Reclamación por filtración y exposición de datos personales tras incidente de seguridad de TuLotero.

Soy usuario de TuLotero y he tenido conocimiento de un incidente de seguridad que ha provocado la filtración y exposición de datos personales de usuarios. En mi caso, entre los datos afectados se encuentran información personal identificativa, concretamente mi DNI y una fotografía/selfie utilizada para la identificación. Considero especialmente grave la exposición de esta información, ya que se trata de datos que pueden utilizarse para intentar suplantar mi identidad o realizar actuaciones fraudulent en mi nombre. Aunque TuLotero ha comunicado que está trabajando para solucionar el incidente, la exposición de mis datos personales ya se ha producido y me ha generado preocupación, inseguridad y molestias, al desconocer el uso que terceros puedan hacer de dicha información. Por estos motivos, solicito que se valore la responsabilidad de la empresa por el incidente de seguridad y la posible vulneración de la normativa de protección de datos, así como las medidas que correspondan para proteger mis derechos y, en su caso, reclamar una compensación por los daños y perjuicios ocasionados. Solicito asimismo que se me informe de qué datos concretos han sido afectados, durante cuánto tiempo estuvieron expuestos, a qué terceros pudieron haber sido accesibles y qué medidas se han adoptado para evitar que vuelva a suceder.

Buenas tardes Mario, Muchas gracias por tu correo. En primer lugar, lamentamos profundamente lo ocurrido. A continuación damos respuesta a tus consultas. Datos afectados y naturaleza del acceso. Los datos relativos a su persona objeto del incidente son las imágenes utilizadas en la verificación de identidad: anverso y reverso del documento identificativo y fotografía selfie. Se ha acreditado la exfiltración efectiva de esas imágenes, no un mero acceso; por ese motivo ha recibido usted la notificación. No se ha visto afectado ningún otro dato: contraseñas, datos bancarios y medios de pago se almacenan cifrados en sistemas separados no comprometidos, y no es necesario cambiar ninguna contraseña. A día de hoy no hay constancia de que los datos exfiltrados hayan sido utilizados. Ventana temporal del acceso. El acceso no autorizado se produjo entre el 13 y el 15 de julio: se detectó el día 14 y quedó bloqueado de forma definitiva el día 15. Desde entonces no se ha producido ninguna exfiltración adicional. Las notificaciones individuales se han realizado una vez concluido el análisis del incidente, que ha permitido delimitar con exactitud qué cuentas estaban afectadas. Fecha de conocimiento efectivo. El 14 de julio, fecha de la detección. Servicio afectado. Se trata de un servicio interno aislado dedicado exclusivamente a la verificación de identidad que exige la normativa de juego y de prevención del blanqueo de capitales. Por motivos a la investigación policial en curso, no podemos facilitar detalle adicional sobre su arquitectura o gestión. Medidas de seguridad.El servicio contaba con medidas de seguridad técnicas y organizativas específicas, cuyo detalle no podemos hacer público debido a la investigación abierta. Tras el incidente, hemos cerrado el acceso utilizado durante el ataque, retirado los elementos maliciosos, rotado las credenciales técnicas afectadas, reforzado la seguridad de nuestros sistemas y ampliado las medidas de monitorización. Hemos presentado denuncia ante la unidad central de ciberdelincuencia de la Policía Nacional, que trabaja para identificar a los responsables, y notificado individualmente a cada persona afectada. Le recomendamos desconfiar de llamadas, correos o SMS que soliciten datos, códigos o pagos —nunca los pedimos por esas vías— y vigilar posibles altas de servicios o solicitudes de financiación a su nombre. Hemos habilitado además un servicio de asistencia para las personas afectadas. Ante cualquier indicio de uso de su documentación, denúncielo ante la Policía Nacional o la Guardia Civil y comuníquenoslo de inmediato: basta con que nos escriba a info@tulotero.es —o responda al aviso que recibió— o nos llame al 912 825 353, y su caso pasará a atención personalizada. Una persona de nuestro equipo evaluará con usted las consecuencias, le recomendará las medidas a tomar, le facilitará la documentación acreditativa que pueda necesitar para su denuncia y hará seguimiento del caso junto a usted hasta su resolución. Nos comprometemos igualmente a informarle de cualquier ampliación del alcance que le afecte y de cualquier indicio de utilización de los datos del que tengamos conocimiento que, de producirse, trasladaremos a la Policía Nacional en el marco de la investigación en curso. Quedamos a tu disposición para cualquier consulta o asistencia que puedas necesitar. Un saludo de todo el equipo de TuLotero. @tuloterowww.tulotero.es Info TeamTuLotero España Calle de José Abascal, 44, 28003 MadridTweet me:@tulotero info@tulotero.es +34 912 825 353 TuLotero.esGoogle PlayApple StoreFacebookTwitterYouTubeInstagram AVISO LEGAL:Este mensaje, y sus posibles anexos, está dirigido por el remitente exclusivamente a su destinatario, considerándose su contenido como estrictamente confidencial, y pudiendo, además, estar sometido a secreto profesional. En caso de que usted haya recibido este correo por error, le rogamos que lo comunique al responsable de su envío por el mismo medio, o lo haga por teléfono llamando al número +34 912 825 353, procediendo a borrar definitivamente el contenido del correo. La utilización, copia o divulgación por cualquier medio del presente correo,sin autorización del remitente, está prohibida y podrá dar lugar al ejercicio de las acciones legales oportunas. PRIVILEGED AND CONFIDENTIAL:This message, and its attachments, is addressed exclusively by the sender to the addressee, and contains confidential and/or privileged information. If you have received this email in error, you should notify it to the sender by email, or by phone: +34 912 825 353, and delete definitely the e-mail/s. You are hereby notified that any use, copying or dissemination of this message or any attachments, without the authorization of the sender, is forbidden and it may result in the exercising of the correspondent legal actions. Activado Jue, 20 Ago a 5:01 P. M. , Reclamar reclamar@ocu.org escribió:

