1/197
Expediente N.º: EXP202306260
Expediente N.º: PS/00084/2023
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
ÍNDICE
ANTECEDENTES.......................................................................................................... 4
PRIMERO: Notificación de brecha de datos personales............................................ 4
SEGUNDO: Nueva notificación ampliando información............................................. 5
TERCERO: Actuaciones previas de investigación...................................................... 6
Cronología del incidente......................................................................................... 9
Naturaleza del incidente....................................................................................... 10
Consecuencias de la brecha de seguridad........................................................... 12
Medidas de reacción al incidente.......................................................................... 13
Medidas de seguridad implantadas con anterioridad............................................ 14
Medidas de seguridad implantadas tras el incidente............................................. 26
Número de afectados, categorías de los datos personales expuestos y uso
posterior................................................................................................................ 28
Comunicación a los afectados.............................................................................. 30
CUARTO: Volumen de negocios.............................................................................. 33
QUINTO: Acuerdo de inicio de procedimiento sancionador...................................... 33
SEXTO: Alegaciones al acuerdo de inicio................................................................ 33
1.- PHONE HOUSE COMO VÍCTIMA DE UN CIBERATAQUE............................. 33
3.- FALTA DE RESPONSABILIDAD RESPECTO A LA PUBLICACIÓN DE LOS
DATOS PERSONALES EN LA DEEP WEB.......................................................... 37
4.- SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA.........38
5.- SOBRE EL NIVEL DE RIESGO DE LOS TRATAMIENTOS............................. 41
6.- LA EVALUACIÓN DE IMPACTO DE PRIVACIDAD Y LAS MEDIDAS
MITIGADORAS DE RIESGOS ALTOS................................................................. 42
7.- SOBRE LA INEFICIENCIA DE LA POLÍTICA DE CONTRASEÑAS.................47
8.- SOBRE LA PROTECCIÓN DE LA SEGURIDAD PERIMETRAL..................... 50
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/197
9.- SOBRE LA FORMACIÓN Y CONCIENCIACIÓN A LOS TRABAJADORES EN
MATERIA DE PROTECCIÓN DE DATOS............................................................. 52
10.- SOBRE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN
PROPUESTA........................................................................................................ 54
11.- AGRAVANTES ASOCIADOS POR LA AEPD A LA INFRACCIÓN DEL 5.1 f). 55
12.- AGRAVANTES ASOCIADOS A LA INFRACCIÓN DEL ARTÍCULO 32..........58
13.- SOBRE LA CONCURRENCIA DE FACTORES ATENUANTES NO
CONSIDERADOS................................................................................................. 60
14.- SOBRE EL CONCURSO DE INFRACCIONES............................................. 62
15.- CONCLUSIONES.......................................................................................... 63
SÉPTIMO: Práctica de prueba................................................................................. 64
OCTAVO: Propuesta de resolución.......................................................................... 68
NOVENO: Respuesta a las alegaciones al Acuerdo de Inicio.................................. 68
PRIMERO.- TPHS como víctima de un ciberataque............................................. 68
SEGUNDO.- Sobre la vulneración del deber de confidencialidad......................... 69
TERCERO.- Falta de responsabilidad respecto a la publicación de los datos
personales en la Deep Web.................................................................................. 71
CUARTO.- Inadmisibilidad de la responsabilidad objetiva.................................... 72
QUINTO.- Sobre el nivel de riesgo de los tratamientos......................................... 74
SEXTA.- Evaluación de impacto de privacidad y las medidas mitigadoras de
riesgos altos.......................................................................................................... 76
SÉPTIMA.- Sobre la ineficiencia de la política de contraseñas............................. 82
OCTAVO.- Sobre la protección de la seguridad perimetral................................... 84
NOVENA.- Sobre la información y concienciación a los trabajadores en materia de
protección de datos............................................................................................... 86
DÉCIMA.- Falta de proporcionalidad de la sanción propuesta.............................. 87
DECIMOPRIMERA.- Agravantes asociados por la AEPD a la infracción del artículo
5.1.f)..................................................................................................................... 88
DÉCIMO SEGUNDA. – Agravantes asociados a la infracción del artículo 32 RGPD
............................................................................................................................. 91
DECIMOTERCERA.- Sobre la concurrencia de factores atenuantes no
considerados........................................................................................................ 91
DECIMOCUARTA.- Sobre el concurso de infracciones........................................ 94
DÉCIMO:................................................................................................................ 100
DÉCIMO PRIMERO:.............................................................................................. 100
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/197
DÉCIMO SEGUNDO: Alegaciones a la Propuesta de Resolución......................... 100
HECHOS PROBADOS.............................................................................................. 139
PRIMERO: Primera notificación de la brecha de datos personales........................ 139
SEGUNDO: Segunda notificación de la brecha de datos personales..................... 139
TERCERO: Cronología del ataque......................................................................... 140
CUARTO:............................................................................................................... 140
QUINTO: Número de personas afectadas:............................................................. 142
SEXTO: Tipos de datos afectados:......................................................................... 142
SÉPTIMO: Publicación de los datos personales en la Deep Web por los
ciberatacantes:....................................................................................................... 143
OCTAVO:................................................................................................................ 144
NOVENO: En relación con la política de contraseñas:........................................... 144
DÉCIMO: Guía CCN-STIC-807.............................................................................. 145
DÉCIMO PRIMERO: En relación con la protección de la seguridad perimetral de los
sistemas de información y de las medidas de monitorización para la detección de
conducta maliciosa dentro de la red....................................................................... 145
DÉCIMO SEGUNDO: Medidas adoptadas por TPHS con posterioridad al incidente:
............................................................................................................................... 146
DÉCIMO TERCERO:.............................................................................................. 147
DÉCIMO CUARTO: Evaluaciones de Impacto de Protección de Datos: Evaluación
del riesgo................................................................................................................ 148
DÉCIMO QUINTO: Evaluaciones de Impacto de Protección de Datos: Medidas.. .154
DECIMO SEXTO:................................................................................................... 155
DÉCIMO SÉPTIMO: Registro de Actividades del tratamiento................................ 155
FUNDAMENTOS DE DERECHO............................................................................... 155
I Competencia........................................................................................................ 155
II Cuestiones previas.............................................................................................. 156
III Alegaciones a la propuesta de resolución.......................................................... 157
PRIMERO: Sobre la falta de motivación de la propuesta resolución...................157
SEGUNDA: Condición de víctima de TPHS........................................................ 159
TERCERA: SOBRE EL SUPUESTO INCUMPLIMIENTO DEL ARTÍCULO 5.1.F)
RGPD................................................................................................................. 163
CUARTA: SOBRE EL SUPUESTO INCUMPLIMIENTO DEL ART. 32 RGPD.....167
QUINTA: SOBRE LAS ACCIONES FORMATIVAS Y DE CONCIENCIACIÓN DE
LA PLATILLA DE TPHS...................................................................................... 189
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/197
SEXTA: SOBRE LA EXISTENCIA DE UN CONCURSO DE INFRACCIONES.. .189
SÉPTIMA: SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA
............................................................................................................................ 196
OCTAVA: DE LAS 211 RECLAMACIONES RELACIONADAS CON LA BRECHA
DE SEGURIDAD................................................................................................. 199
NOVENA: SOBRE LA AUSENCIA DE PROPORCIONALIDAD EN LA FIJACIÓN
DE LA CUANTÍA DE LA SANCIÓN PROPUESTA.............................................. 203
DÉCIMA: AGRAVANTES ASOCIADOS POR LA AEPD A LAS INFRACCIONES 207
UNDÉCIMA: SOBRE LA CONCURRENCIA DE FACTORES ATENUANTES NO
CONSIDERADOS............................................................................................... 210
IV Integridad y confidencialidad.............................................................................. 211
V Tipificación de la infracción del artículo 5.1.f) del RGPD..................................... 213
VI Sanción por la infracción del artículo 5.1.f) del RGPD....................................... 214
VII Artículo 32 del RGPD........................................................................................ 215
VIII Tipificación de la infracción del artículo 32 del RGPD...................................... 227
IX Sanción por la infracción del artículo 32 del RGPD............................................ 227
X Adopción de medidas.......................................................................................... 229
RESUELVE:............................................................................................................... 230
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Notificación de brecha de datos personales
Con fecha 14 de abril de 2021, la Agencia Española de Protección de Datos (AEPD)
recibe una notificación de brecha de seguridad de datos personales sufrida por THE
PHONE HOUSE, SPAIN, S.L. con NIF B81846206 (en adelante TPHS), en la que
informa a la Agencia Española de Protección de Datos de lo siguiente:
-(…).
-(…).
-(…).
-(…).
-(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/197
Junto a la notificación se aporta los siguientes documentos:
- “Informe Incidente de Seguridad”, donde describen el incidente sufrido, según los
datos e información con la que cuentan en ese momento (en adelante Informe 14A)
SEGUNDO: Nueva notificación ampliando información.
Con fecha 28 de abril de 2021, TPHS presenta nueva notificación (en adelante
Notificación2) ampliando la información sobre la brecha de seguridad notificada el 14
del mismo mes, en el que indican que, (…).
Documentación adjunta a la Notificación2:
- Informe de evaluación de brecha de seguridad de 28 de abril de 2021 (en
adelante “Informe28A”).
- Denuncia policial presentada por el investigado el día 20 de abril de 2021 en la
Comisaría General de Policía Judicial con número de atestado 201/21 (en
adelante “DenunciaPolicial”).
- Copia del contenido del comunicado enviado por el investigado a las
operadoras de telecomunicaciones y compañías aseguradoras a las que presta
servicios como agente comercial y como distribuidor y para las que actúa en
calidad de encargado de tratamiento (en adelante “ComunicadoOperadores”).
- Copia del contenido del comunicado enviado por el investigado a los afectados
por la brecha de seguridad (en adelante “ComunicadoAfectados”).
- Adjunta el listado de preguntas frecuentes “FAQS” que ha puesto a disposición
pública (en adelante “ListadoFaqs”).
TERCERO: Actuaciones previas de investigación.
Con fecha 20 de abril de 2021, se dicta Acuerdo de la Directora de la AEPD en el que
se ordena a la Subdirección General de Inspección de Datos que, como consecuencia
de la notificación de la brecha de seguridad de datos personales por parte del
Responsable del Tratamiento TPHS y que afecta a datos personales, valore la
necesidad de realizar las oportunas investigaciones previas con el fin de determinar
una posible vulneración de la normativa de protección de datos, en virtud de los
poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del
Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante
RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección
segunda, de la LOPDGDD.
De dichas actuaciones de investigación, se tiene conocimiento de los siguientes
extremos:
- Fecha de detección: 11 de abril de 2021 (exacta)
- Fecha de inicio: 31 de marzo de 2021 (estimada)
- Fecha de resolución: 21 de abril de 2021 (exacta)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/197
- Medios de detección: caída global del servicio y cifrado de los sistemas de
información
- Tipología: ransomware, cifrado de los ficheros con afectación de la
confidencialidad de datos personales.
- Número aproximado de afectados: 13 millones
- Comunicación a los interesados: Sí
Otros antecedentes:
- Escrito con número de registro de entrada en la AEPD
O00007128e2100018891 presentado el día 26 de abril de 2021 por XFERA
MÓVILES, S.A.U. (en adelante “Xfera”) en el que manifiestan que tras la
publicación en los medios de comunicación del ataque experimentado por el
investigado comprobaron que no había sido vulnerada la seguridad de sus
propios sistemas y se pusieron en contacto con el investigado al objeto de
confirmar que el ataque no había afectado actividades del tratamiento de Xfera.
(…).
- Escrito con número de registro de entrada en la AEPD
O00007128e2100019993 presentado el día 30 de abril de 2021 por Xfera en el
que manifiestan que con fecha 28 de abril el investigado les ha confirmado que:
o (…).
o (…).
Reclamaciones relacionadas con la brecha de seguridad:
- Se han presentado ante la AEPD 211 reclamaciones de afectados relacionadas
con esta brecha de seguridad.
Además de la documentación aludida anteriormente, se recoge información de las
siguientes fuentes:
o Reseña información sobre la brecha de seguridad del sitio de internet
https://haveibeenpwned.com/. Ésta especifica que la brecha se habría
producido el día 8 de abril de 2021 y se habría comprometido
información de 5,2 millones de afectados.
o Artículo publicado en el sitio de internet https://www.xataka.com/ el día
23 de abril de 2021 que refiere la publicación en internet de datos de 13
millones de clientes del investigado (113 Gigabytes de información).
o “Informe Código Dañino CCN-CERT ID-10/21 Babuk Locker” elaborado
en agosto de 2021 por el CCN-CERT que desgrana el funcionamiento
del ransomware “Babuk Locker”.
o Artículo publicado en el sitio de internet https://hipertextual.com/ con
fecha 4 de septiembre de 2021 en el que se indica que el código del
ransomware ha sido publicado. Asimismo, señala que, además del
investigado, otro de los afectados por el virus Babuk habría sido el
Departamento Metropolitano de Policía de Washington D.C.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/197
o Extracto de la “GUÍA/NORMA DE SEGURIDAD DE LAS TIC (CCN-
STIC-807) CRIPTOLOGÍA DE EMPLEO EN EL ESQUEMA NACIONAL
DE SEGURIDAD” de marzo de 2011.
o Formulario de alta de usuarios del sitio de internet del investigado.
o Política de privacidad publicada en el sitio de internet del investigado.
o Formulario de envío de sugerencias del sitio de internet del investigado.
- Escrito procedente del investigado registrado de entrada en la AEPD con fecha
de 28 de junio de 2021 y números de registro O00007128e2100028701,
O00007128e2100028702, y O00007128e2100028705 (en adelante
“EscritoTPH1”).
- Escrito procedente del investigado registrado de entrada en la AEPD con fecha
de 11 de marzo de 2022 y números de registro REGAGE22e00006497111 y
REGAGE22e00006492773 (en adelante “EscritoTPH2”).
- Escrito procedente del investigado registrado de entrada en la AEPD con fecha
de 17 de agosto de 2022 y números de registro REGAGE22e00035653351,
REGAGE22e00035656325, REGAGE22e00035663361 (en adelante
“EscritoTPH3”).
En la Notificación1, realizada el 14 de abril de 2021, el investigado señala que el día
11 de abril detectó una caída global de sus servicios. En esta primera notificación el
investigado apunta lo siguiente al respecto de las consecuencias del incidente (ver
Informe14A):
“(…).
(…).
(…).”
El día 28 de abril de 2021 el investigado amplió la información (Notificación2). Adjunta
a este escrito el Informe28A en el que realiza las siguientes consideraciones:
(…)
“(…).
(…).
(…).”
Cronología del incidente
Del Informe28A se extrae la siguiente cronología:
- “(…).”
- “(…).”
- “(…).”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/197
- “(…)”
- “(…).”
- “(…).”
(…):
- “(…).”
- “(…).”
Por otro lado, según lo visto en el apartado de antecedentes, el día 14 de abril a las
19:57 horas se presenta ante la AEPD la notificación inicial del incidente
(Notificación1), y posteriormente, el día 28 de abril se amplía la misma (Notificación2).
Además, el investigado interpuso denuncia policial con fecha de 20 de abril de 2021
(DenunciaPolicial).
Por último, el investigado manifiesta en el EscritoTPH1 (de fecha 28 de junio de 2021)
que (…).
Naturaleza del incidente
En el Informe28A el investigado expresa lo siguiente sobre la naturaleza del incidente:
“(…).
(…).”
Además, el Informe28A incluye determinada información de detalle sobre el ataque:
“(…).
(…).
(…).
(…).”
(…).
(…):
- (…).
- (…).
- (…).
- (…).
(…).
(…)
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/197
Consecuencias de la brecha de seguridad
En el Informe28A manifiesta el investigado que, de las investigaciones realizadas, se
han concluido las siguientes afectaciones del ataque:
“(…).
(…).
(…).
(…).”
(…):
“(…).”
Medidas de reacción al incidente
El investigado refiere en el Informe28A la siguiente reacción al incidente tras su
detección:
“(…).
(…).
(…).
(…).”
(…)
(…).
Medidas de seguridad implantadas con anterioridad
Manifiesta el investigado (EscritoTPH3) que, debido a que parte de su negocio se
encuentra sometido parcialmente al Real Decreto-ley 12/2018, en el año 2020
desarrolló un Sistema de Gestión de Seguridad de la Información (SGSI) tomando
como referencia la ISO/IEC 27001:2013. Según señala, hasta la fecha no lo ha
sometido al proceso de certificación, pero manifiesta que prevé hacerlo.
Sobre las medidas de seguridad aplicadas por el investigado con anterioridad a la
brecha de seguridad el Informe28A contiene la siguiente información:
(…).
- (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/197
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
(…).
(…):
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
(…):
“(…)”
(…).
(…).
(…).
(…).
Igualmente, el interesado adjunta la siguiente información en el EscritoTPH1:
- Registro de Actividades de Tratamiento (RAT), que incluye la valoración del
riesgo de los tratamientos y de la necesidad de ejecutar una evaluación de
impacto (documento 1 adjunto al escrito) realizada conforme a la metodología
propia del interesado (adjunta como documento 2). (…):
o (…).
o (…).
(…).
(…):
1) (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/197
2) (…)
3) (…)
(…):
1) (…).
2) (…).
3) (…).
(…).
- Procedimiento de evaluación del riesgo inherente y del impacto en la privacidad
(documento 2 adjunto al EscritoTPH1), en su versión de mayo de 2021 (4.0).
(…).
- Evaluaciones de impacto (documento 3 del EscritoTPH1) sobre la protección
de datos personales de los tratamientos (…)
El investigado adjunta, además, el procedimiento de gestión de usuarios y contraseñas
(documento número 2 del EscritoTPH2) que según indica se encontraba vigente en el
momento de la brecha de seguridad (según el propio documento indica se trata de la
versión 3.0 vigente desde el 29 de septiembre de 2020). Define el procedimiento
general del investigado sobre la gestión de usuarios y contraseñas e incluye
cuestiones tales como: (…).
En relación con que el ataque se haya producido originalmente desde un tercer país,
el investigado manifiesta en el EscritoTPH2 lo siguiente:
“(…)”.
Sobre la ejecución de procesos de verificación de las medidas de seguridad aplicadas
a los sistemas de información en los que se ejecutan tratamientos de datos de carácter
personal, el investigado manifiesta (EscritoTPH3) que “aproximadamente dos años
después de haber finalizado la implantación del sistema de gestión de cumplimiento
del nuevo Reglamento General de Protección de Datos, durante el año 2020 PHONE
HOUSE comenzó una evaluación de cumplimiento de los diferentes tratamientos de
datos y medidas de seguridad aplicadas sobre los sistemas de información que
trataban datos personales en la organización, finalizando con las correspondientes
evaluaciones de cumplimiento de las medidas de seguridad en enero de 2021”.
Adjunta (documento 1 del EscritoTPH3) el informe “Evaluación de cumplimiento en
materia de protección de datos – Medidas de Seguridad” fechado el 11 de enero de
2021 y elaborado por un tercero, “Ecija”.
Los objetivos del informe, según consigna el mismo, son evaluar el nivel de
cumplimiento del investigado de los deberes de seguridad sobre aquellos tratamientos
específicamente relacionados con los datos personales de sus clientes, y proponer
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/197
medidas correctoras o de mejora en relación con las no conformidades detectadas
durante el proceso de evaluación. (…). El informe evalúa el cumplimiento de un
conjunto de medidas se seguridad y, en su caso, propone medidas de mejora. Se
extrae la siguiente información relacionada con los hechos investigados:
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…):
(…)
- (…)
Además del anterior, expresa el investigado (EscritoTPH3) que, en paralelo a la
evaluación del cumplimiento de las medidas de seguridad, realizó una evaluación de
las medidas jurídico-organizativas derivadas del proceso de adecuación al RGPD.
Adjunta (documento 2 del EscritoTPH3) el informe “Evaluación de cumplimiento en
materia de protección de datos – Aspectos Jurídico-Organizativos” fechado el 11 de
enero de 2021 y elaborado por un tercero, “Ecija”. El objetivo del informe, según
consigna, es evaluar el nivel de cumplimiento del investigado respecto “los deberes de
calidad, legalidad y legitimación de aquellos tratamientos específicamente
relacionados con los datos personales de los clientes de PHONE HOUSE respecto a
los que actúa como responsable del tratamiento.” Se extrae la siguiente información
relacionada con los hechos investigados:
(…)
- (…).
- (…).
- (…).
- (…).
(…):
o (…).
o (…).
- (…).
- (…).
En relación con la formación y concienciación de los empleados del investigado en
materia de seguridad de la información y derecho de protección de datos personales el
investigado manifiesta (EscritoTPH3) haber impartido cursos. Sobre este particular ha
facilitado la siguiente documentación:
- Documento 3 del EscritoTPH3. Listado de participantes en dos cursos sobre el
Reglamento General de Protección de Datos abiertos entre mayo de 2018 y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/197
diciembre de 2020. En el primero de los cursos hay 388 inscritos, mientras que
en el segundo 254. Según la información obtenida del servicio Axesor (ver
Diligencia Referencias), la cuenta con 1411 empleados.
- Documento 4 del EscritoTPH3. Manifiesta el investigado (EscritoTPH3) que
desde el año 2018 los trabajadores que se incorporan a la compañía realizan
un curso en materia de protección de datos personales que concluye con la
realización de una prueba de conocimiento. Según señala, el documento
número 4 es la prueba que evalúa los conocimientos adquiridos.
- Documento 5 del EscritoTPH3. Manifiesta el investigado (EscritoTPH3) que
desde el año 2018 se remite la Política de Seguridad de la Información a los
trabajadores que se incorporan a la compañía. Adjunta como documento
número 5 la versión 2 de la política, del mes de marzo de 2022.
Medidas de seguridad implantadas tras el incidente
En cuanto a las medidas de mitigación implementadas tras el incidente, refiere el
investigado en el Informe28A las siguientes:
1) (…).
2) (…)
3) (…).
4) (…).
5) (…).
6) (…).
7) (…).
8) (…).
9) (…).
10) (…).
11) (…).”
Cita además el investigado en el informe las siguientes medidas “en proceso de
implantación”:
1) “(…).
2) (…).
3) (…).
4) (…).
5) (…).
6) (…).”
El investigado adjunta, además, el procedimiento de gestión de usuarios y contraseñas
(documento número 3 del EscritoTPH2) que según indica es la política vigente
actualmente (según el propio documento indica se trata de la versión 4.0 vigente
desde el 3 de mayo de 2021). Esta nueva versión incluye la siguiente información no
presente en la anterior (documento 2 nombrado anteriormente):
“(…):
- (…).
- (…).”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/197
El nuevo procedimiento introduce también las siguientes modificaciones:
- (…)
- (…).
(…):
- “(…).”
Número de afectados, categorías de los datos personales expuestos y uso posterior
El investigado, como parte del Informe28A, manifiesta sobre el alcance territorial de la
brecha de seguridad que “ha afectado únicamente a la empresa THE PHONE HOUSE
SPAIN, S.L. con sede en España.”
Asimismo, en relación con el número de afectados, el investigado manifiesta en el
EscritoTPH1 que “El número aproximado de personas afectadas es de,
aproximadamente, 13.000.000”.
(…):
“(…):
- (…).
- (…).
- (…)
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).”
(…).
(…):
“(…).”
(…):
“(…)”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/197
Comunicación a los afectados
Sobre la evaluación del deber de notificación de la brecha de seguridad a la AEPD y
de comunicación a los afectados, el investigado (ver Informe28A) concluye que “era
obligatorio realizar la notificación a la AEPD, así como a los afectados”. (…)”.
(…).
En relación con esto último, en la Denuncia Policial constan las siguientes
manifestaciones del investigado:
“(…).
- (…)
- (…)
- (…)
- (…) ”
El investigado adjuntó el contenido del ComunicadoAfectados a la Notificación2
realizada el 28 de abril. Éste incluye lo siguiente:
“(…)”
Asimismo, el investigado ha facilitado en la Notificación2 el siguiente listado de
“preguntas frecuentes” respondidas que ha puesto a disposición en su sitio de internet:
“(…)”
CUARTO: Volumen de negocios.
De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TPHS es
una empresa de tamaño grande constituida en el año 1997, y con una cifra de
negocios de (...) euros en el año 2020 (último ejercicio presentado).
QUINTO: Acuerdo de inicio de procedimiento sancionador.
Con fecha 27 de marzo de 2023, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo
dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 5.1.f) del RGPD y Artículo 32 del
RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD.
SEXTO: Alegaciones al acuerdo de inicio
Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), TPHS ha presentado escrito de
alegaciones en el que, en síntesis, manifiesta lo siguiente:
1.- PHONE HOUSE COMO VÍCTIMA DE UN CIBERATAQUE.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/197
En esta primera alegación, resalta TPHS su condición de víctima en relación con los
hechos de los que trae causa el expediente que motiva la adopción del Acuerdo de
Inicio, indicando que debe tomarse en consideración que la brecha de seguridad
sufrida tiene su origen en la actividad delictiva perpetrada por una de las múltiples
bandas organizadas de ciberdelincuentes que operan, entre otros, en nuestro país,
siendo constitutiva un delito de daños informáticos, recogido en el Código Penal.
Delito este que viene complementado porque en el caso que nos ocupa, se reclamó
por parte de los ciberdelincuentes un rescate de (...) €, bajo amenaza de publicar la
información obtenida por medio del ciberataque, hecho este que constituye un nuevo
delito de extorsión (art. 243 del Código Penal),
Señala TPHS que este tipo de delitos asociados a ataques informáticos son cada vez
más frecuentes, así, en el año en que tuvo lugar la brecha, en 2021, el Instituto
Nacional de Ciberseguridad (en adelante, “INCIBE”) gestionó un total de 109.126
incidentes, de los cuales un 29,88% se corresponden a ciberataques con malware o
ransomware. Del mismo modo, indica que en el 2022 fueron notificadas a la AEPD un
total de 1.751 brechas de seguridad, 610 de las cuales tuvieron su origen en un
ransomware, lo que equivale a casi el 35% del total de las brechas recibidas por la
AEPD, que no quiere decir que sean todos las existentes. Lo anterior, es ilustrativo del
incremento de esta tipología de delitos que se dirigen de forma absolutamente
indiscriminada contra cualquier entidad, y que cuentan entre sus víctimas, tanto con
las personas afectadas, como a las entidades que son objeto de estos ataques.
Continúa TPHS indicando que el aumento en la incidencia de los ciberataques no se
ha visto ralentizado a pesar de una mayor concienciación en relación con la seguridad
de la información, entendiendo que ello se debe al incremento de la sofisticación de
los métodos utilizados por los ciberdelincuentes, que cuentan con medios
prácticamente ilimitados para generar sus métodos de ataque, concluyendo, por tanto,
que por muy alta que sea la inversión y medios dedicados por las empresas a prevenir
los ciberataques, no es posible prevenir las nuevas oleadas de ataques, que cada vez
son más continuos, complejos e imprevisibles.
Recuerda TPHS que, en el ciberataque sufrido por ella en abril de 2021, se utilizó el
ransomware denominado Babuk, desconocido hasta principios de ese mismo año y el
cual se posicionó como uno de los malwares más peligrosos y eficaces por la
imposibilidad de protegerse técnicamente frente a él, hasta que a mediados del 2021
se produjo la filtración de su código fuente (publicado por los propios delincuentes), lo
que
permitió el diseño de medidas específicas de prevención, así como de contención.
Por tanto, señala TPHS que, hasta el momento, ninguna agencia de seguridad
nacional o internacional habían logrado “antídoto” alguno, ni para prevenir, ni para
solventar un ataque mediado por este ransomware concreto, dato que la Agencia, de
nuevo, parece obviar, y, en el caso de España, no es hasta el mes de agosto de 2021
(5 meses después de sufrirse la brecha de seguridad que nos ocupa) cuando el Centro
Criptológico Nacional (CCN) hizo público el informe correspondiente en el que se
analizaba el código en cuestión y dando la solución para evitar este tipo de ataques,
así como, en caso de haber sufrido el mismo, poder descifrar la información
comprometida.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/197
Por ello, indica TPHS que hasta ese momento las posibilidades de las entidades de
defenderse de un ataque de estas características eran muy escasas, contándose entre
las víctimas de este software malicioso entidades de gran tamaño y relevancia
internacional, tales como SERCO, el Departamento de Policía de Washington (250 GB
de información), y el equipo de los Houston Rockets de la NBA (550 GB de
información).
Recuerda TPHS que en el ciberataque sufrido, se vieron comprometidos 13 GB de
información, una cifra mucho más reducida, en tanto algunas de las medidas de
seguridad es existentes sí lograron contener parte del ataque y que fue víctima del
ciberataque de este ransomware en el momento de mayor virulencia de este, cuando
era prácticamente desconocido, y antes de que se conocieran los detalles que
permitieron que se pudieran definir medidas específicas para evitar que se produjera
una brecha de seguridad y mitigar su impacto.
Entiende por ello que este hecho debe ser tomado en especial consideración a la hora
de analizar la diligencia de TPHS y la idoneidad de las medidas de seguridad con las
que contaba a la fecha del ataque, ya que es determinante a estos efectos.
Reitera por ello la importancia de situar correctamente a TPHS en su posición de
víctima de una brecha de un ataque criminal instrumentado a través de un
ransomware que, en el momento del incidente, era absolutamente novedoso y
extremadamente eficaz.
Recuerda asimismo que el impacto de este ataque en la compañía no sólo ha sido a
nivel reputacional, sino también a nivel económico. A este respecto, destaca TPHS
que, a raíz de la brecha de seguridad, (…).
Además de las cantidades anteriores, señala TPHS que debe tenerse en
consideración los gastos específicos incurridos por la Compañía desde el ataque para
tratar para mitigar los impactos de este, (…), destinados a los siguientes servicios:
1) (…);
2) (…);
3) (…);
4) (…);
5) (…);
Señala TPHS que esta elevada cuantía evidencia tanto su afán por garantizar la
seguridad de los datos personales y dar cumplimiento de la normativa de protección
de datos, como en mitigar cualquier daño que la brecha hubiera podido ocasionar
tanto a la propia Compañía, como a terceros. Lo que ha implicado un gran esfuerzo
económico para la Compañía como consecuencia del ataque, que acentuó el impacto
en sus cuentas.
Juntamente con los gastos reactivos para paliar los efectos del ataque, remarca TPHS
la inversión realizada en servicios de seguridad de la información entre los años 2018
y 2020, con carácter previo a la brecha, (…). Así, la Compañía ha venido destinando
una importante partida presupuestaria a implementar y garantizar de manera diligente
las medidas de seguridad necesarias para garantizar un nivel de protección de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/197
información acorde a los riesgos de los tratamientos que realiza. Se acompaña como
documento nº1 al presente escrito un muestreo de facturas asumidas en relación con
la seguridad de la información.
De lo anterior indica TPHS que debe concluirse que la compañía es ante todo víctima
de una actividad delictiva de carácter especialmente novedoso, que ha quedado
impune y que no pudo ser prevista ni repelida por su adecuado sistema de gestión de
la seguridad de la información, a la cual, dadas sus características, se hubieran visto
expuestos de igual manera empresas con medidas igual o más robustas que TPHS.
Así, apunta que la Compañía ha visto afectada no solo su imagen y reputación, (…),
sin que se hayan tomado en consideración sus probados y continuados esfuerzos por
mantener un marco de seguridad robusto, por cumplir con las disposiciones de la
normativa de protección de datos y, por mitigar cualquier posible impacto derivado de
la brecha.
2.- SOBRE LA VULNERACIÓN DEL DEBER DE CONFIDENCIALIDAD.
Señala TPHS no estar de acuerdo en que se le considere responsable de un
incumplimiento del principio de integridad y confidencialidad (art. 5.1(f) RGPD) como
consecuencia de la brecha de seguridad derivada del ataque de ransomware,
mostrando su sorpresa en cuanto a ese traslado de responsabilidad directa indicando
que desde la entrada en aplicación del RGPD, la totalidad de expedientes incoados
por esta Agencia en relación con brechas de seguridad derivadas de un ciberataque
con ransomware, que ascienden a un total de 19, todos ellos han resultado
archivados.
Indica TPHS que no deja de ser llamativo que, a pesar de que en varios de estos
procedimientos se vieron afectados datos de categoría especial (datos de salud, datos
biométricos o datos de afiliación sindical) y que multitud de las entidades afectadas
pertenecían a sectores que realizan tratamientos de datos personales de un riesgo
elevado, tales como el sector sanitario, sector de seguros o sector de energético, el
resultado de nuevo fue archivo de las actuaciones sancionadoras.
Continúa señalando TPHS que gran parte de las entidades afectadas realizaban
tratamientos de datos personales que, por su naturaleza, suponían un alto nivel de
riesgo para los derechos y libertades de los interesados, muy superior al asociado a
los tratamientos realizados por TPHS. Con mayor razón, en varios de los ciberataques
se produjeron exfiltraciones de datos personales que devinieron en la publicación de
estos en páginas web de acceso público, siendo reseñable que en estos dos últimos
se vieron afectados datos de categoría especial (datos de salud en el primero, y datos
biométricos en el segundo), siendo de nuevo el resultado, el archivo de las
actuaciones por parte de esta AEPD.
Entiende TPHS que es importante recalcar en este punto que la actividad de PHONE
HOUSE, esto es, la comercialización de productos y servicios de telefonía móvil, y, en
concreto, los tratamientos de datos que se vieron afectados por el ransomware, no
conllevan un riesgo asociado para los derechos y libertades de los interesados que
pueda considerarse alto, no existiendo hasta el momento ninguna reclamación dirigida
a TPHS por parte de ninguno de los titulares de los datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/197
Así, indica TPHS que no se vieron afectados datos sensibles o de categoría especial,
ni se vio implicada información relativa a tratamientos de especial riesgo. En
consecuencia, no es congruente, ni proporcionado, ni siquiera mantiene coherencia
con cómo ha interpretado hasta el momento esta Agencia este tipo de casos, que en
supuestos semejantes de brechas de seguridad por ransomware que, objetivamente,
supusieron la materialización de un riesgo superior para los afectados, la Agencia
optara por el archivo de las actuaciones y en ningún caso se ha planteado imputar a
las entidades afectadas por estos ataques un incumplimiento del principio de
confidencialidad e integridad, cuando es evidente que en todos estos supuestos se ha
visto afectado, puesto que es intrínseco a la propia naturaleza del ataque, que accede
de forma ilícita a información confidencial para cifrarla, incluidos los datos personales.
Adicionalmente señala TPHS que debe tenerse en cuenta que en varias de las
brechas de otras entidades se ha producido una publicación de datos personales, lo
cual le resulta incoherente con el hecho de que, ante un supuesto análogo, se le
proponga a ella una sanción por el incumplimiento del art. 5.1(f) RGPD. En
consecuencia, y a la luz del histórico de decisiones de la AEPD en supuestos
análogos, TPHS considera que no resulta razonable ni coherente proponerle una
sanción por una quiebra del principio de integridad y confidencialidad.
3.- FALTA DE RESPONSABILIDAD RESPECTO A LA PUBLICACIÓN DE LOS DATOS
PERSONALES EN LA DEEP WEB.
Alega TPHS que, para analizar debidamente los impactos en la privacidad de los
afectados por la brecha, es necesario distinguir entre dos momentos claramente
diferenciados: el ataque informático con ransomware, y la posterior publicación de los
datos en la Deep Web por el ciberdelincuente.
Señala que inicialmente se produce una brecha de confidencialidad como resultado de
un ciberataque con ransomware, solicitándose por parte de los ciberdelincuentes el
pago de un rescate. Esta brecha es diligentemente reportada por TPHS en
cumplimiento de los artículos 33 y 34 del RGPD, tanto a la AEPD como a los
afectados.
Posteriormente, en un segundo momento y habiéndose negado TPHS a hacer pago
alguno a los delincuentes, los ciberdelincuentes publican la información en la Deep
Web, de manera que resulta accesible a terceros no autorizados.
Entiende por ello que ninguna responsabilidad puede atribuirse a TPHS por esta
segunda actividad emprendida por los ciberdelincuentes, cuyo único objetivo era
presionar a TPHS para que accediera a pagar la cantidad económica reclamada pago
que bajo ningún concepto la Compañía accedió a realizar, tanto por ser un acto ilegal,
como por no querer negociar con criminales como los que nos ocupan en el presente
caso.
Concluye por tanto que, en relación con la confidencialidad, debe tenerse en cuenta
que una vez esta se ha visto vulnerada por un ataque que produce una brecha de
seguridad, la subsiguiente actuación ilícita por parte de los ciberdelincuentes,
consistente en la publicación en la Deep Web de la información, es un hecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/197
independiente y no atribuible a la Compañía, dado que no tiene ninguna capacidad
para impedirlo.
Señala, en consecuencia, que cualquier acción delictiva posterior a la brecha de la
confidencialidad sufrida por TPHS de ningún modo puede ser tomada en cuenta a la
hora de analizar el cumplimiento por parte de la Compañía de los arts. 5.1(f) y 32 del
RGPD, como si hace esta Agencia. Así, de conformidad con el criterio reiterado de la
doctrina sobre la causalidad, en concreto, el criterio de exclusión de la imputación
objetiva de la “prohibición de regreso”, como “supuesto en el que no es posible la
imputación, cuando puesta en marcha la relación causal, sin embargo el daño se
produce por subsiguiente intervención dolosa o gravemente imprudente de un tercero,
no pudiendo regresar desde el tercero causante del daño al que inició el curso causal”
(Sentencia del Tribunal Supremo núm. 969/2003, Sala de lo Civil, de 24 de octubre de
2003, por el que resuelve el recurso de casación núm. 3976/1997).
Concluye TPHS indicando que en ningún caso puede imputársele la pérdida de control
de los afectados asociada a la actividad de los ciberdelincuentes con posterioridad a la
brecha de seguridad, toda vez que esta materialización de la pérdida de
confidencialidad deriva de una intervención dolosa de un tercero, consistente en la
publicación de la información en la DeepWeb y no en una falta de diligencia o en un
incumplimiento normativo por parte de la Compañía, con nula capacidad para evitar
este hecho.
4.- SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA.
Alega TPHS que no existe ninguna relación acreditada entre la supuesta inadecuación
de las medidas y la brecha de seguridad, más allá de que ésta se ha producido,
puesto que no hay ninguna certeza respecto a que, de haberse implementado
medidas aún más robustas, el ciberataque no hubiera sido exitoso. Por lo tanto, no es
posible establecer un nexo causal entre el ataque y una supuesta negligencia por
parte de TPHS
Señala que el artículo 5.1 recoge una obligación de medios, consistente en la
“protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción
o daño accidental, mediante la aplicación de medidas técnicas u organizativas
apropiadas” y no una obligación de resultado, como pretende la AEPD.
Manifiesta que, siguiendo la propia metodología de análisis de riesgos propuestos por
la AEPD en su “Gestión del riesgo y evaluación de impacto en el tratamiento de datos
personales”, lo que se exige es reducir o mitigar el riesgo para disminuir la posibilidad
de que ocurran, pero no evitar o eliminar el riesgo, algo que resulta completamente
imposible para cualquier entidad. El argumento expuesto por la Agencia en la citada
Guía es totalmente lógico, ya que la posibilidad real de garantizar la confidencialidad
reduciendo el riesgo a cero es prácticamente imposible en cualquier contexto.
Alega por tanto que la Agencia, contra su propio criterio, a lo largo del Acuerdo
fundamenta la comisión de una infracción del artículo 5.1 f) por TPHS en la producción
de un resultado: la superación de las medidas de seguridad de TPHS por un tercero
que comete una actividad delictiva.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/197
Entiende que esta interpretación, además, es contraria a la jurisprudencia emanada de
la Sentencia del Tribunal Supremo 188/2022, de 15 de febrero, que específicamente
establece que la obligación de adoptar las medidas necesarias para garantizar la
seguridad de los datos personales no puede considerarse una obligación de resultado.
Sin embargo, de entrada, y sin entrar a valorar de forma efectiva el despliegue de
diligencia realizado por TPHS, la AEPD limita su argumentación al resultado,
considerando que la superación de las medidas de seguridad por un tercero conlleva
la automática consideración de estas como insuficientes y, por tanto, a juicio de la
AEPD, surgiendo automáticamente la responsabilidad directa de TPHS.
Reseña TPHS que en materia sancionadora rige el principio de culpabilidad (por todas,
STC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre),
lo que determina que necesariamente ha de concurrir alguna clase de dolo o culpa por
parte de la entidad. Es el precepto 28 de la Ley 40/2015, de 1 de octubre, de Régimen
Jurídico del Sector Público (en adelante, la “LRJSP”), que prevé el principio de
responsabilidad, el que dispone que: “Sólo podrán ser sancionadas por hechos
constitutivos de infracción administrativa las personas físicas y jurídicas, así como,
cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las
uniones y entidades sin personalidad jurídica y los patrimonios independientes o
autónomos, que resulten responsables de los mismos a título de dolo o culpa”.
Señala sin embargo que la imputación de la infracción del precepto 5.1 f) del RGPD
que la AEPD realiza en contra de TPHS no va asociada a ninguna fundamentación, ya
que no analiza ni evalúa la adecuación de medida alguna. No califica como
inadecuado ningún protocolo o sistema de los utilizados por PHONE HOUSE, cuya
implantación le consta.
Entiende por tanto que las afirmaciones vertidas a lo largo del Acuerdo, la AEPD
parece confundir el concepto de responsabilidad proactiva con la obligación de
resultado que impone la responsabilidad objetiva.
Recuerda que el enfoque del riesgo introducido por el RGPD viene a determinar que,
ante la imposibilidad de un riesgo cero, las medidas adecuadas serán aquellas que,
dentro del estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el
contexto y los fines del tratamiento, permitan reducir el riesgo inherente al mínimo
riesgo residual posible. Defender lo contrario es contradecir el propio contenido
expreso y el espíritu de la redacción del RGPD, conforme al cual, una materialización
del riesgo derivada de la comisión de actos delictivos por un tercero, como el que nos
encontramos en el presente supuesto, no puede ser calificado, de forma automática,
como una falta de diligencia del responsable en el despliegue de medidas de
seguridad.
La imputación de una infracción muy grave a PHONE HOUSE, con la imposición de la
consiguiente sanción, fundamentada exclusivamente en la obtención de un resultado
acometido por un tercero mediante la comisión de varios actos delictivos supone
adoptar un principio de responsabilidad objetiva en el ámbito sancionador, vetado por
nuestro ordenamiento jurídico, como ha sido reiterado en diversas ocasiones por el
Tribunal Constitucional.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/197
El Tribunal Constitucional desde su Sentencia nº 76/1990 de 26 de abril, ha venido
advirtiendo del problema de la inadmisibilidad en nuestro ordenamiento jurídico de la
responsabilidad objetiva y, consecuente con ello, la exigencia en todo caso de que la
Administración, a la hora de sancionar, pruebe algún grado de intencionalidad en el
sancionado. En la indicada sentencia se señala que la posibilidad de imponer una
sanción exige la concurrencia de culpabilidad en los grados de dolo y culpa o
negligencia grave, no siendo suficiente la mera negligencia. Es por ello que se excluye
la posibilidad de sancionar por la mera concurrencia de un resultado, entendiendo el
Tribunal Constitucional que “el mero error humano no puede dar lugar, por sí mismo (y
sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias
sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad
objetiva vedado por nuestro orden constitucional”.
En apoyo de su argumentación, indica asimismo varias sentencias de la Audiencia
Nacional
En la misma línea, trae a colación la Sentencia de la Audiencia Nacional, Sala de lo
Contencioso, de 25 de febrero de 2010, nº de Recurso 226/2009, que específicamente
recoge: “La LOPD establece una obligación de resultado, consistente en que se
adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o
acaben en manos de terceros, tal obligación no es absoluta y no puede abarcar un
supuesto como el analizado. En el caso de autos, el resultado es consecuencia de una
actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal,
de un tercero con altos conocimientos técnicos informáticos que rompiendo los
sistemas de seguridad establecidos accede a la base de datos de usuarios registrados
en www.portalatino.com, descargándose una copia de esta. Y, tales hechos, no
pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el
principio de culpabilidad”.
Remarca TPHS la similitud del presente supuesto de hecho con el recogido en la
extractada Sentencia de la Audiencia Nacional de 25 de febrero de 2010: se trata de
intrusiones cometidas de manera ilegal, por terceros organizados y con altos
conocimientos informáticos, dirigidos a una actividad delictiva muy elaborada.
Por lo tanto, arguye TPHS que la superación por un tercero de las medidas de
seguridad no puede determinar por sí sola que las mismas no sean adecuadas o
suficientes. Así lo reconoce la propia AEPD en el expediente E/05168/2021, cuya
denuncia es archivada tras comprobarse las medidas de seguridad implementadas. En
este caso, se consideró por la AEPD que, a pesar de producirse un acceso a los datos
personales por un tercero no autorizado, tras superar las medidas de seguridad
implantadas, se había desplegado un nivel de diligencia suficiente y adecuado. Es
decir, que la mera concurrencia del resultado de un acceso no autorizado no puede
determinar la automática consideración de las medidas de seguridad como
inadecuadas.
Concluye por ello TPHS que la AEPD ha venido configurando un criterio de archivo en
los casos de brechas de seguridad sufridas por las entidades como consecuencia de
la intervención delictiva de un tercero, basado en la presunción de inocencia, el cuál
contradice abiertamente en el presente Acuerdo y que, con esta fundamentación
jurídica, la AEPD no sólo contradice sus propios precedentes, sino que resulta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/197
frontalmente contraria a la jurisprudencia aplicable. Entre otras, la Sentencia del
Tribunal Supremo (STS) 5298/1994, de 9 de julio de 1994, que indica:
“…la potestad sancionadora de la Administración goza de la misma naturaleza
que la potestad penal, por lo que en consecuencia, las directrices estructurales
del ilícito administrativo tienden también, como en el ilícito penal, a conseguir la
individualización de la responsabilidad, vedando cualquier intento de construir
una responsabilidad objetiva o basada en la simple relación con una cosa, por
consiguiente en el ámbito de la responsabilidad administrativa no basta con
que la conducta sea antijurídica y típica, sino que también es necesario que
sea culpable, esto es, consecuencia de una acción u omisión imputable a su
autor por malicia o imprudencia, negligencia o ignorancia inexcusable (STC,
Sala del artículo 61 de la Ley Orgánica del Poder Judicial, de 6 de noviembre
de 1990)”.
Reseña asimismo la Sentencia del Tribunal Supremo 543/2022, de 15 de febrero,
indicando que en su Fundamento Jurídico 3º, señala “La obligación de adoptar las
medidas necesarias para garantizar la seguridad de los datos personales no puede
considerarse una obligación de resultado, que implique que producida una filtración de
datos personales a un tercero exista responsabilidad con independencia de las
medidas adoptadas y de la actividad desplegada por el responsable del fichero o del
tratamiento” Indica asimismo en dicho Fundamento Jurídico 3º que “el compromiso
que se adquiere es el de adoptar los medios técnicos y organizativos, así como
desplegar una actividad diligente en su implantación y utilización que tienda a
conseguir el resultado esperado con medios que razonablemente puedan calificarse
de idóneos y suficientes para su consecución, por ello se las denomina obligaciones
"de diligencia " o "de comportamiento". La diferencia radica en la responsabilidad en
uno y otro caso, pues mientras que en la obligación de resultado se responde ante un
resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y la
diligencia utilizada, “en la obligación de medios basta con establecer medidas
técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable”.
Es por ello por lo que TPHS considera que el Acuerdo de Inicio no es ajustado a
Derecho, pues impone a PHONE HOUSE una obligación de resultado, consistente en
el establecimiento de medidas infalibles, al imputar una infracción del artículo 5.1 f)
basándose únicamente en el resultado lesivo que se produce por la intervención ilícita
y organizada de terceros, sin atender a la diligencia utilizada y sin considerar el
despliegue de medidas técnicamente adecuadas e implantadas.
Resalta TPHS que la implementación de dichas medidas inquebrantables, ni es viable,
puesto que toda medida por muy segura que sea, y cuente con las garantías e incluso
certificaciones de seguridad oportunas, tiene vulnerabilidades y no son totalmente
seguras, ni es exigible por la normativa que resulta de aplicación.
Por último, señala TPHS que la AEPD vincula, así mismo, la comisión de una
infracción del Artículo 5.1 f) del RGPD por PHONE HOUSE a la publicación de los
datos objeto de la brecha de seguridad en la Deep Web, actuación cometida por, como
reconoce la propia Agencia, los ciberdelincuentes. Recuerda TPHS que dicha
asociación, totalmente improcedente, ya ha sido analizada y refutada en la Alegación
Tercera de este escrito.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/197
5.- SOBRE EL NIVEL DE RIESGO DE LOS TRATAMIENTOS
En esta alegación, TPHS se centra, a la hora de abordar el cumplimiento por parte de
la Compañía del art. 32 RGPD, en que es especialmente relevante considerar el nivel
de riesgo asociado a los tratamientos de datos personales llevados a cabo por ésta, ya
que, como dice la propia Agencia en su Acuerdo de Inicio, “deben evaluarse los
riesgos que el tratamiento supone para la disponibilidad, integridad y confidencialidad
de los datos personales para así, establecer un nivel de seguridad adecuado a ello”.
En este sentido, señala que para valorar el nivel de riesgo de los tratamientos llevados
a cabo por TPHS, la Agencia considera los siguientes aspectos: (i) que la Compañía
lleva a cabo un tratamiento a gran escala, (ii) que realiza perfilados, (iii) que instala
cookies, y que (iv) realiza tratamientos que conllevan la observación continua y
sistemática de zonas de acceso público.
Considera TPHS determinante señalar que, aun cuando en sus análisis internos se ha
tenido en cuenta un riesgo de profiling por parte de la Compañía en relación con dos
actividades de tratamiento recogidas en el registro de actividades de tratamiento
(Marketing Digital y Comunicaciones comerciales), en la práctica no elabora perfiles en
el sentido del art. 4 (4) RGPD, pues únicamente lleva a cabo actividades de
segmentación en el marco del envío de comunicaciones comerciales, tales como filtrar
por edad, provincia o género.
Asimismo, señala que el hecho de que una entidad lleve a cabo algún tratamiento de
datos personales que conlleve un riesgo alto para los derechos y libertades de los
interesados no implica de manera automática que el nivel de riesgo global de la
empresa a considerar a la hora de definir las medidas de seguridad de la Compañía
sea alto. En todo caso, será necesario tomar en consideración los tratamientos
llevados a cabo por la Compañía en su conjunto, situando aquellos de alto riesgo en el
contexto de la actividad de esta.
Así, indica que en el caso de TPHS, los riesgos levantados y considerados por la
AEPD
se refieren a tratamientos que no forman parte de la actividad principal de la
Compañía, esto es, la comercialización de productos y servicios de telefonía móvil,
sino que se refiere a actividades accesorias que no se vieron afectadas por la brecha
de seguridad y que realizan la práctica totalidad de entidades. De este modo, cualquier
empresa con instalaciones físicas presumiblemente contará con sistemas de
videovigilancia, lo cual supone una observación continua y sistemática de zonas de
acceso público; de la misma manera que el que una entidad cuente con una página
web corporativa que instale cookies es un hecho generalizado.
Habida cuenta de lo anterior, TPHS considera que el baremo utilizado por esta
Agencia a la hora de determinar el nivel de exigencia en relación con las medidas de
seguridad no se encuentra aterrizado al riesgo real que se deriva de los tratamientos
de datos personales llevados a cabo por la Compañía, y menos aún en relación con la
información efectivamente afectada por la brecha de seguridad.
Finaliza TPHS que, una vez aseverada esta conclusión en cuanto al error de la AEPD
a la hora de tomar como referencia un nivel de riesgo alto para valorar la adecuación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/197
de las medidas de seguridad implementadas por PHONE HOUSE, en las
subsiguientes alegaciones esta parte procederá a rebatir de manera específica los
argumentos de la AEPD en relación con cada una de las medidas consideradas como
inadecuadas.
6.- LA EVALUACIÓN DE IMPACTO DE PRIVACIDAD Y LAS MEDIDAS
MITIGADORAS DE RIESGOS ALTOS
Indica TPHS que le resulta sorprendente que la Agencia indique que no es adecuada
la metodología empleada para la realización de las Evaluaciones de Impacto de
Privacidad (en adelante, “PIAs”) porque: “el enfoque de los riesgos no es correcto,
pues en la mayoría de los análisis que se realizan en ellas no se centra en los riesgos
que el tratamiento puede suponer para los derechos y libertades de las personas, en
concreto, en los riesgos que para esos derechos y libertades puede suponer que no
se garantice adecuadamente la confidencialidad, la disponibilidad y la integridad de los
datos personales, lo que exige una evaluación continua de esos riesgos, así como de
las medidas implantadas para mitigarlos, debiendo revisarse continuamente y
documentarse todo adecuadamente, pues el RGPD, en este aspecto, ha establecido
una responsabilidad proactiva cuyo cumplimiento está basado en la gestión del
riesgo”.
Entiende TPHS de lo anterior que la AEPD justifica que el enfoque de los riesgos no es
correcto aludiendo a que deben revisarse de forma continua, pero es obvio que el
hecho de no reevaluar periódicamente los riesgos para nada afecta a que estos estén
adecuadamente definidos. Siendo además que PHONE HOUSE sí ha procedido a
reevaluar los riesgos, periódicamente.
En consecuencia, considera TPHS que la conclusión de la AEPD no está
fundamentada y, en todo caso, no se corresponde con los hechos probados con las
evidencias aportadas a lo largo del procedimiento.
En este sentido, indica TPHS que es un hecho contrastado que audita de forma
continuada su estado de adecuación y progreso de implantación de medidas para la
mitigación de los riesgos detectados. Consta acreditado, incluso, que la metodología
empleada ha ido siendo actualizada conforme a las guías y recomendaciones de las
autoridades de control, especialmente las emitidas por la AEPD.
A mayor abundamiento, señala que la metodología empleada inicialmente fue
elaborada
conforme a lo dispuesto en el RGPD, así como a lo manifestado por la AEPD en
distintas Guías y Publicaciones, así como en la más detallada Guía “Conducting
privacy impact assessments code of practice” elaborada por el Information
Commissioner`s Office (en adelante, “ICO”) y a las publicaciones realizadas por
entidades supranacionales y especializadas en la materia, de reciente publicación al
momento de llevar a cabo las evaluaciones de impacto. Con posterioridad, las
diferentes autoridades de control, entre ellas la AEPD, han continuado publicando
guías y recomendaciones que han sido tenidas en consideración en las
actualizaciones de los análisis de riesgos, por lo que ha acreditado ser diligente tanto
en la realización de las evaluaciones como en lo que se refiere a la puesta al día de la
metodología empleada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/197
Ahondando en su argumento, la AEPD señala que al realizar una evaluación de
impacto “el objetivo es la protección de las personas, no de las organizaciones.
Analizar los riesgos en protección de datos es analizar la probabilidad y su impacto, es
decir qué consecuencias negativas puede tener para los interesados titulares de esos
datos”. Sin embargo, de nuevo esta afirmación no va acompañada de una
fundamentación que relacione estas opiniones con la supuesta inadecuación del
análisis realizado y en qué medida el mismo no contempla los riesgos para los
derechos y libertades de los interesados.
Señala que el modo en el que se identifican los riesgos, especialmente en lo relativo a
la seguridad de la información, es común en diversas metodologías y no depende
únicamente de la materia analizada, sino que ha de ponerse en relación con un
conjunto de estándares que conviven entre sí y que han de ser compatibles, lo que
incluye la nomenclatura empleada.
Así, indica como ejemplo, que uno de los riesgos identificados desde el punto de vista
de la privacidad es el acceso por personas no autorizadas a los datos personales de
los interesados, pero con independencia del modo en que se enuncie el riesgo, este
redunda en si se ha establecido o no un adecuado control de accesos. Otro ejemplo
podría ser el riesgo de la perdida de forma irrecuperable de los datos personales, que
en última instancia está vinculado a la realización de copias de respaldo o replicado de
la información.
Alega, por tanto, por más que las situaciones de riesgos para la seguridad de la
información se puedan analizar desde diversas perspectivas (protección de datos
personales, información confidencial, información comercial sensible, propiedad
intelectual, etc.), que lo cierto es que son reconducibles a controles estandarizados
que son comunes en todos los supuestos. Tanto es así, que la guía “Handbook on
Security of Personal Data Processing” que la European Union Agency for Network and
Information Security(ENISA) emitió en 2017 sobre las medidas de seguridad a adoptar
para garantizar la seguridad de los datos persones se remite a controles de la ISO
27001, que se refiere a la seguridad de la información en su conjunto y no
específicamente a la privacidad y la protección de datos.
Es decir, la propia autoridad europea especializada en ciberseguridad parte de la base
de que el enfoque de los riesgos de seguridad desde el punto de vista de la privacidad
no es óbice para considerar que un análisis general de adecuación de las medidas de
seguridad implantas es eficaz para todo tipo de riesgos, incluidos los relacionados con
la protección de los datos personales. Por lo tanto, aún en el hipotético caso de que un
análisis de riesgos de las medidas de seguridad estuviese enfocado en el
cumplimiento normativo o el riesgo del responsable del tratamiento, lo cierto es que
eso no lo invalidaría para ser adecuado desde la perspectiva de los interesados, dado
que la finalidad de la normativa a la que se daría cumplimiento no es otra que la
protección de los derechos y libertades de los titulares de los datos y, en
consecuencia, las medidas a adoptar estarían alineadas en ambos casos. Afirmar lo
contrario supondría sostener que el incumplimiento por el responsable de la normativa
de protección de datos no tiene relevancia para los titulares de los datos objeto de
tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/197
Señala TPHS que, curiosamente, a pesar de estos comentarios previos, la propia
AEPD reconoce, a renglón seguido, que el análisis realizado sí identifica los riesgos
para los derechos y libertades de los interesados, cuando afirma que: “el resultado de
la investigación llevada a cabo por esta AEPD en aras de verificar si se estaba
cumpliendo la normativa en materia de protección de datos por parte de TPHS en el
momento de la brecha de seguridad de datos personales, analizado el procedimiento
de gestión de cumplimiento normativo, se infiere que las medidas de seguridad
existentes no eran adecuadas a los riesgos detectados para los derechos y libertades
de las personas titulares de los datos personales”.
Entiende, por tanto, que la AEPD contradice su propio argumento previo, y reconoce
que la metodología de análisis de PHONE HOUSE servía para la detección de los
riesgos para los derechos y libertades de los interesados e, igualmente, y como no
podía ser de otro modo, ratifica el hecho de que ese es el objetivo de las obligaciones
recogidas en la norma. Por ello, recalca el modo en el que la AEPD llega a su
conclusión, para lo que alude que: “analizado el procedimiento de gestión de
cumplimiento normativo, se infiere que las medidas de seguridad existentes no eran
adecuadas”.
De ello entiende TPHS que la propia Agencia reconoce que no ha establecido ningún
nexo causal entre las medidas supuestamente no implementadas y la brecha, sino que
lo “infiere” del procedimiento de gestión de cumplimiento normativo.
Continúa señalando TPHS que la Agencia, en el Acuerdo, relaciona una serie de
medidas con la brecha de seguridad, tales como: vulnerabilidades detectadas respecto
a las credenciales y contraseñas, la insuficiencia en la formación y concienciación de
los empleados, la inexistencia o ausencia de medidas dirigidas a controlar y
monitorizar la red interna, el no estar los datos personales cifrados o anonimizados o
pseudoanonimizados, etc., que como quedará acreditado en el presente escrito, sí
estaban implementadas. No obstante, no se puede acreditar que la implementación de
unas medidas aún más robustas podría haber evitado la brecha sufrida.
Entiende TPHS que, cuando la AEPD señala que estas supuestas deficiencias
supondrían: “la existencia de vulnerabilidades ante cualquier incidente de seguridad
-ya sea el específico ataque sufrido ya sea cualquier otro, conocido o no- y que,
además, ha podido facilitar la concreta brecha de seguridad de datos personales
padecida”, la vaguedad de estas afirmaciones no es compatible con la tipificación de
una conducta como infractora, señalando además que la AEPD no está en disposición
de confirmar que las medidas a las que hace alusión no hubiesen sido implementadas
(a este respecto se remite TPHS a lo expuesto tanto en esta alegación como en las
siguientes) y que, independientemente de ello, no hay ninguna base técnica que
sostenga que la implementación de todas esas medidas habría servido para evitar el
ataque sufrido, por lo que su conclusión carece de fundamento.
Señala TPHS que la seguridad de un sistema no puede analizarse desde el punto de
vista de la existencia de recomendaciones de mejora concretas, sino que debe atender
al conjunto de las medidas implementadas. De hecho, cualquier metodología de
análisis de riesgos sigue esta sistemática, entre ellas, la contenida en la propia Guía
de la AEPD sobre “Gestión del riesgo y evaluación de impacto en el tratamiento de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/197
datos personales”, antes mencionada, en la que claramente se identifica en el
apartado relativo al tratamiento del riesgo que:
“En cuanto a la estrategia de cómo afrontar el riesgo, distinguimos entre
medidas orientadas a:
• Reducir/mitigar el riesgo: Para reducir el nivel de riesgo, se deben establecer
medidas de control que disminuyan los niveles de probabilidad y/o los impactos
asociados al riesgo inherente.
• Evitar/eliminar el riesgo: Si el riesgo es muy elevado y no se quiere asumir el
mismo, se puede decidir abandonar la actividad de tratamiento o, en su
defecto, modificar la naturaleza, el alcance, el contexto y la finalidad del
tratamiento para evitar dicho riesgo.
• Aceptar/asumir el riesgo: Si el riesgo inherente es inferior al nivel de riesgo
considerado como aceptable, se puede asumir, pero sin olvidar la necesidad de
continuar gestionándolo de forma continua”.
Así mismo, en la exposición referente al concepto de riesgo inherente y riesgo residual
se especifica que “el objetivo es que el riesgo residual se reduzca a un nivel de riesgo
aceptable”
De ello concluye TPHS que no existe una obligación de adoptar todas y cada una de
las de las recomendaciones contenidas en el informe de evaluación de impacto, sino
que ha de establecerse en conjunto de las necesarias para alcanzar un nivel de riesgo
aceptable y, consecuentemente, ha quedado acreditado que PHONE HOUSE cumplió
con su deber como responsable del tratamiento.
A mayor abundamiento, señala TPHS que, a sensu contrario de lo que indica la AEPD
en su Acuerdo, la compañía dentro de su compromiso con la protección de datos y
siguiendo su política de reducción al mínimo de los riesgos para los derechos y
libertades de los titulares de los datos, implementó todas las medidas recomendadas
en los informes de PIAs. A este respecto, alega que algunas de las medidas adoptadas
de conformidad con las recomendaciones del Informe al que las que la AEPD hace
referencia:
Cifrado de soportes: Los dispositivos portátiles puestos a disposición de los usuarios
que tratan datos de carácter personal cuentan son sometidos a un proceso de cifrado
seguro de los discos duros (bitlocker). Se incluye como documento nº2 las evidencias
de realización de este proceso.
Seudonimización de datos personales: Se habían puesto en marcha procesos de
seudonimización de los datos personales durante su ciclo de vida, desarrollándose
procesos que excluían los datos personales y/o empleaban identificadores aleatorios
para la emisión de los informes y la generación de estadística de uso interno.
Reproduce TPHS a continuación capturas de los tipos de procesos empleados.
Por todo lo anterior, concluye TPHS que tampoco desde el punto de vista de los
análisis realizados sobre las PIAs cabe concluir que no es cierto, y no cuenta con
evidencia en contra alguna en el expediente administrativo, el argumento sostenido
por la AEPD relativo a que “las medidas de seguridad existentes no eran adecuadas a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/197
los riesgos detectados para los derechos y libertades de las personas titulares de los
datos personales, pues las mismas o no existían o no eran eficaces por no estar
correctamente implantadas o aplicadas”.
