1/19 Procedimiento nº.: PS/00422/2012 ASUNTO: Recurso de Reposición Nº RR/00251/2013 Examinado el recurso de reposición interpuesto por la entidad Amazon Spain Services, S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00422/2012, y en base a los siguientes, HECHOS PRIMERO: Con fecha 22 de febrero de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00422/2012, en virtud de la cual se imponía a la entidad Amazon Spain Services, S.L. (en lo sucesivo BUY VIP) una sanción de 20.000 euros (veinte mil euros), por la vulneración de lo dispuesto en el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.h), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 26/02/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00422/2012, quedó constancia de los siguientes: <<PRIMERO: BUY VIP es la entidad titular del sitio web buyvip.com, cuya finalidad es la comercialización de productos de terceras entidades a clientes particulares. Los tipos de datos incluidos obligatoriamente en los ficheros de clientes BUY VIP son los relativos a nombre y apellidos, fecha de nacimiento, cuenta de correo electrónico y clave de usuario. Entre los datos que el usuario puede proporcionar, en función de los productos o servicios adquiridos, se encuentran el domicilio y teléfonos de contacto. Además en el fichero se conserva el historial de compra del usuario. SEGUNDO: BUY VIP gestiona los datos de los clientes registrados en España y, como encargada del tratamiento por virtud de los respectivos contratos de prestación de servicios, los datos de clientes de otras filiales […]. Los servicios contratados a BUY VIP incluyen, entre otros, la gestión y mantenimiento de las páginas web y las herramientas informáticas de las sociedades filiales. […]. TERCERO: Entre los días 30/08 y 05/09/2011, un usuario no autorizado, que no ha sido identificado, accedió a la base de datos […] de BUY VIP en la que se almacenan los datos de los clientes, sin que conste acreditada fehacientemente la exportación de dichos datos a algún C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 sistema ajeno a la entidad. Utilizando la red corporativa, a la que se accedía con los valores de usuario y clave del servicio VPN, este usuario no autorizado se conectó al servidor […] mediante la utilización del código de usuario […]. Una vez conectado el intruso al servidor […], accedió a la base de datos de clientes de BUY VIP mediante el usuario […]. Se halló un fichero que contenía datos de los usuarios de la filial […] extraídos de la base de datos, generado por el usuario no autorizado. En relación con este acceso por un tercero o terceros no autorizados, BUY VIP ha admitido ante los Servicios de Inspección de la Agencia Española de Protección de Datos que “las credenciales de un usuario con permisos superiores a un usuario común fueron comprometidas” y que por medio de esas credenciales “se accedió a la VPN de la entidad y a la base de datos de clientes”. CUARTO: Las direcciones IP desde las que se accedió a los datos corresponden con proveedores de acceso a Internet ubicados en […]. QUINTO: Con fechas 09 y 14/09/2011, la entidad BUY VIP remitió a sus clientes un correo electrónico que da cuenta del acceso no autorizado a los datos personales de los mismos reseñado en el Hecho Probado Tercero. En estos correos se indica lo siguiente: “Te escribimos para hacerte saber que puede haberse producido un acceso no autorizado a alguno de los datos de tu cuenta de usuario BuyVip, tales como tu nombre, dirección de e-mail, dirección de envío, fecha de nacimiento, teléfono y contraseña. Tus datos de pago, incluyendo la información de tu tarjeta de crédito, no se han visto afectados en ningún momento. A pesar de que almacenamos nuestras contraseñas de forma protegida, como precaución te recomendaos que cambies tu contraseña en BuyVip y en cualquier otro sitio en el que usases la misma clave o similar. Además te rogamos que recuerdes que BuyVip nunca te pedirá información personal o datos relativos a tu cuenta por correo electrónico. Te recordamos que extremes la precaución si recibes cualquier correo electrónico en el que se solicite tu información personal o que te dirija a otra web en la que te pidan información personal. Lamentamos las molestias… El Servicio de Atención al Cliente de BuyVip”. SEXTO: En el momento en que tuvo lugar el acceso no autorizado a los datos personales de los clientes de BUY VIP reseñado en el Hecho Probado Tercero, la infraestructura tecnológica de los sistemas de información de la entidad contaba con un conjunto de servidores [...] ubicados en un centro de proceso de datos en […]. Los empleados de BUY VIP y de sus filiales en otros países (usuarios de bases de datos) podían acceder al sistema de información de la entidad mediante una red privada virtual (VPN), que posibilitaba el acceso a los datos mediante una conexión cifrada en función del perfil asignado a cada usuario con acceso a la VPN. Para acceder a las bases de datos de forma remota, los usuarios de bases de datos debían superar un procedimiento de autenticación mediante un usuario y clave. La base de datos de BUY VIP instalada en los servidores contaba con un usuario del sistema operativo cuyo código de usuario era […], que figuraba como propietario del software de base de datos que proporciona la capacidad de almacenamiento y acceso a los datos. El usuario del sistema […] accede a cualquier base de datos sin tener que superar los controles de acceso basados en el par usuario y clave previstos para los usuarios de bases de datos […]. