PS-00283-2025 | Europaius

1/39  Expediente N.º: EXP202318538 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27 de noviembre de 2023, se notificó a esta Agencia una brecha de datos personales por parte de BIZUM, S.L., con NIF B87599478 (en adelante, BIZUM o parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: Bizum, S.L., como responsable del tratamiento de los datos del Directorio Bizum, entre los cuales se encuentran los datos afectados por el incidente, esto es, el número de teléfono móvil y el "alias" (nombre e iniciales de los apellidos del usuario), informa a la Agencia sobre lo siguiente: El 24 de noviembre se detectó que en la URL (***URL.1) aparecían publicados 2.634 registros de los datos pseudoanonimizados del número de móvil y el "alias" de determinados usuarios registrados en Bizum. Desde la detección del incidente (afectación confidencialidad), se ha trabajado en la eliminación de la URL, así como en la realización de las investigaciones necesarias para detectar el origen del suceso, y confirmar que, tal y como se deriva de los análisis preliminares, no se han visto vulneradas las medidas de seguridad de la infraestructura del Servicio Bizum, ello en el entendido de que, tal y como se ha trasladado a la Agencia en comunicaciones previas, el tratamiento del "alias" es necesario para garantizar una experiencia de uso correcta, evitando supuestos de fraude o envíos erróneos. Junto a esta comunicación, señalan que, en atención a los datos personales que se han visto afectados los interesados no podrán ser objeto de ningún fraude, no viéndose afectados de forma directa y, existiendo, en todo caso, un riesgo limitado de ser contactados a partir de esta información. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 12 de diciembre de 2023 la directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/39 artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Con fecha 27 de noviembre de 2023, el responsable del tratamiento BIZUM, S.L. (en adelante BIZUM o entidad notificante) realiza una notificación inicial de la brecha de datos personales- datos mencionados en el ANTECEDENTE PRIMERO de la presente resolución-. Con fecha 12 de diciembre de 2023 se recibe notificación adicional de la brecha de datos personales en la que BIZUM manifiesta: “(…).” BIZUM añade la siguiente información: - Informa que la fecha de inicio es el 21 de septiembre de 2022 y que la fecha de detección es el 24 de noviembre de 2023, detectada mediante la advertencia de un miembro de la organización del responsable o el encargado. - Con relación al incidente, indica que ha sido intencionado, con origen externo (ajeno al responsable y encargado del tratamiento). - Manifiesta que se ha visto afectada la confidencialidad. - Afirma que los datos no estaban cifrados. - Como consecuencias del incidente, expone que las personas no se verán afectadas o pueden encontrar algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema. - Tipos de datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), Datos de contacto - Número de afectados: (…) e indican que no hay personas afectadas por la brecha en otros estados miembro de la UE - Con relación a las medidas de seguridad, indica que no se podría haber evitado la brecha adoptando alguna medida de seguridad adicional. Sin embargo, afirma haber adoptado tras el incidente nuevas medidas de seguridad que podrían haber evitado la brecha: Niveles de acceso a los datos. - Afirma que han puesto el incidente en conocimiento de autoridades policiales. - Indica que la brecha se da por resuelta con fecha 20 de diciembre de 2023. - BIZUM expone que las personas afectadas no serán informadas porque no existe un riesgo alto para sus derechos y libertades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/39 Con fecha 16 de enero de 2024 se realiza un requerimiento de información a la entidad notificante solicitándole, entre otros puntos, información detallada y documentación acreditativa en relación con la brecha notificada, copia del RAT, del Análisis de Riesgos y de la Evaluación del Impacto (en adelante, EIPD), información sobre la comunicación realizada a los afectados, etc. La entidad notificante responde a este requerimiento de información con fecha de registro 15 de febrero de 2024 y ofrece los siguientes ANTECEDENTES: “el Servicio Bizum ofrece dentro de su operativa habitual y licita, la consulta en la iniciación de cualquier operación Bizum del denominado “alias” (nombre e iniciales de los apellidos del beneficiario) en el momento en el que el ordenante del Bizum introduce un número de teléfono en el sistema. El acceso a ese dato pseudoanonimizado, que es aceptado y comunicado como parte de la ejecución del Servicio Bizum por todos los usuarios registrados en el mismo mediante aceptación de Términos y Condiciones del Servicio de su respectiva Entidad bancaria, ofrece a los usuarios ordenantes de operaciones Bizum seguridad y confiabilidad en el sistema. De este modo, si los usuarios detectan que el beneficiario/destinatario de la operación no es el correcto, pueden no finalizar la operación sin perjuicio económico para ninguna de las partes.” Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final La entidad notificante manifiesta en su escrito de respuesta [Resp#1]: • “(…)”, En el Informe Técnico [Resp#1_Doc#3.1], en el apartado 4.1 “Detección”, se aclara la siguiente información: “Es preciso mencionar, que (…), siguiendo un orden ascendente y con números faltantes dentro del rango mencionado.” La entidad notificante continúa explicando en su escrito de respuesta [Resp#1]: • De forma inmediata: o se solicita al proveedor contratado al efecto la puesta en marcha del protocolo (…); En el apartado 4.3 del Informe Técnico [Resp#1_Doc#3.1] se describe el análisis realizado para identificar el origen de la divulgación, (…). La descripción del suceso se detalla en el capítulo 5 del Informe Técnico [Resp#1_Doc#3.1]: “5.1. Detección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/39 • (…) 5.2. Reacción (…) 5.3. Diagnóstico (…) Respecto de las causas que hicieron posible la brecha La entidad notificante explica en su escrito de respuesta [Resp#1] que la seguridad del servicio Bizum se estructura en un doble escalón: (…) La entidad notificante remite al apartado 5.3 “Diagnóstico” del Informe Técnico [Resp#1_Doc#3.1], que ha sido tratado en el apartado anterior del presente informe. Respecto de los datos afectados La entidad notificante indica el número de usuarios en su escrito de respuesta [Resp#1]: (…) . Con una tipología de datos: (…) Respecto a posibles consecuencias para los afectados Consultada sobre posibles consecuencias para los afectados, la entidad notificante señala la “(…)”. La entidad notificante facilita el documento [Resp#1_Doc#3.2], “Evaluación de la severidad de la brecha con metodología propuesta por la Agencia Europea para la Ciberseguridad – ENISA”, de fecha 18 de diciembre de 2023 y con logotipo de ***EMPRESA.1, en el que se concluye que el grado de severidad de la brecha es BAJO (SE=1, 31) y que no es necesario realizar comunicación a los afectados. “cabe concluir que, tras la detección de la brecha, Bizum (…) Por todo lo anterior, dado que el nivel de severidad obtenido es bajo y que, además, se cumple con las condiciones del artículo 34.3 del RGPD (e.g. adopción de medidas técnicas y organizativas adecuadas con carácter previo y posterior a la brecha de seguridad), cabe concluir que no es necesario que Bizum comunique la brecha de seguridad a los afectados.” Por otra parte, la entidad notificante indica en su escrito de respuesta [Resp#1] que no tiene conocimiento hasta la fecha de que se haya producido la utilización de los datos obtenidos por terceros, que la publicación fue borrada con fecha 27/11/2023 y que en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/39 las comprobaciones realizadas en los principales buscadores no se ha detectado nada que pueda asociarse al suceso notificado por Bizum. Respecto al borrado de la publicación, BIZUM remite el documento [Resp#1_Doc#3.10], “Informe BIZUCO20231124 Bizum_***EMPRESA.2”: Divulgación de datos no consentida Incidente: BIZUCO20231124-1 Bizum, elaborado por ***EMPRESA.2, la cual “ofrece un servicio de ciberseguridad antifraude a la empresa Bizum que entre otros servicios recoge búsqueda, detección y análisis de fugas de información corporativa, incluyendo la red indexada y la deep/dark web”. En este documento, se detalla el historial de actuaciones realizadas por ***EMPRESA.2 desde la detección el día 24/11/23 hasta el borrado definitivo con fecha 27/11/2023 y se especifica que “se descartó que hubiera nueva información o réplicas expuestas en otros sitios”. Respecto del contrato de encargado del tratamiento La entidad notificante especifica el papel de REDSYS en su escrito de respuesta [Resp#1]: “El proveedor Redsys fue designado por Bizum, S.L. como tercero encargado de realizar las funciones de Infraestructura del Servicio Bizum, la cual realiza la explotación técnica y operación del Directorio Bizum (esto es, la base de datos en la que se aglutinan las relaciones de información de los usuarios registrados en el Servicio). Dicha designación se realizó una vez quedó acreditada la capacidad y solvencia técnica y funcional de este proveedor, en virtud del proceso de certificación correspondiente. Con motivo de la designación anteriormente indicada, Redsys presta dichos servicios de Infraestructura Bizum a todas y cada una de las entidades adheridas al Servicio, ello a través de los acuerdos de prestación de servicios correspondientes. En lo relativo al tratamiento de datos de carácter personal, Redsys actúa como: (

i)Encargada del tratamiento de los datos del Directorio Bizum, respecto de los cuales actúa como responsable del tratamiento Bizum, S.L.; y, (
ii)Encargada del tratamiento de los datos que se generen con motivo de las operaciones de transferencias de fondos realizadas en el ámbito del Servicio Bizum, respecto de los cuales actúan como responsables del tratamiento cada una de las Entidades Adheridas al Servicio.” Bizum facilita del documento [Resp#1_Doc#3.9], Acuerdo de Encargado del tratamiento como evidencias de las cláusulas suscritas, en materia de protección de datos, entre Bizum, S.L. y Redsys; y Redsys y las Entidades Adheridas al Servicio. Analizado el documento, se comprueba que contiene dos cláusulas, tal como se ha indicado, y que en ellas constan, entre otros aspectos: .- CLÁUSULA (A). BIZUM, S.L. (“SPP”) PROCESAMIENTO, S.L. (“REDSYS”). Pág. 1 C/ Jorge Juan, 6 28001 – Madrid – REDSYS SERVICIOS DE www.aepd.es sedeaepd.gob.es 6/39 - El objeto del contrato es la prestación de Servicios derivados de la designación de REDSYS como Infraestructura SVA en el ámbito del Convenio. - En el contrato de encargo figuran las obligaciones del encargado. - Indica que seguirá las instrucciones de BIZUM. - Incluye un apartado específico dedicado a las Medidas de seguridad de datos de carácter personal. - REDSYS deberá ser autorizado de forma previa para la subcontratación total o parcial del contenido del Contrato. .