← España

PS-00009-2026

1/22  Expediente Nº: EXP202412902 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13 de marzo de 2026, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ECG MÉDICA, S.L. (en adelante, ECG MÉDICA), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202412902 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: El 25 de julio de 2024 se notificó a esta Agencia una brecha de datos personales por ECG MÉDICA, S.L con NIF B46138632 (en adelante, ECG MÉDICA). “Descripción de los hechos: ECG Médica ha recibido, los días 23, 24 y 25 de julio 2024, varios correos electrónicos a través de direcciones de sus empleados, de un desconocido que amenaza con publicar datos detallados de los pacientes y del negocio del Grupo. El cuerpo del correo incluía el nombre, fecha de nacimiento y email de 6 pacientes que han sido atendidos en distintas clínicas de ECG Médica. En uno de los correos adjunta los 6 informes de diagnóstico de esos pacientes. En el último correo informa que ya había enviado datos médicos a 25 pacientes y amenaza con publicar en las próximas 24 horas información médica de 100 pacientes. ECG Médica inicia, el día 23/07/24, de inmediato, una investigación interna y una auditoría externa de los activos IT para tratar de esclarecer cómo dispone de dicha información. Con los datos que se van recabando, se detecta el acceso a diferentes carpetas de una serie de PCs y servidores, con lo que la sospecha es que es con ese acceso con el que han descargado los ficheros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/22 Asimismo, se señalaban los siguientes aspectos relevantes en dicha notificación: - Fecha de detección de la brecha: 23 de julio de 2024. - Tipología de los datos afectados: datos básicos: DNI, NIE, pasaporte y / o cualquier otro documento identificativo, datos de contacto, de salud (otros datos de salud). - Número de afectados: 100. - Categoría de afectados: pacientes. - Entre los afectados, no hay menores ni miembros de colectivos vulnerables. - Entre los afectados, se desconoce si hay afectados en otros estados miembros de la UE”. SEGUNDO: En fecha 29 de julio de 2024 ***HOSPITAL.1 (en adelante, ***HOSPITAL.1) comunica lo siguiente respecto a la brecha notificada a esta AEPD por ECG MÉDICA. En esta notificación inicial, ***HOSPITAL.1 manifiesta lo siguiente: “- Descripción de los hechos: “El proveedor (ECG MÉDICA) contratado por ***HOSPITAL.1 para la prestación del servicio de diagnóstico por imagen ha sufrido un ciberataque que ha visto comprometido los datos personales de un único paciente del ***HOSPITAL.1. Los sistemas de información del ***HOSPITAL.1 no se han visto afectados. A continuación, exponemos una breve descripción de lo ocurrido conforme nos lo ha trasladado el proveedor: el proveedor recibe por correo una amenaza de publicación de datos de pacientes y del negocio del Grupo. El cuerpo del correo incluía el nombre, fecha de nacimiento y e-mail de 6 pacientes que han sido atendidos en distintas clínicas de ECG Médica. Posteriormente, contactan con el proveedor a través de WhatsApp profesional de Atención al Paciente con la misma información y con un adjunto que incluye informes de pruebas diagnósticas de 6 pacientes. Al día siguiente se vuelve a contactar adjuntando un fichero adicional de uso del Departamento Financiero de Ascires. Y, un día después, informa que ya había enviado datos médicos a 25 pacientes y que en las próximas 24 horas publicaría información médica de 100 pacientes. ECG MÉDICA inicia una investigación interna y una auditoría externa de los activos IT para tratar de esclarecer cómo dispone dicha información. Se descarta que el proceso de envío de informes sea el origen, al menos el único, ya que se detecta el acceso a diferentes carpetas de una serie de PCs y servidores”. - Fecha de detección de la brecha: 26 de julio de 2024. - Tipología de los datos afectados: datos básicos: DNI, NIE, pasaporte y / o cualquier otro documento identificativo, de salud (otros datos de salud). - Número de afectados: 1. - Categoría de afectados: pacientes. - Entre los afectados, no hay menores ni miembros de colectivos vulnerables. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/22 - Entre los afectados, se desconoce si hay afectados en otros estados miembros de la UE. - La brecha será comunicada a los afectados a más tardar en fecha 30 de julio de 2024. - La brecha no se pone en conocimiento de las autoridades policiales”. TERCERO: Los días 6 de agosto de 2024 y 24 de septiembre de 2024 se recibieron dos reclamaciones de afectados por los hechos anteriores. Las reclamaciones anteriores fueron admitidas a trámite, conforme al artículo 65 de la LOPDGDD el 24 de septiembre de 2024 y el 3 de diciembre de 2024 respectivamente. CUARTO: En fecha 23 de agosto de 2024 ECG MÉDICA actualiza con nuevos datos la brecha de datos personales comunicada el 25 de julio de 2024 destacando los siguientes aspectos: - Se actualiza la descripción de los hechos: “ECG Médica recibió, entre las 10:00 y 13:00 de la mañana del día 23/07/24, correos electrónicos, de un actor desconocido que amenazaba con publicar datos detallados de los pacientes y del negocio del Grupo. El correo incluía el nombre, fecha de nacimiento y e-mail de 6 pacientes de clínicas de ECG Médica. Posteriormente, a la 14:18 envió de nuevo el mismo e-mail, en este caso con un adjunto que incluye informes de pruebas diagnósticas de los 6 pacientes. El día 24/07/24 a las 12:25 el desconocido volvió a contactar, adjuntando un fichero adicional de uso del Departamento Financiero de ECG Médica. El día 25/07/24 a las 10:10 contactó de nuevo informando que ya había enviado datos médicos a 25 pacientes y que en las próximas 24 horas publicaría información médica de 100 pacientes. Las amenazas de envío de informes en lotes de 100 pacientes se producen hasta 3 veces más hasta el 31/07/24, cesando a partir de ese día cualquier comunicación por parte del actor. En total, y dando credibilidad a las comunicaciones realizadas por el actor, ha enviado 325 informes de pacientes a los propios pacientes. Únicamente, 6 pacientes han comunicado hasta la fecha a ECG Médica la recepción de un correo de un desconocido. ECG Médica no ha contactado en ningún momento con el actor atacante. ECG Médica ha informado individualmente de las circunstancias a todos los pacientes afectados de los que tiene constancia. ECG Médica, inició el día 23/07/24, de inmediato, una investigación interna”. - Número de afectados: 325 (aumenta el número de afectados). - Entre los afectados, se confirma que no hay afectados en otros estados miembros de la UE. Adjunto a esta notificación adicional de brecha, ECG MÉDICA aporta informe forense de la brecha acaecida, de 22 de agosto de 2024 (en adelante, informe forense 1). QUINTO: En fecha 27 de agosto de 2024 ***HOSPITAL.1 aporta más información sobre los siguientes aspectos: - Entre los afectados, se confirma que no hay afectados en otros estados miembros de la UE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/22 SEXTO: En fecha 4 de octubre de 2024, ***HOSPITAL.2 (en adelante ***HOSPITAL.2) comunica lo siguiente sobre la brecha notificada por ECG MÉDICA. En esta notificación completa, ***HOSPITAL.2 manifiesta lo siguiente: “- Fecha de detección de la brecha: 3 de octubre de 2024. - Descripción de los hechos: “ECG Médica (proveedor del ***HOSPITAL.2) fue víctima de un ciber incidente el 23 de julio de 2024”. - Tipología de los datos afectados: datos básicos (ej.: nombre, apellidos, fecha de nacimiento), DNI, NIE, pasaporte y / o cualquier otro documento identificativo, datos de contacto, de salud (otros datos de salud). - Número de afectados: 