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 Además, existe un listado de usuarios de base de datos que configura el acceso por estos usuarios autorizados a los datos almacenados en la base de datos. Entre ellos figuraban dos usuarios creados por defecto al instalar el gestor de base de datos […]. Las claves de usuario utilizadas en el servicio de Directorio de la oficina de […] verificaban de manera automática la estructura, complejidad y caducidad de las claves. En el resto de las aplicaciones dependían del usuario. El sistema de información de BUY VIP no tenía implementada una política de filtrado de las conexiones […].>> TERCERO: Con fecha 22/03/2013, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad, recibido en esta Agencia Española de Protección de Datos en la misma fecha, en el que solicita que se anule la sanción impuesta o, subsidiariamente, se imponga una sanción por el importe establecido para las infracciones leves en su cuantía mínima, por cuanto considera que no ha cometido la infracción que se le imputa. En dicho escrito de recurso formula las siguientes consideraciones: Ratifica el contenido de sus escritos anteriores señalando que no existe ninguna prueba que permita determinar el modo en el que los intrusos pudieron superar los controles de acceso a la VPN de BuyVip, ni la entidad ha reconocido el origen de la intrusión, que la Agencia concluye a partir de las afirmaciones contenidas en el Acta de Inspección E/03705/2011/1-01 (folio 71), en la que no intervino el equipo de investigación de Amazon EU que llevó a cabo el análisis de la intrusión, que, al contrario, informó sobre la insuficiente “información disponible sobre logs para reconstruir completamente el evento y encontrar la causa inicial del incidente" (folio 112). Considera que la interpretación más plausible a lo recogido en dicho Acta debe situarse en un error de apreciación por parte de los inspectores, en relación con los comentarios realizados por BuyVip durante la inspección acerca de las sospechas del equipo de investigación de Amazon EU sobre el origen de la intrusión, y que lo señalado en el Acta se refiere a sospechas sobre el modo en que se produjo el acceso. Incluso, advierte que, aún a día de hoy, desconoce cómo se llevó a cabo dicho acceso, por lo que considera que no existe ninguna prueba directa que permita determinar la manera en la que el/los hacker/s que realizaron el ciber-ataque pudieron superar los controles de acceso a la VPN de BuyVip e introducirse en los sistemas de información, y ello hace imposible la imputación de una infracción del artículo 9.1 de la LOPD, que la Agencia fundamente en la presunta presencia de "deficiencias" en el sistema de seguridad de BuvVip, en meros indicios que carecen de solidez para erigirse en base fáctica suficiente sobre la que sustentar la imputación. A este respecto, destaca la recurrente que la prueba indiciaría está sujeta a una serie de exigencias, tal y como ha puesto de manifiesto el Tribunal Constitucional en reiteradas sentencias, como son que no se trate de un hecho base único, que tales hechos estén acreditados y la inferencia no quebrante las reglas de la lógica. Considera que estos requisitos no concurren en el presente caso, basado en sospechas no acreditadas y de cuya valoración no cabe deducir (a través de un proceso mental razonado, asentado en las reglas del criterio humano o en las reglas de la experiencia común), que el origen de la intrusión a la VPN de BuvVip se debió a una deficiencia en el sistema de seguridad adoptado. Además, expone que en las actuaciones consta que BuyVip contaba con un sistema de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 segundad, descrito en el expediente, que cumplía con rigor las medidas de seguridad exigibles (incluyendo las establecidas por los artículos 91 y 93 del RLOPD), muy superior a los estándares de seguridad que se aplican en la industria, y no se ha discutido por la Agencia. Ni BuyVip, ni el equipo de investigación de Amazon EU, ni tampoco los propios inspectores de la Agencia, han podido identificar una brecha o deficiencia en el sistema de seguridad de la VPN de mi representada que permita explicar la intrusión en sus sistemas. Por consiguiente, el sistema de seguridad de BuvVip era seguro, cumplía con las exigencias legales y en ningún caso fue quebrado o superado por un hacker. El acceso se produjo porque un hacker, de alguna manera desconocida, accedió, sustrajo