← España

PS-00284-2025

1/26  Expediente Nº: EXP202317448 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24 de junio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PROCONO SA (en adelante, PROCONO), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202317448 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Se han interpuesto varias reclamaciones ante la Agencia Española de Protección de Datos por una posible infracción imputable a PROCONO SA con NIF A14049506 (en adelante, PROCONO). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: -Con fecha 1 de octubre de 2023, se ha recibido escrito de la parte reclamante 1, que manifiesta ser un cliente de PTV TELECOM, comunicando que dicha entidad ha sufrido en fecha 30 de septiembre de 2023 una brecha de datos personales, como ha reconocido públicamente en un comunicado fechado a 2/10/23. Indica que los datos están expuestos en un foro. Añade que desconoce los datos que almacenaba, pero que se trata de datos relacionados con clientes, y que puede tratarse de nombre completo, dirección y correo electrónico, y posiblemente cuenta bancaria. -Con fecha 2 de octubre de 2023 se ha recibido escrito de la parte reclamante 2, en el que manifiesta que “en internet están todos mis datos de usuario de la empresa PTV Telecom, que parece que ha sufrido un hackeo y no ha comunicado que sus datos, DNI teléfono, dirección, iban entre otros, están en internet. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/26 Junto al escrito, se aporta un fichero “***FICHERO.1” que, según manifiesta contienen sus propios datos personales y han sido extraídos de las bases de datos publicadas por el atacante. -Con fecha 3 de octubre de 2023 se ha recibido escrito de la parte reclamante 3 y, en el que manifiesta que se ha producido una filtración de sus datos bancarios relativos a su cuenta corriente personal y/o tarjeta asociada, y que ha sido notificado de la existencia de una brecha de datos personales en la que sus datos personales y bancarios se han visto comprometidos y publicados en una web para su comercialización. En su reclamación hace referencia a un link a la noticia, y a la web en la que estarían alojados los datos personales. Asimismo, aporta la comunicación que habría recibido de PTV TELECOM, en el que se le informa de la existencia de la violación de seguridad, que está fechada el día 2 de octubre de 2023. -Con fecha 3 de octubre de 2023 se ha recibido un escrito de la parte reclamante 4, en el que pone de manifiesto que ha recibido un correo por parte de PTV, compañía de internet, en el que se le comunica que ha sufrido una brecha de datos personales y que han sustraído información sensible como nombre, DNI, iban, entre otros. Adjunta a su reclamación el contenido de dicho correo electrónico. - Con fecha 3 de octubre de 2023 se ha recibido un escrito de la parte reclamante 5, en el que pone de manifiesto que a PTV TELECOM le han hackeado los servidores y se han apoderado de datos como nombres, dirección, DNI, cuentas bancarias de los abonados, y que ha resultado afectado. Añade que la entidad le ha comunicado los hechos con un email, señalando que sus datos personales se han visto afectados. Adjunta a su reclamación una captura de pantalla con el contenido del correo electrónico que ha recibido, en el que se comunican los hechos. -Con fecha 3 de octubre de 2023 se ha recibido un escrito de la parte reclamante 6, en el que comunica que quiere presentar una reclamación formal contra la empresa PROCONO, S.A., que ha tenido una brecha de datos personales por hacking y por la que existen más de 110mil datos de clientes por internet, entre los cuales es muy posible que se encuentren los suyos, así como de familiares, porque han recibido una comunicación de la entidad, y solicita que se abra una investigación. Adjunta a su reclamación copia del correo electrónico enviado por la empresa, en el que se le comunican los hechos que reclama. -Con fecha 4 de octubre de 2023 se recibe un escrito de FACUA mediante el que quiere presentar denuncia contra PROCONO, S.A., (PTV TELECOM), al haber tenido conocimiento de que ha sufrido una brecha de datos personales que ha permitido la exposición de datos personales de miles de usuarios sin autorización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/26 FACUA manifiesta que los clientes que han suscrito el contrato de forma presencial han visto sus datos publicados en un archivo en una página web externa, de forma que los internautas han podido descargarlo y obtener información sensible. Añade que los datos filtrados son nombre y apellidos, domicilio, fecha de nacimiento, número de teléfono y dirección de correo electrónico. Asimismo, indica