6. - Categoría de afectados: pacientes. - Entre los afectados, no hay menores ni miembros de colectivos vulnerables. - Entre los afectados, no hay afectados en otros estados miembros de la UE. - La brecha se comunica a 6 afectados en fecha 3 de octubre de 2024. - La brecha se pone en conocimiento de las autoridades policiales. - Se identifica a ECG MÉDICA como encargado de tratamiento”. SÉPTIMO: En fecha 8 de abril de 2025, ECG MÉDICA realiza una segunda notificación adicional de brecha. En esta segunda notificación adicional, ECG MÉDICA aporta más información sobre los siguientes aspectos: - Se actualiza la descripción de los hechos: “El 25 de julio de 2024 se realizó notificación inicial de brecha de seguridad sufrida por la entidad ante la AEPD. Esta notificación inicial se completó el 23 de agosto de 2024 con la información adicional recabada. El15/10/24, se aportó la información solicitada en el requerimiento de la AEPD de fecha 04/09/24 El 07/04/25 hemos tenido conocimiento que se ha publicado en la web "***URL.1" por un grupo malicioso ***GRUPO.1 información vinculada a la brecha de 25/07/24. El link que ofrece la noticia publicada con información de nuestra organización incluye 25 informes PDF con informes médicos de pacientes atendidos en nuestra entidad. También incluye otra información sensible que no afecta a datos personales. Se ha procedido a notificar de inmediato a los pacientes afectados por esta nueva publicación. Se ha comprobado, junto con nuestro servicio externo de SOC, que toda la información de la que este grupo indica disponer proviene de la exfiltración de la brecha de julio de 2024”. - Número de afectados: 155 (se actualiza el número de afectados interesados). - La brecha se comunica a 20 afectados (más afectados que los indicados en las anteriores notificaciones de brecha, que ascendían a 6) en fecha 8 de abril de 2025. Adjunto a la notificación adicional de brecha del 8 de abril de 2025, ECG MÉDICA aporta ampliación del informe forense de evaluación de brecha (en adelante, informe forense 2). El nuevo documento (informe forense 2) data de 8 de abril de 2025. OCTAVO: En fecha 9 de abril de 2025, ***HOSPITAL.1 remite información adicional a esta AEPD por la que informa de los nuevos aspectos comunicados por ECG MÉDICA recogidos en el antecedente anterior. NOVENO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/22 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En el marco de las actuaciones previas de investigación se tiene conocimiento de los siguientes aspectos sobre la base de las respuestas a los requerimientos de información de 7 de abril de 2025, 2 de junio de 2025 y 29 de julio de 2025 de ECG MÉDICA; 13 de marzo de 2025 de ***HOSPITAL.1, 9 de julio de 2025 de ***HOSPITAL.2 y 11 de julio de 2025 de ***EMPRESA.1. A. Análisis de la brecha. A.1. Cronología de los hechos, vector de entrada, detección y origen de los datos personales afectados por la brecha: 1. Cronología de los hechos: - (…) 2. Vector de entrada: Con base en lo expuesto en los puntos anteriores, se destaca que pueden ser varias las causas raíz del ataque (...), de manera que no se puede esclarecer con certeza el vector de entrada del ataque. Este hecho se manifiesta en el informe forense 2: (…) 3. Detección de la brecha: En relación con la detección de la brecha, se destaca que ECG MÉDICA es consciente de la misma cuando comienza a recibir amenazas por parte del atacante en fecha 23 de julio de 2024. Este hecho se manifiesta en el informe forense 1 remitido por el ECG MÉDICA en fecha 23 de agosto de 2024: “(…)” Con fecha de registro de 8 de abril de 2025 ECG Médica aporta el detalle de las comunicaciones del atacante que resultan acordes con las manifestaciones del ECG MÉDICA. Un aspecto para destacar es que, en estas comunicaciones, se observa que el atacante dispone de informes médicos “en claro”; es decir, la información de estos informes es visible. 