y utilizó de forma fraudulenta las claves de acceso a la VPN de BuyVip de un usuario autorizado. En consecuencia, el acceso a los sistemas de mí representada se produjo, simplemente, porgue el intruso robó la llave para acceder a dichos sistemas (es decir, las claves de usuario), sin que se sepa cómo pudo obtenerla. Y es que, es obvio, de nada sirven las medidas de seguridad de un sistema cuando la persona que quiere acceder al mismo tiene la llave de entrada, simplemente porque la ha robado. Así las cosas, la valoración conjunta de los hechos sólo permite concluir que no existen pruebas suficientes de cargo para enervar la presunción de inocencia, considerando que la responsabilidad objetiva es inadmisible en el derecho administrativo sancionador. Reitera lo manifestado durante el procedimiento, en relación con la deficiencia valorada en las actuaciones relativa a la falta de restricciones […] y que, en cualquier caso, el acceso a la red corporativa VPN de BuyVip no era en ningún caso libre, sino que requería del previo registro y autenticación del usuario en el sistema de seguridad de doble factor. Ni la LOPD, ni el RLOPO, establecen restricción alguna que impida o limite a los responsables del tratamiento tener sistemas informáticos que puedan ser accedidos en remoto. Por último, la Agencia mantiene que las nuevas medidas de seguridad adoptadas por BuyVip tras el ataque sufrido constituyen una prueba de que el sistema de seguridad de mi representada era deficiente. A este respecto, tal presunción carece de elementos fácticos que la soporten y obvia una circunstancia inherente a todo sistema de seguridad, a saber: su continua evolución. La introducción de cambios en el sistema de seguridad tras el ataque sufrido por BuvVip jamás puede ser tomado por la Agencia como indicio alguno o reconocimiento de la insuficiencia o inadecuación de las medidas de seguridad Implantadas en el momento de los hechos controvertidos. Por otra parte, considera que no se ha acreditado la culpabilidad de la entidad, por cuanto se disponía de una seguridad adecuada para evitar el acceso que, por motivos no imputables a BuyVíp, fue vulnerada y la base de datos comprometida. Tal y como se recoge en el expediente, en modo alguno la intrusión a los sistemas de BUYVIP se produjo como consecuencia de una conducta culpable de la misma, sino a resultas de un ataque realizado por una o varias personas con profundos conocimientos técnicos, quienes infringiendo la legalidad vigente, presuntamente accedieron de forma fraudulenta a los sistemas de información de BuyVip, sin que haya sido posible esclarecer cómo se llevó a cabo el acceso. Ante la ausencia de hechos que atribuyan a BuyVip grado alguno de culpa en relación con el ataque sufrido, la Agencia señala el carácter de "obligación de resultado" de las medidas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 seguridad. A este respecto, nótese en primer término que el criterio recogido en la Sentencia de la Audiencia Nacional invocada por la Agencia, ha sido matizado y enmendado con posterioridad por dicho órgano jurisdiccional. Así, la Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de fecha 25 de febrero de 2010 que, en relación con un caso similar al presente, señala lo siguiente: "En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por el ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www.portalatino.com, descargándose una copia de la misma. Y tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad. El principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita después de la STC 76/1999, que señaló que los principios del ámbito del derecho penal son aplicables, con ciertos matices, en el ámbito del derecho administrativo sancionador, requiriéndose la existencia de dolo o culpa. En esta línea la STC 246/1999, de 19 de diciembre (RTC 1991/246), señaló que la culpabilidad constituye un principio básico del Derecho administrativo sancionador. Culpabilidad, que no concurre en la conducta analizada de Portal Latino". En relación con dicha sentencia, la Agencia considera que su contenido no es aplicable al presente caso, porque en el supuesto de hecho enjuiciado por la sentencia el acceso a los sistemas "no resultó de una falta o ineficacia de las medidas de seguridad adoptadas por el responsable del dicho sistema sino por la actitud activa de una persona con conocimientos técnicos necesarios para llevar a cabo la intrusión". A éste respecto, es necesario recordar a la Agencia que no consta en el Expediente prueba alguna que indique que el acceso a los sistemas de BuyVip por el hacker se produjo como consecuencia de una "falta o ineficacia de las medidas de seguridad adoptadas por BuyVip". Y es que el citado acceso no tuvo lugar por un fallo en la seguridad, sino por la acción delictiva de un hacker con conocimientos técnicos necesarios para realizar la intrusión. Por consiguiente, el criterio establecido por la Sentencia de Sala de lo Contencioso-Administrativo