Buenos días, Gracias por vuestra respuesta y por la información facilitada respecto al incidente de seguridad. No obstante, tras conocer que se ha producido la exfiltración efectiva de imágenes de mi documento identificativo (anverso y reverso) y de mi fotografía selfie, considero que la situación me ha ocasionado perjuicios que van más allá de una simple molestia. La filtración de esta documentación supone una pérdida de control sobre datos personales de especial importancia, pudiendo ser utilizados para intentos de suplantación de identidad, contratación indebidas de servicios o solicitudes de financiación a mi nombre. Desde que tuve conocimiento del incidente he tenido que dedicar tiempo y atención a realizar gestiones, revisar posibles riesgos y contactar con distintas entidades para prevenir posibles consecuencias derivadas del uso indebido de mi documentación. Asimismo, esta situación me ha generado una preocupación y un nivel de estrés considerable ante la posibilidad de que mi DNI y mi imagen puedan estar siendo utilizados por terceros, especialmente teniendo en cuenta que confirmáis expresamente que ha existido una exfiltración efectiva de dichas imágenes. Por todo ello, y sin perjuicio de las responsabilidades que pudieran derivarse del incidente, solicito una indemnización de 1.000 € en concepto de los perjuicios y daños ocasionados, incluyendo la pérdida de control sobre mis datos personales, las molestias y tiempo dedicado a las gestiones de prevención y seguimiento, así como la preocupación y afectación ocasionadas por el riesgo de utilización indebidas de mi documentación. Les solicito que trasladen esta petición al departamento correspondiente y que me comuniquen por escrito su valoración de la reclamación y, en su caso, la propuesta de compensación que la entidad esté dispuesta a ofrecer. Asimismo, me gustaría que me facilitaran, si resulta posible, cualquier documentación acreditativa del incidente que pueda necesitar para ejercer mis derechos o realizar las reclamaciones correspondientes ante los organismos competentes. Quedo a la espera de una respuesta por escrito. Un saludo, Mario Hernández