4. Origen de la información afectada en la brecha: Sobre los datos comprometidos, en el informe forense 1 de fecha 23 de agosto de 2024 se manifiesta lo siguiente: “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/22 Sobre este proceso excepcional de solicitud de un duplicado de informes de pruebas diagnósticas por parte de pacientes que requiere la descarga del mismo, en el escrito de respuesta remitido por el ECG MÉDICA con fecha de registro 8 de abril de 2025 se manifiesta lo siguiente: (…). A la vista de lo expuesto, se solicita más información a ECG MÉDICA sobre la gestión de este proceso excepcional de solicitud de duplicados de informes de pruebas diagnósticas por parte de pacientes, el cual requiere la descarga y envío manual de los mismos. Así, en el escrito de respuesta remitido por ECG MÉDICA en fecha 2 de junio de 2025, se manifiesta lo siguiente: “(…)”. A la vista de lo expuesto, se solicita a ECG MÉDICA que aclare cómo es factible que el atacante disponga de informes médicos “en claro” (es decir, sin cifrar, tal y como se ha señalado previamente) si el proceso de descarga y envío manual de duplicados de informes de pruebas diagnósticas de pacientes (cuando estos lo solicitan) implica el cifrado de los mismos. Sobre este aspecto, en el escrito de respuesta remitido por ECG MÉDICA en fecha 2 de junio de 2025), se manifiesta lo siguiente: “(…)”. A.2. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su contención inicial. En relación con las medidas adoptadas para la contención de la brecha, ECG MÉDICA aporta la siguiente información en el informe forense 1:“(…)”. A.3. Causas que hicieron posible la brecha. (…) A.4. Respecto de la tipología y volumen de datos afectados. Sobre el volumen de los datos afectados por la brecha de datos personales ECG MÉDICA manifiesta lo siguiente en el escrito de respuesta remitido en fecha 2 de junio de 2025: “Número de afectados: en las 48 horas posteriores al ataque, se identificaron a 10 pacientes afectados; posteriormente, a finales de septiembre 2024 se identificaron 125 afectados y, a raíz de la última publicación en abril de 2025, 1217 pacientes adicionales; todos ellos pacientes de nuestras clínicas y haciendo un total de 1352 pacientes. Aportamos información adicional a continuación”. Dentro del total de los 1.352 afectados, se incluyen 9 pacientes del ***HOSPITAL.1, 6 pacientes del ***HOSPITAL.2 y 1 paciente de ***EMPRESA.1. El detalle de esta volumetría se explica en el apartado A.5. Además, se solicita a ECG MÉDICA que aporte la volumetría total de interesados para los que trata datos personales, realizando la siguiente manifestación en el escrito de respuesta remitido en fecha 29 de julio de 2025: “Tomando como alcance todos los pacientes de ECG Médica S.L. que se han realizado pruebas de diagnóstico por imagen en nuestras clínicas y de las cuales disponemos de informe de diagnóstico, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/22 número total de interesados hasta julio de 2024 (fecha del incidente) asciende a 1.407.770 (un millón cuatrocientos siete mil setecientos setenta)”. Por tanto, se concluye que, la brecha acaecida, afecta a algo menos del 0,1% de los interesados para los que ECG MÉDICA trata datos personales. Sobre la tipología de los datos afectados por la brecha para ECG MÉDICA subraya lo siguiente en el escrito de respuesta remitido en fecha 2 de junio de 2025: “(…)”. En las comunicaciones realizadas por el atacante hacia ECG MÉDICA y remitidas por dicha entidad en fecha 7 de abril de 2025 se observa la información de la que dispone el atacante, incluyendo datos identificativos (como nombre y apellidos del paciente), datos de contacto (como su dirección de correo electrónico), datos de características personales (como fecha de nacimiento) y los datos de salud existentes en los informes de pruebas diagnósticas “en claro”. A.5. Impacto de la brecha y exfiltración de datos personales. El impacto de la brecha afecta a la confidencialidad, al haberse producido un acceso a datos personales de pacientes por personal no autorizado, llegándose, incluso, en algunos supuestos a la publicación de los datos en internet. En relación con la exfiltración de datos personales, se destaca a continuación la cronología de la detección de esta exfiltración y su alcance conforme a las manifestaciones emitidas por parte de ECG MÉDICA, destacando, principalmente, las siguientes fases en dicha exfiltración: a. Fase 1: exfiltración de la que es conocedor ECG MÉDICA en julio de 2024, cuando dicho investigado recibe diversas amenazas y extorsiones por parte del atacante desde el 23 de julio de 2024 hasta el 31 de julio de 2024. Este hecho se manifiesta por ECG MÉDICA en su escrito de respuesta remitido en fecha 2 de junio de 2025 : “Cuando se produjo el ataque, se confirmó el acceso a 10 informes médicos de pacientes”. b. Fase 2: exfiltración de la que es conocedor ECG MÉDICA a lo largo de los meses de septiembre y octubre de 2024. En el informe forense 1 se indica que hay (…). Enel informe forense 2, ECG MÉDICA declara que realiza un rastreo de documentos, advirtiendo que existen (…). Este hecho se manifiesta por ECG MÉDICA en su escrito de respuesta remitido en fecha 2 de junio de 2025 (: “(…)”. Adicionalmente, se destaca que, en el informe forense 2 se manifiesta lo siguiente: “(…)”. c. Fase 3: exfiltración de la que es conocedor ECG MÉDICA en el mes de abril de 2025. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/22 En el informe forense 2 remitido por ECG MÉDICA, se manifiesta lo siguiente: “(…)” A la vista de lo manifestado, se solicita más información a ECG MÉDICA, el cual aporta el siguiente detalle en su escrito de respuesta remitido en fecha 2 de junio de 2025: “(…)”. Debido a estas manifestaciones sobre las publicaciones que realizan diferentes actores maliciosos, se solicita a ECG MÉDICA que justifique que dichas publicaciones emplean información exfiltrada del ataque de julio de 2024; es decir, que ECG MÉDICA acredite que no ha sufrido otros ataques. Sobre este aspecto, el ECG MÉDICA manifiesta lo siguiente en el escrito de respuesta remitido en fecha 2 de junio de 2025 (como respuesta al requerimiento 2): “(…)” A la vista de lo manifestado por ECG MÉDICA, se revisa el documento nº9 aportado en fecha 2 de junio de 2025, observando que es un informe, de fecha 28 de mayo de 2025 en el que se concluye lo siguiente: “(…)”. Por tanto, a modo resumen, se concluye que, aunque la exfiltración se produce en un único ataque (julio de 2024), ECG MÉDICA es conocedor del alcance de la exfiltración en diferentes fases, siendo estas: a. Fase 1: exfiltración de la que es conocedor el ECG MÉDICA en julio de 2024, (…). b. Fase 2: exfiltración de la que es conocedor ECG MÉDICA a lo largo de los meses de septiembre y octubre de 2024, (…). c. Fase 3: exfiltración de la que es conocedor ECG MÉDICA en el mes de abril de 2025, (…). B. Medidas de seguridad. B.1. Medidas de seguridad implantadas con anterioridad a la brecha. Se presentan a continuación las medidas de seguridad implementadas por ECG MÉDICA con anterioridad a la brecha y relacionadas con su origen y causa raíz: (…) B.2. Medidas técnicas y organizativas adoptadas para evitar incidentes como el sucedido. ECG MÉDICA adopta las siguientes medidas con posterioridad al incidente: (…) DÉCIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ECG MÉDICA es una empresa constituida en el año 1980, y con un volumen de negocios de 28.449.927 euros en el año 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/22 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.