- CLÁUSULA (B). ENTIDAD ADHERIDA AL SERVICIO (“CLIENTE”) – REDSYS SERVICIOS DE PROCESAMIENTO, S.L. (“REDSYS”). Pág. 8 - En el contrato de encargo figuran las obligaciones del encargado. - Indica que seguirá las instrucciones del CLIENTE. - Incluye un apartado específico dedicado a las medidas de seguridad que se observarán. - El CLIENTE autoriza a REDSYS a subcontratar total o parcialmente el tratamiento de datos. Respecto de las medidas de seguridad implantadas (…) La entidad notificante manifiesta en su escrito de respuesta [Resp#1]: Medidas técnicas y organizativas adoptadas para garantizar un nivel de seguridad adecuado a los riesgos detectados […] en las que estarán recogidas: • (…) Y remite al documento [Resp#1_Doc#3.8], “Políticas, normas y procedimientos REDSYS (Infraestructura)”, donde se evidencia la existencia de dicha documentación de uso interno de REDSYS para garantizar un nivel de seguridad adecuado a los riesgos detectados. Con relación a las medidas existentes en el servicio, la entidad notificante explica en el capítulo 3 del Informe Técnico [Resp#1_Doc#3.1] las medidas externas, propias de la Infraestructura Bizum y “ex_post”: 3.1. Medidas ex_ante, en forma de barreras externas a la Infraestructura Bizum: • (…) 3.2. Barreras establecidas en la propia Infraestructura del servicio Bizum: • (…). 3.3. Controles ex_post sobre el funcionamiento del servicio: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/39 (…) La entidad notificante continúa explicando en su escrito de respuesta [Resp#1]: (…) Se constata que el documento [Resp#1_Doc#3.4], “Cumplimiento Normativo de REDSYS”, detalla las auditorias y certificaciones de REDSYS y que BIZUM está incluida en el alcance de las auditorias y certificaciones de REDSYS siguientes : SOC1 y SOC2, ambos de Tipo 2, fecha 3 de mayo de 2023 ISO 22301 de Continuidad de Negocio, fecha 3 de junio de 2022 ISO 27001 de Seguridad de la Información, fecha 10 de junio de 2022 ISO 20000-1 de Calidad de los Servicios TI, fecha 5 de junio de 2022 ISO 27701 de Gestión de la Información de Privacidad, fecha 12 de junio de 2022 Calificación Leet Security (con AAA), fecha 11 de mayo de 2022 -.(…). La entidad notificante manifiesta en su escrito de respuesta [Resp#1]: (…) La entidad notificante continúa explicando en su escrito de respuesta [Resp#1] las medidas técnicas y organizativas adoptadas para evitar incidentes como el sucedido, especificadas también en el apartado 6 del Informe Técnico [Resp#1_Doc#3.1]: • (…) Se constata en el documento [Resp#1_Doc#3.7], “COM-Bizum_2023-O3_Validación de usuario ordenante y alias” la comunicación de BIZUM a las entidades adheridas con relación a dicha implantación: (…) Se constata esta bajada de los umbrales en el documento [Resp#1_Doc#3.11], “Evidencias_1&_2”, mediante unas gráficas comparativas entre la actividad del 30 de noviembre y la actividad del 28 de diciembre, en la que se observa que el umbral ha disminuido. • (…) BIZUM presenta en el documento [Resp#1_Doc#3.11], “Evidencias_ 1&_2”, un correo de CECABANK que confirma que (…) lo desplegaron la madrugada del martes 16 de enero. • C/ Jorge Juan, 6 28001 – Madrid (…) www.aepd.es sedeaepd.gob.es 8/39 Respecto de la notificación con posterioridad a las 72 horas La entidad notificante manifiesta en su escrito de respuesta [Resp#1]: (…) Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo La entidad notificante indica en su escrito de respuesta [Resp#1] que (…). Respecto de la documentación exigida por RGPD La entidad notificante facilita el documento [Resp#1_Doc#3.5], “20240208 RAT” Registro de Actividades de Tratamiento (RAT) con información detallada de la actividad afectada por la brecha, en concreto: o Actividad: “DIRECTORIO”. o Finalidad: “Gestión de la información de titulares de cuentas de pago (IBAN) disponible en la base de datos “Directorio de identidad digital” para la prestación de los servicios de valor de transferencias inmediatas entre particulares C2C”. o Datos afectados: Datos de carácter identificativo: NIF/NIE/PASAPORTE; NOMBRE Y APELLIDOS; ALIAS; TELÉFONO MÓVIL; EMAIL, DIRECCIÓN POSTAL; CLAVE BIZUM. Datos económicos, financieros y de seguros: DATOS BANCARIOS (NÚMERO DE CUENTA DE PAGO IBAN). o Encargados y subencargados del tratamiento: 1. Redsys Servicios de Procesamiento, S.L.. 2. Cecabank, S.A. o Volumen de datos: ***USUARIOS.1 registrados a fecha 5 de febrero de 2024 o Legitimación del tratamiento: 1. Consentimiento del usuario. 2. Ejecución del Contrato. 3. Interés legítimo. Por otra parte, BIZUM remite el documento [Resp#1_Doc#3.3], “20240208 Análisis de riesgos” que evidencia la existencia del documento ***DOCUMENTO.1 (documento de uso interno con fecha 11/04/2023). En el documento [Resp#1_Doc#3.3], se indican los niveles de riesgos residuales por amenaza, así como los niveles de riesgos de cada amenaza tras aplicar los planes de tratamiento, (…). Adicionalmente, la entidad notificante facilita el documento [Resp#1_Doc#3.4], “Cumplimiento Normativo de Redsys”, que detalla las auditorias y certificaciones de Redsys. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/39 Se constata la inscripción del incidente en el Registro de brechas de seguridad en materia de protección de datos de carácter personal, documento [Resp#1_Doc#3.6]. CUARTO: Con fecha 23 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, con fecha 17 de junio de 2025, BIZUM presentó escrito de alegaciones en el que planteaba esencialmente lo siguiente: PRELIMINAR.- ACERCA DE LA INDEFENSIÓN GENERADA A BIZUM AL NO HABER SIDO FACILITADO POR LA AEPD EL EXPEDIENTE ADMINISTRATIVO COMPLETO En esta primera alegación, BIZUM plantea que la respuesta a la copia del expediente requerida no se le remitió de forma completa ya no se incorporó a la misma la respuesta suministrada al requerimiento formulado por esta AEPD en el marco de las actuaciones de investigación desarrolladas. Y todo ello a pesar de que reconocen expresamente que si parecen haber sido tenidos en cuenta en el Informe de Actuaciones Previas de Investigación obrante en la documentación remitida, dada la cita que en dicho documento se hace de lo indicado por mi representada Por ello, entiende BIZUM que carece de la posibilidad de conocer cuál es la fundamentación de la decisión de la AEPD de iniciar el procedimiento ni qué documentos han conducido a tal conclusión, PRIMERA.- ACERCA DE LOS HECHOS IMPUTADOS A BIZUM EN EL PRESENTE PROCEDIMIENTO Y DE LA PRESCRIPCIÓN DE LA INFRACCIÓN QUE SE LE IMPUTA Continúa BIZUM el escrito de alegaciones considerando que el hecho de que la publicación de los datos afectados por la brecha no se produjo hasta noviembre de 2023, no supone una detección tardía ya que no queda acreditado que la publicación de los datos pudiera haber sido detecta con anterioridad ni, en caso de que hubiera sido posible, esa detección tardía no supone un indicio de incumplimiento del deber de seguridad impuesto por el RGPD.(…) Aporta copia de pantalla del post publicado por el atacante, de fecha 22 de noviembre de 2023 a las 0:33 horas, (…) y rechaza considerar como indicio de la insuficiencia de las medidas adoptadas una supuesta demora en la detección de los datos. Entiende que sólo puede considerarse que BIZUM conoció de dicha publicación en el momento en que la misma tuvo lugar. Y si ello es así, en modo alguno cabría inferir de este hecho la supuesta carencia de medidas de seguimiento en las redes que se le imputa a mi representada. Pero es que, además, esa supuesta carencia en modo alguno implicaría, incluso si pudiera haberse acreditado (quod non) que los datos llevasen tiempo publicados en la red, un incumplimiento de lo establecido en el artículo 32 del RGPD, que impone al responsable la adopción de medidas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/39 seguridad, técnicas y organizativas, en el tratamiento de los datos personales que el mismo lleva a cabo.(…) Argumenta a continuación que la medida a la que se refiere el acuerdo de inicio no guarda relación alguna con un tratamiento de datos que se lleve a cabo por parte de BIZUM. Efectivamente, la publicación por un tercero de datos previamente exfiltrados supondrá únicamente un tratamiento llevado a cabo no por la entidad víctima de la exfiltración (y la consiguiente brecha de seguridad), sino por el autor material del ataque, que habrá procedido a la realización de un tratamiento ilícito de datos, consistente en su recogida y conservación ilícitas, así como una publicación, igualmente ilícita, de los mencionados datos.(…) De este modo, el seguimiento de la Red con la finalidad de detectar la existencia de datos vinculados al Directorio de BIZUM podría suponer una medida proactiva desarrollada por la misma a fin de reforzar y garantizar los derechos de sus usuarios (lo que efectivamente sucedió, tal y como se acreditó por BIZUM al describir la cronología de los hechos, por cuanto los datos fueron suprimidos de Internet a la mayor brevedad), pero jamás esta medida tendría encaje en el artículo 32 del RGPD, que se supone infringido, toda vez que no consiste en ningún tipo de medida técnica u organizativa aplicada sobre el tratamiento que mi representada lleva a cabo de los datos de los usuarios. Por otro lado, considera BIZUM que, en todo caso, la infracción imputada estaría prescrita al considerar como fecha de inicio del cómputo de la infracción el 21 de septiembre, fecha en la que se produjo la brecha de datos personales. En consecuencia, el plazo de dos años fijado para la prescripción de dicha infracción habría finalizado el 21 de septiembre de 2024 SEGUNDA.- ACERCA DE LA INEXISTENCIA DE VULNERACIÓN DISPUESTO EN EL ARTÍCULO 32 DEL RGPD EN EL PRESENTE CASO DE LO BIZUM considera que, en contra de lo indicado en el acuerdo de inicio, la imputación que se le realiza se fundamenta no sobre la base de una supuesta carencia de medidas adecuadas, sino por haberse producido el resultado conocido con posterioridad: la publicación de los datos referidos al Directorio de BIZUM(…)Es decir, la supuesta infracción de mi representada no se basa en la inadecuación de las medidas adoptadas, sino en el resultado producido, lo que contradice completamente la doctrina que la propia AEPD afirma seguir. Señala a continuación que del propio funcionamiento de BIZUM se deriva que las medidas de seguridad que resultan aplicables en el entorno de BIZUM cuentan con varias capas diferenciadas. Teniendo esto en cuenta, considera que no se produjo en modo alguno un acceso ilícito al servicio BIZUM ni se violentó por medio de ningún tipo de fuerza externa al servicio. Ni siquiera se produjo un acceso malicioso suplantando la identidad de un usuario legítimo del servicio. El acceso tuvo lugar por un usuario legítimo que cumplía con los requisitos exigidos para poder operar con BIZUM. Y que no se produjo fallo o carencia alguna de las medidas de control y seguridad instauradas en el entorno de BIZUM y de las entidades adheridas para evitar un acceso ilícito al servicio. En cuanto a las conclusiones alcanzadas en el acuerdo de inicio con relación al aumento de peticiones fallidas, entienden que la AEPD pretende considerar irrelevante el hecho de que, dada la naturaleza del servicio prestado por BIZUM, que implica en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/39 torno a tres millones de transferencias instantáneas diarias, el aumento producido no podía ser calificado como especialmente significativo. De igual forma, considera que el Acuerdo de Inicio omite una cuestión que puede considerarse relevante, la detección tuvo lugar en menos de dos horas desde el momento en que se produjo el acceso por el usuario a los datos, siendo detenida de forma inmediata, adoptándose de forma inmediata las medidas encaminadas a garantizar la seguridad de los datos. Alude a continuación a que el hecho de que el bloqueo no se lleve a cabo por parte de mi mandante no responde ni a un inadecuado diseño del servicio ni a una supuesta falta de medidas de seguridad ni a una finalidad comercial, sino a que la normativa de defensa de la competencia impide que las plataformas o medios de pago puedan establecer reglas específicas de bloqueo de un usuario