1/13
* Procedimiento Nº: PS/00254/2019
938-300320
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: En fecha de 13/12/2018 se recibe de un escrito de notificación de quiebra
de seguridad remitido por VOX ESPAÑA (en adelante VOX) en el que informan que
han tenido conocimiento, a través de las redes sociales, de un ataque informático
realizado por el Grupo ***GRUPO.1, el 12 de diciembre de 2018 a las 19:30 horas, que
ha permitido el acceso a la base de datos de suscriptores de noticias de la entidad.
La información accedida corresponde a datos básicos y VOX considera que puede
haber unos treinta mil afectados
Al tener conocimiento de los hechos VOX contrató un servicio especializado forense y
procedió a aislar la base de datos comprometida.
SEGUNDO: A la vista de la citada comunicación, la Subdirección General de
Inspección de Datos procedió a la realización de actuaciones previas de investigación
teniendo conocimiento de los siguientes extremos:
1. Con fecha 13 de diciembre de 2018, desde la Inspección de Datos se accede a
diversas noticias publicadas en las webs ***URL.1, ***URL.2, ***URL.3 en las que
se pone de manifiesto el ataque realizado por el Grupo ***GRUPO.1 a los
servidores de la página web de VOX y el acceso a datos de unos 30.000 usuarios.
En las noticias se informa que el grupo ***GRUPO.1 ha publicado en su cuenta de
Twitter (***CUENTA.1) el ataque a la web de VOX y la información a la que ha
tenido acceso, por otra parte, VOX también ha publicado en su cuenta de Twitter
(***CUENTA.2) la existencia del ataque y que ha sido puesto en conocimiento de
las Fuerzas y Cuerpos de Seguridad del Estado.
2. Con fecha 13 de diciembre de 2018, desde la Inspección de Datos se comprueba
la existencia de un “tweet” firmado por ***CUENTA.1 donde se informa del acceso
a 30.000 registros de VOX y se publica una página con los datos de nombre y
apellidos parcialmente anonimizados.
3. Con fecha 21 de diciembre de 2018 se requiere información a VOX y de la
respuesta recibida con fecha 15 de enero de 2019 se desprende:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/13
3.1 Respecto de la cronología de los hechos
El 12 de diciembre de 2018 a las 19:30 horas, VOX tuvo conocimiento, a
través de las redes sociales, de un ataque informático a la web alojada en
un servidor externo de la compañía 1&1 Internet España, S.L. (en adelante
1&1) con la que tiene suscrito un contrato de encargado del tratamiento.
El ataque fue realizado por el Grupo ***GRUPO.1 tal y como se publica en
su cuenta de Twitter ***CUENTA.1
VOX procedió a inhabilitar el equipo atacado y a dar traslado de la
incidencia de seguridad a la Agencia Española de Protección de Datos, el
13 de diciembre y a formalizar denuncia ante la Guardia Civil el 14 de
diciembre.
VOX contacta con la empresa proveedora de hosting 1&1 y con la entidad
S21Sec especializada en seguridad para la investigación del ciberataque.
VOX manifiesta que los datos afectados corresponden a la base de datos
de suscriptores a noticias del partido para el envío de newsletter que
mantenía 30228 registros.
El 14 de diciembre a las 20:36 se comunicó a todos sus integrantes un
mensaje indicando el ataque sufrido a la web.
VOX manifiesta que no tienen conocimiento de la utilización por terceros de
los datos sustraídos en el ciberataque.
3.2 Respecto de la categoría de los datos afectados
VOX manifiesta que “Los datos sustraídos por los piratas son datos del
tratamiento de suscriptores a las notificas del partido, no son datos de
especial protección, es un tratamiento simplemente informativo general de
las actividades y agenda del partido, lo que no supone ni adscripción
política ni ideológica (…) es simplemente un tratamiento para el envío de
una newsletter informativa a interesados”
En el documento de Registro de Actividades del Tratamiento, respecto del
tratamiento de datos para el envío de newsletter, figura en el apartado
“Categoría de datos” y subapartado “Datos identificativos” el nombre y
apellidos, dirección postal o electrónica y teléfono. Y en el subapartado de
“Datos sensibles” “No Existen”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/13
En el documento de Análisis de Riesgos apartado “Identificación de los
tratamientos de datos personales”, respecto del tratamiento para el envío
de newsletter, figura como Categoría BASICO.