  1. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/22 varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ECG MÉDICA realiza, entre otros tratamientos entre otros tratamientos, la recogida y conservación de datos personales de personas físicas (pacientes): datos identificativos y de contacto, documentos identificativos, datos de salud. El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, ECG MÉDICA es un centro sanitario de acuerdo con el artículo 3 de la Ley 41/2002 de Autonomía del paciente dedicado a la realización de pruebas de diagnóstico por imagen. Para el ejercicio de su actividad -esto es, la realización de pruebas diagnósticas- presta un servicio de asistencia sanitaria a sus pacientes, que ayudan al diagnóstico médico y a la prevención de la enfermedad. Todo ello aun cuando estos pacientes tuvieran también tal condición respecto de otros centros sanitarios (en el presente supuesto, ***HOSPITAL.1, ***HOSPITAL.2 y ***EMPRESA.1) y hubiesen sido derivados por estos – o por sus aseguradoras- para tal fin, o, por el contrario, acudieran de manera directa a sus premisas. En consecuencia, ECG MÉDICA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios, en virtud del artículo 4.7 del RGPD. Todo ello sin perjuicio de que, en relación con otras actividades y funciones, pudiera tener la condición de encargado de tratamiento respecto a otros centros sanitarios, de cumplirse los requisitos exigidos conforme al artículo 4.8 del RGPD. Dado que la brecha de datos personales sufrida materialmente por ECG MÉDICA responde estrictamente a su actividad en tanto que centro sanitario de pruebas diagnósticas por imagen, tiene la consideración de responsable del tratamiento en el presente procedimiento sancionador. IV Obligación incumplida. Seguridad del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/22 El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  2. a)la seudonimización y el cifrado de datos personales;
  3. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  4. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  5. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." La finalidad del artículo 32 del RGPD es garantizar que los datos personales sean tratados de forma segura, minimizando los riesgos de acceso no autorizado, pérdida, alteración o divulgación indebida. Este precepto impone a los responsables del tratamiento la obligación de adoptar medidas técnicas y organizativas apropiadas que aseguren un nivel de seguridad adecuado al riesgo, considerando la naturaleza de los datos, el contexto del tratamiento y la probabilidad y gravedad de posibles impactos sobre los derechos y libertades de las personas físicas. Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/22 Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. Conviene resaltar, en este sentido, que la obligación establecida por el artículo 32 del RGPD implica, con carácter previo, contar con medidas tendentes a evitar las brechas de datos personales. Asimismo, en caso de que estas se produzcan, debe contarse con medidas que permitan: su identificación a la mayor brevedad y, abordarla, adoptando las medidas necesarias para paliarla o ponerle fin. Así las cosas, el considerando 87 del RGPD deja entrever la obligación de contar con medidas que eviten la brecha y que permitan su identificación a la mayor brevedad: “87 Debe verificarse si se ha aplicado toda la protección tecnológica adecuada y se han tomado las medidas organizativas oportunas para determinar de inmediato si se ha producido una violación de la seguridad de los datos personales y para informar sin dilación a la autoridad de control y al interesado”. En la misma línea se pronuncian las Directrices 9/2022, sobre la notificación de las violaciones de la seguridad de los datos personales en el marco del RGPD adoptadas por el Comité Europeo de Protección de Datos (CEPD), cuando hacer referencia a la necesidad de contar con medidas que permitan detectar y subsanar una brecha de datos personales: 37. Por tanto, el responsable del tratamiento debe disponer de procesos internos para poder detectar y subsanar una violación. Por ejemplo, para encontrar algunas irregularidades en el tratamiento de los datos, el responsable o el encargado del tratamiento pueden utilizar ciertas medidas técnicas, tales como analizadores de flujo de datos y de registro, a partir de los cuales es posible definir eventos y alertas mediante la correlación de cualquier dato de registro. 41. El artículo 32 del RGPD deja claro que el responsable y el encargado del tratamiento deben disponer de las medidas técnicas y organizativas adecuadas para garantizar un nivel adecuado de seguridad de los datos personales: la capacidad para detectar, abordar y notificar una violación en tiempo oportuno debe considerarse un elemento esencial de estas medidas”. Por tanto, el artículo 32 del RGPD aplicado al tratamiento de los datos de un cliente que resulte necesario para la actividad exige que dicho tratamiento deba realizarse con métodos técnicos y organizativos que garanticen la seguridad y confidencialidad de los datos personales. En el presente caso, ECG MÉDICA sufrió una brecha de datos personales, consistente en una brecha de confidencialidad al producirse un acceso por parte de terceros no autorizados a los datos personales de 1.352 personas, incluyéndose, en algunos supuestos, la publicación de los mencionados datos en internet. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/22 En cuanto a la tipología de los datos personales comprometidos afectado, estos se corresponden con datos identificativos (nombre y apellidos del paciente), datos de contacto (como las direcciones de correo electrónico), datos de características personales (como fecha de nacimiento) y los datos de salud existentes en los informes de pruebas diagnósticas. De acuerdo con las actuaciones previas de investigación, la brecha de datos personales consistió en la exfiltración de los informes diagnóstico de 1.352 pacientes en los siguientes términos: (…) Posteriormente el atacante extorsionó a ECG MÉDICA a través de correo electrónico y Whatsapp los días 23, 24, 25 y 31 de julio de 2024 amenazando con la publicación de los datos exfiltrados en internet. Los informes médicos exfiltrados también fueron remitidos a los propios pacientes titulares de los datos por el atacante, para hacerles conocedores de lo ocurrido. Finalmente, consta la publicación en internet de parte de los datos personales exfiltrados (al menos 25 informes médicos de pacientes), en concreto, en la web "***URL.1". Sobre esta publicación tuvo conocimiento ECG MÉDICA el 7 de abril de 2025. Sin perjuicio de lo anterior, no ha sido posible la identificación del vector de entrada que propició la mencionada brecha de datos personales. Así, tal y como se recoge en las actuaciones previas de investigación y de acuerdo con el informe forense 2 de ECG MÉDICA existen diferentes hipótesis plausibles: o bien (…). Aun cuando no se hubiera identificado con claridad el vector de entrada, de acuerdo con las actuaciones de investigación realizadas, existían numerosas deficiencias en las medidas técnicas y organizativas de seguridad de ECG MÉDICA que posibilitaron la materialización de la brecha de datos personales: - (…) - Ha de hacerse una especial referencia a la ausencia de medidas de alerta temprana entre las carencias de las medidas de seguridad observadas. Así, si bien el inicio de la brecha se remonta al 25 de junio de 2024, con los primeros movimientos anómalos en la máquina (…), y si bien ECG MÉDICA no tuvo conocimiento de esta hasta el 23 de julio de 2024 y por el aviso de un tercero (el propio atacante). La inexistencia o deficiencias en medidas de alerta temprana que permitan que, en caso de producirse una brecha de datos personales esta sea detectada a la mayor brevedad permitiendo la mitigación y paliación de esta, así como la minimización de los efectos adversos en los derechos y libertades de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/22 interesados supone una violación del principio de responsabilidad proactiva que debe regir el enfoque de riesgos que exige el artículo 32 del RGPD. Tan pronto tuvo conocimiento de la brecha de datos personales, ECG MÉDICA adoptó las siguientes medidas de contención de esta: • (…) Por otra parte, durante las actuaciones previas de investigación, ha quedado acreditada la adopción de las siguientes medidas reactivas: • (…) A la vista de lo anterior, y aun cuando ECG MÉDICA hubiera adoptado medidas reactivas para mitigar y paliar la brecha de datos personales, esta habría vulnerado el artículo 32 del RGPD al no contar con medidas técnicas y organizativas de seguridad adecuadas al riesgo, lo que favoreció la materialización de una brecha de datos personales entre junio y julio de 2024. Por todo lo expuesto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a ECG MÉDICA por vulneración del artículo 32 RGPD. V Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  6. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;
  7. b)las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
  8. c)las obligaciones de la autoridad de control a tenor del artículo 41, apartado 4." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/22 "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  9. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  10. a)a
  11. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  12. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  13. b)la intencionalidad o negligencia en la infracción;
  14. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  15. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  16. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  17. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  18. g)las categorías de los datos de carácter personal afectados por la infracción;
  19. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  20. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  21. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  22. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/22 Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  23. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  24. a)El carácter continuado de la infracción.
  25. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  26. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  27. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  28. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  29. f)La afectación a los derechos de los menores.