Por último, menciona TPHS que la AEPD incluye en el Acuerdo extractos aislados del
Informe de (...) sobre la brecha de seguridad y del “Informe de Evaluación Técnico” de
ECIJA, los cuales fueron aportados por la compañía a petición de la autoridad de
control, para tratar de justificar una conclusión de inadecuación de las medidas
implementadas, indicando frente a ello que dichos informes no tienen conexión entre
sí, que el Informe de ECIJA nada tiene que ver con la brecha de seguridad y que,
consecuentemente, no se corresponden las conclusiones de dichos Informes con las
conclusiones alcanzadas por la AEPD en el Acuerdo.
Entiende TPHS que la AEPD hace un análisis sesgado, que se entremezcla con la
consecuencia de un ataque criminal para tratar de defender (en realidad, “inferir”) que
las medidas adoptadas no eran adecuadas. Sin embargo, no hay una argumentación
técnica que ampare ese razonamiento, sino que, en realidad, se contradice con el
Informe de ECIJA y con el de (...) que usa como única base para su argumentación,
del que se puede extraer que, si bien con recomendaciones de mejora, las medidas
adoptadas por la Compañía gozaban de la robustez requerida para evitar un
ciberataque, eso sí, no para repeler un ciberataque por una tecnología absolutamente
desconocida hasta el momento y que sólo 5 meses después, y porque los criminales
publicaron el código fuente de Babuk, el CCN publicó las medidas de prevención y la
solución a los efectos del ataque. No obstante, lo novedoso del ransomware utilizado
por los criminales trajo como consecuencia que el mismo no se pudiese detener bajo
ningún concepto.
Concluye TPHS por tanto, que no se cumplen los principios del derecho administrativo
sancionador, por el que la actividad probatoria ha de ser suficiente para acreditar la
existencia de una conducta tipificada.
7.- SOBRE LA INEFICIENCIA DE LA POLÍTICA DE CONTRASEÑAS.
Señala TPHS que la AEPD, en su análisis sobre la supuesta infracción del artículo 32
del RGPD, se ha centrado en la existencia de distintos informes puestos a disposición
por PHONE HOUSE con la intención de esclarecer las posibles causas concurrentes
en relación con el ataque de ransomware sufrido.
En primer lugar, indica TPHS que la AEPD denomina el Informe de (...) como informe
“forense”. No obstante, tal y como aclara (...) en la introducción de este Informe
(incluido en el Expediente Administrativo) “este informe no sigue los procedimientos
forenses; se realiza en un sistema en vivo y puede alterar su estado”.
Continúa señalando que la AEPD indica que “(…)” y entiende que esta afirmación, si
bien es cierta, no es del todo correcta ya que el motivo por el que no existe
información de logs ni monitorización no se debe a que no fuese generada por el
sistema, sino que esta información fue cifrada como consecuencia del ataque, y
debidamente borrada por parte de los atacantes (algo que por otro lado es una praxis
habitual de los atacantes), por esa misma causa no pudo ser analizada y no porque no
se hubiesen implementado medidas para el registro de la actividad en los sistemas de
TPHS.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/197
Señala que la Agencia no pretenderá que esta parte pueda aportar evidencia alguna
sobre dichos logs, eliminados o cifrados por los atacantes, pero a meros efectos
acreditativos, que esperemos que la AEPD tenga la consideración de valorar, se
facilitan evidencias respecto al sistema que TPHS empleaba para la centralización de
logs y de alertas de dispositivos y servidores, de los que ha sido posible recuperar
capturas previas al ataque:
• (…).
• (…).
(…). Por ello, el Informe de (...) no es concluyente (como ellos mismos indican
expresamente), dado que se basa en indicios obtenidos de la información residual
extraída de las máquinas comprometidas, que solo permiten conocer parcialmente la
información, y por ello en su informe se “infiere que el atacante ha podido llevar a cabo
la intrusión con alguno de los siguientes métodos:
• (…).
• (…).
• (…).
• (…)”.
Es decir, se habla de meras posibilidades que explicarían lo ocurrido, pero en absoluto
se afirma que ninguna de estas causas fuera, ni mucho menos, la causa del ataque,
estableciendo una relación de causalidad entre las medidas de seguridad
implementadas y el éxito del ataque. Esa conexión causal no es más que la pretensión
que esta Agencia reitera en diferentes partes de su escrito, con la única finalidad de
demostrar mediante meros indicios (en ningún caso pruebas) una responsabilidad que,
a todas luces, parece, cuanto menos, débil para sostener una acusación como la que
realiza, actuando con el más absoluto desprecio a las reglas que rigen un
procedimiento sancionador administrativo.
Continúa alegando TPHS que la recopilación por la AEPD de las de diversas
referencias recogidas a lo largo de todo el informe en relación con credenciales y que
expone de forma conjunta para tratar de evidenciar una política de contraseñas
inadecuada carece de rigor técnico.
El Informe de (...) realiza un análisis genérico del directorio activo, sin que en ningún
momento se identifique el tipo de cuenta o sistema afectado por ciertas debilidades
potenciales, ya que se limita a hacer un rastreo de condiciones de las credenciales sin
tener en cuenta a qué dan acceso.
La inexistencia de contraseñas en una concreta aplicación no tiene porqué suponer
per se la existencia de ninguna inadecuación, puesto que puede ser que la misma se
encuentre dentro de un entorno en el que el usuario ya ha tenido que validarse
previamente. Igualmente, hay determinados entornos de criticidad mínima o
funcionalidades concretas en las que no es necesario implementar la totalidad de
medidas aplicables a una contraseña (complejidad, extensión, duración, etc.) puesto
que puede no resultar operativo y supone un riesgo irrelevante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/197
(…).
Por tanto, indica TPHS que cualquier acceso a las aplicaciones sería previamente
filtrado, de modo que sólo los usuarios previamente validados pueden acceder a la
mismas (ver documento nº2 referido en la alegación previa)
En este sentido, en ninguno de los dos informes que son tomados como referencia por
parte de la AEPD para sostener su argumentación (en el que se identifican ciertas
recomendaciones de mejora respecto a la gestión de contraseñas) se estima que los
sistemas no fueran seguros por este motivo.
En consecuencia, señala TPHS que la AEPD llega a una conclusión referente a la no
adecuación de la política de contraseñas y demás restricciones para el acceso a los
sistemas de información que no está sustentada en ningún criterio técnico, sino en
meras especulaciones. De hecho, llega a afirmar que son “vulnerabilidades
aprovechables por cualquier atacante”, cuando no consta acreditado siquiera que esta
configuración suponga ningún aumento del riesgo de acceso no autorizado, ni mucho
menos que guarden relación con el propio ataque sufrido.
(…).
(…).
Señala TPHS que ha de tenerse en cuenta que la adopción de esta medida de
seguridad (...), aunque está entre las recomendaciones de implementación, no es en
absoluto una medida obligatoria para todos los sistemas. De hecho, esta medida sólo
es exigible en determinados sectores y para operaciones concretas, como puede ser
la realización de pagos en el sector de banca, de conformidad con la Directiva (UE)
2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre
servicios de pago en el mercado interior (PSD2). Por lo que, obviamente, no puede
darse por válido que su no implementación pueda considerarse como un
incumplimiento, en la medida en que la Compañía estaba alineándose con un estándar
de seguridad solo exigible en normas que regulan operaciones de criticidad máxima.
Reseña TPHS que, independientemente de la justificación de estas medidas de
seguridad implantadas, la seguridad no puede analizarse atendiendo a medidas
aisladas que, por más que sean susceptibles de mejoras como las propuestas, no
tienen por qué suponer un riesgo relevante, ya que pueden estar cubiertos por
medidas complementarias o alternativas que hacen que los niveles de seguridad en su
conjunto sean adecuados. Además, muchas de las medidas identificadas como
potenciales mejoras responden a criterios de máximos, en los que se realiza un
cuestionario que analiza las medidas implementadas de entre todas las posibles, lo
que no quiere decir que si no se aplican todas ellas se produzca un riesgo relevante.
Cuestión distinta es que se proponga su implementación como mejoras, pero eso no
implica que se produzca un incumplimiento.
Señala que, en este sentido, es esclarecedor que la propia metodología empleada por
los principales estándares de análisis de seguridad sólo contempla las no
conformidades “mayores” (que son las que afectan a la capacidad de un sistema para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/197
conseguir un objetivo) como potenciales motivos para la no obtención de
certificaciones. Y, aún en ese caso, el hecho de no obtener una de estas
certificaciones no supondría que no haya una seguridad apropiada. Afirmar lo contrario
sería suponer que la práctica totalidad de las empresas de España no cuentan con
medidas suficientes para tratar datos personales.
Añade TPHS que no existe actualmente un marco normativo aplicable que sea exigible
en relación con la implementación de unas concretas medidas de seguridad, más allá
de las recogidas en el Real Decreto 1720/2007, de 21 de diciembre, por el que se
aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre,
de protección de datos de carácter personal, y cuyos requisitos cumpliría
sobradamente la seguridad implementada por TPHS, que parafraseando a la propia
AEPD “dicho Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real
Decreto 1720/2007, de 21 de diciembre, se encuentra en vigor en todo aquello que no
contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la
LOPDGDD”, siendo esta la única referencia normativa específica relativas a medidas
de seguridad en materia de protección de datos y de plena aplicación.
Teniendo en cuenta lo anterior, y atendiendo a que estamos ante un procedimiento
sancionador, considera TPHS que las afirmaciones vertidas por las AEPD en relación
con la adecuación de las medidas de seguridad implantadas carecen de rigor técnico
y, cuanto menos dejan entrever un ánimo por esta Agencia de justificar una sanción
económica que pasaría a ser la segunda más importante impuesta hasta el momento
por parte de esta Agencia.
Concluye, por tanto, que ninguno de los documentos existentes en el expediente que
la Agencia emplea como pretexto llega a tal conclusión y tampoco las averiguaciones
realizadas por la AEPD, sirven para llegar a fundamentar una afirmación de este tipo.
8.- SOBRE LA PROTECCIÓN DE LA SEGURIDAD PERIMETRAL
Señala TPHS que, de entre los motivos que emplea la AEPD para justificar la
existencia de una inadecuación de las medidas de seguridad adoptadas por parte de
TPHS, el más llamativo es el relativo a la inexistencia de medidas de seguridad
relacionadas con la seguridad perimetral de sus sistemas.
Para tratar de validar esta afirmación, la AEPD recurre a las medidas de seguridad que
TPHS tiene en proceso de implantación al momento de ser requerida por la AEPD
para interpretar que el hecho de que no estuvieran implementadas previamente
implica de por sí que las medidas previas no eran adecuadas.
Indica que la AEPD no tiene en consideración las medidas previas adoptadas y su
adecuación a los riesgos, sino que las obvia totalmente para considerar que las que
están en proceso serían las necesarias. Todo ello, como en todos sus análisis,
limitándose a considerar el hecho de que no pudieron impedir un ataque como el
sufrido. Sin embargo, en toda esta argumentación no hay ni una sola justificación
técnica, ni respecto a la adecuación de las medias previas y a porqué han de
considerarse insuficientes o de porqué son exigibles las que se estaban en proceso de
implementación. Con este análisis simplista, todo proceso de mejora es susceptible de
ser interpretado como un reconocimiento de que las medidas previas no eran
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/197
adecuadas. O, lo que es más pernicioso, puede ser entendido como un llamamiento a
futuros responsables afectados por este tipo de ataques a no implementar medidas
adicionales tras sufrirlos, ya que ello supone un aumento del riesgo de ser
sancionados.
Por tanto, a más medidas de mejora propuestas, más motivos para sancionar. Sin
importar la complejidad de las medidas propuestas, su coste de implementación, su
eficacia prevista, ni si se trata de medidas alineadas con los más altos estándares de
seguridad de un nivel muy superior al que puede considerarse proporcionado al tipo de
riesgos existentes.
En consecuencia, señala TPHS que, bajo este prisma, toda mejora de medidas de
seguridad posterior a haber sufrido un ataque, lejos de considerarse un esfuerzo
económico y técnico por implementar medidas de última generación asociados a una
especial diligencia por parte del responsable derivadas de sensibilidad al tipo de
ataque sufrido y evitar que se repita a futuro, implica un reconocimiento de que las
medidas de seguridad previas son inadecuadas, siendo este un planteamiento
insostenible y atenta contra cualquier lógica de analítica de riesgos y recomendaciones
de mejora. Todo sistema de seguridad es susceptible de ser mejorado, incluso aunque
las medidas adoptadas resulten adecuadas para mitigar los riesgos detectados.
Adicionalmente, la inadecuación de las medidas ha de ser probada, atendiendo a los
riesgos existentes e identificando el motivo por el que tienen tal consideración.
Proceder de otro modo supone invertir la carga de la prueba sobre la idoneidad de las
medidas adoptadas o, como resulta más sencillo a la AEPD, limitar el análisis a la
existencia de un supuesto en el que no han resultado eficaces.
En este sentido, entiende TPHS que consta acreditada la existencia de medidas de
seguridad orientadas a aumentar, por encima de las obligaciones legales, los niveles
de seguridad.
(…).
Por otro lado, señala TPHS que la referencia que hace la AEPD a que (…).
9.- SOBRE LA FORMACIÓN Y CONCIENCIACIÓN A LOS TRABAJADORES EN
MATERIA DE PROTECCIÓN DE DATOS.
Alega TPHS que tal como se ha expuesto y evidenciado en el escrito de respuesta al
requerimiento de información efectuado por esta autoridad de control, cuenta con un
plan robusto y exhaustivo de formación en materia de protección de datos y seguridad
de la información.
Indica que dichas formaciones son realizadas por todos los trabajadores de la
Compañía y que se van actualizando periódicamente con el propósito de adecuarlas a
las necesidades de la entidad y a los tratamientos de datos efectuados, a los cambios
normativos y, a los pronunciamientos de las Autoridades de Control Europeas y de
Comité Europeo de Protección de Datos en sus Guías, Informes y Recomendaciones.
Señala que el plan de formación de la compañía tiene como principal objetivo
mantener los conocimientos de los trabajadores debidamente actualizados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/197
ayudándolos al desarrollo de nuevas competencias y la mejora de las ya existentes.
En este contexto, en materia de protección de datos y seguridad de la información se
han impartido en la Compañía, desde la entrada en vigor de la Ley Orgánica 15/99 de
Protección de Datos de Carácter Personal, distintos cursos y formaciones,
presenciales y online, que abarcan tanto un enfoque general de la materia, como el
desarrollo de cuestiones más específicas que se han detectado en la Compañía como
especialmente relevantes, debido al impacto que tienen en sus empleados y clientes.
En el escrito de respuesta al requerimiento de información, TPHS aportó alguno de los
documentos que evidenciaban dichas formaciones a la AEPD, sin entrar en exhaustivo
detalle puesto que no se había realizado una petición expresa en este sentido,
considerando esta parte que las evidencias aportadas resultarían suficientes para
demostrar que TPHS cumple escrupulosamente esta obligación, ya que todos sus
trabajadores han recibido y reciben formaciones periódicamente, las cuales se
encuentran en constante revisión y actualización.
A continuación, TPHS detalla los cursos de formación relacionados con la protección
de datos ofrecidos y que han realizado los trabajadores desde 2015 hasta 2022.
Continúa señalando que en el Acuerdo de Inicio la AEPD indica que TPHS afirmó
haber impartido cursos de formación sobre el RGPD, aportando una lista de 642
asistentes, siendo su plantilla, (…). De manera aclaratoria señala que se aportaron
dichos listados a modo de ejemplo. No obstante, la Compañía cuenta con listados
exhaustivos en los que se evidencia que todos los trabajadores realizaron varios
cursos de formación. Acompaña como documentos nº7, 8, 9 y 10, algunos de los
listados de las formaciones realizadas por los trabajadores en materia de protección
de datos, los cuales han sido obtenidos de las plataformas online de formación de
PHONE HOUSE.
A mayor abundamiento, recalca TPHS que remitía, con anterioridad a la brecha de
seguridad y que sigue remitiendo hoy en día, correos electrónicos a sus trabajadores
con contenido formativo e informativo en materia de medidas de seguridad. Se
acompaña como documento nº11 a modo de ejemplo, correo electrónico remitido a los
trabajadores con carácter previo a la brecha de seguridad.
Indica TPHS que en el año 2020 contaba con (…).
En otro orden de cosas, señala TPHS, en relación con la Política de Seguridad, que la
AEPD indica en el Acuerdo de Inicio que aportó la vigente en 2022. No obstante, la
versión aportada es la de diciembre de 2021, siendo la versión anterior de septiembre
de 2020.
Reseña TPHS que la AEPD indica en el Acuerdo que: “en la Política de Seguridad no
se establecen reglas claras a seguir por los empleados en aras de la seguridad,
adaptada a los diferentes perfiles profesionales que puedan tener los empleados”.
Pues bien, al respecto, alega que no existe ninguna norma que exija que en la Política
de Seguridad se deban establecer reglas claras a seguir por los empleados en aras de
la seguridad, adaptada a los diferentes perfiles profesionales que puedan tener los
empleados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/197
En la Política de Seguridad no se reflejan las instrucciones a seguir por los
trabajadores en materia de seguridad, al no ser un requisito legal el que vengan
recogidos en la misma. Así las cosas, en el “Informe de Evaluación de Cumplimiento
Técnico”, fechado en enero de 2021, el cual fue aportado en el mes de agosto a la
AEPD, se recoge lo siguiente:
En este sentido, adjunta TPHS, como documentos nº12, 13 y 14, los siguientes
Procedimientos: (i) Segregación de Tareas y Funciones; (ii)Organización de Seguridad
de la Información, roles y responsabilidades y; (iii) Seguridad de los Recursos
Humanos. Indica que estos procedimientos no fueron aportados a esta Agencia,
puesto que en el requerimiento de información solicitó a mi representada la “Política de
Seguridad” de la Compañía.
Por lo expuesto, concluye TPHS que ha quedado acreditado que los trabajadores han
recibido formación y concienciación en materia de protección de datos y que actúa de
forma diligente y proactiva en todo momento y que ha sido siempre rigurosa con el
cumplimiento de la normativa de protección de datos, impartiendo formaciones a sus
trabajadores desde la entrada en vigor de la Ley Orgánica 15/1999, hasta la
actualidad, impartiéndose periódicamente formaciones y labores de concienciación en
materia de cumplimiento de la normativa de protección de datos, así como de
seguridad de la información.
10.- SOBRE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA.
Considera TPHS que, habiendo sido diligente en su actuación, no procede la
imposición de sanción alguna. No obstante, para el hipotético caso de que se
considerase la existencia de un supuesto incumplimiento, la sanción propuesta por la
AEPD no resultaría proporcional.
La potestad sancionadora se encuentra limitada por la existencia del principio de
proporcionalidad, de conformidad con lo dispuesto en el artículo 29 de la LRJSP, en
virtud del cual se deberá observar la debida idoneidad y necesidad de la sanción a
imponer y su adecuación a la gravedad del hecho constitutivo de la infracción.
Sin embargo, se ha considerado que TPHS ha cometido dos infracciones, una del
artículo 5.1 f) y otra del artículo 32 RGPD por las que se propone una sanción que
asciende a un total de 6.500.000,00 €.
A este respecto, entiende TPHS que el artículo 83, apartados 4 a 6, del RGPD
establece que, de cara a la cuantificación de las multas, para establecer el límite, se
utilizará el volumen de negocios total anual del ejercicio anterior: “Las infracciones de
las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior”.
La cifra de negocio que la AEPD tiene en consideración para la graduación de la
sanción (de hecho, constituye el Hecho Cuarto del Acuerdo) se corresponde con la
cifra correspondiente al año 2020, año previo al que tiene lugar el hecho que la AEPD
considera como constitutivo de las dos supuestas infracciones. Sin embargo, en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/197
cuanto a la cuestión de a qué acontecimiento se refiere el término "anterior" del
Artículo 83 del RGPD, el European Data Protection Board (en lo sucesivo, “EDPB”) se
ha pronunciado al respecto en las recientes Directrices 04/2022 sobre el cálculo de las
sanciones administrativas conforme al Reglamento General de Protección de Datos
(RGPD) (las “Directrices 04/2022”), estipulando que:
“La jurisprudencia del TJUE en materia de Derecho de la competencia también
debe aplicarse a las multas del RGPD, de modo que el acontecimiento
pertinente es la decisión de imposición de la multa emitida por la autoridad
supervisora y no el momento de la infracción ni la resolución judicial”. La
traducción corresponde a esta parte.
Así, conforme lo anterior, señala TPHS que no puede utilizarse como cifra de
referencia la correspondiente a la cifra de negocio de TPHS en el año previo a la
comisión de la supuesta infracción, sino que debe considerar la cifra del negocio del
año previo a la decisión administrativa. Habiendo tenido lugar la apertura del presente
procedimiento sancionador en el año 2023, la cifra que procede tomar en
consideración se corresponde con la cifra de negocio del año 2022, la cual se concreta
en (...) €.
Señala TPHS a este respecto que su cifra de negocio se ha visto gravemente afectada
tras sufrir la brecha de seguridad. Así, utilizando la cifra del año previo a la comisión de
la supuesta infracción, la Agencia obtiene un límite cuantitativo relativo mucho mayor a
la cifra que se obtiene si se aplica el criterio procedente, ya estipulado por el EDPB.
Por todo ello concluye que las sanciones propuestas incumplen frontalmente el
principio de proporcionalidad, que se encuentra consagrado como principio general del
Derecho por la jurisprudencia comunitaria europea.
Trae a colación la Sentencia del TSJA que resuelve el recurso número 795/2003 que
indica:
“El principio de proporcionalidad ha servido en la jurisprudencia como un
importante mecanismo de control por parte de los Tribunales del ejercicio de la
potestad sancionadora de la Administración cuando la norma establece para
una infracción varias sanciones posibles o señala un margen cuantitativo para
la fijación de la sanción pecuniaria. El principio de proporcionalidad o el
principio penal de individualización de la sanción para adaptarla a la gravedad
del hecho y a la personalidad del autor, hacen de la determinación de la
sanción una actividad reglada. El Tribunal Supremo viene manteniendo con
reiteración la procedencia de concretar las sanciones administrativas
en contemplación de la infracción cometida, graduándolas con el adecuado
criterio de proporcionalidad ínsito en los principios ordenadores del Derecho
sancionador, sopesando a tal fin las circunstancias concurrentes en el hecho
constitutivo de la infracción sancionada, correspondiendo a la actividad
jurisdiccional, como se dice en la sentencia de 26 de septiembre de 1990, no
tan sólo la facultad de subsumir la conducta del infractor en un determinado
tipo legal, sino también adecuar la sanción al hecho cometido, ya que en uno y
otro caso se trata de la aplicación de criterios jurídicos plasmados en la norma
escrita y deducibles de principios informadores del ordenamiento jurídico
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/197
sancionador, como son los de congruencia y proporcionalidad entre la
infracción y la sanción”.
11.- AGRAVANTES ASOCIADOS POR LA AEPD A LA INFRACCIÓN DEL 5.1 f)
Expone TPHS, a continuación, los criterios que han sido atendidos como agravantes
sin que, a su entender, concurran las circunstancias para su consideración en relación
con los hechos analizados, indicando lo siguiente:
1) Naturaleza y gravedad de la infracción (Artículo 83.2 a) RGPD):
En este apartado no se evalúa la naturaleza y gravedad de la infracción imputada a
TPHS, que hace referencia al mantenimiento de una adecuada seguridad de los datos
personales (artículo 5.1 f) RGPD), sino que se vuelve, una vez más, a analizar única y
exclusivamente la obtención del resultado. Categorizar la naturaleza y gravedad de la
supuesta infracción exige evaluar las medidas de seguridad establecidas, y no, al
contrario, y como realiza la AEPD, exigir únicamente la consecución de un resultado:
“se considera que la naturaleza de la infracción es grave puesto que acarrea una
pérdida de confidencialidad y, por tanto, de disposición y control irremediable sobre los
datos personales”.
Por ello, el presente agravante no concurre con relación al presente supuesto de
hecho.
2) Número de interesados afectados:
La Agencia reseña en el Acuerdo que el volumen de afectados es: “inmenso: 13
millones de afectados”. Tal afirmación no atiende a criterio alguno establecido al
respecto, ni a una graduación o cuantificación razonada, sino que se trata,
exclusivamente, de una valoración subjetiva de la Agencia. La misma ni siquiera
realiza una valoración comparativa al respecto, indicando los números de afectados
identificados en otras brechas de seguridad de calibre semejante.
En este sentido, no se ha analizado ni cuantificado de forma objetiva el número de
afectados. De hecho, a lo largo del Acuerdo, menciona en ciertas ocasiones “13
millones”, en otras, “al menos 13 millones de personas” o incluso “número aproximado
de afectados: 13 millones”, admitiendo, evidentemente, que se trata de una mera
aproximación o estimación para nada contrastada. Es necesario realizar un mínimo
análisis y verificación, de lo contrario, la Agencia podría estar teniendo en cuenta datos
relativos a personas jurídicas, por ejemplo, a los cuáles no resultaría de aplicación la
normativa en materia de protección de datos.
Es por ello, que no resulta procedente incorporar tal criterio como agravante, con base
en una mera estimación no acreditada.
3) Nivel de los daños y perjuicios sufridos:
Para poder evaluar el daño y perjuicio derivado de la brecha de seguridad sufrida por
TPHS, es necesario, con relación a esta parte, ponerlo en relación con su capacidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/197
de actuación y nivel de diligencia exigible. Así, será necesario considerar las medidas
implementadas con relación a los daños producidos.
La Agencia no realiza tal actuación, limitándose, una vez más, a examinar el resultado
y la concurrencia de la brecha de seguridad; pero no sólo eso, sino que además lo
vincula a la actuación delictiva y posterior que realizan los hackers.
Como ya ha sido extensamente señalado por esta parte, TPHS no tiene control alguno
sobre el posterior uso ilícito que realizan los delincuentes, motivo por el cual los
sucesos derivados no puede ser imputados a esta parte. Se realiza por parte de la
Agencia un acercamiento simplista, omitiendo la complejidad de la secuencia de
hechos y su desarrollo, en el ámbito de actuación de actores y partes diferenciadas.
Sin perjuicio de lo anterior, en vez de considerar las medidas que TPHS ya tiene
implementadas y el nivel de efectividad desplegado, la AEPD, impone una obligación
de resultado absoluta sobre TPHS: se utilizan criterios abstractos y carentes de
fundamentación jurídica que acrediten el agravante de la sanción.
Por todo lo anterior, no cabría imputar a TPHS los supuestos daños y perjuicios ni,
tampoco así, considerarlos como agravantes.
4) Duración de la infracción:
De cara a considerar la duración de la infracción, es necesario determinar el alcance y
hechos concretos imputables a la misma. La Agencia no realiza ese ejercicio, y no
diferencia entre la intromisión en los sistemas de seguridad de TPHS, con la posterior
publicación ilícita de la información obtenida por los hackers en la Deep Web,
actuación no imputable a TPHS, como ya se ha reiterado por esta parte a lo largo del
presente escrito.
Tampoco categoriza como tal una duración, limitándose a señalar la referida
publicación, argumento que utiliza no sólo para justificar la imposición de la infracción
del artículo 5.1 f) del RGPD, sino la mayoría de los agravantes que decide imputar a
esta parte, sin establecer una asociación razonada.
5) Intencionalidad o negligencia en la infracción (Artículo 83.2 b):
La AEPD considera que no hubo intencionalidad por parte de TPHS, pero concluye
que existió negligencia: “en el cumplimiento y observancia de las medidas técnicas y
organizativas para garantizar la seguridad necesaria para la protección de los datos
personales, concretamente para garantizar la confidencialidad de estos”. Con dicha
afirmación, la Agencia exige a TPHS una obligación de resultado absoluta, en tanto el
nivel de diligencia de TPHS no se está evaluando en atención a las medidas y
procedimientos establecidos, sino que atiende únicamente al resulta obtenido.
La AEPD introduce de nuevo la responsabilidad objetiva rechazada por nuestro
Tribunal Constitucional, como ya hemos indicado, en la jurisprudencia que emana de
la STC 76/1990 de 26 de abril, en tanto no puede exigirse en el ámbito sancionador de
la Administración; así como la reciente Sentencia del Tribunal Supremo, de 543/2022,
de 15 de febrero, expresamente establece que la seguridad del tratamiento de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/197
de carácter personal no puede configurarse como una obligación de resultado, sino de
medios.
Pero es que además, con esas afirmaciones la Agencia contradice igualmente la
jurisprudencia emanada de la Sentencia del TS de 23 de enero de 1998): de no haber
intencionalidad o elemento volitivo de TPHS, como se está reconociendo, y habiendo
desplegado éstas medidas de seguridad, previas y posteriores a la brecha de
seguridad, así como procedimientos de mejora; no cabe imputarle a ésta nivel alguno
de negligencia, en tanto, dicha calificación, exige que la persona jurídica muestre un
mínimo grado de intencionalidad, manifestado a través de la falta de diligencia.
A mayor abundamiento, la justificación que utiliza la AEPD para acreditar tal
negligencia, es, ni más ni menos, “que TPHS en una gran empresa”. Dicha
característica debe ser puesta en relación con la diligencia empleada por esta parte.
No obstante, la Agencia realiza afirmaciones ausentes de comprobación: menciona el
uso de cookies, de perfilados; sin realizar una verificación o análisis de los mismos. La
Agencia no puede realizar tales manifestaciones y pretender sostener con ellas una
gravante, ausente de cualquier justificación jurídica.
Es por ello, que no puede considerarse a ésta como negligente, en tanto se han
establecido procedimientos apropiados, los cuales han sido revisados y reforzados
progresivamente. En todo caso, TPHS ha de ser considerada diligente y actuar este
hecho como atenuante de la sanción.
6) Vinculación de la actividad del infractor con la realización de tratamientos de datos
de carácter personal:
No puede considerarse la actividad desempeñada por TPHS, de manera genérica,
como elemento agravante. De lo contrario, cualquier procedimiento de TPHS contaría
siempre con dicho agravante, dado que se está considerando que la gravedad de una
posible infracción aumenta por el mero hecho de pertenecer TPHS al sector de
telecomunicaciones.
Dicho agravante debe ser puesto en contexto con el despliegue de medidas efectuado
por esta parte que, dado que su actividad está relacionada con el tratamiento de datos
de carácter personal, deberá ser revisada, implementada, y mejorada de forma
continuada. Por lo tanto, el examen de su diligencia será exhaustivo, pero la mera
pertenencia a un sector económico no puede derivar, de forma automática, en un
agravante en la graduación de una sanción, pues no posibilitaría defensa alguna para
esta parte, generándole indefensión.
Si bien es cierto que la actividad de TPHS hace necesario el tratamiento de datos
personales de sus clientes, lo cierto es que este factor es ambiguo en su valoración
para incluirlo como agravante, ya que dicha vinculación no supone ni mucho menos
una relación directa con la supuesta infracción, como resulta en el presente supuesto.
El artículo 83.2 k) exige que dicho agravante sea puesto en relación con el supuesto
de hecho concreto. En este sentido, el tratamiento de datos no nace de una intención
de la entidad, sino que tiene lugar la comisión de un delito del que TPHS es parte
perjudicada. Por todo ello, no cabe interpretar este aspecto como agravante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/197
12.- AGRAVANTES ASOCIADOS A LA INFRACCIÓN DEL ARTÍCULO 32.
1) Naturaleza y gravedad de la infracción (Artículo 83.2 a) RGPD):
La Agencia justifica la concurrencia del presente agravante en que: “TPHS no cuenta
con medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad
adecuado al riesgo…” No obstante, lo anterior, tal factor no resulta de aplicación a una
infracción del artículo 32 del RGPD, en tanto constituye el propio elemento constitutivo
de la infracción.
Por ello, no puede considerarse que concurre tal agravante resulta de aplicación al
presente supuesto.
2) Número de interesados afectados:
Como ya ha sido señalado por esta parte, la Agencia no ha analizado ni cuantificado el
número de afectados. De hecho, a lo largo del Acuerdo, menciona en ciertas
ocasiones “13 millones” (vid. página 953 del Expediente Administrativo), en otras, “al
menos 13millones de personas” o incluso “número aproximado de afectados: 13
millones”, admitiendo, que se trata de una aproximación o estimación para nada
contrastada.
Es por ello, que no resulta procedente incorporar tal criterio como agravante, con base
en una mera estimación no acreditada.
3) Nivel de los daños y perjuicios sufridos:
Para poder evaluar un supuesto daño o perjuicio causado por las medidas de
seguridad establecidas por TPHS, es necesario, con relación a esta parte, ponerlo en
relación con su actuación y nivel de diligencia exigible. Así, será necesario considerar
las medidas implementadas con relación a los daños producidos.
La Agencia no realiza tal actuación, limitándose, una vez más, a examinar el resultado
derivado de la brecha de seguridad; pero no sólo eso, sino que además lo vincula a la
actuación delictiva y posterior que realizan los hackers.
Por todo lo anterior, el presente agravante no resultaría de aplicación; y no cabría
imputar a TPHS los supuestos daños y perjuicios ni, tampoco así, considerarlos como
agravantes.
4) Duración de la infracción:
En oposición a las manifestaciones realizadas por la Agencia, TPHS ha acreditado el
establecimiento de medidas tendentes a mitigar los riesgos derivados de los
tratamientos de datos realizados. No obstante, lo anterior, apreciar un agravante de la
duración precisaría de la identificación concreta de las medidas cuya ausencia
prolongada y mantenida en el tiempo determinan no sólo la comisión de la infracción
sino un aumento de su gravedad.
No habiendo realizado la Agencia tal ejercicio, no resulta posible apreciar la
concurrencia de un gravante por la duración de la infracción del Artículo 32 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/197
5) Intencionalidad o negligencia en la infracción (Artículo 83.2 b):
La AEPD considera que no hubo intencionalidad por parte de TPHS, pero concluye
que existió negligencia: “en el cumplimiento y observancia de las medidas técnicas y
organizativas para garantizar la seguridad necesaria para la protección de los datos
personales, concretamente para garantizar la confidencialidad de estos”. Con dicha
afirmación, la Agencia omite nuevamente el establecimiento de medidas realizado por
TPHS; y que ha sido acreditado en el presente escrito. Si bien la Agencia hace
referencia a “la ausencia de tales medidas”, la AEPD no concreta la ausencia de qué
medidas determina un aumento de la gravedad de un supuesto carácter negligente de
esta parte.
Es por ello, que no puede considerarse a ésta como negligente, en tanto se han
establecido procedimientos apropiados, los cuales han sido revisados y reforzados
progresivamente. En todo caso, TPHS ha de ser considerada diligente y actuar este
hecho como atenuante de la sanción.
6) Vinculación de la actividad del infractor con la realización de tratamientos de datos
de carácter personal:
No puede considerarse la actividad desempeñada por TPHS, de manera genérica,
como elemento agravante.
En este sentido, resulta evidente y de sentido común que la actividad de la Compañía
está vinculada al tratamiento de datos de carácter personal. No obstante lo anterior, la
actividad de TPHS no está vinculada al tratamiento supuestamente infractor de datos
de carácter personal, sino a la compraventa de dispositivos electrónicos y de
telecomunicaciones.
A sensu contrario del criterio aplicado en otros casos, la AEPD sostiene en el presente
procedimiento que el mero hecho de que TPHS trate datos en el desarrollo de su
actividad implica que el criterio que ahora nos ocupa sea concurrente y deba ser
tenido como una circunstancia agravante.
En cuanto al criterio adoptado por la AEPD, esta parte no comprende cómo es posible
que el simple hecho de tratar datos de carácter personal en el seno de una actividad
empresarial, independientemente de si el tratamiento infractor es ajeno a dicha
actividad, puede ser tenido en cuenta como una circunstancia agravante, en tanto en
cuanto ello implicaría que esta circunstancia concurrirá como agravante en
absolutamente todos los procedimientos sancionadores de la AEPD, ya que a día de
hoy resulta extremadamente complicado encontrar una empresa que no trate, al
menos, los datos identificativos de sus clientes o de personas que prestan servicios o
están empleadas por sus clientes.
A mayor abundamiento, cabe traer a colación la Resolución 134/2018, de 30 de enero,
de la AEPD, en la que ésta estimó que existía una escasa vinculación de la actividad
de la denunciada con la realización de tratamientos de datos de carácter personal,
cuando dicha entidad trata datos como DNI, nombre y apellidos, número de teléfono y
dirección de correo electrónico y postal de sus clientes. En este caso, entiende esta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/197
parte que los datos tratados por el Sistema tienen escasa, por no decir nula, relación
con el objeto social de TPHS.
Tanto es así que, ahondando en lo anterior, en la ya mencionada Resolución
1066/2018, de 31 de julio, la Agencia considera que no concurre la circunstancia
agravante, pese a que los datos tratados eran masivos, dado que hablamos de un
Sistema de videovigilancia que observa de forma sistemática y a gran escala una zona
de acceso a público (tratamiento que, hoy en día y ya en el momento en que se dictó
la resolución, exigiría llevar a cabo una evaluación de impacto de privacidad).
En este sentido, la Agencia realiza manifestaciones genéricas, que no vincula con la
diligencia exigible a TPHS: así, habla de “tratamientos que conllevan la creación o
utilización de perfiles personales”, sin que la Agencia haya analizado ningún
tratamiento efectuado por TPHS que implique la realización de perfiles; o “se trata de
una empresa grande habituada al tratamiento de datos personales”, sin cuantificar
siquiera tales criterios. No resulta posible legitimar la concurrencia de un agravante
calificando a una persona jurídica como “grande” y con atención a su habitualidad en
el tratamiento de datos personales.
Por todo ello, no cabe interpretar este aspecto como agravante.
13.- SOBRE LA CONCURRENCIA DE FACTORES ATENUANTES NO
CONSIDERADOS.
Entiende TPHS que, según lo establecido en el artículo 83.2 del RGPD y el artículo
76.2 de la LOPDGDD, concurren las siguientes circunstancias atenuantes que no han
sido consideradas en la adecuada graduación de la sanción:
1) En primer lugar, resulta un hecho no controvertido que TPHS no ha recibido ningún
tipo de beneficio como consecuencia de la presunta infracción.
2) Toda infracción anterior cometida por el responsable: a este respecto, cabe
mencionar que, la Compañía nunca ha sido sancionada por hechos similares a los de
este caso.
3) Ha quedado acreditado que en ningún momento se han tratado categorías
especiales de datos.
4) No ha existido ninguna intencionalidad por parte de TPHS de vulnerar la normativa
de protección de datos, ni se ha producido ninguna negligencia por su parte. Tal y
como se ha acreditado, PHONE HOUSE cumplió con rigor la totalidad de las
obligaciones que impone la normativa de protección, implantando para ello las
medidas adecuadas exigibles.
5) En cuanto al grado de cooperación de TPHS con la AEPD con el fin de poner
remedio a la supuesta infracción y mitigar los posibles efectos adversos: ha quedado
acreditado que se ha contestado en tiempo y forma a todos los requerimientos de
información que fueron solicitados por la AEPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
43/197
Por tanto, esta parte ha mostrado en todo momento, a lo largo del presente
procedimiento, una actitud proactiva y de colaboración con esta Agencia, aportando
información que contribuya a esclarecer los hechos.
6) Disponer de un delegado de protección de datos: la Compañía cuenta con un
delegado de protección de datos interno, que supervisa, de forma rigurosa, el correcto
cumplimiento de la normativa en materia de protección de datos.
Un análisis objetivo de los hechos, que han dado lugar a este procedimiento
sancionador, hace aplicar necesariamente el artículo 83 RGPD y establecer la sanción
correspondiente a la escala inmediatamente inferior en gravedad y en su grado
mínimo ya que no existe ni culpabilidad ni antijuridicidad en la actuación TPHS.
Pretender otra cosa y aplicar a estos hechos una multa elevada, como es considerada
la sanción planteada por la AEPD en el Acuerdo, supondría una sanción
desproporcionada y contraria a la actuación de la AEPD en casos muy similares al que
nos ocupa.
En este sentido, es intención de TPHS dejar constancia y demostrar que las medidas
vigentes en el momento de presunta infracción cumplían con las más rigurosas
normas, pautas, estándares y recomendaciones para poder hacer frente a los riesgos
y que eran las adecuadas e idóneas teniendo en cuenta el estado de la técnica, los
costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento,
así como riesgos de probabilidad y gravedad variables para los derechos y libertades
de las personas físicas.
A la luz de lo anteriormente expuesto, de acuerdo con la información proporcionada en
el presente, se reafirma la condición de TPHS como diligente en su actuación.
14.- SOBRE EL CONCURSO DE INFRACCIONES.
Señala TPHS que el art. 5.1(f) del RGPD establece el principio de integridad y
confidencialidad, el cual supone que “los datos deben ser tratados de tal manera que
se garantice una seguridad adecuada de los datos personales, incluida la protección
contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño
accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas”. La
AEPD en su Acuerdo de Inicio indica que “el principio de integridad y confidencialidad
de los datos exige una garantía de seguridad en la aplicación de medidas técnicas u
organizativas”.
Por otro lado, el art. 32 RGPD contiene la obligación de aplicar “medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”,
indicando las variables a tener en cuenta para determinar esas medidas apropiadas.
De esta forma, entiende TPHS que el art. 32 RGPD viene a concretar cómo cumplir
con el principio de integridad y confidencialidad recogido en el art. 5.1(f) RGPD,
estando ambos preceptos íntimamente relacionados. En este sentido, esta conexión
resulta equiparable a la relación entre el principio de licitud (art. 5.1(a) RGPD) y el art.
6 RGPD que contiene las bases de legitimación que hacen lícito un tratamiento; o
entre el principio de transparencia (art. 5.1(a) RGPD) y los arts. 12, 13 y 14 del RGPD
donde se regula cómo informar de manera transparente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
44/197
En relación con los hechos relatados en el Acuerdo de Inicio, se imputa a TPHS un
incumplimiento del art. 5.1(f) por darse una quiebra de la confidencialidad de los datos,
al considerarse que las medidas de seguridad con que contaba la Compañía en el
momento del ciberataque no eran adecuadas para garantizar la seguridad.
En este sentido, indica que lo decisivo para determinar si efectivamente se ha
producido este incumplimiento es la adecuación o no de las medidas de seguridad
implementadas y trae a colación la opinión reiterada de esta Agencia (citamos, por
todas, la Resolución de 26 de julio de 2022, EXP202100390; la Resolución de 11 de
mayo de 2022, EXP202104855; y la Resolución de 11 de abril de 2022,
EXP202100562), donde afirma que “hay que señalar que la notificación de una brecha
de seguridad no implica la imposición de una sanción de forma directa, ya que es
necesario analizar la diligencia de responsables y encargados y las medidas de
seguridad aplicadas”.
Entiende TPHS que, en relación con los hechos analizados, existe una conexión
directa entre las vulneraciones de ambos artículos apreciadas. De esta forma, la
infracción del art. 32 RGPD, esto es, la no existencia de medidas de seguridad
apropiadas fue necesaria e inevitable para que tuviera lugar una vulneración del
principio de integridad y confidencialidad, derivada de una pérdida de control de los
datos personales al no existir medidas de seguridad suficientes. Así, de haber contado
TPHS con medidas apropiadas en el sentido del art. 32 RGPD, no habría podido
concluirse la infracción del principio de integridad y confidencialidad a causa de la
brecha de seguridad, lo anterior habida cuenta tanto del literal del art. 5.1(f) RGPD,
como la opinión de la AEPD traída a colación en el párrafo anterior, como la
argumentación de la Agencia a lo largo del Acuerdo de Inicio.
Concluye por ello TPHS que, al derivarse de un mismo hecho las dos infracciones
consideradas por la AEPD, implicando la comisión de una, necesariamente, la
comisión de la otra, nos encontramos ante un concurso de infracciones, en concreto,
un concurso medial,
En este sentido, trae a colación la Sentencia de la Audiencia Nacional de 24 de abril
de 2013, Rec. 69/2011: “Para enjuiciar esta según infracción deviene esencial, a juicio
de la Sala, hacer referencia al concurso de infracciones cuya existencia se invoca
igualmente en la demanda. A tal fin ha de traerse a colación lo dispuesto en el artículo
4.4 del Real Decreto 1398/1993, según el cual: En defecto de regulación específica
establecida en la norma correspondiente, cuando de la comisión de una infracción
derive
necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción
correspondiente a la infracción más grave cometida”.
Precepto que ha sido interpretado por la STS de 8 de febrero de 1999 (Rec. 9/1996)
en el sentido de que la aplicación del concurso medial exige una necesaria derivación
de unas infracciones respecto de las demás y viceversa, por lo que es indispensable
que las unas no puedan cometerse sin ejecutar las otras.
Habida cuenta de lo anterior, resultaría de aplicación a los incumplimientos alegados
por la AEPD en el Acuerdo de Inicio el artículo 29.5 de la Ley 40/2015, de 1 de
octubre, de Régimen Jurídico del Sector Público, en relación con la proporcionalidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
45/197
de las sanciones administrativas, en virtud del cual “Cuando de la comisión de una
infracción derive necesariamente la comisión de otra u otras, se deberá imponer
únicamente la sanción correspondiente a la infracción más grave cometida”.
Concluye TPHS que, en caso de apreciarse una infracción de los artículos 5.1(f)
RGPD y art. 32 RGPD, la misma será en concurso medial, por lo que la sanción
aplicable sería en todo caso la correspondiente al incumplimiento del art. 5.1(f) RGPD.
15.- CONCLUSIONES.
Como consecuencia de lo expuesto en las presentes alegaciones y las evidencias
aportadas, TPHS concluye que:
1) Su actuación ha sido diligente y acorde a la normativa de protección de datos
personales y esta parte quiere resaltar tanto la rápida actuación, como la buena fe que
ha demostrado en cada momento, cumpliendo el deber de diligencia exigido.
2) Fue víctima de un delito ejecutado con medios de última generación,
extremadamente novedosos y agresivos, lo que provocó que no existiesen medidas
disponibles con capacidad para hacer frente a la misma.
3) Ha actuado con el mayor nivel de diligencia debida, de conformidad con sus
procedimientos internos y dando escrupuloso cumplimiento a los artículos 32, 33 y 34.
4) Que las medidas de seguridad existentes eran adecuadas a los riesgos existentes,
analizados de conformidad a los estándares aplicables y teniendo en consideración el
tipo de amenazas conocidas a la fecha de su implantación.
Así mismo, estas medidas eran actualizadas conforme a las recomendaciones
realizadas en los diversos exámenes de adecuación a los que se somete para
garantizar la seguridad de los datos personales.
5) Que no existe ningún nexo causal entre las supuestas deficiencias en la seguridad
con el éxito del ataque. Siendo, además, que ha quedado acreditado que las medidas
en proceso de implementación se referían a mejoras de un sistema de seguridad cuyo
nivel de adecuación había sido refrendado como adecuado atendiendo a los riesgos
identificados.
6) En todo caso, procede entender que no existe por parte de TPHSun elemento
subjetivo de culpabilidad por lo que sería procedente decretar el archivo de este
procedimiento sancionador. Su actuación en ningún caso ha sido intencionada, o
dolosa, ni ha percibido ningún tipo de beneficio.
7) TPHS muestra su total predisposición a colaborar lealmente con esta Agencia
Española de Protección de Datos, tal y como ha venido realizado en ocasiones
anteriores, aportando cuanta documentación e información fuese necesaria.
Por lo anterior, solicita que se tenga por presentado en tiempo y forma el presente
escrito de alegaciones junto con los documentos que lo acompañan, se sirva a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
46/197
admitirlo y, previos los trámites oportunos, acuerde el archivo del expediente
referenciado dejando sin efecto el procedimiento sancionador iniciado contra TPHS.
SÉPTIMO: Práctica de prueba
Con fecha 6 de septiembre de 2023, la instructora del procedimiento acordó abrir una
fase de práctica de prueba. Se acuerda, asimismo, incorporar al expediente, a efectos
de prueba, la notificación de la brecha a que dio lugar el presente procedimiento y su
documentación anexa, los documentos obtenidos y generados durante la fase de
actuaciones previas de investigación, el informe de actuaciones previas de
investigación
y las alegaciones al acuerdo de iniciación del presente procedimiento sancionador por
TPH y su documentación anexa.
Se han practicado las siguientes pruebas:
1. En el mismo escrito de fecha 6 de septiembre de 2023, en el que se comunica la
apertura de la fase de prueba, se requiere a TPHS que remita la siguiente información
y documentación:
- Las evaluaciones de impacto en protección de datos (EIPD) realizados por
TPHS con anterioridad al incidente de seguridad, así como posteriores, si las
hubiera, debidamente fechadas y firmadas. Así como toda documentación
previa en la que se haya plasmado la necesidad de la decisión de realizar o no
una EIPD.
- Toda la documentación elaborada con ocasión de la realización de las EIPD y
la justificativa de los resultados obtenidos en la EIPD y de las medidas
adoptadas al respecto, en especial la que describa y justifique los riesgos
identificados, su análisis, la evaluación del nivel de esos riesgos del
tratamiento, de las medidas introducidas para minimizarlos y del riesgo
(residual o no) arrojado.
- Toda documentación que acredite el proceso posterior de verificación,
evaluación y valoración regulares de la implantación y de la eficacia de las
medidas establecidas en la EIPD para mitigar los riesgos y garantizar la
seguridad del tratamiento, especialmente la que refleje las medidas concretas
adoptadas y el control y verificación de las mismas.
- Documentación acreditativa de que se ha recabado y contado con el
asesoramiento y participación del Delegado de Protección de Datos al realizar
las EIPDs y de su supervisión en la aplicación posterior y seguimiento de las
mismas.
2. Con fecha 15 de septiembre de 2023 se recibió respuesta de TPHS a las pruebas
solicitadas, en el que:
a) En respuesta al requerimiento de aportación de las EIPDs y demás
documentación acreditativa y justificativa indicada en los tres primeros
apartados del escrito de notificación de apertura de fase de pruebas, TPHS
manifiesta lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
47/197
La Compañía realizó la primera versión de sus evaluaciones de impacto en protección
de datos (en adelante, “PIA” por sus siglas en inglés) en los primeros meses (febrero y
marzo) de 2018, siendo aportadas a esta Agencia junto con la descripción de la
metodología seguida como parte del escrito presentado el 28 de junio de 2021. La
necesidad de realizar dichas PIAs vino motivada por el resultado del análisis de
riesgos aportado a la AEPD en la citada fecha. Estas PIAs fueron elaboradas por el
equipo del Delegado de Protección de Datos y asesoría jurídica de PHONE HOUSE,
con la participación del área a la que corresponde la actividad o proceso de
tratamiento, con el asesoramiento de un despacho externo.
Los riesgos levantados en las mismas, fueron identificados con carácter previo a
aplicación efectiva del Reglamento UE 2016/679 del Parlamento Europeo y del
Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la libre circulación de estos datos
y por el que se deroga la Directiva 95/46/C (en adelante, “RGPD”), puesto que la
Compañía se encontraba en pleno proceso de adecuación a la norma a fin de
concluirlo antes del 25 de mayo de 2018.
Estos riesgos fueron abordados en el año 2018, cuando se concluyó el proceso de
adecuación al RGPD por parte de la Compañía. Asimismo, como se indica en los
propios
informes de los PIAs ya aportados a esta Agencia, los mismos deben ser revisadas y,
la implementación de las medidas propuestas debidamente revisada de forma
periódica por el DPO. Como se explicará a lo largo del presente apartado, esto es algo
que PHONE HOUSE ha tenido presente en todo momento, llevando a cabo una
revisión periódica de los PIAs, tal y como se acredita en el presente escrito.
(…)
En el espíritu de diligencia y mejora continua de PHONE HOUSE, a finales del año
2020, dos años después de finalizar el proceso de adecuación al RGPD, se llevó a
cabo un proceso de evaluación del estado de cumplimiento de la entidad en relación
con las obligaciones derivadas de la normativa de protección de datos. Lo anterior,
con el objetivo de mejorar y/o subsanar aquellos mecanismos o medidas mejorables y
asegurar un cumplimiento diligente del principio de responsabilidad proactiva o
accountability. En la mencionada evaluación también se analizaron las medidas
implementadas por parte de la Compañía desde un punto de vista técnico, en relación
con el SGSI.
El análisis y conclusiones de este proceso de revisión fueron recogidas en dos
informes, uno con el análisis desde una perspectiva jurídico-organizativa y otro, desde
el punto de vista técnico, aportados a la AEPD en el escrito de 17 de agosto de 20222.
En relación con estos informes, las medidas de mejora detectadas en las conclusiones
de los mismos fueron implementadas por la Compañía en el primer trimestre de 2021.
Tras la brecha de seguridad sufrida por la Compañía el 11 de abril de 2021, se
procedió a revisar nuevamente el SGSI, así como la documentación de PHONE
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
48/197
HOUSE y medidas implementadas por la Compañía en relación con protección de
datos personales.
TPHS señala a continuación diversas actuaciones que llevaron a cabo, entre las que
indica:
• Actualización del registro de actividades de tratamiento y del análisis de riesgos.
• Actualización y realización de PIAs, de acuerdo con la nueva Guía publicada por la
AEPD.
Al objeto de lo anterior, se mantuvieron reuniones con los departamentos
correspondientes, de cara a obtener la información necesaria para la actualización del
registro de actividades de tratamiento, y revisión del análisis de riesgos. Asimismo, se
realizaron los PIAs correspondientes con base en la metodología propuesta por esta
Agencia en su documento de Gestión del riesgo y evaluación de impacto en
tratamientos de datos personales publicado en junio de 2021. El procedimiento que
recoge la metodología seguida en estas PIAs se aporta como Documento nº 1.
Estos PIAs se aportan al presente procedimiento como Documento nº 2, estando
fechados a enero de 2022 y firmados por el DPO. Entre los mismas no se encuentra la
PIA relativa al tratamiento de control de acceso a las instalaciones, aportada en junio
de 2021 a esta Agencia, ya que, debido a cambios en las características y naturaleza
del tratamiento, el mismo ya no suponía un riesgo alto para los derechos y libertades
de los interesados. Lo anterior dado que, en la actualidad, el acceso a las
instalaciones por parte de empleados se gestiona mediante tarjetas de acceso y no
mediante huella dactilar.
Como último y más reciente ejemplo de la atención y dedicación de la Compañía para
asegurar un nivel de cumplimiento adecuado de manera continuada a lo largo del
tiempo, en el último trimestre de 2022 se realizó una revisión del registro de
actividades de tratamiento de PHONE HOUSE, que supuso una revisión del análisis
de riesgos.
En consecuencia, se revisaron los PIAs realizados por la Compañía, tanto para
adaptarlos a cualquier cambio que pudiera derivarse de estas actualizaciones como
para utilizar la metodología revisada establecida en la versión 2.1 del Procedimiento
de evaluación del riesgo inherente y del impacto en la privacidad de las actividades de
tratamiento.
La revisión en 2023 de las PIAs elaboradas en 2021 se aportan al presente
procedimiento como Documento nº3, así como la versión 2.1 del Procedimiento de
evaluación del riesgo inherente y del impacto en la privacidad de las actividades de
tratamiento, que se acompaña como Documento nº4.
a) En respuesta al requerimiento de documentación acreditativa de que se ha
recabado y contado con el asesoramiento y participación del Delegado de
Protección de Datos al realizar las EIPDs y de su supervisión en la aplicación
posterior y seguimiento de las mismas, TPHS manifiesta lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
49/197
La Compañía cuenta con un procedimiento donde se recoge la configuración del
delegado de protección de datos (en adelante, “DPO” por sus siglas en inglés”) como
una comisión mixta. La designación, nombramiento y asignación de funciones de este
rol queda establecido en un procedimiento de la Compañía que se aporta al presente
escrito como Documento Nº 5. Este procedimiento tiene como fecha el 19 de octubre
de 2022, al tratarse de la segunda versión del mismo tras un cambio en el DPO de la
Compañía.
En el mencionado procedimiento se listan las funciones asignadas al DPO, entre las
que se incluye la siguiente:
Participar en el desarrollo y ejecución de las evaluaciones de impacto,
asesorando, entre otras cuestiones, sobre:
- La obligatoriedad o idoneidad sobre la realización de una evaluación de
Impacto.
- La definición de la metodología a emplear en su desarrollo.
- La idoneidad de realizar la evaluación por parte de la organización, de forma
interna o la posible externalización de la misma.
- La definición de las medidas a implementar.
- La determinación de la correcta ejecución de la evaluación de impacto y el
análisis sobre si las conclusiones cumplen con la normativa.
Asimismo, en el Procedimiento de evaluación del riesgo inherente y del impacto en la
privacidad de las actividades de tratamiento (aportada su última versión como
Documento Nº4), se incluye en el epígrafe relativo a “Responsabilidades” las
funciones del DPO relacionadas con la elaboración y supervisión de las PIAs de la
Compañía.
Así las cosas, como queda debidamente acreditado por estos procedimientos, el DPO
de la Compañía, entre otras muchas funciones, interviene en la realización y revisión
de los PIAs, asesorando sobre los riesgos aplicables y medidas a adoptar para
mitigarlos, participando del seguimiento de estas evaluaciones y supervisión de la
implementación de medidas derivadas.
Adicionalmente, con carácter anual el DPO de PHONE HOUSE presenta al Comité de
Dirección de la Compañía un informe donde quedan reflejadas las cuestiones en
materia de protección de datos personales abordadas durante el año vencido. En
dichos informes se especifican las acciones y actividades desarrolladas a lo largo del
año, entre las que se incluye, el seguimiento y en su caso, actualización de los PIAs
realizados. Se acompañan al presente escrito los informes correspondientes a los
años 2021 y 2022 como Documento Nº6 y Documento Nº7 respectivamente
OCTAVO: Propuesta de resolución.
Con fecha 21 de noviembre de 2023 se formuló propuesta de resolución, proponiendo
que por la Directora de la Agencia Española de Protección de Datos se sancionara a
THE PHONE HOUSE SPAIN, S.L., con NIF B81846206 por una infracción del Artículo
5.1.f) del RGPD, tipificada en el Artículo 83.5 del RGPD, con multa administrativa de
4.000.000 € (cuatro millones de euros) y por una infracción del Artículo 32 del RGPD,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
50/197
tipificada en el Artículo 83.5 del RGPD, con una multa de 2.500.000,00 € (dos millones
quinientos mil euros).
NOVENO: Respuesta a las alegaciones al Acuerdo de Inicio
La propuesta de resolución, que fue notificada a TPHS conforme a las normas
establecidas en la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 22 de
noviembre de 2023, tal y como consta en el acuse de recibo que obra en el
expediente.
En dicha propuesta de resolución, frente a las alegaciones formuladas por TPHS, se
dio la siguiente respuesta:
PRIMERO.- TPHS como víctima de un ciberataque
En este apartado, TPHS pone el foco en su condición de víctima de un delito
informático (ciberataque por un tercero) y de un delito de extorsión (exigencia de pago
bajo la amenaza de publicación de los datos exfiltrados), los cuales cada vez son más
sofisticados y que por ello, por muy alta que sea la inversión y medios dedicados
frente a ellos, no es posible prevenirlos, indicando que en el ciberataque que sufrió en
2021 se utilizó el ransomware denominado Babuk, que era desconocido hasta
principios de ese mismo año, posicionándose como uno de los malwares más
peligrosos y eficaces. Por tanto, considera que no pudo prevenir ni repeler a pesar de
contar con un adecuado sistema de gestión de la seguridad de la información.
Señala, asimismo, que tras la brecha la Compañía ha incurrido en considerables
gastos para mitigar el impacto de la brecha, así como que se ha visto afectada su
imagen y reputación, sin que se haya tenido en cuenta sus esfuerzos por mantener un
marco de seguridad robusto y por cumplir con las disposiciones de la normativa de
protección de datos y por mitigar cualquier posible impacto derivado de la brecha.
Frente a ello, debe señalarse que en caso alguno se ha exigido una infalibilidad total
de las medidas que se pueden adoptar para garantizar una protección adecuada en el
tratamiento de los datos personales. Sin embargo, una vez producido el ataque, debe
evaluarse la diligencia del responsable del tratamiento en la aplicación de las medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo, teniéndose en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, el alcance, el contexto y los fines del tratamiento.
En el presente caso, TPHS no contaba, en el momento de producirse la brecha de
protección de datos, con las medidas adecuadas en relación con los riesgos del
tratamiento para la protección de los datos personales, pues tal y como se indicó en el
Acuerdo de Inicio del presente procedimiento sancionador, y que se reseña nuevo en
el Fundamento de Derecho VII de esta Propuesta y al que nos remitimos, existían
deficiencias en relación con la política de contraseñas y demás restricciones para el
acceso a los sistemas de información de TPHS; en relación con la protección de la
seguridad perimetral y de las medidas de monitorización para la detección de conducta
maliciosa; en relación con la formación y concienciación de los empleados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
51/197
Asimismo, no tenía implantadas las medidas de seguridad que, respecto a los
tratamientos afectados por la brecha, había indicado en sus propias EIPD que debían
implantarse, a la vista de los riesgos altos y muy altos arrojados (seudonimización,
cifrado, anonimización…). Por tanto, las medidas de seguridad no eran adecuadas a
los riesgos, tal y como exige el artículo 32 del RGPD, y ello con independencia del
concreto ataque sufrido. Y todo ello sin perjuicio de la adecuación en la realización de
las EIPD en cuanto a su enfoque en los riesgos para los derechos y libertades de los
interesados, como luego se verá.
En cuanto a que debe tenerse en consideración los gastos que la brecha le ha
supuesto a la Compañía para mitigar el impacto de la brecha, como la inversión
realizada en seguridad antes y después de la misma, se significa que los mismos
deben realizarse por los responsables de tratamiento dado que tienen que cumplir con
el RGPD y la LOPDGDD, deben cumplir con la ley, en atención a su responsabilidad
proactiva y al enfoque en los riesgos del tratamiento en los derechos y libertades de
los interesados y la gestión del mismo, precisamente para salvaguardar los derechos y
libertades de los afectados y realizar así un tratamiento que respete las obligaciones
impuestas por la normativa de protección de datos. Son obligaciones legales que el
responsable del tratamiento debe cumplir. Asimismo, TPHS únicamente valora los
costes que le ha supuesto a la organización el ataque sufrido (económicos,
reputacionales, etc) sin mención alguna al derecho a la protección de datos de sus
clientes y que tenía que haber garantizado.
Por último, de conformidad con la Sentencia de 22 de junio de 2021- Rec. 1210/2018,
y la Sentencia de 5 de noviembre de 2011 -Rec. 1796/2019, en la que se valora el
elemento subjetivo o culpabilístico, se insiste en que la culpabilidad de la parte actora
no puede considerarse excluida ni atenuada por el hecho de que haya mediado la
actuación fraudulenta de un tercero, pues la responsabilidad de la parte actora no
deriva de la actuación de éste, sino de la suya propia.
SEGUNDO.- Sobre la vulneración del deber de confidencialidad
En este apartado, TPHS sostiene que imputarle la infracción por vulneración de la
confidencialidad es incongruente y desproporcionado en relación con expedientes
anteriores tramitados por esta AEPD.
Así, lista una serie de expedientes en los que indica que están relacionados con
brechas de protección de datos derivadas de un ciberataque con ransomware y que
todos fueron archivados. Asimismo, señala que en varios de esos casos se vieron
afectados datos de categoría especial, mientras que los afectados en el ataque sufrido
por ella no conllevan un riesgo asociado para los derechos y libertades de los
interesados que pueda considerarse alto, no existiendo hasta el momento ninguna
reclamación dirigida a TPHS por parte de ninguno de los titulares de los datos.
A este respecto, aparte de no ser cierto que todos los expediente relativos a ataques
con ransomware o de otro tipo hayan sido archivados, procede señalar que, en
materia de protección de datos, las medidas técnicas y organizativas de seguridad a
adoptar por los responsables del tratamiento y demás obligaciones a cumplir exigidas
por el RGPD, deben ser las adecuadas en relación con los concretos riesgos que
suponen los específicos tratamientos que realice cada responsable. Por tanto, al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
52/197
analizar la diligencia de unos y otros en el cumplimiento de la normativa ha de estarse
a las circunstancias de cada caso, teniendo en cuenta la naturaleza, el alcance, el
contexto y los fines de cada tratamiento, no existiendo, por tanto, casos idénticos.
