← España

PS-00227-2025

1/17  Expediente N.º: EXP202317641 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13 de octubre de 2023, se notificó a esta Agencia una brecha de datos personales de la CONSEJERÍA DE AGRICULTURA, GANADERÍA Y DESARROLLO RURAL DE LA JUNTA DE CASTILLA Y LEÓN, con NIF S4711001J (en adelante, CONSEJERÍA ). Resumen de la notificación: Ciberincidente con afectación a la base de datos del registro de animales de compañía autonómica Sistema de Identificación de Animales de Compañía de Castilla y León (en adelante, SIACYL), que gestiona los datos de los animales y dueños. En el momento de la notificación se encuentra en investigación el alcance total y se ha procedido a aplicar las recomendaciones que ha dado el Centro Criptológico Nacional (en adelante, CCN): (...).     Fecha de detección de la brecha: 11 de octubre de 2023. Número de afectados según notificación: 70.000 según la notificación inicial, 43.000 afectados según información trasladada posteriormente. Tipología de los datos según notificación: datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, datos de contacto. La CONSEJERÍA indica en la notificación que se encuentra pendiente decidir si se realizará comunicación a los afectados. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 21 de noviembre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/17 Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: 1. Análisis de la brecha. 1.1. Cronología de los hechos. El sistema informático SIACYL sufrió una brecha de datos personales que permitió la exfiltración de aproximadamente 72.000 registros. Dicha brecha, según la información facilitada por la CONSEJERÍA, tuvo lugar entre los días (…). La brecha de datos personales fue detectada con posterioridad a partir de una comunicación del CCN alertando de esta. El responsable manifiesta: “(…)”. Las comunicaciones con el CCN, de las que se ha facilitado un extracto, indicaban que mediante el usuario ***USUARIO.1 correspondiente al Ayuntamiento de ***LOCALIDAD.1 se había accedido de forma fraudulenta al sistema y se habían descargado 72.722 registros de información. (…). La fecha de detección de la brecha, según la notificación presentada, es el 11 de octubre de 2023. Relativo a esa fecha, consta: “(…)”. (…). “(…)”. 1.2. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. (…). (…). (…). 1.3. Causas que hicieron posible la brecha. (…). (…). (…). (…). (…). 1.4. Impacto de la brecha. Posibles consecuencias para los afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/17 Los datos afectados por la brecha han sido: nombre, apellidos, DNI, dirección postal y datos de contacto (teléfono) de los propietarios de las mascotas. Junto con ellos también se encontraban datos sobre las mascotas registradas (microchip, especie, raza, nombre, fecha de alta, etc.). (…). El volumen de afectados es de 43.340 ciudadanos. Aunque el volumen de registros exfiltrados es mayor, la CONSEJERÍA manifiesta que esto se debe a que un propietario puede tener varios animales a su nombre. En relación con las consecuencias, la CONSEJERÍA emite la siguiente valoración: “(…)”. 2. Medidas de seguridad. 2.1. Medidas de seguridad implantadas con anterioridad a la brecha. Mecanismos de autenticación. (…). (…). (…). (…). (…). 2.2. Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente. (…). (…). (…). 2.3. Medidas técnicas y organizativas adoptadas para evitar incidentes como el sucedido. (…):   (…): o o o o o (…). C/ Jorge Juan, 6 28001 – Madrid (…). (…). (…). (…). (…). www.aepd.es sedeaepd.gob.es 4/17 (…):   (…). (…). (…). 3. Otra documentación. La CONSEJERÍA aporta copia del análisis de riesgos realizado por el CONSEJO DE COLEGIOS PROFESIONALES DE VETERINARIOS DE CASTILLA Y LEÓN (encargado de tratamiento). En dicho análisis consta como responsable el CONSEJO, si bien para el caso específico del sistema SIACYL se indica que tiene rol de encargado. (…). Se indica que existe un protocolo de actuación en caso de brechas de datos personales. 4.- Otros aspectos. 4.1. Publicación de los datos exfiltrados en Internet. No constan evidencias sobre la publicación o venta de los datos afectados por la brecha. El CCN, al que se solicitó su colaboración, informa al respecto: “este Centro Criptológico Nacional no tiene constancia del uso, publicación o indexación en Internet de los datos robados”. (…) (…). CUARTO: Los días 16, 17 y 25 de noviembre de 2023 se recibieron tres reclamaciones de afectados por la brecha de datos personales a la que se hace referencia en los hechos anteriores. Dichas reclamaciones fueron admitidas a trámite el 15 de diciembre de 2023. QUINTO: Con fecha 21 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5.