por la detección de indicios de uso fraudulento de dichas plataformas o medios de pago. En este sentido, debe traerse a colación la Resolución del Tribunal de Defensa de la Competencia de 3 de abril de 2002, que se aporta como DOCUMENTO NÚMERO 2, confirmada posteriormente tanto por la Audiencia Nacional como por el Tribunal Supremo, en la que se sancionó a tres sociedades de medios de pago y ocho entidades bancarias con multas, según los casos de 300.000 y 600.000 euros por haber establecido de forma concertada las reglas de exclusión de los usuarios de dichos medios de pago. (…) la configuración del servicio de validación de usuario ordenante debe llevarse a cabo de forma que únicamente se encuentre disponible para su utilización por parte de las entidades adheridas a BIZUM y no por sus clientes usuarios de sus servicios, tal y como consta en las propias normas de funcionamiento de BIZUM, toda vez que su finalidad consiste en que la propia entidad desde la que se ordena la operación pueda validar al usuario que lleva a cabo esa orden como registrado en BIZUM en dicha entidad. En este sentido, las normas de funcionamiento aprobadas por BIZUM son claras al indicar únicamente que el alias deberá incluirse en el momento de confirmación previa a la ejecución de la operación, sin que se establezca la inclusión de dicho dato seudonimizado con anterioridad a dicho momento. Alegan que Redsys, como responsable de la infraestructura de BIZUM, comunicó a las entidades adheridas el 28 de junio de 2023, cinco meses antes de tenerse conocimiento de la publicación de los datos del Directorio, la adopción de medidas que impedían acceder al dato del alias a menos que el usuario fuese cliente de la entidad consultante. Igualmente, en dicho correo se recordaba que dicho servicio debía ser “utilizado únicamente con la finalidad de comprobar la situación del cliente de la Entidad como usuario Bizum. No debe utilizarse para consultar la situación del receptor de la petición ni como alternativa a la consulta de agenda”. Con relación a la medida correctiva indicada en el acuerdo de inicio, BIZUM señala que ya ha adoptado esta medida con anterioridad. Es más, desde su creación ha establecido que la información relativa al alias del interesado únicamente sea accesible por los usuarios en el momento en que hayan de confirmar la realización de la transferencia inmediata a través de BIZUM. Y ello sin perjuicio de recordar que únicamente puede establecer las medidas de seguridad en el tratamiento de los datos respecto de la capa de seguridad sobre la que tiene poder de decisión, dado que, como se ha indicado, han de ser las entidades adheridas a BIZUM las que, conforme a sus propias reglas, y siempre respetando las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/39 normas de funcionamiento del sistema, deban, en definitiva, proceder a su adecuada implementación en sus propios sistemas y en el funcionamiento de la API de BIZUM accesible desde sus servicios de banca on-line (tanto a través de la correspondiente aplicación como en Internet). Y es precisamente esa inadecuada implementación la que ha dado lugar a la brecha de seguridad acaecida en el presente caso, producida en sede de una de las entidades adheridas, que permitía a los usuarios cliente el acceso al dato del alias con anterioridad a la confirmación de la transferencia, aun cuando las normas de funcionamiento clarificaban que la finalidad del servicio de validación de usuario ordenante era simplemente el descrito en un lugar anterior de estas alegaciones y que el acceso al mismo únicamente debía limitarse a la propia entidad. TERCERA.ACERCA DE LA VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD EN LA DETERMINACIÓN DEL IMPORTE DE LA SANCIÓN Considera BIZUM que el Acuerdo de Inicio adolece de la necesaria motivación respecto del modo en que se calcula la sanción, limitándose a señalar las circunstancias agravantes aplicadas En relación con la circunstancia del artículo 83.2, letra a), del RGPD) considera que ni la AEPD ha probado que fuera posible detectar la publicación de los datos antes de la fecha indicada (simplemente por el hecho de que no está tampoco probada una publicación anterior a dicha fecha), ni esa supuesta detección tardía se encontraría en modo alguno relacionada con el cumplimiento del artículo 32 del RGPD. Asimismo, señala que la supuesta agravante no es sino una integrante del propio tipo sancionador, no siendo posible el recurso a la misma como agravante de la sanción, por cuanto su concurrencia es necesaria para considerar que existe una infracción del artículo 32 del RGPD. Considera que de tenerse en cuenta que los datos afectados quedarían limitados única y exclusivamente a los alias y números de teléfono móvil de los usuarios de BIZUM. Así, Es preciso recordar en este punto que el alias de los usuarios se conforma única y exclusivamente por el nombre de pila del usuario y las iniciales correspondientes a sus dos apellidos, siendo así que dicho dato por sí solo no permite identificar al usuario. (…) Y si ello es así, podría concluirse que, cuanto menos, nos encontramos ante datos seudonimizados, que no permiten por sí solos identificar al interesado. Considera que la propia naturaleza de la información a la que se está haciendo referencia pone de manifiesto la existencia de un nivel de seguridad reforzado en el tratamiento Por otro lado, con relación a lo que BIZUM considera como agravante relacionada con la “Intencionalidad/ Negligencia en la infracción” (artículo 83.2, letra b), del RGPD), señala que la AEPD está utilizando como agravante una supuesta demora de BIZUM en la detección de la publicación de los datos que en modo alguno consta acreditada. Y entiende que la mera referencia a la concurrencia de culpabilidad en la conducta de mi representada jamás puede implicar una circunstancia agravante, por cuanto no es sino un requisito sine qua non para apreciar la concurrencia del elemento culpabilístico necesario para que pueda siquiera considerarse cometida la infracción. Por ello, entiende que, si ninguna de las mencionadas agravantes puede ser aplicable en el presente caso, la consecuencia de tal circunstancia es que en caso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/39 apreciarse la existencia de una infracción de la normativa de protección de datos personales por parte de BIZUM (quod non) la cuantía de la sanción planteada en el Acuerdo de Inicio debería ser objeto de una sustancial reducción. SEXTO: Con fecha 30 de junio de 2025 tiene entrada escrito de BIZUM en el que señala su discrepancia con el criterio mantenido por la AEPD en su acuerdo de inicio y se reserva su derecho a recurrir a la jurisdicción contencioso-administrativa en caso de que la resolución que pusiera fin al presente expediente no consista en el archivo del mismo sin la imposición a mi representada de ninguna sanción por la supuesta infracción de lo establecido en el Reglamento General de Protección de Datos. No obstante lo anterior, señala que en uso de la facultad otorgada por el mencionado artículo 85.2 de la LPACAP, BIZUM ha procedido al abono del importe del 80% de la sanción propuesta, (…), por lo que, afirma, renuncia al ejercicio ante esa AEPD de cualquier acción o recurso en vía administrativa contra la sanción que, eventualmente y frente a lo sustentado por BIZUM, pudiera imponerse, tal y como prescribe el artículo 85.3 de la LPACAP, por lo que manifiesta que no interpondrá contra la resolución que finalmente se dictase, recurso potestativo de reposición ante esa AEPD SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad BIZUM es una empresa constituida en el año 2016, y con un volumen de negocios de 43.835.406 euros en el año 2022. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 21 de septiembre de 2022 se produjo un aumento- inusual, según lo califica BIZUM- de peticiones al Directorio con datos personales del que BIZUM es responsable por parte de un usuario legítimo de una Entidad adherida que, en respuesta al incidente, identificó al usuario y lo bloqueó. SEGUNDO: Con fecha 22 de noviembre de 2023 se publicó en internet un anuncio de venta de datos procedentes de la base de datos de BIZUM. Junto con dicho anuncio, se incluía una muestra de los datos ofrecidos, consistentes en número de teléfono, nombre e iniciales de los dos apellidos. Dicha publicación fue conocida por BIZUM el 24 de noviembre de 2023. Según confirma BIZUM, los teléfonos publicados (…), siguiendo un orden ascendente y con números faltantes dentro del rango mencionado. TERCERO: Con fecha 27 de noviembre de 2023, BIZUM notificó a la AEPD la brecha de datos personales. La información inicialmente suministrada fue ampliada el 12 de diciembre de 2023 y, en la misma, en referencia al conocimiento de la publicación de los datos el 24 de noviembre, indica que (…). En dicha comunicación, BIZUM añade la siguiente información destacable: - La fecha de inicio es el 21 de septiembre de 2022 y que la fecha de detección es el 24 de noviembre de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/39 - Manifiesta que se ha visto afectada la confidencialidad. - Afirma que los datos no estaban cifrados. - Tipos de datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), Datos de contacto - Número de afectados: ***CANTIDAD.1. No hay personas afectadas por la brecha en otros estados miembro de la UE - Indica que la brecha se da por resuelta con fecha 20 de diciembre de 2023. CUARTO: De acuerdo con la información aportada por BIZUM, la brecha de 21 de septiembre de 2022 consistió en (…). QUINTO: Según BIZUM se trataba de (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/39 ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Asimismo, de acuerdo con el artículo 4.8) del RGPD, es encargado del tratamiento la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales por parte de BIZUM, consistente en la recogida, conservación y puesta a disposición de las entidades adheridas de datos personales tales como nombre, apellidos y número de teléfono móvil. BIZUM decide sobre los fines y medios de dichos tratamientos, por lo que tiene la condición de responsable del tratamiento de los datos del Directorio Bizum, que incluye el número de teléfono móvil y el "alias" (nombre e iniciales de los apellidos) de los usuarios de BIZUM. Por otro lado, REDSYS es el proveedor responsable de la infraestructura del Servicio Bizum que, tal y como consta en el expediente, realiza la explotación técnica y operación del Directorio Bizum (esto es, la base de datos en la que se aglutinan las relaciones de información de los usuarios registrados en el Servicio). En dicha condición, y tal y como confirma BIZUM, también actúa como encargada de tratamiento de los datos del Directorio Bizum, analizado en el presente expediente. III Alegaciones al acuerdo de inicio En lo que respecta a las alegaciones referidas a la conformación del expediente administrativo y más en concreto, de los documentos obrantes en la copia suministrada a BIZUM cabe señalar en un primer momento que la AEPD ha tenido en cuenta, en todo momento y con todo su alcance, los documentos aportados por la reclamada en el curso del procedimiento y, muy especialmente, en el desarrollo de las actuaciones previas de investigación llevadas a cabo. Cabe recodar a este respecto que dichas actuaciones se encuentran previstas en el art. 67 de la LOPDGDD- como desarrollo de la previsión general contenida en el art. 55 de la LPACAP- en el siguiente sentido: 1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento.(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/39 Es decir, dichas actuaciones previas tienen por objeto una mejor delimitación de los hechos y su calificación jurídica. Por ello, el informe derivado de dichas actuaciones forma parte del expediente y es tenido en cuenta en las diferentes fases del procedimiento, cuyos documentos reflejan las conclusiones alcanzadas en el mismo; como así se demuestra en el hecho tercero del acuerdo de inicio y el antecedente tercero de la presente resolución, en los que se detallan las actuaciones previas de investigación desarrolladas y las respuestas dadas por BIZUM a los requerimientos efectuados. Cabe asimismo señalar que la respuesta al requerimiento a la que se refiere BIZUM, con fecha de entrada el 15/02/2024 indicaba en el oficio de remisión lo siguiente: OTROSÍ DIGO Que Bizum invoca a los efectos que procedan la confidencialidad y el secreto empresarial de los documentos aportados junto con el presente escrito y solicita que sean tratados en la forma que se indica, sin difusión de los elementos que afectan a su configuración empresarial ni al secreto de su actuación comercial y sin que los mismos sean utilizados o difundidos sin otra finalidad que la colaboración de Bizum en la tramitación del presente procedimiento. A tal efecto, se señala expresamente lo dispuesto en la Ley 1/2019, de 20 de febrero, de Secretos empresariales Esta petición motivó que el documento fuera calificado como restringido y tal circunstancia derivó en que no se incluyera en la copia del expediente suministrada a BIZUM. No obstante, reiteramos que dicha circunstancia