Me pongo nuevamente en contacto con ustedes en relación con la solicitud de indemnización que presenté el pasado 12 de agosto, inicialmente por importe de 1.000 €, como consecuencia de la brecha de seguridad sufrida y de la exfiltración efectiva de mis datos personales y de las imágenes utilizadas para la verificación de identidad, incluyendo el anverso y reverso de mi documento identificativo y mi fotografía selfie. Hasta el momento no he recibido una respuesta definitiva por parte del departamento correspondiente, pese a haber realizado varios seguimientos de mi reclamación. Durante todo este tiempo me he visto obligado a realizar diferentes actuaciones preventivas para protegerme frente a un posible fraud de mi documentación y una posible suplantación de identidad, incluyendo comunicaciones y advertencias a distintas empresas y entidades financieras para que estén alerta ante posibles solicitudes realizadas utilizando mis datos. Todo ello me ha supuesto tiempo, molestias, preocupación y una situación de incertidumbre continuada, derivados directamente de la pérdida de control sobre mis datos personales y documentación identificativa. Por este motivo, y teniendo en cuenta las consecuencias que la brecha ha tenido para mí y las actuaciones que he tenido que realizar desde que fui informado de la misma, modifico y actualizo mi solicitud de indemnización, pasando de los 1.000 € inicialmente solicitados a una cantidad de 3.000 €, sin perjuicio de las acciones que legalmente me correspondan. Les solicito que esta nueva cuantía sea trasladada al departamento correspondiente y que se me facilite una respuesta expresa y por escrito sobre mi reclamación. En caso de no recibir una respuesta satisfactoria, me reservo el derecho de acudir a las vías administrativas y judiciales que correspondan para reclamar los daños y perjuicios ocasionados. Quedo a la espera de su respuesta. Un saludo, Mario Hernández

Estimado Sr. Hernández: Nos dirigimos a usted en nuestra condición de Delegado de Protección de Datos de TuLotero, en relación con la nueva información que nos ha remitido respecto de una posible contratación con Cofidis que manifiesta no haber realizado. Hemos recibido la captura de pantalla facilitada yhemos incorporado esta nueva circunstancia a su reclamación para su revisión individualizada. La información que nos traslada resulta relevante y será analizada. No obstante, con la documentación disponible en este momentono es posible determinar que dicha contratación tenga su origen en el incidente de seguridad de TuLotero, por lo que es necesario revisar las circunstancias concretas de la operación. Para poder realizar esta valoración, le agradeceríamos que nos facilitara, en la medida en que disponga de ello: copia del contrato o documentación completa relativa a la contratación con Cofidis; fecha en la que se habría formalizado la operación; comunicaciones, correos electrónicos o mensajes recibidos de Cofidis relacionados con ella; y cualquier otra documentación que permita identificar las circunstancias en las que se produjo. Asimismo, si ha presentado una denuncia ante la Policía Nacional por una posible utilización fraudulenta de su identidad, puede facilitarnos copia de la misma para incorporarla a la revisión. En caso de que todavía no la haya presentado,le recomendamos denunciar estos hechos ante la Policía Nacional. Hasta que podamos valorar esta nueva información,su reclamación económica continuará siendo objeto de revisión y no consideramos cerrada la valoración anteriormente iniciada. Para cualquier cuestión adicional relativa al tratamiento de sus datos personales o al ejercicio de sus derechos, puede dirigirse al Delegado de Protección de Datos de TuLotero a través dedpd@tulotero.com. Atentamente, Delegado de Protección de Datos de TuLotero Un saludo de todo el equipo de TuLotero. @tuloterowww.tulotero.es Info TeamTuLotero España Calle de José Abascal, 44, 28003 MadridTweet me:@tulotero info@tulotero.es +34 912 825 353 TuLotero.esGoogle PlayApple StoreFacebookTwitterYouTubeInstagram AVISO LEGAL:Este mensaje, y sus posibles anexos, está dirigido por el remitente exclusivamente a su destinatario, considerándose su contenido como estrictamente confidencial, y pudiendo, además, estar sometido a secreto profesional. En caso de que usted haya recibido este correo por error, le rogamos que lo comunique al responsable de su envío por el mismo medio, o lo haga por teléfono llamando al número +34 912 825 353, procediendo a borrar definitivamente el contenido del correo. La utilización, copia o divulgación por cualquier medio del presente correo,sin autorización del remitente, está prohibida y podrá dar lugar al ejercicio de las acciones legales oportunas. PRIVILEGED AND CONFIDENTIAL:This message, and its attachments, is addressed exclusively by the sender to the addressee, and contains confidential and/or privileged information. If you have received this email in error, you should notify it to the sender by email, or by phone: +34 912 825 353, and delete definitely the e-mail/s. You are hereby notified that any use, copying or dissemination of this message or any attachments, without the authorization of the sender, is forbidden and it may result in the exercising of the correspondent legal actions. Activado Mar, 25 Ago a 11:01 P. M. , Reclamar reclamar@ocu.org escribió:

Aquí tienen el contrato de cofidis gracias un saludo