3.3 Respecto de las acciones tomadas para minimizar la incidencia
Des habilitación del formulario donde se recaban los datos para los
suscriptores a la newsletter.
A este respecto, con fecha 13 de diciembre de 2018, desde la Inspección
de Datos se ha accedido a la web de VOX en la dirección ***URL.4
verificando que en la opción de suscripción figura el mensaje
“Suscripciones en operación de mantenimiento” sin solicitar ningún dato
personal.
Borrar todos los datos de la base de datos atacada.
3.4 Respecto del informe de auditoría sobre la web objeto del ataque
[…]
3.5 Respecto del informe de la incidencia
VOX ha remitido a esta Agencia informe realizado por la empresa S21Sec
contratada para analizar las causas que han provocado el incidente de seguridad.
De este informe se desprende:
[…]
3.6 Respecto de la resolución final de la incidencia
[…]
TERCERO: Con fecha 25 de septiembre de 2019, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
presunta infracción del artículo 32.1 del RGPD tipificada como infracción grave en el
artículo 73 f) de la LOPDGDD y en el Artículo 83.4 del RGPD.
CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones en el que, en síntesis, manifestaba que:
VOX dispone de un sistema que podemos categorizar como seguro
especialmente para el uso al cual se dedica y que el ataque sufrido podría no
haber sido detectado hasta su ejecución o publicación en las redes sociales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/13
S21Sec que ciertamente encontró varias vulnerabilidades, pero no pudo
asegurar al cien por cien las herramientas utilizadas por los atacantes, pues los
mismos se tratan de terroristas informáticos que utilizan técnicas depuradas.
En función de las recomendaciones de S21Sec enviamos informe a la Agencia
de todas las medidas implementadas en nuestro sistema de información para
mejorar la seguridad en cuanto a:
[…]
No pueden considerarse datos ideológicos los suscriptores de las newsletter. El
criterio mantenido por la AEPD hasta ahora contradice dicha consideración, tal
como se pone de manifiesto en los Informes de 24 de enero de 2001, 28 de
febrero de 2003, y de 29 de abril de 2008, entre otros. Existe la posibilidad de
que las personas que han accedido al formulario de suscripción a noticias
pudieran ser meramente gente interesada en las actividades del partido VOX,
sin necesidad de imperativamente estar afiliado al mismo, por lo cual podría
quedar desvirtuado el que dicho dato reflejara una adscripción ideológica.
En otros procedimientos que versan sobre hechos similares, la AEPD ha
procedido al archivo de las actuaciones. En este caso VOX actuó de modo
diligente y con total celeridad para aminorar los efectos desfavorables en los
derechos de los afectados.
QUINTO: Con fecha 12/12/2019, el instructor del procedimiento acordó la apertura de
un período de práctica de pruebas, teniéndose por incorporadas las actuaciones
previas de investigación, E/10207/2018, así como las alegaciones y los documentos
del investigado.
SEXTO: Con fecha 3 de febrero de 2020, por el Instructor del procedimiento se
formuló propuesta de resolución en el sentido de que por la Directora de la Agencia
Española de Protección de Datos se sancione a VOX ESPAÑA, con NIF G86867108,
con APERCIBIMIENTO por la infracción del artículo 32 del RGPD, tipificada como
infracción grave en el artículo 73 f) de la LOPDGDD.
SÉPTIMO: De las actuaciones practicadas en el presente procedimiento y de la
documentación obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
UNO.- Con fecha 13/12/2018, desde la Inspección de Datos se accede a diversas
noticias publicadas en las webs ***URL.1, ***URL.2, ***URL.3 en las que se pone de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/13
manifiesto el ataque realizado por el Grupo ***GRUPO.1 a los servidores de la página
web de VOX y el acceso a datos de unos 30.000 usuarios.