i)no impidió que el documento fuera tomado en consideración por esta AEPD, tanto en las actuaciones previas de investigación- como demuestra el reflejo en las conclusiones de las mismas del documento en cuestión- como en el acuerdo de inicio de procedimiento sancionador- que refleja dichas actuaciones previas
ii)no se ha provocado, por lo tanto, indefensión a BIZUM, como, por otra parte, quedará fundamentado a lo largo de la presente resolución. Por otro lado, y como cuestión previa antes de analizar el detalle de las alegaciones presentadas, debemos advertir del error en el que parece caer BIZUM al referenciar todas sus alegaciones en el hecho de la publicación de los datos personales exfiltrados tras el ataque de 21 de septiembre de 2022 y, más en concreto, en centrara en ese momento su- rebatida- responsabilidad. Antes al contrario, esta AEPD quiere aclarar que los hechos objeto del presente procedimiento sancionador y, por lo tanto, la responsabilidad derivada de los mismos de BIZUM, reflejada en la imputación de la infracción del art. 32 del RGPD se desvela el 21 de septiembre de 2022 y tiene en cuenta todo lo acaecido desde entonces. Incluida pero no únicamente, la publicación en internet de los datos personales exfiltrados. Sentado lo anterior, en respuesta a la alegación de que el hecho de que la detección de que los datos personales publicados se produjera en fecha 24 de noviembre de 2023 no acredita una detección tardía- aporta para ello post del atacante, de 22 de noviembre que, a su juicio, demuestra que no fue tardía la detección por cuanto el ataque no fue hecho público por el atacante con anterioridad- cabe señalar que la AEPD no ha hecho sino tomar como referencia las fechas aportadas por BIZUM: 21 de septiembre de 2022 como fecha de aumento inusual de solicitudes fallidas, que se señalan como origen de la brecha y 27de noviembre de 2023, fecha en la que fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/39 notificada la brecha de datos personales a esta AEPD por parte de BIZUM y en la que se indica que se tuvo conocimiento de la publicación el 24 de ese mismo mes. Teniendo esto en consideración, recordemos que la infracción que se imputa a BIZUM tiene, como uno de sus elementos, la ausencia de mecanismos para la detección y rápida solución de situaciones en las que se vea comprometida la seguridad de los datos personales que son objeto de tratamiento. En este sentido, la publicación de noviembre de 2023- fecha que, a efectos de la imputación del artículo que se entiende infringido, tiene una relevancia restringida- no hace sino confirmar que una brecha que se produjo en fecha claramente anterior- 21 de septiembre de 2022, que, reiteramos, se señala por el propio BIZUM como fecha de comienzo- fue detectada no gracias a las herramientas que el responsable del tratamiento hubiera puesto en marcha, sino a través de un hecho externo cuanto es la publicación del anuncio hecho por el presunto atacante. Es el hecho de que el incidente fuera conocido a través de este hecho externo- que hubiera podido no producirse si, por ejemplo, el presunto atacante no hubiera publicado el anuncio- y no a través de los medios implementados por BIZUM, es lo que constituye un indicio de la ausencia de medidas de seguridad adecuadas. Pretende por otro lado BIZUM eludir su responsabilidad aludiendo a que la infracción del artículo 32 del RGPD debiera imputarse al presunto atacante por cuanto la publicación por un tercero de datos previamente exfiltrados supondría únicamente un tratamiento llevado a cabo no por la entidad víctima de la exfiltración (y la consiguiente brecha de seguridad), sino por el autor material del ataque, que habría procedido a la realización de un tratamiento ilícito de datos, consistente en su recogida y conservación ilícitas, así como una publicación, igualmente ilícita, de los mencionados datos. Llegados a este punto, y reiterando lo señalado al inicio de la contestación a las alegaciones presentadas, recordemos que BIZUM es el responsable del tratamiento de los datos afectados por la brecha: así se desprende de la documentación obrante en el expediente y así es reconocido por BIZUM en la notificación de la brecha a esta AEPD. Asimismo, recordemos que el RGPD consagra el principio de responsabilidad proactiva de los responsables de tratamiento, tanto en el art. 5.2 -El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)- como en el art. 24- 1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. Parece olvidar BIZUM que es a dicha entidad a la que, como responsable del tratamiento, le corresponde velar por el cumplimiento de los principios aplicables a todo tratamiento de datos personales, y en lo que aquí interesa, de la adopción de todas las medidas necesarias para garantizar la adecuación de dichos tratamientos a lo previsto en el RGPD. Entre estas medidas se encuentran las destinadas a garantizar la seguridad del tratamiento, previstas en el art. 32 y cuya adopción corresponde al responsable y, en su caso, al encargado de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/39 Es la ausencia de medidas adecuadas para alcanzar lo previsto en el artículo 32 del RGPD lo que se imputa a BIZUM. Y es la ausencia de estas medidas adecuadas lo que ha producido que los datos personales afectados por la brecha hubieran sido objeto de publicación; circunstancia que, por lo tanto, no se hubiera producido de no haberse infringido lo dispuesto en el artículo 32. Los hechos son, por lo tanto, responsabilidad de BIZUM como responsable del tratamiento, sin que quepa eludirla trasladándola al supuesto atacante, que tan sólo se benefició de la situación creada por BIZUM por la inadecuación de las medidas de seguridad adoptadas. En lo relativo a la presunta infracción cometida, yerra BIZUM al considerar como fecha de inicio de la infracción la fecha en la que se produjo la brecha de datos personales; fecha que, únicamente, evidenció- aun sin que BIZUM fuera aún consciente de ellolas falta de medidas de seguridad adecuadas atendiendo al tratamiento llevado a cabo. A este respecto, como indica BIZUM en su escrito de alegaciones, la obligación del artículo 32 RGPD es una obligación de medios y no de resultados, y difícilmente puede afirmarse que se puso fin a una situación de ausencia de medios adecuados para garantizar la seguridad del tratamiento cuando BIZUM aun no era consciente de que la brecha se había producido, consecuencia, precisamente, de esta ausencia de medios y, por lo tanto, no había adoptado las medidas adecuadas para poner fin a esta situación infractora. En este sentido, resulta adecuado mencionar la Sentencia del Tribunal Supremo de 4 de noviembre de 2013 en la que se expone lo siguiente: “En la aplicación del plazo de prescripción hemos de decidir la fecha de inicio del cómputo del plazo aplicable de 2 años, que de conformidad con el artículo 47.2 LOPD comenzará a contarse desde el día en que la infracción se hubiera cometido. Tal regla, similar a la establecida con carácter general en el artículo 132 LRJPAC, es de aplicación en los casos de infracciones instantáneas ya finalizadas, pero obliga a efectuar algunas matizaciones, a fin de determinar cuándo se han de considerar cometidas las infracciones continuadas y las infracciones permanentes. A la infracción continuada se refiere el artículo 4. 6, párrafo 2°, del Reglamento de procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto (RPEPS), que establece que '... será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión'. A diferencia de la infracción continuada que exige pluralidad de acciones que infrinjan el mismo precepto, y por ello constituye un concurso real de ilícitos, la infracción permanente no requiere un concurso de ilícitos, sino una única acción de carácter duradero, cuyo contenido antijurídico se prolongue a lo largo del tiempo, en tanto el sujeto activo no decida cesar en la ejecución de su conducta. En el ámbito del derecho penal la diferenciación entre las distintas clases de infracciones tiene trascendencia a los efectos de determinar la fecha inicial del cómputo del plazo de prescripción, como resulta del artículo 132.1 del Código Penal, que al lado de la regla general de que los plazos de prescripción se computarán desde el día en que se haya cometido la infracción, establece reglas específicas para los casos de delito continuado y delito permanente, en que los plazos se computarán, respectivamente, desde el día en que se realizó la última infracción o desde que cesó la conducta. Estas reglas y criterios procedentes del Derecho Penal han tenido acogida en la jurisprudencia de esta Sala a la hora del cómputo de los plazos de prescripción de las infracciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/39 En materia de protección de datos como la que nos ocupa, esta Sala ha distinguido, en sentencias de 7 de marzo de 2006 (recurso 1728/2002) y 20 de noviembre de 2007 (recurso 170/2003), entre infracciones continuadas, en los términos que las define el artículo 4.6 del RPEPS antes citado, y las infracciones permanentes, entendiendo como tales 'aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un solo acto, determinando el mantenimiento de la situación antijurídica a voluntad del autor', y la sentencia de 23 de mayo de 2011 (recurso 912/2011), también contempla un supuesto que califica como infracción permanente, derivada en ese caso de mantener los datos inexactos en el fichero de morosos tras la cancelación de la deuda, con la consecuencia de considerar que el plazo prescriptivo no empieza a computarse mientras se mantiene la infracción." En el presente caso nos encontramos con una de las denominadas infracciones permanentes, caracterizada porque la conducta merecedora de reproche administrativo se mantiene durante un espacio de tiempo prolongado, y por ello el cómputo del plazo de prescripción no llega a iniciarse hasta tanto dicha conducta cesa o se interrumpe. Tales infracciones se cometen mientras se mantienen los efectos lesivos de dicho eventual comportamiento infractor. En consecuencia, la lesión al bien jurídico