  2. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/17 1. La supuesta inexistencia de gravedad de la infracción puesto que desde el primer momento se actuó con diligencia, sin que se hayan recibido quejas al respecto por parte de los afectados. 2. La ausencia de intencionalidad o negligencia, que, en todo caso, sería imputable al Consejo de colegios profesionales de veterinarios de Castilla y León (su encargado) que contaba entre sus instrucciones para la implantación de medidas de seguridad conforme al ENS y lo específicamente señalado en el artículo 32 del RGPD. Asegura que el incumplimiento de las obligaciones del encargado del tratamiento no puede imputarse al responsable. 3. Las medidas correctoras adoptadas tras la brecha. 4. La correcta elección del encargado del tratamiento, sin perjuicio de que este debería haber establecido adecuadamente medidas de seguridad adecuadas. 5. Insiste en que no existen incidentes similares con carácter previo, en que se ha cooperado con la autoridad de control y que la brecha no afectó a “datos especialmente protegidos”, sin que existan evidencias de que se haya materializado ninguna consecuencia perjudicial para los afectados. SÉPTIMO: Con fecha 9 de marzo de 2026 se formuló propuesta de resolución, dando respuesta en la misma a las alegaciones planteadas, otorgando un nuevo plazo para la presentación de alegaciones, y proponiendo que se declare que CONSEJERÍA DE AGRICULTURA, GANADERÍA Y DESARROLLO RURAL, con NIF S4711001J, ha infringido lo dispuesto en el artículo 5.1.
  3. f)del RGPD, tipificada en el artículo 83.5.
  4. a)del RGPD. La propuesta de resolución fue notificada el 10 de marzo de 2026, tal y como consta en el justificante que obra en el expediente. Una vez transcurrido el plazo otorgado, no se ha recibido escrito alguno en esta Agencia. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La CONSEJERÍA sufrió una brecha de datos personales entre el 10 de julio de 2023 y el 6 de octubre de 2023 consistente en (…) Sistema de Identificación de Animales de Compañía de Castilla y León (…). La brecha de datos personales permitió la exfiltración de 72.722 registros, afectando a los datos de 43.000 propietarios de toda Castilla y León, que representan aproximadamente el 7% de los registrados de SIACYL. SEGUNDO: El SIACYL cuenta con un sistema de consulta para los propietarios de animales respecto a los datos asociados a sus mascotas y con un sistema de consulta para usuarios no propietarios (veterinarios o ayuntamientos entre otros, que sumaban en el momento de los hechos un total de 2.257 usuarios). TERCERO: La brecha de datos personales se produjo mediante la (…) de acuerdo con la CONSEJERÍA y el CCN. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/17 CUARTO: Una vez dentro del sistema, desde el usuario cuyas credenciales habían resultado comprometidas (…). QUINTO: Los datos afectados por la brecha por afectado fueron el nombre, apellidos, DNI, dirección postal y datos de contacto (teléfono). SEXTO: En el momento de producirse los hechos, tal y como reconoce la CONSEJERÍA, no contaba con (…). SÉPTIMO: La CONSEJERÍA tuvo conocimiento de la brecha de datos personales a través del CCN, que le informó de los hechos el 28 de septiembre de 2023. OCTAVO: Tras haber tenido conocimiento por parte del CCN, la CONSELLERIA adoptó las siguientes medidas reactivas: (…). Además, ha adoptado las medidas siguientes: (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/17 El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CONSEJERÍA realiza, entre otros tratamientos, de datos personales de personas físicas: nombre, apellidos, DNI, dirección y datos de contacto (teléfono). CONSEJERÍA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones presentadas al acuerdo de inicio Con relación a las alegaciones aducidas por la CONSEJERÍA al acuerdo de inicio, se procede a dar respuesta a las mismas siguiendo el orden señalado en los antecedentes de hecho: 1. Sobre la supuesta inexistencia de gravedad de la infracción. La CONSEJERÍA sostiene que la infracción no puede calificarse como grave por tratarse de datos identificativos básicos (nombre, NIF, dirección y teléfono), habiendo tenido la máxima diligencia para minimizar el impacto de la brecha y que no ha recibido