En las noticias se informa que el grupo La Nueve ha publicado en su cuenta de Twitter
(***CUENTA.1) el ataque a la web de VOX y la información a la que ha tenido acceso,
por otra parte, VOX también ha publicado en su cuenta de Twitter (***CUENTA.2) la
existencia del ataque y que ha sido puesto en conocimiento de las Fuerzas y Cuerpos
de Seguridad del Estado.
DOS.- Con fecha 13/12/2018, desde la Inspección de Datos se comprueba la
existencia de un “tweet” firmado por ***CUENTA.1 donde se informa del acceso a
30.000 registros de VOX y se publica una página con los datos de nombre y apellidos
parcialmente anonimizados.
TRES.- VOX procedió a inhabilitar el equipo atacado y a dar traslado de la incidencia
de seguridad a la AEPD, el 13/12/2018 y a formalizar denuncia ante la Guardia Civil el
14 de diciembre.
CUATRO.- El 14/12/2018 a las 20:36 se comunicó a todos sus integrantes un mensaje
indicando el ataque sufrido a la web.
CINCO.- En el Informe de S21Sec que encargó VOX para analizar las causas que
han provocado el incidente de seguridad, se indica lo siguiente:
Se ha hecho un análisis básico automatizado de seguridad y se ha encontrado 22
vulnerabilidades en total, siendo 1 de carácter grave y 2 de carácter medio, que han
sido remitidas a sus responsables para su corrección.
• Se ha realizado un análisis básico del código fuente de la aplicación del servidor,
encontrando varias vulnerabilidades graves confirmadas que deben ser corregidas y
que en general tienen que ver con la validación de los parámetros de entrada, y que
deben ser corregidas a la mayor brevedad.
• Se han detectado algunas carencias en materia de seguridad que se recogen en el
apartado de recomendaciones, y que se consideran particularmente importantes
articular cuanto antes, dado que el perfil del servidor se considera de alto riesgo.
Una de las vulnerabilidades que se han dictaminado como grave “podrían permitir a un
atacante recuperar usuario y contraseña interceptando una conexión existente”.
El informe describe la vulnerabilidad como “la aplicación no comprueba los parámetros
de entrada y puede ser utilizada para infectar usuarios y para robo de sesión”.
•S21Sec concluye que, aunque no se ha podido asegurar al cien por cien las
herramientas utilizadas por los atacantes, consideran que podría haber sido una
inyección de SQL vía las vulnerabilidades del sistema y el posible acceso a directorios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/13
del servidor web antiguo en el que se podría haber volcado backups de la web con
datos a los que los atacantes tuvieron acceso.
•S21Sec recomienda una serie de medidas técnicas y realizar un análisis en
profundidad de la web ya que considera que va a seguir siendo objetivo de campañas
de hackeo y espionaje.
SEIS.- En fecha de 13/06/2019 VOX aporta un escrito dónde se recogen las medidas
adoptadas a raíz del informe de S21Sec.
SIETE.- En fecha de 12/10/2019 VOX presentó dos informes de las entidades HADOQ
IT, S.L, y SERVYTEC NETWORKS, S.L., que ponen de manifiesto que se han
solucionado las vulnerabilidades detectadas y se ha alcanzado un nivel óptimo de
seguridad.
FUNDAMENTOS DE DERECHO
I
Es competente para resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del
RGPD y en los art. 47 y 48.1 de LOPDGDD.
II
Establece el artículo 4.12 del RGPD que se considera “violación de la seguridad de los
datos personales”: toda violación de la seguridad que ocasione la destrucción, pérdida
o alteración accidental o ilícita de datos personales transmitidos, conservados o
tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
Establece el artículo 33.1 del RGPD lo siguiente:
En caso de violación de la seguridad de los datos personales, el responsable
del tratamiento la notificará a la autoridad de control competente de conformidad con
el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de
que haya tenido constancia de ella, a menos que sea improbable que dicha violación
de la seguridad constituya un riesgo para los derechos y las libertades de las personas
físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72
horas, deberá ir acompañada de indicación de los motivos de la dilación.
De las actuaciones practicadas se desprende que VOX informó a esta
Agencia Española de Protección de Datos, al día siguiente de producirse la violación
de datos personales, dando cumplimiento a lo establecido en el artículo 33.1 del
RGPD.