de la Audiencia Nacional de fecha 25 de febrero de 2010 es plenamente aplicable al supuesto que ahora nos ocupa. La consecuencia del Principio de Culpabilidad es la erradicación de la responsabilidad objetiva. De forma subsidiaria, entiende que procede la aplicación de la escala de sanciones previstas para las infracciones leves en su cuantía mínima por la concurrencia de los criterios moderadores establecidos por el artículo 45.4 de la LOPD. Considera desproporcionada la multa impuesta, de las más altas en relación con el artículo 9 de la LOPD, a pesar de que BuvVip ha sido, posiblemente, la compañía que más medidas ha tomado para minimizar las consecuencias de un incidente de seguridad, además de ser la compañía que más activamente ha colaborado con la Agencia para esclarecer el incidente de seguridad y que de manera más rápida informó a los afectados. A este respecto, considera que la Agencia no ha valorado suficientemente todas las circunstancias concurrentes y omite las siguientes:
- a)Volumen de los tratamientos efectuados (art.45.4 (
- b)LOPD): C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 El volumen de datos afectados que debe tenerse en cuenta es de 3.920.085 registros, correspondientes a los clientes registrados en España, y no […], tal y como establece la Agencia en su Resolución. El tratamiento de las filiales en otros países se encuentra sometido a sus perspectivas legislaciones de protección de datos (artículo 4.1 (
- a)de la Directiva 95/46/CE, del Parlamento Europeo y del Consejo, de 24 de octubre de 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y la libre circulación de estos datos). El hecho de que las medidas de seguridad que deben ser aplicadas por BuyVip en su rol de encargado del tratamiento sito en España sean las establecidas por el RLOPD, tal y como argumenta la Agencia en su Resolución, no es óbice para que la responsabilidad que, en su caso, pueda existir en relación con la adecuada o inadecuada implementación de tales medidas de seguridad en lo que respecta a datos personales de los que las filiales de BuyVip son responsables del tratamiento, deba ser depurada conforme a la legislación de los Estados Miembros respectivos, valorada por la Autoridad de Supervisión de dichos países y, finalmente, soportada, en su caso, por las filiales de BuyVip en dichos territorios, y no por BuyVip en España.
- b)Reducido volumen de negocio y actividad de BuyVip: BuyVip tuvo pérdidas sustanciales.
- c)Ausencia de reincidencia.
- d)Ausencia de perjuicios causados a las personas interesadas o terceros (art. 45.4.
- h)LOPD), ni consta reclamación de cliente ni de tercero en relación con un uso fraudulento de sus datos, incluida su dirección de correo electrónico; únicamente se formularon nueve denuncias y no existen evidencias sobre "la exportación de dichos datos a algún sistema ajeno a la entidad".
- e)BuvVip tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la intrusión consecuencia de una anomalía en el funcionamiento de los mismos no debida a una falta de diligencia exigible.
- f)La diligencia extrema con la que BuyVip gestionó el incidente de seguridad, cerrando completamente su página Web durante tres días y notificando su existencia de forma urgente tanto a los usuarios como a la propia Agencia y Guardia Civil, aunque la normativa actual no obliga al responsable del fichero a realizar tales notificaciones. BUY VIP ha solicitado que la Resolución sancionadora impugnada y la que se dicte como consecuencia del presente recurso no se publiquen en la web de la Agencia o, subsidiariamente, que dicha publicación no incluya información que pueda afectar a las investigaciones que desarrolla la Guardia Civil, a la seguridad de los datos o de su negocio. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la entidad recurrente, que reproducen las alegaciones ya presentadas a lo largo de las actuaciones, debe señalarse que ya fueron analizadas en los Fundamentos de Derecho III a VIII de la Resolución recurrida, de 22/02/2013. En esta resolución se considera que la citada entidad incumplió lo dispuesto en el artículo 9 de la LOPD, tipificado como infracción grave, y se imponía una sanción según la escala prevista para las infracciones leves conforme a lo establecido en el artículo 45.5 de la misma Ley Orgánica. En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 dicha Resolución se detalla suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En concreto, en los Fundamentos de Derecho citados se indica lo siguiente: << III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. IV Se imputa a la entidad BUY VIP el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
- c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal contenidos en los ficheros de clientes de la entidad BUY VIP, correspondiendo adoptar las calificadas de nivel básico, en atención al tipo de información que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 almacenarán de forma ininteligible”. El artículo 5.2.