quejas de los afectados. Asimismo, invoca la transparencia mostrada tras el conocimiento del incidente y el elevado grado de información al ciudadano. Ha de señalarse en primer término que el acuerdo de inicio no se pronunciaba sobre la gravedad de la infracción, partiendo de la base de que, si bien el artículo 83 del RGPD prevé las circunstancias que habrán de valorarse a los efectos de fijación de una multa coercitiva, el artículo 83.7 del RGPD abre la puerta a que los Estados miembros establezcan excepciones para sus autoridades públicas. En consecuencia, el artículo 77 de la LOPDGDD prevé, en los supuestos en los que el sujeto infractor figure entre los enunciados, la declaración de la infracción y la imposición, en su caso, de medidas correctivas para asegurar la corrección de la infracción. En cualquier caso, sí conviene precisar que la ausencia de quejas de los afectados no es óbice para que el derecho a la protección de datos de los más de 40.000 afectados se haya visto comprometido y se haya producido un acceso no autorizado a sus datos personales, con la consecuente vulneración del artículo 5.1
  5. f)del RGPD imputado. Conviene señalar que el derecho a la protección de datos es un derecho fundamental constitucionalmente reconocido en el artículo 18.4 de la CE. Este derecho fundamental C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/17 reconoce el derecho de los ciudadanos al control sobre sus datos, tengan estos datos o no dimensión constitucional. La pérdida de confidencialidad de los datos personales de los titulares de los datos personales afectados por una brecha supone por sí misma una lesión a su derecho fundamental de protección de datos. Por otra parte, la adopción de medidas tras la materialización de la brecha, aun cuando pueda valorarse de manera positiva por esta Agencia, no deja de ser una exigencia del propio RGPD que puede resumirse en el principio de responsabilidad proactiva de su artículo 5.2 del RGPD. Asimismo, la adopción de medidas adecuadas al riesgo constituye una obligación del responsable. En cuanto a la supuesta transparencia y grado de información al ciudadano invocados, no cabe sino recordar las obligaciones específicas que el RGPD impone en relación con la notificación de las brechas de datos personales a la autoridad de control, así como la comunicación a los afectados por las mismas en los artículos 33 y 34 del RGPD. 2. Sobre la ausencia de intencionalidad o negligencia La CONSEJERÍA afirma que no concurre dolo ni culpa, señalando que el incidente deriva de la falta de custodia de una contraseña por parte de un usuario final y que las obligaciones técnicas correspondían al encargado y subencargado del tratamiento. Sin embargo, a efectos de determinar la responsabilidad administrativa, no es necesaria la existencia de dolo, sino que basta concurrencia de culpa, tal y como establece el artículo 28 de la Ley 40/2015, de 1 de diciembre, de Régimen Jurídico del Sector Público: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas… que resulten responsables de los mismos a título de dolo o culpa”. Esto es, el principio de responsabilidad exige la concurrencia de o bien intencionalidad o bien negligencia. En estos términos se pronuncia la jurisprudencia de nuestro país, como, por ejemplo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/17 “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". A la vista de lo anterior, no puede sostenerse en este punto la ausencia de culpa de la CONSEJERÍA que sufrió una brecha de datos personales como consecuencia de una usurpación de credenciales y que carecía de medidas de todo tipo, como el doble factor de autenticación o una política de modificación periódico de contraseñas, entre otros. Asimismo, debe señalarse que el responsable responde, de conformidad con el artículo 29 del RGPD, por las actuaciones llevadas a cabo por su encargado de tratamiento o sus empleados. Además, en su condición de responsable del tratamiento, el artículo 28.1 del RGPD impone a la CONSEJERÍA un deber de diligencia reforzado en la elección y supervisión del encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/17 Además, el responsable debe verificar efectivamente que el encargado ofrece garantías reales y mantiene controles adecuados