protegido se prolonga en el tiempo durante todo el periodo en el que mantiene dicho comportamiento contrario al ordenamiento jurídico. Son varias las sentencias dictadas por el Tribunal Supremo en las que se declara que el inicio del cómputo para la prescripción de las infracciones permanentes es la fecha del fin de la conducta infractora, pero, por todas, se recuerdan los términos en los que se pronuncia la STS núm. 713/2019, Sala Tercera, de lo Contencioso-administrativo, dictada en el recurso 1857/2018 (el subrayado es nuestro) Por otro lado, la jurisprudencia, ha contemplado las denominadas "infracciones permanentes", aludidas en resoluciones como las SSTS de 7 de abril de 1989 y 23 de enero de 1990 , que se caracterizan como "conductas antijurídicas que persisten en el tiempo y no se agotan con un solo acto, determinando el mantenimiento de la situación antijurídica a voluntad del autor, caso del desarrollo en el tiempo de actividades sin las preceptivas autorizaciones y otros supuestos semejantes" ( STS Sala Tercera, de lo Contencioso-administrativo, Sección 62, de 7 de marzo de 2006 , fundamento tercero), con la consecuencia de que el plazo de prescripción no se inicia "al no haber cesado la situación de infracción perseguida" ( STS de 18 de febrero de 1985 ). Por decirlo en términos de una reciente resolución, "la conducta punible, en este tipo de infracciones, es constitutiva de un único ilícito, pero se mantiene durante un espacio prolongado de tiempo por la persistencia de la voluntad del sujeto que, en cualquier momento, puede poner fin a la misma. (…) Esta omisión da lugar a una infracción permanente, mientras se mantiene la inacción, y en cuanto a los delitos permanentes ya el Tribunal Supremo, Sala de lo Penal, establece ( Tribunal Supremo Sala 2ª, S 5-5-1999, nº 687/1999, Rec. 924/1998 ) que la fecha de comienzo de la prescripción es la de finalización de la conducta típica y no el de su comienzo y, en el caso de autos, hemos de concluir que solo cesa la conducta típica cuando se cesa en la omisión sancionable. Ya el art. 132 del Código Penal establece que, en los delitos permanentes, comienza la prescripción " desde que se eliminó la situación ilícita ". Señalar que BIZUM alega la aplicación del art. 30- que no el 40, como dice en otra parte de su escrito- de la Ley 40/2025, de 1 de octubre, reguladora del régimen jurídico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/39 del sector público, pero obvia que el párrafo primero del apartado 2 de dicho precepto, en línea con lo indicado por el Tribunal Supremo señala que 2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora (…) En lo relativo al argumento de BIZUM en el que afirma que , en realidad, se está tratando la infracción que se le atribuye como una infracción de resultado y no de medios, en contra de lo indicado en el propio acuerdo de inicio cabe recordar una vez más que la infracción imputada no se fundamenta- o no lo hace únicamente- en la constatación de que se ha producido una brecha de datos personales- conocido por BIZUM tras la publicación de los datos afectados por la misma- sino el propio hecho de que la brecha se produjera sin que la misma no hubiera sido evitada o mitigados sus efectos, y ello no sólo a través de la adopción previa de medidas de seguridad adecuadas al riesgo, al tipo de datos y al tratamiento que se estaba produciendo y del que era responsable, que hubieran podido evitar o mitigar la afectación a los datos personales sino también que hubieran permitido la rápida detección de que la exfiltración se habría producido. En definitiva, el anuncio publicado, en el que BIZUM parece hacer recaer toda la relevancia de los hechos y, más aún, en el que parece fundamentar todo su alegato, no fue sino la consecuencia de la actuación de BIZUM, en este caso, la no adopción de las medidas de seguridad adecuadas que hubieran sido necesarias. En definitiva, no se imputa la infracción por el resultado producido, porque la infracción no se fundamenta en este resultado, esto es, la publicación de los datos afectados por la brecha, sino por la ausencia de medios tendentes a garantizar la obligación de seguridad del tratamiento que corresponde al responsable. Así, la finalidad del artículo 32 del RGPD es la procurar un nivel de seguridad adecuado al riesgo del tratamiento de datos personales, a través de la aplicación de medidas técnicas y organizativas apropiadas de seguridad, específicamente de seguridad. Y todo ello es independiente de que se produzca una pérdida de confidencialidad y/o de integridad, pues la ausencia de dicho nivel de seguridad adecuado al riesgo tiene entidad por sí mismo para determinar la vulneración del precepto. Se configura de esta forma una obligación de medios, que se concreta en la obligación de diseñar los medios técnicos y organizativos adecuados, siendo también necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso. Nos remitimos en este punto a las sentencias dictadas tanto por la Audiencia Nacional como por el Tribunal Supremo respecto a que dicha obligación de adoptar medidas se refiere a las medidas necesarias y apropiadas, y a que las mismas no sólo han de ser diseñadas sino implantadas de forma efectiva así como que no solo debe vigilarse su establecimiento e implantación, sino también la corrección de su uso y su correcta aplicación. Para que se produzca una vulneración del art. 32 del RGPD, por lo tanto, el responsable del tratamiento no debe de haber establecido medidas de seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/39 adecuadas al nivel de riesgo en relación con un tratamiento concreto, incluyendo, no sólo supuestos de la falta de implementación de medidas sino también aquellos supuestos en que las medidas de seguridad son superadas (quiebra de las medidas de seguridad). Señala BIZUM en su escrito de alegaciones que Ni siquiera se produjo un acceso malicioso suplantando la identidad de un usuario legítimo del servicio. El acceso tuvo lugar por un usuario legítimo que cumplía con los requisitos exigidos para poder operar con BIZUM. Y de ello concluye que no se produjo fallo o carencia alguna de las medidas de control y seguridad instauradas en el entorno de BIZUM y de las entidades adheridas para evitar un acceso ilícito al servicio. Esta alegación no puede ser acogida porque, precisamente el hecho de que el acceso se produjera utilizando un usuario legítimo y en cumplimiento de los requisitos establecidos no es sino un fundamento a añadir al hecho de que las medidas de seguridad que habían sido adoptadas no eran las adecuadas. Y ello porque la brecha utilizó un usuario legítimo y, por lo tanto, se benefició de la ausencia de medidas de seguridad aplicables a dichos usuarios legítimos, aprovechando, por lo tanto, las vulnerabilidades de estos usuarios. El hecho de que la brecha fuera consecuencia de un acceso realizado a través de un perfil considerado legítimo no implica, por lo tanto, que la misma no pudiera derivarse de una situación infractora motivada por la ausencia de medidas de seguridad desplegadas por el responsable, sino que, antes al contrario, esta ausencia de medidas afectó a un perfil de usuario legítimo y se aprovechó de las vulnerabilidades del mismo. Afirma por otro lado BIZUM la falta de relevancia del aumento de solicitudes fallidas en relación al total de operaciones diarias e insiste en la importancia de que se adoptaron medidas en el plazo de dos horas desde el momento en que se produjo el acceso por el usuario a los datos. Al respecto, recordemos en este punto- sin ánimo de ser reiterativos- que fue este aumento en el número de solicitudes fallidas el hecho que pone BIZUM como origen de la incidencia, que no brecha de datos personales ya que no consideró que se encontraba ante esta situación sino tras el conocimiento de la publicación de los datos exfiltrados. Y ello a pesar de que, recordemos, el art. 4.12 del RGPD define “violación de la seguridad de los datos personales» como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. Un acceso que, como se demuestra por la publicación de noviembre de 2023, se produjo en septiembre de 2022. Así, difícilmente pueden llegar a publicarse datos personales si no se ha tenido acceso a los mismos y, dado que dichos datos se publicaron, hubo acceso a ellos, y este acceso se produjo en septiembre de 2022. Estamos, por lo tanto, ante una brecha de datos personales que se produjo en septiembre de 2022. Y se trata de una brecha que tuvo consecuencias no sólo inmediatamente tras producirse sino, como consta en el expediente, tiempo después, como demuestra el anuncio de noviembre de 2023. Es por ello que la ausencia de medidas de seguridad adecuadas produjo efectos que se prolongaron más allá de ese plazo de dos horas en el que afirma BIZUM fueron adoptadas medidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/39 Con relación al argumento de que el bloqueo del usuario en manos de la entidad adherida se hace en cumplimiento de las reglas de defensa de la competencia, ha de señalarse que es BIZUM la que, como responsable del tratamiento, ha de proporcionar a las entidades adheridas al sistema y a los usuarios de las mismas que utilicen el servicio de BIZUM, debe proporcionar una infraestructura que, en lo que a la protección de datos personales se refiere, ha de tener las medidas de seguridad necesaria y adecuadas al tratamiento. Y que, como responsable del tratamiento, debe justificar la adopción y correcta implementación- incluyendo la supervisión de su correcto funcionamiento- de dichas medidas. Recordemos asimismo que el bloqueo del usuario es una medida a posteriori y que el hecho de que dicho bloqueo deba realizarse por la entidad adherida de la que el usuario sea cliente no obsta a que puedan detectarse- como es este caso- una insuficiencia o inadecuación de medidas destinadas a evitar que se haga uso de vulnerabilidades en los perfiles de usuarios legítimos del que se derive una brecha de datos personales. Como el propio BIZUM reconoce (…). En cuanto a la comunicación el 28 de junio de 2023, cinco meses antes de tenerse conocimiento de la publicación de los datos del Directorio a las entidades adheridas, sobre la adopción de medidas que impedían acceder al dato del alias a menos que el usuario fuese cliente de la entidad consultante, ha de señalarse que en dicha fecha la brecha de datos personales ya se había producido – el 21 de septiembre de 2022- y recordarse, de nuevo, que la publicación de los datos exfiltrados no puede identificarse con el momento de la brecha, sino como una derivada de la misma. En este sentido, si la medida anunciada en junio de 2023 hubiera sido adoptada con anterioridad y, sobre todo, antes del 21 de septiembre, las consecuencias de la brecha hubieran sido menores en términos de protección de datos personales. Ello sin perjuicio de que, tal y como consta en el expediente, en junio de 2023 tan sólo se produjo el anuncio de que dicha medida iba a ser adoptada y que (…). En definitiva, la comunicación de dicha medida una vez producido el ataque y con un plazo de implementación de ocho meses no hace sino confirmar que las medidas adoptadas con carácter previo al mismo no eran las adecuadas. Y ello sin perjuicio de reconocer la proactividad de BIZUM en la adopción de esta medida aun sin ser conscientes de que la exfiltración de los datos se había producido. Por otro lado, BIZUM considera que, con esta medida, ya se cumple la señalada en el acuerdo de inicio y recuerda que, desde su creación ha establecido que la información relativa al alias del interesado únicamente sea accesible por los usuarios en el