- b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad BUY VIP está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, los hechos expuestos, en relación con la posibilidad de que por parte de terceros se pudiera acceder, a través de Internet, a los datos personales contenidos en la base de datos de BUY VIP, al no haberse garantizado la seguridad de tales datos de carácter personal, suponen la comisión, por parte de dicha entidad, de una infracción del artículo 9.1 de la LOPD, por cuanto se constatado que esa posibilidad tuvo origen en una insuficiencia de las medidas de seguridad del sistema de información diseñado por la propia entidad, que posibilitó que un tercero no identificado accediera a los datos personales de los clientes de la entidad y sus filiales en otros países, a las que BUY VIP prestaba servicios como encargada del tratamiento. En concreto, los Servicios de Inspección de la Agencia han constatado que el acceso indebido a la base de datos de la tienda electrónica (con […] registros de usuarios) se produjo como consecuencia de algunas deficiencias del sistema. La propia entidad imputada admitió ante los Servicios de Inspección de la Agencia Española de Protección de Datos que las credenciales de un usuario con permisos superiores a un usuario común fueron comprometidas y que por medio de esas credenciales “se accedió a la VPN de la entidad y a la base de datos de clientes”, existiendo indicios que permiten concluir que el intruso o intrusos (no identificados) posiblemente tuvieron acceso al buzón de correo de un empleado […]. Posteriormente, el acceso a la base de datos de clientes pudo realizarse a través de los usuarios genéricos del sistema operativo […] y del gestor de base de datos […], cuya contraseña por defecto no había sido convenientemente modificada. Por otra parte, el acceso de los usuarios de la base de datos no estaba restringido […]. La responsabilidad por estas deficiencias puede exigírsele a BUY VIP, por una inadecuada implantación de medidas de seguridad, en lo que se refiere al control de accesos y a la identificación/autenticación de los usuarios. Se trata de deficiencias apreciadas en el sistema de información diseñado por BUY VIP. Dicha entidad alega que no puede tratarse como deficiencia las circunstancias […] que responden a sus necesidades de negocio y a la operativa de trabajo que aplica. Sin embargo, la propia entidad imputada, a su propia iniciativa, acordó la adopción de algunas medidas para corregir deficiencias como las señaladas e impedir nuevas intrusiones. Entre estas medidas, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 se enumeran en el Antecedente Tercero, destaca […] nueva gestión más segura de la política de generación y distribución de claves. En definitiva, los datos personales de los clientes de BUY VIP resultaron accesibles a terceros, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que BUY VIP ha incurrido en la infracción grave descrita. BUY VIP es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad. V La entidad BUY VIP ha alegado que sus sistemas de información disponen de las medidas de seguridad requeridas y que la intrusión a sus sistemas no se produjo como consecuencia de una conducta culpable de la misma. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad BUY VIP la responsable del fichero y, por tanto, la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. BUY VIP considera que contaba con un sistema seguro y cumplía con rigor las mediadas exigibles, de modo que no cabe imputarle responsabilidad alguna por una intrusión organizada y planeada. Sin embargo, en este caso, a diferencia de los precedentes invocados por la entidad, se concluye que la misma no había adoptado las medidas técnicas y organizativas apropiadas, habiéndose acreditado la existencia de una relación entre el acceso y la inexistencia o ineficacia de las medidas, con independencia de las técnicas intrusivas empleadas. Las circunstancias de hecho puestas de manifiesto en el expediente señalado por BUY VIP (E/00680/2010), que se resolvió con archivo de las actuaciones, son distintas a las planteadas en este caso. En aquel precedente, el acceso a los datos personales se realiza fraudulentamente por usuarios del fichero accedido, empleados de empresas que prestaban servicio al responsable del mismo. En el supuesto correspondiente a la Sentencia invocada por BUY VIP, de fecha 25/02/2010, la Audiencia Nacional tuvo en cuenta el resultado de las investigaciones policiales realizadas, según las cuales el acceso a los sistemas de información implicados en ese caso no resultó de una falta o ineficacia de las medidas de seguridad adoptadas por el responsable de dicho sistema sino por la actitud activa de una persona con los conocimientos técnicos necesarios para llevar a cabo la intrusión. En cambio, en el presente caso, aunque la intrusión en los sistemas de información de BUY VIP también resulta de una conducta activa por parte de un hacker, el análisis del sistema diseñado por esa entidad ha