Marriott anunció el 30 de noviembre de 2018 un acceso no autorizado, desde 2014, a la base de reservas de Starwood, con datos de hasta 500 millones de huéspedes. Qué comunicó, qué exige la normativa europea y qué enseña a quien compra una empresa.
El 30 de noviembre de 2018, Marriott International anunció que un tercero no autorizado había accedido a la base de datos de reservas de huéspedes de Starwood, la cadena hotelera que compró en 2016. Según la compañía, el 8 de septiembre una herramienta interna de seguridad detectó un intento de acceso a esa base en Estados Unidos. La investigación posterior concluyó que había habido acceso a la red de Starwood desde 2014, y el 19 de noviembre la compañía logró descifrar la información copiada y confirmar que procedía de esa base.
Qué datos y a cuántas personas afecta
Marriott calcula que la base puede contener información de hasta unos 500 millones de huéspedes que hicieron una reserva en un establecimiento de Starwood, aunque aún estaba eliminando duplicados. Para unos 327 millones, los datos son una combinación de nombre, dirección postal, teléfono, correo electrónico, número de pasaporte, datos de la cuenta de fidelización, fecha de nacimiento, sexo, fechas de llegada y salida, fecha de reserva y preferencias de comunicación. Para el resto, la información se limita al nombre y, en ocasiones, a algún dato más.
En algunos casos la base incluía números de tarjeta de pago y fechas de caducidad. La empresa explicó que estaban cifrados con el estándar AES-128 y que descifrarlos requiere dos componentes, pero no puede descartar que se llevaran ambos.
Marriott dijo haber informado a las fuerzas de seguridad y haber empezado a notificarlo a los reguladores, sin precisar cuáles. Ha abierto un centro de atención telefónica, envía correos a los afectados cuya dirección figura en la base y ofrece durante un año un servicio de vigilancia de datos personales en los países donde está disponible. Su consejero delegado, Arne Sorenson, expresó su pesar y dijo que la compañía está retirando los sistemas de Starwood.
Lo que exige el RGPD
El Reglamento General de Protección de Datos (RGPD), aplicable desde el 25 de mayo de 2018, obliga al responsable del tratamiento a notificar una violación de seguridad a la autoridad de control sin dilación indebida y, si es posible, a más tardar 72 horas después de tener constancia de ella; si no llega a tiempo, debe explicar el motivo del retraso. Las multas pueden llegar a 20 millones de euros o al 4 % del volumen de negocio mundial del ejercicio anterior, la cifra que sea mayor, para las infracciones más graves, como vulnerar los principios básicos del tratamiento, y a 10 millones o el 2 % para otras obligaciones, como las de seguridad y notificación.
Como la intrusión se detectó en septiembre y se comunicó a finales de noviembre, varios expertos señalaron que podría quedar fuera de ese plazo; corresponde a las autoridades de protección de datos valorar desde cuándo debía contarse y qué sanciones procederían.
La lección para quien compra una empresa
Marriott adquirió Starwood en 2016. Según el comunicado de la compañía, el acceso a la red de Starwood se remonta a 2014, es decir, es anterior a la compra, y un analista de la consultora Forrester señaló que la intrusión pasó inadvertida durante la integración de ambas empresas. El caso muestra que quien compra una empresa hereda también sus riesgos tecnológicos: un acceso antiguo puede salir a la luz años después, con consecuencias legales y de reputación, y con un régimen de sanciones que se calcula sobre el volumen de negocio del grupo.
En una compraventa de empresa, la diligencia debida puede incluir la ciberseguridad: pedir el historial de incidentes y de auditorías, saber qué datos personales trata la empresa objetivo y dónde los almacena, comprobar si cumple el RGPD y la normativa de su sector, revisar sus seguros y sus contratos con proveedores tecnológicos, y recoger en el contrato declaraciones, garantías e indemnizaciones específicas sobre estos riesgos. Después del cierre conviene analizar las redes heredadas antes de conectarlas con las propias y fijar un calendario para retirar los sistemas antiguos.
La seguridad de los datos forma parte del valor de una empresa, y también de lo que se compra con ella.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