momento en que hayan de confirmar la realización de la transferencia inmediata a través de BIZUM. En este punto, recodemos que los términos en los que se establecía la medida correctiva propuesta eran los siguientes: - Acredite la adopción de las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento de datos que realiza. Estas medidas, en particular, deberán garantizar que el acceso a la información personal necesaria para llevar a cabo la operación de transferencia de fondos para la que se utiliza la infraestructura de BIZUM se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/39 produzca en el momento en que sea estrictamente necesario y evitar que el acceso a dicha información pueda ser realizado por no autorizados. Recordemos que es a BIZUM, como responsable del tratamiento, al que le corresponde adoptar las medidas necesarias para adecuar dichos tratamientos a la normativa en materia de protección de datos personales. Sabe- o debe saber- los riesgos del tratamiento- recordemos, no sólo de carácter económico sino, en lo que a esta AEPD concierne, en el tratamiento de datos personales y ha de adoptar las medidas adecuadas. Partiendo de un análisis de riesgos exhaustivo y riguroso. Por ello, es difícilmente comprensible pretender argumentar que una medida correctiva, prevista en respuesta a una vulneración de la normativa de protección de datos, pueda entenderse resuelta con medidas adoptadas no sólo con anterioridad, sino desde el mismo inicio de BIZUM. Afirma BIZUM que sólo puede adoptar medidas de seguridad en el tratamiento de los datos respecto de la capa de seguridad sobre la que tiene poder de decisión, dado que, como se ha indicado, han de ser las entidades adheridas a BIZUM las que, conforme a sus propias reglas, y siempre respetando las normas de funcionamiento del sistema, deban, en definitiva, proceder a su adecuada implementación en sus propios sistemas y en el funcionamiento de la API de BIZUM accesible desde sus servicios de banca on-line (tanto a través de la correspondiente aplicación como en Internet). Y es precisamente esa inadecuada implementación la que ha dado lugar a la brecha de seguridad acaecida en el presente caso, producida en sede de una de las entidades adheridas, que permitía a los usuarios cliente el acceso al dato del alias con anterioridad a la confirmación de la transferencia, aun cuando las normas de funcionamiento clarificaban que la finalidad del servicio de validación de usuario ordenante era simplemente el descrito en un lugar anterior de estas alegaciones y que el acceso al mismo únicamente debía limitarse a la propia entidad. Esta alegación, de nuevo, no puede aceptarse. La responsabilidad en el tratamiento de datos que se realice utilizando la infraestructura de BIZUM es responsabilidad de BIZUM y, precisamente derivado de esta responsabilidad, debe evitar que, en este caso, las entidades adheridas, puedan realizar una implementación que no asegure las máximas garantía en cuanto a la seguridad del tratamiento de datos. El hecho de que sea posible una implementación por parte de las entidades adheridas que, como afirma BIZUM, no tenga en cuenta las medidas de seguridad adecuadas al tratamiento es, de nuevo, un indicio de que el responsable de dicho tratamiento de datos personales no ha cumplido con su responsabilidad- calificada como proactiva por el propio RGPD- en el tratamiento de los datos personales de los que es responsable. De conformidad con lo previsto en la SAN de 29 de octubre de 2024, rec. 1824/2021, el responsable del tratamiento tiene la obligación de implantar todo tipo de sistemas y medidas de seguridad y monitoreo que verifiquen y demuestren el cumplimiento del RGPD: “tiene la obligación de controlar el tratamiento de sus colaboradores, implantando todo tipo de sistemas y medidas de seguridad y monitoreo que verifiquen el cumplimiento de sus instrucciones y el cumplimiento de la normativa de protección de datos, y en virtud del principio de responsabilidad proactiva (artículo 5.2 RGPD) ser capaz de demostrarlo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/39 El TJUE en sentencia de 14 de diciembre de 2023, en el asunto C-340/21 se ha pronunciado sobre “si el principio de responsabilidad del responsable del tratamiento, enunciado en el artículo 5, apartado 2, del RGPD y desarrollado en el artículo 24 de este, debe interpretarse en el sentido de que, … el responsable del tratamiento soporta la carga de la prueba del carácter apropiado de las medidas de seguridad que ha adoptado con arreglo al artículo 32 del mencionado Reglamento”, concluyendo que “Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD se desprende inequívocamente que la carga de la prueba de que los datos personales se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU: C:2023:373, apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C-252/21, EU:C:2023:537, apartado 95].” (apartado 52) Finalmente, en relación con las alegaciones relativas a las circunstancias tenidas en cuenta para el cálculo de la multa y a la proporcionalidad de la sanción debemos señalar, en un primer momento, que las circunstancias del art. 83.2
a)y
b)no tienen la consideración de agravantes, sino que son las circunstancias que han de tenerse en cuenta como punto de partida para cuantificar la sanción. Es por eso que sólo el art. 82.2
k)se refiere a
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Y a que el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD, en su apartado 2 señale De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta(…); circunstancias esta vez sí, que tendrán la condición de agravante o de atenuante. En cuanto a la proporcionalidad de la multa, el artículo 83.1 RGPD establece que las multas administrativas por las infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las multas administrativas se impondrán en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas…” (el subrayado es nuestro). Por su parte, el TJUE en la sentencia dictada en el asunto C-683-21 señala que 78 La existencia de un sistema de sanciones que permita imponer, cuando las circunstancias específicas de cada caso lo justifiquen, una multa administrativa con arreglo al artículo 83 del RGPD crea un incentivo para que los responsables y encargados del tratamiento cumplan el Reglamento. Con su efecto disuasorio, las multas administrativas contribuyen a reforzar la protección de las personas físicas en lo que respecta al tratamiento de datos personales y constituyen, por ende, un elemento clave para garantizar el respeto de los derechos de dichas personas, de conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de protección de esas personas en lo que respecta al tratamiento de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/39 En idéntico sentido, el apartado 73 de la STJUE dictada en el caso C-807/21 Para fundamentar sus pretensiones, BIZUM recalca que sólo el ALIAS (nombre e iniciales de los dos apellidos de los clientes) se ha visto afectado. Al respecto, recordemos que los hechos analizados en el presente procedimiento tienen una especial gravedad, no sólo por ser BIZUM un servicio utilizado de forma masiva- como lo demuestran los datos de transacciones que ha aportado al expediente- sino porque se ha producido una exfiltración de datos personales que ha sido desconocida por la entidad durante más de un año. Por otro lado, la SAN de 19 de noviembre de 2024, Rec. 1241/2022, siguiendo la Jurisprudencia Constitucional sobre el derecho a la protección de datos de carácter personal, razona que “(…) el derecho fundamental a la protección de datos consagrado en el artículo 18.4 de la Constitución Española, a diferencia del derecho a la intimidad del art. 18.1 CE, con quien comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, excluyendo del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad, persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derechos del afectado. El derecho a la protección de datos tiene, por tanto, un objeto más amplio que el del derecho a la intimidad ya que el derecho fundamental a la protección de datos extiende su garantía no sólo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a la esfera de los bienes de la personalidad que pertenecen al ámbito de la vida privada, inseparablemente unidos al respeto de la dignidad personal, como el derecho al honor, y al pleno ejercicio de los derechos de la persona. El derecho fundamental a la protección de datos amplía la garantía constitucional a aquellos de esos datos que sean relevantes o tengan incidencia en el ejercicio de cualesquiera derechos de la persona, sean o no derechos. De este modo, el objeto del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales -como aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuoporque su objeto no es sólo la intimidad individual, protegida ya por el art. 18.1 CE, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos que, por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos (…)”. Por su parte, la Sentencia del TJUE de 19 de octubre de 2016, en el asunto C-582/14, señala que “41 El uso por el legislador de la Unión del término «indirectamente» muestra que, para calificar una información de dato personal, no es necesario que dicha información permita, por sí sola, identificar al interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/39 42 Además, el considerando 26 de la Directiva 95/46 enuncia que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a dicha persona. 43 En la medida en que el citado considerando hace referencia a los medios que puedan ser razonablemente utilizados tanto por el responsable del tratamiento como por «cualquier otra persona», su tenor sugiere que, para que un dato pueda ser calificado de «dato personal», en el sentido del artículo 2, letra a), de dicha Directiva, no es necesario que toda la información que permita identificar al interesado deba encontrarse en poder de una sola persona.” Por lo tanto, ha de entenderse que las circunstancias que han sido tenidas en cuenta al objeto de cuantificar la multa impuesta han tenido en cuenta las circunstancias acaecidas- con una brecha de datos personales tardíamente detectada-, el número de afectados- que superan los 20.000- y el contexto en el que BIZUM desarrolla su negocio, con un elevadísimo número de usuarios que, potencialmente, podrían verse afectados por la falta o inadecuación de las medidas de seguridad del tratamiento implementadas. En definitiva, de acuerdo con los argumentos señalados, han de rechazarse las alegaciones planteadas. IV Obligación incumplida. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
a)la seudonimización y el cifrado de datos personales;