Asimismo, no procede exigir igualdad en la ilegalidad. La jurisprudencia es clara
respecto a esto. Así, la Sentencia de la Audiencia Nacional de 28 de abril de 2023
(SAN 28.04.2023 REC. 409/2021 indica que “Se alude a un trato sancionador
discriminatorio puesto que esa multa o sanción económica puede sustituiré por las
medidas del art. 58 RGPD, medidas menos gravosas como podría ser el
apercibimiento. Y hace referencia a otras infracciones cometidas por otras entidades.
Por supuesto la actora trata de comparar esta situación con otro procedimiento
sancionador que se menciona, pero no estamos ante un trato discriminatorio o que se
vulnere el principio de igualdad puesto que es un principio que solo opera en el marco
de la legalidad cuando situaciones de hecho iguales tienen un tratamiento diferente sin
justificación razonable. Como señala la STS de 20 de enero 2004, "la igualdad ha de
predicarse dentro de la legalidad, de modo que si la actuación correcta de la
Administración es la ahora enjuiciada, según hemos declarado, la invocada como
contraria a ella no lo fue y, por consiguiente, no cabe esgrimirla para pedir que se le
aplique al recurrente un trato igual, ya que, como esta Sala del Tribunal Supremo ha
declarado en sus sentencias de 16 de junio de 2003 , 14 de julio de 2003 y 20 de
octubre de 2003 que «el principio de igualdad carece de trascendencia para amparar
una situación contraria al ordenamiento jurídico», y ello, como indica la propia Sala
sentenciadora, al margen de no haberse acreditado la actuación administrativa
aducida como contradictoria con la presente".
En igual sentido señala la STS de 2 de abril de 2014 (Rec. 1916/2010) que "la
legalidad prevalece sobre una posible lesión del principio de igualdad". En este caso,
estamos ante una infracción administrativa que se pretende comparar con otra que ha
tenido diferente solución, pero de lo que se observa en la alegación que se formula
por la parte actora escasamente se puede efectuar una comparación de una situación
y otra. Recordemos que conforme a la doctrina constitucional consolidada para
apreciar la concurrencia de una vulneración del principio de igualdad han de concurrir
los siguientes presupuestos: 1) aportación de un término idóneo de comparación
demostrativa de la identidad sustancial de las situaciones jurídicas que han recibido
trato diferente, 2) que el trato desigual no esté fundado en razones objetivas que lo
justifiquen, y 3) que el juicio comparativo se desarrolle en el marco de la legalidad,
pues no cabe invocar el principio de igualdad en la ilegalidad para perpetuar
situaciones contrarias a lo previsto por el ordenamiento jurídico. Así las cosas, la
conducta por la que ha sido sancionada la parte actora y que es contraria a derecho
no permite que su responsabilidad sea más atenuada por el hecho de que en otros
supuestos, que se desconocen, la sanción impuesta no fuera económica y se
considerase más beneficiosa”.
Por otro lado, en cuanto a que, de conformidad con el tipo de datos personales objeto
de tratamiento por TPHS y afectados por la brecha, no supone un riesgo alto para los
derechos y libertades de sus titulares por no tratarse de categorías especiales de
datos y por no haber existido reclamación alguna por haber sufrido algún perjuicio, se
señala, de contra, que no es imprescindible que se vean afectadas categorías
especiales de datos para entender que el riesgo es alto. Ello es así porque el nivel de
riesgo ya no depende únicamente de la categoría de datos, sino del tratamiento que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
53/197
realice (naturaleza, alcance, contexto, etc), siendo la categoría de datos un elemento
más a tener en cuenta a la hora de evaluar el riesgo, pero no el único.
En el caso que nos ocupa, además de realizar TPHS un tratamiento masivo, perfilado,
etc, el tipo de datos que trata y que fueron afectados por la brecha (nombre y
apellidos, dni, dirección postal, email, número de móvil, nacionalidad, sexo, fecha de
nacimiento, IMEI de teléfono, número de cuenta bancaria, detalles de empleo) y que
parece desdeñar TPHS, supone un riesgo alto, en caso de vulnerarse su
confidencialidad, de ser usados de modo fraudulento: suplantación de la identidad
para la contratación en línea, phishing, fraude financiero, etc. Amén de tener en
cuenta, además, en todo caso, el riesgo para el propio derecho fundamental a la
protección de datos de los interesados, riesgo este que ya se ha materializado al
haberse producido el acceso y la exfiltración, con lo cual no es ya que exista
“probabilidad” de riesgo, sino concreción de este riesgo en un daño en sí mismo.
Por tanto, el nivel de riesgo y las obligaciones de TPHS no vienen determinadas por el
de otras compañías u otros responsables del tratamiento, sino por las circunstancias
concretas del tratamiento específico que realiza TPHS
TERCERO.- Falta de responsabilidad respecto a la publicación de los datos
personales en la Deep Web
Alega aquí TPHS que en ningún caso puede imputársele la responsabilidad de la
publicación posterior por el delincuente en la Deep Web, entendiendo que esta pérdida
de control de los datos personales por los afectados es una pérdida de
confidencialidad que deriva de una intervención dolosa de un tercero y no en una falta
de diligencia o en un incumplimiento normativo por parte de TPHS.
A este respecto, se significa que la vulneración de la confidencialidad que se imputa a
TPHS es la que le corresponde, es decir, por incumplir la obligación impuesta en el
artículo 5.1.f de tratar los datos de tal manera que se garantice una seguridad
adecuada de los mismos, incluida la protección contra el tratamiento no autorizado o
ilícito, mediante la aplicación de medidas técnicas u organizativas apropiadas.
No debe olvidarse, en este sentido, que existen medidas dirigidas específicamente a
garantizar la confidencialidad de los datos personales, como el cifrado de los mismos o
la aplicación sobre ellos de técnicas de pseudonimización o anonimización, medidas
que además indicó expresamente en sus EIPD respecto de las actividades de
tratamiento afectadas por la brecha. En caso de haberse aplicado, no se hubiera
producido un acceso por un tercero no autorizado a los datos personales ni, en
consecuencia, la publicación ulterior de los mismos. Y ello porque la pérdida de
confidencialidad se constató consecuencia de la exfiltración de los datos; pérdida de
confidencialidad, acceso de un tercero a los datos personales, que no se hubiera
producido si estos hubieran estado cifrados o pseudonimizados o anonimizados, pues
los delincuentes se hubieran llevado una información ininteligible.
A este respecto, procede traer a colación la Sentencia de 22 de junio de 2021- Rec.
1210/2018, y la Sentencia de 5 de noviembre de 2011 -Rec. 1796/2019 en la cual la
Sala valorando el elemento subjetivo o culpabilístico “…insistiendo en que la
culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
54/197
hecho de que haya mediado la posible actuación fraudulenta de un tercero, pues la
responsabilidad de la parte actora no deriva de la actuación de éste, sino de la suya
propia”.
No obstante, la pérdida de control sobre los propios datos personales se produce
desde el momento en que se materializa la brecha de datos personales, es decir,
desde que se produce ese acceso por parte de un tercero no autorizado a los datos
personales tratados por TPHS. Esta es la pérdida de confidencialidad que se le imputa
y ahí es cuando se ha materializado la pérdida de control de los propios datos
personales por los interesados.
TPHS, a la hora de evaluar los riesgos para los derechos y libertades de las personas
cuyos datos personales trata para el desarrollo de su actividad empresarial, debe tener
especialmente en cuenta el riesgo de la pérdida de confidencialidad y del impacto que
ello puede tener para los derechos y libertades de los afectados, entre ellos, la
posibilidad de acceso ilícito y el conocimiento de sus datos personales por parte de un
tercero, usurpación de los mismos y su posterior publicación en un medio de acceso
ilimitado o su venta, etc. Lo que ha ocurrido es que se han materializado los riesgos
que debió evaluar y prever: pérdida de confidencialidad (acceso); usurpación
(exfiltración) y su publicación. Ello ha supuesto una pérdida total y absoluta de control
de los afectados respecto de sus datos personales y un alto riesgo de utilización
fraudulenta e ilegal de los mismos, con el consiguiente riesgo de perjuicios personales,
materiales, etc, riesgos todos que deben evaluarse para poder, en su caso, ser
mitigados por parte del responsable del tratamiento.
Por tanto, no se le hace responsable de la actuación de un tercero, sino del
incumplimiento de sus obligaciones impuestas por el RGPD.
CUARTO.- Inadmisibilidad de la responsabilidad objetiva
Señala TPHS que el artículo 5.1 f) establece una obligación de medios y no de
resultado y que se le ha imputado su infracción sin ir asociada a ninguna
fundamentación, ya que no se analiza ni evalúa la adecuación de medida alguna,
limitando esta Agencia su argumentación al resultado, es decir, al hecho de que se
haya producido un resultado lesivo por la intervención ilícita y organizada de terceros,
sin atender a la diligencia utilizada y sin considerar el despliegue de medidas
técnicamente adecuadas e implantadas, surgiendo automáticamente la
responsabilidad directa de TPHS.
Alega por ello que se le está exigiendo una responsabilidad objetiva vulnerando ello el
principio de culpabilidad que rige en nuestro ordenamiento jurídico y que exige la
concurrencia de alguna clase de dolo o culpa. La mera concurrencia de un acceso no
autorizado por un tercero que consigue superar las medidas de seguridad no puede
determinar la automática consideración de las medidas de seguridad como
inadecuadas.
Frente a ello, procede señalar que el artículo 5.1.f) del RGPD es uno de los principios
relativos al tratamiento. Los principios relativos al tratamiento son, por un lado, el punto
de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos,
constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
55/197
expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado
cumplimiento susceptibles de ser infringidas.
Por tanto, el art. 5.1.f) del RGPD se vulnera cuando se produce una pérdida de
confidencialidad o de integridad de los datos personales, lo que puede producirse o no
por ausencia o deficiencia de las medidas de seguridad. Este principio tan sólo
determina el cauce a través del cual puede lograrse el mantenimiento de la
confidencialidad, integridad o disponibilidad cuando explicita “mediante la aplicación de
medidas técnicas y organizativas apropiadas”, que no son estrictamente de seguridad.
La vulneración de la confidencialidad que se imputa a TPHS es por incumplir la
obligación impuesta en el artículo 5.1.f de tratar los datos de tal manera que se
garantice una seguridad adecuada de los mismos, incluida la protección contra el
tratamiento no autorizado o ilícito, mediante la aplicación de medidas técnicas u
organizativas apropiadas.
No debe olvidarse, en este sentido, que existen medidas dirigidas específicamente a
garantizar la confidencialidad de los datos personales, como el cifrado de los mismos o
la aplicación sobre ellos de técnicas de pseudonimización o anonimización, medidas
que además indicó TPHS expresamente en sus EIPD como medidas necesarias a
implantar para reducir los riesgos “altos” o “muy altos” respecto de las actividades de
tratamiento afectadas por la brecha. Sin embargo, tal y como se ha indicado en los
Hechos Probados, en el momento de producirse el incidente de seguridad, el mismo
ha conllevado una brecha de datos personales que ha afectado a la confidencialidad
de éstos por cuanto TPHS no había implementado esas medidas concretas tras más
de dos años de detectados esos riesgos e indicadas esas medidas en sus EIPD. En
caso de haberse aplicado, no se hubiera producido un acceso ni una publicación de
los mismos en texto claro como finalmente sucedió. Esto lo que refleja es, cuanto
menos, una falta de la diligencia debida por parte de TPHS.
Por tanto, en el supuesto examinado, tal y como consta en los hechos probados, hay
una clara pérdida de confidencialidad pues se ha producido el acceso por un tercero
no autorizado a los datos personales tratados por TPHS, siendo ello un resultado
objetivo, reconocido por TPHS, que no una responsabilidad objetiva. No se ha
garantizado, de esta forma, una seguridad adecuada mediante la aplicación de las
medidas técnicas y organizativas apropiadas, no sólo de seguridad, sino de todo tipo.
Por último, en cuanto a lo alegado relativo a que la AEPD ha venido configurando un
criterio de archivo en los casos de brechas de seguridad sufridas por las entidades
como consecuencia de la intervención delictiva de un tercero, basado en la presunción
de inocencia, el cuál contradice abiertamente en el presente caso, procede indicar, de
contrario, que no existe ningún criterio al respecto por parte de esta Agencia, ya que,
como se ha señalado con anterioridad, se examinan en cada caso las circunstancias
concretas del mismo.
QUINTO.- Sobre el nivel de riesgo de los tratamientos
En este apartado, TPHS alega que, para abordar el cumplimiento del artículo 32
RGPD es especialmente relevante considerar el nivel de riesgo asociado a los
tratamientos de datos personales llevados a cabo por ella, habiéndose valorado el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
56/197
nivel de riesgo de la Compañía como alto por la AEPD teniendo en cuenta que realiza
un tratamiento a gran escala, que realiza perfilados, que instala cookies y que realiza
tratamientos que conllevan la observación continua y sistemática de zonas de acceso
público. Sin embargo, sostiene ahora que no realiza perfiles en el sentido del artículo
4.4 del RGPD, pues indica que únicamente lleva a cabo actividades de segmentación
en el marco del envío de comunicaciones comerciales, tales como filtrar por edad,
provincia o género.
Asimismo, señala que los riesgos considerados por la AEPD se refieren a tratamientos
que no forman parte de la actividad principal de la compañía, esto es, la
comercialización de productos y servicios de telefonía móvil, sino que se refiere a
actividades accesorias que no se vieron afectadas por la brecha de seguridad y que
realizan la práctica totalidad de las empresas.
Frente a ello, procede señalar, en primer lugar, que es TPHS precisamente quien ha
señalado que realiza tratamientos de datos personales que implican perfilados,
recogida de cookies, etc, indicándolo así en su propio Registro de Actividades de
Tratamiento y en las EIPD aportadas por ella, documentos que obran en el expediente
y a los que nos remitimos.
Así, tal y como se ha indicado en el Hecho Probado Décimo Séptimo, en el Registro
de Actividades de Tratamiento aportado por TPHS el 28 de junio de 2022 se indica:
Respecto de la actividad “Marketing Digital”:
- “Tratamientos a gran escala: SÍ
- Scoring/profiling: SÍ”
Respecto de la actividad de tratamiento “Comunicaciones comerciales”:
- “Tratamientos a gran escala: SÍ
- Scoring/profiling: SÍ”
Además, en el Registro de Actividades de Tratamiento de TPHS, aportado por ella en
fecha 15 de septiembre de 2023, en respuesta al requerimiento efectuado por esta
Agencia en el trámite de práctica de prueba, aparece la actividad de tratamiento
“Elaboración de perfiles”, respecto de la que se indica:
“-Finalidades del tratamiento: Elaboración de perfiles a fin de realizar publicidad
personalizada.
-Categoría de datos: (i) Datos identificativos: Nombre y apellidos; (ii) Datos de
contacto: correo electrónico, dirección postal y teléfono; (iii) Datos sobre los servicios o
productos contratados: servicio o producto; (iv) Datos obtenidos a través de los
contenidos generados por los usuarios: comentarios, mensajes privados o chat u otros
elementos virtuales.
-Categoría de interesados: i) Clientes; (ii) Potenciales clientes; (iii) Usuarios web”
Ello refleja que TPHS sí realiza actividades de tratamiento que conllevan la
elaboración de perfiles, no siendo admisible, por tanto, alegar ahora que no lo realiza
en aras de intentar reducir el probable riesgo alto que suponen los tratamientos de
datos personales que realiza.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
57/197
No obstante, en cuanto a la existencia de un tratamiento que implique la elaboración
de perfiles, el Considerando 70 indica lo siguiente: Si los datos personales son
tratados con fines de mercadotecnia directa, el interesado debe tener derecho a
oponerse a dicho tratamiento, inclusive a la elaboración de perfiles en la medida en
que esté relacionada con dicha mercadotecnia directa, ya sea con respecto a un
tratamiento inicial o ulterior, y ello en cualquier momento y sin coste alguno. Dicho
derecho debe comunicarse explícitamente al interesado y presentarse claramente y al
margen de cualquier otra información
Por su parte, el Considerando 71 señala que El interesado debe tener derecho a no
ser objeto de una decisión, que puede incluir una medida, que evalúe aspectos
personales relativos a él, y que se base únicamente en el tratamiento automatizado y
produzca efectos jurídicos en él o le afecte significativamente de modo similar, como la
denegación automática de una solicitud de crédito en línea o los servicios de
contratación en red en los que no medie intervención humana alguna. Este tipo de
tratamiento incluye la elaboración de perfiles consistente en cualquier forma de
tratamiento automatizado de los datos personales que evalúe aspectos personales
relativos a una persona física, en particular para analizar o predecir aspectos
relacionados con el rendimiento en el trabajo, la situación económica, la salud, las
preferencias o intereses personales, la fiabilidad o el comportamiento, la situación o
los movimientos del interesado, en la medida en que produzca efectos jurídicos en él o
le afecte significativamente de modo similar. (el subrayado es nuestro)
En cuanto al nivel de riesgo considerado, tal y como se indicó en el Acuerdo de Inicio
del procedimiento sancionador que nos ocupa, el artículo 32 RGPD establece la
obligación de aplicar medidas técnicas y organizativas apropiadas para garantizar un
nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los
costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento,
así como los riesgos de probabilidad y gravedad variables para los derechos y
libertades de las personas físicas.
Por tanto, ya no se establece un listado de medidas de seguridad que sean de
aplicación teniendo en cuenta la categoría de los datos que son objeto del tratamiento
(como sí hacía antes el RD 1720/2007, que resulta derogado en este aspecto), sino
que las mismas deben resultar adecuadas dependiendo del riesgo para los derechos y
libertades de los interesados que conlleve el tratamiento de datos que se realicen,
teniendo en cuenta la naturaleza, alcance, contexto y finalidades del mismo. Es decir,
que va a depender de las circunstancias concretas de los tratamientos que se estén
llevando a cabo.
De ahí que en el caso de TPHS se pusiera de manifiesto en el citado Acuerdo de Inicio
que el tratamiento de datos personales que realiza, al comprender un tratamiento a
gran escala (muchos datos personales y de 13 millones de personas físicas), la
realización de perfilados, recogidas de cookies, etc, ello arroja un más que probable
alto riesgo para los derechos y libertades de las personas físicas. Pero no es algo que
diga o haya decidido esta Agencia, sino que así viene determinado por el propio
RGPD. Así (a modo de ejemplo y de forma no exhaustiva), en su Considerando 75
establece que Los riesgos para los derechos y libertades de las personas físicas, de
gravedad y probabilidad variables, pueden deberse al tratamiento de datos que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
58/197
pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular
(…) en los casos en los que se evalúen aspectos personales en particular el análisis o
la predicción de aspectos referidos a (…) intereses personales; (…) en los casos en
los que el tratamiento implique una gran cantidad de datos personales y afecte a un
gran número de interesados” (el subrayado es nuestro)
También en su artículo 35, al exigir la realización de EIPD cuando el tratamiento
“entrañe probablemente un alto riesgo para los derechos y libertades de las personas
físicas”, indicando, en su apartado segundo -precisamente por entender que ello ya
supone la probabilidad de un alto riesgo-, que debe realizarse en particular cuando:
a) evaluación sistemática y exhaustiva de aspectos personales de personas
físicas que se base en un tratamiento automatizado, como la elaboración de
perfiles, y sobre cuya base se tomen decisiones que produzcan efectos
jurídicos para las personas físicas o que les afecten significativamente de
modo similar;
Asimismo, de conformidad con lo establecido en el artículo 35.4 RGPD, la AEPD ha
elaborado y publicado un listado de tipos de tratamientos que requieren una EIPD, por
suponer un probable alto riesgo para los derechos y libertades de las personas físicas,
estableciendo, además del tratamiento indicado en el párrafo anterior, el consistente
en
“7. Tratamientos que impliquen el uso de datos a gran escala”.
Asimismo, TPHS procedió, en 2018, a la realización de EIPD respecto de las
actividades de tratamiento que consideró que entrañaban un alto riesgo, entre ellas
precisamente las afectadas por la brecha de datos personales.
Por otro lado, tras lo dicho, no puede aceptarse lo que indica TPHS en el sentido de
que, como no es su actividad principal, el tratamiento de datos personales que realiza
es accesorio, pues debe ponerse de manifiesto que, teniendo en cuenta la naturaleza
de los tratamientos que realiza, ni puede considerarse accesorio ni mucho menos
residual. En todo caso, a la hora de evaluar los riesgos de los tratamientos, lo
determinante no es que la actividad sea o no principal, sino el riesgo que sus
tratamientos pueden suponer para los derechos y libertades de los interesados.
SEXTA.- Evaluación de impacto de privacidad y las medidas mitigadoras de riesgos
altos
Bajo este apartado, TPHS realiza varias alegaciones respecto de cuestiones diversas:
En primer lugar, TPHS alega que la AEPD ha justificado que el enfoque de riesgos de
las EIPD realizadas por TPHS no es correcto ya que deben revisarse de forma
continua, indicando asimismo que sí que ha procedido a reevaluar los riesgos
periódicamente.
Sin embargo, frente a ello, procede señalar que TPHS ha entendido erróneamente lo
que se ha indicado. En el Acuerdo de Inicio lo que se ha puesto de manifiesto es que
el enfoque de riesgos de las EIPD aportadas no es correcto por cuanto no se centra
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
59/197
(salvo pocas excepciones) en los riesgos que para los derechos y libertades de las
personas puede suponer el tratamiento que realiza de sus datos personales. Así, en la
mayoría de los casos, las supuestas “amenazas” describen situaciones de
incumplimientos de obligaciones por parte del responsable del tratamiento (TPHS). Se
refieren, por tanto, a riesgos para la organización y no para los derechos y libertades
de los interesados. A modo de ejemplo:
En la EIPD relativa a la actividad de tratamiento “Comunicaciones comerciales” se
describen las siguientes “amenazas”, se valora el “riesgo” y se indican las “medidas”
para mitigar esos riesgos:
(…)
(…)
(…)
(…)
Como se puede ver, estos riesgos o “amenazas” no son para los derechos y libertades
de las personas físicas ni las medidas a implementar van dirigidas a mitigar esos
riesgos o al menos su impacto, sino que lo que se está plasmando es el riesgo de no
cumplir con las obligaciones establecidas por el RGPD y las medidas a adoptar para
realizar dicho cumplimiento. Repetimos que son riesgos para la organización que no
son los que han de ser considerados para el efectivo cumplimiento del RGPD.
En este sentido, ya señaló en el Acuerdo de Inicio que los riesgos a evaluar y, en
consecuencia, mitigar, no son los riesgos que para la organización puede tener la
pérdida de confidencialidad, seguridad e integridad de los datos y de su información o
de cualquier otro riesgo para la organización. Asimismo, tampoco son los riesgos que
para la organización puede suponer el incumplimiento de la normativa en materia de
protección de datos. Por tanto, las EIPD no son tampoco un listado o un check list de
cumplimiento normativo. El objetivo es la protección de las personas, no de las
organizaciones. Analizar los riesgos en protección de datos es analizar la probabilidad
de su materialización y su impacto, es decir qué consecuencias negativas puede tener
para los interesados titulares de esos datos. Además, una EIPD y, en general, la
gestión del riesgo que debe llevar a cabo un responsable del tratamiento es un
proceso que debe ser objeto de evaluación, establecimiento o implementación y de
revisión y mejora continua, todo ello, se insiste, en aras de salvaguardar los derechos
y libertades de las personas titulares de los datos personales. Y todo ello porque en
esta sociedad tan tecnológica, los riesgos para los derechos y libertades de las
personas están en continuo cambio.
Y esto no supone que esta Agencia se contradice cuando le reprocha a TPHS el no
haber acreditado la adopción de las medidas que expresamente había indicado en sus
EIPD que tenía que implantar para mitigar riesgos “altos” o muy “altos” de sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
60/197
tratamientos, precisamente en las pocas ocasiones en los que esas medidas sí
estaban orientadas a intentar reducir la probabilidad de materialización de los riesgos
para los derechos y libertades de las personas, concretamente las medidas
consistentes en garantizar la confidencialidad:
-Implementar medidas de seudonimización y anonimización para el tratamiento
de datos personales.
-Implementar medidas de seudonimización y anonimización suficientes (k
anonimización) en el caso de tratamiento de datos especialmente masivos.
-Limitar el acceso a dicha información a las personas que tengan que acceder
necesariamente a dichos datos
En segundo lugar, TPHS sostiene que los riesgos para la seguridad de la información
se pueden analizar desde diversas perspectivas (protección de datos personales,
información confidencial, información comercial sensible, propiedad intelectual, etc) y
que son reconducibles a controles estandarizados que son comunes en todos los
supuestos, mencionando que la guía ENISA, sobre las medidas de seguridad a
adoptar para garantizar la seguridad de los datos personales se remite a controles de
la ISO 27001, que se refiere a la seguridad de la información en su conjunto.
A este respecto, se señala de nuevo que en materia de protección de datos no cabe
un análisis de riesgos enfocado únicamente en riesgos para la seguridad de la
información y tampoco únicamente en medidas de seguridad estandarizadas, puesto
que, como señala el artículo 32 del RGPD y los considerandos ya reseñados en esta
Propuesta como en el Acuerdo de Inicio, las medidas para garantizar la seguridad de
los datos personales deben ser las adecuadas al riesgo y este riesgo, que es para los
derechos y libertades de las personas físicas, debe ser evaluado teniendo en cuenta el
tratamiento específico que realiza el responsable (atendiendo a su naturaleza,
alcance, contexto y los fines), por lo que no cabe únicamente adoptar medidas
estandarizadas.
Asimismo, señala TPHS que en la Guía de la AEPD “Gestión del riesgo y evaluación
de impacto en el tratamiento de datos personales” se señala lo siguiente:
“En cuanto a la estrategia de cómo afrontar el riesgo, distinguimos entre medidas
orientadas a:
• Reducir/mitigar el riesgo: Para reducir el nivel de riesgo, se deben establecer
medidas de control que disminuyan los niveles de probabilidad y/o los impactos
asociados al riesgo inherente.
• Evitar/eliminar el riesgo: Si el riesgo es muy elevado y no se quiere asumir el
mismo, se puede decidir abandonar la actividad de tratamiento o, en su
defecto, modificar la naturaleza, el alcance, el contexto y la finalidad del
tratamiento para evitar dicho riesgo.
• Aceptar/asumir el riesgo: Si el riesgo inherente es inferior al nivel de riesgo
considerado como aceptable, se puede asumir, pero sin olvidar la necesidad de
continuar gestionándolo de forma continua”.
Para a continuación señalar que en dicha guía se indica que “el objetivo es que el
riesgo residual se reduzca a un nivel de riesgo aceptable” y con ello justificar que no
existe una obligación de adoptar todas y cada una de las recomendaciones contenidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
61/197
en el informe de evaluación de impacto, sino que ha de establecerse en conjunto las
necesarias para alcanzar un nivel de riesgo aceptable, por lo que concluye que,
consecuentemente, ha quedado acreditado que TPHS cumplió con su deber como
responsable del tratamiento.
Frente a ello, procede señalar que lo que no es aceptable es que TPHS no haya
acreditado la adopción de las medidas que él mismo indicó en sus EIPD como
precisas para mitigar los riesgos “altos” o muy “altos” que valoró y reducirlos a un nivel
de riesgo residual o aceptable en relación con su impacto, suponiendo ello un
tratamiento de datos contrario al RGPD.
De hecho, existe la obligación de implementar todas las medidas apropiadas que
resulten de la EIPD a los efectos de mitigar el riesgo, pues lo contrario, implantar las
que el responsable considere no obstante las especificadas en la EIPD, determinaría
que no se mitigaría el riesgo, pues sólo con la aplicación de todas las medidas puede
lograrse la consecución de tal objetivo. Y esa es la razón última de una EIPD. En este
sentido, el considerando 90 del RGPD determina que “Dicha evaluación de impacto
debe incluir, en particular, las medidas, garantías y mecanismos previstos para mitigar
el riesgo, garantizar la protección de los datos personales y demostrar la conformidad
con el presente Reglamento”
Por otro lado, aduce TPHS que las deficiencias detectadas en las medidas de
seguridad sí que estaban implementadas y que, además, no hay ninguna base técnica
que sostenga que la implementación de todas esas medidas habría servido para evitar
el daño sufrido.
Así, respecto del cifrado de los soportes, indica que “los dispositivos portátiles puestos
a disposición de los usuarios que tratan datos de carácter personal están sometidos a
un proceso de cifrado, aportando evidencias de ello (Doc. nº 2).
A este respecto, debe señalarse que los atacantes exfiltraron los datos contenidos en
los servidores donde se alojaba la base de datos de producción de TPHS, no de los
contenidos en los dispositivos portátiles de los empleados. Además, tal y como se
señaló en el informe “Evaluación del cumplimiento en materia de protección de datos –
Medidas de Seguridad –“, fechado poco más de dos meses antes del incidente, se
pone de manifiesto lo siguiente:
-(…).
También indica que se habían puesto en marcha procesos de seudonimización de los
datos personales durante su ciclo de vida, desarrollándose procesos que excluían los
datos personales y/o empleaban identificadores aleatorios para la emisión de los
informes y la generación de estadística de uso interno
A este respecto, se significa que se está indicando un proceso de pseudonimización
para una finalidad muy concreta y reducida. Por contra, los datos personales
extraídos, fueron publicados en texto claro por lo que no estaban pseudonimizados.
Asimismo, en el citado informe “Evaluación del cumplimiento en materia de protección
de datos – Medidas de Seguridad –“, fechado en enero de 2021, se señaló lo
siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
62/197
-(…)”.
Por tanto, no es cierto que estas medidas estaban implementadas.
Y respecto a que no hay ninguna base técnica que sostenga que la implementación de
todas esas medidas habría servido para evitar el daño sufrido, se significa que en
ningún momento se ha exigido tal extremo. Lo que se ha puesto de manifiesto es que
las medidas existentes para garantizar la seguridad de los datos personales no eran
las apropiadas para garantizar un nivel de seguridad adecuado a riesgo, tal y como
exige el artículo 32.
En este sentido, teniendo en cuenta los tratamientos que realiza TPHS, su contexto,
alcance, fines, etc, ante la probabilidad de sufrir ataques que pueden ser inevitables,
pero sí previsibles, debió precisamente, primero, haber analizado dicho riesgo y,
después, haber establecido medidas adecuadas para garantizar la confidencialidad de
los datos, incluso en el caso de un ataque inevitable. Por tanto, considerando que los
ataques son previsibles (y no todos evitables), debe disponerse de mecanismos que
permitan garantizar la una seguridad adecuada de los datos personales.
SÉPTIMA.- Sobre la ineficiencia de la política de contraseñas
En este apartado, TPSH señala que no es del todo correcta la afirmación que se
realiza en el “Informe de análisis de incidente ransomware” elaborado por la empresa
(...), contratada por TPHS para el análisis de lo ocurrido y fechada el 21 de abril de
2021, respecto a que (…).
A este respecto, procede señalar que la transcripción de lo indicado por (...) en su
informe en el Acuerdo de Inicio se realizó poniendo el acento (…):
• (…).
• (…).
• (…).
• (…).
Si bien es cierto que no se determina el vector de entrada de forma concluyente,
resulta significativo el carácter de la mayoría de los que se señalan, al estar
relacionados con falta de medidas relativas a los accesos, teniendo en cuenta que
existían deficiencias en la política de contraseñas y de accesos. Algunas no son
estrictamente de seguridad, ya que también inciden la concienciación y la formación
general.
Alega asimismo TPHS que la indicación (…).
A este respecto, se significa que todo lo argumentado por TPHS en esta alegación no
desvirtúa en absoluto las deficiencias existentes en relación con la política de
seguridad y de accesos existente. Así, tanto del “Informe de análisis de incidente
ransomware” elaborado por la empresa (...), fechado el 21 de abril de 2021, como de
los Informes aportados y demás documentación aportada al expediente, se refleja lo
siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
63/197
-(…)
-(…)
-(…).
-(…)
-(…)
-(…)
-(…).
-(…).
En el Informe “Evaluación del cumplimiento en materia de protección de datos –
Medidas de Seguridad –“realizado por un tercero (Écija) y fechado el 11 de enero de
2021, se pone de manifiesto lo siguiente:
-(…)
-(…)
No debe olvidarse, en relación con estas deficiencias en la política de contraseñas y
de accesos que, como se señala en el “Informe de análisis de incidente ransomware”
elaborado por la empresa (...), contratada por TPHS para el análisis de lo ocurrido y
fechada el 21 de abril de 2021, (…).
En conclusión, todas estas circunstancias reflejan una carencia o inadecuación de las
medidas para garantizar una seguridad apropiada en el tratamiento de los datos
personales, pues supone la existencia de vulnerabilidades ante cualquier incidente de
seguridad (y no sólo frente al ocurrido).
Asimismo, las medidas que resultan adecuadas para garantizar un nivel apropiado al
riesgo no son medidas poco conocidas o extremadamente sofisticadas o de alto coste,
sino que son medidas asequibles teniendo en cuenta el estado de la técnica y los
costes de aplicación en el momento de producirse la brecha de datos personales.
OCTAVO.- Sobre la protección de la seguridad perimetral
Alega TPHS que la AEPD ha recurrido a las medidas de seguridad que tiene en
proceso de implantación para interpretar que el hecho de que no estuvieran
implementadas previamente implica de por sí que las medidas previas no eran
adecuadas. Indica, por tanto, que la inadecuación de las medidas ha de ser probada,
atendiendo a los riesgos existentes.
En relación con ello, se significa que es la falta de tales medidas, puesta de manifiesto
en el hecho de que fueron implantadas posteriormente, lo que ha determinado que se
considere que se infringía el artículo 32 RGPD, al carecer de medidas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo.
Ello es así porque ante un probable riesgo de ciberataque desde el exterior,
conociéndose y siendo notorio asimismo la existencia y el modus operandi general de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
64/197
muchos de ellos, entre los que se encuentra un ataque con ransomware, resultaba
primordial tener implantadas medidas de seguridad dirigidas no sólo a evitar su
entrada en la red interna, sino también dirigidas a detectar actividad maliciosa dentro
de dicha red en caso de entrada exitosa.
En el presente caso, de conformidad con el “Informe de análisis de incidente
ransomware” elaborado por la empresa (...), contratada tras el incidente por TPHS
para el análisis de lo ocurrido y fechado el 21 de abril de 2021, se pone de manifiesto
lo siguiente:
“(…).”
“(…)”.
(…).
(…).
Por tanto, en el incidente sufrido, no se detectaron los movimientos y actividad que
realizó el atacante durante días, exportando numerosa información de las bases de
datos de TPHS, realizando descargas de información (de datos personales) que
generaron un aumento significativo de tráfico en la red, todo ello realizado desde
direcciones IP de Moldavia y Bulgaria y durante 11 días, sin que TPHS se percatara ni
detectara nada.
En este sentido, la mayoría de las medidas que TPHS indicó adoptadas a posteriori,
las cuales no estaban implantadas en el momento de producción de la brecha de
datos personales, las cuales se reseñaron en el Acuerdo de Inicio y se reproducen en
el Fundamento de Derecho VII al que nos remitimos, van dirigidas precisamente a
garantizar una mayor seguridad perimetral, así como para monitorizar y sondear la
actividad dentro de su red en aras de detectar posible conducta anómala o maliciosa y
generar alertas de seguridad en este sentido.
En cuanto a lo reseñado por TPHS relativo a que carece de sentido la afirmación de
que (…), se significa que no ha sido esta Agencia quien lo ha afirmado, sino que dicha
afirmación aparece en el citado informe elaborado por la empresa (...).
NOVENA.- Sobre la información y concienciación a los trabajadores en materia de
protección de datos
Alega TPHS que cuenta con un plan robusto y exhaustivo de formación en materia de
protección de datos y de seguridad de la información. Indica que dichas formaciones
han sido realizadas por todos los trabajadores de la compañía y que se van
actualizando periódicamente. Detalla a continuación los cursos de formación
realizados por los trabajadores en los últimos años.
Frente a ello, analizada la documentación cabe reseñar que la mayoría refleja cursos
genéricos y no acredita cuántos alumnos ni cuándo se realizaron (documento 4); curso
genérico sin que acredite quiénes lo realizaron y no resulta obligatorio (pantallazo de
un mail enviado el 17 de noviembre de 2019); curso dirigido a TPHS, a sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
65/197
obligaciones como responsable de tratamiento (documento 6); cursos genéricos on
line a realizar por los trabajadores nuevos contratados a partir de 2018, acompañado
de un listado de unos 330 personas que lo han realizado, sin fechar ni firmar.
Debe recordarse que, en materia de seguridad, estrictamente de seguridad, el
empleador, igual que con el resto de sus obligaciones, debe indicar a los trabajadores
las concretas medidas de seguridad de sus puestos del trabajo y de forma
individualizada y específica de sus puestos de trabajo y de forma individualizada y
específica para cada concreto puesto de trabajo, adaptado a las condiciones de los
mismos y a las capacidades del trabajador.
DÉCIMA.- Falta de proporcionalidad de la sanción propuesta
Alega TPHS que la sanción propuesta vulnera tanto el principio de proporcionalidad
como el límite establecido del “2% como máximo del volumen de negocio total anual
global del ejercicio financiero anterior” cuando se trate de una empresa. A este
respecto, además, indica TPHS que, tal y como indica el Comité Europeo de
Protección de Datos (CEPD) en sus Directrices 04/2022, sobre el cálculo de las
sanciones administrativas conforme al RGPD, la cifra de negocios que procede tener
en consideración es la del ejercicio anterior a la toma de la decisión y no la del
momento de la infracción.
Frente a lo alegado, procede señalar varias cosas. En primer lugar, el artículo 83.1
RGPD establece que las multas administrativas por las infracciones del RGPD deben
ser “…en cada caso individual efectivas, proporcionadas y disuasorias”, indicando a
continuación en el apartado 2 del citado precepto, que “Las multas administrativas se
impondrán en función de las circunstancias de cada caso individual, a título adicional o
sustitutivo de las medidas contempladas…” (el subrayado es nuestro). Estableciendo a
continuación determinadas circunstancias a tener en cuenta.
Así, el cálculo del importe de las multas queda a decisión de la autoridad de control,
con sujeción a las normas previstas en el RGPD. En este contexto, el RGPD exige,
como se ha señalado, que el importe de la multa sea en cada caso efectivo,
proporcionado y disuasorio (artículo 83, apartado 1, del RGPD). Además, al fijar el
importe de la multa, las autoridades de control tendrán debidamente en cuenta una
lista de circunstancias que se refieren a las características de la infracción (su
gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD). Por último, el
importe de la multa no excederá de los importes máximos previstos en el artículo 83,
apartado 4, apartados 5 y 6, del RGPD. Por lo tanto, la cuantificación del importe de la
multa se basa en una evaluación específica realizada en cada caso, dentro de los
parámetros previstos por el RGPD.
Además, debe tenerse en cuenta que el cálculo de una multa no es un mero ejercicio
matemático, siendo las circunstancias del caso específico los factores determinantes
que conducen a la cantidad final, que puede ser, en todos los casos y para cada
infracción, una cantidad distinta hasta el máximo legal.
En segundo lugar, en cuanto al límite máximo, a TPHS se le imputan dos infracciones:
una por infringir el artículo 5.1.f) RGPD y otra por infringir el artículo 32 RGPD,
infracciones que vienen, a su vez, tipificadas en el artículo 83.5 y 83.4
respectivamente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
66/197
A este respecto, el artículo 83.5 RGPD señala que las infracciones de las
disposiciones que indica “…se sancionarán con multas administrativas de 20.000.000
EUR, como máximo o, tratándose de una empresa, de una cuantía equivalente al 4%
como máximo del volumen del negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía” (el subrayado es nuestro)
Asimismo, el artículo 83.4 señala que las infracciones de las disposiciones que indica
“…se sancionarán con multas administrativas de 10.000.000 EUR, como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2% como máximo del
volumen del negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía” (el subrayado es nuestro)
Es decir, los porcentajes sobre el volumen de negocio, cuando se trata de una
empresa, no operan como límites máximos cuando la cifra que arrojan es menor a 10
ó 20 millones -según estemos en la tipificación del apartado 4 ó 5 del artículo 83
RGPD respectivamente-, sino todo lo contrario, permiten obtener un límite máximo
mayor a esos 10 ó 20 millones.
Por tanto, cuando el 2% ó el 4% del volumen de negocio total anual global de la multa
impuesta para cada infracción sea menor a los importes máximos establecidos en los
citados preceptos, 10 ó 20 millones de euros, éstos últimos serán los límites máximos.
Por el contrario, si esos porcentajes arrojan importes superiores, serán los tenidos en
cuenta como límites máximos. Y ello porque el RGPD establece que ha de optarse por
la de mayor cuantía.
No obstante, sin olvidar en todo momento que el cálculo de las multas requiere una
evaluación exhaustiva de las circunstancias concretas del caso.
En conclusión de todo ello, en lo que respecta a la conducta que infrinja las normas de
protección de datos, el RGPD no prevé una multa mínima. Más bien, el RGPD solo
prevé importes máximos en el artículo 83, apartados 4 a 6, del RGPD, en el que se
agrupan varios tipos de conducta diferentes. En última instancia, una multa solo puede
calcularse ponderando todos los factores expresamente identificados en el artículo 83,
apartado 2, letras a) a j), del RGPD, pertinentes para el caso y cualquier otro elemento
pertinente, incluso si no se enumeran explícitamente en dichas disposiciones [como
exige el artículo 83, apartado 2, letra k), del RGPD tener debidamente en cuenta
cualquier otro factor aplicable]. Por último, el importe final de la multa resultante de
esta evaluación debe ser efectivo, proporcionado y disuasorio en cada caso concreto
(artículo 83, apartado 1, del RGPD). Cualquier multa impuesta debe tener
suficientemente en cuenta todos estos parámetros, sin sobrepasar al mismo tiempo el
máximo legal previsto en el artículo 83, apartados 4 a 6, del RGPD
En el presente caso, se han tenido en cuenta las circunstancias del caso: la gravedad
de las infracciones, las consecuencias de las mismas, la falta de diligencia mostrada,
los concretos tratamientos que realiza, la tipología de datos personales y el número de
personas afectadas, las circunstancias de la empresa (tamaño, volumen de negocio,
etc.), circunstancias todas ellas puestas de manifiesto y motivadas en el Acuerdo de
Inicio del presente procedimiento sancionador y que se reproducen en los
Fundamentos de Derecho VI y IX de la presente propuesta, a la que nos remitimos, las
cuales permiten concluir que se ha respetado el principio de proporcionalidad a la hora
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
67/197
de determinar la cuantía de las multas finalmente impuestas, y ello con independencia
de si se tiene en cuenta el volumen de negocio de TPHS del ejercicio 2020 o del
ejercicio 2022, pues en ambos casos se sigue cumpliendo no sólo los límites máximos,
sino también la debida proporcionalidad atendiendo a las circunstancias individuales
del caso.
DECIMOPRIMERA.- Agravantes asociados por la AEPD a la infracción del artículo
5.1.f)
En este apartado, TPHS analiza cada circunstancia tenida en cuenta como agravantes
a efectos de determinar el importe de la multa:
a) Naturaleza y gravedad de la infracción.
Alega TPHS no estar de acuerdo con pues entiende que se le imputa de nuevo una
infracción de resultado sin relacionarlo con ninguna actuación culposa o negligente.
Frente a ello, en cuanto a la supuesta exigencia de una responsabilidad objetiva
alegada procede remitirse a lo ya argumentado en el Fundamento de Derecho Tercero,
al que nos remitimos.
En cuanto a la circunstancia tenida en cuenta como agravante, recogida en el artículo
83.2, apartado a), el mismo indica que al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual, se tendrán debidamente en
cuenta: la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido
En el presente caso, no cabe duda de que la infracción es grave, pues ha supuesto la
vulneración de la confidencialidad de los datos personales, lo que acarrea la pérdida
de control y disposición de los mismos, núcleo esencial del derecho fundamental a la
protección de los datos personales.
Asimismo, el nivel de los daños y perjuicios sufridos fue alto, derivado precisamente de
esa pérdida de confidencialidad y, en consecuencia, del control que supone la pérdida
de confidencialidad aunado a que fueron muchos los datos personales afectados:
nombre y apellidos, DNI, dirección postal, correo electrónico, número de móvil,
nacionalidad, sexo, fecha nacimiento, IMEI de teléfono, número de cuenta bancaria.
En cuanto al número de interesados afectados, no puede obviarse que es altísimo:
13.000.000 de afectados. Es una cifra que no ofrece dudas. A este respecto, en cuanto
a lo aducido por TPHS respecto de que esta Agencia realiza una valoración subjetiva
del volumen de afectados y que su número es una mera aproximación o estimación no
contrastada, procede señalar que fue la propia compañía la que, al notificar a esta
Agencia la brecha de datos personales, en su escrito presentado el 28 de abril de
2021 (nº registro O00007128e2100019496), señaló en el apartado “Número
aproximado de registros de datos personales afectados: 13000000”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
68/197
Adjunto a dicha notificación, TPHS aportó el documento “Informe de Evaluación de
Brecha de Seguridad”, en cuya página 18 indica “Número aproximado de personas
afectadas:13.000.000”.
Asimismo, en el “Informe de análisis de incidente ransomware” elaborado por la
empresa (...), contratada por TPHS para el análisis de lo ocurrido y fechada el 21 de
abril de 2021, y aportada por la misma al expediente, se indica, en las “Conclusiones”
que, en relación con las publicaciones realizadas por el ciberdelincuente, indica que
“Finalmente, el martes 20 de abril de 2021 publica en otro dominio de la red TOR dos
ficheros de alrededor de 1 GB de tamaño con datos de carácter personal de 13
millones de personas”
Por tanto, no puede aceptarse que sea una apreciación subjetiva de esta Agencia sin
sustento alguno el considerar que se vieron afectados un número muy elevado de
interesados (la cantidad de 13 millones por sí sola es suficiente para tal
consideración), así como que tampoco esté contrastado el número de afectados, pues
el mismo ha sido indicado por la propia empresa, además de venir indicado también
en el informe realizado por la empresa experta en ciberseguridad y contratada por
TPHS precisamente para analizar el incidente ocurrido.
a) Duración de la infracción
No está de acuerdo TPHS en la aplicación de esta circunstancia agravante.
A este respecto, procede señalar que TPHS tiene identificados, al menos desde 2018,
fecha de las EIPD, riesgos altos derivados de los tratamientos de datos que realiza y
las medidas adecuadas para mitigar o minimizar los mismos, especialmente para
garantizar la confidencialidad de los datos personales. Sin embargo, tal y como se ha
puesto de manifiesto, dichas medidas no estaban implantadas en el momento de
producirse el incidente, en abril de 2021.
b) Intencionalidad o negligencia en la infracción (artículo 83.2 b)
Aquí alega de nuevo TPHS que la Agencia le exige una obligación de resultado
absoluta, en tanto el nivel de su diligencia no se ha evaluado en atención a las
medidas y procedimientos establecidos sino únicamente al resultado obtenido.
Asimismo, entiende que no puede considerársela negligente, pues ha establecido los
procedimientos apropiados, los cuales han sido revisados y reforzados
progresivamente.
A este respecto, procede recordar la existencia de negligencia en el cumplimiento y
observancia de las medidas adecuadas para garantizar la seguridad necesaria para la
protección de los datos personales, concretamente para garantizar la confidencialidad
de los datos personales, por cuanto no adoptó medidas dirigidas a ello, en especial las
que indicó en las EIPD para mitigar los riesgos “altos” y “muy altos” consistentes en
adoptar medidas de cifrado, pseudonimización o anonimización.
Asimismo, el hecho de que TPHS sea una gran empresa para cuya actividad realiza
un constante y abundante manejo de datos personales, realizando tratamientos que
implican un probable alto riesgo para los derechos y libertades de las personas físicas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
69/197
(a gran escala, perfilados, recogida de cookies) supone la exigencia de una diligencia
mayor en el tratamiento de los datos personales que la que se pueda exigir a una
pequeña empresa que realice tratamientos esporádicos o accesorios.
c) Vinculación de la actividad del infractor con la realización de tratamientos de
datos de carácter personal.
Señala TPHS que no procede considerar esta agravante por el mero hecho de
pertenecer al sector de telecomunicaciones. Reconoce que la actividad a la que se
dedica hace necesario el tratamiento de datos personales de sus clientes, pero ello no
supone una relación directa con la supuesta infracción cometida.
Frente a ello, se significa, en primer lugar, que ni en el Acuerdo de Inicio ni en esta
Propuesta se ha señalado la condición de pertenecer su actividad a un sector concreto
como circunstancia agravante. En segundo lugar, lo que se ha tenido en cuenta no es
el sector, sino que su actividad, el desarrollo de su negocio, supone y requiere de un
continuo y abundante tratamiento de datos personales, tal y como lo demuestra el
hecho de que trata datos de, al menos, 13 millones de personas.
Por tanto, como se indicó en el Acuerdo de Inicio, TPHS es una empresa habituada al
tratamiento de datos personales, lo cual conlleva, de nuevo, la exigencia de un mayor
grado de diligencia.
Por todo lo expuesto, se desestiman todas estas alegaciones relativas a las
agravantes tenidas en cuenta para el cálculo de la cuantía de la sanción por la
infracción del artículo 5.1.f) RGPD
DÉCIMO SEGUNDA. – Agravantes asociados a la infracción del artículo 32 RGPD
En este apartado TPHS nuevamente manifiesta no estar de acuerdo con las
circunstancias agravantes tenidas en cuenta, sosteniendo las mismas alegaciones
respecto de las agravantes tenidas en cuenta para la infracción del artículo 5.1.f.
RGPD, por lo que procede remitirnos a la respuesta dada en el apartado anterior, así
como a la motivación y argumentación de las mismas realizadas en el Acuerdo de
Inicio, al que nos remitimos.
Por todo lo expuesto, se desestiman todas estas alegaciones relativas a las
agravantes tenidas en cuenta para el cálculo de la cuantía de la sanción por la
infracción del artículo 32 RGPD.
DECIMOTERCERA.- Sobre la concurrencia de factores atenuantes no considerados
Señala TPHS que concurren como las siguientes circunstancias atenuantes y que
deben ser tenidas en cuenta para graduar la sanción:
a) Ausencia de beneficio como consecuencia de la presunta infracción
Frente a ello, procede señalar que, sobre este criterio, el artículo 76.2 de la
LOPDGDD, en su letra c), incluye entre los criterios que deben sopesarse a la hora de
fijar la cuantía de la sanción “los beneficios obtenidos como consecuencia de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
70/197
comisión de la infracción” y no la ausencia de estos beneficios. La Sentencia de la
Audiencia Nacional, de 05/05/2021, se refiere a la necesidad de que concurra el
“presupuesto” de hecho contemplado en la norma para que pueda aplicarse un
determinado criterio de graduación, y, como se ha dicho, la ausencia de beneficios no
está entre las circunstancias reguladas en el artículo citado.
Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto
en el artículo 83.2.k) del RGPD, según el cual las multas administrativas se impondrán
teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las
circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas
evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar
una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios.
Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas,
proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD,
admitir la ausencia de beneficios como una atenuante no solo es contrario a los
presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a
lo establecido en el artículo 83.2.k) del RGPD y a los principios señalados. Así, valorar
la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la
multa, en la medida en que minora el efecto de las circunstancias que inciden
efectivamente en su cuantificación, reportando al responsable un beneficio al que no
se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a
entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere,
no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. En
todo caso, las multas administrativas establecidas en el RGPD, conforme a lo
establecido en su artículo 83.2, se imponen en función de las circunstancias de cada
caso individual y, en el presente, no se estima que la ausencia de beneficios sea un
factor de graduación adecuado y determinante para valorar la gravedad de la conducta
infractora.
a) Toda infracción anterior cometida por el responsable.
Señala TPHS que la compañía nunca ha sido sancionada por hechos similares al
presente caso.
Por el contrario, no procede considerar como atenuante la inexistencia de infracciones
previas. Ninguno de los factores de graduación considerados queda atenuado por el
hecho de que la entidad no haya sido objeto de un procedimiento sancionador con
anterioridad. A este respecto, procede recordar la Sentencia de la AN, de 05/05/2021,
rec. 1437/2020, que indica “… el artículo 83.2 del RGPD establece que debe tenerse
en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia
"e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el
presupuesto para su aplicación conlleva que no pueda ser tomada en consideración,
pero no implica ni permite, como pretende la actora, su aplicación como atenuante”.
b) No afecta a categoría especiales de datos
Alega TPHS que en ningún momento se han tratado categorías especiales de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
71/197
Frente a ello se significa que el artículo 83.2.g) indica como circunstancia para graduar
la sanción “Las categorías de los datos de carácter personal afectados por la
infracción”,
tratándose, por tanto, de una circunstancia a tener en cuenta en función de la tipología
o categoría de los datos afectados, que se aplicaría como agravante, por ejemplo, si
se han visto afectadas categorías especiales de datos, pero no está circunscrito
únicamente a las categorías especiales de datos, pues es susceptible de aplicarse
también como agravante dependiendo de la tipología de los datos afectados.
En el presente caso, teniendo en cuenta la cantidad de datos personales afectados por
la brecha y el considerable número de personas afectadas por la misma, la tipología o
categoría de datos afectados (nombre y apellidos, DNI, dirección de correo, dirección
postal, número de móvil, fecha de nacimiento, nacionalidad, número de cuenta
bancaria, datos de detalles de empleo (puesto, número de empleado, ciudad, fecha de
incorporación a la empresa) con el probable alto riesgo de su uso fraudulento y el
riesgo alto para los derechos y libertades de los afectados, no procedería en ningún
caso ser tomada en consideración como un atenuante.
c) Inexistencia de intencionalidad
Argumente TPHS que no ha existido ninguna intencionalidad por su parte, así como
que tampoco una conducta negligente
Frente a ello, se significa que el artículo 83.2 del RGPD establece que debe tenerse en
cuenta para la imposición de la multa administrativa, la circunstancia b) “La
intencionalidad o negligencia en la infracción”, lo que implica tener como circunstancia
agravante la existencia de una u otra, pero en ningún caso considerar como atenuante
la ausencia de intencionalidad.
Asimismo, procede recordar todo lo argumentado hasta ahora respecto a la existencia
de una actuación negligente por parte de TPHS, la cual ha sido tenida en cuenta como
circunstancia agravante de conformidad precisamente con este precepto.
d) Grado de cooperación con la AEPD
Sostiene TPHS que con el fin de poner remedio a la supuesta infracción y mitigar los
efectos adversos ha contestado en tiempo y forma a todos los requerimientos de
información solicitados por la AEPD, mostrando en todo momento a lo largo del
presente procedimiento una actuación proactiva y de colaboración.
Sin embargo, del mismo modo, debe rechazarse la atenuante relativa al grado de
cooperación mostrado por TPHS, que ésta valora únicamente a partir del mero hecho
de haber atendido los requerimientos que le fueron realizados por los servicios de esta
Agencia, conducta que resulta de obligado cumplimiento de conformidad con el RGPD.
Sobre esta cuestión, en las directrices 04/2022, sobre el cálculo de multas
administrativas bajo el RGPD, adoptadas por el Comité Europeo de Protección de
Datos en fecha 24/05/2023, se declara que “la obligación general de cooperar
incumbe al responsable y al encargado con arreglo al artículo 31 del RGPD, y que la
falta de cooperación puede dar lugar a la aplicación de la multa prevista en el artículo
83, apartado 4, letra a), del RGPD. Por lo tanto, debe considerarse que el deber
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
72/197
ordinario de cooperación es obligatorio y, por lo tanto, debe considerarse neutral (y no
un factor atenuante)”.
Por tanto, el grado de cooperación con la Agencia no puede considerarse un
atenuante toda vez que atender los requerimientos de información que ésta remite es
de obligado cumplimiento conforme a lo dispuesto en el artículo 58 de la LOPDGDD,
pues entran dentro de sus poderes de investigación. La consideración de la
cooperación con la Agencia como atenuante, tal y como pretende la parte reclamada,
no está ligada a ninguno de los supuestos en los que pueda existir una colaboración o
cooperación o requerimiento por mor de un mandato legal, cuando las actuaciones son
debidas y obligadas por la Ley, como en el caso que nos ocupa.
e) Disponer de un delegado de protección de datos
Pretende TPHS que se considere como atenuante el hecho de que cuenta con un
Delegado de Protección de Datos.
A este respecto, el artículo 76.2 de la LOPDGDD, en su letra g) incluye entre los
criterios que deben sopesarse a la hora de fijar la cuantía de la sanción “Disponer,
cuando no fuere obligatorio, de un delegado de protección de datos”.
En el presente caso, al ser obligatorio para TPHS disponer de un Delegado de
Protección de Datos, no procede en absoluto considerar como atenuante el
cumplimiento de una obligación legal.
Por todo lo expuesto, procede desestimar las alegaciones referidas a las
circunstancias que TPHS pretende sean consideradas como atenuantes de la sanción.
DECIMOCUARTA.- Sobre el concurso de infracciones
Entiende TPHS que el artículo 32 viene a concretar cómo cumplir con el principio de
integridad y confidencialidad recogido en el artículo 5.1.f), estando ambos preceptos
íntimamente relacionados, por lo que al derivarse de un mismo hecho las dos
infracciones consideradas por la AEPD, implicando la comisión de una necesariamente
la comisión de la otra, nos encontramos ante un concurso de infracciones,
concretamente ante un concurso medial. Por ello, de conformidad con el artículo 29.5
de la Ley 40/2015, de 1 de octubre, del Sector Público Estatal y con la jurisprudencia,
cuando de la comisión de una infracción derive necesariamente la comisión de otra u
otras, se deberá imponer únicamente la sanción correspondiente a la infracción más
grave cometida.
A este respecto, se significa que, si bien el art. 32 del RGPD, aunque relacionado con
el art. 5.1.f) del RGDP no circunscribe el principio en su totalidad.
Así, El artículo 5.1.f) del RGPD es uno de los principios relativos al tratamiento. Los
principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de
cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas
reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al
tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles
de ser infringidas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
73/197
Pues bien, el art. 5.1.f) del RGPD recoge el principio de integridad y confidencialidad y
determina que los datos personales serán tratados de tal manera que se garantice una
seguridad adecuada de los datos personales, incluida la protección contra el
tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental,
mediante la aplicación de medidas técnicas u organizativas apropiadas y de todo tipo,
no sólo de seguridad.
Por otra parte, el art. 32 del RGPD reglamenta cómo ha de articularse la seguridad del
tratamiento en relación con las medidas de seguridad concretas que hay que
implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de
aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como
riesgos de probabilidad y gravedad variables para los derechos y libertades de las
personas físicas, el responsable y el encargado del tratamiento aplicarán medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo que incluya entre otras cuestiones, la capacidad de garantizar la
confidencialidad de los datos.
Como se ha señalado, este precepto, el art. 32 del RGPD, aunque relacionado con el
art. 5.1.f) del RGDP no circunscribe el principio en su totalidad. El art. 5.1.f) del RGPD
exige taxativamente que se garantice la confidencialidad, y requiere para su aplicación
una pérdida de confidencialidad. Podemos encontrarnos con supuestos en que existan
medidas inadecuadas sin que por ello haya una pérdida de integridad y
confidencialidad.
Muestra de ello, no sólo es esta diferencia entre la vulneración del art. 5.1.f y el
artículo 32 del RGPD, sino la diferente tipificación en apartados incluso distintos del
art. 83 del RGPD y la diferente calificación de ambos a los efectos de la prescripción
en la LOPDGDD.
En el supuesto examinado, tal y como consta en los hechos probados, hay una clara
pérdida de confidencialidad puesto de manifiesto a través de un claro resultado: se
produjo un acceso ilegítimo por un tercero no autorizado a datos personales, tal y
como demuestra que los mismos fueron extraídos y publicados posteriormente en la
Deep Web.
Asimismo, tal y como se ha indicado, el art. 5.1.f) del RGPD se vulnera cuando se
produce una pérdida de confidencialidad, de integridad o de disponibilidad de los datos
personales, lo que puede producirse o no por ausencia o deficiencia de las medidas
estrictamente de seguridad.
Este principio tan sólo determina el cauce a través del cual puede lograrse el
mantenimiento de la confidencialidad, integridad o disponibilidad cuando explicita
“mediante la aplicación de medidas técnicas y organizativas apropiadas”, que no son
estrictamente de seguridad.
Indica TPHS que las medidas técnicas y organizativas apropiadas a las que hace
mención el artículo 5.1.f) son las medidas de seguridad del art. 32 del RGPD. Esto
sería simplificar la esencia del RGPD cuyo cumplimiento no se limita a la implantación
de medidas técnicas y organizativas de seguridad; significaría, en nuestro caso,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
74/197
reducir la garantía exigida mediante el principio de integridad y confidencialidad a su
logro únicamente con medidas de seguridad.
Como hemos señalado anteriormente, cuando el art. 5.1.f) del RGPD se refiere a
medidas técnicas u organizativas apropiadas para garantizar los derechos y libertades
de los interesados en el marco de la gestión del cumplimiento normativo del RGPD lo
hace en el sentido previsto en el art. 25 del RGPD relativo a la privacidad desde el
diseño.
Este precepto determina que,
“Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la
naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de
diversa probabilidad y gravedad que entraña el tratamiento para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará, tanto
en el momento de determinar los medios de tratamiento como en el momento
del propio tratamiento, medidas técnicas y organizativas apropiadas, como la
seudonimización, concebidas para aplicar de forma efectiva los principios de
protección de datos, como la minimización de datos, e integrar las garantías
necesarias en el tratamiento, a fin de cumplir los requisitos del presente
Reglamento y proteger los derechos de los interesados” (el subrayado es
nuestro)
Reiteramos que hay múltiples medidas técnicas u organizativas que no son de
seguridad y que puede implementar el responsable del tratamiento como cauce para
garantizar este principio.
Además, su objetivo es garantizar un nivel de seguridad adecuado al riesgo mientras
que en el caso del artículo 5.1.f) del RGPD se debe garantizar la confidencialidad e
integridad. Como se puede observar los dos artículos persiguen fines distintos, aunque
puedan estar relacionados.
Y todo ello frente a las alegaciones formuladas de contrario por TPHS que considera
que en ambos preceptos se exige una única conducta que es implantar la seguridad
adecuada. No es cierto, puesto que el art. 5.1.f) del RGPD no se constriñe a la
garantía de la seguridad adecuada al riesgo, sino a la garantía de la integridad y
disponibilidad. Y no sólo mediante medidas de seguridad, sino mediante todo tipo de
medidas técnicas u organizativas apropiadas.
Como hemos indicado, mediante el art. 5.1.f) del RGPD se sanciona una pérdida de
disponibilidad y confidencialidad, únicamente, y mediante el art. 32 del RGPD la
ausencia y deficiencia de las medidas de seguridad implantadas por el responsable del
tratamiento. Medidas de seguridad ausentes o deficientes, añadimos, que infringen el
RGPD independientemente de que no se hubiera producido la pérdida de
confidencialidad y de disponibilidad.
Por lo expuesto, en el presente caso, la ausencia de unas concretas medidas de
seguridad que van dirigidas específicamente a garantizar la confidencialidad, a saber,
el cifrado y la pseudonimización (o la anonimización) es lo que ha traído como
consecuencia la existencia de la brecha de confidencialidad de los datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
75/197
Si los datos hubieran estado cifrados, anonimizados o pseudonimizados, los
delincuentes sólo se hubieran llevado información ininteligible. De ahí que se le impute
a TPHS la infracción del artículo 5.1.f), pues el mismo exige garantizar la
confidencialidad a través de diversas medidas, que pueden ser tanto de seguridad
como de otro tipo.