III
Establece el artículo 32 del RGPD lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/13
1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente
en cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos. (El subrayado es de la Agencia Española de
Protección de Datos.)
De las actuaciones practicadas se ha verificado que las medidas de seguridad
que contaba la entidad investigada en relación con los datos que sometía a
tratamiento, no eran las adecuadas al momento de producirse la violación de datos,
pues se hallaron, según el informe aportado (…)varias vulnerabilidades graves
confirmadas que deben ser corregidas y que en general tienen que ver con la
validación de los parámetros de entrada, y que deben ser corregidas a la mayor
brevedad.(…)
La consecuencia de esta falta de medidas de seguridad adecuadas fue la
exposición pública en internet de los datos personales de suscriptores para la
recepción de información relacionada con la actividad del responsable. Es decir, los
afectados se han visto desprovistos del control sobre sus datos personales.
IV
Establece el artículo 28 de la LOPDGDD lo siguiente:
1. Los responsables y encargados, teniendo en cuenta los elementos
enumerados en los artículos 24 y 25 del Reglamento (UE) 2016/679, determinarán las
medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y
acreditar que el tratamiento es conforme con el citado reglamento, con la presente ley
orgánica, sus normas de desarrollo y la legislación sectorial aplicable. En particular
valorarán si procede la realización de la evaluación de impacto en la protección de
datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV del citado
reglamento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/13
2. Para la adopción de las medidas a que se refiere el apartado anterior los
responsables y encargados del tratamiento tendrán en cuenta, en particular, los
mayores riesgos que podrían producirse en los siguientes supuestos:
a) Cuando el tratamiento pudiera generar situaciones de discriminación,
usurpación de identidad o fraude, pérdidas financieras, daño para la reputación,
pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no
autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social
significativo para los afectados.
b) Cuando el tratamiento pudiese privar a los afectados de sus derechos y
libertades o pudiera impedirles el ejercicio del control sobre sus datos personales.
c) Cuando se produjese el tratamiento no meramente incidental o accesorio
de las categorías especiales de datos a las que se refieren los artículos 9 y 10 del
Reglamento (UE) 2016/679 y 9 y 10 de esta ley orgánica o de los datos relacionados
con la comisión de infracciones administrativas. (…) (El subrayado es de la Agencia
Española de Protección de Datos.)
V
Establecen los Considerandos 51 y 75 del RGPD lo siguiente:
(51) Especial protección merecen los datos personales que, por su
naturaleza, son particularmente sensibles en relación con los derechos y las libertades
fundamentales, ya que el contexto de su tratamiento podría entrañar importantes
riesgos para los derechos y las libertades fundamentales.
(75) Los riesgos para los derechos y libertades de las personas físicas, de
gravedad y probabilidad variables, pueden deberse al tratamiento de datos que
pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular
(…) en los casos en los que el tratamiento pueda dar lugar a problemas de
discriminación, usurpación de identidad o fraude; en los casos en los que se prive a
los interesados de sus derechos y libertades o se les impida ejercer el control sobre
sus datos personales; en los casos en los que los datos personales tratados revelen el
origen étnico o racial, las opiniones políticas, (…)El subrayado es de la Agencia
Española de Protección de Datos.
Al contrario de lo que indica VOX en sus alegaciones formuladas al acuerdo
de inicio, desde esta Agencia no se está considerando los datos personales objeto de
la violación de seguridad, como datos ideológicos que merezcan subsumirse bajo el
paraguas del art. 9 del RGPD que bajo la rúbrica “Categorías especiales de datos”,
incluye como tales datos personales que revelen (…), las opiniones políticas(…), sino
que del tipo de datos que han sido objeto de exposición y del tipo concreto de
exposición, esto es, en internet, se pone de manifiesto un determinado riesgo que hay
que tener en cuenta, tal como se indica a continuación.