determinado que el acceso a la información se produjo por las deficiencias apreciadas, según el detalle antes expuesto. Por otra parte, cabe destacar que los criterios contenidos en la Sentencia citada se han tenido en cuenta para no imputar a BUY VIP una infracción de lo dispuesto en el artículo 10 de la LOPD, por incumplimiento del deber de secreto en relación con los datos personales de sus clientes, considerando la actuación desarrollada por la misma con posterioridad al incidente para regularizar la situación y minimizar los riesgos (cerró el acceso a la tienda y notificó la incidencia a los clientes con recomendaciones sobre las medidas que debían adoptar). VI En su escrito de alegaciones a la propuesta de resolución, la entidad BUY VIP niega haber admitido que la intrusión se originase por un acceso fraudulento a las credenciales de un usuario con permisos superiores, considerando que no se conoce cómo se produjo dicha intrusión. Sin embargo, en el Acta de Inspección E/03705/2011/I-01, que recoge las manifestaciones realizados por los representantes de la entidad ante los Servicios de Inspección de la Agencia Española de Protección de Datos, en su apartado 2.7 (folio 71), se indica lo siguiente: “BUY VIP fue adquirida por Amazon EU y debido al elevado nivel de experiencia y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 profesionalidad de los técnicos de esta última empresa, los mismos participaron activamente en el análisis del incidente. Entre las conclusiones a las que ha llegado el equipo de investigación están las siguientes: . Las credenciales de un usuario con permisos superiores a los de un usuario común fueron comprometidas. Por medio de esas credenciales se accedió a la VPN de la entidad y a la base de datos”. Asimismo, señala BUY VIP que los hechos probados omiten que la entidad no recaba datos bancarios. A este respecto, cabe indicar que los hechos que es esta resolución se tienen por probados detallan la tipología de datos que contienen los ficheros de clientes de la entidad, entre los que no figura ninguna referencia a cualquier tipo de información bancaria. En estos hechos probados, concretamente en el Hecho Probado Segundo se hace referencia a los datos que BUY VIP “gestiona” (“En total, [...] registros, aproximadamente”). Por otra parte, BUY VIP ha manifestado que la adopción de medidas en relación con los datos de las filiales de […] corresponde a las autoridades de supervisión de los Estados miembros respectivos. La LOPD, en el párrafo segundo de su artículo 2.1, al referirse al “Ámbito de aplicación” de la norma, establece lo siguiente: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
- b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito”. Por otra parte, el artículo 3 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2008, señala su ámbito territorial de aplicación en los siguientes términos: “1.- Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento.
- b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2.- A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” BUY VIP es una entidad con nacionalidad española que dispone de un establecimiento ubicado en territorio español y responsable del tratamiento de los datos contenidos en los ficheros de su titularidad, sometidos a la LOPD, del mismo modo que las normas de seguridad de los datos establecidas por el Reglamento de desarrollo de dicha Ley Orgánica es aplicable a todos los datos personales que gestiona dicha entidad. VII El artículo 44.3.
- h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que BUY VIP ha incurrido en la infracción grave descrita. VIII El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad BUY VIP, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando que la infracción no resulta de la inexistencia de medidas de seguridad, en general. Junto a ello, se considera que BUY VIP actuó, a su propia iniciativa, para mejorar la seguridad de sus sistemas y evitar en lo posible los efectos del acceso a la información por parte de un tercero o terceros, según el detalle que consta expuesto en el Antecedente Tercero. En los apartados 26 a 33 del citado Antecedente se enumeran las medidas adoptadas por BUY VIP, tanto para mitigar el impacto de la intrusión como para impedir posteriores accesos no autorizados […]. Por otra parte, en relación con los criterios de graduación de las sanciones establecidos en el artículo 45.4, se tiene en cuenta la ausencia de intencionalidad apreciada y ausencia de beneficios. En particular, se estima determinante para la graduación de la sanción que no consta que los datos hayan sido exportados a un sistema ajeno a BUY VIP y que los mismos no han sido divulgados por ningún medio. Por tanto, en aplicación del principio de proporcionalidad, atendidas todas las circunstancias expresadas anteriormente, incluidas las relativas a las mejoras de seguridad implementadas y las destinadas a evitar los efectos de la intrusión, y a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 pesar del volumen de datos contenidos