La Agencia Española de Protección de Datos (AEPD) ha multado con 2,4 millones a la empresa estadounidense de análisis genético 23andMe por no implantar medidas de seguridad adecuadas para proteger los datos genéticos, de salud y de origen étnico de 2.642 personas afectadas en España.
La resolución nºEXP sanciona a la multinacional por la infracción de los artículos 5.1 y el 33 del Reglamento General de Protección de Datos (RGPD), referente a los principios de integridad y confidencialidad, el primer precepto, y la notificación de una violación de seguridad de los datos personales, el segundo.
Una multa millonaria que puede quedar en un limbo, ya que la empresa sancionada se encuentra en concurso de acreedores.
Una brecha de seguridad puso datos sensibles de salud y de origen étnicos a la venta
Según los hechos probado, la empresa 23andMe sufrió una violación de seguridad el 1 de octubre de 2023 tras comprobar que un usuario de Reddit había puesto a la venta información supuestamente de sus clientes. Cinco días más tarde, el 5 de octubre confirmó que uno de los datos publicados pertenecía a uno de sus clientes.
El origen de la brecha fue el acceso a determinadas cuentas, conocido como credential stuffing, una técnica empleada por los ciberdelincuentes consistente en probar la misma contraseña que han robado de una aplicación en otros servicios onlines.
A las 48 horas de verificar la violación de su seguridad, notificó la brecha a las autoridades de EE.UU. Sin embargo, a la AEPD no le llegaría la comunicación hasta el 12 de octubre, siete días más tarde de conocer los hechos y dos días más tarde de publicarlo en su página web.
La organización comunicó que los datos comprometidos de los clientes españoles afectaban a la esfera más personal: datos identificativos, de contacto y localización, imágenes, datos
genéticos, datos de salud y datos que revelan el origen étnico de los afectados.
Al conocer estos hechos, la AEPD inició una investigación y 23andMe se defendió: alegó que en su política de privacidad se hace mención a que la protección de la información personal de los clientes es compartida entre el usuario y la empresa; además de recomendar de mantener la contraseña privada y sin compartir.
casos en que los clientes habían utilizado para su sitio web las mismas credenciales de inicio que para otros sitios web en otras organizaciones ya comprometidos.
Infracción del principio de integridad y confidencialidad
La Agencia recuerda que los datos objeto de tratamiento eran de categoría especial y que, por ello, los responsables del tratamiento deben asumir la responsabilidad atendiendo al riesgo que puede producirse en caso de pérdida de confidencialidad.
La falta de adopción de mecanismos de seguridad por parte de la empresa, como la doble verificación, supone, según el criterio de la AEPD en línea con el RGPD, supone para los los interesados «una eventual pérdida de confidencialidad»: «En el presente caso, dado que algunos de los datos son especialmente sensibles (datos genéticos, datos de salud y datos que revelan en origen étnico), sería exigible un especial celo en el establecimiento de
medidas en el tratamiento», reprocha.
Y aunque la empresa informé al cliente de que debe ser él mismo quien vele por su contraseña, la Agencia acredita que no existe ningún requisito concreto en cuanto al formato de la contraseña en relación con la robustez de la misma ni exigencia de modificarla periódicamente.
«La información aportada por 23ANDME y la publicada en su página web, pone de manifiesto que no existían unos requisitos específicos para el establecimiento de contraseñas robustas, ni para su modificación en el tiempo. La política de seguridad y privacidad publicada en su página web, no cuenta además con instrucciones o recomendaciones más allá de recordar la responsabilidad del usuario en el uso de sus credenciales», señala la sentencia.
Otro de los aspectos que reprocha la AEPD a la empresa es que en su apartado ‘Regulación de privacidad y seguridad’ se hace alusión a las leyes de protección de datos de los países fuera de Estados Unidos, donde se menciona el RGPD. Por tanto, la empresa estaba familiarizada con las exigencias del Reglamento.
Por todo ello, la Agencia acredita la infracción del artículo 5.1.f) del RGPD y cifra la multa en 2 millones de euros.
La AEPD además le sanciona por notificar pasado el plazo la brecha
El tiempo que tardó en reportar a la autoridad española la brecha de datos también ha jugado en contra de la multinacional estadounidense. 23andMe fecha en el 5 de octubre de 2023 cuando oficialmente confirma que sus datos han sido robados. El 12 de octubre ya confirmó que había personas españolas afectadas. Sin embargo, no notificaría a la AEPD hasta el 17 de octubre.
Este plazo dista lejos de las 72 horas establecidas en el artículo 33 del RGPD. La AEPD recuerda a la empresa que la inmediatez a la hora de reportar estos hechos «no es trivial», sino que está «relacionada con la eficacia de esta medida en relación con los daños que una violación puede suponer para los afectados».
Por ello, el precepto anteriormente mencionado prevé expresamente que en un primer momento aunque no se disponga de toda la información sobre lo ocurrido, se pueda ir aportando de forma gradual.
La empresa se escudó en que no fue hasta el día 12 cuando descubrió que había miles de personas españolas afectadas, PERO la AEPD rechaza este argumento: «desde el día
12 tenía conocimiento de la existencia de personas afectadas por la brecha residentes en España y la obligación de notificación» en línea con las directrices que emanan de Europa.
Y más aún «cuando se trata de un tratamiento que entraña un alto riesgo, al implicar datos genéticos, de salud y sobre el origen étnico de los afectados, como el propio responsable indica en las EIPD que acompaña a su respuesta», reprende.
Por todo ello, la Agencia también considera que se ha vulnerado el artículo 33 el RGPD y fija la cantidad en 400.000 euros.
En definitiva, la AEPD concluye que 23andMe no adoptó las medidas de seguridad exigibles para proteger una de las categorías de datos más sensibles que existen —los genéticos, junto con información de salud y de origen étnicos— y que, además incumplió su obligación de comunicar la brecha en el plazo de 72 horas previsto en el RGPD.
La sanción total asciende a 2,4 millones de euros, en la que pretende lanzar un mensaje claro al sector: cuando están en juego datos capaces de revelar la identidad biológica, el estado de salud o la ascendencia de una personas, las empresas deben aplicar medidas de protección reforzadas y actuar con la máxima diligencia ante cualquier incidente de ciberseguridad.