  30. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  31. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de ECG MÉDICA de 28.449.927 euros. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.4 del RGPD, la sanción que se imponga podrá ser de 10.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 2% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 2% del volumen de negocio de ECG MÉDICA es de 568.998,54 euros. Conforme a lo anterior, la sanción que se imponga habrá de estar forzosamente entre los 0 y 10.000.000 de euros. Asimismo, en relación con el nivel de gravedad en los términos del RGPD, sin perjuicio de lo que resulte de la instrucción, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): La conducta en la que se concreta la naturaleza de infracción atribuida al reclamado afecta a una obligación esencial en materia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/22 protección de datos, derivada del principio de responsabilidad proactiva consagrada en el artículo 5.2 del RGPD, así como del principio contenido en el artículo 5.1
  32. f)del RGPD. El objetivo del artículo 32 RGPD es garantizar la seguridad de los datos, teniendo por fin último garantizar el control sobre los datos personales de sus titulares. Así, la materialización de una brecha de confidencialidad por no haber adoptado medidas de seguridad adecuadas al riesgo incide directamente en el control que los afectados tienen sobre sus datos personales. Así, los interesados confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas razonables de los afectados respecto al tratamiento de sus datos personales. Por otra parte, en relación con el número de afectados, este asciende a 1.352 pacientes. Ahora bien, ha de tenerse en cuenta, en relación con el alcance de la infracción, que ECG MÉDICA dispone del informe diagnóstico de 1.407.770 pacientes desde 2024, circunscribiéndose la pérdida de confidencialidad al 0,1 % de estos. En cuanto a la duración de la infracción se subraya que los hechos se extendieron en el tiempo entre junio y julio de 2024, sin perjuicio de que sus efectos continuaron manifestándose a 7 de abril de 2025 mediante la publicación de 25 informes de diagnóstico de pacientes en internet, lo que muestra la pérdida de control a la que se hacía referencia previamente. Por último, se subraya el elevado número de datos comprometidos por afectado. • La intencionalidad o negligencia en la infracción (artículo 83.2, letra
  33. b)del RGPD): No se aprecia una especial negligencia que sea reseñable y que lleve a apreciar esta circunstancia de forma distinta a la neutra conforme a lo señalado en las Directrices 04/2022 • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): En este sentido, las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso consta que entre los datos comprometidos por la brecha predominan los datos de salud (datos de categoría especial). Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): ECG MÉDICA se dedica a la gestión y prestación de servicios de salud. Como consecuencia de su actividad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/22 empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados, lo que supone forzosamente operaciones de tratamiento de datos personales de las personas físicas. Por otro lado, en calidad de atenuantes, se tiene en cuenta la siguiente circunstancia:  Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción (artículo 83.2.
  34. k)del RGPD: La valoración del comportamiento de ECG MÉDICA, en este caso, exige considerar las acciones llevadas a cabo por dicha entidad dirigidas al cumplimiento de lo establecido en el RGPD y LOPDGDD, en consideración al principio de mejora continua y con el objetivo de mitigar y paliar los efectos de la brecha de datos personales. Sin obviar que esa mejora continua es una obligación exigible a los responsables del tratamiento, se estima oportuno considerar la actitud mostrada por ECG MÉDICA que, a lo largo de las actuaciones, ha informado de la implantación de diversas medidas destinadas al cumplimiento de la normativa de protección de datos y, en particular, a evitar que los hechos acontecidos vuelvan a producirse. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 30.000.- euros (treinta mil euros). Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ECG MÉDICA, S.L., con NIF B46138632 por la presunta infracción del artículo 32 RGPD tipificada en el artículo 83.4 del RGPD. SEGUNDO: NOMBRAR como instructora a S.S.S. y, como secretaria, a R.R.R., indicando que podrán ser recusadas, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, las notificaciones de brecha y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  35. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 30.000,00 euros, sin perjuicio de lo que resulte de la instrucción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/22 QUINTO: NOTIFICAR el presente acuerdo a ECG MÉDICA, S.L., con NIF B46138632 otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 24.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 24.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 18.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (24.000,00 euros o 18.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/22 1479-200126 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 10 de abril de 2026, ECG MÉDICA ha procedido al pago de la sanción en la cuantía de 18.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/22 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 18.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, ECG MÉDICA ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 30.000,00 euros. Tras haber procedido ECG MÉDICA, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 18.000,00 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/22 La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202412902, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a ECG MÉDICA, S.L.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  36. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  37. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaeps.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 936-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.