de manera periódica. Por su parte, las exigencias del artículo 28.3 del RGPD no se cumplen con unas meras remisiones genéricas a lo contenido en el artículo 32 del RGPD. Así, tal y como recuerdan las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD: “126. Tal como se ha indicado previamente, el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGDP: debe incluir o hacer referencia a información sobre las medidas de seguridad que se adoptarán, la obligación del encargado de obtener la aprobación del responsable antes de realizar cualquier cambio y una revisión periódica de las medidas de seguridad a fin de garantizar su adecuación a los riesgos, que pueden variar con el tiempo. El grado de detalle de la información sobre las medidas de seguridad que debe incluirse en el contrato debe poder permitir al responsable evaluar la adecuación de las medidas con arreglo al artículo 32, apartado 1, del RGPD. Esta descripción también es necesaria para que el responsable pueda cumplir con su deber de responsabilidad proactiva previsto en el artículo 5, apartado 2, y en el artículo 24 del RGPD en relación con las medidas de seguridad impuestas al encargado. Del artículo 28, apartado 3, letras
  6. f)y h), del RGPD, puede inferirse la correspondiente obligación del encargado de asistir al responsable y de poner a su disposición toda la información necesaria para demostrar el cumplimiento”. Asimismo, se insiste en que el RGPD establece un sistema basado en la prevención y el análisis y gestión de los riesgos, que requiere la evaluación de su impacto y probabilidad, así como la adopción de medidas de todo tipo adecuadas. 3. Sobre las medidas correctoras adoptadas tras la brecha. La CONSEJERÍA detallada las actuaciones desplegadas tras el incidente: contacto con el CCN, auditorías técnicas, exigencia de certificaciones ENS, seguimiento de las medidas correctoras y comunicación individualizada a miles de afectados. Al respecto se señala que la adopción de medidas por parte de la CONSELLERIA a efectos de subsanar las deficiencias puestas de manifiesto con la brecha de datos personales, así como para mitigar sus efectos y prevenir que acontecimientos similares vuelvan a producirse, puede valorarse positivamente por parte de esta Agencia en el marco de adaptación de las actuaciones del responsable al cumplimiento del RGPD conforme al artículo 5.2 del RGPD. Lo anterior no obsta para que la materialización de la brecha de datos personales tuviera lugar y supusiera, por tanto, una infracción del artículo 5.1
  7. f)del RGPD. 4. Sobre la correcta elección del encargado del tratamiento La CONSEJERÍA argumenta que la elección del Consejo de Colegios Profesionales de Veterinarios obedecía a criterios de eficacia y experiencia, y que existía un contrato que imponía obligaciones de seguridad conforme al ENS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/17 Sin embargo, el deber del responsable no se agota en la elección basada en la idoneidad funcional o sectorial. El artículo 28.1 del RGPD exige seleccionar un encargado que ofrezca “garantías suficientes” respecto a la implantación de medidas técnicas y organizativas apropiadas. Esa exigencia incluye la verificación efectiva, el seguimiento periódico y la evaluación del cumplimiento, especialmente cuando se trata de bases de datos de gran volumen. La ausencia de incidentes previos desde 2018 no constituye prueba de adecuación de las medidas, sino únicamente la inexistencia de brechas detectadas. 5. En cuanto a la inexistencia de incidentes similares con carácter previo, la cooperación con la autoridad de control y que la brecha no afectó a “datos especialmente protegidos”, sin que existan evidencias de que se haya materializado ninguna consecuencia perjudicial para los afectados han de realizarse las siguientes precisiones: La inexistencia de incidentes similares con carácter previo no obsta para que, en esta ocasión, se haya producido una vulneración en los términos señalados en el fundamento de derecho siguiente que no requiere, por otra parte, para su materialización, de la existencia de datos de categoría especial. No puede obviarse, además, el elevado número de afectados y el número de datos por afectado, frente a lo señalado por la CONSEJERÍA. Por último, no debe