Los datos en cuestión, versan sobre la suscripción a una newsletter de la
actividad del partido político, y que, si bien no implica necesariamente datos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/13
carácter ideológico, la exposición pública a través de internet de esta información,
puede dar lugar a la realización de determinadas combinaciones con otras
informaciones -también publicadas en internet o por otras fuente, como comentarios
en redes sociales, participación en foros, seguimiento de determinados perfiles de
usuario en redes sociales, etc., - y situar a sus titulares en un determinado
posicionamiento en ese sentido.
Sobre la posibilidad de combinación de informaciones referidas a un titular de
datos personales, se puede traer a colación el Dictamen 4/2007 del Grupo de Trabajo
del Articulo 29, “Sobre el concepto de datos personales” que si bien analiza las
posibilidades de identificar a alguien a través de combinaciones con otras
informaciones, resultan de gran claridad, cuando nos referimos al riesgo de atribuir
una determinada ideología política, partiendo únicamente de los datos de un suscriptor
a la información de dicho partido, y combinándola con otra.
En concreto indica lo siguiente: (…)cuando hablamos de «indirectamente»
identificadas o identificables, nos estamos refiriendo en general al fenómeno de las
«combinaciones únicas», sean estas pequeñas o grandes. En los casos en que, a
primera vista, los identificadores disponibles no permiten singularizar a una persona
determinada, ésta aún puede ser «identificable», porque esa información combinada
con otros datos (tanto si responsable de su tratamiento tiene conocimiento de ellos
como si no) permitirá distinguir a esa persona de otras. Aquí es donde la Directiva se
refiere a «uno o varios elementos específicos, característicos de su identidad física,
fisiológica, psíquica, económica, cultural o social». Algunas de esas características
son tan únicas que permiten identificar a una persona sin esfuerzo (el «actual
presidente del Gobierno de España»), pero una combinación de detalles
pertenecientes a distintas categorías (edad, origen regional, etc.) también puede ser lo
bastante concluyente en algunas circunstancias, en especial si se tiene acceso a
información adicional de determinado tipo. Este fenómeno ha sido estudiado
ampliamente por los estadísticos, siempre dispuesto a evitar cualquier
quebrantamiento de la confidencialidad(…)Así pues, se unen las diferentes piezas que
componen la personalidad del individuo con el fin de atribuirle determinadas
decisiones.(…)
Como se ha indicado anteriormente, en este caso la búsqueda en internet,
por ejemplo, del nombre, apellidos o dirección de correo electrónico de alguno de los
afectados puede ofrecer resultados que combinándolos con el de la suscripción a
recibir noticias sobre la actividad del partido político, es decir, los que han sido objeto
de la brecha de seguridad, nos revelen, una determinada ideología política, cuya
revelación no tiene por qué haber sido consentida por su titular.
Esta posibilidad supone un riesgo que se ha de valorar a la hora de tratar
determinados datos con esta característica y que aumenta la exigencia del grado de
protección en relación con la seguridad y salvaguarda de la integridad y
confidencialidad de estos datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/13
Este riesgo debe ser tenido en cuenta por el responsable del tratamiento y en
función del mismo establecer las medidas que hubieran impedido la pérdida de control
de los datos por parte del responsable del tratamiento y, por tanto, por parte de los
titulares de los datos que los proporcionaron a éste.
VI
Establece el artículo 71 de la LOPDGDD, bajo la rúbrica “Infracciones” lo
siguiente: Constituyen infracciones los actos y conductas a las que se refieren los
apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que
resulten contrarias a la presente ley orgánica.
Establece el artículo 73 de la LOPDGDD, bajo la rúbrica “Infracciones
consideradas graves” lo siguiente: En función de lo que establece el artículo 83.4 del
Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las
infracciones que supongan una vulneración sustancial de los artículos mencionados
en aquel y, en particular, las siguientes:
f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del
tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE)
2016/679.
En el presente caso concurre la circunstancia prevista en el artículo 73 f) de
la LOPDGDD arriba referido.