Sin embargo, la infracción del artículo 32 del RGPD que se le ha imputado, lo ha sido
por la falta o la inadecuación de numerosas medidas, esta vez sí, dirigidas a garantizar
un nivel de seguridad adecuado al riesgo de los tratamientos que se realizan. Y de
todas las medidas de seguridad que se detectan que faltan o que eran inadecuadas y
que suponen una vulneración del artículo 32 RGPD -las cuales se indican en el
Fundamento de Derecho VII de la presente Propuesta, al que nos remitimos-, sólo hay
dos, que han resultado determinantes para la pérdida de confidencialidad: de nuevo, el
cifrado y la pseudonimización o la anonimización).
Por tanto, en el presente caso se ha infringido el citado artículo 32 con independencia
de si se ha sufrido finalmente una brecha de confidencialidad o no, porque la conducta
reprochable y que vulnera dicho precepto es la falta o inadecuación de esas medidas,
en sí mismas, es decir, se infringe y se sanciona por ello con independencia de si se
ha producido una brecha de datos personales o no. Lo cual no es óbice para que, en
caso de materialización de una brecha de datos personales, se considere esta
circunstancia como un agravante, de conformidad con el RGPD.
Por contra, en el presente supuesto, para que estemos ante una infracción del artículo
5.1.f) ha sido y es requisito ineludible que se vulnere la confidencialidad de los datos
personales (lo que no sucede con la infracción del artículo 32) y ello ha sucedido por la
fala de las dos medidas indicadas tendentes precisamente a garantizar la
confidencialidad, lo cual refleja una conducta negligente por parte de TPHS pues,
como se ha señalado ya, las tenía recogidas, desde hace más de dos años antes del
incidente, en sus EIPD como medidas necesarias para mitigar los riesgos evaluados
en relación con las actividades de tratamiento afectadas por la brecha de datos
personales acaecida.
En cuanto al concurso medial, procede señalar que el artículo 29 de la LRJSP no
resulta de aplicación al régimen sancionador impuesto por el RGPD. Y ello por cuanto:
1. El RGPD es un sistema completo.
El RGPD es una norma comunitaria directamente aplicable en los Estados miembros,
que contiene un sistema nuevo, completo y global destinado a garantizar la protección
de datos de carácter personal de manera uniforme en toda la Unión Europea.
En relación, específicamente y también, con el régimen sancionador dispuesto en el
mismo, resultan de aplicación sus disposiciones de manera inmediata, directa e
íntegra previendo un sistema completo y sin lagunas que ha de entenderse,
interpretarse e integrarse de forma absoluta, completa, íntegra, dejando así indemne
su finalidad última que es la garantía efectiva y real del Derecho Fundamental a la
Protección de Datos de Carácter Personal. Lo contrario determina la merma de las
garantías de los derechos y libertades de los ciudadanos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
76/197
De hecho, una muestra específica de la inexistencia de lagunas en el sistema del
RGPD es el artículo 83 del RGPD que determina las circunstancias que pueden operar
como agravantes o atenuantes respecto de una infracción (art. 83.2 del RGDP) o que
especifica la regla existente relativa a un posible concurso medial (art. 83.3 del
RGPD).
A lo anterior hemos de sumar que el RGPD no permite el desarrollo o la concreción de
sus previsiones por los legisladores de los Estados miembros, a salvo de aquello que
el propio legislador europeo ha previsto específicamente, delimitándolo de forma muy
concreta (por ejemplo, la previsión del art. 83.7 del RGPD). La LOPDGDD sólo
desarrolla o concreta algunos aspectos del RGPD en lo que este le permite y con el
alcance que éste le permite.
Ello es así porque la finalidad pretendida por el legislador europeo es implantar un
sistema uniforme en toda la Unión Europea que garantice los derechos y libertades de
las personas físicas, que corrija comportamientos contrarios al RGPD, que fomente el
cumplimiento, que posibilite la libre circulación de estos datos.
En este sentido, el considerando 2 del RGPD determina que,
“(2) Los principios y normas relativos a la protección de las personas físicas en
lo que respecta al tratamiento de sus datos de carácter personal deben,
cualquiera que sea su nacionalidad o residencia, respetar sus libertades y
derechos fundamentales, en particular el derecho a la protección de los datos
de carácter personal. El presente Reglamento pretende contribuir a la plena
realización de un espacio de libertad, seguridad y justicia y de una unión
económica, al progreso económico y social, al refuerzo y la convergencia de
las economías dentro del mercado interior, así como al bienestar de las
personas físicas”. (el subrayado es nuestro)
Sigue indicando el considerando 13 del RGPED que,
“(13) Para garantizar un nivel coherente de protección de las personas físicas
en toda la Unión y evitar divergencias que dificulten la libre circulación de datos
personales dentro del mercado interior, es necesario un reglamento que
proporcione seguridad jurídica y transparencia a los operadores económicos,
incluidas las microempresas y las pequeñas y medianas empresas, y ofrezca a
las personas físicas de todos los Estados miembros el mismo nivel de
derechos y obligaciones exigibles y de responsabilidades para los
responsables y encargados del tratamiento, con el fin de garantizar una
supervisión coherente del tratamiento de datos personales y sanciones
equivalentes en todos los Estados miembros, así como la cooperación efectiva
entre las autoridades de control de los diferentes Estados miembros. El buen
funcionamiento del mercado interior exige que la libre circulación de los datos
personales en la Unión no sea restringida ni prohibida por motivos relacionados
con la protección de las personas físicas en lo que respecta al tratamiento de
datos personales”. (el subrayado es nuestro)
En este sistema, lo determinante del RGPD no son las multas. Los poderes correctivos
de las autoridades de control previstos en el art. 58.2 del RGPD conjugado con las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
77/197
disposiciones del art. 83 del RGPD muestran la prevalencia de medidas correctivas
frente a las multas.
Así, el art. 83.2 del RGPD dice que “Las multas administrativas se impondrán, en
función de las circunstancias de cada caso individual, a título adicional o sustitutivo de
las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j).”.
De esta forma las medidas correctivas, que son todas las previstas en el art. 58.2 de
RGPD salvo la multa, tienen prevalencia en este sistema, quedando relegada la multa
económica a supuestos en los que las circunstancias del caso concreto determinen
que se imponga una multa junto con las medidas correctiva o en sustitución de las
mismas.
Y todo ello con la finalidad de forzar el cumplimiento del RGPD, evitar el
incumplimiento, fomentar el cumplimiento y que la infracción no resulte más rentable
que el incumplimiento.
Por ello, el art. 83.1 del RGPD previene que “Cada autoridad de control garantizará
que la imposición de las multas administrativas con arreglo al presente artículo por las
infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en
cada caso individual efectivas, proporcionadas y disuasorias”.
Las multas han de ser efectivas, proporcionadas y disuasorias para la consecución de
la finalidad pretendida por el RGPD.
Para que dicho sistema funcione con todas sus garantías en necesario que varios
elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas
al RGPD respecto de la determinación de las multas en cada uno de los Estados
miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o
atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español-, ya sea
por la aplicación de un concurso medial distinto del dispuesto en el RGPD, restaría
efectividad al sistema que perdería su sentido, su finalidad teleológica, resultando que
las multas impuestas por distintas infracciones dejarían de ser efectivas,
proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados
de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme
del RGPD. Se disminuirían los mecanismos de protección de los derechos y las
libertades de los ciudadanos y sería contrario con el espíritu del RGPD.
El RGPD está dotado de su propio principio de proporcionalidad que ha de ser
aplicado en sus estrictos términos.
2. No hay laguna legal, no hay aplicación supletoria del art. 29 del RGPD.
Amén de lo expuesto, significar que no hay laguna legal respecto de la aplicación del
concurso medial. Ni el RGPD permite ni la LOPDGDD dispone la aplicación supletoria
de las previsiones del art. 29 de la LRJSP.
Tampoco existe aplicación subsidiaria del art. 29 del RGPD. En el Título VIII de la
LOPDGDD relativo a “Procedimientos en caso de posible vulneración de la normativa
de protección de datos”, el artículo 63 que abre el Título se dispone que "Los
procedimientos tramitados por la Agencia Española de Protección de Datos se regirán
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
78/197
por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las
disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las
contradigan, con carácter subsidiario, por las normas generales sobre los
procedimientos administrativos." Si bien existe una remisión clara a la LPACAP, no se
establece en absoluto una aplicación subsidiaria respecto de la LRJSP que no
contiene en su articulado disposición alguna relativa a procedimiento administrativo
alguno.
De igual forma que la AEPD no está aplicando los agravantes y atenuantes dispuestos
en el art. 29 de la LRJSP, puesto que el RGPD establece los suyos propios, por ende,
no hay laguna legal ni aplicación subsidiaria del mismo, tampoco cabe la aplicación de
apartado relativo al concurso medial y por idénticas razones.
En todo caso, los precedentes judiciales citados por la demandante sobre el concurso
medial devienen de la aplicación de la LOPD del año 99 que trasponía la Directiva
95/46/CE, estableciendo el RGPD un sistema claramente distinto. En aquel momento,
el artículo 115 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba
el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de
protección de datos de carácter personal, sí preveía una aplicación supletoria de la
Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones
Públicas y del Procedimiento Administrativo Común.
En tercer lugar y ya deteniéndonos en el supuesto concreto examinado, y sin perjuicio
de lo antedicho, se debe destacar que no hay concurso medial. El artículo 29.5 de la
LRJSP establece que “Cuando de la comisión de una infracción derive
necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción
correspondiente a la infracción más grave cometida”.
Pues bien, el concurso medial tiene lugar cuando en un caso concreto la comisión de
una infracción es un medio necesario para cometer otra distinta.
Los hechos constados determinan la comisión de dos infracciones distintas, sin que la
conculcación del artículo 32 del RGPD (seguridad del tratamiento), tal y como asevera
la parte recurrente, sea el medio necesario por el que se produce la infracción del
artículo 5.1.F) del RGPD (principio de confidencialidad).
En conclusión, de todo ello y en contra de todo lo argumentado, ha quedado probado
que TPHS no fue diligente por cuanto no garantizó adecuadamente la confidencialidad
de los datos personales de sus clientes, así como que no contaba con las medidas
técnicas y organizativas adecuadas para garantizar un nivel apropiado de seguridad.
Por todo lo expuesto, se desestiman todas las alegaciones formuladas.
DÉCIMO:
Con fecha 22 de noviembre de 2023 THPS presentó un escrito ante la AEPD
solicitando ampliación de plazo para la presentación de alegaciones a la propuesta de
resolución, que fue concedido hasta un máximo de dos días, que debían computarse a
partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
79/197
mediante acuerdo de 27 de noviembre de 2023, que fue debidamente notificado,
siendo entregado el 28 de noviembre de 2023.
DÉCIMO PRIMERO:
Con fecha 27 de noviembre de 2023 THPS presentó un escrito ante la AEPD
solicitando copia del expediente administrativo, que fue debidamente remitido y
entregado con fecha 28 de noviembre de 2023.
DÉCIMO SEGUNDO: Alegaciones a la Propuesta de Resolución
Con fecha 9 de febrero de 2023, se recibe en esta Agencia, en tiempo y forma, escrito
de AFIANZA en el que aduce alegaciones a la propuesta de resolución en el que, en
síntesis, manifiesta que:
1.SOBRE LA FALTA DE MOTIVACIÓN DE LA PROPUESTA RESOLUCIÓN.
Señala TPHS que, a lo largo de la Propuesta de Resolución, la AEPD ha repetido los
mismos argumentos esgrimidos en el Acuerdo de Inicio, sin pronunciarse sobre las
distintas alegaciones que ha ido planteando PHONE HOUSE, omitiendo las pruebas
presentadas y, en los escasos puntos en los que se detiene a analizar el escrito de
alegaciones, en ocasiones, llegando a distorsionar el contenido de los documentos
aportados, así como lo argumentado por esta parte.
Señala concretamente los siguientes párrafos escritos por la AEPD en su Propuesta
de Resolución Página 130 de la Propuesta de Resolución:
“3.- En relación con la formación y concienciación de los empleados en materia
de protección de datos: -TPHS afirma que entre 2018 y 2020 ha impartido
cursos sobre el RGPD, aportando una lista de 642 asistentes, (…).
-Afirma que desde 2018 los trabajadores que se incorporan a la compañía
realizan un curso en materia de protección de datos personales. Sin embargo,
no acreditado fehacientemente, pues aporta como justificación de ello un
documento que, según señala, es la prueba que evalúa los conocimientos
adquiridos.
- Afirma que desde el año 2018 se remite la Política de Seguridad de la
Información a los trabajadores que se incorporan a la compañía. Aporta la
versión 2 de dicha política, del mes de marzo de 2022. Sin embargo, no se ha
aportado el vigente en el momento del incidente y, además, analizado dicho
documento, en el mismo se informa de generalidades, pero no establece reglas
claras a seguir por los empleados en aras de la seguridad, ni está adaptada a
los diferentes perfiles profesionales que pueden tener sus empleados”.
Manifiesta TPHS que la AEPD ignora las alegaciones realizadas por ella al Acuerdo de
Inicio, volviendo a esgrimir las mismas afirmaciones que realizó en el Acuerdo cuando
en el escrito de alegaciones, aportó: (i) listados de los asistentes a los cursos de
formación en los que se prueba que los cursos se realizaron por todos los
trabajadores, incluso en varias ocasiones por cada uno de ellos; (ii) el contenido de los
dos cursos de formación impartidos en el año 2018, así como el contenido de otros
cursos correspondientes a otros años; (iii) se explicó a esta Agencia que la versión de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
80/197
la Política de Seguridad aportada es la de diciembre de 2021, siendo la versión
anterior de septiembre de 2020.
Señala TPHS que la AEPD ha hecho un análisis sesgado y desnaturalizado de las
alegaciones, puesto que TPHS ha sido especialmente clara en su escrito de
alegaciones al Acuerdo de Inicio.
Por tanto, concluye TPHS que ni siquiera se han hecho los esfuerzos necesarios para
entender su defensa, teniendo en cuenta que se han probado todas y cada una de las
manifestaciones inciertas que esta Agencia ha vertido sobre ella, y se ha aportado
documentación e información suficiente que demuestran que TPHS no ha infringido
ninguno de los preceptos que la AEPD considera y se ha demostrado que cumple y
cumplió de forma escrupulosa con todas y cada de las obligaciones recogidas en el
RGPD y en la LOPDGDD.
TPHS hace hincapié en que la AEPD no aporta razonamiento alguno en relación con
las cuestiones controvertidas, contraviniendo de forma reiterada y persistente lo
dispuesto por el Tribunal Supremo y el Tribunal Constitucional en cuanto a las reglas
de motivación de las resoluciones administrativas. Por ello, trae a colación la siguiente
Sentencia del Tribunal Supremo, Sala Tercera, Sentencia 1329/2018, de 19 de julio, la
cual refiere:
“Por ello, la existencia de una motivación adecuada y suficiente, en función de
las cuestiones que se susciten en cada caso concreto constituyen una garantía
esencial, en la medida que la exteriorización de los razonamientos que llevan a
adoptar una decisión permiten apreciar su racionalidad, además de facilitar el
ulterior control de la actividad por los órganos superiores, y consecuentemente
mejorar las posibilidades de defensa por parte de los ciudadanos de sus
derechos mediante los recursos que en cada supuesto procedan (por todas,
SSTC 62/1996, 175/1997, 200/199 , 116/1998, y 128/2002). También ha
señalado el Tribunal Constitucional que la referida exigencia no significa que
las resoluciones deban tener un contenido exhaustivo y pormenorizado de
todos los aspectos y perspectivas que puedan plantearse, siendo suficiente
que se expresen las razones que permitan conocer cuáles han sido los criterios
jurídicos esenciales fundamentadores de la decisión o, en otras palabras, su
ratio decidendi (SSTC 196/1998, 215/1998, 68/2002). Pues bien, la aplicación
de la anterior doctrina al supuesto examinado nos permite concluir déficit de
motivación en la resolución impugnada, ya que no se llegan a entender cuáles
son los parámetros que utiliza la administración para exigir acreditación de
aptitud económica […]”
Sentado lo anterior, TPHS espera que la AEPD conteste a cada una de las
alegaciones de forma motivada y con fundamentos basados en derecho aplicable y no
en meras opiniones subjetivas, y conjeturas sin fundamento alguno de hecho ni de
Derecho, teniendo en cuenta todos y cada uno de los documentos aportados, en los
que se acredita que la Compañía cumple y cumplió en todo momento de forma
rigurosa con la normativa de protección de datos.
2.- CONDICIÓN DE VÍCTIMA DE TPHS.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
81/197
TPHS se remite a la argumentación aducida por esta parte en el escrito de
alegaciones relativo al Acuerdo de Inicio (vid. páginas 1037 a 1040 del Expediente
Administrativo), volviendo a recalcar algo que su posición de víctima, como entidad
damnificada por una brecha a raíz de un ciberataque criminal instrumentado a través
de un ransomware que, en el momento del incidente, era absolutamente novedoso y
extremadamente eficaz.
Señala TPHS que la AEPD esgrime en esta alegación que PHONE HOUSE: “no tenía
implantadas las medidas de seguridad que, respecto a los tratamientos afectados por
la brecha, había indicado en sus propias EIPD que debían implantarse, a la vista de
los riesgos altos y muy altos arrojados (seudonimización, cifrado, anonimización…).
Por tanto, las medidas de seguridad no eran adecuadas a los riesgos, tal y como exige
el artículo 32 del RGPD, y ello con independencia del concreto ataque sufrido. Y todo
ello sin perjuicio de la adecuación en la realización de las EIPD en cuanto a su
enfoque en los riesgos para los derechos y libertades de los interesados, como luego
se verá”.
Entiende TPHS que no es posible tomaren consideración los tratamientos sobre los
que se han hecho evaluaciones de impacto de privacidad (en adelante, “PIAs”, por sus
siglas en inglés) así como los sistemas de información identificados en las mismas, a
la hora de valorar la diligencia en la adopción de medidas técnicas y organizativas que
previnieran la brecha de seguridad, ya que ni los tratamientos, ni los sistemas de
información analizados en estas evaluaciones, han tenido relación alguna con el
ciberataque, por lo que no existe ni conexión, ni causalidad, ni como se indica, relación
alguna entre un aspecto y la brecha de seguridad por la que se da inicio a este
procedimiento sancionador.
Por otra parte, respecto a la afirmación vertida por la AEPD en relación con que “los
gastos que la brecha le ha supuesto a la Compañía para mitigar el impacto de la
brecha, como la inversión realizada en seguridad antes y después de la misma, se
significa que los mismos deben realizarse por los responsables de tratamiento dado
que tienen que cumplir con el RGPD y la LOPDGDD”, es interés de TPHS recalcar
que, efectivamente, los gastos asumidos están relacionados con el deber de diligencia
de la Compañía relativo al cumplimiento de la normativa de protección de datos, desde
un punto de vista jurídico, técnico y organizativo, así como los gastos derivados de la
implementación efectiva de un sistema de gestión de seguridad de la información a fin
de contar con medidas de seguridad robustas que, entre otras cuestiones, pudiesen
prevenir filtraciones de datos personales.
Señala TPHS que los elevados costes económicos que asumió para ello no hacen
nada más que acreditar que fue diligente en la implementación de medidas para
cumplir con una normativa, cuyo incumplimiento le achaca ahora la AEPD por el mero
hecho de haber sido víctima de un ciberataque para el que ni las propias máximas
autoridades en materia de ciberseguridad en Europa, como son el INCIBE, ENISA o el
propio CCN, tenían respuesta o capacidad alguna de prevenir o revertir llegado el
caso.
Refiere TPHS que no comparte la mención de la AEPD relativa a que “TPHS
únicamente valora los costes que le ha supuesto a la organización el ataque sufrido
(económicos, reputacionales, etc.) sin mención alguna al derecho a la protección de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
82/197
datos de sus clientes y que tenía que haber garantizado”, pues pese a que no cabe
duda de que los interesados afectados por la brecha son víctimas del ciberataque, de
la misma manera lo ha sido TPHS.
Aduce TPHS que la enumeración de esfuerzos realizados se hizo a efectos de
trasladar a esta Agencia las consecuencias derivadas para TPHS de la brecha de
seguridad, debiendo tenerse en cuenta que gran parte de los esfuerzos realizados a
raíz de esta por parte de la Compañía tenían el objetivo de proteger el derecho a la
protección de datos de los interesados afectados, y no la protección de TPHS. Así, la
protección de los datos personales que trata TPHS es algo que la Compañía tiene en
la alta consideración que se merece, dedicando los recursos necesarios al efecto.
Sin perjuicio de lo anterior, TPHS considera especialmente ilustrativo hacer el ejercicio
de cuantificar los recursos destinados por la Compañía en la implementación de un
esquema de protección de datos probadamente solvente en atención al riesgo, junto
con los esfuerzos realizados a raíz de un evento aislado e inevitable conforme el
estado de la técnica, como es el ciberataque con el ransomware Babuk.
Entiende TPHS que los considerables esfuerzos realizados en relación con las
medidas técnicas y organizativas implementadas con anterioridad y con posterioridad
al ciberataque, no han sido tomados en consideración de manera alguna por parte de
esta Agencia a la hora de valorar, no sólo la idoneidad de abrir un procedimiento
sancionador, sino tampoco para establecer la cuantía de la sanción, cuando a todas
luces, deberían actuar como atenuante o mitigante, en el hipotético caso de que esta
Agencia considerarse que el mero hecho de sufrir una brecha de seguridad como la
derivada de un ataque mediante el ransomware Babuk es sancionable.
TPHS no puede evitar plantearse en cuánto habría quedado fijada la cuantía de la
Propuesta en caso de que la Compañía no hubiera sido diligente y no contara con
unas medidas en el momento de la brecha calificadas como adecuadas, pertinentes y
proporcionadas por un experto externo.
A la luz de lo anteriormente expuesto, concluye TPHS que es ante todo víctima de una
actividad delictiva de carácter especialmente novedoso y que, tal y como ha indicado
(...), empresa experta en la gestión de ciberseguridad, en su “Anexo aclaratorio al
Informe de análisis del incidente de ransomware” (aportado como Documento nº 1 al
presente escrito): “la pericia técnica de los atacantes demostrada en el caso de
BABUK, es de un gran nivel”, por lo que, aunque PHONE HOUSE contaba con
medidas de seguridad adecuadas para prevenir incidentes de seguridad, el
ciberataque no pudo ser previsto, ni repelido por su adecuado sistema de gestión de la
seguridad de la información. Dadas las características del ciberataque, se hubieran
visto expuestos de igual manera empresas con medidas igual o más robustas que
PHONE HOUSE.
Resalta TPHS que la única prueba de cargo con la que, tras más de 2 años de
instrucción y procedimiento sancionador, cuenta esta Agencia, sea el citado informe de
(...), informe con el que cuenta desde el mismo inicio del procedimiento de instrucción.
Por tanto, teniendo ahora la Agencia acceso al Anexo aclaratorio al Informe de análisis
del incidente de ransomware elaborado y firmado por (...) identificado como
Documento nº1, en el que realiza manifestaciones como las indicadas anteriormente,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
83/197
esta Agencia deberá tomar en consideración que la única prueba de cargo con la que
cuentan para sancionar, y en la que ha basado toda su argumentación, ahora deviene
en una prueba inexistente, que niega con rotundidad las afirmaciones e
interpretaciones realizadas por esta Agencia. Así, en dicho Anexo aclaratorio (...)
manifiesta que PHONE HOUSE: “contaba con las medidas de seguridad adecuadas
según el estado de la técnica para prevenir incidentes de seguridad”, “en ningún caso
el tipo de ataque sufrido pudo ser previsto, ni repelido por sistema de gestión de la
seguridad de la información”.
Por todo ello, teniendo en cuenta que sí contaba con medidas de seguridad
adecuadas para repeler un ataque como el sufrido (dicho en palabras textuales de la
misma entidad y mismo técnico informático sobre el que ha basado toda su prueba la
AEPD hasta el momento), TPHS insiste en que al no haberse acreditado la
concurrencia de una actuación culpable, intencionada o negligente por su parte, no
procede la identificación en la conducta de esta parte de una infracción de la normativa
de protección de datos personales por el mero hecho de haber sido víctima de un
ciberataque y, consecuentemente, no procede la imposición ningún tipo de sanción,
todo ello teniendo en consideración la reciente jurisprudencia del Tribunal de Justicia
de la Unión Europea (TJUE) relativas a los asuntos C-683/21 (Nacionalinis
visuomenės sveikatos centras) y C-807/21 (Deutsche Wohnen) publicada el pasado
día 5 de diciembre de 2023.
3. SOBRE EL SUPUESTO INCUMPLIMIENTO DEL ARTÍCULO 5.1.F) RGPD.
TPHS reitera aquí lo ya aducido en el escrito de alegaciones (vid. páginas 1040 a
1042del Expediente Administrativo). No obstante, de manera adicional TPHS procede
a contestar algunos argumentos esgrimidos por la AEPD en su escrito.
En primer lugar, considera la AEPD que no es cierto que “todos los expedientes
relativos a ataques con ransomware o de otro tipo hayan sido archivados”. Pues bien,
sostiene TPHS en ningún momento afirmó que se hubieran archivado todos los
expedientes relativos a ataques de un tipo distinto al ransomware, sino que se
circunscribió esta aseveración a aquellos procedimientos incoados por esta Agencia
que tuvieran como origen un ataque con ransomware.
Insiste TPHS en la naturaleza novedosa y peligrosa de este tipo de ciberataques, que
suponen que sea especialmente complejo hacer frente a los mismos sin perjuicio de la
diligencia de la entidad víctima de ellos y se reitera en la totalidad de los expedientes
disponibles en la página web de la AEPD en los que analiza y resuelve sobre una
brecha de seguridad derivada de un ciberataque mediante ransomware y que figuran
como archivados. Entiende TPHS la existencia de una desproporción entre estos
archivos de actuaciones y la propuesta de sanción por valor de 6.500.000,00 € a ella,
por un supuesto idéntico a otros muchos archivados previamente y publicados en su
propia página web por parte de la AEPD.
Entiende por tanto TPHS que ello supone que la AEPD está actuando de manera
contraria a los precedentes administrativos en la materia, vulnerando el principio de
igualdad de trato en la actuación de las Administraciones Públicas (artículo 103 de la
Constitución Española), la interdicción de la arbitrariedad de los poderes públicos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
84/197
(artículo 9.3 de la Constitución Española) y el principio de confianza legítima (STS de
19-I-1990, consolidada en las SSTS de 27-I y 1-II-1990).
Así, TPHS requiere que, en aras de lograr la seguridad jurídica del administrado, la
actuación sancionadora de la Administración mantenga criterios de coherencia,
intentando no contradecirse o aplicar criterios o baremos distintos en cada resolución.
Por ello TPHS interesa a la AEPD a que explique por qué no ha tenido en cuenta el
criterio que ha seguido en expedientes anteriores a la hora de dictar la oportuna
resolución.
TPHS pone de manifiesto su desacuerdo con el argumento de esta Agencia al indicar
que “el art. 5.1.f) del RGPD se vulnera cuando se produce una pérdida de
confidencialidad, de integridad o de disponibilidad de los datos personales” y que “Este
principio tan sólo determina el cauce a través del cual puede lograrse el mantenimiento
de la confidencialidad, integridad o disponibilidad cuando explicita “mediante la
aplicación de medidas técnicas y organizativas apropiadas”, que no son estrictamente
de seguridad”.
Entiende TPHS que la anterior interpretación de la AEPD supondría que cualquier
violación de la seguridad de los datos en su vertiente de confidencialidad o integridad
sería constitutiva de una infracción del art. 5.1.f) RGPD sancionable, por haberse
producido una pérdida de confidencialidad o de integridad de los datos personales.
Esto
significaría que, de las 1.647 brechas de seguridad que fueron notificadas a esta
Agencia en 2021 (año en el que se produjo la brecha de seguridad de PHONE
HOUSE), debería haberse iniciado un expediente sancionador por la AEPD en las que
la confidencialidad y/o integridad de los datos se hubieran visto afectadas. Este no ha
sido el caso, e incluso, en algunos expedientes incoados por la AEPD en relación con
brechas de seguridad ni siquiera se ha valorado un potencial incumplimiento del art.
5.1.f) RGPD. A modo de ejemplo, nos remitimos a los 19 expedientes archivados por
esta Agencia en supuestos de brecha de seguridad por un ransomware (vid. página de
la página 1040 del Expediente Administrativo).
Insiste TPHS que, aun con las medidas más altas, no es posible eliminar
completamente el riesgo de que se produzca una brecha de seguridad como la sufrida
por parte de PHONE HOUSE, en especial cuando la misma deriva de una conducta
delictiva y el de uso tecnologías novedosas, como es un ransomware como Babuk,
que ninguna autoridad de ciberseguridad del mundo tenía medio alguno para prevenir,
repeler o revertir. Por ello, no es proporcional, ni el espíritu del RGPD, exigir una
infalibilidad de las medidas de seguridad frente a cualquier brecha de seguridad, de
ahí que se establezca un régimen de notificación y gestión de estas. Esto supone que
deberá atenderse en cada caso al tipo de brecha que se produce, y a la diligencia en
las medidas adoptadas por la entidad que la sufrió para poder determinar la existencia
de una infracción del art. 5.1.f) RGPD.
Señala TPHS que lo anterior ha sido defendido por la AEPD en numerosas
resoluciones. En este sentido, cita, por todas, la Resolución de 26 de julio de 2022,
EXP202100390; la Resolución de 11 de mayo de 2022, EXP202104855; y la
Resolución de 11 de abril de 2022, EXP202100562, donde la propia Agencia afirma
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
85/197
que “hay que señalar que la notificación de una brecha de seguridad no implica la
imposición de una sanción de forma directa, ya que es necesario analizar la diligencia
de responsables y encargados y las medidas de seguridad aplicadas”.
Alega TPHS que, en relación con las medidas implementadas antes del ciberataque, la
AEPD ha ignorado y hecho caso omiso a todas las alegaciones formuladas por esta
parte a lo largo del expediente de referencia, así como a toda documentación e
información aportada que acredita y demuestra que contaba con medidas adecuadas
en el momento del ciberataque, y que, atendiendo a las características del mismo, no
hubiese sido posible evitarlo, ni aunque se hubiesen implementado medidas aún más
robustas.
Aduce TPHS que la AEPD está interpretando de manera incorrecta y tergiversando el
contenido del “Informe de Incidente de seguridad emitido por (...)”, como única prueba
de cargo utilizada por la AEPD para argumentar la supuesta falta de diligencia y
causalidad entre las medidas de seguridad y la brecha sufrida por la Compañía,
utilizando la supuesta comprensión errónea del mismo para proponer una sanción a mi
representada por, presuntamente, no contar con medidas de seguridad adecuadas.
Con el objetivo de demostrar, una vez más, que PHONE HOUSE sí contaba con
medidas de seguridad adecuadas en el momento del ciberataque, ésta solicitó a (...) la
emisión de un nuevo informe aclaratorio en el que dicha entidad y, concretamente, el
mismo técnico que firmó el primer informe, aclarase cada una de las valoraciones
realizadas inicialmente. Por supuesto, como el primer informe, tan tenido en
consideración por esta Agencia en este procedimiento sancionador, este Anexo ha
sido emitido de forma completamente independiente, libre y basado exclusivamente en
los conocimientos y pericia técnica del propio firmante.
Se aporta como Documento nº1 el “Anexo aclaratorio al Informe de análisis del
incidente de ransomware”, esperando que esta Agencia, al menos, entre a valorar una
a una las medidas de seguridad y aclaraciones realizadas por el mismo. En dicho
informe se concluye que:
(i) Las medidas de protección por parte de phone house eran adecuadas,
pertinentes y proporcionadas, según el estado de la técnica, para poder
prevenir un ataque como el experimentado, contando antes de la brecha con
las principales medidas de seguridad debidamente implantadas de forma
diligente. Si bien se debe tener en cuenta que estas medidas técnicas no
siempre consiguen evitar los incidentes, dado que el factor humano es
determinante, así como la pericia técnica de los atacantes demostrada en el
caso de BABUK, es de un gran nivel.
(ii) Tras la gestión del incidente el equipo no concluye, desde el punto de vista
técnico, que las medidas de seguridad no fueran adecuadas.
(iii) No es posible afirmar que con medidas adicionales o diferentes hubiera
sido posible evitar la brecha.
Indica TPHS que ello implica que el propio experto externo que emitió el informe que la
AEPD ha utilizado a lo largo del presente procedimiento sancionador para considerar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
86/197
que TPHS no contaba con medidas técnicas y organizativas apropiadas, rebate
expresamente estas conclusiones de la Agencia y confirma lo que esta parte ha venido
trasladando desde el inicio: que las medidas adoptadas por la Compañía eran
adecuadas y la naturaleza del ciberataque lo hacía inevitable según el estado de la
técnica existente en el momento del ataque.
Señala TPHS que había implementado, con carácter previo a la brecha de seguridad,
todas las recomendaciones derivadas del “Informe de Evaluación Técnico”, así como
del “Informe de Evaluación Jurídico-Organizativo” emitidos por una entidad externa, tal
y como ha quedado acreditado de las distintas pruebas aportadas por esta parte, así
como del contenido del “Informe anual de Delegado de Protección de Datos de 2021”,
entregado a esta AEPD (vid. páginas 1544 y 1545 del Expediente Administrativo):
(…)
Concluye TPHS que ha quedado sobradamente acreditado que contaba con medidas
adecuadas, pertinentes y proporcionadas, y que la brecha de seguridad acaecida no
hubiera podido evitarse dada su naturaleza.
Señala TPHS que ello pone de manifiesto que, aunque se produjo una brecha de
confidencialidad, la Compañía actuó de manera diligente antes y después de la
misma, por lo que no se produjo un incumplimiento del principio de integridad y
confidencialidad (art. 5.1.f RGPD).
Finaliza TPHS indicando que, al no haberse acreditado la concurrencia de una
actuación culpable, intencionada o negligente por su parte, no procede la identificación
en la conducta de TPHS de una infracción de la normativa de protección de datos
personales por el mero hecho de haber sido víctima de un ciberataque, y,
consecuentemente, no procede la imposición ningún tipo de sanción, todo ello
teniendo en consideración la reciente jurisprudencia del Tribunal de Justicia de la
Unión Europea (TJUE) relativas a los asuntos C-683/21 (Nacionalinis visuomenės
sveikatos centras) y C-807/21 (Deutsche Wohnen) publicada el pasado día 5 de
diciembre de 2023.
4. Sobre el supuesto incumplimiento del art. 32 RGPD.
(I) Sobre las EIPDs:
Señala TPHS que la AEPD insiste en traer a colación los tratamientos de alto riesgo
llevados a cabo por TPHS, poniendo el foco en ellos y en las medidas de seguridad
implementadas.
Indica TPHS que, tal como consta en el expediente, y la propia Agencia refleja en su
escrito, los tratamientos identificados como de alto riesgo son los siguientes:
(i) marketing digital (esencialmente cookies);
(ii) perfilado de clientes (segmentación de la base de datos);
(iii) control de acceso a las instalaciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
87/197
Señala TPHS que de la información obrante en el expediente no puede colegirse que
los datos y/o los sistemas empleados para dichos tratamientos hayan sido objeto de
exfiltración o se hayan visto afectados en modo alguno por la brecha. Por lo tanto, el
intento de relacionar la brecha con la pretendida inadecuación de las medidas de
seguridad relacionadas con estos tratamientos de alto riesgo ha de considerarse,
cuanto menos, improcedente.
Lo mismo indica TPHS en lo referente al tratamiento de marketing digital, que en
ningún momento se ha visto afectada la seguridad de la información obtenida
mediante cookies, que ni siquiera se alberga en la misma ubicación que los sistemas
afectados por el ciberataque. Y lo mismo en relación con los sistemas empleados, en
el momento de la brecha de seguridad, para el control de acceso a las instalaciones,
que nada tienen que ver con los datos afectados por la brecha.
En cuanto al perfilado de clientes, señala TPHS que, si bien informa de la posibilidad
de realizar este tipo de tratamiento con la información contractual existente,
actualmente se limita a realizar segmentaciones de la base de datos, sin que se
generen datos derivados o inferidos (tal como los define la propia AEPD). Dichas
segmentaciones consisten en meros filtrados de la base de datos con base a criterios
objetivos (edad, sexo, fecha de ultima compra, etc.).
Por lo tanto, no se genera información adicional, distinta de la ya existente, que
pudiera verse afectada por la brecha de seguridad y, por tanto, no se realiza el
tratamiento esgrimido por parte de la AEPD. Estamos seguros de que la AEPD es
conocedora de que, para que pueda imponerse una sanción por este motivo, debe
acreditar que el tratamiento ha sido efectivamente realizado, no bastando para ello
meras declaraciones o manifestaciones, siendo únicamente pruebas válidas en
Derecho.
No obstante, lo anterior, TPHS indica que ha procedido a realizar el análisis de riesgos
y la evaluación de impacto correspondiente, al realizarse el tratamiento sobre una
base de datos que podría considerarse “masiva”- la de clientes que aceptaron recibir
comunicaciones comerciales-, y al realizar una segmentación de base de datos.
Indica TPHS que no es correcto que niegue haber identificado actividades del
tratamiento en su registro a las que haya clasificado con un nivel alto de riesgo, sino
que lo que manifiesta esta parte es que dichos tratamientos no se encuentran
afectados por la brecha de seguridad, y, por tanto, no puede existir causalidad alguna
entre dichos tratamientos y la brecha de seguridad, que recordamos, es el único y
exclusivo motivo por el que se inicia procedimiento sancionador a mi representada.
Señala asimismo TPHS que la Agencia dispone del registro de actividades y de las
PIAs porque se las requirió sin matizar que deseaba recibir el registro de actividades
de los tratamientos afectados por la brecha de seguridad o las EIPDs de los
tratamientos implicados en el ciberataque, por lo que, en aras de la máxima
transparencia que esta parte ha venido reiterando a lo largo del procedimiento al que
nos viene sometiendo esta Agencia, se facilitó toda la información contenida en el
registro de tratamientos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
88/197
Insiste TPHS en que los tratamientos relativos a las EIPDs no han sido afectados por
la brecha de seguridad y, en consecuencia, no tiene sentido relacionar la brecha de
seguridad, con la falta de adopción de medidas de seguridad para la realización de
tratamientos de este nivel de riesgo, de nuevo, no existiendo relación alguna entre un
hecho y el único hecho que originó la apertura de este procedimiento sancionador. De
hecho, los tratamientos clasificados con riesgo alto no han sufrido ninguna incidencia
relacionada con la seguridad de los datos, ni antes, ni durante, ni con posterioridad a
la brecha de seguridad sufrida por PHONE HOUSE.
Señala TPHS que, una vez sentado que los tratamientos de datos calificados con
riesgo alto no han sido afectados por la brecha, corresponde dar contestación a
algunas de las afirmaciones vertidas por la AEPD en relación con las EIPDs realizadas
por parte de TPHS para analizar los riesgos asociados a las mismas.
Señala que la AEPD advierte de un supuesto enfoque erróneo de las amenazas
identificadas por PHONE HOUSE en sus EIPDs cuando indica que “el enfoque de
riesgos de las EIPD aportadas no es correcto por cuanto no se centra (salvo pocas
excepciones) en los riesgos que para los derechos y libertades de las personas puede
suponer el tratamiento que realiza de sus datos personales. Así, en la mayoría de los
casos, las supuestas “amenazas” describen situaciones de incumplimientos de
obligaciones por parte del responsable del tratamiento (TPHS). Se refieren, por tanto,
a riesgos para la organización y no para los derechos y libertades de los interesados”.
Discute TPHS que la afirmación de que el incumplimiento de obligaciones del RGPD
implica centrarse en los riesgos para la organización y no en los derechos y libertades
de los interesados, pues entiende que tal razonamiento llevaría a concluir, aplicando la
misma lógica, que el cumplimiento de las obligaciones establecidas en el RGPD
permite a una organización no ser sancionada, pero no redunda en una protección de
los derechos y libertades de los titulares de los datos. Es decir, no solo se estaría
poniendo en duda el enfoque de PHONE HOUSE, sino que se estaría cuestionando la
propia idoneidad del RGPD como norma destinada a la protección de los derechos y
libertades de los interesados.
Entiende TPHS que tal planteamiento es inasumible y que, en buena lógica, cumplir
con las obligaciones establecidas en la norma implica proteger los derechos y
libertades de los interesados y ello, porque esa es, en esencia, la finalidad del RGPD.
Entiende TPHS que esa crítica hacia al enfoque de las EIPDs elaboradas por TPHS,
totalmente subjetiva e interpretativa, contrasta con el hecho de que las amenazas
definidas están perfectamente alineadas con las publicadas por la propia AEPD desde
el 15 de julio de 2019 en su herramienta Gestiona EIPD, puesta a disposición en su
página web y cuyo uso, curiosamente, recomendaba para la realización de análisis de
riesgos y EIPDs. Si bien esta herramienta no está actualmente disponible por haber
sido retirada por la propia Agencia, existe evidente correspondencia entre las
amenazas identificadas en las EIPDs realizadas por TPHS y las que se contenían en
la referida herramienta.
Señala TPHS que cuando la AEPD afirma que los “riesgos” o “amenazas” definidas en
las EIPDs “no son para los derechos y libertades de las personas físicas ni las
medidas a implementar van dirigidas a mitigar esos riesgos o al menos su impacto”, no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
89/197
concreta ni justifica en qué diferiría el análisis, más allá de una abstracción teórica y
conceptual.
Así, TPHS indica, a modo de ejemplo, que se puede plantear como amenaza el
“incumplimiento del deber de transparencia en los términos exigidos en el artículo 13
del RGPD” u optar por referirse a “el interesado puede ser objeto de un tratamiento de
datos sin ser consciente de las características de este”, pero en esencia se estaría
evaluando lo mismo, puesto que, como se ha dicho, las obligaciones recogidas en la
norma tienen como objetivo minimizar los riesgos para los derechos y libertades de los
interesados. No obstante, lo anterior, y a pesar de que, como se ha expuesto, no sería
una cuestión esencial, no es cierto que las amenazas recogidas en las EIPDs
realizadas por TPHS no vayan dirigidas a evaluar los riesgos para los derechos y
libertades de los titulares de los datos.
Indica TPHS que, en vista de alguno de los ejemplos escogidos por parte de la AEPD,
pretender que las amenazas analizadas o las recomendaciones para mitigar los
riesgos no se centran en los derechos y libertades de los interesados resulta, cuanto
menos, discutible, aunque sea cierto que, en función de las amenazas analizadas,
estas pueden tener una incidencia menos directa en la interacción con el interesado,
por lo que el foco no se centra específicamente en él (por ejemplo, verificar si se ha
procedido a la firma de un contrato de encargo), pero resulta fundamental tenerlas en
cuenta en una PIA a la hora de evaluar el riesgo del tratamiento.
Reseña asimismo TPHS que si se toman como referencia los riesgos identificados por
la propia AEPD en la herramienta que actualmente (desde septiembre de 2022)
propone para realizar las EIPDs “Evalúa Riesgo RGPD”, entiende que hay muchos
que, sensu contrario a lo que manifiesta esta Agencia en su Propuesta, no guardan
relación con la figura del interesado, sino con obligaciones normativas o cuestiones
objetivas. Así, por ejemplo, contempla como riesgos de la “categoría” del responsable:
• Sociedad de la información
• Empresa de biotecnología
• Mercadotecnia
• Hospitales
• Investigadores privados
• Entidad de evaluación de información crediticia
• Entidad de evaluación de fraude
• Entidad financiera
• Empleador
• Proyectos de investigación
• Ensayos clínicos
Entiende TPHS que, para la herramienta, el hecho de pertenecer a un determinado
sector implica por sí mismo una amenaza a mitigar, aunque no queda claro de qué
modo se puede mitigar dicho riesgo, si es que es posible (salvo que cambie su objeto
social), lo que es incuestionable es que es un riesgo puramente objetivo y relacionado
con el sector al que pertenece el responsable, sin guardar relación alguna con el
interesado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
90/197
Entiende TPHS que, además de ser difícilmente mitigable, este tipo de riesgo solo
tendría sentido respecto a clientes o usuarios del responsable, pero no para
empleados o proveedores del responsable, para los que su consideración puede
resultar incluso inadecuada.
En el apartado de “seguridad”, objeto, en última instancia, del procedimiento
sancionador abierto por la AEPD a PHONE HOUSE, la herramienta de la AEPD
establece como amenazas una serie de elementos:
• Pérdida de confidencialidad
• Pérdida de integridad
• Pérdida de disponibilidad
• Pérdida de trazabilidad
• Pérdida de autenticidad
• Deficiencias en resiliencia
• Fallos en medidas y garantías técnicas de protección de datos
• Errores en las operaciones técnicas de tratamiento
Entiende TPHS que todas ellas están orientadas desde el punto de vista de la
organización y que, a sensu contrario al criterio que la AEPD mantiene en su
Propuesta, y mucho más genéricas que las incluidas por TPHS en sus EIPDs. Por lo
que, las EIPDs de la AEPD adolecerían del mismo supuesto defecto que las de TPHS,
el no tener en consideración la dimensión del sujeto, o partir del enfoque expuesto por
la AEPD en el presente procedimiento, al establecer un hecho objetivo que no permite
conocer los posibles efectos adversos para el interesado.
Así, la amenaza de pérdida de confidencialidad se encuentra íntimamente relacionada
con la obligación normativa aplicable a los responsables del tratamiento en el artículo
5.1 letra f) del RGPD, pero esta amenaza no expresa cómo su materialización
amenaza los derechos y libertades del interesado.
Añade TPHS, de manera complementaria, y teniendo en cuenta que la interpretación
del RGPD ha de ser uniforme en todo su ámbito territorial de aplicación, resulta de
interés comprobar cómo abordan esta cuestión otras autoridades de control, como la
Commission Nationale de l'Informatique et des Libertés (en adelante, “CNIL”).
En este sentido, señala TPHS que, de conformidad con su Guía sobre la elaboración
de PIAs publicada en febrero de 2018 (Privacy Impact Assessment (PIA) | CNIL), el
enfoque de las amenazas elaboradas por CNIL es similar al de las utilizadas en el
modelo de TPHS, y no a la interpretación que ha venido manifestando la AEPD en
este procedimiento, es decir, no se centran en identificar qué consecuencias negativas
puede tener la materialización de la amenaza para los interesados titulares de esos
datos.
A entender de TPHS, el diseño de estas herramientas no es erróneo, sino que parte de
la evaluación de factores de riesgo identificados cuya materialización está vinculada
con los riesgos para los derechos y libertades de los interesados (sin necesidad de
expresar este matiz en cada uno de sus apartados).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
91/197
Adicionalmente, en su proceso de mejora continua, la revisión de las EIPDs realizadas
ha ido acompañada de una evolución de la metodología empleada, como puede verse
en las evidencias presentadas como documentos nº1, nº2, nº3 y nº4 aportados en el
Acuerdo de Inicio (vid. páginas 1336 a 1523 del Expediente Administrativo), siguiendo
los criterios y recomendaciones publicadas por las autoridades de control, en especial,
por la AEPD.
A TPHS le llama la atención que la AEPD afirme que: “en materia de protección de
datos no cabe un análisis de riesgos enfocado únicamente en riesgos para la
seguridad de la información y tampoco únicamente en medidas de seguridad
estandarizadas, puesto que, como señala el artículo 32 del RGPD y los considerandos
ya reseñados en esta Propuesta como en el Acuerdo de Inicio, las medidas para
garantizar la seguridad de los datos personales deben ser las adecuadas al riesgo y
este riesgo, que es para los derechos y libertades de las personas físicas, debe ser
evaluado teniendo en cuenta el tratamiento específico que realiza el responsable
(atendiendo a su naturaleza, alcance, contexto y los fines), por lo que no cabe
únicamente adoptar medidas estandarizadas”, pero que, sin embargo, en el apartado
de su web referido a la seguridad de los tratamientos (Seguridad de los tratamientos |
AEPD) se indica expresamente que:
“Con el objetivo de seleccionar las medidas para gestionar el riesgo para los derechos
y libertades, pueden utilizarse estándares de seguridad ya existentes en el mercado
como la norma ISO 27000. Por su parte, las Administraciones Públicas deberán utilizar
el Esquema Nacional de Seguridad para seleccionar las medidas que deban
implantarse para evitar su pérdida, alteración o acceso no autorizado, adaptando los
criterios de
determinación del riesgo en el tratamiento de los datos”.
Además, como se ha tenido oportunidad de mencionar en anteriores escritos, la propia
Agencia de la Unión Europea para la Ciberseguridad (ENISA), en sus Directrices sobre
la seguridad en el tratamiento de datos personales, “propone posibles medidas de
seguridad organizativas y técnicas para la protección de datos personales, adecuadas
al riesgo presentado”, indica que “pueden ser adoptadas por las PYME para lograr el
cumplimiento del RGPD” e incluye “una correspondencia entre el grupo de medidas
propuesto y los controles de seguridad de la norma ISO/IEC 27001:2013”.
Señala TPHS que es obvio, por tanto, la interrelación existente entre los estándares de
seguridad de la información y las medidas de seguridad recomendables para el
tratamiento de datos personales, ya que, si bien el activo a valorar es distinto, una vez
determinado el nivel de riesgo aplicable, las recomendaciones pueden asimilarse en
gran medida.
En este sentido, señala TPHS que consta acreditado que estaba adaptada al estándar
ISO 27001 que cita la propia AEPD y que la metodología empleada por PHONE
HOUSE parte del análisis de las características del tratamiento identificadas en su
registro de actividades y no “únicamente” en los estándares de seguridad de la
información, tal como quiere hacer ver la AEPD, en contra de las evidencias aportadas
en el Expediente (vid. Páginas 1.386 y 1.387 del Expediente Sancionador).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
92/197
Por lo anteriormente expuesto entiende TPHS que teniendo en cuenta que la
metodología empleada por ella está alineada con la propuesta tanto de la propia AEPD
como con la de su homóloga francesa, así como con recomendaciones en materia de
seguridad de la AEPD y ENISA, no puede ponerse en duda el enfoque de las EIPDs
realizadas por TPHS y aportadas a esta Agencia, más aún, teniendo en consideración
que las EIPDs realizadas no tienen ningún tipo de relación con los tratamientos y
sistemas afectados por el ciberataque.
Por tanto, concluye TPHS que ha acreditado que analizó los riesgos en protección de
datos identificando la probabilidad de su materialización y su impacto (es decir qué
consecuencias negativas puede tener para los interesados titulares de esos datos).
En lo que se refiere a las medidas de seguridad recomendadas en las EIPDs, reitera
esta parte que su implementación no habría tenido efectos sobre la brecha sufrida, y
ello porque, por más que la AEPD realice un ejercicio de confusión entre los diferentes
tratamientos de datos realizados por TPHS ha de reiterarse que ninguno de los
tratamientos de alto riesgo a los que se refieren las PIAs realizadas se ha visto
afectado por la violación de seguridad, por lo que no existe causalidad o relación
alguna entre dichos tratamientos y el único motivo por el que se inicia el procedimiento
sancionador por parte de la AEPD.
En consecuencia, haber adoptado mayores medidas para proteger la actividad de
marketing digital, control de acceso a instalaciones o perfilado de clientes no habría
tenido las consecuencias que la AEPD pretende, por estar alojados en sistemas
distintos del afectado por la brecha.
Por tanto, aunque se hubiesen cifrado o anonimizado los datos personales de estos
tratamientos, como la AEPD sugiere, su relevancia sería nula con respecto al ataque
sufrido.
Añade TPHS que no hay ningún sustento, ni normativo, ni metodológico, ni de
estándares de seguridad, ni de buenas prácticas, que sustenten la afirmación
realizada por la AEPD sobre que: “existe la obligación de implementar todas las
medidas apropiadas que resulten de la EIPD a los efectos de mitigar el riesgo, pues lo
contrario, implantar las que el responsable considere no obstante las especificadas en
la EIPD, determinaría que no se mitigaría el riesgo, pues sólo con la aplicación de
todas las medidas puede lograrse la consecución de tal objetivo”
Por el contrario, indica TPHS que todo análisis de riesgos responde a una metodología
en que éstos se calculan atendiendo a la probabilidad y el impacto. Y en todas ellas, al
establecerse medidas para que uno u otro varíen, se estaría mitigando el riesgo.
Afirma TPHS que la reducción de la probabilidad e impacto de los diferentes riesgos
contemplados en el análisis conlleva la reducción del resultado de la EIPD. En este
sentido, del propio texto del considerando reproducido por la AEPD no puede inferirse
la necesidad de adoptar todas las medidas propuestas para cada amenaza:
“Dicha evaluación de impacto debe incluir, en particular, las medidas, garantías
y mecanismos previstos para mitigar el riesgo, garantizar la protección de los
datos personales y demostrar la conformidad con el presente Reglamento”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
93/197
Continúa señalando TPHS que en todo momento se hace referencia al tratamiento en
su conjunto, y no a amenazas concretas. En lo que se refiere a la seguridad de la
información, el art. 32 RGPD se refiere a que:
“teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos
de probabilidad y gravedad variables para los derechos y libertades de las
personas físicas, el responsable y el encargado del tratamiento aplicarán
medidas técnicas y organizativas apropiadas para garantizar un nivel de
seguridad adecuado al riesgo”
Por ello, TPHS concluye que lo que debe valorarse es que las medidas sean
apropiadas para mitigar el conjunto de riesgos asociados al tratamiento. En la medida
en que pueda considerarse “seguro”, será conforme al RGPD.
Asimismo, indica TPHS que no es cierto, como refiere la AEPD, que el cifrado o la
seudonimización fueran imprescindibles para garantizar la seguridad de los
tratamientos. De hecho, como ya se ha indicado, ninguno de los tratamientos en los
que se determinó un riesgo alto se vieron afectados por incidentes de seguridad, a
pesar del sofisticado ataque dirigido contra los sistemas de TPHS.
Sostiene TPHS que las referencias a la publicación de datos contenidos en los
sistemas de TPHS en ningún caso pueden ser puestas en relación con los
tratamientos objeto de evaluación de impacto, y la introducción de esta mención por
parte de la AEPD supone tergiversar la realidad de los hechos objeto de análisis, con
la única pretensión de justificar la supuesta inadecuación de las medidas adoptadas
para la protección de los datos personales.
(II) SOBRE LAS CONTRASEÑAS:
Señala TPHS que la AEPD utiliza e interpreta a su criterio, el informe “Evaluación del
cumplimiento en materia de protección de datos -Medidas de Seguridad –” realizado
por una entidad externa el 11 de enero de 2021, para tratar de justificar la falta de
idoneidad de las medidas adoptadas, partiendo de premisas poco rigurosas, como el
hecho de interpretar que cualquier propuesta de mejora supone una inadecuación de
las medidas previas, lo cual es claramente incorrecto. Todo sistema de seguridad es
susceptible de mejora y no por ello deja de ser adecuado a los riesgos identificados.
Indica TPHS como ejemplo de ello la referencia a la recomendación de mejora,
consistente en dejar de usar el algoritmo de encriptado MD5, realizada con base en
una Guía del Centro Criptológico Nacional (CCN) destinada a entidades a las que
aplica el Esquema Nacional de Seguridad (que no es el caso de PHONE HOUSE),
pero que es un algoritmo que sigue siendo más que razonablemente seguro en la
mayoría de los entornos (de hecho, la referencia hace alusión a que “su uso no está
permitido para aplicaciones de seguridad”, que no es el caso de las analizadas).
Por otro lado, señala TPHS que la base fundamental para las afirmaciones vertidas
por la AEPD para tratar en particular, de la política de contraseñas, es el “Informe de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
94/197
análisis de incidente ransomware” elaborado por la empresa (...) Group, fechado el 21
de abril de 2021.
Entiende TPHS que la AEPD ha malinterpretado dicho informe, realizando conjeturas
con escaso apoyo técnico de las que se desprenden conclusiones que nada tienen
que ver con lo reflejado en dicho informe y con lo realmente acontecido.
Apunta TPHS que, dado que el mismo técnico que realizó el citado informe de fecha
21 de abril de 2021 ha tenido oportunidad de realizar un “Anexo aclaratorio al Informe
de análisis del incidente de ransomware” (vid Documento nº1 adjunto al presente
escrito) al cual nos remitimos, dejamos constancia seguidamente de sus conclusiones
sobre este punto:
“La política de contraseñas de Phone House se considera adecuada según el
estado de la técnica, aplicando distintos niveles de complejidad basados en las
buenas prácticas de referencia del sector de la seguridad de la información.
Por lo tanto, las medidas técnicas al alcance de la compañía fueron aplicadas
de forma correcta. Sin perjuicio de ello, el análisis del incidente muestra que el
atacante logró hacerse con las credenciales de un administrador de forma
desconocida. Aunque la investigación no permite confirmarlo, lo más habitual
en estos casos es que un ataque de ingeniería social permitiese obtener dichas
credenciales engañando a un usuario con permisos de administración.
Lamentablemente, por muy robustos que fuesen los sistemas de autenticación
utilizados por el usuario engañado, provoca que las medidas técnicas
aplicadas, por muy adecuadas que fueran, sean absolutamente ineficaces”.
(III) SOBRE LA SEGURIDAD PERIMETRAL Y MEDIDAS DE MONITORIZACIÓN:
En lo referente a la protección de la seguridad perimetral y medidas de monitorización,
entiende TPHS que las valoraciones y conclusiones de la AEPD adolecen de los
mismos defectos que las referidas a las contraseñas: confusión de recomendaciones
con preexistencia de medidas adecuadas y mala interpretación de los informes.
Se remite de nuevo TPHS al literal de las aclaraciones realizadas por el mismo técnico
que elaboró el primer informe de (...) utilizado por parte de la AEPD como única prueba
de cargo en todas sus argumentaciones:
“La empresa disponía de una red segmentada y dispositivos perimetrales para
el filtrado de las comunicaciones. Si bien la actividad maliciosa identificada en
el informe permite una trazabilidad tras su investigación, no se considera que
se pudieran establecerse medidas previamente que hubieran podido evitarlas
sin generar un impacto en la actividad empresarial de Phone House”.
TPHS recoge los siguientes detalles de las aclaraciones finales del informe para
indicar la falta de rigor de las consideraciones realizadas de forma generalizada por la
AEPD en relación con las medidas adoptadas por la Compañía:
“A continuación, se recogen un conjunto de consideraciones globales que afectan a
todo el documento:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
95/197
• Se manifiesta que el informe elaborado por (...) no es un informe forense, sino
que se trata de un informe que trata de recoger toda la información recogida en
el proceso de la investigación. No es un informe forense porque no ha seguido
los métodos de recopilación de evidencias requeridos, dado que en este caso
no se consideró oportuno. Por otra parte, como parte del informe se pretenden
mostrar una serie de buenas prácticas y sentar las bases de un ciclo de mejora
para Phone House. Estas recomendaciones de mejora y buenas prácticas no
implican que haya habido una negligencia por su parte en la protección de sus
activos, sino que pretenden ofrecer oportunidades de mejora disponibles.
• (...) considera que las medidas de protección por parte de Phone House eran
adecuadas, pertinentes y proporcionadas, según el estado de la técnica, para
poder prevenir un ataque como el experimentado, contando antes de la brecha
con las principales medidas de seguridad debidamente implantadas de forma
diligente. Si bien se debe tener en cuenta que estas medidas técnicas no
siempre consiguen evitar los incidentes, dado que el factor humano es
determinante, así como la pericia técnica de los atacantes demostrada en el
caso de BABUK, es de un gran nivel.
• Derivado del punto anterior, (...) manifiesta que tras la gestión del incidente el
equipo no concluye, desde el punto de vista técnico, que las medidas de
seguridad no fueran adecuadas. Asimismo, (...) considera que no es posible
afirmar que con medidas adicionales o diferentes hubiera sido posible evitar la
brecha. Valoraciones subjetivas.
• Por último, cabe aclarar que durante la investigación no fue posible identificar
de forma concluyente, ni siquiera indiciariamente, un origen claro del incidente,
por lo que, a juicio de este experto técnico, no existe un nexo causal entre los
hallazgos expuestos en el epígrafe 2 del presente documento y la brecha de
seguridad que finalmente se produce”.
Concluye por tanto TPHS que la base sobre la que la AEPD sostiene todas sus
valoraciones es una interpretación interesada y carente de rigor técnico de un informe
no forense, cuyo autor ha tenido oportunidad de aclarar, para dejar evidencia de que
los fundamentos de las infracciones supuestamente cometidas por TPHS son meras
conjeturas, carentes de base jurídica o técnica, apoyadas en meras opiniones sobre lo
que el instructor del procedimiento considera conveniente o necesario, pero sin que se
aporten las justificaciones pertinentes para entender que se ha producido un
incumplimiento de la normativa de protección de datos.
Apunta TPHS que se confunde en el procedimiento lo que pudiera considerarse
deseable, a juicio de quiénes lo instruyen, con lo que serían auténticas obligaciones.
Siendo que la actividad sancionadora sólo es compatible con la existencia de
infracciones demostrables, y no las supuestas o figuradas infracciones.
Concluye TPHS que el Anexo aclaratorio de (...) echa por tierra la teorización de una
supuesta falta de adecuación de las medidas implantadas por TPHS que la AEPD ha
venido sosteniendo hasta el momento, amparadas en su informe previo y, en
consecuencia, no hay fundamento para mantener tal interpretación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
96/197
Añade TPHS que este hecho evidencia claramente que no queda acreditada la
concurrencia de una actuación culpable, intencionada o negligente por parte de TPHS
no pudiendo, por tanto identificar en su conducta una infracción de la normativa de
protección de datos personales por el mero hecho de haber sido víctima de un
ciberataque y, consecuentemente, no siendo procedente la imposición ningún tipo de
sanción, todo ello teniendo en consideración la reciente jurisprudencia del Tribunal de
Justicia de la Unión Europea (TJUE) relativas a los asuntos C-683/21 (Nacionalinis
visuomenėssveikatos centras) y C-807/21 (Deutsche Wohnen) publicada el pasado día
5 de diciembre de 2023.
5. Sobre las acciones formativas y de concienciación de la plantilla de TPHS.
Alega TPHS no estar de acuerdo en que la AEPD considere que no ha establecido
medidas apropiadas al objeto de formar y concienciar a sus trabajadores.
Entiende TPHS que, conforme se ha reiterado y evidenciado en los escritos previos
aportados, cuenta con un plan robusto, exhaustivo y continuado de formación continua
en materia de protección de datos y seguridad de la información, que dichas
formaciones han sido realizadas por TODOS los trabajadores de la Compañía, que se
van actualizando periódicamente con el propósito de adecuarlas a las necesidades de
la entidad y a los tratamientos de datos efectuados, a los cambios normativos y, a los
pronunciamientos de las Autoridades de Control Europeas y de Comité Europeo de
Protección de Datos en sus Guías, Informes y Recomendaciones.
Así, señala TPHS que este contexto, en materia de protección de datos y seguridad de
la información, tal y como ya se ha puesto de manifiesto, se han impartido en la
Compañía distintos cursos y formaciones, presenciales y online, que abarcan tanto un
enfoque general de la materia, como el desarrollo de cuestiones más específicas que
se han detectado en la Compañía como especialmente relevantes, debido al impacto
que tienen en sus empleados y clientes.
Respecto a los listados de asistentes, indica TPHS que aportó alguno de los
documentos que evidenciaban dichas formaciones a la AEPD, sin entrar en exhaustivo
detalle puesto que no se había realizado una petición expresa en este sentido,
considerando esta parte que las evidencias aportadas resultarían suficientes para
demostrar que TPHS cumple escrupulosamente esta obligación, ya que todos sus
trabajadores han recibido y reciben formaciones periódicamente, las cuales se
encuentran en constante revisión y actualización.
TPHS se remite de nuevo a la relación de documentos aportados en el Acuerdo de
Inicio.