olvidarse que atender los requerimientos de la AEPD en tanto que autoridad de control responde a un deber de colaboración impuesto por el RGPD, cuyo incumplimiento puede llevar aparejado la imposición de una sanción tras la tramitación del oportuno procedimiento sancionador. Lo mismo ocurre en relación con el incumplimiento de lo previsto en los artículos 33 y 34 del RGPD que se configuran como obligaciones del responsable. En cuanto a la ausencia de “consecuencias perjudiciales”, se remite a lo señalado en contestación a la primera alegación. Por todo lo expuesto, han de desestimarse la totalidad de las alegaciones efectuadas. IV Obligación incumplida. Integridad y confidencialidad La letra
  8. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/17 El principio de confidencialidad e integridad, recogido en el artículo 5.1
  10. f)RGPD, obliga a los responsables del tratamiento a garantizar un nivel adecuado de protección de los datos personales de manera que se garantice la confidencialidad e integridad de estos, evitando accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Esto incluye implementar medidas técnicas y organizativas apropiadas de todo tipo para proteger los datos frente a posibles brechas de datos personales, tanto externas como internas. Estas medidas deben ser apropiadas para evitar que se materialicen los riesgos en los derechos y libertades de las personas físicas que puedan derivarse del tratamiento, y deben ser revisadas y actualizadas periódicamente para garantizar su eficacia. En el presente caso, la documentación obrante en el expediente muestra que la CONSEJERÍA vulneró el artículo 5.1.
  11. f)del RGPD, principios relativos al tratamiento, al no garantizar debidamente la confidencialidad e integridad de los datos de carácter personal como consecuencia de la brecha de datos personales producida. Tal y como resulta de las actuaciones de investigación y de la notificación a la AEPD realizada por la CONSEJERÍA, Sistema de Identificación de Animales de Compañía de Castilla y León (en adelante, SIACYL), sufrió una brecha de datos personales que permitió la exfiltración de aproximadamente 72.722 registros de información, afectando a 43.340 personas, propietarias de las mascotas de la mencionada Comunidad Autónoma, mediante el acceso y descarga masiva de sus datos. La brecha de datos personales afectó, por tanto, al 7% de los registrados en el SIACYL. La descarga automatizada y no autorizada de los datos personales de los propietarios de animales registrados en la base de datos se produjo “(…)”. El vector de entrada de la brecha de datos personales fue la usurpación de credenciales de acceso de un usuario legítimo (…), correspondiente a un usuario de un Ayuntamiento con permisos para la realización de consultas en el sistema con las siguientes características: “(…).” Una vez se tuvo acceso al sistema, se realizaron consultas masivas (más de 70.000) a los datos contenidos en la aplicación desde una única IP. Además, aprovechando otras vulnerabilidades de la plataforma, se realizaron modificaciones de manera que el usuario usurpado, que solo debería haber podido acceder a datos correspondientes a propietarios de su municipio, pudo acceder a propietarios de toda Castilla y León. La Consejería lo narra en los siguientes términos: “(…)”. Tras la detección de la brecha, la CONSEJERÍA adoptó medidas destinadas a la minimización de sus efectos. Así, se provocó la caducidad de las contraseñas de todos los usuarios de la aplicación. (…). Por tanto, la duración de la brecha ha de establecerse, como mínimo entre el 10 de julio de 2023 y el 6 de octubre de 2023. En cuanto a la tipología de los datos afectados, se corresponde fundamentalmente con datos identificativos y de contacto: nombre, apellidos, DNI, dirección y teléfono. No consta que se accediera a la documentación escaneada incorporada en el sistema que se almacenaba en “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/17 Sin perjuicio de que el vector de entrada fuera un compromiso de credenciales legítimas, debe destacarse que, en el momento de producirse los hechos, existían otras deficiencias en las medidas técnicas y organizativas que posibilitaron la expansión y materialización de la brecha: En primer lugar, en relación con