La Agencia de Protección de Datos sanciona a la Xunta por el robo de datos de 40.000 dueños de mascotas
La Agencia Española de Protección de Datos (AEPD) acaba de hacer pública una resolución que sanciona a la Consellería de Medio Ambiente como responsable, por su baja seguridad informática, de la filtración de datos personales de unas 40.000 personas propietarias de animales de compañía. Además de datos como nombres, direcciones o teléfonos, la brecha de seguridad también facilitó el acceso a documentos escaneados como el DNI. Según Protección de Datos, la propia Xunta admitió que el acceso a esa documentación “podría dar lugar a que las personas físicas afectadas pudieran ser víctimas de usurpación de identidad”.
La Agencia de Protección de Datos considera culpable a la Consellería de Medio Ambiente, que admitió que los afectados, propietarios de mascotas inscritos en el registro oficial, 'pudieran ser víctimas de usurpación de identidad'
En octubre de 2023 la Xunta informó a través del Diario Oficial de Galicia (DOG) de que un “incidente de seguridad informática” había afectado “a los datos personales de las personas titulares de animales de compañía inscritos en el Rexistro Galego de Identificación de Animais de Compañía de Galicia (Rexiac)”, dependiente de la Consellería de Medio Ambiente. Tras aquellos hechos, Protección de Datos abrió una investigación que ahora concluye con una resolución que establece la responsabilidad de la consellería.
Según la resolución, la brecha informática se inició el 8 de septiembre de 2023 y la consellería tuvo conocimiento de la misma a través de una alerta del Centro Criptológico Nacional los días 13 y 14. Pero la brecha no se dio por cerrada hasta el 22 de septiembre y la Xunta no informó a la ciudadanía a través del DOG hasta el 3 de octubre con la publicación de un anuncio que tenía fecha del 29 de septiembre.
El origen de la brecha fue “la usurpación de credenciales de acceso de 7 usuarios legítimos”, esto es, de las contraseñas de personas habilitadas para consultar el registro. Un registro que a su vez contaba con sistemas de consulta distintos para que los propietarios pudiesen conocer los datos de sus mascotas y para el acceso de otros usuarios no propietarios, como veterinarios, concellos o policía. Pero la consellería “carecía de un sistema de gestión y eliminación de perfiles inactivos” y tampoco contaba con doble factor de autenticación de los perfiles.
La Xunta alegó la “complejidad organizativa y heterogeneidad de usuarios”, pero Protección de Datos le respondió que eso “no elimina el deber jurídico de garantizar un nivel de seguridad adecuado”, sino que “al contrario, la existencia de distintos perfiles y entidades con acceso al nivel de usuario de la plataforma comprometida debían ser valoradas desde un inicio para asegurar la adopción de medidas técnicas y organizativas de todo tipo necesarias para asegurar un adecuado nivel de protección”.
El origen de la brecha fue 'la usurpación de credenciales de acceso de 7 usuarios legítimos' y, una vez producida, 'la ausencia de una monitorización avanzada dificultó la detección temprana'
Una vez producida la brecha, Protección de Datos también dice que “la ausencia de una monitorización avanzada dificultó la detección temprana de la brecha de datos personales, lo que revela una insuficiencia de las medidas técnicas y organizativas adecuadas y, por ende, el incumplimiento” del reglamento de protección de datos.
La Justicia reconoce como accidente laboral el acoso a una limpiadora del grupo ACS en una sede de la Xunta
Ver más
Protección de Datos recoge que la propia Xunta, como responsable de los datos, admitió que “se contabilizaron más de 40.000 consultas de información, por lo que se estima un número aproximado de 40.000 personas que podrían ver afectados sus datos personales”. Respecto de la documentación escaneada que también estaba disponible en el sistema, la consellería señaló que “dicha extracción podría dar lugar a que las personas físicas afectadas pudieran ser víctimas de usurpación de identidad, o de campañas de phishing/spamming o sufrieran la pérdida de control sobre sus datos personales”.
Ante las alegaciones de la Xunta de que no constan daños por el robo de datos, Protección de Datos dice que 'no puede sostenerse la ausencia de culpa de la consellería', pero al ser una administración pública evita una sanción económica.
La resolución señala que el Centro Criptológico Nacional “no tiene constancia del uso, publicación o venta en internet de los datos robados”, pero no indica con qué fecha hizo esa valoración ni descarta que los datos robados puedan ser empleados en el futuro.
Ante las alegaciones de la Xunta de que no constan daños, Protección de Datos concluye que “no puede sostenerse en este punto la ausencia de culpa de la consellería que sufrió una brecha de datos personales como consecuencia de una usurpación de credenciales que carecía de medidas de todo tipo, como el doble factor de autenticación o una política de modificación periódica de contraseñas, entre otros”. Por eso, Protección de Datos concluye imponiendo una sanción a Medio Ambiente que en la práctica no es más que un apercibimiento, la declaración de que la consellería “infringió lo dispuesto” en el reglamento de protección de datos, ya que las administraciones públicas no tienen que pagar multa económica. Esta, en el caso de dirigirse a una empresa, podría ser de hasta 20 millones de euros o el 4% del volumen de negocio anual.
