La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 2,4 millones de euros a la entidad 23ANDME, INC., una empresa estadounidense de biotecnología y genética, que se dedicaba a comercializar tests genéticos directos al consumidor. A través de muestras saliva, la empresa obtenía información relativa a orígenes ancestrales y composición étnica.
El 17 de octubre de 2023, 23andMe notificó a la AEPD una brecha de seguridad derivada de un ciberataque. Posteriormente amplió la información y confirmó que el incidente había afectado a 2.642 personas residentes en España. Entre los datos comprometidos se encontraban datos identificativos, datos de contacto y localización, fotografías, datos genéticos, información sobre salud y datos que revelaban el origen étnico de los afectados; siendo una muestra de dichos datos publicada en un foro en Internet.
Al parecer, la entidad tuvo confirmación de que los datos de sus clientes habían sido puestos a la venta en Reddit el 5 de octubre, momento en el que comenzó a adoptar medidas de seguridad. Entre otras, comunicar la brecha a las autoridades estadounidenses, a los afectados residentes en España y en última instancia, a la AEPD.
Según la investigación, el origen de la brecha se debió a un ataque conocido como “credential stuffing”, consistente en utilizar credenciales obtenidas de otras filtraciones, para acceder a cuentas en las que los titulares reutilizan las mismas contraseñas.
A tenor de los sucesos, la AEPD subrayó que las medidas técnicas y organizativas implantadas por la empresa no resultaban adecuadas frente al riesgo existente y justificaba su decisión recordando que 23ANDME desarrollaba su actividad basada en el tratamiento de datos genéticos, que eran analizados para obtener información sobre salud y el origen étnico de las personas, categorías de información que el RGPD considera especialmente sensibles. Ante el tratamiento de esta tipología de datos, la AEPD recuerda que el nivel de protección exigible debía ser particularmente elevado.
En este contexto, la AEPD analizó las medidas desplegadas por 23ANDME:
• La autenticación multifactor no era obligatoria, por lo que no se garantizaba un nivel reforzado de seguridad para sus clientes.
• No existían requisitos específicos de robustez de contraseñas suficientemente acreditados.
• La política de privacidad descargaba en gran medida la responsabilidad sobre la adopción de medidas de seguridad en la adecuada custodia de sus credenciales por parte del usuario.
• No existían controles o limitaciones adicionales para la descarga masiva de información sensible una vez accedida la cuenta.
La resolución subraya además que el robo y reutilización de credenciales constituye uno de los vectores de ataque más habituales y conocidos en materia de ciberseguridad. Por ello, una empresa cuyo modelo de negocio se basa en el tratamiento de información genética debía haber adoptado medidas reforzadas para prevenir este tipo de escenarios.
Con base en estos argumentos, la AEPD concluyó que 23andMe vulneró el artículo 5.1.f) del RGPD, relativo al principio de integridad y confidencialidad.
En segundo término, la resolución también sanciona a la compañía por incumplir el artículo 33 del RGPD, que obliga a notificar las brechas de datos personales a la autoridad de control en un plazo máximo de 72 horas desde que el responsable tiene conocimiento de ellas.
En el presente caso, la AEDP considera que la entidad tenía la certeza de la existencia de la brecha, como mínimo, desde el 5 de octubre de 2023, cuando la compañía confirmó que los datos publicados pertenecían a uno de sus clientes. Pese a ello, la notificación a la AEPD no llegó hasta el 17 de octubre.
Por todo ello, concluyó la AEPD fijando una sanción total de 2,4 millones de euros, por la vulneración del principio de integridad y confidencialidad, establecido en el artículo 5.1.f RGPD (2.000.000 euros) y por la notificación tardía de la brecha según establece el artículo 33 RGPD (400.000 euros).