VII
Establece la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público, en el Capítulo III relativo a los “Principios de la Potestad sancionadora”, en el
artículo 28 la bajo la rúbrica “Responsabilidad”, lo siguiente:
1. Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa
Respecto del elemento subjetivo en la comisión de la infracción del artículo
32.1 del RGPD, debe tenerse en cuenta que VOX no contaba con las medidas de
seguridad adecuadas a fin de evitar la violación de seguridad acontecida, prueba de
ello es, en primer lugar, el sentido del primer informe del incidente de seguridad donde
se hace constar que se hallaron varias vulnerabilidades graves confirmadas que deben
ser corregidas y que en general tienen que ver con la validación de los parámetros de
entrada, y según se desprende del informe aportado, deben ser corregidas a la mayor
brevedad, y en segundo lugar, las acciones que se recomiendan que se adopten y las
que afirman que se adoptaron en su escrito de 13 de junio de 2019.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/13
Esta falta de diligencia a la hora de implementar las medidas de seguridad
adecuadas constituyen el elemento de la culpabilidad que requiere toda imposición de
sanción.
En cuanto a las posibles causas que provocó la violación de seguridad, en el
informe de la entidad S21Sec se hacía constar lo siguiente: […]
Respecto de los ataques informáticos a través de técnicas como inyección
SQL, esta Agencia se ha pronunciado en otras resoluciones, sirva citar a modo de
ejemplo la recaída en el Procedimiento Sancionador nº PS/00187/2017, dónde se
hacía constar lo siguiente:
(…)El intruso utilizó una técnica denominada “Inyección de SQL” para
conseguir acceso al entorno del sistema Planet Vtech alojado en el servicio Amazon
Web Services. La Inyección de SQL es un tipo de ataque conocido al menos desde
2003. Ha estado en la lista1 de las 10 vulnerabilidades más utilizadas entre los años
2003 y 2011 y ha afectado a centenares de miles 2 de sitios web de todo el mundo a
pesar de que su solución es conocida y sencilla de implementar.(…)
(…)Existen vulnerabilidades asociadas a técnicas de inyección de SQL
documentadas desde 20023. Según la clasificación de OWASP14, los ataques
basados en este tipo de técnicas han estado entre los 10 más relevantes desde 20044.
(…)
Asimismo, la ausencia de consideración del riesgo que puede suponer el
acceso no autorizado por terceros a datos de suscriptores de información relacionada
con un partido político, y su posterior difusión pública, agrava el reproche culpabilístico
y sancionador de la conducta llevada a cabo por VOX.
De lo indicado hasta ahora, se desprende la falta de diligencia de VOX a la
hora de implementar medidas de seguridad Teniendo en cuenta el estado de la
técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del
tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos
y libertades de las personas físicas ( art. 32 RGPD), que da contenido al elemento
culpabilístico de la acción típica y antijurídica.
VIII
Establece el artículo 58.2 del RGPD lo siguiente:
2. Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
1
http://cwe.mitre.org/top25
2
https://www.netsparker.com/blog/web-security/sql-injection-vulnerability-history
3
https://www.cvedetails.com/vulnerabilities-by-types.php
4
https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/13
b) sancionar a todo responsable o encargado del tratamiento con
apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en
el presente Reglamento;
(…)
Establece el artículo 76 de la LOPDGDD bajo la rúbrica “Sanciones y medidas
correctivas “ lo siguiente:
1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de
graduación establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la
infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la
comisión de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando
proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del
Reglamento (UE) 2016/679.
En el presente caso, en atención a la diligencia llevada a cabo por VOX en lo
referente a la comunicación sin dilación de la violación de seguridad a esta Agencia
Española de Protección de Datos, así como el inicio de acciones tendentes a
minimizar las consecuencias negativas de la citada violación de seguridad, y lo
indicado en los hechos probados seis y siete de la presente resolución, que ponen de
manifiesto que tras el incidente de seguridad y los informes que encargaron a los
expertos en seguridad, la entidad ha solucionado las vulnerabilidades detectadas y se
ha mejorado el nivel seguridad, se considera conforme a derecho no imponer sanción
consistente en multa administrativa y sustituirla por la sanción de apercibimiento de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/13
conformidad con el artículo 76.3 de la LOPDGDD en relación con el articulo 58.2 b) del
RGPD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a VOX ESPAÑA, con NIF G86867108, por una infracción del
Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una sanción de
apercibimiento.
SEGUNDO: NOTIFICAR la presente resolución a VOX ESPAÑA.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es