónico tiene el siguiente contenido literal que se traduce a continuación: “Re: Spanish Ieak 1 millon records From RKSinc©protonmail.ch <RKS¡nc©protonmaíl.ch> To paulecrypt<paulecrypt©proton.me> Date Friday, August 4th, 2023 at 11:28 AM Many thanks for replying. – Yes the company is CECOTEC. | accept BTC and maybe USDT (ERC20,TRC20) majorly. As soon as your payment comes in , ¡ send your ñle ASAP. --Príce is C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/173 $3,000 (negotíable) 1,086,185 cecotec.es customer,manufacturers,supliers phone data 01/05/2023 7:25 pm Text Document 166,117 KB J 837,606 cecotec.es Customers (mobile Phone sorted) data 11/05/2023 7:54 pm CSV File 128,060 KB * * The first file is 1M Plus, when i sorted the phone numbers to (Mobile and customers only) it came down to 837k plus. You can see the files there”. (Traducción al español por esta Agencia) «Sí, la empresa es CECOTEC. | Aceptar BTC y tal vez USDT (ERC20, TRC20) principalmente. Tan pronto como su pago llegue, ¡envíe su …. lo antes posible. --Príce es $3,000 (negociable) 1,086,185 cecotec.es cliente,fabricantes,suministradores datos telefónicos 01/05/2023 7:25 pm Documento de texto 166,117 KB J .837,606 cecotec.es Datos de los clientes (ordenados por teléfono móvil) 11/05/2023 7:54 pm CSV Archivo 128,060 KB * * El primer archivo es 1M Plus, cuando ordené los números de teléfono a (Mobile y clientes solamente) se redujo a 837k plus. Puedes ver los archivos allí” - En el primer escrito de contestación al acuerdo de prueba de 4-7-24, CECOTEC aporta como doc 3 su estructura personalizada de la plataforma donde se observa que hay una tabla que se llama “***TABLA.1”, cuyos campos coinciden con los de la muestra de 1000 registros que el inspector obtuvo del ciberdelincuente. Señala CECOTEC que esta estructura estaba vigente al cierre de la plataforma en enero de 2021, permaneciendo invariable a fecha del ciberataque. - En el segundo escrito de contestación a prueba de 20-09-24 CECOTEC aporta como DOC 1 un documento Excel sin fechar ni firmar, señalando que éste se corresponde con el contenido íntegro de la citada tabla “***TABLA.1” que fue requerida en fase de prueba, y haciendo constar que: “ De acuerdo con la información facilitada por el departamento de IT, conviene indicar que el contenido de la tabla “***TABLA.1” que se aporta en el presente escrito es el mismo que a fecha de cierre de la plataforma en diciembre de 2022. En este sentido, se confirma que este contenido es el mismo que a fecha del anuncio por el ciberdelincuente (5/4/2023) y que a fecha en la que se hicieron las comprobaciones (12/04/2023 y 13/04/2023)” - Con fecha de 14 de febrero de 2025 se expide Diligencia por la instructora del procedimiento para hacer constar los datos obtenidos de la comparación entre los registros contenidos en la muestra proporcionada por el ciber atacante el 4 de agosto de 2023 y los contenidos en la tabla “***TABLA.1” aportada por CECOTEC. En concreto, se constata lo siguiente: “Se adjunta como Anexo I el listado Excel de coincidencias obtenidas de comparar ambos listados, organizadas por DNI, tras realizar una validación de DNIs. Y se hace constar el resumen del resultado obtenido: 1. Análisis registros y datos personales de la TABLA ***TABLA.1 DE CECOTEC. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/173 La tabla ***TABLA.1 aportada por CECOTEC contiene un total de 2.057.313 registros (filas), que se reducen a 2.054.164 registros que disponen de teléfono móvil. Por tanto, no coinciden con los registros totales que dice tener el actor malicioso de 1.086.185, de los cuales 837.606 con teléfono móvil. La tabla ***TABLA.1 contiene 25 campos, en los que se contienen los siguientes tipos de datos personales: i. Dirección postal 1 (indicando la calle, número, código postal y ciudad). ii. Dirección postal 2 (solo aparecen datos que parecen ser la continuación o complemento de la dirección 1). iii. Códigos identificadores completos: código de dirección, código de país, código de cliente. iv. Códigos identificadores de proveedor y fabricante: aparecen con 1 o 0. v. Nombre y apellidos. vi. Número DNI. vii. Número NIF (aparece siempre en blanco). viii. Teléfono fijo (no se cumplimenta siempre) ix. Teléfono móvil (cumplimentado en casi todas las ocasiones). *No se mencionan los campos que aparecen en blanco (NIF) o con valor cero, o aquellos que no contienen datos personales de personas físicas como alias, company, fecha, activo, borrado…etc. Se señala también que no todos los registros tienen cumplimentados todos los campos.” 2. Análisis datos personales y titulares de la MUESTRA 2 proporcionada por el actor malicioso. Los datos personales contenidos en la muestra de 1000 registros corresponden a un total de 933 personas físicas que aparecen con un DNI válido, 50 personas físicas cuyo número de DNI es inválido o incorrecto, y 17 corresponden con empresas. Los datos aparecen visibles en su totalidad, sin aplicación de cifrado ni seudonominización. Los campos contenidos en la muestra 2, que contienen datos personales de personas físicas con DNI válido ascienden a 933 personas, y son los siguientes*: o Dirección postal 1 (indicando la calle, número, código postal y ciudad). o Códigos identificadores: código de dirección, código de país, código de cliente, código de suministrador y código de fabricante. o Nombre y apellidos o Número DNI. o Teléfono fijo y teléfono móvil.” *No se mencionan los campos que aparecen en blanco o con valor cero, como alias, NIF, dirección 2, alias..etc. Y no todos los registros tienen cumplimentados todos los campos: 3.- Análisis comparativo entre la muestra 2 y la tabla ***TABLA.1. La muestra 2 contiene 1000 registros, todos los cuales se encuentran incluidos en la tabla ***TABLA.1. Se observa que coinciden hasta los códigos identificadores que se generan automáticamente por la base de datos, que el actor malicioso no podría deducir si no hubiera accedido a la misma. (id ***TABLA.1, id country, id costumer, id C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/173 supplier…etc). Las 933 personas físicas incluidas con DNI verificado cuyos datos personales aparecen en el listado se encuentran incluidas en la tabla ***TABLA.1 de CECOTEC, e incluyen los campos y datos personales que se han señalado”. - En las alegaciones presentadas el 18 de marzo de 2025 frente a la propuesta de resolución, tras recibir copia de la diligencia citada de cotejo de datos, CECOTEC reconoce que la brecha alcanzó a un total de 933 personas físicas, y pide que la sanción se gradué teniendo en cuenta este alcance, y no el de 1.086.185 que decía tener el ciber atacante. En concreto, señala que: o o o o Pag 2: “Junto a lo anterior, tras el cotejo realizado por la Agencia entre la base de datos aportada por el atacante y la base de datos aportada por CECOTEC, se desprende que: (…)El número de registros que coincide en ambas tablas es de novecientos noventa y tres registros