La autoridad de control ha impuesto a la entidad 23ANDME una sanción de 2 millones de euros por infringir el artículo 5.1.f) del RGPD (principio de integridad y confidencialidad) y de 400.000 euros por vulnerar el artículo 33 del mismo cuerpo normativo (notificación de violación de seguridad a la autoridad de control). Esta entidad estadounidense ofrecía pruebas genéticas y análisis a personas residentes en la Unión Europea, por lo que quedaba sometida a las obligaciones del RGPD pese a no estar establecida en territorio europeo.
El 1 de octubre la entidad detectó en Reddit una publicación en la que se ofrecía la venta de información supuestamente perteneciente a sus clientes. Habida cuenta de ello, se efectuaron diversas actuaciones de investigación, teniendo constancia de que algunos de los datos incluidos en dicho artículo hacían referencia a sus clientes, por lo que publicó en su página web un comunicado informando de esta cuestión. Con ocasión de la existencia de una posible brecha de seguridad, el 7 de octubre notificó la misma a la autoridad de control estadounidense y el 10 de octubre remitió un correo electrónico a sus clientes.
Habida cuenta de que el 12 de octubre tuvo conocimiento de que la brecha afectaba a clientes españoles, el 13 de octubre les comunicó el incidente, notificando el mismo a la AEPD el 17 de octubre. Si bien inicialmente se informó de una brecha de confidencialidad atribuida a un ciberataque (derivado del robo de credenciales a usuarios) que había afectado, entre otros, a datos identificativos, de contacto o genéticos, posteriormente la entidad amplió la información indicando que se habían visto afectados en España más de 2.000 personas.
La AEPD declara en su resolución que la categoría y sensibilidad de los datos exige un nivel de diligencia especialmente elevado en la configuración de las medidas técnicas y organizativas. Así, se destaca que no existía una política de contraseñas robustas ni se exigía su renovación con carácter periódico; que la autenticación multifactor era voluntaria o que no se habían implantado límites o controles adicionales sobre el acceso y descarga de datos sensibles una vez iniciada la sesión por los usuarios. En este sentido, si bien se recomendaba a los usuarios por parte del responsable que tuvieran cuidado con sus contraseñas, se llega a la conclusión de que en estos supuestos (en los que se puede tener acceso a datos de especial categoría), las medidas de acceso no pueden limitarse a meras recomendaciones al usuario.
Asimismo, se destaca que si bien el 12 de octubre se tuvo constancia de la existencia de una brecha que podía afectar a clientes españoles, su notificación a la AEPD no se produjo hasta el día 17, una vez transcurrido el plazo de 72 horas estipulado en la normativa vigente. En relación con esta cuestión, la resolución pone de manifiesto que dicho plazo no exige disponer de todos los detalles del incidente desde el primer momento, por cuanto se permite la modificación gradual de la comunicación inicial, sino que lo decisivo es informar sin dilación una vez confirmada la existencia de una violación de seguridad, lo que no se ha producido. Así, la obligación de notificar la brecha de seguridad no se “paraliza” hasta completar la investigación por parte del responsable.
Esta resolución permite subrayar la importancia de implantar medidas de seguridad adecuadas al riesgo (incluyendo políticas de contraseñas robustas), así como de notificar las violaciones de seguridad a la AEPD dentro del plazo de 72 horas, sin que el cumplimiento de esta obligación pueda supeditarse a la obtención de toda la información sobre el incidente, ya que la normativa permite completar la notificación inicial de forma progresiva a medida que avanza la investigación.
Puede acceder a la resolución sancionadora de la autoridad de control aquí.