en la base de datos de BUY VIP y la vinculación de su actividad con la realización de tratamientos de datos de carácter personal, procede la imposición de una multa conforme a la escala prevista para las infracciones leves en su grado medio, esto es, por importe de 20.000 euros>>. III En el presente recurso de reposición, la entidad BUY VIP reitera lo ya manifestado durante las actuaciones que dieron lugar a la Resolución impugnada, sin considerar la fundamentación y circunstancias de hecho recogidas en la misma y sin aportar nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la misma, en la que se consideró probada la vulneración del “principio de seguridad de los datos” por la insuficiencia de las medidas de seguridad implementadas en el sistema de información de aquella entidad. BUY VIP invoca el principio de presunción de inocencia señalando que no existe ninguna prueba sobre las deficiencias del sistema de seguridad que permita explicar la intrusión en su sistema de información, ni indicios que las determinen según las reglas de la lógica. Sin embargo, en contra de lo manifestado por la recurrente, el acuerdo adoptado no resulta de pruebas indiciarias, sino de las constataciones obtenidas por los Servicios de Inspección durante la fase previa de investigaciones, que constan detalladas en la resolución y que han sido omitidas por aquella entidad en su escrito de recurso. Según se detalla en los Hechos Probados tercero y Sexto, de las actuaciones practicadas se desprende que el acceso indebido a la base de datos de la tienda electrónica se produjo como consecuencia de varias deficiencias. Según la compañía, el intruso o intrusos no identificados posiblemente tuvieron acceso al buzón de correo de un empleado de la filial […]. Por otra parte, el acceso de los usuarios no estaba restringido […]. Finalmente, el acceso a la base de datos pudo realizarse a través de los usuarios genéricos del sistema operativo […] y del gestor de base de datos […], cuya contraseña por defecto no había sido convenientemente modificada. Además, la gestión de claves, salvo en el Directorio de la oficina de […] dependía del usuario. La responsabilidad por estas deficiencias corresponde imputarla a BUY VIP por una inadecuada implantación de medidas de seguridad en relación con el control de accesos y la identificación/autenticación de los usuarios. La entidad recurrente, sin hacer mención de algunas de las circunstancias que se tuvieron por probadas y de los fundamentos jurídicos que determinaron la imposición de sanciones por vulneración de lo dispuesto en el artículo 9 de la LOPD, reproduce los mismos argumentos que defendió durante el procedimiento PS/00422/2012. Así, reitera que no ha reconocido el origen de la intrusión, llegando a calificar como un error de apreciación por parte de los inspectores las manifestaciones realizadas al respecto por los representantes de la entidad, recogidas en Acta de Inspección; que no puede tomarse como una deficiencia la falta de restricciones en el acceso […]; que la implementación de nuevas medidas de seguridad no suponen el reconocimiento de la insuficiencia del sistema; y que la incidencia no resulta de una conducta culpable, frente a lo que no cabe oponer el carácter de “obligación de resultado” de las medidas de seguridad, matizado por la Sentencia de la Audiencia Nacional de 25/02/2010. Todas estas alegaciones ya fueron suficientemente contestadas en la citada Resolución, en la que expresamente se indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 .- “…en el Acta de Inspección E/03705/2011/I-01, que recoge las manifestaciones realizados por los representantes de la entidad ante los Servicios de Inspección de la Agencia Española de Protección de Datos, en su apartado 2.7 (folio 71), se indica lo siguiente: “BUY VIP fue adquirida por Amazón EU y debido al elevado nivel de experiencia y profesionalidad de los técnicos de esta última empresa, los mismos participaron activamente en el análisis del incidente. Entre las conclusiones a las que ha llegado el equipo de investigación están las siguientes: . Las credenciales de un usuario con permisos superiores a los de un usuario común fueron comprometidas. Por medio de esas credenciales se accedió a la VPN de la entidad y a la base de datos”. Se trata de manifestaciones recogidas en acta de inspección, que goza de la presunción de veracidad que el ordenamiento reconoce a tales actuaciones, y que fue suscrita por los representantes de BUY VIP sin formular observación alguna. .- “Dicha entidad alega que no puede tratarse como deficiencia las circunstancias, como las relativas a […] que responden a sus necesidades de negocio y a la operativa de trabajo que aplica. Sin embargo, la propia entidad imputada, a su propia iniciativa, acordó la adopción de algunas medidas para corregir deficiencias como las señaladas e impedir nuevas intrusiones. Entre estas medidas, que se enumeran en el Antecedente Tercero, destaca […]”. […] Una simple aproximación a estas medidas y su contraposición con las deficiencias que se apreciaron en el sistema de información de BUY VIP, que permitieron considerar vulnerado el principio de seguridad de los datos, basta para evidenciar tales deficiencias. .