Indica TPHS, respecto a lo expuesto por la AEPD en la Propuesta, sobre que “TPHS
afirma que entre 2018 y 2020 ha impartido cursos sobre el RGPD, aportando una lista
de 642 asistentes, (…)”, que le sorprende a esta parte que la Agencia vuelva a realizar
la misma afirmación que ya realizó en el Acuerdo de Inicio, cuando en el escrito de
alegaciones relativo al Acuerdo de Inicio esta parte indicó lo siguiente:
“de manera aclaratoria, esta parte quiere indicar a la AEPD que se aportaron dichos
listados a modo de ejemplo. No obstante, la Compañía cuenta con listados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
97/197
exhaustivos en los que se evidencia que todos los trabajadores realizaron varios
cursos de formación. Se acompañan como documentos nº7, 8, 9 y 10, algunos de los
listados de las formaciones realizadas por los trabajadores en materia de protección
de datos, los cuales han sido obtenidos de las plataformas online de formación de
PHONE HOUSE.
Teniendo en cuenta lo anterior, es interés de esta parte poner en conocimiento de esta
Agencia que, en el año 2020, PHONE HOUSE contaba con (...), pero que dicho
número se redujo considerablemente como consecuencia de la brecha de seguridad y
de la reducción del volumen de negocio de la Compañía.
Así las cosas, en 2021 PHONE HOUSE tenía (…)”.
Sin perjuicio de lo anterior, señala TPHS que cuenta con listados adicionales a los ya
remitidos a la AEPD como muestra, entendiéndose que resultan suficientes para
acreditar que todos los trabajadores de TPHS realizan formaciones periódicas en
materia de seguridad y ciberseguridad. No obstante, indica que se encuentran a
disposición de la Agencia, si esta considerase oportuno que se aportasen, bastando
para ello que los requiera expresamente y de forma detallada, como no puede ser de
otra forma en un expediente sancionador como el que nos ocupa.
Señala TPHS, respecto a la declaración que realiza la AEPD sobre que “TPHS afirma
que desde 2018 los trabajadores que se incorporan a la compañía realizan un curso
en materia de protección de datos personales. Sin embargo, no acreditado
fehacientemente, pues aporta como justificación de ello un documento que, según
señala, es la prueba que evalúa los conocimientos adquiridos”, que le resulta
sorprendente que la AEPD vuelva a afirmar lo mismo que venía indicando, teniendo en
cuenta que en el escrito de respuesta al Acuerdo de Inicio (vid. páginas 1065 del
Expediente Administrativo), se indicó que a partir del 24 de mayo del año 2018, todos
los trabajadores de TPHS debían realizar el curso online, sobre protección de datos y
seguridad de la información, disponible en la plataforma online Dominion University.
Asimismo, y se expuso a la AEPD que dicho curso también lo realizaron todos los
trabajadores contratados con posterioridad a 2018, en el momento de incorporarse a la
Compañía.
Señala TPHS, en relación con la Política de Seguridad, que la AEPD indica en el
Acuerdo de Inicio y reitera en la Propuesta de Resolución que ella aportó la vigente en
2022. No obstante, la versión aportada es la de diciembre de 2021, siendo la versión
anterior de septiembre de 2020.
Respecto a lo que indica la AEPD relativo a que “en la Política de Seguridad no se
establecen reglas claras a seguir por los empleados en aras de la seguridad, adaptada
a los diferentes perfiles profesionales que puedan tener los empleados” señala TPHS
que no existe ninguna norma que exija que en la Política de Seguridad se deban
establecer reglas en materia de seguridad de la información adaptadas a los diferentes
perfiles profesionales que puedan tener los empleados. En la Política de Seguridad no
se reflejan las instrucciones a seguir por los trabajadores en materia de seguridad, al
no ser un requisito legal el que vengan recogido en la misma y, al contar señala TPHS
con documentos específicos en ese sentido, tal y como es conocedora la AEPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
98/197
En este sentido, indica TPHS que se acompañaron al escrito de respuesta al Acuerdo
de Inicio, los siguientes Procedimientos (vid. páginas 1288 a 1317 del Expediente
Administrativo):
(i) Segregación de Tareas y Funciones; (ii) Organización de Seguridad de la
Información, roles y responsabilidades y; (iii) Seguridad de los Recursos Humanos.
Señala TPHS que estos procedimientos no fueron aportados previamente a esta
Agencia, puesto que en el requerimiento de información solicitó a mi representada la
“Política de Seguridad” de la Compañía.
Reseña TPHS que la AEPD indica que no se acreditó que la realización de los cursos
fuese obligatoria por parte de los trabajadores En este sentido, con la intención de
demostrar que la realización de los cursos sí resultaba y resulta hoy en día obligatoria
por parte de todos los trabajadores de la Compañía, acompaña, a modo de ejemplo,
un correo electrónico que indica remitido a todos los trabajadores en fecha 24 de mayo
de 2018. Dicho correo está remitido por “Universidad Phone House” y dirigido a D.
A.A.A., con el asunto “Curso Obligatorio Universidad Phone House” en el que se
indica “Te presentamos el nuevo curso obligatorio on line Reglamento Europeo de
protección de datos. Tienes que finalizarlo antes del 26/05/2018…”
Por otro lado, no está de acuerdo TPHS con la valoración que se ha realizado de los
cursos en la Propuesta de Resolución.
Así, reseña TPHS, respecto a la afirmación de la AEPD de que el curso impartido de
forma presencial por D. B.B.B. es genérico (página 105 de la Propuesta de
Resolución), que resulta relevante recordar a esta Agencia que el curso se impartió
presencialmente en el año 2015, sin estar en vigor el RGPD, ni la LOPDGDD. Dicho
material se aportó a los solos efectos de demostrar a la Agencia que mi representada
venía cumpliendo de forma escrupulosa con la normativa de protección de datos con
carácter previo a la entrada en vigor del RGPD.
Respecto al curso impartido por una entidad externa especializada en la materia de
forma presencial, señala TPHS que resulta cuanto sorprendente que la Agencia
también considere que: “es genérico y está dirigido a las obligaciones de TPHS como
responsable del tratamiento” pues entiende que todo curso de formación debe
enfocarse desde la perspectiva de cumplimiento por el responsable de sus
obligaciones en materia de protección de datos, lo que se refleja, consecuentemente,
en garantizar los derechos y libertades de los afectados. Adicionalmente, cabe recalcar
que en 2018 no solamente se impartieron varios cursos de forma presencial en los que
se utilizó como base el material entregado, además de incidirse en muchos otros
aspectos, sino que, a mayor abundamiento, todos los trabajadores realizaron un curso
online.
Entiende por tanto que la AEPD está realizando una interpretación totalmente
incoherente y recuerda que, en los cursos presenciales, es una práctica habitual que
los ponentes utilicen como guía una presentación de power point, pero ello no implica
que el ponente se limite a reproducir y a leer íntegramente el contenido de las
diapositivas, sino que, las mismas son la base de los temas a tratar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
99/197
Por todo lo expuesto en esta alegación, así como en la alegación que entiende omitida
por la Agencia en el escrito de respuesta al Acuerdo de Inicio, la cual tiene a su
disposición para su lectura y análisis en las páginas 1064 a 1071 del Expediente
Administrativo, concluye TPHS que ha quedado acreditado que sus trabajadores han
recibido formación y concienciación en materia de protección de datos, y que mi
representada actúa de forma diligente y proactiva en todo momento. En este sentido,
indica TPHS que ha sido siempre rigurosa con el cumplimiento de la normativa de
protección de datos, impartiendo formaciones a sus trabajadores desde la entrada en
vigor de la Ley Orgánica 15/1999 hasta la actualidad, cuando periódicamente se
imparten formaciones y se realizan labores de concienciación en materia de
cumplimiento de la normativa de protección de datos y de seguridad de la información.
6. Sobre la existencia de un concurso de infracciones.
Alega de nuevo TPHS que se dan las circunstancias para considerar que tiene lugar
un concurso medial entre ambas infracciones, por ser necesaria la ausencia de
medidas técnicas y organizativas apropiadas para que una brecha de confidencialidad
sea sancionable. A estos efectos, reitera sus alegaciones al Acuerdo de Inicio.
Indica TPHS que, para argumentar la no existencia de concurso medial o concurrencia
de infracciones, la AEPD dice en su Propuesta de Resolución que “podemos
encontrarnos con supuestos en que existan medidas inadecuadas sin que por ello
haya una pérdida de integridad y confidencialidad”. Sin embargo, lo que defiende
TPHS es que no puede producirse una pérdida de integridad y confidencialidad
sancionable sin que existan medidas inadecuadas. Es decir, coincide con la Agencia
en que puede darse un incumplimiento del artículo 32 del RGPD sin que
necesariamente implique un incumplimiento del artículo 5.1.f) del RGPD, pero lo
contrario no sería posible. En consecuencia, para que exista una brecha de seguridad
sancionable es estrictamente necesario que se infrinja el artículo 32 del RGPD.
Señala TPHS que este constituye un concurso medial (en el ámbito penal) o una
concurrencia de ofensas o delitos en vía administrativa, que aplica “siempre que la
aplicación de una disposición impida o subsuma la aplicabilidad de la otra”2. En estos
casos, resulta contrario al ordenamiento jurídico sancionar dos veces al infractor por el
mismo
ilícito.
Entiende TPHS que de haber considerado esta Agencia que las medidas con que
contaba con carácter previo a la brecha de seguridad eran apropiadas, la
consecuencia hubiera sido que no se habría estimado el incumplimiento ni del artículo
5.1.f) del RGPD ni del art. 32 RGPD.
Adicionalmente menciona TPHS que la AEPD entiende que el hecho de que los
incumplimientos de ambos artículos se tipifiquen de manera diferente en el artículo 83
RGPD y a efectos de prescripción en la LOPDGDD, es muestra de que no existe una
concurrencia de ofensas. Esta parte no comparte que este argumento tenga utilidad a
efectos de considerar la existencia de concurso medial en las infracciones achacadas
a PHONE HOUSE, ya que, como ha señalado, es posible que se dé una infracción del
artículo 32 del RGPD sin que tenga lugar una infracción del artículo 5.1.f) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
100/197
Esto es, puede ser que una entidad no cuente con medidas técnicas y organizativas
apropiadas, sin que esto haya tenido como consecuencia una pérdida de
confidencialidad o integridad de los datos.
Argumenta TPHS que una infracción del artículo 32 del RGPD se daría cuando no se
hubiera mitigado o minimizado el riesgo para la seguridad de los datos personales,
mientras que una infracción del artículo 5.1.f) del RGPD tendría lugar cuando dicho
riesgo se hubiera materializado al producirse una brecha de confidencialidad o
integridad.
Indica asimismo que la AEPD insiste en que las medidas técnicas y organizativas a las
que se hace referencia en ambos artículos son diferentes, por ser las del artículo 32
del RGPD “medidas de seguridad”, y las del artículo 5.1.f) del RGPD “medidas
técnicas u organizativas apropiadas y de todo tipo, no solo de seguridad”. Sorprende a
TPHS esta interpretación, ya que no se basa ni en el literal de la norma, ni sigue una
interpretación teleológica de la misma. Así, de la literalidad de ambos artículos no cabe
duda de que en ambos casos se refiere al mismo tipo de medidas, vinculándose en los
dos artículos la aplicación de estas al objetivo de garantizar una seguridad adecuada.
El artículo 32 del RGPD no se limita a exigir la implementación de medidas técnicas y
organizativas “de seguridad”, sino que se indica que las medidas a implementar deben
dirigirse a garantizar un nivel de seguridad adecuado, de la misma manera que en el
art. 5.1.f) del RGPD.
Reseña TPHS que la AEPD indica que cuando en el artículo 5.1.f) del RGPD se habla
de “medidas técnicas y organizativas apropiadas”, estas deben interpretarse en el
sentido del artículo 25 RGPD, no entendiendo TPHS la razón de esta interpretación. A
lo largo del RGPD se incluye la mención a “medidas técnicas y/u organizativas
apropiadas” ocho veces (dos más si tenemos en cuenta los considerandos), sin
embargo, la AEPD considera que en algunos artículos debe interpretarse como
medidas técnicas y organizativas en sentido amplio, mientras que en artículo 32 del
RGPD se limita a medidas de seguridad. Esta diferenciación no obedece a lo
establecido literalmente en la norma, ni se entiende mediante una interpretación
teleológica de la misma, por lo que no es un argumento que pueda ser utilizado por
esta Agencia para sancionar a TPHS. De esta forma, las “medidas técnicas y
organizativas apropiadas” que se refieren en el artículo 5.1.f) del RGPD y el artículo 32
del RGPD deben interpretarse de manera análoga.
Reseña TPHS que para apreciar un incumplimiento de cualquiera de estos artículos se
debe atender a la falta de implementación de medidas técnicas y organizativas
apropiadas, y adicionalmente, en la determinación del incumplimiento del artículo 5.1.f)
del RGPD, será necesario tener en cuenta si dicha falta de medidas ha motivado que
tenga lugar una brecha de confidencialidad o integridad.
En este sentido, recuerda TPHS que es la propia Agencia en la Propuesta, la que
destaca y reitera el carácter fundamental, vertebrador y transversal de los principios
relativos al tratamiento que recoge el Artículo 5.1 del RGPD a lo largo de la Propuesta
de Resolución
Aunque TPHS considera que no se dan los requisitos para entender que ha vulnerado
ninguno de los dos artículos mencionados, en tal caso, insiste en que existiría un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
101/197
concurso medial por ser condición necesaria la ausencia de medidas técnicas y de
seguridad apropiadas (artículo 32 del RGPD) para que se concluya que una brecha de
confidencialidad resulta sancionable (artículo 5.1.f) del RGPD). En consecuencia,
cualquier falta de medidas que pudiera llegar a entender la AEPD que ha derivado en
la pérdida de confidencialidad a raíz del ciberataque no puede ser sancionada, de
manera adicional, como incumplimiento del artículo 32 del RGPD, sin que se incumpla
uno de los principios básicos del derecho sancionador administrativo, y garantía
fundamental de la seguridad jurídica: el principio non bis in idem.
Por último, en relación con la mención a la no aplicabilidad del art. 29 de la Ley
40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante,
“LRJSP”), TPHS trae a colación el Real Decreto 389/2021, de 1 de junio, por el que se
aprueba el Estatuto de la Agencia Española de Protección de Datos, en cuyo artículo 3
se establece que la AEPD se rige por lo dispuesto en el RGPD, y supletoriamente, por
la LRJSP. Lo anterior viene a implicar que, en relación con todo aquello no regulado
expresamente en el RGPD o la LOPDGDD se atenderá a lo previsto al efecto en la
LRJSP, como es el caso de los concursos de infracciones previstos en el artículo 29
del LRJSP en relación con el principio de proporcionalidad como principio de la
potestad sancionadora.
Adicionalmente, indica TPHS que es la propia Agencia quien ha considerado aplicable
dicho artículo en relación con supuestos de concurso medial, como en su Resolución
de 23 de abril de 2021, dictada en el procedimiento PS/00240/2019:
“El artículo 29.5 de la Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector
Público (LRSP) dispone: “Cuando la comisión de una infracción derive necesariamente
de la comisión de otra u otras, se deberá imponer únicamente la sanción
correspondiente a la infracción más grave cometida”.
[…]
Tomando en consideración la conexión existente entre las cinco infracciones del
RGPD cometidas por EQUIFAX en relación con el FIJ y la extraordinaria singularidad
del caso, en el que la infracción más grave, la vulneración del principio de limitación de
la finalidad previsto en el artículo 5.1.b), conlleva la comisión de las restantes cuatro
infracciones, esta Agencia considera que en el específico caso que nos ocupa,
atendiendo a las particularidades que reviste, existe un concurso medial entre la
infracción del artículo 5.1.b) RGPD, por una parte, y las infracciones de los artículos
6.1, en relación con el
5.1.a; 5.1.d), 5.1.c) y 14 del RGPD.”
Resolución Sancionadora AEPD PS/00240/2019. Disponible en el enlace:
https://www.aepd.es/documento/ps-00240-2019.pdf
Esta posibilidad ha sido, asimismo, reconocida por las Directrices 4/20224, sobre el
cálculo de multas administrativas bajo el RGPD, donde expresamente se estipulan los
criterios que debe seguir la autoridad administrativa para evaluar, de forma previa a la
imposición de la sanción, la posible concurrencia de estas.
De lo anterior concluye TPHS que, conforme al criterio de esta Agencia, y de
conformidad con su Estatuto y los principios del procedimiento administrativo
sancionador, debe poder apreciarse la existencia de concursos de infracciones en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
102/197
marco de un procedimiento sancionador, específicamente, en el presente caso, un
concurso medial.
7. - Sobre la inadmisibilidad de la responsabilidad objetiva.
En aras de la economía procesal TPHS se remite a sus alegaciones esgrimidas en el
escrito de alegaciones al Acuerdo de Inicio y que enuncian que, el hecho de que haya
sido víctima de una brecha de seguridad no implica, necesariamente, una infracción de
la normativa de protección de datos.
Señala TPHS que es necesario, en cumplimiento de los requisitos y principios que
rigen el procedimiento administrativo, que se acredite cierto nivel de dolo o culpa de la
persona jurídica en su actuación, y para ello, es necesario examinar el despliegue de
diligencia efectuado por la misma al efecto.
Entiende TPHS que, si bien la Propuesta de Resolución enumera de forma exhaustiva
diversos tratamientos de datos de carácter personal ejecutados por TPHS, así como
algunas de las medidas asociadas a los mismos, lo cierto es que, a la hora de imputar
la infracción del artículo 5.1 f) del RGPD, la Agencia se basa, exclusivamente, en la
concurrencia del resultado – la realización de la brecha de seguridad – para identificar
la comisión de un ilícito por TPHS.
Refiere TPHS que, como justificación a ello, la Propuesta de Resolución alude a la
posibilidad de TPHS tuviese, en el momento en que se produce la brecha de
seguridad, implementadas medidas adicionales a las ya establecidas. Dicha
posibilidad, aplicable a cualquier supuesto de hecho, no elude la clara interpretación
que la AEPD emplea en la Propuesta de Resolución, al considerar la vulneración del
artículo 5.1 f) del RGPD como una consecuencia directa de la concurrencia de la
brecha de seguridad sufrida por PHONE HOUSE.
Entiende TPHS que la Propuesta de Resolución interpreta que el hecho de que TPHS
haya sido víctima de una brecha de seguridad implica, necesariamente, una infracción
de la normativa de protección de datos. Con independencia de las medidas ya
implantadas, la premisa de la AEPD es que, si se materializa la pérdida de
confidencialidad, TPHS ha de ser sancionada.
Manifiesta TPHS que esta fundamentación, esgrimida en la Propuesta de Resolución,
no es conforme a la jurisprudencia, como ya ha indicado la Sala de lo Contencioso-
Administrativo de la Audiencia Nacional, que, entre otras Sentencias, en la relativa a
su Sección 1ª, de 23 de diciembre de 2013, Rec. 341/2012, atribuye la imposición de
consecuencias sancionadoras a la ausencia de previos y adecuados procedimientos
de control y seguridad. En el mismo sentido, la fundamentación extractada por la
AEPD en la Propuesta de Resolución contradice la Sentencia de nuestro Alto Tribunal,
543/2022, de fecha de 15 de febrero; ya extractada por TPHS en sus alegaciones al
Acuerdo de Inicio, que expresamente establecen que la obligación derivada de la
adopción de medidas de seguridad constituye una obligación de medios (Fundamento
Jurídico 3º):
“La obligación de adoptar las medidas necesarias para garantizar la seguridad
de los datos personales no puede considerarse una obligación de resultado,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
103/197
que implique que producida una filtración de datos personales a un tercero
exista responsabilidad con independencia de las medidas adoptadas y de la
actividad desplegada por el responsable del fichero o del tratamiento”.
Si bien la Agencia indica en su Propuesta que se examina de forma individual cada
supuesto de hecho, lo cierto es que, en su valoración, a la hora de imputar e identificar
en la actuación de TPHS una infracción del artículo 5.1 f) del RGPD, la Propuesta de
Resolución no alude a circunstancias o medidas concretas implementadas por esta
parte, ciñéndose al resultado, producido por la acción ilícita de un tercero.
Esta interpretación se evidencia nuevamente en la página 120 de la Propuesta de
Resolución, donde, tras definir teóricamente el principio de confidencialidad recogido
en la normativa de protección de datos, se enumera y enuncia la comisión de la
brecha por el tercero, así como las posteriores acciones que competen el ilícito
cometido por éste. Si bien la Propuesta analiza de forma detallada la actividad ilícita
de los autores del ataque de ransomware, lo cierto es que no hay mención alguna a la
actividad y medidas desplegadas por TPHS en la fundamentación de la infracción del
artículo 5.1 f) del RGPD:
“En el presente caso, se ha vulnerado el principio de confidencialidad pues
consta que tras sufrir TPHS un ataque informático con ransomware, se produjo
un acceso ilegítimo a datos personales y la extracción o usurpación de los
mismos, lo que supuso la pérdida de confidencialidad y de control de
numerosos datos personales de sus clientes, antiguos clientes, posibles y/o
futuros clientes, proveedores y empleados (nombre y apellidos, DNI, dirección
postal, email, número de móvil, nacionalidad, sexo, fecha de nacimiento, IMEI
de teléfono, número de cuenta bancaria, detalles de empleo de los empleados
de TPHS -puesto, número de empleado, ciudad, fecha de incorporación a la
compañía y correo electrónico empresarial-) y que afectó a una cantidad
ingente de personas (aproximadamente 13 millones de afectados). Además,
posteriormente esos datos personales de esos 13 millones de afectados fueron
publicados por el ciberdelincuente en la Deep Web, por lo que cualquier
persona en cualquier parte del mundo y sin consentimiento de sus titulares
podría tener acceso a ellos, ….
[…]
Por todo lo expuesto y de conformidad con las evidencias de las que se
dispone en este momento de propuesta de resolución del procedimiento
sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera
que los hechos conocidos podrían ser constitutivos de una infracción,
imputable a TPHS, por vulneración del artículo 5.1.f) del RGPD”.
No obstante, lo anterior, señala TPHS que esta interpretación extensiva de la potestad
sancionadora que otorga el RGPD ha sido nuevamente categorizada como no
aceptable por el Tribunal Justicia de la Unión Europea (en adelante, “TJUE”), en sus
recientes Sentencias relativas a los asuntos C-683/215 (Nacionalinis visuomenės
sveikatoscentras) y C-807/216 (Deutsche Wohnen).
En el asunto C-683/2021, en concreto, el TJUE estipula:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
104/197
“El Gobierno lituano y el Consejo de la Unión Europea deducen de ello que el
legislador de la Unión pretendió dejar a los Estados miembros un cierto margen
de apreciación en la aplicación del artículo 83 del RGPD, permitiéndoles prever
la imposición de multas administrativas en virtud de dicha disposición, en su
caso, sin que se acredite que la infracción del RGPD sancionada con dicha
multa se haya cometido deliberadamente o por negligencia. Tal interpretación
del artículo 83 del RGPD no puede aceptarse”.
Y continúa:
“…nada en el tenor literal del artículo 83, apartados 1 a 6, del RGPD indica que
el legislador de la Unión pretendiera dejar un margen de apreciación a los
Estados miembros en cuanto a los requisitos materiales que debe cumplir una
autoridad de control cuando decide imponer una multa administrativa a un
responsable del tratamiento por una infracción contemplada en los apartados 4
a 6 de dicho artículo.
[…]
Esta constatación también se ve corroborada por la lectura conjunta de los
artículos 83 y 84 del RGPD. En efecto, el artículo 84, apartado 1, de dicho
Reglamento admite que los Estados miembros conservan la facultad de
determinar el régimen de "otras sanciones aplicables" en caso de infracción de
dicho Reglamento, "en particular para las infracciones que no sean objeto de
las multas administrativas previstas en el artículo 83". De esta lectura conjunta
de dichas disposiciones se desprende, pues, que la determinación de las
condiciones materiales en las que pueden imponerse tales multas
administrativas es ajena a dicha competencia. Por lo tanto, dichas condiciones
son competencia exclusiva del Derecho de la Unión.
Por lo que respecta a estos requisitos, procede señalar que el artículo 83,
apartado 2, del RGPD enumera los elementos en función de los cuales la
autoridad de control impone una multa administrativa al responsable del
tratamiento. La letra b) de dicha disposición incluye "el hecho de que la
infracción se haya cometido intencionadamente o por negligencia". Por otra
parte, ninguno de los factores enumerados en dicha disposición menciona la
posibilidad de que el responsable del tratamiento sea considerado responsable
en ausencia de conducta culpable por su parte”.
Así, señala TPHS, el TJUE establece de forma expresa que ni el legislador nacional, ni
la autoridad administrativa, tendrán capacidad para alterar o modificar los requisitos
materiales que deben cumplirse para imponer una multa administrativa en virtud del
RGPD. Y, dichas condiciones materiales, que deben concurrir necesariamente para la
imposición de una sanción administrativa, se materializan en la actuación (u omisión)
culpable o deliberada del responsable del tratamiento:
“Así pues, del tenor literal del artículo 83, apartado 2, del RGPD se desprende
que sólo las infracciones de las disposiciones de dicho Reglamento cometidas
de manera culpable por el responsable del tratamiento, es decir, las cometidas
deliberadamente o por negligencia, pueden dar lugar a la imposición de una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
105/197
multa administrativa al responsable del tratamiento en virtud de dicho artículo.
El sistema general y la finalidad del RGPD corroboran esta lectura.
[…]
En consecuencia, procede declarar que el artículo 83 del RGPD no permite la
imposición de una multa administrativa por una infracción contemplada en los
apartados 4 a 6 de dicho artículo sin que se haya demostrado que dicha
infracción ha sido cometida deliberadamente o por negligencia por el
responsable del tratamiento y que, por lo tanto,
la existencia de una infracción culpable constituye un requisito para la
imposición de tal multa”. La traducción corresponde a esta parte.
A la luz de lo anteriormente expuesto, concluye TPHS que al no haberse acreditado la
concurrencia de una actuación culpable, intencionada o negligente por parte de TPHS
no procede la identificación en la conducta de esta parte de una infracción de la
normativa de protección de datos personales por el mero hecho de haber sido víctima
de un ciberataque y, consecuentemente, no procede la imposición ningún tipo de
sanción. Sólo es posible sancionar administrativamente con base en el RGPD cuando
haya quedado debidamente acreditada por parte de la autoridad administrativa
competente la concurrencia de una actuación culpable, intencionada (dolosa) o
negligente por parte de responsable de tratamiento, algo que no ha sucedido en el
presente procedimiento.
8. De las 211 reclamaciones relacionadas con la brecha de seguridad.
Es interés de TPHS poner el foco sobre los plazos y ausencia de coherencia en el
presente procedimiento sancionador. En este sentido, la AEPD inició las actuaciones
previas de investigación el 20 de abril de 2021, notificando el 19 de abril de 2022
resolución de caducidad de actuaciones al haberse superado el plazo de doce meses
de admisión a trámite de la reclamación. En la misma resolución la Agencia acuerda
abrir nuevas actuaciones de investigación, incorporando a estas nuevas actuaciones la
documentación relativa a las actuaciones previas que declara caducadas.
Resalta TPHS que la única información que incluye en los hechos listados en dicha
resolución, distinta a la manejada durante el año anterior, es el listado de doscientas
once reclamaciones supuestamente relacionadas con la brecha de seguridad de
PHONE HOUSE. Lo anterior lleva a esta parte a considerar que el hecho determinante
de la imposibilidad de la AEPD de acotar el plazo de actuaciones previas de
investigación a lo previsto en el art. 67.2 LOPDGDD son esas doscientas once
reclamaciones.
Indica TPHS que ha solicitado en reiteradas ocasiones que se aporte el detalle de las
citadas doscientas once reclamaciones (vid. páginas 636 a 639, y páginas 660 a 661
del Expediente Administrativo). No obstante, la Agencia no le aportó esta información,
ni en dicha fase ni en las restantes ocasiones en que ha solicitado el Expediente
Administrativo completo del procedimiento sancionador que nos ocupa, donde no
constan. Así las cosas, a fecha de hoy TPHS sigue sin conocer el contenido de las
reclamaciones que se utilizan como justificación para poder alargar artificiosamente la
duración efectiva de las actuaciones previas de investigación, dejando, como queda
más que evidente, sin efecto alguno la caducidad, y por tanto el contenido de lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
106/197
dispuesto en el artículo 122.4 del Real Decreto 1720/2007, que de forma expresa
manifestó la AEPD que entendía de plena aplicación al presente caso.
Asimismo, subraya TPHS que esta justificación para la extensión de la duración de las
actuaciones previas de investigación se omite en los escritos de Acuerdo de Inicio y de
Propuesta de Resolución de esta Agencia, donde no se mencionan las doscientas
once denuncias. Lo anterior pone de manifiesto la incoherencia entre la extensión de
la duración de las actuaciones previas de investigación y el procedimiento sancionador
finalmente incoado por la AEPD.
De manera adicional a este potencial uso fraudulento de las actuaciones previas en el
marco del presente procedimiento, subraya TPHS la imposibilidad de defensa de esta
parte frente a las doscientas once denuncias, cuyo contenido desconoce, y que han
sido tenidas en cuenta por esta Agencia en la investigación y posterior apertura de
procedimiento sancionador. A mi mandante se le ha negado su derecho a la defensa,
derecho básico del procedimiento administrativo sancionador derivado del art. 24.2 de
la Constitución Española.
9. Sobre la ausencia de proporcionalidad en la fijación de la cuantía de la sanción
propuesta.
TPHS se ratifica en las previas alegaciones al Acuerdo de Inicio, considerando que,
habiendo sido diligente en su actuación, no procede la imposición de sanción alguna.
No obstante, para el hipotético caso de que se considerase la existencia de un
supuesto incumplimiento de la normativa de protección de datos, la sanción que
pretende imponer la AEPD no resulta, en ningún caso, proporcional.
Señala TPHS que la Propuesta de Resolución, para refutar la ausencia de
proporcionalidad de la sanción impuesta alegada, indica que valora cada caso, de
manera individual, teniendo en cuenta las circunstancias del caso específico. No
obstante, lo anterior, la AEPD ni especifica ni detalla cuál es la valoración concreta del
supuesto de hecho, en consonancia con los supuestos preceptos infringidos, que
arrojan la presente cuantificación de la sanción.
Indica TPHS que la AEPD, en su Propuesta de Resolución omite la complejidad y
actividad ilícita asociada al ataque de ransomware sufrido por TPHS y pretende que
TPHS no solo limite y restrinja sus procedimientos de negocio, con el consiguiente
impacto estratégico, sino que le exige la capacidad de detección y eliminación de la
actividad ilícita del tercero.
Recuerda TPHS que ha de tenerse en cuenta que esta técnica delictiva era, en el
momento del ataque, totalmente innovadora, y que su utilización por parte de grupos
organizados no podía ser previsto como una amenaza con anterioridad, derivado de
su generación, por lo que la exigencia de la adopción de medidas infalibles ante este
tipo de fraude de forma previa no es coherente con la realidad.
Por ello, TPHS considera necesario esta parte reiterar que, si bien la Propuesta de
Resolución reseña de forma recurrente la valoración de las concretas circunstancias
del supuesto de hecho, lo cierto es que no consta mención expresa a los elementos
fácticos específicos en los que la AEPD identifica una falta de diligencia por TPHS,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
107/197
más allá, como ya se ha señalado, de la mención genérica a la posibilidad de
implementar medidas adicionales a las ya establecidas e implementadas en el
momento del suceso del ataque del ransomware.
Continúa indicando TPHS que, a pesar de las justificaciones expuestas por la AEPD,
aunque el RGPD pueda prever que las sanciones impuestas puedan ser disuasorias,
en ningún caso hace referencia a que sean confiscatorias. Al establecer los límites
máximos de las sanciones, la norma se refiere a un tope de 20 millones de euros o un
4% de la facturación del responsable del tratamiento.
Para TPHS resulta obvio que el límite cuantitativo de 20 millones está estipulado para
infracciones graves cometidas por entidades con una inmensa capacidad económica,
a las que una sanción de menor cuantía podría no resultarle impeditiva para incumplir
la norma. Sin embargo, este amplio margen cuantitativo que la norma debe recoger no
puede servir de pretexto para imponer sanciones desproporcionadas a entidades sin
esa capacidad, bajo el único pretexto de que están por debajo del límite máximo, tal y
como justifica la AEPD en la Propuesta.
Prueba de ello, para TPHS es que la segunda cifra de referencia que recoge la norma,
el 4% de la facturación, está estipulada para aquellas entidades en las que esta cifra
está por encima de 20 millones de euros. Y es significativo que, aún en ese caso, el
límite es un 4% de su facturación. Es decir, que si la norma considera que sería
excesivo que a una empresa que factura más de 500 millones de euros se le sancione
con más de un 4% del importe de su facturación, es, lógicamente, desproporcionado
que a una entidad como PHONE HOUSE que facturó (...) € en el año 2022 se le
sancione con una multa que alcanza el 4,58% y que asciende a 6.500.000.-€.
En este sentido, trae TPHS a colación la reciente resolución de la AEPD acaecida en
el procedimiento sancionador del expediente nº EXP202204846. En la misma, se
impone a la entidad ENDESA ENERGÍA, S.A.U. por un conjunto de infracciones de los
preceptos 5.1 f), 32, 33, 34 y 44 del RGPD, con una sanción que asciende a 6.100.000
euros (seis millones, cien mil euros).
Señala TPHS que, en dicho expediente, el supuesto de hecho se corresponde con una
brecha de seguridad que desencadena la publicación de datos personales
responsabilidad de la referida entidad, la cual se mantiene durante meses, sin ser esta
puesta en conocimiento de la autoridad, ni así tampoco a los interesados. Esta
casuística fáctica objetiva contrasta con las obligaciones de la normativa que sí han
sido cumplidas en el presente supuesto de hecho por PHONE HOUSE y que, sin
embargo, arrojan una cuantificación de la sanción asociada superior. Jurídicamente, el
expediente referenciado identifica un total de 5 infracciones, en oposición a las dos
infracciones imputadas en el presente.
Y ello, cuando no sólo hay factores objetivos fácticos que difieren en uno y otro
supuesto de hecho, sino que, a nivel subjetivo, resulta obvia la diferencia y volumen de
negocio entre una entidad como PHONE HOUSE y la referida, en términos
económicos y de facturación.
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
108/197
(…).
(…).
(…).
(…).
(…).
(…).
Por todo lo anterior, TPHS considera que la sanción propuesta no procede y, en el
hipotético caso de que procediese, no resultaría proporcional al supuesto de hecho, en
tanto la valoración efectuada por la AEPD se ciñe a la concurrencia del resultado de la
brecha de seguridad y a la actuación ilícita del tercero, no al despliegue de medidas –
previas y posteriores – ejecutadas por TPHS.
10. - Agravantes asociados por la AEPD a las infracciones.
En la presente alegación, TPHS pone de manifiesto la incorrecta aplicación de los
criterios moduladores de la sanción impuesta, sino también la actitud sancionadora y
no colaborativa de la AEPD. Lo anterior toda vez que la AEPD no se ha pronunciado
siquiera, en la mayor parte de las ocasiones, sobre las alegaciones formuladas por
esta parte, respecto a los agravantes asociados a las infracciones del artículo 5.1.f) del
RGPD y del artículo 32 del RGPD, lo que demuestra su falta de interés en proponer la
sanción que, en su caso, sería más apropiada al caso concreto, manifestando que la
sanción a imponer había sido decidida desde el Acuerdo de Inicio.
Señala TPHS que la AEPD ha considerado que ha cometido dos infracciones muy
graves por las que propone imponerle una sanción de 6.500.000-€ - 4 millones de
euros por el incumplimiento del artículo 5.1.f) del RGPD, y 2,5 millones de euros por el
incumplimiento del artículo 32 del RGPD. Por los motivos que a continuación se
exponen, TPHS considera que diferentes circunstancias y sucesos acaecidos durante
la tramitación del procedimiento sancionador han revelado una clara falta de intención
en imponer a la Compañía una sanción proporcionada que refleje una justa y directa
relación entre la cuantificación de la sanción y las circunstancias objetivas y subjetivas
concurrentes.
En este sentido, la Sentencia del Tribunal Supremo de 10 de julio de 1985, afirma lo
siguiente:
“La justa proporcionalidad que debe guardar la calificación de la sanción con
las circunstancias objetivas y subjetivas concurrentes en la falta que se
sanciona, constituye un principio reiteradamente declarado por la
jurisprudencia, cuya aplicación al Derecho administrativo sancionador no
supone en forma alguna la sustitución de facultades administrativas, sino
simplemente corrección del exceso legal que puede suponer ejercitar la
discrecionalidad más allá de lo que consisten los hechos determinantes del
acto administrativo.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
109/197
TPHS manifiesta su sorpresa al recibir la Propuesta de Resolución, en cuanto a que la
Agencia había mantenido la graduación y cuantificación de la sanción, en la medida en
que el principio de proporcionalidad de las sanciones exige que los factores objetivos o
subjetivos del hecho sancionable se reflejen en la valoración de esta. Por tanto, en
virtud de los principios de tipicidad y proporcionalidad, no cabría sancionar de forma
genérica cualquier infracción, si no que habría que ajustarse a los principios
vulnerados.
Adicionalmente, TPHS considera interesante llamar la atención sobre el hecho de que,
conforme esta Agencia, uno de los argumentos conforme a los que defiende la
inaplicabilidad del concurso medial a las infracciones imputadas a PHONE HOUSE es
que, en relación con el art. 32 del RGPD, “la conducta reprochable y que vulnera dicho
precepto es la falta o inadecuación de esas medidas, en sí mismas, es decir, se
infringe y se sanciona por ello con independencia de si se ha producido una brecha de
datos personales o no”. Sin embargo, la AEPD considera los mismos agravantes con
prácticamente idéntica argumentación para ambas infracciones. Especialmente
llamativo es que cinco de los seis agravantes considerados por esta Agencia en
relación con el artículo 32 del RGPD se justifican en la brecha de seguridad.
TPHS reitera lo ya trasladado en las alegaciones al Acuerdo de Inicio en relación con
cada agravante considerado por la AEPD, e incluye a continuación la contestación a lo
dicho por esta Agencia.
1) Naturaleza y gravedad de la infracción (Artículo 83.2 a) RGPD):
Entiende TPHS que tal factor agravante no resulta de aplicación en relación con el
potencial incumplimiento del art. 5.1.f) RGPD en tanto la vulneración de la
confidencialidad alegada por la AEPD constituye el propio elemento constitutivo de la
infracción y, además, ha quedado acreditado que PHONE HOUSE sí contaba con
medidas adecuadas para garantizar un nivel de seguridad adecuado al riesgo en el
momento de la infracción. Por ello, no puede considerarse que concurre tal agravante
resulte de aplicación al presente supuesto.
Señala TPHS que no es posible considerar como agravante en la cuantificación de la
sanción por el incumplimiento del art. 32 RGPD el hecho de que se produjera una
pérdida de confidencialidad a raíz de la brecha de seguridad. Lo anterior teniendo en
cuenta que la propia Agencia argumenta que el incumplimiento del art. 32 RGPD no se
debe a la brecha de seguridad, sino a la consideración de que las medidas
implementadas en relación con los tratamientos objeto de las PIAs no son suficientes.
Concluye TPHS que, partiendo de que ha quedado acreditado que dichos tratamientos
no estaban relacionados con la brecha de seguridad, de considerar la AEPD que se da
un incumplimiento del artículo 32 del RGPD, no es posible concluir que pueda
concurrir este agravante en el presente supuesto.
2) Nivel de los daños y perjuicios sufridos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
110/197
Recuerda TPHS que sostuvo en sus alegaciones al Acuerdo de Inicio y por la presente
confirma, que para poder evaluar el daño y perjuicio derivado de la brecha de
seguridad sufrida por PHONE HOUSE, es necesario, con relación a esta parte,
ponerlo en relación con su capacidad de actuación y nivel de diligencia exigible. Así,
será necesario considerar las medidas implementadas con relación a los daños
producidos.
Señala TPHS que la Agencia no realiza tal actuación al limitarse a examinar el
resultado y la concurrencia de la brecha de seguridad vinculándolo a la actuación
delictiva y posterior que realizan los hackers.
Asimismo, señala TPHS que, aunque la AEPD defiende que, en relación con el artículo
5.1.f) del RGPD, lo que se imputa a mi representada es la pérdida de confidencialidad
por el acceso por parte de un tercero no autorizado (el ciber atacante), lo cierto es que
el hecho delictivo realizado por dicho tercero, consistente en la publicación de los
datos en la Deep Web, se estima como agravante por esta Agencia. Como ya ha sido
extensamente señalado, TPHS no tiene control alguno sobre el posterior uso ilícito que
realizan los delincuentes, motivo por el cual los sucesos derivados no puede ser
imputados a esta parte. Se realiza por parte de la Agencia un acercamiento simplista,
omitiendo la complejidad de la secuencia de hechos y su desarrollo, en el ámbito de
actuación de actores y partes diferenciadas.
Por todo lo anterior, entiende TPHS que no cabría imputar los supuestos daños y
perjuicios en relación con la supuesta infracción del artículo 5.1.f) del RGPD, ni,
tampoco así, considerarlos como agravantes.
En cuanto a la supuesta infracción del artículo 32 del RGPD, señala TPHS que la
AEPD vuelve a traer a colación la brecha de seguridad para defender la consideración
de este agravante. Lo anterior no resulta coherente cuando la Agencia considera que:
“Por tanto, en el presente caso se ha infringido el citado artículo 32 con independencia
de si se ha sufrido finalmente una brecha de confidencialidad o no, porque la conducta
reprochable y que vulnera dicho precepto es la falta o inadecuación de esas medidas,
en sí mismas, es decir, se infringe y se sanciona por ello con independencia de si se
ha producido una brecha de datos personales o no.”
De conformidad con lo anterior, concluye TPHS que no resulta posible interpretar
como agravante en relación con este incumplimiento los potenciales daños y perjuicios
derivados de la brecha, ya que, como defiende la propia Agencia, el incumplimiento
imputado del artículo 32 RGPD no tiene relación directa con la misma.
3) Duración de la infracción:
Reseña TPHS que la AEPD manifiesta lo siguiente: “TPHS tiene identificados, al
menos desde 2018, fecha de las EIPD, riesgos altos derivados de los tratamientos de
datos que realiza (a gran escala, realizando perfilados, etc.) y las medidas adecuadas
para mitigar o minimizar los mismos. Sin embargo, tal y como se ha puesto de
manifiesto, dichas medidas no estaban implantadas en el momento de producirse el
incidente, por lo que no se estaban aplicando las medidas técnicas y organizativas
apropiadas para garantizar un nivel de seguridad adecuado al riesgo”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
111/197
Por ello, TPHS reitera sus argumentos y así, indica que consta como hecho probado
que los tratamientos sobre los que se han hecho EIPDs, así como los sistemas de
información identificados en dichas evaluaciones no están relacionados con la brecha
de seguridad sufrida por TPHS. Así, los sistemas utilizados en el marco de las
actividades de tratamiento cuyo riesgo requirió la realización de una EIPD no se vieron
afectados por la brecha de seguridad. En conclusión, esta Agencia no puede tomar en
consideración el contenido de las EIPDs aportadas por mi mandante para valorar el
potencial incumplimiento del art. 5.1.f) RGPD por esta parte en relación con el
ciberataque.
Señala TPHS que la AEPD es conocedora de los tratamientos relativos a profiling
porque solicitó expresamente el registro de actividades de tratamientos completo de
TPHS (no los tratamientos incluidos en el registro de actividades de tratamiento
relacionados con la brecha de seguridad), así como las EIPDs efectuadas. No
obstante, las EIPDs realizadas son relativas a los tratamientos de: (i) marketing digital,
tratamiento relativo al análisis de la información obtenida de las campañas de
marketing utilizando dispositivos de almacenamiento y recuperación de datos
(ejemplo: cookies); (ii) perfilado, tratamiento relativo a la elaboración de perfiles para el
envío de publicidad personalizada, llevada a cabo mediante la segmentación de la
base de datos propia de TPHS y; (iii) control de acceso a las instalaciones. Sin
embargo, como ya es conocedora esta autoridad de control a la que nos dirigimos, la
PIA relativa a este tratamiento no es necesaria realizarla en TPHS desde 2021, ya que
debido a cambios en las características y naturaleza del tratamiento, el mismo ya no
supone desde entonces un riesgo alto para los derechos y libertades de los
interesados, dado que en la actualidad, el acceso a las instalaciones por parte de
empleados se gestiona mediante tarjetas de acceso y no mediante huella dactilar.
Adicionalmente, es interés de TPHS traer a colación en este punto el “Anexo
aclaratorio al Informe de análisis del incidente de ransomware”, así como el “Informe
anual de Delegado de Protección de Datos de 2021” (vid. páginas 1542 a 1552 del
Expediente Administrativo), a fin de acreditar que TPHS contaba con medidas técnicas
y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
en el momento en el que sufrió el ciberataque.
Con base en lo anteriormente expuesto, interesa TPHS a la AEPD que, ahora sí, tenga
en cuenta que, de cara a considerar la duración de la infracción, es necesario
determinar el alcance y hechos concretos imputables a la misma. Por tanto, la Agencia
debe realizar ese ejercicio, y diferenciar entre la intromisión en los sistemas de
seguridad de PHONE HOUSE, y la posterior publicación ilícita de la información
obtenida por los hackers en la Deep Web, actuación no imputable a TPHS, como ya se
ha reiterado por esta parte a lo largo del presente escrito.
Reseña TPHS que la AEPD no categoriza como tal una duración, limitándose a
señalar la referida publicación, argumento que utiliza no sólo para justificar la
imposición de la infracción del artículo 5.1 f) del RGPD, sino la mayoría de los
agravantes que decide imputar a esta parte, sin establecer una asociación razonada.
Se opone TPHS a las manifestaciones realizadas por la Agencia, indicando que ha
acreditado el establecimiento de medidas tendentes a mitigar los riesgos derivados de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
112/197
los tratamientos de datos realizados. No obstante, lo anterior, apreciar un agravante de
la duración precisaría de la identificación concreta de las medidas cuya ausencia
prolongada y mantenida en el tiempo determinan, no sólo la comisión de la infracción,
sino un aumento de su gravedad. No habiendo realizado la Agencia tal ejercicio, no
resulta posible apreciar la concurrencia de un gravante por la duración de la infracción.
En relación con el potencial incumplimiento del artículo 32 del RGPD, señala TPHS, a
la hora de valorar la consideración de este agravante, que debe tenerse en cuenta lo
trasladado por ella a lo largo del presente escrito en relación con las EIPDs, así como
el citado Anexo aclaratorio al Informe de análisis de incidente de ransomware de (...),
en el cual se concluye que las medidas adoptadas por TPHS eran adecuadas,
pertinentes y proporcionadas.
4) Intencionalidad o negligencia en la infracción (Artículo 83.2 b):
Señala TPHS que nunca tuvo la intención de causar un perjuicio al interesado, ni
siquiera por medio de una omisión de diligencia. En relación con la apreciación de este
agravante en relación con una sanción derivada de un supuesto incumplimiento del
artículo 5.1.f) RGPD, procede traer a colación nuevamente el Anexo aclaratorio al
Informe de análisis de incidente de ransomware, mediante el cual queda acreditado
que la brecha no derivó de una actuación negligente por parte de TPHS,
considerándose que “a juicio de este experto técnico, no existe un nexo causal entre
los hallazgos expuestos en el epígrafe 2 del presente documento y la brecha de
seguridad que finalmente se produce”.
En relación con este agravante asociado por la AEPD a la supuesta infracción del
artículo 32 RGPD, TPHS se remite de nuevo a la explicación trasladada por esta parte
en el presente escrito en relación con las medidas de las EIPDs.
5) Vinculación de la actividad del infractor con la realización de tratamientos de datos
de carácter personal:
Señala TPHS que la Agencia indica que “el desarrollo de la actividad empresarial que
desempeña TPHS supone un tratamiento continuo y a gran escala de datos
personales, realizando además tratamientos que conllevan la creación o utilización de
perfiles personales y el uso de cookies. Por tanto, se trata de una empresa grande
habituada al tratamiento de datos personales” Sin embargo, TPHS entiende, como ya
ha previamente señalado, que no puede considerarse la actividad desempeñada por
PHONE HOUSE, de manera genérica, como elemento agravante.
Reseña TPHS que, si bien es cierto que su actividad hace necesario el tratamiento de
datos personales (al igual que la de cualquier otra empresa), lo cierto es que este
factor es ambiguo en su valoración para incluirlo como agravante, ya que dicha
vinculación no supone ni mucho menos una relación directa con la supuesta infracción,
como resulta en el presente supuesto. No obstante, lo anterior, la actividad de TPHS
no está vinculada al tratamiento supuestamente infractor de datos de carácter
personal, sino a la compraventa de dispositivos electrónicos y de telecomunicaciones.
Entiende TPHS que el artículo 83.2 k) del RGPD exige que dicho agravante sea
puesto en relación con el supuesto de hecho concreto. En este sentido, el tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
113/197
de datos no nace de una intención de la entidad, sino que tiene lugar la comisión de un
delito del que TPHS es parte perjudicada.
Refleja TPHS que, a sensu contrario del criterio aplicado en otros casos, la AEPD
sostiene en el presente procedimiento que el mero hecho de que TPHS trate datos en
el desarrollo de su actividad implica que el criterio que ahora nos ocupa sea
concurrente y deba ser tenido como una circunstancia agravante.
TPHS no comprende cómo es posible que el simple hecho de tratar datos de carácter
personal en el seno de una actividad empresarial, independientemente de si el
tratamiento infractor es ajeno a dicha actividad, puede ser tenido en cuenta como una
circunstancia agravante, en tanto en cuanto ello implicaría que esta circunstancia
concurrirá como agravante en absolutamente todos los procedimientos sancionadores
de la AEPD, ya que si hay una presunta infracción de la normativa de protección de
datos personales, obviamente hay un tratamiento de datos personales por parte del
presunto infractor. La interpretación sostenida por la Agencia, por lo tanto, conduciría a
un absurdo que no puede ser compatible con la intención del legislador.
TPHS trae a colación la Resolución 134/2018, de 30 de enero, de la AEPD, en la que
ésta estimó que existía una escasa vinculación de la actividad de la denunciada con la
realización de tratamientos de datos de carácter personal, cuando dicha entidad trata
datos como DNI, nombre y apellidos, número de teléfono y dirección de correo
electrónico y postal de sus clientes. En este caso, entiende esta parte que los datos
tratados por el Sistema tienen escasa, por no decir nula, relación con el objeto social
de TPHS.
Tanto es así que, ahondando en lo anterior, en la ya mencionada Resolución
1066/2018, de 31 de julio, la Agencia considera que no concurre la circunstancia
agravante, pese a que los datos tratados eran masivos, dado que hablamos de un
Sistema de videovigilancia que observa de forma sistemática y a gran escala una zona
de acceso a público (tratamiento que, hoy en día y ya en el momento en que se dictó
la resolución, exigiría llevar a cabo una evaluación de impacto de privacidad).
Entiende TPHS que la Agencia realiza manifestaciones genéricas, que no vincula con
la diligencia exigible a TPHS: así, habla de “tratamientos que conllevan la creación o
utilización de perfiles personales y el uso de cookies”, sin que dichos tratamientos
tengan relación con el presente procedimiento, tal y como ha quedado acreditado; o
“se trata de una empresa grande habituada al tratamiento de datos personales”, sin
cuantificar siquiera tales criterios. No resulta posible legitimar la concurrencia de un
agravante calificando a una persona jurídica como “grande” y con atención a su
habitualidad en el tratamiento de datos personales.
Señala TPHS que dicho agravante debe ser puesto en contexto con el despliegue de
medidas efectuado por esta parte que, dado que su actividad está relacionada con el
tratamiento de datos de carácter personal, deberá ser revisada, implementada, y
mejorada de forma continuada. Por lo tanto, el examen de su diligencia será
exhaustivo, pero la mera pertenencia a un sector económico no puede derivar, de
forma automática, en un agravante en la graduación de una sanción, pues no
posibilitaría defensa alguna para esta parte, generándole indefensión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
114/197
Por todo ello, no cabe interpretar este aspecto como agravante en relación con
ninguna de las infracciones imputadas a PHONE HOUSE.
11. Sobre la concurrencia de factores atenuantes no considerados.
TPHS trae nuevamente a colación la alegación realizada en sus alegaciones al
Acuerdo de Inicio, y reitera su entendimiento de que aplican los atenuantes
mencionados en dicha alegación. En consecuencia, en este punto se limita a dar
contestación a los nuevos argumentos de esta Agencia en relación con los atenuantes
en su Propuesta de Resolución.
Así, en relación con el atenuante de ausencia de beneficio como consecuencia de la
presunta infracción, considera la AEPD que no es aplicable al supuesto porque
“valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de
la multa”.
Sin embargo, entiende TPHS que el efecto disuasorio ya ha existido a raíz de la
brecha de seguridad, como se ha puesto de manifiesto en el presente escrito,
subrayando el impacto tanto reputacional como especialmente económico derivado de
la misma. Ello implica que deba tenerse en cuenta que la Compañía viene arrastrando
las consecuencias de un ciberataque por unos delincuentes durante más de dos años
y medio, y que cualquier multa impuesta por esta AEPD en vez de un efecto
disuasorio, sería incidir en el impacto que desde la brecha viene sufriendo TPHS.
Adicionalmente, TPHS considera que deberá tenerse en cuenta como atenuante la
forma en que la esta Agencia tuvo conocimiento de la supuesta infracción imputada,
habida cuenta de que TPHS fue quien diligentemente notificó la brecha de seguridad a
raíz del ciberataque.
Concluye TPHS que lo argumentado en las alegaciones al Acuerdo de Inicio, junto con
lo incluido en el presente escrito tiene como consecuencia la aplicación del art. 83
RGPD y establecer la sanción correspondiente a la escala inmediatamente inferior en
gravedad y en su grado mínimo ya que no existe ni culpabilidad ni antijuridicidad en la
actuación de PHONE HOUSE.
12. Conclusiones.
Como consecuencia de lo expuesto en las presentes alegaciones y las evidencias
aportadas al presente escrito y a la documentación e información que obra en el
Expediente Administrativo, TPHS concluye que:
1) Su actuación ha sido, en todo momento, con carácter previo y con posterioridad al
ciberataque, diligente y acorde a la normativa de protección de datos personales.
2) TPHS fue víctima de un delito ejecutado con medios de última generación,
extremadamente novedosos y agresivos, lo que provocó que no existiesen medidas
disponibles con capacidad para hacer frente a la misma. En este sentido, no es posible
afirmar que con medidas adicionales, más robustas o diferentes hubiera sido posible
evitar la brecha.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
115/197
3) TPHS ha actuado con el mayor nivel de diligencia debida, de conformidad con sus
procedimientos internos y dando escrupuloso cumplimiento a los artículos 32, 33 y 34
del RGPD.
4) Las medidas de seguridad existentes con carácter previo a la brecha eran
adecuadas, pertinentes y proporcionadas, según el estado de la técnica.
5) No existe relación entre los tratamientos de datos personales y sistemas analizados
en las EIPDs de TPHS y la brecha de seguridad.
6) No existe ningún nexo causal entre las supuestas deficiencias en la seguridad con
el éxito del ataque.
7) No existe por parte de TPHS un elemento subjetivo de culpabilidad por lo que sería
procedente decretar el archivo de este procedimiento sancionador. La actuación de la
Compañía en ningún caso ha sido intencionada, o dolosa, ni ha percibido ningún tipo
de beneficio.
8) TPHS muestra su total predisposición a colaborar lealmente con esta Agencia, tal y
como ha venido realizado en ocasiones anteriores, aportando cuanta documentación e
información fuese necesaria.
Por lo anterior, TPHS solicita a la agencia española de protección de datos que
acuerde el archivo del expediente referenciado dejando sin efecto el procedimiento
sancionador iniciado.
(…).
(…).
(…).
(…).
HECHOS PROBADOS
PRIMERO: Primera notificación de la brecha de datos personales
Con fecha 14 de abril de 2021, TPHS notifica a la AEPD una brecha de datos
personales indicando en el “Informe de incidente de seguridad” que adjunta que se
trata de:
“(…).
(…) Actualmente se está investigando el alcance de la incidencia y a fecha de
hoy no se tiene constancia de que se haya tenido acceso a datos de carácter
personal
(…) Se están realizando investigaciones, así como un análisis forense del
ataque y del modo de acción de los atacantes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
116/197
(…) Se han contratado los servicios de la empresa especializada en
ciberseguridad, (...), para analizar y gestionar la crisis originada por la
incidencia de seguridad”.
SEGUNDO: Segunda notificación de la brecha de datos personales
Con fecha 28 de abril de 2021 TPHS presenta una nueva notificación ampliando la
información sobre la brecha de datos personales notificada, a través de la aportación
de un “Informe de evaluación de brecha de seguridad”, fechado el 28 de abril de 2021,
según el cual:
- “Se ha podido evidenciar que los atacantes habían descargado durante el
ataque información que contenía datos personales.
(…) El ataque comprometió la confidencialidad (…) Dicho proceso se habría
producido mediante exportaciones no legítimas realizadas por el atacante de la
base de datos en producción de clientes, antiguos clientes, proveedores y
empleados de Phone House por parte de terceros no autorizados”
“(…).”
“(…).”
TERCERO: Cronología del ataque
Según “Informe de evaluación de brecha de seguridad”, fechado el 28 de abril de
2021, aportado por TPHS junto con la segunda notificación de brecha de datos
personales presentada el 28 de abril de 2021, la cronología del ataque es la siguiente:
-Fecha inicio del ataque: 31 de marzo de 2021 (estimado): “(…)”
-Fecha de detección: 11 de abril de 2021
-Fecha de resolución: 21 de abril de 2021
CUARTO:
En el “Informe de análisis de incidente ransomware” elaborado por la empresa (...),
contratada tras el incidente por TPHS para el análisis de lo ocurrido y fechado el 21 de
abril de 2021, y aportado por TPHS EL 1 de marzo de 2021 (…) se pone de manifiesto
lo siguiente:
“(…):
-(…).
-(…).
-(…).
-(…).
(…).
(…).
“(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
117/197
(…).
(…).”
“(…).
(…)”.
“(…)”
(…)
QUINTO: Número de personas afectadas:
En el “Informe de Evaluación de Brecha de Seguridad”, fechado el 28 de abril de 2021,
indica TPHS “Número aproximado de personas afectadas:13.000.000”.
SEXTO: Tipos de datos afectados:
Indica TPHS en su “Informe de evaluación de brecha de seguridad”, fechado el 28 de
abril de 2021,
“Con respecto a los datos afectados por la brecha de confidencialidad pueden
diferenciarse cuatro categorías de datos afectadas:
Empleados:
-Datos identificativos básicos: nombre, apellidos, DNI o documento
identificativo equivalente.
-Datos de detalles de empleo y datos de contacto profesional: Puesto, número
de empleado, ciudad, fecha de incorporación a la compañía y correo
electrónico empresarial.
Proveedores:
-Datos identificativos básicos: nombre y apellidos
-Datos de contacto profesional: correo electrónico empresarial.
Clientes y antiguos clientes:
-Datos identificativos básicos: nombre, apellidos, nombre de usuario, DNI o
documento identificativo equivalente.
-Datos de contacto: teléfono, dirección postal, correo electrónico.
-Fecha de nacimiento, género y nacionalidad.
-Número de cuenta bancaria de aquellos clientes que hayan contratado un
seguro.
-Información relativa a los productos adquiridos o servicios contratados.”
En “Informe de análisis de incidente ransomware” elaborado por la empresa (...),
fechado el 21 de abril de 2021, se añade también el siguiente dato personal:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
118/197
-Número de IMEI de teléfono
SÉPTIMO: Publicación de los datos personales en la Deep Web por los
ciberatacantes:
En el “Informe de evaluación de brecha de seguridad”, fechado el 28 de abril de 2021,
aportado por TPHS junto con la segunda notificación de brecha de datos personales
presentada el 28 de abril de 2021, TPHS manifiesta:
“(…)”
“(…)”
“(…)”.
En el “Informe de análisis de incidente ransomware” elaborado por la empresa (...),
contratada tras el incidente por TPHS para el análisis de lo ocurrido y fechado el 21 de
abril de 2021, y aportado por TPHS EL 1 de marzo de 2021 (…) se indica:
(…).
“(…)”.
OCTAVO:
Los datos personales publicados en la Deep Web por el/os ciberatacante/s de los
clientes de TPHS aparecen en texto claro.
NOVENO: En relación con la política de contraseñas:
En el “Informe de análisis de incidente ransomware” elaborado por la empresa (...),
contratada por TPHS con posterioridad a la brecha de datos personales y para el de
ésta y fechado el 21 de abril de 2021, se indica:
- (…)
- (…)
- (…)
- (…)
- (…)
- (…).
El inventario de sistemas aportado por TPHS el 28 de junio de 2021 (Número de
registro: O00007128e2100028705), en relación con las medidas de control de acceso
lógico a los sistemas de información, contiene la siguiente información relevante:
- (…).
- (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
119/197
- (…).
- (…).
- (…).
En el Informe “Evaluación del cumplimiento en materia de protección de datos –
Medidas de Seguridad –“, realizado por un tercero (Écija) y fechado el 11 de enero de
2021 (poco más de dos meses antes del incidente), aportado por TPHS el 17 de
agosto de 2022 (Número de registro: REGAGE22e00035656325) en el que se realiza
un análisis de las obligaciones en materia de seguridad y organizativas de TPHS
conforme a la normativa en materia de protección de datos personales, concretamente
de las medidas de seguridad técnicas, se pone de manifiesto lo siguiente:
- “(…)”
- “(…)”
DÉCIMO: Guía CCN-STIC-807
La Guía CCN-STIC-807, publicada en marzo de 2011 por el Centro Criptológico
Nacional (CCN), (…).
DÉCIMO PRIMERO: En relación con la protección de la seguridad perimetral de los
sistemas de información y de las medidas de monitorización para la detección de
conducta maliciosa dentro de la red.
En el “Informe de análisis de incidente de ransomware” realizado por la empresa (...),
fechado el 21 de abril de 2021 se indica lo siguiente:
- (…)
- (…)
- (…)
- (…)
DÉCIMO SEGUNDO: Medidas adoptadas por TPHS con posterioridad al incidente:
1. En el documento sobre “Procedimiento de gestión de usuarios y contraseñas”
(versión 4.0 vigente desde el 3 de mayo de 2021) aportado por TPHS el 11 de marzo
de 2022 (Número de registro: REGAGE22e00006497111) se incluyen las siguientes
medidas que no constaban en la anterior versión 3.0 que estaba vigente en el
momento de la brecha de datos personales (y aportada por TPHS con el mismo
número de registro cuya última actualización indica el 29/09/2020):
- “(…):
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
120/197
(…).”
(…):
- (…)
- (…)
- (…)
2. TPHS indica en su “Informe de evaluación de brecha de seguridad”, fechado el 28
de abril de 2021 y presentado junto a la segunda notificación de brecha presentada el
mismo día, las siguientes “Medidas mitigadoras adoptadas desde el incidente”:
- (…)
En el mismo informe indica como “Medidas en proceso de implantación”:
- (…).
- (…).
- (…).
- (…).
- (…).
DÉCIMO TERCERO:
En el marco de las actuaciones previas de investigación, mediante escrito de 8 de julio
de 2022, esta Agencia requirió a TPHS lo siguiente:
“En las EIPD relativas a las actividades de tratamiento “Marketing digital”,
“Comunicaciones comerciales” y “Control de Acceso a las Instalaciones” se
concluye un riesgo residual al tiempo que se determinan un conjunto de
medidas de seguridad al objeto de reducirlos riesgos detectados. A este
respecto se requieren:
i. Evidencias de la implantación/ejecución, antes del incidente, de las medidas
establecidas en dichas EIPDs para mitigar los riesgos tipificados como “altos” o
“muy altos” detectados.
ii. En particular, evidencias de la adopción antes del incidente, de las siguientes
medidas dirigidas a mitigar el riesgo “muy alto “derivado del tratamiento masivo
y a gran escala o de la observación sistemática y que se indican en la propias
EIPDs:
- (…)
- Implementar medidas de seudonimización y anonimización para el
tratamiento de datos personales.