la política de credenciales de acceso: Tal y como reconoce la propia CONSEJERIA, (…): “(…)”. Tampoco contaba con un sistema (…). “(…)”. La ausencia de estas medidas técnicas resulta de particular relevancia, porque, tal y como señala la CONSEJERÍA en sus respuestas de 25 de enero y 21 de mayo de 2024 a esta AEPD, los atacantes contaban con, al menos, otras cuatro cuentas de usuario (perfil veterinarios) más desde la que intentaron acceder al sistema, pero no lo lograron precisamente porque sus legítimos titulares habían cambiado su contraseña con anterioridad. En segundo lugar, en relación con medidas preventivas de detección de incidentes: La brecha de datos personales no fue detectada hasta el 28 de septiembre de 2023 aun cuando las consultas masivas se realizaron los días 10 y 11 de julio de 2023 y aun cuando provinieran todas de un único usuario y de una misma IP. Es decir, el sistema no fue capaz de identificar un tráfico inusual de consultas de un único usuario. Además, la detección se produjo por el aviso realizado por el CCN, es decir, no fue siquiera identificado por el propio responsable del tratamiento o sus encargados. Tal y como señala la CONSEJERÍA: “(…)”. Lo anterior pone de manifiesto la ausencia de medidas de detección temprana de incidentes que fueran capaces de alertar no solo de consultas masivas, sino, además, realizas desde una única IP. Todo ello favoreció la explotación automatizada de la vulnerabilidad. En tercer lugar, se debe destacar también que la programación del sistema permitía la descarga masiva de registros, sin establecer limitaciones: “(…)”. Por otra parte, la inadecuada configuración del sistema permitió que por medio del perfil de usuario comprometido se accedieran a datos correspondientes a propietarios de otros municipios, vulnerándose así la política de gestión de accesos establecida. Tras la brecha de datos personales, la CONSEJERÍA ha adoptado diferentes medidas correctoras: (…):  (…): o o o C/ Jorge Juan, 6 28001 – Madrid (…). (…). (…). www.aepd.es sedeaepd.gob.es 14/17  o o (…). (…):   (…). (…). (…). (…). En conclusión, lo anterior pone de manifiesto una ausencia de medidas técnicas y organizativas de todo tipo que supone la vulneración del artículo 5.1
  12. f)del RGPD, ya que terceros no autorizados tuvieron acceso a los datos personales de los afectados, al no haberse garantizado la confidencialidad e integridad de los datos personales tratados en atención al riesgo existente. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la CONSEJERÍA, por vulneración del artículo 5.1.
  13. f)del RGPD, transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
  14. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  15. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  16. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Declaración de infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/17 El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  17. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  18. b)Los órganos jurisdiccionales.
  19. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  20. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  21. e)Las autoridades administrativas independientes.
  22. f)El Banco de España.
  23. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  24. h)Las fundaciones del sector público.
  25. i)Las Universidades Públicas.
  26. j)Los consorcios.
  27. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/17 Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. Lo anterior resulta de aplicación en el presente supuesto atendiendo a la naturaleza jurídica de la CONSEJERÍA. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERÍA DE AGRICULTURA, GANADERÍA Y DESARROLLO RURAL DE LA JUNTA DE CASTILLA Y LEÓN, con NIF S4711001J, ha infringido lo dispuesto en el artículo 5.1.
  28. f)del RGPD, infracción tipificada en el artículo 83.5.
  29. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a CONSEJERÍA DE AGRICULTURA, GANADERÍA Y DESARROLLO RURAL DE LA JUNTA DE CASTILLA Y LEÓN. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/17 interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  30. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-090326 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.