- “En el supuesto correspondiente a la Sentencia invocada por BUY VIP, de fecha 25/02/2010, la Audiencia Nacional tuvo en cuenta el resultado de las investigaciones policiales realizadas, según las cuales el acceso a los sistemas de información implicados en ese caso no resultó de una falta o ineficacia de las medidas de seguridad adoptadas por el responsable de dicho sistema sino por la actitud activa de una persona con los conocimientos técnicos necesarios para llevar a cabo la intrusión. En cambio, en el presente caso, aunque la intrusión en los sistemas de información de BUY VIP también resulta de una conducta activa por parte de un hacker, el análisis del sistema diseñado por esa entidad ha determinado que el acceso a la información se produjo por las deficiencias apreciadas, según el detalle antes expuesto”. En relación con la sanción impuesta, que califica de desproporcionada, la entidad recurrente considera que la resolución impugnada no valora adecuadamente las actuaciones desarrolladas para minimizar los efectos de la incidencia de seguridad y la colaboración prestada a la Agencia para su esclarecimiento, y que omite las relativas al volumen de datos, que corresponde al número de clientes registrados en España, las pérdidas sufridas, ausencia de reincidencia y de perjuicios, la diligencia mostrada y los procedimientos que la compañía tenía implementados. Alguna de las circunstancias mencionadas en el párrafo anterior fueron analizadas y tenidas en cuenta para determinar el importe de la sanción, junto con aquellas otras que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 Agencia Española de Protección de Datos consideró más relevantes para ello, en atención a los hechos concurrentes y, especialmente, a la naturaleza de la infracción. En primer término, la resolución impugnada acordó la aplicación de lo dispuesto en el artículo 45.5 de la LOPD y, en consecuencia, impuso una sanción conforme a la escala prevista para las infracciones leves, a pesar de que la tipificación correspondiente a la infracción cometida califica a ésta como grave. Ello en base a las circunstancias expuestas por la recurrente, como son la existencia de medidas de seguridad, en general, y la implementación de nuevas medidas por BUY VIP para mejorar la seguridad de sus sistemas. A este respecto, en el Fundamento de Derecho transcrito se indica lo siguiente: “En el presente caso, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, considerando que la infracción no resulta de la inexistencia de medidas de seguridad, en general. Junto a ello, se considera que BUY VIP actuó, a su propia iniciativa, para mejorar la seguridad de sus sistemas y evitar en lo posible los efectos del acceso a la información por parte de un tercero o terceros, según el detalle que consta expuesto en el Antecedente Tercero. En los apartados 26 a 33 del citado Antecedente se enumeran las medidas adoptadas por BUY VIP, tanto para mitigar el impacto de la intrusión como para impedir posteriores accesos no autorizados…”. Por otro lado, en cuanto a la imposición de una sanción por importe superior a la cuantía mínima prevista para las infracciones leves, solicitada de forma subsidiaria por BUY VIP, en el Fundamento de Derecho VIII de la Resolución recurrida constan los criterios tenidos en cuenta al respecto. En particular, “la ausencia de intencionalidad apreciada y ausencia de beneficios. En particular, se estima determinante para la graduación de la sanción que no consta que los datos hayan sido exportados a un sistema ajeno a BUY VIP y que los mismos no han sido divulgados por ningún medio. Por tanto, en aplicación del principio de proporcionalidad, atendidas todas las circunstancias expresadas anteriormente, incluidas las relativas a las mejoras de seguridad implementadas y las destinadas a evitar los efectos de la intrusión, y a pesar del volumen de datos contenidos en la base de datos de BUY VIP y la vinculación de su actividad con la realización de tratamientos de datos de carácter personal, procede la imposición de una multa conforme a la escala prevista para las infracciones leves en su grado medio, esto es, por importe de 20.000 euros”. Por tanto, procede la desestimación del recurso. IV En atención a lo solicitado por BUY VIP, la resolución sancionadora impugnada y presente resolución se publicarán en la web de la Agencia Española de Protección de Datos una vez suprimidas todas aquellas indicaciones que pudieran comprometer la seguridad de su sistema de información. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por AMAZON SPAIN SERVICES, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 de febrero de 2013, en el procedimiento sancionador PS/00422/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad AMAZON SPAIN SERVICES, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es