- Implementar medidas de seudonimización y anonimización suficientes (k
anonimización) en el caso de tratamiento de datos especialmente masivos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
121/197
- Limitar el acceso a dicha información a las personas que tengan que acceder
necesariamente a dichos datos
- Informar de manera transparente de las finalidades del tratamiento.
Mediante escrito presentado por TPHS el 17 de agosto de 2022 (número de registro:
REGAGE22e00035653351), responde lo siguiente:
“En el informe aportado al presente escrito como Documento nº 2, que contiene
la evaluación de cumplimiento del RGPD y la LOPDGDD desde un punto de
vista jurídico organizativo, se analizó el cumplimiento del principio de
transparencia, el cual denotó un cumplimiento generalizado de las cuestiones
examinadas, sin perjuicio de la identificación de aspectos de mejora tal y como
se refleja en el citado Documento.
Sobre la limitación del acceso a la información, tal y como está indicado en el
documento nº 1 (apartado 5.1 y 6.4) PHONE HOUSE había (y continúa
haciéndolo) implementado un sistema efectivo de gestión de usuarios por roles
y permisos que hace que cada empleado sólo acceda a la información que es
necesaria para realizar sus labores profesionales.
Tal y como se aporta en el documento nº 1, PHONE HOUSE había implantado
en los sistemas que técnica y organizativamente era aplicable, medidas
relacionadas con la seudonimización, anonimización y en su caso bloqueo
(apartado 6.16 del documento)”
Los documentos nº 1 y nº 2 a los que se refiere TPHS son, respectivamente los
informes “Evaluación del cumplimiento en materia de protección de datos – Medidas
de Seguridad –“, realizado por un tercero (Écija), aportado por TPHS el 17 de agosto
de 2022 (Número de registro: REGAGE22e00035656325) y “Evaluación del
cumplimiento en materia de protección de datos - aspectos jurídico-organizativos –“
fechado el 11 de enero de 2021 y aportados por TPHS el 17 de agosto de 2022
(Número de registro: REGAGE22e00035663361).
DÉCIMO CUARTO: Evaluaciones de Impacto de Protección de Datos: Evaluación del
riesgo
En las EIPD realizadas por TPHS respecto de las actividades de tratamiento afectadas
por la brecha de datos personales (“Marketing”, “Comunicaciones comerciales”
“Control de acceso a las instalaciones”), fechadas en 2018 y aportadas por TPHS el 28
de junio de 2022 (número de registro: O00007128e2100028701), se realiza una
descripción de las siguientes “amenazas”, se valora el “riesgo” y se indican las
“medidas” para mitigar esos riesgos (a modo de ejemplo y sin carácter taxativo):
Respecto de la actividad de tratamiento “Comunicaciones comerciales”:
(…)
(…)
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
122/197
(…)
Respecto a la actividad de tratamiento “Marketing digital":
(…)
(…)
(…)
DÉCIMO SEXTO: Tratamientos de datos personales que incluyen la realización de
perfiles (profiling)
En el documento donde se recoge el Registro de Actividades de Tratamiento y análisis
de riesgos, aportado por TPHS el 28 de junio de 2022 (…), se indica:
Respecto de la actividad “Marketing Digital”:
-“Tratamientos a gran escala: SÍ
- Scoring/profiling: SÍ”
Respecto de la actividad de tratamiento “Comunicaciones comerciales”:
- “Tratamientos a gran escala: SÍ
- Scoring/profiling: SÍ”
En el Registro de Actividades de Tratamiento, aportado por TPHS en fecha 15 de
septiembre de 2023 (Número de registro: REGAGE23e00062166595), en respuesta al
requerimiento efectuado por esta Agencia en el trámite de práctica de prueba, se
indica
Respecto de la actividad de tratamiento “Elaboración de perfiles”:
“-Finalidades del tratamiento: Elaboración de perfiles a fin de realizar publicidad
personalizada.
-Categoría de datos: (i) Datos identificativos: Nombre y apellidos; (ii) Datos de
contacto: correo electrónico, dirección postal y teléfono; (iii) Datos sobre los servicios o
productos contratados: servicio o producto; (iv) Datos obtenidos a través de los
contenidos generados por los usuarios: comentarios, mensajes privados o chat u otros
elementos virtuales.
-Categoría de interesados: i) Clientes; (ii) Potenciales clientes; (iii) Usuarios web”
DÉCIMO SÉPTIMO: Cursos de formación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
123/197
1. En contestación a requerimiento de información por parte de esta Agencia, TPHS
presenta, el 17 de agosto de 2022, (Número de registro: REGAGE22e00035653351)
escrito en el que manifiesta:
“PHONE HOUSE cuenta con un plan de formación que tiene como principal objetivo
mantener los conocimientos de sus trabajadores debidamente actualizados
ayudándolos al desarrollo de nuevas competencias y la mejora de las ya existentes.
En materia de protección de datos se han impartido distintos cursos y formaciones que
abarcan tanto un enfoque general de la materia, como el desarrollo de cuestiones más
específicas que se han detectado en la Compañía como especialmente relevantes,
debido al impacto que tienen en sus empleados y clientes.
En este sentido, PHONE HOUSE impartió cursos centrados en la seguridad de la
información y la protección de datos, tanto con carácter previo a la plena aplicación del
RGPD, con en el momento de su adaptación a la, en aquel entonces nueva norma
europea, año 2018. Se acompaña como Documento nº 3 e listado de asistentes a las
formaciones y el detalle de éstas.
Se acompaña como documento nº 4, evaluación y conocimientos tipo test que deben
realizar después de recibir la formación en materia de protección de datos, los
trabajadores, en el momento de incorporarse a la Compañía.
Adicionalmente PHONE HOUSE cuenta con una Política de Seguridad de la
Información, la cual se acompaña como Documento nº 5.”
Adjunta al escrito anterior la siguiente documentación (Número de registro:
REGAGE22e00035656325):
- Documento 3. “Programa formativo PROG-294. Nombre del programa: Reglamento
Europeo de Protección de Datos”
Es un listado de participantes en dos cursos sobre el “Reglamento Europeo de
Protección de Datos” abiertos entre mayo de 2018 y diciembre de 2020. En el primero
de los cursos hay 388 inscritos. En el segundo hay inscritos 254.
- Documento 4. Recoge preguntas tipo test
- Documento 5. Política de Seguridad de la Información, versión 2, de marzo de 2022.
2. TPHS, en su escrito de alegaciones al Acuerdo de Inicio, presentado el 29 de marzo
de 2023, en fecha 15 de septiembre de 2023 (…), indica:
“1) En el año 2015, con carácter previo a la entrada en vigor del RGPD, los
trabajadores de PHONE HOUSE recibieron una formación presencial en sus oficinas
por parte de B.B.B., catedrático de Universidad y socio (…). Se acompaña como
documento nº4 el contenido de la formación y documentos utilizados por el Sr. B.B.B.
en el año 2015.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
124/197
2) Entre el año 2015 y el año 2016 los trabajadores de PHONSE HOUSE realizaron un
curso de formación en materia de protección de datos a través de la plataforma E-
learning. En la captura de pantalla que se acompaña a continuación queda
evidenciado que, en fecha 17 de noviembre de 2015, se remitió un correo electrónico
a los trabajadores indicándoles que debían realizar la formación en materia de
protección de datos.
6) En el año 2017, PHONE HOUSE lanzó en su plataforma online un nuevo curso
para todos sus trabajadores cuyo contenido se acompaña como documento
nº5.
2) En el año 2018, en el momento en que resultó plenamente aplicable el RGPD, el
despacho de abogados ECIJA realizó varias formaciones presenciales en las oficinas
de PHONE HOUSE. Se acompaña como documento nº6 el contenido del curso
impartido en 2018 por ECIJA.
3) Adicionalmente, a partir del 24 de mayo del año 2018, todos los trabajadores de
PHONE HOUSE debían realizar el curso online, sobre protección de datos y seguridad
de la información, disponible en la plataforma online Dominion University:
https://iseazy.com/dl/ff8e1eff94d54d4885fb82698c0a4fbc. Este curso también lo
realizaron todos los trabajadores contratados con posterioridad a 2018, en el momento
de incorporarse a la Compañía.
4) Entre el 7 de abril del año 2020 y el 30 de agosto de 2020 se activó un nuevo curso
de formación para aquellos trabajadores que iban a gestionar seguros de Liberty, en
los que PHONE HOUSE ostenta el rol de mediador. A continuación, se incluye captura
de pantalla a fin de evidenciar que el citado curso estaba disponible para los
trabajadores que gestionaban seguros en la Intranet de PHONE HOUSE:
5) En el año 2021, atendiendo al principio de accountability, que caracteriza las
actuaciones de PHONE HOUSE en todo momento, se actualizó el contenido del curso
que debían realizar todos los trabajadores por el siguiente:
https://iseazy.com/dl/584c0f913ee648308ebc58c0abdb237e
6) En el año 2022, se actualizó de nuevo el contenido del curso en materia de
protección de datos y seguridad de la información, incluyendo al final de la formación
un examen tipo test que tienen que realizar todos los trabajadores al finalizar el
mismo. A continuación, se incluye captura de pantalla conforme se evidencia que el
curso está disponible en la intranet de PHONE HOUSE.”
Junto al escrito de alegaciones al Acuerdo de Inicio, presentado en fecha 29 de marzo
de 2023, TPHS aporta los siguientes documentos relativos a los cursos indicados
anteriormente:
“Documento nº4: Contenido de la formación y documentos utilizados por B.B.B. en el
año 2015.
Documento nº5: Contenido de la formación ofrecida por PHONE HOUSE a sus
trabajadores en el año 2017.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
125/197
Documento nº6: Contenido de la formación impartida en el año 2018.
Documentos nº7, 8, 9 y 10: Algunos de los listados de las formaciones realizadas por
los trabajadores en materia de protección de datos.”
DÉCIMO OCTAVO: Según la información obtenida del servicio Axesor (ver Diligencia
Referencias), TPHS cuenta con 1.411 empleados en el ejercicio 2020.
DÉCIMO QUINTO: Evaluaciones de Impacto de Protección de Datos: Medidas.
En las EIPD realizadas por TPHS respecto de las actividades de tratamiento afectadas
por la brecha de datos personales (“Marketing”, “Comunicaciones comerciales”
“Control de acceso a las instalaciones”), fechadas en 2018, dos años antes de la
brecha de datos personales, y aportadas por TPHS el 28 de junio de 2022 (número de
registro: O00007128e2100028701) en las que se detectan riesgos “altos” o “muy altos”
y, en consecuencia, se determinan una serie de medidas a adoptar al objeto de mitigar
esos riesgos.
Entre ellas se señalan las siguientes:
- “(…).”
- “(…).”
- “(…).”
DECIMO SEXTO:
En el Informe “Evaluación del cumplimiento en materia de protección de datos –
Medidas de Seguridad –“, fechado el 11 de enero de 2021, se pone de manifiesto lo
siguiente:
-“(…).
-(…)”.
DÉCIMO SÉPTIMO: Registro de Actividades del tratamiento
El en Registro de Actividades de Tratamiento de TPHS, aportado por ella en fecha 15
de septiembre de 2023, en respuesta al requerimiento efectuado por esta Agencia en
el trámite de práctica de prueba, aparece la actividad de tratamiento “Elaboración de
perfiles”, respecto de la que se indica:
“-Finalidades del tratamiento: Elaboración de perfiles a fin de realizar publicidad
personalizada.
-Categoría de datos: (i) Datos identificativos: Nombre y apellidos; (ii) Datos de
contacto: correo electrónico, dirección postal y teléfono; (iii) Datos sobre los
servicios o productos contratados: servicio o producto; (iv) Datos obtenidos a
través de los contenidos generados por los usuarios: comentarios, mensajes
privados o chat u otros elementos virtuales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
126/197
-Categoría de interesados: i) Clientes; (ii) Potenciales clientes; (iii) Usuarios
web”.
FUNDAMENTOS DE DERECHO
I Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II Cuestiones previas
TPHS es una gran empresa dedicada a la comercialización de productos y servicios
de telefonía móvil al público general y para ello realiza un tratamiento de datos
personales a gran escala, pues se refieren a un número muy elevado de personas, al
menos 13 millones, pues trata datos de clientes, clientes antiguos, posibles o futuros
clientes, empleados, proveedores, etc, conllevando algunos de esos tratamientos,
además, la realización de perfilados o profilling, uso de cookies, big data, así como la
observación continua y sistemática de zonas de acceso público. Así mismo, es una
empresa que también trabaja para los operadores de telecomunicación, dando de alta
líneas de teléfono o realizando portabilidades por lo que tiene acceso a sus sistemas
al tener que realizar un tratamiento de datos personales que son almacenados
directamente en los sistemas de dichas entidades. Algo similar ocurre con los seguros
que realiza.
Por tanto, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la
realización de un tratamiento de datos personales, toda vez que TPHS realiza, entre
otros tratamientos, la recogida, conservación, consulta, utilización, interconexión,
supresión, etc., de los siguientes datos personales de personas físicas, tales como:
nombre, apellidos, DNI, dirección postal, número de teléfono, dirección de correo
electrónico, nacionalidad, sexo, fecha de nacimiento, IMEI de teléfono, datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
127/197
bancarios, datos de empleo (puesto, número de empleado, ciudad, fecha de
incorporación a la compañía y correo electrónico empresarial).
TPHS realiza estas actividades de tratamiento como responsable y también como
encargado de tratamiento de otras empresas. En el caso que nos ocupa, que ha sido
el origen de la investigación realizada la brecha de seguridad sufrida ha afectado a los
datos personales tratados por TPHS en su condición de responsable del tratamiento,
al determinar los fines y medios respecto de esos tratamientos, en virtud del artículo
4.7 del RGPD.
El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de
seguridad de los datos personales” (en adelante brecha de seguridad) como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración
accidental o ilícita de datos personales transmitidos, conservados o tratados de otra
forma, o la comunicación o acceso no autorizados a dichos datos.”
En el presente caso, y a raíz de la investigación realizada como consecuencia de la
notificación de la brecha de seguridad de datos personales en las circunstancias arriba
indicadas, se han detectado posibles vulneraciones en la normativa de protección de
datos. La brecha está categorizada como una brecha de confidencialidad, al
constatarse un acceso indebido a los datos personales tratados por TPHS al haberse
producido un ataque con ransomware que permitió el acceso ilegítimo a la base de
datos donde se almacenaban datos personales de personas físicas: clientes, antiguos
clientes, futuros clientes, proveedores y empleados de la entidad, extrayéndose dicha
información. Además, tras la negativa de TPHS de pagar la cantidad solicitada
(extorsión), aparecieron publicados en la Deep Web los datos personales de 13
millones de personas físicas afectadas.
III Alegaciones a la propuesta de resolución
En relación con las alegaciones aducidas a la propuesta de resolución del presente
procedimiento sancionador, se procede a dar respuesta a las mismas:
PRIMERO: Sobre la falta de motivación de la propuesta resolución.
Alega TPHS que a lo largo de la Propuesta de Resolución la AEPD ha repetido los
mismos argumentos esgrimidos en el Acuerdo de Inicio sin pronunciarse sobre las
distintas alegaciones que ha ido planteando y que, cuando lo ha hecho, llega a
distorsionar el contenido de los documentos aportados, así como lo argumentado por
TPHS.
En especial se refiere TPHS a lo indicado en la página 130 de la Propuesta de
Resolución en la que, en relación con la formación y concienciación, vuelve a esgrimir
las mismas afirmaciones que realizó en el Acuerdo de Inicio, entendiendo que con ello
la AEPD ignora las alegaciones realizadas y toda la documentación aportada relativa a
los cursos de formación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
128/197
Entiende por ello que no se ha respondido a sus alegaciones y que no se ha aportado
razonamiento alguno en relación con las cuestiones controvertidas, lo cual contraviene
lo dispuesto por la jurisprudencia del Tribunal Supremo y del Tribunal Constitucional en
cuanto a las reglas de motivación de las resoluciones administrativas.
Frente a ello, procede señalar que en el Fundamento de Derecho III de la Propuesta
de Resolución -y que se reproduce íntegramente en el Antecedente de Hecho Décimo
Segundo de la presente Resolución- al que procede remitirse, se dio respuesta a todas
y cada una de las alegaciones formuladas por TPHS al Acuerdo de Inicio. Allí, entre
otras cuestiones, se respondió analizando la documentación aportada por TPHS
relativa a la formación. Así, se indicó que “analizada la documentación cabe reseñar
que la mayoría refleja cursos genéricos y no acredita cuántos alumnos ni cuándo se
realizaron (documento 4); curso genérico sin que acredite quiénes lo realizaron y no
resulta obligatorio (pantallazo de un mail enviado el 17 de noviembre de 2019); curso
dirigido a TPHS, a sus obligaciones como responsable de tratamiento (documento 6);
cursos genéricos on line a realizar por los trabajadores nuevos contratados a partir de
2018, acompañado de un listado de unos 330 personas que lo han realizado, sin
fechar ni firmar”.
En cuanto a la referencia que realiza TPHS en relación con lo indicado en la página
130 de la Propuesta de Resolución, se significa que ello se corresponde al
Fundamento de Derecho VII en el que, una vez desestimadas las alegaciones, se
procede indicar los hechos y la infracción que suponen (artículo 32 RGPD) y
relacionarlo a continuación con el Fundamento de Derecho VIII en el que se tipifica la
infracción (artículo 83.4 RGPD). Por tanto, no desvirtuados los hechos al haberse
desestimado las alegaciones, se mantienen los mismos, la infracción que suponen y
su tipificación.
Asimismo, procede recordar lo que establece en relación con la motivación la
LPACAP:
“Artículo 35. Motivación.
1. Serán motivados, con sucinta referencia de hechos y fundamentos de
derecho:
h) Las propuestas de resolución en los procedimientos de carácter
sancionador, así como los actos que resuelvan procedimientos de carácter
sancionador o de responsabilidad patrimonial.”
Asimismo, la citada LPACAP indica:
Artículo 89. Propuesta de resolución en los procedimientos de carácter sancionador.
2. En el caso de procedimientos de carácter sancionador, una vez concluida la
instrucción del procedimiento, el órgano instructor formulará una propuesta de
resolución que deberá ser notificada a los interesados. La propuesta de
resolución deberá indicar la puesta de manifiesto del procedimiento y el plazo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
129/197
para formular alegaciones y presentar los documentos e informaciones que se
estimen pertinentes.
3. En la propuesta de resolución se fijarán de forma motivada los hechos que
se consideren probados y su exacta calificación jurídica, se determinará la
infracción que, en su caso, aquéllos constituyan, la persona o personas
responsables y la sanción que se proponga, la valoración de las pruebas
practicadas, en especial aquellas que constituyan los fundamentos básicos de
la decisión, así como las medidas provisionales que, en su caso, se hubieran
adoptado. Cuando la instrucción concluya la inexistencia de infracción o
responsabilidad y no se haga uso de la facultad prevista en el apartado
primero, la propuesta declarará esa circunstancia
Además, procede recordar la reciente Sentencia de 9 octubre de 2023 de la Audiencia
Nacional, Sala de lo Contencioso-administrativo, Sección1ª, Rec. 1710/2021, que
indica lo siguiente:
“En cuanto a la nulidad de la Resolución por motivación deficiente y
defectuosa, hay que señalar que la exigencia de motivación de los actos
administrativos viene impuesta con carácter general por el art. 35 de la Ley
39/2015, de 1 de octubre; la motivación responde a una triple necesidad ya
que, por una parte, expresa que la Administración, al realizar la interpretación
de la voluntad de la norma, ha actuado de una forma razonable; en segundo
lugar, los destinatarios del acto pueden conocer esas razones y,
eventualmente, someterlas a crítica y, por último, permite la fiscalización por
parte de los tribunales de lo contencioso en los recursos contra el acto o
disposición impugnados, con el alcance previsto en el art. 106.1. CE, y
satisfacer así adecuadamente el derecho a la tutela judicial proclamado en el
art. 24.1. CE.
Desde esta triple perspectiva, la motivación de un acto o disposición ha de ser
puesta en relación con la concreta pretensión deducida en el proceso y con los
motivos de impugnación aducidos por la parte, pues únicamente se podrá
anular el acto por esta causa cuando la falta de conocimiento por parte del
recurrente de las razones por las que la Administración ha actuado en la forma
en que lo ha hecho le han impedido articular los medios de defensa y plantear
su pretensión en consecuencia, de modo que sólo cuando el desconocimiento
de aquéllas razones han provocado materialmente indefensión, vetada por el
art. 24.2. CE, procedería anular el acto impugnado.
Como ha recordado el Tribunal Supremo en la sentencia de 20 de septiembre
de 2012: «[...]la exigencia de motivación de los actos administrativos constituye
una constante de nuestro ordenamiento jurídico y así lo proclama el artículo 54
de la LRJPA (antes, artículo 43 de la Ley de Procedimiento Administrativo de
17 de julio de 1958), teniendo por finalidad la de que el interesado conozca los
motivos que conducen a la resolución de la Administración, con el fin, en su
caso, de poder rebatirlos en la forma procedimental regulada al efecto.
Motivación que, a su vez, es consecuencia de los principios de seguridad
jurídica y de interdicción de la arbitrariedad enunciados por el apartado 3 del
artículo 9 de la Constitución Española (CE) y que también, desde otra
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
130/197
perspectiva, puede considerarse como una exigencia constitucional impuesta
no sólo por el artículo 24.2 CE, sino también por el artículo 103 (principio de
legalidad en la actuación administrativa)”. (el subrayado es nuestro)
Por tanto, la Propuesta de Resolución, al contener motivadamente (recordemos que la
Ley sólo exige de modo sucinto) todos y cada uno de los extremos que exige la
LPACAP, TPHS ha podido conocer los hechos que se consideran probados y su
exacta calificación jurídica, la infracción que, en su caso, aquéllos constituyan y la
sanción que se ha propuesto así como la valoración de las pruebas practicadas, ha
permitido con ello que TPHS haya podido formular las alegaciones y aportado los
documentos que ha estimado pertinentes para la defensa de sus derechos e intereses.
Por lo expuesto, no procede aceptar la alegación relativa a la falta de motivación de la
Propuesta de Resolución y, por tanto, que ello le haya podido causar indefensión.
SEGUNDA: Condición de víctima de TPHS.
Se reitera TPHS aquí remitiéndose a lo alegado en frente al Acuerdo de Inicio y
volviendo a recalcar su posición de víctima, como entidad damnificada por una brecha
a raíz de un ciberataque criminal instrumentado a través de un ransomware que, en el
momento del incidente, era absolutamente novedoso y extremadamente eficaz.
Frente a ello, procede remitirse a lo ya respondido sobre esta cuestión en la Propuesta
de Resolución y que se reproduce en el Antecedente de Hecho Noveno, apartado
Primero. Así, en la misma se indicó que en ningún caso se ha exigido una infalibilidad
total de las medidas que se pueden adoptar para garantizar una protección adecuada
en el tratamiento de los datos personales. Sin embargo, una vez producido el ataque,
debe evaluarse la diligencia del responsable del tratamiento en la aplicación de las
medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad
adecuado al riesgo, teniéndose en cuenta el estado de la técnica, los costes de
aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento.
En el presente caso, ya se señaló que TPHS no contaba, en el momento de producirse
la brecha de protección de datos, con las medidas adecuadas en relación con los
riesgos del tratamiento para la protección de los datos personales, pues tal y como se
indicó en el Acuerdo de Inicio del presente procedimiento sancionador, y que se
reseña nuevo en el Fundamento de Derecho VII de esta Resolución y al que procede
remitirse, existían deficiencias en relación con:
1.- la política de contraseñas y demás restricciones para el acceso a los
sistemas de información de TPHS.
2. la protección de la seguridad perimetral y de las medidas de monitorización
para la detección de conducta maliciosa;
3. la formación y concienciación de los empleados.
Asimismo, no tenía implantadas las medidas de seguridad que, respecto a los
tratamientos afectados por la brecha, había indicado en sus propias EIPDs que debían
implantarse, a la vista de los riesgos altos y muy altos arrojados (seudonimización,
cifrado, anonimización…). Por tanto, las medidas de seguridad no eran adecuadas a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
131/197
los riesgos, tal y como exige el artículo 32 del RGPD, y ello con independencia del
concreto ataque sufrido.
En cuanto a que debe tenerse en consideración los gastos que el ataque le ha
supuesto a TPHS para mitigar el impacto de la brecha, ya que entiende que los
mismos están relacionados con su deber de diligencia relativo al cumplimiento de
protección de datos, procede señalar que los gastos posteriores derivados del ataque
no pueden entenderse como reflejo de una diligencia de TPHS antes de producirse la
brecha, más al contrario, pues muchas de las medidas que ha implantado después
debían de haber estado implantadas con anterioridad para haber garantizado una
seguridad adecuada en función del riesgo.
Asimismo, se reitera de nuevo que la inversión realizada en seguridad antes y
después de la misma, es algo que debe realizarse por los responsables de tratamiento
dado que tienen que cumplir con el RGPD y la LOPDGDD, es decir deben cumplir con
la ley, en atención a su responsabilidad proactiva y al enfoque en los riesgos del
tratamiento en los derechos y libertades de los interesados y la gestión del mismo,
precisamente para salvaguardar los derechos y libertades de los afectados y realizar
así un tratamiento que respete las obligaciones impuestas por la normativa de
protección de datos. Son obligaciones legales que el responsable del tratamiento debe
cumplir. Asimismo, TPHS únicamente valora los costes que le ha supuesto a la
organización el ataque sufrido (económicos, reputacionales, etc) sin mención alguna a
los efectos negativos que la vulneración de la confidencialidad de los datos personales
de millones afectados supone para su derecho a la protección de datos y que tenía
que haber garantizado, con los riesgos que ello puede suponerles.
Por último, de conformidad con la Sentencia de 22 de junio de 2021- Rec. 1210/2018,
y la Sentencia de 5 de noviembre de 2011 -Rec. 1796/2019, en la que se valora el
elemento subjetivo o culpabilístico, se insiste en que la culpabilidad de la parte actora
no puede considerarse excluida ni atenuada por el hecho de que haya mediado la
actuación fraudulenta de un tercero, pues la responsabilidad de la parte actora no
deriva de la actuación de éste, sino de la suya propia.
Sobre lo que ahora alega TPHS en relación a que no es posible tomar en
consideración los tratamientos sobre los que se han hecho EIPDs a la hora de valorar
la diligencia en la adopción de medidas técnicas y organizativas que previnieran la
brecha de seguridad, ya que ni los tratamientos, ni los sistemas de información
analizados en estas evaluaciones, han tenido relación alguna con el ciberataque, por
lo que no existe ni conexión, ni causalidad, ni como indica, relación alguna entre un
aspecto y la brecha de seguridad por la que se da inicio a este procedimiento
sancionador, procede señalar varias cosas:
En primer lugar, con o sin brecha de datos personales, TPHS no tenía implantadas las
medidas de seguridad que ella misma había indicado en sus EIPDs dos años antes del
incidente (lo cual supone per se una vulneración del artículo 32 del RGPD). Ello ya de
por sí indica que no se habían aplicado las medidas apropiadas, para garantizar una
seguridad adecuada al riesgo, que en su caso incluya, entre otros: a) la
seudonimización y el cifrado de datos personales (art. 32 RGPD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
132/197
Por tanto, tal y como ya se ha señalado en el Hecho Probado Décimo Quinto,
analizado el riesgo en sus EIDPs, TPHS estableció una serie de medidas para mitigar
los riesgos altos o muy altos evaluados en las mismas, entre ellas, específicamente
indicó la aplicación de técnicas de anonimización/pseudonimización o cifrado. Sin
embargo, ha quedado probado que dos años después dichas medidas no se habían
implantado, lo que supone que TPHS no había aplicado medidas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo, lo que supone una infracción del
artículo 32.
En segundo lugar, y a mayor abundamiento de lo indicado anteriormente, respecto a
que los tratamientos sobre los que se han realizados las EIPDs no han tenido relación
alguna con el ciberataque, pues no fueron afectados por el mismo, se significa, por el
contrario, que fue la propia TPHS la que concretó los tratamientos afectados por la
brecha de datos personales -en respuesta a los requerimientos de información
efectuados durante las actuaciones previas de investigación-, indicando entre ellos, los
que fueron objeto de las EIPDs aportadas.
A este respecto se señala que durante las actuaciones previas de investigación se le
requirieron expresamente los Análisis de Riesgos y, en su caso, las EIPDs realizados
en relación con los tratamientos de datos personales afectados por la brecha de
seguridad.
Así, se efectuó requerimiento de información (firmado por el Inspector actuante en
fecha 4 de junio de 2021) en el que se le requirió expresamente que aportara “2.-
Análisis de riesgos y, en su caso, evaluaciones de impacto sobre la protección de
datos personales realizados en relación con los tratamientos de datos personales
afectados por la brecha de seguridad.”
En respuesta a dicho requerimiento, TPHS, mediante escrito presentado con fecha 28
de junio de 28/06/2021 (Número de registro: O00007128e2100028705), respondió lo
siguiente:
“(ii) Análisis de riesgos y, en su caso, evaluaciones de impacto sobre la
protección de datos personales realizado en relación con los tratamientos de
datos personales afectados por la brecha de seguridad:
PHONE HOUSE aporta como documento nº1 al presente escrito el
correspondiente fichero excel con el registro de actividades de tratamiento de
la Compañía, quedando debidamente identificados los tratamientos afectados
por la brecha de seguridad, así como las características de éstos, requeridas
por el artículo 30 del REGLAMENTO (UE) 2016/679 DEL PARLAMENTO
EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de
las personas físicas en lo que respecta al tratamiento de datos personales y a
la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE
(en adelante, “RGPD”.
Dicho registro de actividades de tratamiento incluye, además, el análisis de los
riesgos de cada uno de los tratamientos realizados por PHONE HOUSE en
base a los criterios establecidos por la AEPD, otras Autoridades de Control
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
133/197
Europeas y el Supervisor Europeo de Protección de Datos, en las columnas AD
a BH.
La metodología utilizada para la determinación de los riesgos de tratamientos
mencionada en el punto anterior se basa en la valoración de una serie de
factores cuya incidencia en un tratamiento afecta de forma directa en la
posibilidad de producción de la amenaza, así como en el impacto que podría
derivarse de la misma, y se describe en el procedimiento de evaluación del
riesgo inherente y del impacto en la privacidad que se adjunta al presente
escrito como documento nº2.
De la valoración de los riesgos de tratamientos de conformidad con la
metodología anteriormente indicada derivó la necesidad de realizar
determinadas evaluaciones de impacto sobre la protección de datos de
acuerdo con el artículo 35 RGPD de una serie de tratamientos afectados por la
brecha de seguridad y que se adjuntan como documento nº3. En concreto, se
han realizado evaluaciones de impacto de privacidad de los siguientes
tratamientos de datos:
• Control de acceso a las instalaciones
• Comunicaciones comerciales.
• Marketing digital.”
(El subrayado es nuestro)
No obstante lo anterior, se realizó un nuevo requerimiento, mediante escrito firmado
por el Inspector actuante el fecha 17 de febrero de 2022 en el que se le requiere
aclaración respecto de lo siguiente:
“3.1. Se solicita confirmación de que todos los tratamientos (documento 1 escrito
O00007128e2100028701) y sistemas de información (documento 4 escrito
O00007128e2100028705) han sido afectados por la brecha de seguridad.”
TPHS respondió al mismo mediante escrito presentado el 11 de marzo de 2022
(Número de registro: REGAGE22e00006497111), indicando:
“… no todos los tratamientos y sistemas del registro de actividades de
tratamiento aportado a la AEPD se vieron afectados por la brecha de
seguridad, sino únicamente aquellos que se desglosan a continuación:” (el
subrayado es nuestro)
Entre los tratamientos y sistemas afectados (17 actividades de tratamiento), indicó los
siguientes, que se refieren precisamente a los tratamientos que fueron objeto de las
EIPDs aportadas:
Tratamiento afectado Sistemas de información afectados
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
134/197
(…)
Por tanto, de forma expresa se le requirieron las EIPDs relativas a los tratamientos de
datos personales afectados por la brecha y TPHS aportó esas EIPDs indicando
expresamente que habían sido afectadas por la brecha, a lo que ahora simplemente
se desdice.
Alega, asimismo, TPHS, que el “Informe de análisis del incidente ransomware”
elaborado y firmado por la empresa (...), sobre el que entiende que esta Agencia ha
basado toda su argumentación como prueba de cargo, deviene ahora como una
prueba inexistente a la vista del “Anexo aclaratorio al informe de análisis de incidente
de ransomware” firmado por la misma entidad y mismo técnico informático el 20 de
abril de 2023 (en adelante Anexo (...)) y que adjunta TPHS a su escrito de
alegaciones.
Frente a ello, se significa que no sólo se ha tenido en cuenta el contenido del Informe
(...) sino también los informes de evaluación aportados por la empresa Écija (Informe
“Evaluación del cumplimiento en materia de protección de datos – Medidas de
Seguridad –“,fechado el 11 de enero de 2021; Informe “Evaluación del cumplimiento
en materia de protección de datos – Medidas de Seguridad –“, fechado el 11 de enero
de 2021; así como el inventario de sistemas aportado por TPHS el 28 de junio de 2021
(Número de registro: O00007128e2100028705). Por último, también se ha tenido en
cuenta las medidas que TPHS declaró haber implantado o en proceso de implantación
con posterioridad a la brecha.
En relación con el Anexo (...) se señala que la valoración del mismo se realizará más
pormenorizadamente en la respuesta a las alegaciones Tercera y Cuarta. No obstante,
señalar como adelanto que, a diferencia del Informe (...) (“Informe de análisis de
incidente ransomware” elaborado por la empresa (...), contratada por TPHS con
posterioridad a la brecha de datos personales y para el análisis de ésta y fechado el 21
de abril de 2021) en el que se contienen hechos objetivos (se va indicando en el
mismo lo que se va detectando a lo largo del análisis del incidente), el Anexo (...) no
aporta nuevos hechos, sino que procede a realizar valoraciones sobre los mismos, lo
que lo convierte en un informe de parte.
TERCERA: SOBRE EL SUPUESTO INCUMPLIMIENTO DEL ARTÍCULO 5.1.F)
RGPD.
En primer lugar, TPHS se reitera en lo ya aducido en el escrito de alegaciones al
Acuerdo de Inicio relativo a la vulneración del deber de confidencialidad.
A este respecto, procede remitirse a la respuesta realizada a dichas alegaciones en la
Propuesta de Resolución, concretamente en el Fundamento de Derecho III de la
misma, Punto Segundo, que asimismo aparece transcrita en el Antecedente de Hecho
Noveno de esta Resolución.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
135/197
En segundo lugar, TPHS reitera de nuevo la existencia de expedientes anteriores
relacionados con brechas de protección de datos derivadas de un ciberataque con
ransomware y que, según TPHS, todos fueron archivados, exigiendo que se le
responda la razón por la que ahora no se ha tenido en cuenta el criterio que ha
seguido en expedientes anteriores.
Frente a ello, ya se le indicó entonces que esta Agencia no tiene un criterio de archivo
en el supuesto de ciberataques, del tipo que sea, ni tampoco, por tanto, respecto de
aquellos afectados por un ransomware, sino que, en materia de protección de datos,
las medidas técnicas y organizativas de seguridad a adoptar por los responsables del
tratamiento y demás obligaciones a cumplir exigidas por el RGPD, deben ser las
adecuadas en relación con los concretos riesgos que suponen los específicos
tratamientos que realice cada responsable. Por tanto, al analizar la diligencia de unos
y otros en el cumplimiento de la normativa ha de estarse a las circunstancias de cada
caso, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines de cada
tratamiento, no existiendo, por tanto, casos idénticos. Así, un ataque realizado con el
mismo ransomware en el mismo momento y en distintas empresas tendría resultados
dispares, pues las circunstancias son diferentes. Incluso este mismo ataque contra la
misma empresa en momentos distintos podría determinar una situación diferente.
Por otro lado, en la mayoría de las Resoluciones se omite en su publicación en la web
de la Agencia todo lo relacionado con concretas medidas de seguridad que resultan
confidenciales en aras de proteger la seguridad de las entidades, por lo que no es
posible poner de manifiesto las circunstancias tenidas en cuenta relacionadas con
medidas concretas de seguridad de la información.
No obstante lo anterior, procede realizar un somero análisis de los expedientes
referenciados y que TPHS entiende que hay desigualdad de trato respecto de ella, a
los efectos de poner de manifiesto que todos ellos son distintos, teniendo en cuenta
que muchas de las medidas de seguridad no pueden indicarse por motivos de
confidencialidad:
E/03613/2021
-No hay pruebas concluyentes de que se produjera una vulneración de integridad y/o
confidencialidad. La única información que se encontró en línea después del ataque de
ransomware fue un anuncio en la «dark web» relativo a datos de los empleados del
Reino Unido (así como Japón e India). No se han encontrado información ni datos
personales, ni ha habido indicios hasta la fecha de que se hayan usado esos datos o
hayan sido objeto de otro tratamiento por terceros no autorizados.
-Contaba con copias de seguridad en la región XXX adecuadas y separadas, que
ayudaron a mitigar las consecuencias del ataque.”
E/01783/2020
-No hay evidencias de que a partir del ataque con ransomware se haya accedido por
terceros a datos personales e información contenida de los servidores.
-No se comunica a los pacientes afectados la brecha de seguridad por, según expone
la entidad, la confidencialidad de sus datos no se vio comprometida y se garantizó en
todo momento la continuidad asistencial.
E/08454/2019
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
136/197
-La incidencia ha afectado a los datos de 25 clientes.
-El tipo de ataque sufrido y el tiempo de acceso del usuario administrador fue mínimo.
-Respecto de las medidas de seguridad implantadas con anterioridad al incidente, se
considera que las medidas de seguridad implantadas eran suficientes ya que tienen
evidencias de ataques que no llegaron a materializarse.
E/11546/2019
-No afectó a la confidencialidad.
-La operativa afectada por la indisponibilidad de los sistemas que sufrieron el ataque
se encuentra restaurada, bien por la recuperación de la funcionalidad de los sistemas,
bien por la sustitución de dicha operativa con procesos analógicos, en tanto se
reestablece la funcionalidad de los escasos sistemas que se encuentran todavía
inoperativos.
-Potenciales clientes afectados: en torno a los dos millones.
-Existen numerosas medidas de seguridad implantadas señaladas en el Documento
de Seguridad
E/09159/2020
-El atacante obtiene las credenciales de una colaboradora externa que accede a su
puesto virtual en remoto. La hipótesis más probable es que su ordenador particular
fuese infectado con un malware que posteriormente capturó su contraseña cuando
accedió al entorno de la investigada.
- Importantes medidas implantadas con anterioridad la brecha.
E/07901/2021
-No se considera que haya habido exfiltración de datos personales.
E/08830/2019
-No evidencia de que los datos afectados de tipo personal por el ataque hayan sido
difundidos, publicados o utilizados por terceros ajenos.
-Los registros que figuran en sus bases de datos relativos a tráfico de datos de salida y
entrada durante los días previos al ataque, durante y después no reflejan unas
métricas que permitan deducir que se ha producido una extracción de datos por parte
de los atacantes, siendo el flujo normal.
E/01714/2021
-El ataque se origina por medio de un phising, el vector de ataque utilizado fue el
correo electrónico. La motivación de la confiabilidad del correo recibido por parte del
usuario que ejecutó el archivo que contenía el malware se deriva de que (i) el emisor
del correo es cliente de la compañía al que se le proporciona un servicio regular y (ii)
la inclusión de dicho emisor en la lista blanca de recepción de correos, en la que se
engloban interlocutores habituales y de confianza de la compañía.
-Con anterioridad a la brecha: Aportan “Informe sobre medidas de seguridad”, que
ofrece un análisis y resumen a alto nivel respecto de las medidas de seguridad
adoptadas con anterioridad a suceder el incidente. Aportan también Informe forense
realizado por empresa externa en relación con el mismo, en el que entre otros
aspectos se aborda el estado de situación en términos de medidas de seguridad con
anterioridad a la sucesión de la brecha sufrida. Aportan a su vez, relación documental
de 47 evidencias para sustentar el citado estado de situación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
137/197
-Aportan copia del Informe del Análisis de Riesgos que ha conllevado la implantación
de las citadas medidas de seguridad.
-Se enumeran extensamente las medidas para la fase de contención y erradicación
durante el incidente.
E/00162/2021
-Respecto de las causas que hicieron posible la brecha: El acceso se produjo a través
de un equipo (del Área de Administración) cuyo uso es esporádico y que en el periodo
que transcurrió entre que arrancó y recibió las actualizaciones del antivirus fue
afectado por el virus CONTI.
-Este equipo tenía acceso a la carpeta compartida que almacena los ficheros
procedentes de un escáner, que han sido los datos afectados por la brecha.
- La carpeta en la que se almacenan los datos afectados se borra periódicamente.
E/09205/2020
-La autoridad italiana acuerda el archivo del expediente
- No se dispone de evidencias de que se hayan utilizado los datos personales que
pudieran haber estado afectados por la brecha.
Respecto de los expedientes E/00712/2021; E/09683/2020; E/01738/2021;
E/03575/2021; E/02940/2021; E/06111/2021; E/08074/2021, las medidas de seguridad
se consideraron razonables (no se pueden reseñar pormenorizadamente por motivos
de confidencialidad). En varios de estos casos no consta que se produjera una
vulneración de la confidencialidad, limitándose el incidente al cifrado transitorio o bien
recuperaron el 100% de los datos debido a backups; existían medidas técnicas y
organizativas apropiadas; habían sido objeto con anterioridad reciente de auditorías
(muchas de ellas de certificaciones de conformidad con norma ISO 27001 sin obtener
ninguna no conformidad; el número de afectados es diferente, etc. En fin, que no hay
dos casos iguales incluso frente a un ataque similar por cuanto las empresas son
diferentes, se encuentran en el momento del ataque con medidas de seguridad
propias y diferentes cada una, los efectos para los interesados son diferente, etc.
De todo lo expuesto se concluye que no hay dos expedientes iguales, que, en ellos,
las actuaciones previas de investigación llevadas a cabo por la AEPD pusieron de
manifiesto que no existían evidencias de infracción para el caso concreto, que tenían
medidas adecuadas, que no se exfiltró información o que no se accedió por terceros,
que se afectó sólo la disponibilidad pero que se pudieron recuperar los datos gracias a
la existencia de copias de seguridad, etc…
Por tanto, no son susceptibles de comparación con las circunstancias del presente
caso, pues se trata de organizaciones muy diferentes bien por su tamaño (muchas de
ellas PYMES), por los tratamientos que realizan, la tipología de los mismos, los datos
personales involucrados, los riesgos existentes, los sistemas afectados, por el
momento tecnológico en el que opera en cada ciber incidente; de hecho, ni siquiera el
malware usado es el mismo ni ha utilizado los mismos métodos de ataque, número de
personas afectadas, medidas implementadas antes del incidente, etc.
Por último, no se puede comparar ninguno de ellos con el número de afectados por la
brecha de datos personales sufrida por TPHS, que afectó a 13 millones de personas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
138/197
Por lo expuesto, no existe en esta Agencia un criterio de archivo, ni de importes
concretos de las sanciones a imponer en su caso, ni de las infracciones concretas a
imputar en el caso de ciberataques, ya sean estos de tipo ransomware o de otro tipo,
pues incluso en los supuestos de ransomware, como se ha señalado, se atiende
especialmente al modus operandi del ataque y al resto de circunstancias concretas, en
particular y especialmente, las medidas previas de seguridad existentes.
En cuanto a lo manifestado por TPHS relativo a que de la forma en que entiende esta
Agencia que resulta aplicable la confidencialidad exigida en el artículo 5.1.f supondría
que cualquier violación de la seguridad o integridad sería constitutiva de una infracción
de dicho precepto y que ello significaría que en todos los casos de brechas de datos
personales notificadas en los que se afectase la confidencialidad deberían haberse
iniciado expedientes sancionadores, lo cual no ha sucedido, debe indicarse de nuevo
que no es correcta la interpretación que realiza TPHS, por cuanto en el presente caso,
si hubiera aplicado técnicas de anonimización/pseudonimización o de cifrado, a pesar
del ataque sufrido y a pesar de no contar con las medidas apropiadas para garantizar
una seguridad adecuada (infracción del artículo 32), no se hubiera vulnerado la
confidencialidad, pues el ciberdelincuente no hubiera podido acceder ni exfiltrar datos
en texto claro y, por ende, no se habían publicado en la Deep Web
Por otro lado, en relación a la alegación relativa a que TPHS ha acreditado que
contaba con medidas adecuadas en el momento del ciberataque y que, atendiendo a
las características del mismo, no hubiese sido posible evitarlo, ni aunque se hubiesen
implementado medidas aún más robustas, y que la única prueba de cargo utilizada por
esta Agencia es el Informe (...) para argumentar la falta de diligencia de TPHS, la cual
deviene inexistente debido al Anexo (...), aportado ahora, procede señalar que esta
alegación afecta y se refiere fundamentalmente al cumplimiento o no del artículo 32
RGPD, por lo que en aras de una exposición más clara, se procede a responder a la
misma en el apartado Cuarto de este Fundamento de Derecho, donde se condensan
las respuestas a las alegaciones relativas a la infracción del citado artículo 32.
CUARTA: SOBRE EL SUPUESTO INCUMPLIMIENTO DEL ART. 32 RGPD.
Reitera TPHS que ha acreditado y demostrado que contaba con medidas adecuadas
en el momento del ciberataque, las cuales no hubieran podido impedirlo dada la
naturaleza del mismo y que esta Agencia ha utilizado como única prueba de cargo el
Informe (...), el cual entiende que queda ahora sin efecto con la emisión del Anexo (...),
de fecha 20 de abril de 2023 (“Anexo aclaratorio al Informe de análisis del incidente de
ransomware”) y, por tanto, la Agencia se queda asimismo sin prueba de cargo.
En dicho Anexo, TPHS destaca las conclusiones a las que se llega en el mismo:
(i) Las medidas de protección por parte de phone house eran adecuadas,
pertinentes y proporcionadas, según el estado de la técnica, para poder
prevenir un ataque como el experimentado, contando antes de la brecha con
las principales medidas de seguridad debidamente implantadas de forma
diligente. Si bien se debe tener en cuenta que estas medidas técnicas no
siempre consiguen evitar los incidentes, dado que el factor humano es
determinante, así como la pericia técnica de los atacantes demostrada en el
caso de BABUK, es de un gran nivel.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
139/197
(ii) Tras la gestión del incidente el equipo no concluye, desde el punto de vista
técnico, que las medidas de seguridad no fueran adecuadas.
(iii) No es posible afirmar que con medidas adicionales o diferentes hubiera
sido posible evitar la brecha.
A este respecto, procede señalar varias cosas. En primer lugar, esta Agencia no se ha
basado únicamente en lo declarado en el Informe (...), sino que también ha tenido en
cuenta toda la documentación aportada y recabada durante las actuaciones previas de
investigación, en la cual se han puesto de manifiesto numerosas deficiencias o falta de
medidas que han reflejado una clara infracción del artículo 32 RGPD, habiendo sido
reflejado todo ello en el Fundamento de Derecho VI del Acuerdo de Inicio, y transcrito
en el Fundamento de Derecho VII de la Propuesta de Resolución, y que de nuevo se
transcribe en el Fundamento de Derecho VII de la presente Resolución, a los cuales
nos remitimos.
Por tanto, del análisis de la documentación aportada por TPHS en las distintas
notificaciones de la brecha de seguridad y de las respuestas a los requerimientos de
información respecto de las causas que hicieron posible la brecha y las medidas de
seguridad existentes antes de la misma, resultó lo siguiente:
1.- En relación con la política de contraseñas:
En el informe (...) en el que se analiza el incidente sufrido, se indica los siguientes
hechos objetivos:
-(…)
-(…)
-(…). (el subrayado es nuestro)
Por otra parte, en el inventario de sistemas aportado por TPHS, el 28 de junio de 2021
(Número de registro: O00007128e2100028705, en relación con las medidas de control
de acceso lógico a los sistemas de información, con indicación de las medidas de
seguridad implantadas, se señala que:
- “(…).” (el subrayado es nuestro)
Asimismo, en el Informe “Evaluación del cumplimiento en materia de protección de
datos – Medidas de Seguridad –“, realizado por un tercero (Écija), fechado poco más
de dos meses antes del incidente, en el que se realiza un análisis de las obligaciones
en materia de seguridad y organizativas de TPHS conforme a la normativa en materia
de protección de datos personales, concretamente de las medidas de seguridad
técnicas, se pone de manifiesto lo siguiente:
-(…)
-(…)
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
140/197
Asimismo, en cuanto a la política de contraseñas vigente tras el incidente aportada por
TPHS (versión de 3 de mayo de 2021), se incluyen las siguientes medidas que no
constaban en la anterior que estaba vigente en el momento del incidente.
Concretamente, incluye ahora medidas más restrictivas en relación con la utilización
de los usuarios con permisos de administración:
- “(…):
•(…).
•(…).”
Contiene también las siguientes modificaciones:
-(…)
-(…)
-(…)
Todo ello pone de manifiesto que, con independencia de la brecha de datos
personales detectada, la política de contraseñas y demás restricciones para el acceso
a los sistemas de información de TPHS en el momento del incidente no eran
adecuadas para garantizar una seguridad apropiada, suponiendo vulnerabilidades
aprovechables por cualquier atacante. No debe olvidarse, como se ha señalado, que
en el informe de (...) se apunta que (…). (el subrayado es nuestro).
2.-En relación con la protección de la seguridad perimetral de los sistemas de
información y de las medidas de monitorización para la detección de conducta
maliciosa dentro de la red, en el informe forense realizado por (...) se indica lo
siguiente:
(…). (el subrayado es nuestro)
Lo indicado pone de manifiesto que no había medidas adecuadas de detección y
restricción de entradas a la red interna de TPHS desde direcciones cuanto menos
sospechosas, así como tampoco para la salida de información desde las mismas.
Tampoco se detectaron los movimientos y actividad que realizó el atacante durante
días, exportando numerosa información de las bases de datos de TPHS, generando
además un aumento significativo de tráfico en la red.
Por otro lado, TPHS señala, como medidas que adoptó o que indica “en proceso de
implantación” tras el incidente y que, por tanto, no tenía implantadas en el momento
del ciberataque, las siguientes:
-(…).
-(…).
-(…).
-(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
141/197
-(…).
-(…)
(El subrayado es nuestro)
Como ya se ha señalado a lo largo del procedimiento sancionador, la mayoría de estas
nuevas medidas van dirigidas precisamente a establecer reglas apropiadas y más
adecuadas para controlar la entrada y la salida en su red, garantizando así una mayor
seguridad perimetral, así como para monitorizar y sondear la actividad dentro de su
red en aras de detectar posible conducta anómala o maliciosa (como las exportaciones
de datos).
Todo ello no hace más que poner de manifiesto y acreditar fehacientemente que, con
independencia de la brecha de datos personales detectada, no se contaba con
medidas adecuadas para, por un lado, prevenir y controlar tanto la entrada como la
salida (reglas adecuadas en los cortafuegos, por ejemplo, para evitar conexiones
desde lugares no seguros o al menos no necesarios), así como tampoco medidas
adecuadas para vigilar y monitorizar el tráfico en la red y cualquier otra actividad
anómala.
Asimismo, TPHS aportó las EIPDs que había realizado en 2018 y que indica revisadas
en 2020, respecto de actividades de tratamiento que habían sido afectadas por la
brecha de seguridad (“Marketing”, “Comunicaciones comerciales” “Control de acceso a
las instalaciones”), en las que se detectan riesgos “altos” o “muy altos” y, en
consecuencia, se determinan una serie de medidas a adoptar al objeto de mitigar esos
riesgos. Entre ellas (a modo no exhaustivo) se señalan las siguientes en las EIPD
realizadas:
-(…).
-(…).
-(…).
Sin embargo, TPHS no ha acreditado que en el momento del incidente hubiera
implantado las medidas que señaló en sus propias EIPD incluso a pesar de que se le
requirió dicha acreditación por de esta Agencia.
Precisamente, y a mayor abundamiento, en el Informe “Evaluación del cumplimiento
en materia de protección de datos – Medidas de Seguridad –“, fechado poco más de
dos meses antes del incidente, se pone de manifiesto lo siguiente:
-(…).
-(…).
Por todo lo expuesto, no es cierto que TPHS tuviera, en el momento del incidente,
implantadas medidas apropiadas para garantizar una seguridad adecuada al riesgo de
sus tratamientos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
142/197
En cuanto al Anexo (...) aportado ahora por TPHS, procede señalar que, a diferencia
del Informe (...), en el que se analiza el incidente de seguridad sufrido y en el que se
van recogiendo las circunstancias y hechos que se van detectando en dicho análisis,
es decir, hechos objetivos, en el Anexo (...) aportado ahora no se recogen hechos, sino
se valoraciones sobre dichos hechos o circunstancias. Por tanto, no negando el valor
que pueda tener por ser un informe de un técnico especialista, resulta ser un informe
en el que se recogen valoraciones, por lo que su valor como prueba es la que
corresponde a un informe de parte.
Por tanto, no procede aceptar que este nuevo informe, el Anexo (...), rebate las
conclusiones de la Agencia y confirma que las medidas adoptadas por TPHS eran
adecuadas y que la naturaleza del ciberataque lo hacía inevitable según el estado de
la técnica existente en el momento del ataque. Y ello, en primer lugar, porque no sólo
se han tenido en cuenta, para probar por esta Agencia que las medidas eran
inadecuadas, el Informe (...), sino tal y como se ha señalado, se han tenido en cuenta
otros documentos en los que se reflejan deficiencias en las medidas de seguridad o
bien la inexistencia de determinadas medidas. Y, en segundo lugar, porque estas
medidas eran inadecuadas con independencia de la brecha de datos personales
sufrida, la cual, si bien no se puede afirmar que si hubiesen estado implantadas todas
esas medidas se hubiese podido evitar porque hubieran sido infalibles (lo cual ni se
exige ni se puede afirmar de forma contundente por nadie), no puede obviarse que las
deficiencias detectadas y la ausencia de determinadas medidas han podido favorecer
el ataque o al menos no han permitido detectarlo con anterioridad y haber podido
mitigarse el impacto del mismo.
Por otro lado, alega TPHS que había implementado, con carácter previo a la brecha de
seguridad, todas las recomendaciones derivadas del “Informe de Evaluación Técnico”,
así como del “Informe de Evaluación Jurídico-Organizativo” emitidos por una entidad
externa, y que ello ha quedado acreditado de las distintas pruebas aportadas por esta
parte, así como del contenido del “Informe anual de Delegado de Protección de Datos
de 2021”, aportado por TPHS en el trámite de práctica de pruebas con fecha 15 de
septiembre de 2023 (Número de registro: REGAGE23e00062166595), en el que se
indica:
(…)
A este respecto, procede señalar que las medidas que se indican implementadas no
guardan relación con las indicadas en el “Informe de Evaluación Técnico”, así como
del “Informe de Evaluación Jurídico-Organizativo” y tenidas en cuenta en el presente
procedimiento como deficiencias, la cuales se refieren a lo siguiente:
-Informe “Evaluación del cumplimiento en materia de protección de datos –
Medidas de Seguridad –“, realizado por un tercero (Écija), se pone de
manifiesto lo siguiente:
-(…)
-(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
143/197
Informe “Evaluación del cumplimiento en materia de protección de datos –
Medidas de Seguridad –“, fechado poco más de dos meses antes del incidente,
se pone de manifiesto lo siguiente:
-(…)
-(…)
A mayor abundamiento, en el citado “Informe anual de Delegado de Protección de
Datos de 2021” no se aporta evidencia ni prueba alguna de lo manifestado, además de
que tiene fecha de emisión 24 de enero de 2022, muy posterior al incidente, no
teniendo por tanto el valor pretendido por TPHS como prueba para acreditar
fehacientemente que en el primer trimestre del año estaban implementadas esas
medidas, las cuales, además, no guardan relación con las señaladas.
(I) SOBRE LAS EIPDs
En este apartado, señala TPHS varias cosas. En primer lugar, que la AEPD insiste en
traer a colación los tratamientos de alto riesgo llevados a cabo por TPHS, poniendo el
foco en ellos y en las medidas de seguridad implementadas.
Indica TPHS que, tal como consta en el expediente, y la propia Agencia refleja en su
escrito, los tratamientos identificados como de alto riesgo son los siguientes:
(i) marketing digital (esencialmente cookies);
(ii) perfilado de clientes (segmentación de la base de datos);
(iii) control de acceso a las instalaciones.
Señala TPHS que de la información obrante en el expediente no puede colegirse que
los datos y/o los sistemas empleados para dichos tratamientos hayan sido objeto de
exfiltración o se hayan visto afectados en modo alguno por la brecha. Por lo tanto, el
intento de relacionar la brecha con la pretendida inadecuación de las medidas de
seguridad relacionadas con estos tratamientos de alto riesgo ha de considerarse,
cuanto menos, improcedente.
Frente a ello, se señala que no es cierto que esta Agencia haya hecho lo que indica
TPHS, es decir, que no ha relacionado estos tratamientos con la brecha, si no que a la
hora de evaluar el riesgo que suponen sus tratamientos de datos, debía tener
especialmente en cuenta que realiza perfilados, recogida de cookies, control de
acceso a sus instalaciones, tratamientos masivos, etc. Y ello por imperativo legal. Así,
el RGPD en su Considerando 75: “Los riesgos para los derechos y libertades de las
personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento
de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales,
en particular en los casos en los que el tratamiento pueda dar lugar a problemas de
discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la
reputación, pérdida de confidencialidad de datos sujetos al secreto profesional,
reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o
social significativo; en los casos en los que se prive a los interesados de sus derechos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
144/197
y libertades o se les impida ejercer el control sobre sus datos personales; en los casos
en los que los datos personales tratados revelen el origen étnico o racial, las opiniones
políticas, la religión o creencias filosóficas, la militancia en sindicatos y el tratamiento
de datos genéticos, datos relativos a la salud o datos sobre la vida sexual, o las
condenas e infracciones penales o medidas de seguridad conexas; en los casos en los
que se evalúen aspectos personales, en particular el análisis o la predicción de
aspectos referidos al rendimiento en el trabajo, situación económica, salud,
preferencias o intereses personales, fiabilidad o comportamiento, situación o
movimientos, con el fin de crear o utilizar perfiles personales; en los casos en los que
se traten datos personales de personas vulnerables, en particular niños; o en los casos
en los que el tratamiento implique una gran cantidad de datos personales y afecte a un
gran número de interesados”. (el subrayado es nuestro).
Asimismo, el artículo 32 RGPD establece que los responsables aplicarán medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo
Por ello se indicó que TPHS es una gran empresa dedicada a la comercialización de
productos y servicios de telefonía móvil y que para ello realiza un tratamiento de datos
personales a gran escala, pues se refieren a un número muy elevado de personas
(clientes, futuros y/o posibles clientes, empleados, proveedores, etc), conllevando
algunos de esos tratamientos, además, la realización de perfilados o profilling, uso de
cookies, así como la observación continua y sistemática de zonas de acceso público,
lo cual supone un aumento de los riesgos para los derechos y libertades de las
personas físicas y cuya consecuencia es la obligación de TPHS de adoptar medidas
técnicas y organizativas adecuadas a ese riesgo alto de sus tratamientos.
En segundo lugar, señala TPHS que los tratamientos de “marketing digital” y al “control
de acceso a las instalaciones”, nada tienen que ver con los datos afectados por la
brecha sufrida. Insiste de nuevo que los tratamientos relativos a las EIPDs aportadas
no han sido afectados por la brecha de seguridad, por lo que no puede existir
causalidad alguna entre dichos tratamientos y la brecha de seguridad, que entiende
que es el único y exclusivo motivo por el que se le ha iniciado procedimiento
sancionador.
Asimismo, indica TPHS que la Agencia dispone del registro de actividades y de las
PIAs porque se las requirió sin matizar que deseaba recibir el registro de actividades
de los tratamientos afectados por la brecha de seguridad o las EIPDs de los
tratamientos implicados en el ciberataque, por lo que, en aras de la máxima
transparencia, se facilitó toda la información contenida en el registro de tratamientos.
A este respecto, procede reiterarse a todo lo argumentado en relación con este tema
en el apartado Segundo de este Fundamento de Derecho, al que nos remitimos, tanto
en relación con el hecho de que con independencia de la brecha de datos personales
sufrida, TPHS no tenía implantadas las medidas de seguridad que ella misma había
indicado en sus EIPDs dos años antes del incidente, lo que de por sí indica que no se
habían aplicado las medidas apropiadas para garantizar una seguridad adecuada al
riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos
personales, lo que supone un incumplimiento del art. 32 RGPD, como en el hecho de
que sí se requirieron específicamente los análisis de riesgos y, en su caso, las EIPDs
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
145/197
respecto de los tratamientos afectados por la brecha y fue TPHS la que indicó, en
respuesta a los requerimientos de información efectuados durante las actuaciones
previas de investigación, que entre los tratamientos afectados por la brecha de datos
personales, se incluyen el “marketing digital” y el “control de acceso a las
instalaciones”. Por tanto, esas actividades de tratamiento sobre las que se realizaron
las EIPDs aportadas por TPHS sí estaban afectadas por la brecha, tal y como indicó
en las respuestas a los requerimientos realizados, en lo cual ahora simplemente se
desdice.
No obstante, la amenaza “tratamiento masivo” identificada por la propia TPSH como
de alto riesgo y para la que determinó medidas de anonimización/pseudonimización o
cifrado, se da igualmente en una base de datos donde, al menos, ha quedado
acreditado que se almacenaban los datos personales de 13 millones de personas, los
cuales no se encontraban anonimizados, ni cifrados ni con ninguna otra media
análoga, como lo demuestra el hecho objetivo de que fueron exfiltrados y publicados
en claro en la Deep Web.
Y reflejo de ello es el citado Informe “Evaluación del cumplimiento en materia de
protección de datos – Medidas de Seguridad –“, fechado poco más de dos meses
antes del incidente, en el que se pone de manifiesto, como situación no conforme,
precisamente lo siguiente:
-(…).
-(…).
En tercer lugar, TPHS procede a realizar una serie de alegaciones relativas a no estar
de acuerdo con la afirmación de esta Agencia sobre el erróneo enfoque de las EIPDs,
cuando le ha indicado que en la mismas se ha centrado más en los riesgos para la
organización que para los derechos y libertades de las personas, ya que en la mayoría
de los casos las “amenazas” descritas son más bien incumplimientos de obligaciones
legales por parte del responsable del tratamiento. Asimismo, indica TPHS que no se
ha justificado esta interpretación más allá de una abstracción teórica y conceptual,
siendo tal crítica al enfoque de las EIPDs totalmente subjetiva e interpretativa.
A este respecto, y con carácter previo y fundamental, se significa que en el presente
procedimiento sancionador no se ha imputado a TPHS una infracción del artículo 35
RGPD por no cumplir las EIPD los requisitos exigidos por el RGPD, si no únicamente
se le ha puesto de manifiesto que el enfoque no es correcto. Por tanto, no es una
cuestión esencial en este procedimiento sancionador ni desvirtúa ello los hechos
probados en los que se basan las infracciones imputadas.
Asimismo, en cuanto que no se ha justificado esta interpretación, procede remitirse a
lo argumentado en la Propuesta de Resolución en relación con esta misma alegación,
que aparece transcrito en el Antecedente de Hecho Noveno, alegación Sexta, donde
se ha explicado claramente las razones por las que se le ha indicado que el enfoque
no es correcto en la mayoría de los riesgos indicados en las EIPDs aportadas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
146/197
No obstante, y a mayor abundamiento, y en aras únicamente de esclarecer algunos
puntos, pero sin que ello, como se ha indicado, suponga una cuestión esencial en este
procedimiento sancionador, se procede a responder algunas cuestiones planteadas.
Así, expresa TPHS que de forma indirecta al cumplir con la normativa de protección de
datos ello redunda en una protección de los derechos y libertades de los titulares de
los datos.