b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/39 para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." Así, dicho precepto obliga la adopción de medidas de seguridad, que pueden ser de índole técnica u organizativa y que deberán ser adecuadas al riesgo del tratamiento de datos personales realizados. A sensu contrario dicho precepto se vería vulnerado si no se adoptasen dichas medidas que, adecuadas al riesgo y con carácter general, garantizaran la seguridad del tratamiento. La obligación de adoptar dichas medidas de seguridad recae en el responsable del tratamiento, como ha declarado el Tribunal de Justicia de la Unión Europea (TJUE) que, en sentencia de 14 de diciembre de 2023, en el asunto C-340/21 concluye que “Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD se desprende inequívocamente que la carga de la prueba de que los datos personales se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU: C:2023:373, apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C-252/21, EU:C:2023:537, apartado 95].” (apartado 52) Hay que señalar que el RGPD no establece en el citado precepto un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que las medidas técnicas y organizativas de seguridad que se apliquen han de ser adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Esto implica, necesariamente, un examen de cada uno de los tratamientos por parte del responsable que, de acuerdo con el principio de responsabilidad proactiva, deberá evaluar todos los riesgos concurrentes y determinar, por sí mismo y bajo su propia responsabilidad, cuáles son las medidas de seguridad adecuadas al específico tratamiento que esté realizado. Por otro lado, el artículo 32 del RGPD se configura como una obligación de medios, que se concreta en la obligación de diseñar los medios técnicos y organizativos adecuados, siendo también necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/39 La Audiencia Nacional señaló en diversas sentencias- por todas, la de13 de junio de 2002 -recurso nº. 1.517/2001 -, que la obligación que dimana de la implantación de medidas de seguridad en lo concerniente a los datos de carácter personal se refiere a las medidas necesarias y apropiadas, haciendo mención a su determinación e implantación efectiva: “no se cumple con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto, y por supuesto, no basta con la aprobación formal de las medidas de seguridad, ya que resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva” Por otro lado, y en relación con el alcance de las obligaciones de medios, como precisa la STS de 15/02/2022 (rec. de casación 7359/2020) “En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia" o "de comportamiento". Y añade en su Fundamento tercero: “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, que implique que producida una filtración de datos personales a un tercero exista responsabilidad con independencia de las medidas adoptadas y de la actividad desplegada por el responsable del fichero o del tratamiento. En las obligaciones de resultado existe un compromiso consistente en el cumplimiento de un determinado objetivo, asegurando el logro o resultado propuesto, en este caso garantizar la seguridad de los datos personales y la inexistencia de filtraciones o quiebras de seguridad. En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia" o "de comportamiento". La diferencia radica en la responsabilidad en uno y otro caso, pues mientras que en la obligación de resultado se responde ante un resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su causa y la diligencia utilizada. En la obligación de medios basta con establecer medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia razonable. En estas últimas, la suficiencia de las medidas de seguridad que el responsable ha de establecer ha de ponerse en relación con el estado de la tecnología en cada momento y el nivel de protección requerido en relación con los datos personales tratados, pero no se garantiza un resultado. […] Y en el mismo sentido se pronuncia en la actualidad el art. 31 [sic] del Reglamento de la Unión Europea 2016/679, […] al establecer respecto a la seguridad del tratamiento que las medidas técnicas y organizativas apropiadas lo son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/39 «Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas […]». No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso. Esta distinción también tiene su reflejo tanto en el Reglamento de la Unión Europea 2016/679, […], como en la LOPD 3/2018 de 5 de diciembre, […] al diferenciar como obligaciones e infracciones autónomas entre la falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento (art. 73 apartados d, e y
f)y la falta de la debida diligencia en la utilización de las medidas técnicas y organizativas implantadas (art. 73. g).” (El subrayado es nuestro). Sentado lo anterior, según ha quedado señalado en los hechos y fue notificado por la propia parte reclamada, en el presente caso, con fecha 21 de septiembre de 2022, BIZUM detectó un aumento inusual de peticiones al Directorio procedentes de un usuario legítimo de una Entidad adherida, a través del servicio de validación de usuario ordenante de BIZUM. Dicha Entidad identificó al usuario y procedió a su bloqueo a las 11:36 de ese día. De acuerdo con el funcionamiento de la infraestructura de Bizum y, en concreto en lo que respecta a su relación con las entidades adheridas, consta que la entidad afectada (***EMPRESA.3) fue alertada por la Infraestructura Bizum a las 10:54. También es relevante señalar, en lo que respecta al bloqueo del usuario y, por lo tanto, a la medida que efectivamente pudo detener las peticiones de datos al Directorio que se venía produciendo, ello se hizo por la Entidad adherida una vez fue alertada por BIZUM puesto que Bizum no puede bloquear usuarios directamente, sino que tiene que hacerlo cada entidad, atendiendo a sus propias políticas de seguridad y comerciales. Ha de señalarse que este aumento de peticiones, calificado simplemente de inusual, y tal y como consta en el expediente, habría afectado a 20.070 usuarios. Asimismo, a pesar de que BIZUM señala que, con esa fecha- 21 de septiembre de 2022- ese aumento inusual de peticiones al Directorio fue detectado, lo cierto es que no fue sino hasta noviembre de 2023, concretamente el día 24, cuando se tuvo conocimiento de que en internet aparecían publicados 2.634 registros de los datos pseudoanonimizados del número de móvil y el "alias" de determinados usuarios registrados en Bizum. La relación entre ambos hechos se estableció a consecuencias de la investigación realizada a raíz de la constancia de la mencionada publicación en internet y que permite identificar el origen de la divulgación en fecha 21 de septiembre de 2022. Es también consecuencia de la investigación desarrollada que se puede cuantificar a los potenciales afectados- como decimos, 20.070-, circunstancia que permitiría alcanzar una primera conclusión, esto es que, tras producirse, no se habrían conocido el concreto alcance del incidente producido el 21 de septiembre de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/39 Así, a pesar de que BIZUM ya consideró inusualmente alto el número de peticiones realizadas en fecha 21 de septiembre de 2022, no fue hasta noviembre de 2023, más de un año después, que se tuvo conocimiento de que el resultado de dichas peticiones de información al directorio de datos personales del que es responsable fue la exfitración de los datos a los que se tuvo acceso y la publicación de una muestra de los datos personales obtenidos- números de teléfonos y alias (nombre e iniciales de apellidos)- en abierto en internet. Este hecho permitiría concluir que no existían medidas de seguimiento de las eventuales consecuencias derivadas de un inusual número de peticiones de información al directorio, máxime cuando el número inusual de dichas peticiones es tan elevado, por cuanto no se tuvo conocimiento de dichas consecuencias sino hasta un año después. Por otro lado, BIZUM ha indicado en las actuaciones de investigación desarrolladas por esta AEPD que las peticiones de información al Directorio se trataban (…). Destaca, no obstante, que los hechos acaecidos se considerasen tan sólo como un comportamiento excepcional de la actividad, teniendo en cuenta que
i)afectaban a más de 20.000 usuarios
ii)que se produjeron en un corto espacio de tiempo, toda vez que, tal y como indican el volumen anómalo de peticiones(…) fue detectado el 21 de septiembre de 2022 a partir de las 5:47h y se recibe confirmación a las 11:36h del bloqueo del usuario implicado iii) y que tenían carácter secuencial, tal y como BIZUM expresamente señala; en efecto las características anteriores- volumen de peticiones por encima del habitual y sostenido en el tiempo- cabría añadir que se trataba de peticiones de información sobre números de teléfono secuenciales: Es preciso mencionar, que los teléfonos objeto de la divulgación comenzaban desde el 600 000 000 y finalizaban en el 600 007 494, siguiendo un orden ascendente y con números faltantes dentro del rango mencionado.” Ha de indicarse también que, a pesar de que BIZUM se refiere a que es a partir de las 5:47 hrs de 21 de septiembre de 2022 que el volumen anómalo de peticiones se detecta, cabe inferir que es en esta fecha cuando las peticiones de información, que, además, son secuenciales como decimos, comienza. Y ello por cuanto, tal y como informan expresamente en el marco de las actuaciones de investigación (el subrayado es nuestro) A las 7:41 del 21 de septiembre de 2022, los sistemas de monitorización 24x7 del Centro de Proceso de Datos de Redsys, que presta el servicio de Infraestructura Bizum a sus entidades bancarias, detecta un aumento del uso de peticiones al Directorio Bizum que resultan fallidas (es decir, sin que progresen las potenciales operaciones de transferencias de fondos). […] se trataba de un volumen ligeramente por encima del habitual y no constante, pero que se extendía en el tiempo. Consta también en el expediente, como información aportada por la parte reclamada que Se trataba de un escaneo de números de teléfono partiendo del +34 600 000 000 y subiendo secuencialmente con cada petición. Se inició a las 5:47h y tuvo su origen en las peticiones realizadas por el usuario con DNI (…) y número de teléfono asociado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/39 a Bizum (…). Una numeración no española, por lo tanto, a pesar de que sí venía asociada a un nº de identificación español. También señala BIZUM que (…). Así, tanto la hora de inicio de las peticiones (5:47) como el tiempo en que las mismas se desarrollaron, sus características (cantidad inusual, peticiones de información de números de teléfono secuenciales, desde un número extranjero, contradiciendo la información del Directorio ) y que no se conociera que los datos personales a los que se tuvo acceso fueron publicados en internet, suponen indicios a tener en consideración a la hora de determinar la inexistencia de medidas de seguridad adecuadas que hubiesen sido adoptadas por BIZUM al objeto de poder garantizar la seguridad de los datos personales de cuyo tratamiento es responsable. A ello se añade que BIZUM considera que el hecho (…). Estas afirmaciones implican, a nuestro juicio que el análisis de riesgo y, por lo tanto, las medidas de seguridad adoptadas en aplicación del mismo parecen limitar los posibles daños o perjuicios a los de carácter económico, y no, por ejemplo, una afectación al derecho fundamental a la protección de los datos personales de los usuarios de BIZUM. En lo que respecta a la vía por la que se produjeron las peticiones de información BIZUM señala que su origen está en el uso del servicio de “validación de usuario ordenante” de la Infraestructura Bizum por parte de una Entidad adherida a través de su Procesador, valorándose ya, posteriormente, que podría tratarse de un potencial uso abusivo por parte de usuarios en los canales de dicha entidad. Siguiendo con la descripción de los hechos, dichas (…), - por parte, recordemos, de un usuario legítimo de una entidad adherida- se están realizando desde las 5:47h y no desencadenan transferencias de fondos, como si se estuviese haciendo un barrido de todos los posibles números de teléfono consecutivos para preguntar por ellos en el Directorio Bizum, indicando que, al no estar la mayoría registrados con la Entidad que consumía el servicio, se considera una petición que no finaliza OK. (El subrayado es de esta AEPD) BIZUM explica el proceso en el que se enmarca las peticiones de