A este respecto, se indica que ello no se niega en el sentido de que todo el RGPD va
dirigido a hacer efectivo el derecho fundamental a la protección de datos y así lo indica
su artículo 1 cuando determina que:
“1. El presente Reglamento establece las normas relativas a la protección de
las personas físicas en lo que respecta al tratamiento de los datos personales y
las normas relativas a la libre circulación de tales datos.
2. El presente Reglamento protege los derechos y libertades fundamentales de
las personas físicas y, en particular, su derecho a la protección de los datos
personales.”
Sin embargo, el objetivo específico de una EIPD es fundamentalmente analizar los
riesgos que los tratamientos pueden suponer para los derechos y libertades de las
personas físicas. Así, el apartado 7 del artículo 35 del RGPD indica lo siguiente:
7. La evaluación deberá incluir como mínimo:
a) una descripción sistemática de las operaciones de tratamiento previstas y de
los fines del tratamiento, inclusive, cuando proceda, el interés legítimo
perseguido por el responsable del tratamiento;
b) una evaluación de la necesidad y la proporcionalidad de las operaciones de
tratamiento con respecto a su finalidad;
c) una evaluación de los riesgos para los derechos y libertades de los
interesados a que se refiere el apartado 1, y
d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas
de seguridad y mecanismos que garanticen la protección de datos personales,
y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta
los derechos e intereses legítimos de los interesados y de otras personas
afectadas.
Por tanto, el cumplimiento normativo a que está obligado un responsable de
tratamiento no es el objeto de una EIPD, en la cual su objetivo fundamental es evaluar
el nivel de riesgo de sus tratamientos para, se insiste, los derechos y libertades de las
personas físicas.
Añade TPHS que no hay ningún sustento, ni normativo, ni metodológico, ni de
estándares de seguridad, ni de buenas prácticas, que sustenten la afirmación
realizada por la AEPD sobre que: “existe la obligación de implementar todas las
medidas apropiadas que resulten de la EIPD a los efectos de mitigar el riesgo, pues lo
contrario, implantar las que el responsable considere no obstante las especificadas en
la EIPD, determinaría que no se mitigaría el riesgo, pues sólo con la aplicación de
todas las medidas puede lograrse la consecución de tal objetivo”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
147/197
Por contra, indica TPHS que todo análisis de riesgos responde a una metodología en
que éstos se calculan atendiendo a la probabilidad y el impacto. Y en todas ellas, al
establecerse medidas para que uno u otro varíen, se estaría mitigando el riesgo.
No puede aceptarse lo alegado por TPHS por cuanto, tal y como se ha reiterado en
varias ocasiones en el presente procedimiento, el propio artículo 32 establece
expresamente que “el responsable y el encargado del tratamiento aplicarán medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo, que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.” (el subrayado es nuestro)
Por tanto, expresamente el artículo 32 establece que deben aplicarse (no sólo
preverse) las medidas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo.
Por su parte, el artículo Art. 35.7 del RGPD indica que “La evaluación deberá incluir
como mínimo:
a) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas
de seguridad y mecanismos que garanticen la protección de datos personales,
y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta
los derechos e intereses legítimos de los interesados y de otras personas
afectadas”. (el subrayado es nuestro)
Por tanto, si se aceptara, como pretende TPHS, que no es obligatorio aplicar las
medidas que el propio responsable del tratamiento establece para mitigar los riesgos
que sus tratamientos suponen para los derechos y libertades de las personas, tanto
las EIPDs, como los análisis de riesgos, como toda la gestión del riesgo a que están
obligados quedarían en papel mojado y sin efecto alguno, lo cual no sólo supone una
falta de acreditación de la responsabilidad proactiva de responsables y encargados,
sino claramente una vulneración de la normativa.
Y se recalca que, para mitigar los riesgos, no basta con evaluar los mismos y
establecer en un documento las medidas que los mitigan (ello por sí solo no mitiga
nada), tal y como señala TPHS, sino que hay que aplicar esas medidas y, además,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
148/197
establecer un proceso de revisión continua para verificar dicha implementación, así
como la eficacia de las mismas (art. 32.2 RGPD).
Por otro lado, indica TPHS no estar de acuerdo con lo que se ha reseñado en la
Propuesta de Resolución en relación con que en materia de protección de datos no
cabe un análisis de riesgos enfocado únicamente en riesgos para la seguridad de la
información y tampoco únicamente en medidas de seguridad estandarizadas, ya que
la propia AEPD en su web, referido a la seguridad de los tratamientos (seguridad de
los tratamientos/AEPD) se indica expresamente que:
“Con el objetivo de seleccionar las medidas para gestionar el riesgo para los
derechos y libertades, pueden utilizarse estándares de seguridad ya existentes
en el mercado como la norma ISO 27000. Por su parte, las Administraciones
Públicas deberán utilizar el Esquema Nacional de Seguridad para seleccionar
las medidas que deban implantarse para evitar su pérdida, alteración o acceso
no autorizado, adaptando los criterios de
determinación del riesgo en el tratamiento de los datos”.
Además, añade TPHS, la propia Agencia de la Unión Europea para la Ciberseguridad
(ENISA), en sus Directrices sobre la seguridad en el tratamiento de datos personales,
“propone posibles medidas de seguridad organizativas y técnicas para la protección de
datos personales, adecuadas al riesgo presentado”, indica que “pueden ser adoptadas
por las PYME para lograr el cumplimiento del RGPD” e incluye “una correspondencia
entre el grupo de medidas propuesto y los controles de seguridad de la norma ISO/IEC
27001:2013”.
Entiende TPHS que es obvio, por tanto, la interrelación existente entre los estándares
de seguridad de la información y las medidas de seguridad recomendables para el
tratamiento de datos personales, ya que, si bien el activo a valorar es distinto, una vez
determinado el nivel de riesgo aplicable, las recomendaciones pueden asimilarse en
gran medida.
En este sentido, señala TPHS que consta acreditado que estaba adaptada al estándar
ISO 27001 que cita la propia AEPD y que la metodología empleada por TPHS parte
del análisis de las características del tratamiento identificadas en su registro de
actividades y no “únicamente” en los estándares de seguridad de la información, tal
como quiere hacer ver la AEPD, en contra de las evidencias aportadas en el
Expediente (vid. páginas 1.386 y 1.387 del Expediente Sancionador).
Frente a ello, procede señalar, en primer lugar, que lo referenciado y que aparece en la
web de la AEPD es lo siguiente:
“El artículo 32 del RGPD impone a los responsables de un tratamiento de datos
personales la obligación de determinar y establecer las medidas de seguridad
técnicas y organizativas apropiadas para garantizar el nivel de seguridad
adecuado al riesgo en función del estado de la técnica, los costes de aplicación
y, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los
riesgos de probabilidad y gravedad variables para los derechos y libertades de
las personas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
149/197
A fin de mantener la seguridad de los tratamientos se exige al responsable
evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos.
En dicha evaluación del riesgo deben tenerse en cuenta los riesgos que
atenten contra los derechos y libertades de los interesados, especialmente sus
derechos y libertades fundamentales.
Con el objetivo de seleccionar las medidas para gestionar el riesgo para los
derechos y libertades, pueden utilizarse estándares de seguridad ya existentes
en el mercado como la norma ISO 27000. Por su parte, las Administraciones
Públicas deberán utilizar el Esquema Nacional de Seguridad para seleccionar
las medidas que deban implantarse para evitar su pérdida, alteración o acceso
no autorizado, adaptando los criterios de determinación del riesgo en el
tratamiento de los datos. Con carácter general el estándar utilizado implicará:
La realización de un inventario de activos partiendo de la descripción
sistemática del tratamiento
La identificación de los riesgos, para los derechos y libertades de los
interesados, asociados a los activos que consten en el inventario de activos
La evaluación del riesgo para los derechos y libertades de los interesados
La gestión de riesgos para los derechos y libertades de los interesados a lo
largo del ciclo de vida del tratamiento
Con el objetivo de ayudar en el análisis de riesgos orientado a determinar las
medidas de seguridad, la AEPD ofrece indicaciones en la guía:
Gestión de riesgo y evaluación de impacto en tratamientos de datos
personales, en particular en los capítulos VI y VIII.D.”
Con ello, por tanto, lo que se está indicando es que para ayudar o coadyuvar en la
implantación de medidas de seguridad se pueden utilizar estándares, pero en ningún
caso se indica que la aplicación de estos estándares ya suponga que se cumple
automáticamente con el artículo 32 RGPD, pues, como indica el literal transcrito, las
medidas de seguridad deben estar relacionadas con los concretos riesgos de cada
tratamiento que realice cada responsable, teniendo en cuenta su naturaleza, contexto,
etc. Por tanto, en ningún caso las medidas de seguridad pueden estar estandarizadas
para todo tipo de responsables y para cualquier tratamiento que se realice. Ello sería
contrario al propio art. 32 y al espíritu y finalidad del RGPD en su conjunto.
En segundo lugar, y a mayor abundamiento, se significa que TPHS no ha aportado
ninguna de las certificaciones a las que hace mención, por lo que no ha acreditado que
cumpla con los estándares citados, manifestando únicamente, de forma textual “estar
adaptada al estándar ISO 27001”
Y, por último, con independencia de si cumpliera o no con los citados estándares y si
contara o no con las debidas certificaciones acreditativas de ello, lo cierto es que,
analizada la documentación existente tras las investigaciones previas, ha quedado
probado que TPHS no contaba con medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo, tal y como exige el artículo 32.
Prueba de ello son todos los hechos probados reflejados en la presente Resolución y
que no resultan desvirtuados, como se ha dicho, por el hecho de cumplir o estar
certificada en dichos estándares.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
150/197
(II) SOBRE LAS CONTRASEÑAS
Señala TPHS que la AEPD utiliza e interpreta a su criterio, el informe “Evaluación del
cumplimiento en materia de protección de datos -Medidas de Seguridad –” realizado
por una entidad externa el 11 de enero de 2021, para tratar de justificar la falta de
idoneidad de las medidas adoptadas, partiendo de premisas poco rigurosas, como el
hecho de interpretar que cualquier propuesta de mejora supone una inadecuación de
las medidas previas, lo cual es claramente incorrecto. Todo sistema de seguridad es
susceptible de mejora y no por ello deja de ser adecuado a los riesgos identificados.
Como ejemplo de ello, apunta la referencia a la recomendación de mejora, consistente
en dejar de usar el algoritmo de encriptado MD5, realizada con base en una Guía del
Centro Criptológico Nacional (CCN) destinada a entidades a las que aplica el
Esquema Nacional de Seguridad (que no es el caso de PHONE HOUSE), pero que es
un algoritmo que sigue siendo más que razonablemente seguro en la mayoría de los
entornos (de hecho, la referencia hace alusión a que “su uso no está permitido para
aplicaciones de seguridad”, que no es el caso de las analizadas).
A este respecto, procede señalar que la deficiencia del algoritmo de encriptado es una
verdadera deficiencia, un algoritmo nada seguro y ya puesto ello de manifiesto años
antes por el CCN, aunque fuera recogido como recomendación en el informe
señalado. Lo que refleja el informe es que TPHS estaba utilizando ese algoritmo y que
el mismo es deficiente lo cual se conoce desde hace años. No debe olvidarse que el
atacante consiguió las credenciales de varios usuarios de TPHS.
Por otro lado, reitera de nuevo TPHS que la base fundamental para las afirmaciones
vertidas por la AEPD para tratar en particular de demostrar deficiencias en la política
de contraseñas es el “Informe de análisis de incidente ransomware” elaborado por la
empresa (...), fechado el 21 de abril de 2021.
Entiende TPHS que la AEPD ha malinterpretado dicho informe, realizando conjeturas
con escaso apoyo técnico de las que se desprenden conclusiones que nada tienen
que ver con lo reflejado en dicho informe y con lo realmente acontecido.
Apunta TPHS que el mismo técnico que realizó el citado informe de fecha 21 de abril
de 2021 ha tenido oportunidad de realizar un “Anexo aclaratorio al Informe de análisis
del incidente de ransomware” (Anexo (...)), indicando sus conclusiones sobre este
punto:
“La política de contraseñas de Phone House se considera adecuada según el
estado de la técnica, aplicando distintos niveles de complejidad basados en las
buenas prácticas de referencia del sector de la seguridad de la información.
Por lo tanto, las medidas técnicas al alcance de la compañía fueron aplicadas
de forma correcta. Sin perjuicio de ello, el análisis del incidente muestra que el
atacante logró hacerse con las credenciales de un administrador de forma
desconocida. Aunque la investigación no permite confirmarlo, lo más habitual
en estos casos es que un ataque de ingeniería social permitiese obtener dichas
credenciales engañando a un usuario con permisos de administración.
Lamentablemente, por muy robustos que fuesen los sistemas de autenticación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
151/197
utilizados por el usuario engañado, provoca que las medidas técnicas
aplicadas, por muy adecuadas que fueran, sean absolutamente ineficaces”.
En relación con ello, procede señalar, tal y como ya se ha mencionado anteriormente,
que el Anexo (...) no se determinan hechos tal y como sí se hace en el Informe (...),
sino que se hace una interpretación o valoración de lo que se analizó y se plasmó en
el primero. Así, en el párrafo transcrito, se indica que “La política de contraseñas de
Phone House se considera adecuada según el estado de la técnica, aplicando
distintos niveles de complejidad basados en las buenas prácticas de referencia del
sector de la seguridad de la información”.
Frente a esta valoración o interpretación, se recuerda de nuevo los hechos o las
evidencias que se obtuvieron durante el análisis realizado por la empresa (...) y que
plasmó en el Informe (...), las cuales, respecto a las contraseñas, se indicó lo
siguiente:
-(…)
-(…)
-(…)
-(…)
-(…)
-(…)
-(…).
En este sentido, no se ha negado ni desvirtuado estos hechos o hallazgos, sino que se
ha realizado una valoración de los mismos, frente a la que esta Agencia no está de
acuerdo, por cuanto las mismas reflejan deficiencias importantes en cuanto a la
política de contraseñas.
Asimismo, el Anexo (...) únicamente interpreta o valora ahora los hallazgos en el
análisis del incidente y que plasmó en el Informe (...). Sin embargo, tal y como se ha
señalado anteriormente, a la hora de determinar la existencia de deficiencias en la
política de contraseñas en el presente procedimiento sancionador no sólo se ha tenido
en cuenta el contenido del Informe (...) sino también los informes de evaluación
aportados por la empresa Écija (Informe “Evaluación del cumplimiento en materia de
protección de datos – Medidas de Seguridad –“,fechado el 11 de enero de 2021;
Informe “Evaluación del cumplimiento en materia de protección de datos – Medidas de
Seguridad –“, fechado el 11 de enero de 2021; así como el inventario de sistemas
aportado por TPHS el 28 de junio de 2021 (Número de registro:
O00007128e2100028705). Por último, también se ha tenido en cuenta las medidas
que TPHS declaró haber implantado o en proceso de implantación con posterioridad a
la brecha.
En dicha documentación se reflejó -tal y como se ha señalado pormenorizadamente al
principio de este apartado Cuarto de respuesta a las alegaciones, al cual procede
remitirse- numerosas e importantes deficiencias las cuales no han sido desvirtuadas y
que reflejan medidas inadecuadas por parte de TPHS y que no aparecen en el Informe
(...).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
152/197
Todo ello pone de manifiesto que, con independencia de la brecha de datos
personales detectada, la política de contraseñas y demás restricciones para el acceso
a los sistemas de información de TPHS no eran adecuadas para garantizar una
seguridad apropiada, suponiendo vulnerabilidades aprovechables por cualquier
atacante. No debe olvidarse, como se ha señalado, que en el informe de (...) se apunta
que se (…).
De ello se deduce que es una valoración lo indicado ahora en el Anexo (...) relativo a
que “lo más habitual en estos casos es que un ataque de ingeniería social permitiese
obtener dichas credenciales engañando a un usuario con permisos de administración”,
es decir, podría haber sido un ataque de phishing, pero también haber sido igualmente
por los otros tres posibles vectores de entrada que se indicaron en el Informe (...), los
cuales apuntan todos a deficiencias en la política de contraseñas.
En cuanto a la declaración relativa a que “Lamentablemente, por muy robustos que
fuesen los sistemas de autenticación utilizados por el usuario engañado, provoca que
las medidas técnicas aplicadas, por muy adecuadas que fueran, sean absolutamente
ineficaces” se reitera nuevamente que las medidas eran deficientes en sí mismas, con
independencia de haber ocurrido el incidente, aunque no puede obviarse la relación
directa que existe entre las numerosas deficiencias detectadas en relación con la
política de contraseñas y el hecho de que el atacante finalmente consiguiera acceder a
la base de datos de TPHS y exfiltrarla al haber conseguido las credenciales de varios
usuarios, especialmente usuarios con rol de administrador.
Procede recordar, además, que no existía tampoco otra medida conocida y asequible
según los costes y el estado de la técnica actual, como es el doble factor de
autenticación que no tenía implantado en el momento del incidente, ni tan siquiera
para usuarios con perfil de administrador, pues según manifestó expresamente TPHS
lo tenía “en proceso de implantación”.
(III) SOBRE LA SEGURIDAD PERIMETRAL
De nuevo se remite TPHS al literal de lo indicado en el Anexo (...), y que entiende que
elimina o deja sin efecto el Informe (...), que para TPHS es la única prueba de cargo
utilizada por la AEPD.
“La empresa disponía de una red segmentada y dispositivos perimetrales para
el filtrado de las comunicaciones. Si bien la actividad maliciosa identificada en
el informe permite una trazabilidad tras su investigación, no se considera que
se pudieran establecerse medidas previamente que hubieran podido evitarlas
sin generar un impacto en la actividad empresarial de Phone House”.
A este respecto, debe señalarse que de nada sirve tener dispositivos perimetrales
como, por ejemplo, para el filtrado o limitación de las comunicaciones, si luego las
reglas que los limiten no están correctamente establecidas o no son reglas adecuadas
para limitar la entrada y salida de la red interna de TPHS desde direcciones IPs de
países o de lugares no seguros. Asimismo, no se ha acreditado que para su negocio
fuera necesario que TPHS permitiera el acceso y salida de información desde y hacia
esas IPs y tampoco en qué medida dichas limitaciones o medidas hubieran generado
un impacto en la actividad empresarial de TPHS como para no poder aplicarlas, como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
153/197
ahora se manifiesta en el Anexo (...), pues como se ha evidenciado, el atacante
accedió desde IPs situadas en países como Bulgaria y Moldavia o desde nodos TOR,
así como que se permitió la salida de información hacia los mismos (acceso, descarga
o exfiltración de los datos personales de 13 millones de personas).
Por otro lado, procede recordar una vez más que, aparte del Informe (...), se ha
acreditado la ausencia de medidas adecuadas y existentes, según el estado de la
técnica y los costes de implantación. Así, se reitera de nuevo que TPHS declaró como
medidas a implantar tras la brecha las siguientes:
Por otro lado, TPHS señala, como medidas que adoptó o que indica “en proceso de
implantación” tras el incidente y que, por tanto, no tenía implantadas, las siguientes:
-(…).
-(…).
-(…).
-(…).
-(…).
-(…).
-(…).
Como ya se ha señalado a lo largo del procedimiento sancionador, la mayoría de estas
nuevas medidas van dirigidas precisamente a establecer reglas adecuadas para
controlar la entrada y la salida en su red, garantizando así una mayor seguridad
perimetral, así como para monitorizar y sondear la actividad dentro de su red en aras
de detectar posible conducta anómala o maliciosa (como movimientos sospechosos,
las exportaciones de datos, etc) generando eventos de seguridad (alarma,
advertencias, etc). Sin embargo, TPHS no las tenía implementadas. Ello le hubiera
permitido la posibilidad de haber detectado la conducta maliciosa del atacante durante
11 días (entradas y salidas por el ciberdelincuente desde IPs situadas en países como
Bulgaria y Moldavia o desde nodos TOR, sus movimientos por la red, fuga de
información, etc). Desde luego, sin ellas, no hubo opción de ello.
TPHS recoge los siguientes detalles de las aclaraciones finales del informe para
indicar la falta de rigor de las consideraciones realizadas de forma generalizada por la
AEPD en relación con las medidas adoptadas por la Compañía:
“A continuación, se recogen un conjunto de consideraciones globales que afectan a
todo el documento:
• Se manifiesta que el informe elaborado por (...) no es un informe forense, sino
que se trata de un informe que trata de recoger toda la información recogida en
el proceso de la investigación. No es un informe forense porque no ha seguido
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
154/197
los métodos de recopilación de evidencias requeridos, dado que en este caso
no se consideró oportuno. Por otra parte, como parte del informe se pretenden
mostrar una serie de buenas prácticas y sentar las bases de un ciclo de mejora
para Phone House. Estas recomendaciones de mejora y buenas prácticas no
implican que haya habido una negligencia por su parte en la protección de sus
activos, sino que pretenden ofrecer oportunidades de mejora disponibles.
A este respecto se señala que fue TPHS quien expresamente indicó que era un
informe forense. No obstante, como ya alegó esto frente al Acuerdo de Inicio, se
eliminó dicho adjetivo, lo cual no impide ni es contrario a que el mismo pueda ser
utilizado como prueba para los hechos probados, pues en el mismo se han plasmado
los hallazgos del análisis realizado del ciberataque.
• (...) considera que las medidas de protección por parte de Phone House eran
adecuadas, pertinentes y proporcionadas, según el estado de la técnica, para
poder prevenir un ataque como el experimentado, contando antes de la brecha
con las principales medidas de seguridad debidamente implantadas de forma
diligente. Si bien se debe tener en cuenta que estas medidas técnicas no
siempre consiguen evitar los incidentes, dado que el factor humano es
determinante, así como la pericia técnica de los atacantes demostrada en el
caso de BABUK, es de un gran nivel
Respecto de esta valoración e interpretación, se significa que ante los hallazgos
realizados en el Análisis (...) y respecto de los hechos constatados en el resto de
documentación que se ha tenido en cuenta y que, por tanto, no forma parte del
contenido del Informe (...), se concluye por esta AEPD lo contrario, que las deficiencias
detectadas en algunas medidas de seguridad (sobre todo en la política de
contraseñas) y la constatación de la inexistencia de otras (sobre todo en cuanto a
medidas o mecanismos de monitorización de la red), las medidas no eran apropiadas
para garantizar un nivel de seguridad adecuado al riesgo.
• Derivado del punto anterior, (...) manifiesta que tras la gestión del incidente el
equipo no concluye, desde el punto de vista técnico, que las medidas de
seguridad no fueran adecuadas. Asimismo, (...) considera que no es posible
afirmar que con medidas adicionales o diferentes hubiera sido posible evitar la
brecha.
• Por último, cabe aclarar que durante la investigación no fue posible identificar
de forma concluyente, ni siquiera indiciariamente, un origen claro del incidente,
por lo que, a juicio de este experto técnico, no existe un nexo causal entre los
hallazgos expuestos en el epígrafe 2 del presente documento y la brecha de
seguridad que finalmente se produce”.
A este respecto, procede aclarar que en ningún momento se ha señalado por esta
AEPD que la existencia de esas medidas hubiera o no impedido el ataque, pero no
estaríamos hablando de medidas inadecuadas de conformidad con el RGPD ni de
negligencia en la selección de algunas, en la inadecuación de otras o en la no
existencia de muchas. Podríamos estar hablando entonces de inexistencia de
responsabilidad alguna por parte de TPHS o, en su caso, de una responsabilidad
mucho más reducida.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
155/197
Sin embargo, se reitera una vez más, de las actuaciones de investigación realizadas
por esta Agencia, así como de toda la documentación que obra en el expediente, ha
quedado probado y acreditado el incumplimiento del artículo 32 del RGPD pues TPHS
no contaba con medidas técnicas y de seguridad apropiadas para garantizar un nivel
de seguridad adecuado al riesgo de sus tratamientos. Debe recordarse, asimismo, que
las medidas que no tenía implantadas o con deficiencias son medidas adecuadas,
básicas y conocidas en relación con el estado de la técnica y los costes de aplicación,
y apropiadas para la naturaleza, el contexto y los fines de los tratamientos que realiza
TPHS.
Estas deficiencias ponen de manifiesto, como se ha señalado, el incumplimiento del
artículo 32 y ello, se insiste, con independencia de si hubieran podido o no evitar el
ataque. No obstante, no puede obviarse la existencia, por un lado, de esas
deficiencias en la política de contraseñas y el hecho de que el atacante consiguiera las
credenciales de varios usuarios y los tres posibles vectores de entrada señalados en el
Informe (...).
Tampoco puede obviarse que, si bien existían medidas de seguridad perimetral
(cortafuegos, etc), estuvieran configurados de tal manera que se permitiese la entrada
desde IPs de orígenes no seguros -sin haberse acreditado la necesidad de ello para el
negocio de TPHS o al menos en qué medida ello tendría un impacto en la actividad de
TPHS-, con el hecho de que el ataque se produjo desde IPs no seguras.
Tampoco puede obviarse la ausencia de medidas de seguridad tendentes a
monitorizar la red interna para la detección de conducta maliciosa con el hecho de que
durante 11 días estuviera el atacante entrando y saliendo de la red de TPHS,
realizando movimientos laterales y acceder a la base de datos de TPHS y exfiltrar
(descargarse) los datos personales de 13 millones de personas (entre clientes y
personal) todo ello sin que se detectara nada.
Finalmente, tampoco debe obviarse que TPHS no tenía aplicado sobre los datos
personales ninguna medida técnica de cifrado, anonimización, pseudonimización, etc,
a pesar de tratar datos personales de forma masiva (afectados los datos de 13
millones de personas), y que el atacante consiguiera acceder a los mismos y
descargárselos en forma totalmente legibles, tal y como ha puesto en evidencia el
hecho de que apareciesen publicados en la Deep Web en texto claro.
Desde luego no se ha asegurado desde esta Agencia que con tales medidas se
hubiera podido evitar completamente el ataque con total seguridad, sin embargo, no
puede obviarse que se ha facilitado el mismo o que, al menos, no hubo oportunidad de
que esas medidas funcionaran impidiendo o reduciendo el impacto del ataque por
inexistir las mismas o por estar implantadas con deficiencias o de forma ineficaz.
En este sentido, parece TPHS argumentar que como no se puede saber con certeza si
con esas medidas que no tenía implantadas o que, sin la existencia de las deficiencias
detectadas, hubiese sido posible o no evitar el ataque, ello supone o permite concluir
que eran adecuadas con las que contaba.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
156/197
Este argumento no puede aceptarse por cuanto esas deficiencias detectadas y la falta
de las medidas indicadas suponen per se, un incumplimiento de la normativa en
materia de protección de datos. Asimismo, en el supuesto de que TPHS hubiera
contado con las medidas adecuadas y sin las deficiencias detectadas posiblemente no
habría incurrido en la negligencia que se le reprocha, con independencia del éxito o no
del ataque.
Por último, añade TPHS que este hecho evidencia claramente que no queda
acreditada la concurrencia de una actuación culpable, intencionada o negligente por
parte de TPHS no pudiendo, por tanto identificar en su conducta una infracción de la
normativa de protección de datos personales por el mero hecho de haber sido víctima
de un ciberataque y, consecuentemente, no siendo procedente la imposición ningún
tipo de sanción, todo ello teniendo en consideración la reciente jurisprudencia del
Tribunal de Justicia de la Unión Europea (TJUE) relativas a los asuntos C-683/21
(Nacionalinis visuomenėssveikatos centras) y C-807/21 (Deutsche Wohnen) publicada
el pasado día 5 de diciembre de 2023.
Frente a ello, ha quedado acreditado la existencia de deficiencias en las medidas de
seguridad aplicadas, así como la ausencia de otras, siendo ello reflejo de una
negligencia por parte de TPHS, incurriendo con ello en las infracciones imputadas.
Negligencia que es la que exige la sentencia referida para poder sancionar por
incumplimientos en las obligaciones que establece el RGPD a los responsables de
tratamientos de datos personales.
QUINTA: SOBRE LAS ACCIONES FORMATIVAS Y DE CONCIENCIACIÓN DE LA
PLATILLA DE TPHS
Alega TPHS que cuenta con un plan robusto, exhaustivo y continuado de formación
continua en materia de protección de datos y seguridad de la información, que dichas
formaciones han sido realizadas por todos los trabajadores de la Compañía, que se
van actualizando periódicamente con el propósito de adecuarlas a las necesidades de
la entidad y a los tratamientos de datos efectuados, a los cambios normativos y, a los
pronunciamientos de las Autoridades de Control Europeas y de Comité Europeo de
Protección de Datos en sus Guías, Informes y Recomendaciones.
Así, señala TPHS que este contexto, en materia de protección de datos y seguridad de
la información, tal y como ya se ha puesto de manifiesto, se han impartido en la
Compañía distintos cursos y formaciones, presenciales y online, que abarcan tanto un
enfoque general de la materia, como el desarrollo de cuestiones más específicas que
se han detectado en la Compañía como especialmente relevantes, debido al impacto
que tienen en sus empleados y clientes, remitiéndose a la relación de documentos
aportados en el Acuerdo de Inicio e indicando que ahora cuenta con menos plantilla
que en el momento de producirse el ciberataque.
Asimismo, no está de acuerdo TPHS con la valoración que se ha realizado de los
cursos en la Propuesta de Resolución.
Respecto a lo alegado por TPHS en relación con la formación, ya que ello es
reiteración de lo manifestado frente al Acuerdo de Inicio, procede remitirse a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
157/197
respuesta dada en la Propuesta de Resolución, la cual aparece transcrita en el
Antecedente de Hecho Noveno, alegación Novena. Asimismo, procede remitirse a lo
indicado en la respuesta a la alegación Primera de este Fundamento de Derecho. Allí,
se respondió analizando la documentación aportada por TPHS relativa a la formación.
Así, se indicó que “analizada la documentación cabe reseñar que la mayoría refleja
cursos genéricos y no acredita cuántos alumnos ni cuándo se realizaron (documento
4); curso genérico sin que acredite quiénes lo realizaron y no resulta obligatorio
(pantallazo de un mail enviado el 17 de noviembre de 2019); curso dirigido a TPHS, a
sus obligaciones como responsable de tratamiento (documento 6); cursos genéricos
on line a realizar por los trabajadores nuevos contratados a partir de 2018,
acompañado de un listado de unos 330 personas que lo han realizado, sin fechar ni
firmar”.
SEXTA: SOBRE LA EXISTENCIA DE UN CONCURSO DE INFRACCIONES.
Alega de nuevo TPHS que se dan las circunstancias para considerar que tiene lugar
un concurso medial entre ambas infracciones, por ser necesaria la ausencia de
medidas técnicas y organizativas apropiadas para que una brecha de confidencialidad
sea sancionable. A estos efectos, reitera sus alegaciones al Acuerdo de Inicio.
Indica TPHS que, para argumentar la no existencia de concurso medial o concurrencia
de infracciones, la AEPD dice en su Propuesta de Resolución que “podemos
encontrarnos con supuestos en que existan medidas inadecuadas sin que por ello
haya una pérdida de integridad y confidencialidad”. Sin embargo, lo que defiende
TPHS es que no puede producirse una pérdida de integridad y confidencialidad
sancionable sin que existan medidas inadecuadas. Es decir, coincide con la Agencia
en que puede darse un incumplimiento del artículo 32 del RGPD sin que
necesariamente implique un incumplimiento del artículo 5.1.f) del RGPD, pero lo
contrario no sería posible. En consecuencia, para que exista una brecha de seguridad
sancionable es estrictamente necesario que se infrinja el artículo 32 del RGPD.
Señala TPHS que este constituye un concurso medial (en el ámbito penal) o una
concurrencia de ofensas o delitos en vía administrativa, que aplica “siempre que la
aplicación de una disposición impida o subsuma la aplicabilidad de la otra”2. En estos
casos, resulta contrario al ordenamiento jurídico sancionar dos veces al infractor por el
mismo ilícito.
A este respecto, como quiera que esta alegación ya se formuló frente al Acuerdo de
Inicio y que la misma fue ampliamente respondida en la Propuesta de Resolución, la
cual se transcribe íntegramente en el apartado Decimocuarto del Antecedente de
Hecho Noveno, procede remitirse a ello.
Por otro lado, en relación con la mención que realiza la AEPD respecto a la no
aplicabilidad del art. 29 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del
Sector Público (en adelante, “LRJSP”), TPHS trae a colación el Real Decreto
389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de
Protección de Datos, en cuyo artículo 3 se establece que la AEPD se rige por lo
dispuesto en el RGPD, y supletoriamente, por la LRJSP. Lo anterior viene a implicar
que, en relación con todo aquello no regulado expresamente en el RGPD o la
LOPDGDD se atenderá a lo previsto al efecto en la LRJSP, como es el caso de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
158/197
concursos de infracciones previstos en el artículo 29 del LRJSP en relación con el
principio de proporcionalidad como principio de la potestad sancionadora.
Frente a ello, se significa que el artículo 3.2 del citado Estatuto de la AEPD establece
lo siguiente:
2. Supletoriamente, en cuanto sea compatible con su plena independencia, se
regirá por la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público, en particular lo dispuesto para organismos autónomos; por la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas; por la Ley 47/2003, de 26 de noviembre, General
Presupuestaria; por la Ley 9/2017, de 8 de noviembre, de Contratos del Sector
Público, por la que se transponen al ordenamiento jurídico español las
Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE,
de 26 de febrero de 2014; por la Ley 33/2003, de 3 de noviembre, del
Patrimonio de las Administraciones Públicas, así como el resto de las normas
de derecho administrativo general y especial que le sea de aplicación. En
defecto de norma administrativa, se aplicará el derecho común.
Por tanto, lo que se está indicando es que se le aplica supletoriamente el régimen
jurídico del Sector Público, pero en lo relativo a su consideración como organismo
público perteneciente a la Administración General del Estado, es decir, a
consideraciones como su composición, organización, estructura, etc.
Por otro lado, en el artículo 3.3 del Estatuto de la AEPD se indica lo siguiente:
3. Los procedimientos tramitados por la Agencia Española de Protección de
Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales, por las disposiciones reglamentarias dictadas en su
desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las
normas generales sobre los procedimientos administrativos.
Por tanto, en los procedimientos tramitados por ella, entre ellos, el procedimiento
sancionador, no se aplica supletoriamente ni la LRJSP ni la LPAC, sino que declara
que los procedimientos tramitados por la AEPD se regirán por el RGPD y la
LOPDGDD. Y con carácter subsidiario (que no supletorio) por las normas sobre los
procedimientos administrativos.
A este respecto, se insiste en que no hay aplicación supletoria del citado precepto, por
cuanto no hay laguna legal respecto de la aplicación del concurso medial previsto en
dicho artículo 29 de la LRJSP. Ni el RGPD permite ni la LOPDGDD dispone la
aplicación supletoria de las previsiones del art. 29 de la LRJSP.
En el Título VIII de la LOPDGDD relativo a “Procedimientos en caso de posible
vulneración de la normativa de protección de datos”, el artículo 63 que abre el Título se
dispone que "Los procedimientos tramitados por la Agencia Española de Protección de
Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley
orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
159/197
no las contradigan, con carácter subsidiario, por las normas generales sobre los
procedimientos administrativos.". Si bien existe una remisión a la LPACAP, no se
establece en absoluto una aplicación subsidiaria respecto de la LRJSP que no
contiene en su articulado disposición alguna relativa a procedimiento administrativo
alguno.
De igual forma que la AEPD no está aplicando los agravantes y atenuantes dispuestos
en el art. 29 de la LRJSP, puesto que el RGPD establece los suyos propios, por ende,
no hay laguna legal ni aplicación subsidiaria del mismo, tampoco cabe la aplicación de
apartado relativo al concurso medial y por idénticas razones.”
Como ya se indicó, además la aplicación de reglas ajenas al RGPD respecto de la
determinación de las multas en cada uno de los Estados miembros aplicando su
derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en
el RGPD -o en la LOPDGDD en el caso español-, ya sea por la aplicación de un
concurso medial distinto del dispuesto en el RGPD, restaría efectividad al sistema que
perdería su sentido, su finalidad teleológica, resultando que las multas impuestas por
distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de
esta forma también se hurtaría a los interesados de la garantía efectiva de sus
derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los
mecanismos de protección de los derechos y las libertades de los ciudadanos y sería
contrario con el espíritu del RGPD.
Aclarar, con carácter previo que, la supletoriedad se refiere a supuestos en los que en
una determinada norma no se regula un específico supuesto, laguna legal, dando
lugar a la aplicación de otra norma jurídica que regule tal situación, siempre que no
resulte disconforme con el ordenamiento jurídico.
Mientras que la subsidiaridad hace referencia a un concurso de normas, lo que supone
que para un determinado supuesto pueden ser aplicables dos o más normas, de
manera que la norma subsidiara cede en beneficio de la principal.
Pues bien, examinados tanto la supletoriedad como la subsidiariedad, se concluye la
no aplicación del artículo 29 de la LRJSP sino del artículo 83 del RGPD en relación
con el principio de proporcionalidad.
Ello es así por cuanto:
• El principio de proporcionalidad se aplica al procedimiento sancionador.
• El principio de proporcionalidad se regula de forma completa en el artículo 83 del
RGPD.
• No hay laguna legal.
• Ni el RGPD ni la LOPDGDD remiten a la aplicación, por existencia de laguna legal,
del artículo 29 de la LRJSP.
• En los procedimientos tramitados por la AEPD, para los procedimientos
administrativos tramitados, se prevé la aplicación subsidiaria de las normas generales
sobre los procedimientos administrativos.
• En los procedimientos tramitados por la AEPD, para los procedimientos
administrativos tramitados y no en relación con los principios del procedimiento
sancionador, no se establece en la LOPDGDD una aplicación subsidiaria de la LRJSP.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
160/197
Por tanto, no hay ni supletoriedad ni subsidiaridad que hagan que se aplique el artículo
29 de la LRJSP.
En cuanto al hecho de que, tal y como indica TPHS, la propia Agencia anteriormente
ha considerado aplicable dicho artículo 29 considerando la existencia de supuestos de
concurso medial, como en su Resolución de 23 de abril de 2021, dictada en el
procedimiento PS/00240/2019, procede señalar que la Administración puede
separarse de lo resuelto con anterioridad. Así, el artículo 35 de la LPACAP establece
que:
1. Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
c) Los actos que se separen del criterio seguido en actuaciones precedentes o
del dictamen de órganos consultivos.
Por tanto, es legítimo que la Administración se separe del criterio seguido en
actuaciones precedentes, siempre y cuando dicho cambio esté motivado, lo cual
concurre en el presente caso. Así, además de lo que se acaba de argumentar en este
propio apartado, procede recordar de nuevo que ya se formuló esta alegación frente al
Acuerdo de Inicio, relativa al concurso medial y se respondió al mismo motivando y
argumentando por qué no se considera la existencia del concurso medial y, además,
se motiva la no aplicabilidad del artículo 29 LRJSP. Por tanto, procede remitirse a los
argumentos esgrimidos y que aparecen transcritos en el Antecedente de Hecho
Noveno, punto Decimotercero.
Por tanto, una vez argumentado y motivado no sólo que no se considera la existencia
de concurrencia de infracciones, así como las razones por las cuales no se considera
aplicable el artículo 29 LRJSP, resulta legítimo y no contrario a derecho el cambio de
criterio.
En este sentido, la Sentencia de 12 de marzo de 2018, del Tribunal Superior de
Justicia de Madrid, Sala de lo Contencioso administrativo, Sección 4ª (Rec. 761/2017),
señala, con ocasión de la revisión de un procedimiento sancionador, que:
“(…) la Administración puede separarse de lo resuelto con anterioridad
motivando el cambio (art. 35.c) de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas ). Como
señala el Tribunal Supremo en su Auto de 4 de diciembre de 1998 "... para que
la doctrina de los actos propios de la Administración tenga aplicación es
necesario fundamentalmente que un primer órgano de la Administración haya
dictado un primer acto declarativo de derechos y luego que en el segundo
revoque la decisión tomada en el primero", y dicha circunstancia no concurre
en este caso porque el presente acto administrativo de liquidación tributaria no
revoca ninguna decisión tomada en un acto precedente relativo al mismo
concepto tributario ni existe un acto declarativo expreso que ahora se
modifique.
A estos efectos, procede distinguir entre la eficacia de los actos propios de la
Administración y la vinculación de la Administración a los precedentes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
161/197
interpretativos aplicados en situaciones anteriores ya que, en el supuesto que
se cuestiona, y empleando palabras del Tribunal Supremo (sentencia de 25 de
febrero de 2000), no cabe hablar de "acto propio sino a lo más cambio de
criterio e interpretación, lo cual es perfectamente válido ". Igualmente, la STS
de 27 de junio de 2000 refiere:
"... el principio de actuar contra los propios actos no podría llevarse a extremos
tales que obstaran a la conformidad a Derecho de una determinada actuación,
por el mero hecho de» (la existencia de) «otra anterior de distinto signo aunque
ésta no se amparara en la legalidad, del mismo modo que la igualdad sólo
cabe dentro del ámbito de la legalidad, tal como es suficientemente conocido,
so pena de poder consolidar para siempre resoluciones ilegales o no ajustadas
a Derecho, irreversibles y de imposible modificación ulterior».
En el mismo sentido se ha expresado el Alto Tribunal en otras Sentencias. Así,
en la de 1 de febrero de 1999 , declara que «este principio no puede invocarse
para crear, mantener o extender en el campo del Derecho público, situaciones
contrarias al ordenamiento jurídico, o cuando el acto precedente resulta en
contradicción con el fin o el interés tutelado por una norma jurídica que, por su
naturaleza, no es susceptible de amparar una actuación discrecional de la
Administración que suponga el reconocimiento de unos derechos y/u
obligaciones que dimanen de actos propios de la misma. O dicho de otro
modo, la doctrina de los actos propios sin la limitación que acaba de exponerse
podría introducir en el ámbito de las relaciones de Derecho público el principio
de la autonomía de la voluntad como método ordenador de materias reguladas
por normas de naturaleza imperativa, en las que prevalece el interés público
salvaguardado por el principio de legalidad; principio que resultaría conculcado
si se diera validez a una actuación de la Administración contraria al
ordenamiento jurídico por el sólo hecho de que así se ha decidido por la
Administración o porque responde a un precedente de ésta. (...) o, dicho en
otros términos, no puede decirse que sea legítima la confianza que se deposite
en un acto o precedente que sea contrario a la norma imperativa” (el subrayado
es nuestro).
Asimismo, y a mayor abundamiento, este criterio de entender no aplicable el artículo
29 LRJSP no es nuevo pues se ha aplicado en expedientes sancionadores anteriores
al presente. A modo de ejemplo, se señala el PS/00020/2023 y PS/00667/2023.
Asimismo, alega TPHS que cualquier falta de medidas que pudiera llegar a entender la
AEPD que ha derivado en la pérdida de confidencialidad a raíz del ciberataque no
puede ser sancionada, de manera adicional, como incumplimiento del artículo 32 del
RGPD, sin que se incumpla uno de los principios básicos del derecho sancionador
administrativo, y garantía fundamental de la seguridad jurídica: el principio non bis in
idem.
A este respecto, la Sentencia de la Audiencia Nacional de 23 de julio de 2021 (rec.
1/2017) dispone que,
“(…) Conforme a la legislación y jurisprudencia expuesta, el principio non bis in ídem
impide sancionar dos veces al mismo sujeto por el mismo hecho con apoyo en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
162/197
mismo fundamento, entendido este último, como mismo interés jurídico protegido por
las normas sancionadoras en cuestión. En efecto, cuando exista la triple identidad de
sujeto, hecho y fundamento, la suma de sanciones crea una sanción ajena al juicio de
proporcionalidad realizado por el legislador y materializa la imposición de una sanción
no prevista legalmente que también viola el principio de proporcionalidad.
Pero para que pueda hablarse de "bis in ídem" debe concurrir una triple identidad
entre los términos comparados: objetiva (mismos hechos), subjetiva (contra los
mismos sujetos) y causal (por el mismo fundamento o razón de castigar):
a) La identidad subjetiva supone que el sujeto afectado debe ser el mismo, cualquiera
que sea la naturaleza o autoridad judicial o administrativa que enjuicie y con
independencia de quién sea el acusador u órgano concreto que haya resuelto, o que
se enjuicie en solitario o en concurrencia con otros afectados.
b) La identidad fáctica supone que los hechos enjuiciados sean los mismos, y descarta
los supuestos de concurso real de infracciones en que no se está ante un mismo
hecho antijurídico sino ante varios.
c) La identidad de fundamento o causal, implica que las medidas sancionadoras no
pueden concurrir si responden a una misma naturaleza, es decir, si participan de una
misma fundamentación teleológica, lo que ocurre entre las penales y las
administrativas sancionadoras, pero no entre las punitivas y las meramente
coercitivas.”
Tomando como referencia lo anteriormente explicitado en el procedimiento
sancionador no se ha vulnerado el principio non bis in idem, puesto que, si bien
entendido grosso modo los hechos se detectan consecuencia de una brecha de datos
personales, la infracción del art. 5.1.f) del RGPD se concreta en una clara pérdida de
confidencialidad, la infracción del art. 32 del RGPD se reduce a la deficiencia de las
medidas de seguridad (solo de seguridad) detectadas, presentes independientemente
de la brecha de datos personales. De hecho, si estas medidas de seguridad que tenía
implantadas TPHS se hubieran detectado por la AEPD sin que se hubiera producido la
pérdida de confidencialidad, únicamente habría sido sancionada por el art. 32 del
RGPD.
Como hemos indicado, mediante el art. 5.1.f) del RGPD se sanciona una pérdida de
confidencialidad y disponibilidad y mediante el art. 32 del RGPD la deficiencia de las
medidas de seguridad implantadas por el responsable del tratamiento. Medidas de
seguridad deficientes, añadimos, que infringen el RGPD, independientemente de que
no se hubiera producido la brecha de datos personales.
Por último, en cuanto a la manifestación realizada por TPHS relativa a que la
aplicación del artículo 29 es una posibilidad asimismo reconocida por las Directrices
4/2022, sobre el cálculo de multas administrativas bajo el RGPD, donde expresamente
se estipulan los criterios que debe seguir la autoridad administrativa para evaluar, de
forma previa a la imposición de la sanción, la posible concurrencia de estas.
Frente a ello, se señala que, en relación con la cita de las Directrices 04/2022 del
CEPD sobre el cálculo de multas administrativas conforme al RGPD, en su versión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
163/197
2.1, adoptadas el 24 de mayo de 2023, en su apartado 22 se hace referencia a tres
tipos de concurrencias, a saber, de infracción, unidad de acción y pluralidad de
acciones: “Al examinar el análisis de las tradiciones de los Estados miembros en
materia de normas de concurrencia, tal como se indica en la jurisprudencia del TJUE,
y teniendo en cuenta los diferentes ámbitos de aplicación y las consecuencias
jurídicas, estos principios pueden agruparse aproximadamente en las tres categorías
siguientes: - Concurrencia de infracciones (capítulo 3.1.1), - Unidad de acción (capítulo
3.1.2), - Pluralidad de acciones (capítulo 3.2).
En los supuestos de concurrencia de infracciones la previsión establecida al respecto
es la contenida en el artículo 83.3 del RGPD que establece un límite cuantitativo en
estos supuestos de concurrencia: “Si un responsable o un encargado del tratamiento
incumpliera de forma intencionada o negligente, para las mismas operaciones de
tratamiento u operaciones vinculadas, diversas disposiciones del presente
Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía
prevista para las infracciones más graves.” (el subrayado es nuestro).
Asimismo, en este momento hemos de recordar que la gravedad de las infracciones
del RGPD se determina en atención a las reglas establecidas en este y no en la
LOPDGDD. La tipificación de las infracciones se encuentra regulada en el artículo 83,
apartados 4, 5 y 6 del RGPD, mientras que la calificación de las infracciones como
muy graves, graves o leves a los solos efectos de la prescripción se dispone en los
artículos 72, 73 y 74 de la LOPDGDD.
Por último y no menos importante, la AEPD no sanciona por una misma ofensa, como
aduce la parte reclamada, sino que se han constatado a través de hechos probados no
rebatidos por TPHS, la comisión de dos infracciones diferenciadas, tipificadas de
forma diferenciada, no existiendo, además, en el caso concreto, concurso medial.
Por todo lo expuesto, se desestima la presente alegación.
SÉPTIMA: SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA
Vuelve de nuevo a reiterar TPHS esta alegación que ya esgrimió frente al Acuerdo de
Inicio, cuya respuesta fue debidamente argumentada en la Propuesta de Resolución y
que aparece transcrita en el Antecedente de Hecho Noveno de la presente Resolución,
punto Cuarto, a la que, en aras de economía procesal, procede remitirse. En dicha
argumentación, ya se indicó la existencia de negligencia en la actuación de TPHS.
No obstante, señala TPHS que, si bien la Agencia indica en su Propuesta que se
examina de forma individual cada supuesto de hecho, lo cierto es que, en su
valoración, a la hora de imputar e identificar en la actuación de TPHS una infracción
del artículo 5.1 f) del RGPD, la Propuesta de Resolución no alude a circunstancias o
medidas concretas implementadas por esta parte, ciñéndose al resultado, producido
por la acción ilícita de un tercero.
Indica que esa interpretación se evidencia nuevamente en la página 120 de la
Propuesta de Resolución, donde, tras definir teóricamente el principio de
confidencialidad recogido en la normativa de protección de datos, se enumera y
enuncia la comisión de la brecha por el tercero, así como las posteriores acciones que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
164/197
competen el ilícito cometido por éste. Si bien la Propuesta analiza de forma detallada
la actividad ilícita de los autores del ataque de ransomware, lo cierto es que no hay
mención alguna a la actividad y medidas desplegadas por TPHS en la fundamentación
de la infracción del artículo 5.1 f) del RGPD. A continuación, procede TPHS a
transcribir lo indicado.
Sin embargo, debe señalarse que TPHS está transcribiendo únicamente el
Fundamento de Derecho donde, en cumplimiento del principio de tipicidad, se indican
los hechos y la infracción que los mismos suponen de forma somera. Sin embargo,
obvia lo que se le respondió frente a esta alegación en dicha propuesta de resolución y
que aparece transcrito en el citado Punto Cuarto del Antecedente de Hecho Noveno de
la presente Resolución, al cual nuevamente nos remitimos.
Así, se indicó que la vulneración de la confidencialidad que se imputa a TPHS es por
incumplir la obligación impuesta en el artículo 5.1.f de tratar los datos de tal manera
que se garantice una seguridad adecuada de los mismos, incluida la protección contra
el tratamiento no autorizado o ilícito, mediante la aplicación de medidas técnicas u
organizativas apropiadas.
No debe olvidarse, en este sentido, que existen medidas dirigidas específicamente a
garantizar la confidencialidad de los datos personales, como el cifrado de los mismos o
la aplicación sobre ellos de técnicas de pseudonimización o anonimización, medidas
que además indicó TPHS expresamente en sus EIPD como medidas necesarias a
implantar para reducir los riesgos “altos” o “muy altos” respecto de las actividades de
tratamiento afectadas por la brecha. Sin embargo, tal y como se ha indicado en los
Hechos Probados, en el momento de producirse el incidente de seguridad, el mismo
ha conllevado una brecha de datos personales que ha afectado a la confidencialidad
de éstos por cuanto TPHS no había implementado esas medidas concretas tras más
de dos años de detectados esos riesgos e indicadas esas medidas en sus EIPD. En
caso de haberse aplicado, no se hubiera producido un acceso ni una exfiltración de los
datos personales -ni una publicación de los mismos en texto claro- como finalmente
sucedió, pues los datos hubieran sido ininteligibles para el delincuente. Esto lo que
refleja es, cuanto menos, una falta de la diligencia debida por parte de TPHS.
Por tanto, en el supuesto examinado, tal y como consta en los hechos probados, hay
una clara pérdida de confidencialidad pues se ha producido el acceso por un tercero
no autorizado a los datos personales tratados por TPHS, siendo ello un resultado
objetivo, reconocido por TPHS, que no una responsabilidad objetiva. No se ha
garantizado, de esta forma, una seguridad adecuada mediante la aplicación de las
medidas técnicas y organizativas apropiadas, no sólo de seguridad, sino de todo tipo.
Por último, en cuanto a lo alegado relativo a que la normativa aplicable no establece
una obligación de resultado respecto de las medidas de seguridad, sino sólo de
medios y que lo contrario supondría aceptar una responsabilidad objetiva o sin culpa,
trayendo para ello TPHS a colación la Sentencia del Tribunal Supremo STS 543/2022
(recurso de casación nº 7359/2020), de 15 de febrero de 2022, se significa, en primer
lugar, que lo analizado en dicha Sentencia es el cumplimiento de las medidas técnicas
y organizativas en el sentido de si son adecuadas para garantizar la seguridad de los
tratamientos, es decir, que estaríamos no en el ámbito del cumplimiento del artículo
5.1.f, sino en el ámbito del cumplimiento del artículo 32 RGPD. Por tanto, el argumento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
165/197
dado por TPHS y el análisis del mismo que se va a realizar han de referirse
exclusivamente en relación con el artículo 32 RGPD.
Hecha esta aclaración, procede señalar que la Sentencia citada efectivamente indica,
sobre las medidas de seguridad en materia de protección de datos, que “… la
obligación que recae sobre el responsable y sobre el encargado del tratamiento
respecto a la adopción de medidas necesarias para garantizar la seguridad de los
datos de carácter personal no es una obligación de resultado sino de medios, sin que
sea exigible la infalibilidad de las medidas adoptadas. Tan solo resulta exigible la
adopción e implantación de medidas técnicas y organizativas, que conforme al estado
de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos
personales en cuestión, permitan razonablemente evitar su alteración, pérdida,
tratamiento o acceso no autorizado.”
Si embargo, continúa la Sentencia indicando, en el caso concreto que se analiza en la
misma, que “…el programa utilizado para la recogida de los datos de los clientes no
contenía ninguna medida de seguridad que permitiese comprobar si la dirección de
correo electrónico introducida era real o ficticia y si realmente pertenecía a la persona
cuyos datos estaban siendo tratados y prestaba el consentimiento para ello. El estado
de la técnica en el momento en el que se produjeron estos hechos permitía establecer
medidas destinadas a comprobar la veracidad de la dirección de email, condicionando
la continuación del proceso a que el usuario recibiese el contrato en la dirección
proporcionada y solo desde ella prestase el consentimiento necesario para su
recogida y tratamiento. Medidas que no se adoptaron en este caso.
(…) De modo que, en el momento en que se produjeron estos hechos, existían
medidas técnicas referidas al proceso de registro, que hubiesen evitado la filtración de
datos personales producida. Ello implica que las medidas técnicas adoptadas
incumplían las condiciones de seguridad en los términos exigidos en el art. 9.1 de la
LO 15/1999, incurriéndose por tanto en la infracción prevista en el art. 44.3.h)
consistente en "Mantener los ficheros, locales, programas o equipos que contengan
datos de carácter personal sin las debidas condiciones de seguridad que por vía
reglamentaria se determinen [...]".
(…) Se afirma que las medidas técnicas de seguridad referidas al programa
informático incumbían a Telefónica Consumer Finance que diseño el programa y era la
responsable del fichero y del tratamiento, y que la empresa sancionada tan solo
actuaba por cuenta de ésta recabando los datos de los clientes que optaban por la
financiación. Lo cierto es que el encargado del tratamiento -la persona física o jurídica
que, sólo o conjuntamente con otros, trate datos personales por cuenta del
responsable del tratamiento, art. 4 apartado 8 del Reglamento, como el art. 3.g) de la
LOPD 15/1999, y la recogida de datos implica un tratamiento ( art. 3.c),-también
deberá adoptar las medidas de índole técnica y organizativas necesarias para
garantizar la seguridad de los datos de carácter personal, así lo dispone el art. 32.1
del Reglamento (UE) 2016/679 del Parlamento y del Consejo y el art. 9.1 de la LOPD
y está sujeto al régimen sancionador establecido en la Ley ( art. 43 dela LOPD
15/1999).
La empresa recurrente trataba los datos de los clientes por cuenta del responsable del
fichero por lo que implantó y utilizó dicho programa siendo conocedora, o hubiera
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
166/197
debido serlo, de que éste carecía de las medidas de seguridad necesarias…” (el
subrayado es nuestro)
En primer lugar, procede señalar que esta sentencia se dicta al amparo de la
normativa anterior al RGPD, en la que, conforme al sistema previsto en la LOPD y en
el RLOPD, las medidas de seguridad estaban perfectamente estandarizadas. Se ha
pasado de un sistema con medidas de seguridad estándar y estáticas para cualquier
responsable a medidas de seguridad propias para cada organización (adaptadas a sus
características e idiosincra(...)), que considera los riesgos específicos de la entidad de
que se trate; además ahora son dinámicas, de tal forma que no se agota con la
implementación de las medidas de seguridad adecuadas al riesgo al inicio de los
tratamientos, sino que debe de ir adaptándose a los riesgos que vayan apareciendo.
La nueva regulación prevista en el RGPD amplía notablemente las obligaciones del
responsable del tratamiento y su ámbito de acción y responsabilidad, extendiéndose
ahora de manera clara a las actuaciones realizadas por sus encargados del
tratamiento, que quedan dentro de su ámbito de responsabilidad.
En la sentencia no se delibera sobre la adecuación de las medidas de seguridad de la
entonces responsable del fichero, sino que se denunció a un encargado del
tratamiento, quien no tenía implementadas las medidas de seguridad adecuadas,
obligación que devenía de manera clara del art. 79 y siguientes del RLOPD, en la que
se indicaba cuáles, en concreto, eran las medidas de seguridad que, conforme al
Título VIII del citado Reglamento, debían implantar los encargados. No obstante lo
anterior, además, la sentencia indica que no fue utilizado el sistema de forma
adecuada, lo que hubiera evitado la filtración.
Segundo que, la Sentencia del Tribunal Supremo citada considera, en relación con una
infracción del art. 9 de la LOPDP que “la obligación que recae sobre el responsable del
fichero y sobre el encargado del tratamiento respecto a la adopción de medidas
necesarias para garantizar la seguridad de los datos de carácter personal no es una
obligación de resultado sino de medios, sin que sea exigible la infalibilidad de las
medidas adoptadas. Tan solo resulta exigible la adopción e implantación de medidas
técnicas y organizativas, que conforme al estado de la tecnología y en relación con la
naturaleza del tratamiento realizado y los datos personales en cuestión, permitan
razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado”.
Sobre ello precisa que “No basta con diseñar los medios técnicos y organizativos
necesarios también es necesaria su correcta implantación y su utilización de forma
apropiada, de modo que también responderá por la falta de la diligencia en su
utilización, entendida como una diligencia razonable atendiendo a las circunstancias
del caso”.
Tal y como se ha venido demostrando y argumentando a lo largo del presente
procedimiento sancionador, se considera que no había implantadas unas medidas de
seguridad apropiadas para garantizar una seguridad adecuada al riesgo, aunque no
hubiera habido brecha de datos personales.
Al respecto, esta Agencia desea señalar que de ninguna manera considera que la
obligación de implementación de medidas de seguridad impuesta por la normativa de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
167/197
protección de datos tenga una naturaleza de obligación de resultado y no de medios.
Pero no es menos cierto que TPHS no contaba, antes de que se produjera el
incidente, con medidas que “conforme al estado de la tecnología y en relación con la
naturaleza del tratamiento realizado y los datos personales en cuestión, permitan
razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado”.
OCTAVA: DE LAS 211 RECLAMACIONES RELACIONADAS CON LA BRECHA DE
SEGURIDAD
TPHS señala que la AEPD inició las actuaciones previas de investigación el 20 de abril
de 2021, notificando el 19 de abril de 2022 resolución de caducidad de actuaciones al
haberse superado el plazo de doce meses de admisión a trámite de la reclamación. En
la misma resolución la Agencia acuerda abrir nuevas actuaciones de investigación,
incorporando a estas nuevas actuaciones la documentación relativa a las actuaciones
previas que declara caducadas.
Resalta TPHS que la única información que incluye en los hechos listados en dicha
resolución, distinta a la manejada durante el año anterior, es el listado de doscientas
once reclamaciones supuestamente relacionadas con la brecha de seguridad de
PHONE HOUSE. Lo anterior lleva a esta parte a considerar que el hecho determinante
de la imposibilidad de la AEPD de acotar el plazo de actuaciones previas de
investigación a lo previsto en el art. 67.2 LOPDGDD son esas doscientas once
reclamaciones.
Indica TPHS que ha solicitado en reiteradas ocasiones que se aporte el detalle de las
citadas doscientas once reclamaciones (vid. páginas 636 a 639, y páginas 660 a 661
del Expediente Administrativo). No obstante, la Agencia no le aportó esta información,
ni en dicha fase ni en las restantes ocasiones en que ha solicitado el Expediente
Administrativo completo del procedimiento sancionador que nos ocupa, donde no
constan. Así las cosas, a fecha de hoy TPHS sigue sin conocer el contenido de las
reclamaciones que se utilizan como justificación para poder alargar artificiosamente la
duración efectiva de las actuaciones previas de investigación, dejando, como queda
más que evidente, sin efecto alguno la caducidad, y por tanto el contenido de lo
dispuesto en el artículo 122.4 del Real Decreto 1720/2007, que de forma expresa
manifestó la AEPD que entendía de plena aplicación al presente caso.
Asimismo, subraya TPHS que esta justificación para la extensión de la duración de las
actuaciones previas de investigación se omite en los escritos de Acuerdo de Inicio y de
Propuesta de Resolución de esta Agencia, donde no se mencionan las doscientas
once denuncias. Lo anterior pone de manifiesto la incoherencia entre la extensión de
la duración de las actuaciones previas de investigación y el procedimiento sancionador
finalmente incoado por la AEPD.
TPHS, de manera adicional a este potencial uso fraudulento de las actuaciones
previas en el marco del presente procedimiento, subraya la imposibilidad de su
defensa frente a las doscientas once denuncias, cuyo contenido desconoce, y que han
sido tenidas en cuenta por esta Agencia en la investigación y posterior apertura de
procedimiento sancionador. A mi mandante se le ha negado su derecho a la defensa,
derecho básico del procedimiento administrativo sancionador derivado del art. 24.2 de
la Constitución Española.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
168/197
A este respecto, debe señalarse que TPHS solicitó copia de las citadas reclamaciones
en julio de 2022, es decir, mientras se estaban realizando las actuaciones previas de
investigación. En ambos casos no se le facilitaron las mismas ya que se le comunicó,
por parte de la Subdirección General de Inspección de Datos, que las actuaciones
previas de investigación tienen como finalidad lograr una mejor determinación de los
hechos y las circunstancias que pudieran justificar, en su caso, la tramitación de un
procedimiento sancionador, y no podían tener una duración superior a doce meses.
Asimismo, se le comunicó que, una vez concluidas, su resultado se pondría en
conocimiento de los interesados, notificándose el archivo de las actuaciones previas
de investigación, o bien, el acuerdo de inicio del procedimiento para el ejercicio de la
potestad sancionadora.
Por tanto, a lo largo del procedimiento sancionador no ha sido solicitado de forma
expresa por TPHS ni acceso ni copia de las citadas reclamaciones. Lo que se ha
pedido por parte de TPHS ha sido copia del expediente sancionador que se tramita, la
cual le fue debidamente facilitada y del que no forman parte dichas reclamaciones.
No obstante lo anterior, el hecho de que no se hayan incluido en la copia del
expediente solicitado -por no estar incluidas en el mismo-, ello no le ha provocado
indefensión alguna por cuanto el presente procedimiento sancionador se ha basado en
los hechos probados obtenidos durante las actuaciones previas de investigación
realizadas y que las mismas no se han centrado en las reclamaciones sino en las
investigaciones realizadas con ocasión de la notificación de la brecha de datos
personales realizada por TPHS, es decir, en los documentos obtenidos en la misma,
fundamentalmente aportados por la propia empresa.