información al directorio en los siguientes términos (…) Tal y como confirma, las peticiones inusuales de información al directorio se produjeron en el primero de los pasos señalados: (…). Como también señala, La investigación posterior permite concretar la causa de este uso abusivo identificado en la utilización no prevista por parte de un usuario de la entidad adherida de un servicio de la Infraestructura Bizum (“Validación de Usuario Ordenante”) especificado para ser empleado solo por las entidades a la hora de verificar el estado en Bizum de sus propios clientes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/39 Destaca, por lo tanto, que la obtención de los datos personales consistente en el número de teléfono, nombre e iniciales de los apellidos (estos último englobados en el concepto de alias) se produce, por parte de un usuario legítimo de Bizum, utilizando un servicio destinado sólo a verificar por parte de las entidades adheridas a situación de sus propios clientes- al objeto de comprobar, por lo tanto, si pueden realizar la operación- y antes del propio inicio de la operación de transferencia de fondos. Así, de los hechos descritos se desprende que, por parte de un usuario calificado de legítimo, fue posible realizar peticiones de información, inusualmente altas, de números secuenciales y sostenidas en el tiempo, haciendo uso de un servicio destinado a ser empleado únicamente por las entidades adheridas a BIZUM y al objeto de verificar el estado de sus propios clientes. En este punto, debemos recordar que BIZUM ya notificó una brecha de datos personales con fecha 4 de mayo de 2021 y que, a raíz de la misma, se implementaron medidas adicionales (informadas en su momento a la Agencia), que consisten en: • Monitorización en servicio de vigilancia digital de los números de teléfono origen del uso abusivo de la “validación del usuario beneficiario” que permite el inicio de una operación. • Controles de generación de alarma por detección de alto volumen de inicio de operaciones por el que cada 5 minutos se bloquean los usuarios que realizan más de 30 inicios de operación. • Restricción del uso de operativa múltiple, esto es, del envío o solicitud de dinero a varios usuarios. No obstante, y según se desprenden de los hechos, dichas medidas no contemplaban evitar que se utilizaran servicios destinados a las entidades adheridas para verificar el estado en BIZUM de sus clientes por parte de usuarios y las alarmas por detección de elevados volúmenes de actuaciones venían referidos sólo a inicio de operaciones, a pesar de que ya en el paso previo, el de validación de clientes, se tiene acceso a datos personales. Posteriormente, y a consecuencias del incidente de septiembre de 2022- hecho que ha de tenerse en cuenta al objeto de calificar como insuficientes las medidas adoptadas en ese momento-, BIZUM informa de la adopción de las siguientes medidas reactivas: • Implantación en la Infraestructura Bizum de una mejora que limita el alcance del servicio “Validación de Usuario Ordenante”, de forma que solo devuelva el “alias” del usuario si éste es de la entidad que realiza la consulta. Dado su posible impacto operativo en las entidades, se ha fijado para todas ellas el 31 de marzo de 2024 como fecha límite para adaptarse a este nuevo comportamiento. • Comunicación de Bizum a todas sus entidades recordando el uso previsto del servicio “Validación de Usuario Ordenante” (solo por las entidades, no accesible a los usuarios, y solo para validar sus propios clientes), así como que en la experiencia de usuario solo debe mostrarse el alias del beneficiario/destinatario exclusivamente en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/39 paso inmediatamente anterior, o coincidente, a la confirmación de la operación de transferencia de fondos Estas medidas, de haber sido adoptadas con anterioridad, habrían limitado el alcance de los datos personales afectados- al haber venido referidos sólo a usuarios de ***EMPRESA.3- cuando no evitado en su totalidad- al tratarse los hechos analizados de un acceso por parte de un usuario a información que estaría limitada a las entidades adheridas y en el paso anterior a la operación de transferencia de fondos propiamente dicha. Como medidas adoptadas por terceros, entre ellos el proveedor de la infraestructura y encargado de tratamiento bajo la responsabilidad de BIZUM, se informa de las siguientes: • Mientras tanto, Redsys, como Infraestructura Bizum, ha particularizado (a la baja) los umbrales de alerta de la monitorización existente para el servicio de “Validación de Usuario Ordenante”, así como habilitado un procedimiento específico de seguimiento •Asimismo, el Procesador Cecabank ha establecido un límite inferior a 10 para el número de consultas que puede realizar un usuario en una misma sesión desde las apps de las entidades a las que presta servicio. Cabe recordar que Cecabank está vinculada a la entidad ***EMPRESA.3, a la que pertenecía el usuario con el que se realizaron las peticiones de información al directorio BIZUM objeto de este procedimiento. No consta que se hayan adoptado medidas dirigidas a evitar que los servicios puestos a disposición de las entidades adheridas no puedan ser utilizados por otros usuarios, o mecanismos para garantizar el seguimiento de incidentes vinculados con peticiones anómalas de información al directorio del que es responsable BIZUM. Por tanto, de conformidad, existen evidencias de que los hechos conocidos son constitutivos de una infracción, imputable a BIZUM, por vulneración del artículo 32 del RGPD. V Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/39 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679." VI Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/39
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores.
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas. La multa debe ser, en cada caso, individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de BIZUM de 43.835.406 euros en el año 2022. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): tal y como ha quedado señalado en los hechos probados, el incidente que provocó la publicación de datos personales de los usuarios de bizum en foros de internet se produjo el 21 de septiembre de 2022 mientras que la detección de la publicación se produjo más de un año después, el 24 de noviembre de 2023. Tan sólo tras la detección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/39 fueron adoptadas medidas adicionales de seguridad del tratamiento de datos personales que se estaba realizando. • Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): El amplio decalaje de tiempo transcurrido entre que se produjo el incidente que provocó el acceso a datos personales y la detección de su publicación, más de un año, denota una falta de diligencia de BIZUM en cuanto a la adopción de mecanismos de seguimiento tras hechos en los que se haya detectado un acceso no justificado a datos personales de los que es responsable. • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): BIZUM es responsable de un elevado número de tratamientos de datos personales- cuantifica en ***USUARIOS.2 los usuarios de BIZUM en el momento en que se llevaron a cabo las actuaciones de investigación-, que son utilizados para realizar operaciones de transferencias inmediatas para las que se utiliza el directorio que es objeto del presente procedimiento. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 32 del RGPD tipificada en el artículo 83.4.
a)del RGPD de multa administrativa por un importe de 100.000,00 euros. VII Adopción de medidas Al haberse confirmado las infracciones, procede imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
d)del RGPD, según el cual cada autoridad de control podrá “
d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. En concreto, como se requiere a BIZUM para que, en el plazo máximo de seis meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, - Acredite la adopción de las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento de datos que realiza. Estas medidas, en particular, deberán garantizar que el acceso a la información personal necesaria para llevar a cabo la operación de transferencia de fondos para la que se utiliza la infraestructura de BIZUM se produzca en el momento en que sea estrictamente necesario y evitar que el acceso a dicha información pueda ser realizado por no autorizados. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/39 administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. VIII Terminación del procedimiento por pago voluntario El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio se le permitía llevar a cabo el pago voluntario de la sanción propuesta. Así, la parte reclamada ha hecho uso de la facultad contemplada en el artículo 85.2 LPACAP, pero sin reconocimiento de responsabilidad, lo que supone la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción queda establecida en 80.000 euros y su pago implica la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Al respecto, ha de señalarse que, de acuerdo con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Por otro lado, debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el pago voluntario por el presunto responsable no exime a la Administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/39 que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión por parte de BIZUM S.L., con NIF B87599478 de la infracción del artículo 32 del RGPD y CONFIRMAR a los efectos previstos en el artículo 64.2
b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción indicada en el acuerdo de inicio del presente procedimiento sancionador por la comisión de la citada infracción: 100.000, 00 euros Tras haber procedido la parte reclamada al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de un 20 % del total mencionado, lo cual supone la cantidad definitiva de 80.000,00 euros. SEGUNDO: DECLARAR la terminación del procedimiento por el pronto pago realizado por BIZUM S.L., con NIF B87599478, en virtud de lo dispuesto en el artículo 85 de la LPACAP. TERCERO: ORDENAR a BIZUM, S.L., con NIF B87599478, que en virtud del artículo 58.2.
d)del RGPD, en el plazo máximo de SEIS MESES desde que la presente resolución sea firme y ejecutiva, - Acredite la adopción de las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento de datos que realiza. Estas medidas, en particular, deberán garantizar que el acceso a la información personal necesaria para llevar a cabo la operación de transferencia de fondos para la que se utiliza la infraestructura de BIZUM se produzca en el momento en que sea estrictamente necesario y evitar que el acceso a dicha información pueda ser realizado por no autorizados. CUARTO: NOTIFICAR la presente resolución a BIZUM, S.L.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, por parte de la presente autoridad se acepta la renuncia expresamente manifestada por la parte reclamada, no cabiendo en consecuencia la interposición de recurso potestativo de reposición frente a la presente resolución, todo ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contenciosoadministrativa En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP, dado que no cabe ningún recurso en vía administrativa al haber renunciado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/39 expresamente, la presente resolución será plenamente ejecutiva a partir de la notificación de la misma. No obstante, conforme a lo previsto en el artículo 90.3
a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública una vez haya sido notificada a los interesados. 938-080725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.