Por tanto, las actuaciones de investigación se iniciaron con ocasión de la notificación
de la brecha de datos personales. Acorde con ello, con fecha 20 de abril de 2021, la
Directora de la AEPD ordena a la Subdirección General de Inspección de Datos que,
“como consecuencia de la notificación de la brecha de seguridad de datos personales
por parte del Responsable del Tratamiento TPHS y que afecta a datos personales,
valore la necesidad de realizar las oportunas investigaciones previas con el fin de
determinar una posible vulneración de la normativa de protección de datos, en virtud
de los poderes de investigación otorgados a las autoridades de control en el artículo
57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en
adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I,
Sección segunda, de la LOPDGDD”. (el subrayado es nuestro)
Por su parte, en la Resolución de caducidad de las actuaciones referida, de fecha
19/04/2022, se indica lo siguiente:
II
El artículo 67 de la LOPDGDD determina lo siguiente, respecto a las
actuaciones
previas de investigación:
“1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez
admitida a trámite la reclamación si la hubiese, la Agencia Española de
Protección de Datos podrá llevar a cabo actuaciones previas de investigación a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
169/197
fin de lograr una mejor determinación de los hechos y las circunstancias que
justifican la tramitación del procedimiento.
La Agencia Española de Protección de Datos actuará en todo caso cuando sea
precisa la investigación de tratamientos que implique un tráfico masivo de
datos personales.
2. Las actuaciones previas de investigación se someterán a lo dispuesto en la
Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener
una duración superior a doce meses a contar desde la fecha del acuerdo de
admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación
cuando la Agencia Española de Protección de Datos actúe por propia iniciativa
o como consecuencia de la comunicación que le hubiera sido remitida por la
autoridad de control de otro Estado miembro de la Unión Europea, conforme al
artículo 64.3 de esta ley orgánica.”
III
En relación con las actuaciones previas, el Reglamento de desarrollo de la
LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre,
en vigor en todo aquello que no contradiga, se oponga o resulte incompatible
con lo dispuesto en el RGPD y en la LOPDGDD, en su artículo 122.4 dispone
que “El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de
inicio de procedimiento sancionador producirá la caducidad de las actuaciones
previas”.
A tenor de lo dispuesto en los artículos transcritos, las actuaciones previas han
de entenderse caducadas si, transcurridos más de doce meses contados
desde la fecha de admisión a trámite de la reclamación, no se ha procedido a
dictar y notificar el acuerdo de inicio de procedimiento sancionador.
En el presente supuesto el cómputo de los doce meses de duración máxima de
las actuaciones previas E/04430/2021 se inició el día 20 de abril de 2020 y
actualmente aún están pendientes de finalización, por lo que deben declararse
caducadas.
IV
Por otra parte, el artículo 95.3 de la citada LPACAP, determina que: “La
caducidad no producirá por sí sola la prescripción de las acciones del particular
o de la Administración, pero los procedimientos caducados no interrumpirán el
plazo de prescripción.
En los casos en los que sea posible la iniciación de un nuevo procedimiento
por no haberse producido la prescripción, podrán incorporarse a éste los actos
y trámites cuyo contenido se hubiera mantenido igual de no haberse producido
la caducidad. En todo caso, en el nuevo procedimiento deberán
cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia
al interesado.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
170/197
Al respecto la Audiencia Nacional considera (Sentencia de 10 de julio de 2013)
que “declarada la caducidad de las actuaciones previas de investigación
iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no
supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar
otras actuaciones previas de investigación sobre los mismos hechos, siempre y
cuando no hubiere transcurrido el plazo de prescripción de la infracción
administrativa objeto de investigación”.
En consecuencia, dado que los hechos objeto de investigación no se
encuentran prescritos, se dan instrucciones a la Subdirección General de
Inspección de Datos para que inicie nuevas actuaciones de investigación.
Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia
Española de Protección de Datos, SE ACUERDA:
PRIMERO: DECLARAR la CADUCIDAD de las presentes actuaciones previas
de investigaciones señaladas con el número E/04430/2021.
SEGUNDO: ABRIR nuevas actuaciones de investigación e incorporar a estas
nuevas actuaciones la documentación que integra las actuaciones previas que
se declaran caducadas mediante el presente acto.
(el subrayado es nuestro)
Por lo expuesto, en el presente caso las actuaciones de investigación no se
impulsaron o se iniciaron como consecuencia de las reclamaciones presentadas, sino
que fueron consecuencia de la notificación por parte de TPHS de la brecha de datos
personales sufrida. Así se indica en la nota interior referida en la que la Directora de
esta Agencia dirigió a la Subdirección General de Inspección de Datos con fecha 19 de
abril de 2021 ordenando que valorase la necesidad de realizar las oportunas
investigaciones previas con el fin de determinar una posible vulneración de la
normativa de protección de datos. Y esa es la fecha que se tiene en cuenta para el
inicio del cómputo de las actuaciones de investigación las cuales, tras doce meses, se
declaró su caducidad el 19 de abril de 2022 y el inicio de unas nuevas actuaciones de
investigación.
Asimismo, las nuevas actuaciones de investigación se abrieron al objeto de poder
proseguir con las mismas, en concreto para poder solicitar aclaración sobre algunos
extremos así como recabar evidencias respecto de varios aspectos, como sobre la
existencia y aplicación de procesos de verificación o auditorías de implantación y
funcionamiento de las medidas de seguridad en los sistemas de información que tratan
datos personales con anterioridad al incidente; sobre la realización de
auditorías/revisiones periódicas para comprobar el cumplimiento del RGPD con
anterioridad al incidente; evidencias de la existencia, antes del incidente, de políticas
de formación y concienciación en la empresa sobre seguridad de la información y
protección de datos personales; evidencias sobre las EIPDs aportadas (su fecha,
firmantes, aplicación de las medidas indicadas en las mismas, etc).
Por tanto, como se ha señalado, las actuaciones previas de investigación no se
iniciaron ni, una vez caducadas, se iniciaron unas nuevas como consecuencia de las
reclamaciones presentadas, sino que lo fueron a raíz de la notificación de la brecha de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
171/197
seguridad de los datos personales efectuada por el investigado con fecha de 14 de
abril de 2021 y se ampliaron con posterioridad el día 28 de abril para poder obtener
evidencias sobre determinados extremos relacionados con dicha brecha, no con las
reclamaciones. Y el presente procedimiento sancionador se ha iniciado como
consecuencia de dichas investigaciones y no como consecuencia de las
reclamaciones presentadas, las cuales no han formado parte del mismo ni han tenido
relevancia en su tramitación.
Estas reclamaciones se presentaron ante la AEPD por clientes de TPHS con ocasión y
como consecuencia de la comunicación de la brecha realizada por TPHS a éstos, las
cuales se encuentran relacionadas con la misma pero que no han sido objeto de
tramitación individual ni forman parte del presente procedimiento sancionador. A estos
reclamantes se les comunicará la existencia de la resolución finalizadora del presente
procedimiento sancionador cuando la misma recaiga.
Por lo expuesto, debe concluirse que ello no le ha producido indefensión alguna a
TPHS, pues a lo largo de la tramitación del procedimiento sancionador que nos ocupa
ha conocido los hechos que se le imputan, la calificación de los mismos, las
infracciones que suponen y las sanciones a imponer. Asimismo, ha podido a lo largo
de todo el procedimiento sancionador formular las alegaciones que ha considerado
con aportación de la documentación que ha estimado pertinente.
Asimismo, como se ha señalado, en ningún momento de la tramitación del presente
procedimiento sancionador ha solicitado expresamente copia de las mismas.
NOVENA: SOBRE LA AUSENCIA DE PROPORCIONALIDAD EN LA FIJACIÓN DE LA
CUANTÍA DE LA SANCIÓN PROPUESTA
Aquí, en primer lugar, TPHS realiza una serie de alegaciones relativa a que por esta
Agencia no se ha probado ni concretado en qué hechos fácticos se basa para
determinar que existe negligencia en su actuación.
En relación con ello, procede remitirse a todo lo ya argumentado tanto en la Propuesta
de Resolución como en esta Resolución.
En cuanto a la falta de proporcionalidad de las sanciones impuestas, TPHS entiende
que el límite cuantitativo de 20 millones está estipulado para infracciones cometidas
por entidades con una inmensa capacidad económica. Sin embargo, este amplio
margen cuantitativo que la norma no puede servir para imponer sanciones
desproporcionadas a entidades sin esa capacidad, bajo el único pretexto de que están
por debajo del límite máximo.
Asimismo, entiende TPHS que la segunda cifra de referencia que recoge la norma, el
4% de la facturación, está estipulada para aquellas entidades en las que la cifra está
por encima de 20 millones de euros, e incluso en este caso, el límite sería ese 4% de
la facturación.
Por ello entiende que resulta desproporcionado que, a ella con una facturación en
2022 de (...) euros, se le sancione con una multa que alcanza el 4,58% de su
facturación y que asciende a 6.5000.000 euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
172/197
En este sentido, trae a colación la reciente resolución de la AEPD acaecida en el
procedimiento sancionador del expediente nº EXP202204846. En la misma, se impone
a la entidad ENDESA ENERGÍA, S.A.U. por un conjunto de infracciones de los
preceptos 5.1 f), 32, 33, 34 y 44 del RGPD, con una sanción que asciende a 6.100.000
euros (seis millones, cien mil euros), siendo una empresa que factura miles de
millones de euros al año.
Frente a ello, procede señalar varias cosas. En primer lugar, y en contra de la
interpretación que hace TPHS sobre los límites de los importes de las multas, ya se
explicó y argumentó cómo establece el RGPD dichos límites en la respuesta que se
dio a esta alegación en la Propuesta de Resolución y que se transcribe en el
Antecedente de Hecho Noveno, punto Décimo, al cual procede remitirse.
Así, se señaló, en primer lugar, que el artículo 83.1 RGPD establece que las multas
administrativas por las infracciones del RGPD deben ser “…en cada caso individual
efectivas, proporcionadas y disuasorias”, indicando a continuación en el apartado 2 del
citado precepto, que “Las multas administrativas se impondrán en función de las
circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas
contempladas…” (el subrayado es nuestro). Estableciendo a continuación
determinadas circunstancias a tener en cuenta.
Así, el cálculo del importe de las multas queda a decisión de la autoridad de control,
con sujeción a las normas previstas en el RGPD. En este contexto, el RGPD exige,
como se ha señalado, que el importe de la multa sea en cada caso efectivo,
proporcionado y disuasorio (artículo 83, apartado 1, del RGPD). Además, al fijar el
importe de la multa, las autoridades de control tendrán debidamente en cuenta una
lista de circunstancias que se refieren a las características de la infracción (su
gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD). Por último, el
importe de la multa no excederá de los importes máximos previstos en el artículo 83,
apartado 4, apartados 5 y 6, del RGPD. Por lo tanto, la cuantificación del importe de la
multa se basa en una evaluación específica realizada en cada caso, dentro de los
parámetros previstos por el RGPD.
En segundo lugar, en cuanto al límite máximo, a TPHS se le imputan dos infracciones:
una por infringir el artículo 5.1.f) RGPD y otra por infringir el artículo 32 RGPD,
infracciones que vienen, a su vez, tipificadas en el artículo 83.5 y 83.4
respectivamente.
A este respecto, el artículo 83.5 RGPD señala que las infracciones de las
disposiciones que indica “…se sancionarán con multas administrativas de 20.000.000
EUR, como máximo o, tratándose de una empresa, de una cuantía equivalente al 4%
como máximo del volumen del negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía” (el subrayado es nuestro).
Asimismo, el artículo 83.4 señala que las infracciones de las disposiciones que indica
“…se sancionarán con multas administrativas de 10.000.000 EUR, como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2% como máximo del
volumen del negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía” (el subrayado es nuestro).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
173/197
Es decir, los porcentajes sobre el volumen de negocio, cuando se trata de una
empresa, no operan como límites máximos cuando la cifra que arrojan es menor a 10
ó 20 millones -según estemos en la tipificación del apartado 4 ó 5 del artículo 83
RGPD respectivamente-, sino todo lo contrario, permiten obtener un límite máximo
superior a esos 10 ó 20 millones.
Por tanto, cuando el 2% ó el 4% del volumen de negocio total anual global de la multa
impuesta para cada infracción sea menor a los importes máximos establecidos en los
citados preceptos, 10 ó 20 millones de euros, éstos últimos serán los límites máximos.
Por el contrario, si esos porcentajes arrojan importes superiores, serán los tenidos en
cuenta como límites máximos. Y ello porque el RGPD establece que ha de optarse por
la de mayor cuantía.
En el presente caso, no se ha impuesto una única sanción, sino dos. Así, por la
infracción del artículo 5.1.f) RGPD, tipificada en el citado art. 83.5, se ha impuesto una
sanción de 4 millones de euros (atendiendo a las circunstancias del caso, entre otras
cuestiones por la gran cantidad de afectados). Teniendo en cuenta que el volumen de
negocio de TPHS del ejercicio 2022 ha sido de (...) €, no se ha superado, para esta
infracción, los límites del art. 83.5, pues permite hasta 20 millones o hasta el 4% del
volumen de negocio total anual global, optándose por la de mayor cuantía. Ni la multa
es superior a 20 millones de euros, ni siquiera se ha superado el 4% del volumen de
negocio.
Por la infracción del artículo 32 RGPD, tipificada en el art. 83.4 RGPD, se ha impuesto
una multa de dos millones y medio de euros, por lo que no se ha superado el límite de
los 10 millones ni el 2% del volumen de negocio total anual. Ni la multa es superior a
10 millones de euros, ni siquiera se ha superado el 2% del volumen de negocio.
Asimismo, la cuantía total de la suma de las dos multas impuestas por las dos
infracciones, no supera el límite máximo de la cuantía prevista para las infracciones
más graves, que en este caso es la prevista en el artículo 83.5 RGPD por la infracción
del art. 5.1.f), que establece 20.000.000 EUR, como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4% como máximo del volumen del negocio
total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.
No obstante, sin olvidar en todo momento que el cálculo de las multas requiere una
evaluación exhaustiva de las circunstancias concretas del caso.
En conclusión de todo ello, en lo que respecta a la conducta que infrinja las normas de
protección de datos, el RGPD no prevé una multa mínima. Más bien, el RGPD solo
prevé importes máximos en el artículo 83, apartados 4 a 6, del RGPD, en el que se
agrupan varios tipos de conducta diferentes. En última instancia, una multa solo puede
calcularse ponderando todos los factores expresamente identificados en el artículo 83,
apartado 2, letras a) a j), del RGPD, pertinentes para el caso y cualquier otro elemento
pertinente, incluso si no se enumeran explícitamente en dichas disposiciones [como
exige el artículo 83, apartado 2, letra k), del RGPD tener debidamente en cuenta
cualquier otro factor aplicable]. Por último, el importe final de la multa resultante de
esta evaluación debe ser efectivo, proporcionado y disuasorio en cada caso concreto
(artículo 83, apartado 1, del RGPD). Cualquier multa impuesta debe tener
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
174/197
suficientemente en cuenta todos estos parámetros, sin sobrepasar al mismo tiempo el
máximo legal previsto en el artículo 83, apartados 4 a 6, del RGPD.
En el presente caso, se han tenido en cuenta las circunstancias del caso: la gravedad
de las infracciones, las consecuencias de las mismas, la falta de diligencia mostrada,
los concretos tratamientos que realiza, la tipología de datos personales y el número de
personas afectadas, las circunstancias de la empresa (tamaño, volumen de negocio,
etc.), circunstancias todas ellas puestas de manifiesto y motivadas en el Acuerdo de
Inicio del presente procedimiento sancionador y que se reproducen en los
Fundamentos de Derecho VI y IX de la presente Resolución, a la que nos remitimos,
las cuales permiten concluir que se ha respetado el principio de proporcionalidad a la
hora de determinar la cuantía de las multas finalmente impuestas.
Por tanto, a la hora de determinar la cuantía de las multas no sólo se tiene en cuenta
el nivel de negocio de las empresas. Ello es una circunstancia más. También se tienen
en cuenta, como se ha señalado, otras circunstancias, especialmente las
circunstancias específicas de cada caso (lo que ha sucedido, los efectos o repercusión
para los datos personales, número de afectados, nivel de negligencia, etc). En el
expediente que trae a colación TPHS, las circunstancias son muy diferentes y, a modo
de ejemplo, en el referido EXP202204846, se confirmó la vulneración de la
confidencialidad de los datos personales de 760 personas y potencialmente de
millones (pero no acreditado). Mientras que en el caso que nos ocupa consta
acreditado que se ha vulnerado la confidencialidad de los datos personales de 13
millones de personas, constituyendo ello desde el punto de vista del número de
personas afectadas, uno de los episodios de exfiltración de datos personales más
importantes, sino el que más, sucedido en nuestro país.
Asimismo, la ausencia de medidas adecuadas y las deficiencias detectadas en otras
ha puesto de manifiesto una importante negligencia por parte de TPHS, medidas de
seguridad conocidas, básicas y al alcance de una empresa de su tamaño y con los
tratamientos masivos que realiza de millones de personas.
(…).
DÉCIMA: AGRAVANTES ASOCIADOS POR LA AEPD A LAS INFRACCIONES
Repite aquí TPHS el alegar que no está de acuerdo con el importe de la sanción
entendiendo que la misma vulnera el principio de proporcionalidad y que no se ha
justificado con circunstancias objetivas o subjetivas concurrentes.
Asimismo, le llama la atención a TPHS que, por un lado, la AEPD señale que la
infracción del artículo 32 se le imputa con independencia de la existencia o no de la
brecha, pero que luego se consideren agravantes de la infracción circunstancias
relativas a la brecha sufrida.
A este respecto, procede aclarar que en el presente caso no se sanciona por infracción
del artículo 32 con independencia o no de la brecha, sino que lo que se ha reseñado
es que las medidas, técnicas y organizativas, eran inadecuadas para garantizar un
nivel de seguridad adecuado al riesgo, con o sin brecha de datos personales. Pero sin
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
175/197
obviar que dichas deficiencias o, en algunos casos, ausencia directa de medidas, no
han permitido impedirla o cuanto menos reducir su impacto.
A continuación, procede TPHS a analizar las circunstancias que se han tenido en
cuenta como agravantes para indicar que no está de acuerdo y también las que
considera que deben aplicarse como atenuantes. Estas alegaciones son las mismas
que ya formuló frente a la Propuesta de Resolución, por lo que procede remitirse a lo
argumentado en respuesta a ello, que se transcribe en el Antecedente Noveno de la
presente Resolución, puntos Decimoprimero y Decimosegundo. Asimismo, en el
Acuerdo de Inicio se motivó la aplicación de cada agravante tenida en consideración,
motivación y argumentaciones que se replican en el Fundamento de Derecho VI y IX
de la presente Resolución. Por tanto, procede remitirse a los mismos en aras de
economía procesal.
No obstante, procede indicar algunas consideraciones siguiendo el orden de lo
alegado por TPHS:
1) Naturaleza y gravedad de la infracción (art. 83.2.a) RGPD)
Señala TPHS que no resulta de aplicación en relación con el incumplimiento del
artículo 5.1.f) RGPD en tanto la vulneración de la confidencialidad alegada por la
AEPD constituye el propio elemento constitutivo de la infracción.
A este respecto se señala que, si bien la infracción del artículo 5.1.f) RGPD se imputa
por pérdida de la confidencialidad con motivo de la brecha de datos personales, la
agravante del artículo 83.2.a) RGPD se ha aplicado en atención a las circunstancias
concretas de lo sucedido, es decir, no es lo mismo que se vulnere la confidencialidad
de 100 personas que la de millones. También se atiende a los datos personales
afectados y al número de estos. En este caso, no se puede olvidar especialmente el
elevado número de personas afectadas (13 millones) y la cantidad de datos
personales afectados (nombre y apellidos, DNI, dirección postal, email, número de
móvil, nacionalidad, sexo, fecha de nacimiento, IMEI de teléfono, número de cuenta
bancaria, detalles de empleo de los empleados de TPHS: puesto, número de
empleado, ciudad, fecha de incorporación a la compañía), etc.
2) Nivel de los daños y perjuicios sufridos
Aduce de nuevo TPHS que se ha estimado como agravante el hecho de que el
ciberdelincuente publicara los datos en la Deep Web.
Frente a ello, ya se le respondió expresamente sobre esta misma cuestión que planteó
en sus alegaciones al Acuerdo de Inicio y que fueron debidamente respondidas en la
Propuesta de Resolución y que se transcriben en el Antecedente de Hecho Noveno,
punto Tercero, al cual nos remitimos.
Así, no se le imputa la publicación en la Deep Web de los datos personales, sino que
ello se menciona como factor de acreditación de que se vulneró la confidencialidad y
de que los datos aparecieron en texto claro. La vulneración de la confidencialidad que
se imputa a TPHS es la que le corresponde, es decir, por incumplir la obligación
impuesta en el artículo 5.1.f de tratar los datos de tal manera que se garantice una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
176/197
seguridad adecuada de los mismos, incluida la protección contra el tratamiento no
autorizado o ilícito, mediante la aplicación de medidas técnicas u organizativas
apropiadas.
Procede recordar, en este sentido, que existen medidas dirigidas específicamente a
garantizar la confidencialidad de los datos personales, como el cifrado de los mismos o
la aplicación sobre ellos de técnicas de pseudonimización o anonimización, medidas
que además indicó expresamente en sus EIPD respecto de las actividades de
tratamiento afectadas por la brecha. En caso de haberse aplicado, no se hubiera
producido un acceso por un tercero no autorizado a los datos personales ni, en
consecuencia, la publicación ulterior de los mismos. Y ello porque la pérdida de
confidencialidad se constató como consecuencia de la exfiltración de los datos;
pérdida de confidencialidad, acceso de un tercero a los datos personales, que no se
hubiera producido si estos hubieran estado cifrados o pseudonimizados o
anonimizados, pues los delincuentes se hubieran llevado una información ininteligible.
A este respecto, procede traer a colación de nuevo la Sentencia de 22 de junio de
2021- Rec. 1210/2018, y la Sentencia de 5 de noviembre de 2011 -Rec. 1796/2019 en
la cual la Sala valorando el elemento subjetivo o culpabilístico “…insistiendo en que la
culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el
hecho de que haya mediado la posible actuación fraudulenta de un tercero, pues la
responsabilidad de la parte actora no deriva de la actuación de éste, sino de la suya
propia”.
3) Duración de la infracción
A este respecto, tal y como ya se indicó en la Propuesta de Resolución, TPHS tiene
identificados, al menos desde 2018, fecha de las EIPD, riesgos altos derivados de los
tratamientos de datos que realiza y las medidas adecuadas para mitigar o minimizar
los mismos, especialmente para garantizar la confidencialidad de los datos personales.
Sin embargo, tal y como se ha puesto de manifiesto, dichas medidas no estaban
implantadas en el momento de producirse el incidente, en abril de 2021.
En cuanto a que los tratamientos a que hacen referencia las EIPDs aportadas no
fueron afectados por la brecha, nos remitimos a lo ya argumentado sobre esta
cuestión en este Fundamento de Derecho, en el que se ha acreditado lo contrario.
Se recuerda asimismo que el tratamiento masivo no sólo se realizaba respecto de los
tratamientos afectados por las EIPDs aportadas, sino también respecto del resto de
tratamientos de datos personales almacenados en la base de datos afectada por la
brecha de seguridad, por cuanto ha quedado acreditado que no estaban implantadas
tales medidas ya que el ciberdelincuente accedió y exfiltró los datos personales de 13
millones de personas afectadas sin estar los mismos ni cifrados ni anonimizados o
pseudonimizados, tal y como lo refleja el hecho de que, posteriormente fueron
publicados en la Deep Web, apareciendo los mismos en texto claro, es decir,
perfectamente legibles.
4) Intencionalidad o negligencia en la infracción (art. 83.2.b)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
177/197
Señala TPHS que nunca tuvo la intención de causar un perjuicio al interesado, ni
siquiera por medio de una omisión de diligencia, trayendo para ello a colación el Anexo
(...) en el que se indica que no existe un nexo causal entre los hallazgos en el análisis
de la brecha y la brecha que finalmente se produce.
A este respecto, procede remitirse a todo lo indicado respecto de las valoraciones que
se recogen en el Anexo (...), así como sobre los hechos probados a lo largo del
presente procedimiento sancionador y que no han sido desvirtuados.
En cuanto a la falta de negligencia alegada, se significa que se ha argumentado
perfectamente la consideración de la existencia de la misma a lo largo de todo el
procedimiento sancionador, tanto en el Acuerdo de Inicio como en la Propuesta de
Resolución, pues la ausencia de determinadas medidas, así como las deficiencias en
otras, refleja una clara falta del deber de diligencia que se le debe exigir a una
empresa con la naturaleza de tratamientos de datos que realiza, así como por el
carácter masivo de éstos.
5) Vinculación de la actividad del infractor con la realización de tratamientos de
datos de carácter personal
De nuevo manifiesta TPHS no estar de acuerdo con que se le aplique este agravante
por entender por un lado que, si bien su actividad hace necesario el tratamiento de
datos personales, al igual que cualquier otra empresa, no es su actividad principal.
Asimismo, entiende que la interpretación que realiza la AEPD llevaría al absurdo de
tener que aplicar esta agravante siempre que se vulnerase la normativa en materia de
protección de datos puesto que siempre habría un tratamiento de datos personales.
A este respecto, ya se respondió sobre que su actividad, el desarrollo de su negocio,
supone y requiere de un continuo y abundante tratamiento de datos personales, tal y
como lo demuestra el hecho de que trata datos de, al menos, 13 millones de personas.
Por tanto, como se indicó en el Acuerdo de Inicio, TPHS es una empresa habituada al
tratamiento de datos personales, lo cual conlleva, de nuevo, la exigencia de un mayor
grado de diligencia.
Por otro lado, se señala que el artículo 83.2 del RGPD dispone que “Al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se tendrá
debidamente en cuenta: (…)
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso…”.
En este sentido, el legislador español ha considerado incluir en el artículo 76 de
la LOPDGDD que: “2. De acuerdo a lo previsto en el artículo 83.2.k) del
Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
178/197
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.”
Esta Agencia simplemente toma en consideración esa circunstancia, prevista por el
legislador, a la hora de decidir la imposición de la multa administrativa.
Cabe destacar que no puede tener a los efectos de decidir la imposición de una multa
administrativa, la misma consideración una infracción producida por una persona física
o una empresa pequeña no habituada al tratamiento de datos personales, que una
gran empresa como TPHS, acostumbrada al tratamiento de datos personales de
millones de clientes y no clientes, con una larga trayectoria a sus espaldas al respecto.
Por supuesto que se considera que la infracción es más grave a los efectos de
imponer una multa si el responsable del tratamiento se encuentra entre los segundos,
como es el caso de TPHS.
UNDÉCIMA: SOBRE LA CONCURRENCIA DE FACTORES ATENUANTES NO
CONSIDERADOS
Se reitera de nuevo TPHS en entender que deben aplicarse determinadas atenuantes.
A este respecto, ya se respondió sobre ello en la Propuesta de Resolución, y transcrito
en el Antecedente de Hecho Noveno, punto Decimotercero, al cual nos remitimos.
Insiste especialmente ahora en dos: ausencia de beneficio como consecuencia de la
presunta infracción y la forma en que esta Agencia tuvo conocimiento de la supuesta
infracción, pues fue TPHS quien diligentemente notificó la brecha de seguridad a raíz
del ataque sufrido.
En cuanto a la ausencia de beneficio, esta Agencia se reitera en lo que ya se indicó
respecto de que ello supondría una rebaja artificial y no prevista por la normativa, que
puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del
tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho
infractor. Asimismo, recordar que, sobre este criterio, el artículo 76.2 de la LOPDGDD,
en su letra c), incluye entre los criterios que deben sopesarse a la hora de fijar la
cuantía de la sanción “los beneficios obtenidos como consecuencia de la comisión de
la infracción” y no la ausencia de estos beneficios. La Sentencia de la Audiencia
Nacional, de 05/05/2021, se refiere a la necesidad de que concurra el “presupuesto”
de hecho contemplado en la norma para que pueda aplicarse un determinado criterio
de graduación, y, como se ha dicho, la ausencia de beneficios no está entre las
circunstancias reguladas en el artículo citado.
Por tanto, se trata de una circunstancia agravante y el hecho de que no concurra el
presupuesto para su aplicación conlleva que no pueda ser tomada en consideración,
pero no implica ni permite, como pretende la actora, su aplicación como atenuante”.
Por otro lado, notificar a la AEPD una brecha de seguridad de datos personales no se
considera atenuante dado que se trata de una obligación contemplada en la normativa
aplicable, cuya infracción es susceptible de un procedimiento sancionador ulterior
artículo 72.2.r) de la LOPDGDD)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
179/197
Por lo demás, esta Agencia se remite a lo ya indicado en la respuesta a las
alegaciones al acuerdo de inicio del presente procedimiento sancionador.
Asimismo, concluye TPHS que lo argumentado en las alegaciones al Acuerdo de
Inicio, junto con lo incluido en el presente escrito tiene como consecuencia la
aplicación del art. 83 RGPD y establecer la sanción correspondiente a la escala
inmediatamente inferior en gravedad y en su grado mínimo ya que no existe ni
culpabilidad ni antijuridicidad en la actuación de PHONE HOUSE.
A este respecto, se señala que no existe escala inmediatamente inferior a la gravedad
de las infracciones imputadas. El art. 83.5 tipifica la infracción del 5.1.f y permite
imponer la multa que allí se especifica. Por su parte, la infracción del artículo 32 RGPD
viene tipificada en el artículo 83.4 RGPD que indica la multa que se puede imponer. El
que la LOPDGDD diferencie entre infracciones muy graves, graves o leves lo es a los
sólo efectos de la prescripción de las mismas, pero no en cuanto a la gravedad de la
multa que se puede imponer, pues esta viene tipificada en el RGPD, concretamente en
los artículos 83.5 y 83.4 antes reseñados.
Por todo lo expuesto en ese Fundamento junto con todo lo argumentado en relación
con las alegaciones realizadas al Acuerdo de inicio, a las que nos remitimos, procede
desestimar las alegaciones formuladas.
IV Integridad y confidencialidad
El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o
ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación
de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»).”
El principio de integridad y confidencialidad de los datos exige una garantía de
seguridad en la aplicación de medidas técnicas u organizativas que eviten la alteración
de los datos personales, su pérdida, tratamiento o acceso no autorizado o ilícito. No es
posible la existencia de este derecho fundamental si no se garantizan la
confidencialidad, la integridad y la disponibilidad de los mismos.
De ahí que la integridad y la confidencialidad de los datos personales se consideren
esenciales para evitar que los interesados sufran efectos negativos. Por ello, deben
tratarse de un modo que se garantice una integridad y confidencialidad adecuadas de
los datos personales, especialmente para impedir el acceso tratamiento o uso no
autorizados de dichos datos.
En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
180/197
garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de
responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo
tiempo que respeta el derecho fundamental a la protección de datos.
A este respecto, debe recordarse que la confidencialidad de los datos personales se
regula en el artículo 5 del RGPD siendo, por tanto, uno de los principios relativos al
tratamiento. Los principios relativos al tratamiento son, por un lado, el punto de partida
y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo
verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro
lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento
susceptibles de ser infringidas.
Por tanto, el principio de confidencialidad debe informar todos los aspectos, derechos
y obligaciones que conlleva el tratamiento de datos personales. Ello es así, porque la
vulneración de la confidencialidad conlleva para sus titulares la pérdida de control
sobre los mismos, lo que puede suponer graves riesgos para sus derechos y
libertades.
El artículo 5.1.f) del RGPD establece una obligación clara de cumplimiento consistente
en impedir tratamientos no autorizados o ilícitos implementando medidas técnicas y
organizativas apropiadas de todo tipo. En consecuencia, los responsables del
tratamiento deben estar en disposición de garantizar la confidencialidad de los datos
personales para impedir que un tercero acceda a datos personales que no son de su
titularidad, pues precisamente les compete tratar los datos personales conforme al
RGPD y LOPDGDD. Por esta razón, es una actividad en donde la diligencia prestada
por éstos es fundamental para evitar este tipo de accesos.
En el presente caso, se ha vulnerado el principio de confidencialidad pues consta que
tras sufrir TPHS un ataque informático con ransomware, se produjo un acceso
ilegítimo a datos personales y la extracción o usurpación de los mismos, lo que supuso
la pérdida de confidencialidad y de control de numerosos datos personales de sus
clientes, antiguos clientes, posibles y/o futuros clientes, proveedores y empleados
(nombre y apellidos, DNI, dirección postal, email, número de móvil, nacionalidad, sexo,
fecha de nacimiento, IMEI de teléfono, número de cuenta bancaria, detalles de empleo
de los empleados de TPHS -puesto, número de empleado, ciudad, fecha de
incorporación a la compañía y correo electrónico empresarial-) y que afectó a una
cantidad ingente de personas (aproximadamente 13 millones de afectados).
Además, posteriormente esos datos personales de esos 13 millones de afectados
fueron publicados por el ciberdelincuente en la Deep Web, por lo que cualquier
persona en cualquier parte del mundo y sin consentimiento de sus titulares podría
tener acceso a ellos, lo que supone que el riesgo de la pérdida de confidencialidad se
ha vuelto a materializar, conllevando una pérdida total y absoluta de control sobre los
mismos. Además, al estar accesibles para cualquiera y de forma irremediable supone
un riesgo muy alto de uso fraudulento de los mismos (usurpación de identidad, fraude,
pérdidas financieras, etc) o de que sirvan para cualquier otra utilidad que en
determinadas circunstancias constituya una amenaza para sus titulares. Debe tenerse
en cuenta además que la mayoría de los datos personales filtrados son datos que no
pueden ser modificados o cambiados por otros (nombre, apellidos, DNI, domicilio…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
181/197
Esta pérdida de control sobre los propios datos personales, se traduce en una
vulneración del derecho fundamental a la protección de datos reconocido en el artículo
18 de la Constitución Española pues tal y como ha indicado el Tribunal Constitucional
(Sentencia 292/2000, de 30 de noviembre de 2000) “el derecho fundamental a la
protección de datos persigue garantizar a la persona un poder de control sobre sus
datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y
lesivo para la dignidad y derecho del afectado (…) El derecho a la protección de datos
garantiza a los individuos un poder de disposición sobre esos datos”
Por todo lo expuesto y de conformidad con las evidencias de las que se dispone se
considera que los hechos conocidos son constitutivos de una infracción, imputable a
TPHS, por vulneración del artículo 5.1.f) del RGPD.
V Tipificación de la infracción del artículo 5.1.f) del RGPD
La citada infracción del artículo 5.1.f) del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”
VI Sanción por la infracción del artículo 5.1.f) del RGPD
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone, procede graduar la sanción a
imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del
RGPD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
182/197
Como agravantes:
- Artículo 83.2.a) RGPD: Naturaleza, gravedad y duración de la infracción.
Se considera que la naturaleza de la infracción es grave puesto que acarrea una
pérdida de confidencialidad y, por tanto, de disposición y control irremediable sobre los
datos personales.
- Número de interesados afectados inmenso: 13 millones de afectados.
- Nivel de los daños y perjuicios sufridos: Alto. Fueron sustraídos numerosos datos
personales (nombre y apellidos, DNI, dirección postal, email, número de móvil,
nacionalidad, sexo, fecha de nacimiento, IMEI de teléfono, número de cuenta bancaria,
detalles de empleo de los empleados de TPHS) y de un número inmenso de personas
(13 millones) y finalmente publicados en la Deep Web, perdiendo, por tanto, todo
control sobre los mismos al estar accesibles para cualquiera y de forma irremediable,
lo que supone riesgo alto de uso fraudulento de los mismos (usurpación de identidad,
fraude, pérdidas financieras, etc), vaciando así de contenido el derecho fundamental a
la protección de datos personales que, como indica el Tribunal Constitucional en la
Sentencia anteriormente reseñada, persigue garantizar a la persona un poder de
control y disposición sobre sus datos personales, sobre su uso y destino, con el
propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado.
- Duración de la infracción: TPHS tiene identificados, al menos desde 2018, fecha de
las EIPD, riesgos altos derivados de los tratamientos de datos que realiza y las
medidas adecuadas para mitigar o minimizar los mismos, especialmente para
garantizar la confidencialidad de los datos personales. Sin embargo, tal y como se ha
puesto de manifiesto, dichas medidas no estaban implantadas en el momento de
producirse el incidente, en abril de 2021.
- Artículo 83.2.b) RGPD. Intencionalidad o negligencia en la infracción: Si bien se
considera que no hubo intencionalidad por parte de TPHS, sí puede observarse la
existencia de negligencia en el cumplimiento y observancia de las medidas técnicas y
organizativas para garantizar la seguridad necesaria para la protección de los datos
personales, concretamente para garantizar la confidencialidad de estos. A este
respecto, debe recordarse que TPHS es una gran empresa, que realiza tratamientos a
gran escala, realizando además perfilados, uso de cookies, etc, afectando sus
tratamientos a numerosas personas físicas (al menos 13 millones de personas) por lo
que se le exige un nivel de diligencia mayor y medidas de seguridad adecuadas para
garantizar la confidencialidad de los datos personales que trata.
Procede recordar, en este sentido, la Sentencia de la Audiencia Nacional de
17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el
continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o
no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad
de la recurrente es de constante y abundante manejo de datos de carácter personal ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
183/197
de insistirse en el rigor y el exquisito cuidado por ajustarse a las previsiones legales al
respecto.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:
Como agravantes:
- Artículo 76.2.b) LOPDGDD. Vinculación de la actividad del infractor con la realización
de tratamientos de datos de carácter personal: El desarrollo de la actividad
empresarial que desempeña TPHS supone un tratamiento continuo y a gran escala de
datos personales, realizando además tratamientos que conllevan la creación o
utilización de perfiles personales. Por tanto, se trata de una empresa grande habituada
al tratamiento de datos personales.
Considerando los factores expuestos, teniendo en cuenta las circunstancias del caso y
los criterios que establece el artículo 83.2 del RGPD, la valoración que alcanza la
cuantía de la multa por la infracción del artículo 5.1.f) del RGPD imputada es de
4.000.000 € (cuatro millones de euros).
VII Artículo 32 del RGPD
El Artículo 32 “Seguridad del tratamiento” del RGPD establece:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
184/197
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.
Hay que señalar que el RGPD en el citado precepto ya no establece un listado de las
medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto
de tratamiento, sino que establece que el responsable y el encargado del tratamiento
deben aplicar medidas técnicas y organizativas que sean apropiadas para garantizar
un nivel de seguridad adecuado al riesgo que conlleve el tratamiento, teniendo en
cuenta la naturaleza, alcance, contexto y finalidades del mismo, así como los riesgos
de probabilidad y gravedad para los derechos y libertades de las personas
interesadas. Y todo ello teniendo en cuenta el estado de la técnica y los costes de
aplicación.
Por tanto, las medidas de seguridad deben resultar adecuadas y proporcionadas al
riesgo detectado, señalando que la determinación de las medidas técnicas y
organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la
capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la
capacidad para restaurar la disponibilidad y acceso a datos tras un incidente.
En este mismo sentido, el considerando 83 del RGPD señala que: “A fin de mantener
la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento,
el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y
aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un
nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado
de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de
los datos personales que deban protegerse. Al evaluar el riesgo en relación con la
seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del
tratamiento de los datos personales, como la destrucción, pérdida o alteración
accidental o ilícita de datos personales transmitidos, conservados o tratados de otra
forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en
particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. (el
subrayado es nuestro)
En consecuencia, el art. 32.2 RGPD determina, como se ha señalado, que al evaluar
la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos
que presente el tratamiento de datos para los derechos y libertades de las personas
titulares de los datos personales (no los riesgos para la organización), en particular
como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos. Es decir, deben evaluarse los riesgos que el
tratamiento supone para la disponibilidad, integridad y confidencialidad de los datos
personales para así, establecer un nivel de seguridad adecuado a ello. No se trata, por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
185/197
tanto, de riesgos de cualquier otra índole (no son los riesgos para la organización
-para la confidencialidad de información importante para ella, para su negocio, para su
reputación, ni tampoco el riesgo que supone para ella el incumplimiento de ciertos
aspectos de la normativa en materia de protección de datos). En última instancia, lo
que se pretende es mitigar los riesgos que el tratamiento de datos personales puede
suponer para los derechos y libertades de las personas titulares de los mismos.
En consonancia con estas previsiones, el Considerando 75 del RGPD establece: Los
riesgos para los derechos y libertades de las personas físicas, de gravedad y
probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar
daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los
que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de
identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de
confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la
seudonimización o cualquier otro perjuicio económico o social significativo; en los
casos en los que se prive a los interesados de sus derechos y libertades o se les
impida ejercer el control sobre sus datos personales; en los casos en los que los datos
personales tratados revelen el origen étnico o racial, las opiniones políticas, la religión
o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos,
datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones
penales o medidas de seguridad conexas; en los casos en los que se evalúen
aspectos personales, en particular el análisis o la predicción de aspectos referidos al
rendimiento en el trabajo, situación económica, salud, preferencias o intereses
personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o
utilizar perfiles personales; en los casos en los que se traten datos personales de
personas vulnerables, en particular niños; o en los casos en los que el tratamiento
implique una gran cantidad de datos personales y afecte a un gran número de
interesados. (el subrayado es nuestro)
En definitiva, el primer paso para determinar las medidas de seguridad será la
evaluación del riesgo para los derechos y libertades de las personas. Una vez
evaluado será necesario determinar las medidas de seguridad encaminadas para
reducir o eliminar los riesgos para el tratamiento de los datos. Asimismo, una vez
determinadas e implantadas, debe llevarse a cabo un proceso de verificación (que no
auditoría), evaluación y valoración regulares de su eficacia para garantizar la
resiliencia.
En este sentido, procede señalar que TPHS es una gran empresa dedicada a la
comercialización de productos y servicios de telefonía móvil y que para ello realiza un
tratamiento de datos personales a gran escala, pues se refieren a un número muy
elevado de personas (clientes, futuros y/o posibles clientes, empleados, proveedores,
etc), conllevando algunos de esos tratamientos, además, la realización de perfilados o
profilling, uso de cookies, así como la observación continua y sistemática de zonas de
acceso público, lo cual supone un aumento de los riesgos para los derechos y
libertades de las personas físicas y cuya consecuencia es la obligación de TPHS de
adoptar medidas técnicas y organizativas adecuadas a ese riesgo alto de sus
tratamientos.
Por ello, derivado de la actividad a la que se dedica, TPHS está obligada a realizar de
forma muy especializada un análisis de los riesgos y, respecto de algunos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
186/197
tratamientos, evaluaciones de impacto en protección de datos y una implantación de
medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad
adecuado al riesgo de su actividad para los derechos y libertades de las personas. A
este respecto, se insiste, los riesgos a analizar no son los riesgos para la organización
(pérdida de información, pérdida de negocio, reputación, posibles sanciones por
incumplimientos legales, etc) sino riesgos para los derechos y libertades de las
personas físicas titulares de los datos.
En el presente caso, como se ha señalado anteriormente, TPHS sufrió un ataque con
ransomware, causando una brecha de seguridad consistente en una brecha de
confidencialidad, ya que se produjo un acceso ilegítimo a datos personales y la
extracción o usurpación de los mismos, lo que supuso la pérdida de confidencialidad y
de control de numerosos datos personales (nombre y apellidos, DNI, dirección postal,
email, número de móvil, nacionalidad, sexo, fecha de nacimiento, IMEI de teléfono,
número de cuenta bancaria) y que afectó a una cantidad inmensa de personas (13
millones de afectados). Además, posteriormente, esos datos personales fueron
publicados por el ciberdelincuente en la Deep Web.
Tal y como se indica en el Hecho Probado Cuarto, el “Informe de análisis de incidente
ransomware” elaborado por la empresa (...), contratada tras el incidente por TPHS
para el análisis de lo ocurrido y fechado el 21 de abril de 2021, y aportado por TPHS
EL 1 de marzo de 2021, indica que:
(…):
• (…).
• (…).
• (…).
• (…).
(…).
Del análisis de la documentación aportada por TPHS en las distintas notificaciones de
la brecha de seguridad y de las respuestas a los requerimientos de información
respecto de las causas que hicieron posible la brecha y las medidas de seguridad
existentes antes de la misma, resulta lo siguiente:
1.- En relación con la política de contraseñas:
En el “Informe de análisis de incidente ransomware” elaborado por la empresa (...),
contratada tras el incidente por TPHS para el análisis de lo ocurrido y fechado el 21 de
abril de 2021, y aportado por TPHS EL 1 de marzo de 2021en el que se analiza el
incidente sufrido, realizado por la empresa (...), se indica lo siguiente:
- (…)
- (…)
- (…)
- (…)
- (…)
- (…)
- (…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
187/197
Por otra parte, de conformidad con el Hecho Probado Noveno el inventario de
sistemas aportado por TPHS el 28 de junio de 2021 (Número de registro:
O00007128e2100028705), en relación con las medidas de control de acceso lógico a
los sistemas de información, contiene la siguiente información relevante:
- (…)
- (…)
- (…)
- (…)
- (…)
Asimismo, en el Informe “Evaluación del cumplimiento en materia de protección de
datos – Medidas de Seguridad –“, realizado por un tercero (Écija), fechado el 11 de
enero de 2021, por tanto, poco más de dos meses antes del incidente, en el que se
realiza un análisis de las obligaciones en materia de seguridad y organizativas de
TPHS conforme a la normativa en materia de protección de datos personales,
concretamente de las medidas de seguridad técnicas, se pone de manifiesto lo
siguiente:
- (…)
- (…)
(…).
Asimismo, tal y como se acredita en el Hecho Probado Octavo, en cuanto a la política
de contraseñas vigente tras el incidente aportada por TPHS (versión de 3 de mayo de
2021), se incluyen las siguientes medidas que no constaban en la anterior que estaba
vigente en el momento del incidente. Concretamente, incluye ahora medidas más
restrictivas en relación con la utilización de los usuarios con permisos de
administración:
- “(…):
(…).
(…).”
(…):
- (…)
- (…)
- (…)
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
188/197
2.-En relación con la protección de la seguridad perimetral de los sistemas de
información y de las medidas de monitorización para la detección de conducta
maliciosa dentro de la red, en el informe forense realizado por (...) se indica lo
siguiente:
- (…)
- (…)
- (…).
- (…)
- (…)
- (…)
Lo indicado pone de manifiesto que no había medidas adecuadas de detección y
restricción de entradas a la red interna de TPHS desde direcciones cuando menos
sospechosas, así como tampoco la salida de información desde las mismas. Tampoco
se detectaron los movimientos y actividad que realizó el atacante durante días,
exportando numerosa información de las bases de datos de TPHS, generando
además un aumento significativo de tráfico en la red.
Por otro lado, TPHS señala, como medidas que adoptó o que indica “en proceso de
implantación” tras el incidente y que, por tanto, no tenía implantadas, las siguientes:
- (…).
- (…).
- (…).
- (…).
- (…).
- (…)
- (…)
La mayoría de estas nuevas medidas van dirigidas precisamente a establecer reglas
más estrictas para controlar la entrada y la salida en su red, garantizando así una
mayor seguridad perimetral, así como para monitorizar y sondear la actividad dentro
de su red en aras de detectar posible conducta anómala o maliciosa (como las
exportaciones de datos).
Todo ello pone de manifiesto, por tanto, que con independencia de la brecha de datos
personales detectada no se contaba con medidas adecuadas para, por un lado,
prevenir y controlar tanto la entrada como la salida (reglas adecuadas en los
cortafuegos, por ejemplo), así como tampoco medidas adecuadas para vigilar y
monitorizar el tráfico en la red y cualquier otra actividad anómala.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
189/197
3.- En relación con la formación y concienciación de los empleados en materia de
protección de datos:
-TPHS afirma que entre 2018 y 2020 ha impartido cursos sobre el RGPD, aportando
una lista de 642 asistentes, (…).
-Afirma que desde 2018 los trabajadores que se incorporan a la compañía realizan un
curso en materia de protección de datos personales. Sin embargo, no acreditado
fehacientemente, pues aporta como justificación de ello un documento que, según
señala, es la prueba que evalúa los conocimientos adquiridos.
- Afirma que desde el año 2018 se remite la Política de Seguridad de la
Información a los trabajadores que se incorporan a la compañía. Aporta la
versión 2 de dicha política, del mes de marzo de 2022. Sin embargo, no se ha
aportado el vigente en el momento del incidente y, además, analizado dicho
documento, en el mismo se informa de generalidades, pero no establece reglas
claras a seguir por los empleados en aras de la seguridad, ni está adaptada a
los diferentes perfiles profesionales que pueden tener sus empleados.
4.-Evaluaciones de Impacto en Protección de Datos (EIPD) y medidas mitigadoras de
riesgos altos.
Por otro lado, TPHS ha aportado las EIPD que había realizado en 2018 y que indica
revisadas en 2020, respecto de actividades de tratamiento que habían sido afectadas
por la brecha de seguridad (“Marketing”, “Comunicaciones comerciales” “Control de
acceso a las instalaciones”), en las que se detectan riesgos “altos” o “muy altos” y, en
consecuencia, se determinan una serie de medidas a adoptar al objeto de mitigar esos
riesgos. Entre ellas (a modo no exhaustivo) se señalan las siguientes en las EIPD
realizadas:
-Verificar el juicio de idoneidad, proporcionalidad y necesidad de este
tratamiento.
-Aplicar el principio de minimización del dato para evitar el tratamiento de datos
excesivos.
-Implementar medidas de seudonimización y anonimización para el tratamiento
de datos personales.
-Implementar medidas de seudonimización y anonimización suficientes (k
anonimización) en el caso de tratamiento de datos especialmente masivos.
-Limitar el acceso a dicha información a las personas que tengan que acceder
necesariamente a dichos datos
Sin embargo, TPHS no ha acreditado que en el momento del incidente hubiera
implantado las medidas que señaló en sus propias EIPD indicando, a requerimiento de
esta Agencia, simplemente respuestas tipo “atendiendo a las características del
tratamiento, se indicó un riesgo muy alto”. Asimismo, como respuesta añade también
que “Tal y como señalan los informes de las PIAs, se indicó la necesidad de que una
vez implementadas las medidas correctoras identificadas como necesarias, sería
necesario hacer una revisión y comprobación tanto de su efectiva implantación, como
de la eficacia de las medidas propuestas”, proceso que según indica, queda acreditado
en los informes de evaluación aportados. Es decir, se remite a dichas evaluaciones,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
190/197
pero sin mención ni evidencias sobre la implantación de las medidas necesarias para
mitigar el riesgo que sus tratamientos suponen para los derechos y libertades de las
personas
Precisamente, en el Informe “Evaluación del cumplimiento en materia de protección de
datos – Medidas de Seguridad –Realizado por un tercero, Ecija“, fechado el 11 de
enero de 2021, por tanto, poco más de dos meses antes del incidente, se pone de
manifiesto lo siguiente:
- (…).
- (…)
Asimismo, también los hechos acontecidos ponen de manifiesto que no se habían
aplicado tales medidas por cuanto se produjo un acceso ilícito a los mismos y su
publicación posterior de forma perfectamente accesibles.
No debe olvidarse que el artículo 32.2 del RGPD determina que el responsable del
tratamiento aplicará medidas técnicas y organizativas apropiadas para garantizar un
nivel de seguridad adecuado al riesgo que, en su caso, incluya entre otros la
seudonimización y el cifrado de datos personales, la capacidad de garantizar la
confidencialidad, integridad y disponibilidad y resiliencia permanentes de los sistemas
y servicios de tratamiento y un proceso de verificación, evaluación y valoración
regulares de la eficacia de las medidas.
Por su parte, el artículo 35 del RGPD determina que:
1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas
tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para
los derechos y libertades de las personas físicas, el responsable del tratamiento
realizará, antes del tratamiento, una evaluación del impacto de las operaciones de
tratamiento en la protección de datos personales. Una única evaluación podrá abordar
una serie de operaciones de tratamiento similares que entrañen altos riesgos
similares.
Y en su apartado 7 indica que La evaluación deberá incluir como mínimo:
a) una descripción sistemática de las operaciones de tratamiento previstas y de
los fines del tratamiento, inclusive, cuando proceda, el interés legítimo
perseguido por el responsable del tratamiento;
b) una evaluación de la necesidad y la proporcionalidad de las operaciones de
tratamiento con respecto a su finalidad;
c) una evaluación de los riesgos para los derechos y libertades de los
interesados a que se refiere el apartado 1, y
d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas
de seguridad y mecanismos que garanticen la protección de datos personales,
y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta
los derechos e intereses legítimos de los interesados y de otras personas
afectadas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
191/197
De conformidad con ello, el Considerando 90 del RGPD, indica que, cuando los
tratamientos entrañen probablemente un alto riesgo para los derechos y libertades de
las personas físicas el responsable debe llevar a cabo, antes del tratamiento, una
evaluación de impacto relativa a la protección de datos con el fin de valorar la
particular gravedad y probabilidad del alto riesgo, teniendo en cuenta la naturaleza,
ámbito, contexto y fines del tratamiento y los orígenes del riesgo. Dicha evaluación de
impacto debe incluir, en particular, las medidas, garantías y mecanismos previstos
para mitigar el riesgo, garantizar la protección de los datos personales y demostrar la
conformidad con el presente Reglamento.
Continúa el Considerando 91 que Lo anterior debe aplicarse, en particular, a las
operaciones de tratamiento a gran escala que persiguen tratar una cantidad
considerable de datos personales a nivel regional, nacional o supranacional y que
podrían afectar a un gran número de interesados y entrañen probablemente un alto
riesgo, (…) La evaluación de impacto relativa a la protección de datos debe realizarse
también en los casos en los que se tratan datos personales para adoptar decisiones
relativas a personas físicas concretas a raíz de una evaluación sistemática y
exhaustiva de aspectos personales propios de personas físicas, basada en la
elaboración de perfiles de dichos datos o a raíz del tratamiento de categorías
especiales de datos personales, datos biométricos o datos sobre condenas e
infracciones penales o medidas de seguridad conexas. También es necesaria una
evaluación de impacto relativa a la protección de datos para el control de zonas de
acceso público a gran escala, en particular cuando se utilicen dispositivos
optoelectrónicos o para cualquier otro tipo de operación cuando la autoridad de control
competente considere que el tratamiento entrañe probablemente un alto riesgo para
los derechos y libertades de los interesados, en particular porque impida a los
interesados ejercer un derecho o utilizar un servicio o ejecutar un contrato, o porque
se efectúe sistemáticamente a gran escala.(…)
De ello se deduce que el resultado de la evaluación debe tenerse en cuenta cuando se
decidan las medidas adecuadas que deban tomarse con el fin de demostrar que el
tratamiento de los datos personales es conforme con el RGPD (Considerando 84),
pues las medidas mitigadoras de los riesgos (especialmente en caso de riesgos altos)
resultan esenciales para poder realizar los tratamientos pues en caso contrario, esos
tratamientos resultan contrarios al RGPD y demás normativa aplicable.
En conclusión, las EIPD son instrumentos importantes para la rendición de cuentas, ya
que son imprescindibles para los responsables no sólo para cumplir los requisitos del
RGPD, sino también para demostrar y acreditar que se han adoptado las medidas
adecuadas para garantizar el cumplimiento del RGPD (principio de responsabilidad
proactiva), concretamente, en este caso, para dar cumplimiento a lo determinado en el
artículo 32.
Por tanto, no se estaban implantando las medidas establecidas para mitigar los
riesgos detectados en las EIPD aportadas. Pero además, analizadas las mismas, el
enfoque de los riesgos no es correcto, pues en la mayoría de los análisis que se
realizan en ellas no se centra en los riesgos que el tratamiento puede suponer para los
derechos y libertades de las personas, en concreto, en los riesgos que para esos
derechos y libertades puede suponer que no se garantice adecuadamente la
confidencialidad, la disponibilidad y la integridad de los datos personales, lo que exige
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
192/197
una evaluación continua de esos riesgos, así como de las medidas implantadas para
mitigarlos, debiendo revisarse continuamente y documentarse todo adecuadamente,
pues el RGPD, en este aspecto, ha establecido una responsabilidad proactiva cuyo
cumplimiento está basado en la gestión del riesgo.
En este sentido, procede recordar que los riesgos a evaluar y, en consecuencia,
mitigar, no son los riesgos que para la organización puede tener la pérdida de
confidencialidad, seguridad e integridad de los datos y de su información o de
cualquier otro riesgo para la organización. Asimismo, tampoco son los riesgos que
para la organización puede suponer el incumplimiento de la normativa en materia de
protección de datos. Por tanto, las EIPD no son tampoco un listado o un check list de
cumplimiento normativo. El objetivo es la protección de las personas, no de las
organizaciones. Analizar los riesgos en protección de datos es analizar la probabilidad
y su impacto, es decir qué consecuencias negativas puede tener para los interesados
titulares de esos datos. Además, una EIPD y, en general, la gestión del riesgo que
debe llevar a cabo un responsable del tratamiento es un proceso que debe ser objeto
de evaluación, establecimiento o implementación y de revisión y mejora continua, todo
ello, se insiste, en aras de salvaguardar los derechos y libertades de las personas
titulares de los datos personales.
Por tanto, del resultado de la investigación llevada a cabo por esta AEPD en aras de
verificar si se estaba cumpliendo la normativa en materia de protección de datos por
parte de TPHS en el momento de la brecha de seguridad de datos personales,
analizado el procedimiento de gestión de cumplimiento normativo, se infiere que las
medidas de seguridad existentes no eran adecuadas a los riesgos detectados para los
derechos y libertades de las personas titulares de los datos personales, pues las
mismas o no existían o no eran eficaces por no estar correctamente implantadas o
aplicadas (como por ej., vulnerabilidades detectadas respecto a las credenciales y
contraseñas, la insuficiencia en la formación y concienciación de los empleados, la
inexistencia o ausencia de medidas dirigidas a controlar y monitorizar la red interna, el
no estar los datos personales cifrados o anonimizados o pseudoanonimizados, etc.), lo
que supone la existencia de vulnerabilidades ante cualquier incidente de seguridad -ya
sea el específico ataque sufrido ya sea cualquier otro, conocido o no- y que, además,
ha podido facilitar la concreta brecha de seguridad de datos personales padecida.
En este orden de cosas, en relación con el concreto ataque sufrido, se ha puesto de
manifiesto, con ocasión del mismo, esa carencia o inadecuación de las medidas
señaladas para garantizar la seguridad del tratamiento de los datos personales, (…).
(…).
Por lo expuesto, de conformidad con las evidencias de las que se dispone en este
momento de propuesta de resolución, y sin perjuicio de lo que resulte de la instrucción,
se considera que los hechos conocidos, con independencia de la brecha de datos
personales detectada, podrían ser constitutivos de una infracción, imputable a TPHS,
por vulneración del artículo 32 del RGPD.
VIII Tipificación de la infracción del artículo 32 del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
193/197
De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo
del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento
(UE) 2016/679.
IX Sanción por la infracción del artículo 32 del RGPD
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que la infracción en cuestión es grave a los efectos del
RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes
criterios que establece el artículo 83.2 del RGPD:
Como agravantes:
- Artículo 83.2.a) RGPD: Naturaleza, gravedad y duración de la infracción.
Se considera que la naturaleza de la infracción es grave puesto que supone que TPHS
no cuenta con medidas técnicas y organizativas adecuadas para garantizar un nivel de
seguridad adecuado al riesgo, lo que, además, ha supuesto una pérdida de
confidencialidad y, por tanto, de disposición y control sobre los datos personales.
- Número de interesados afectados muy elevado: 13 millones de afectados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
194/197
- Nivel de los daños y perjuicios sufridos: Alto. Fueron sustraídos numerosos datos
personales (nombre y apellidos, DNI, dirección postal, email, número de móvil,
nacionalidad, sexo, fecha de nacimiento, IMEI de teléfono, número de cuenta bancaria,
detalles de empleo de los empleados de TPHS) y de un número inmenso de personas
(13 millones) y finalmente publicados en la Deep Web, perdiendo, por tanto, todo
control sobre los mismos al estar accesibles para cualquiera y de forma irremediable,
lo que supone riesgo alto de uso fraudulento de los mismos (usurpación de identidad,
fraude, pérdidas financieras, etc).
- Duración de la infracción: TPHS tiene identificados, al menos desde 2018, fecha de
las EIPD, riesgos altos derivados de los tratamientos de datos que realiza (a gran
escala, realizando perfilados, etc) y las medidas adecuadas para mitigar o minimizar
los mismos. Sin embargo, tal y como se ha puesto de manifiesto, dichas medidas no
estaban implantadas en el momento de producirse el incidente, por lo que no se
estaban aplicando las medidas técnicas y organizativas apropiadas para garantizar un
nivel de seguridad adecuado al riesgo.
- Artículo 83.2.b) RGPD. Intencionalidad o negligencia en la infracción: Si bien se
considera que no hubo intencionalidad por parte de TPHS, sí puede observarse la
existencia de negligencia en el cumplimiento y observancia de las medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo de
los tratamientos que lleva a cabo. A este respecto, debe recordarse que TPHS es una
gran empresa, que realiza tratamientos masivos de datos personales de sus clientes y
futuros clientes, así como de los casi mil quinientos empleados, realizando además
perfilados, por lo que se le exige un nivel de diligencia mayor y medidas de seguridad
adecuadas a los riesgos altos derivados de su actividad. Por tanto, la ausencia de
tales medidas denota una grave negligencia en su actuación en relación con el
tratamiento de datos personales.
Procede recordar, en este sentido, la Sentencia de la Audiencia Nacional de
17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el
continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o
no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad
de la recurrente es de constante y abundante manejo de datos de carácter personal ha
de insistirse en el rigor y el exquisito cuidado por ajustarse a las previsiones legales al
respecto.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:
Como agravantes:
- Artículo 76.2.b) LOPDGDD. Vinculación de la actividad del infractor con la realización
de tratamientos de datos de carácter personal: El desarrollo de la actividad
empresarial que desempeña TPHS supone un tratamiento continuo y a gran escala de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
195/197
datos personales, realizando además tratamientos que conllevan la creación o
utilización de perfiles personales y el uso de cookies. Por tanto, se trata de una
empresa grande habituada al tratamiento de datos personales.
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
propuesta de resolución y sin perjuicio de lo que resulte de la instrucción, teniendo en
cuenta las circunstancias del caso y los criterios que establece el artículo 83.2 del
RGPD con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32
del RGPD, permite fijar una sanción de 2.500.000 € (dos millones y medio de euros).
X Adopción de medidas
De acuerdo con lo previsto en el acuerdo de inicio y en la propuesta de resolución, de
confirmarse las infracciones, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Por tanto, se estima procedente ordenar que adecúe los tratamientos objeto del
presente procedimiento a la normativa aplicable.
En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y
los hechos que han dado lugar a la vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.
En concreto, debe revisar sus EIPD y, en general, las evaluaciones de los riesgos que
sus tratamientos suponen para los derechos y libertades de las personas y que
proceda a implementar las pertinentes medidas que se determinen para mitigar esos
riesgos.
Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución sancionadora podrá ser considerado como una infracción
administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su
artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior
procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
196/197
RESUELVE:
PRIMERO: IMPONER a THE PHONE HOUSE SPAIN, S.L. con NIF B81846206, por
una infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD, una
multa administrativa de 4.000.000 € (cuatro millones de euros).
SEGUNDO: IMPONER a THE PHONE HOUSE SPAIN, S.L. con NIF B81846206, por
una infracción del artículo 32 del RGPD, tipificada en el artículo 83.5 del RGPD, una
multa administrativa de 2.500.000,00 € (dos millones quinientos mil euros).
TERCERO: ORDENAR a THE PHONE HOUSE SPAIN, S.L. con NIF B81846206, que
en virtud del artículo 58.2.d) del RGPD, en el plazo de seis meses, notifique a la
Agencia la adopción de las medidas a la vista del contenido del fundamento de
derecho X.
CUARTO: NOTIFICAR la presente resolución a THE PHONE HOUSE SPAIN, S.L.
QUINTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
197/197
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-21112023
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es