que los clientes que contrataron a distancia han visto comprometidos además el DNI y el número de cuenta bancaria. Por último, indica que también se han visto afectados datos de personas que, sin ser cliente, habrían contactado con la compañía para obtener información de sus servicios. Adjunta a su denuncia una impresión de pantalla en la que se recoge la noticia. -Con fecha 4 de octubre de 2023 se ha recibido un escrito de la parte reclamante 7, en el que comunica haber recibido un correo electrónico de la entidad PTV TELECOM, en el que se le informa de que han sufrido un ataque y han quedado expuestos los datos de más de 100.000 clientes, entre los que se encuentran los suyos. Indica que los datos afectados son nombre, dirección, DNI, nacionalidad, IBAN de cuenta bancaria, y correo electrónico. -Con fecha 4 de octubre de 2023 se ha recibido escrito de la parte reclamante 8 en el que informa que la empresa PROCONO S.A., ha sufrido un ataque, y como consecuencia han detectado un acceso no autorizado a su base de datos. Los datos que se han visto afectados son nombre y apellidos, dirección postal, teléfono, correo electrónico, DNI, fecha de nacimiento, nacionalidad, IBAN del número de cuenta. Añade que ha tenido conocimiento de los hechos porque ha recibido un correo electrónico de la entidad comunicándolo. Adjunta a su reclamación copia del correo electrónico recibido. -Con fecha 4 de octubre de 2023 se ha recibido un escrito de la parte reclamante 9 en el que pone de manifiesto que ha tenido conocimiento de que el pasado día 30 de septiembre se habría producido una filtración de datos de los clientes de PTV TELECOM. Como era cliente, tras haberse hecho públicas las bases de datos de los clientes, ha revisado si sus datos estarían expuestos, como así había ocurrido. Junto al escrito, se aporta un fichero que, según manifiesta contienen sus propios datos personales y han sido extraídos de las bases de datos publicadas por el atacante. -Con fecha 5 de octubre de 2023 se ha recibido un escrito de la parte reclamante 10 en el que pone de manifiesto que el día 2 de octubre de 2023 ha recibido una comunicación de la entidad PROCONO S.A.U., en el que se le notifica que ha tenido una brecha de datos personales por la que unos desconocidos habrían robado 6 de sus bases de datos, entre los que se encuentran sus datos personales: nombre y apellidos, dirección postal, teléfono, correo electrónico, DNI, fecha de nacimiento, nacionalidad, IBAN. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/26 Añade que, navegando por internet, ha encontrado dichas bases de datos publicadas en una web dedicada a la venta de información. Adjunta a su reclamación el email que ha recibido de la entidad. -Con fecha 13 de octubre de 2023 se ha recibido un escrito de la parte reclamante 11, en el que pone de manifiesto que ha recibido un correo electrónico de la compañía PTV TELECOM, en el que se le informa de que la entidad ha sufrido un acceso no autorizado a sus sistemas de almacenaje de datos, mediante el cual puede haber sido afectada información concerniente a su persona como nombre y apellidos, dirección postal, teléfono, correo electrónico, número de DNI, fecha de nacimiento y nacionalidad. Añade que ha visto noticias que indicarían que los datos personales se habrían publicado en plataformas piratas en las que se ofrece esta información para usos fraudulentos. -Con fecha 30 de octubre de 2023 se ha recibido un escrito de la parte reclamante 12 en el que pone de manifiesto que ha recibido un correo electrónico de la compañía PTV TELECOM en el que le comunican que han tenido un acceso no autorizado a sus sistemas de datos de carácter personal y que puede haberse visto afectada información concerniente a su persona. Indica que le han comunicado que los datos que se han visto afectados de su persona son correo electrónico, información importante de seguridad, DNI, y solicita que se dicte acuerdo de inicio de expediente sancionador. Adjunta a su reclamación copia del correo electrónico que ha recibido de la entidad. SEGUNDO: Con fecha 2 de octubre de 2023 se recibe comunicación por parte de la entidad PROCONO en la que indica que con fecha 29 de septiembre de 2023 a las 14:00 horas ha sufrido un ataque en los servidores de almacenaje de datos personales de alrededor de 130.000 clientes. Manifiesta que los servidores pertenecen a la empresa BEKKOS SERVICIOS WEB, y que los datos afectados son nombre y apellidos, DNI, correo electrónico, teléfono, y en determinados casos números de cuenta o tarjetas de crédito. Añade que se ha producido como consecuencia de un ciberincidente, en el que se ha visto afectada la confidencialidad de los datos personales objeto de tratamiento. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a PROCONO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La parte reclamada ha dado respuesta a la solicitud de información en fecha 02/01/2024 en la que se pone de manifiesto que aún están investigando las causas que habrían producido la incidencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/26 Indica que el ataque se produjo en los servidores de almacenaje de datos personales, que pertenecían a la entidad BEKKOS SERVICIOS WEB. En cuanto al número de personas afectadas, manifiesta que aproximadamente se verían afectados unos 130.000 clientes. Manifiesta que han comunicado la situación a las personas afectadas mediante correo electrónico de fecha 3 de octubre de 2023. Las categorías de datos afectados son: nombre y apellidos, dirección postal, teléfono, correo electrónico, DNI, fecha de nacimiento y nacionalidad, así como datos de tarjetas bancarias. Asimismo, indica que se encuentran en pleno análisis y auditoría del incidente sufrido, y que cuando tenga las conclusiones las enviará a esta Agencia. Adjunta los siguientes documentos: -documento sobre Seguridad de los datos o seguridad del tratamiento de los datos de PROCONO. -Informe sobre control regular de cumplimiento de fecha 20 de abril de 2023. -registro de actividades de tratamiento de PROCONO. TERCERO: Con fecha 7 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: 1. Categorías de datos y número de afectados. PROCONO había manifestado en su escrito de contestación al traslado de fecha 2 de enero de 2024 que realiza tratamiento de datos de aproximadamente 200.000 personas, que la brecha afectó a unos 130.000 clientes, y que “Los datos afectados son, en principio: nombre y apellidos, dirección postal, teléfono, correo electrónico, número de documento de identidad, fecha de nacimiento y nacionalidad. Además, y solamente en el caso de algunos usuarios, han quedado expuestos datos de tarjetas bancarias”. PROCONO manifiesta que comunicó la brecha a los afectados mediante correo electrónico y SMS el día 3 de octubre de 2023, indicando tres modelos diferentes de comunicación atendiendo a las diferentes tipologías de datos afectados, para enviar por correo electrónico y SMS, que coinciden con las aportadas por las partes reclamantes, y que indican en su conjunto la siguiente tipología de datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/26 - Nombre - Apellidos - Dirección postal - Teléfono - Correo electrónico - Número de documento de identidad - Fecha de nacimiento - Nacionalidad - IBAN del número de cuenta - Numeración de la tarjeta bancaria PROCONO manifiesta en su escrito de fecha 30 de abril de 2024, y posteriormente en su escrito de fecha 25 de noviembre de 2024, en el que amplía esta información, que en la brecha se extrajeron los siguientes archivos y categorías de datos: - ***FICHERO.2: nombre, apellidos, DNI, dirección, teléfonos de contacto, email, servicios contratados. Son datos personales de clientes activos, (…). - ***FICHERO.3: nombres, apellidos, DNI, dirección contratación, número de cuenta o tarjeta bancaria encriptada, teléfonos de contacto, email. Contiene las bases de datos de solicitudes de contratación pruebas, e indican que el número de cuenta o tarjeta bancaria está encriptada. en torno a 10.000 registros. - ***FICHERO.4: nombre, apellidos, DNI, dirección, teléfono, email y tarjeta bancaria. Indica que es una base de datos antigua residual y que por tanto “la mayoría de las tarjetas ya se encontraban caducadas”, afectaría en torno a 2.000 registros. - ***FICHERO.5: datos personales de técnicos de PROCONO (nombre, apellidos, DNI y email) y auditorias de cobro con datos encriptados de tarjetas bancarias de clientes. Indican que aparecen datos de tarjetas bancarias encriptadas. e incluye dos tablas que hacen referencia a datos personales de los técnicos, nombre y apellidos, DNI, email, y auditoria de cobros, donde aparecen datos de tarjetas de crédito que estaban encriptadas; en torno a 2.000 registros. En su escrito de fecha 28 de junio de 2024 se indica que el número de afectados por tarjeta bancaria sin encriptar es 592. Preguntada por el tratamiento del dato de nacionalidad, PROCONO manifiesta en su escrito de fecha 25 de noviembre de 2024 que no se vio afectado por el incidente de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/26 seguridad y que la comunicación de ese dato a los afectados constituye un error humano debido al escaso plazo de tiempo con el que contaba la entidad para enviarla. Los RAT aportados por PROCONO en sus escritos de fecha 2 de enero, 30 de abril y 25 de noviembre de 2024 indican en la actividad de tratamiento “Clientes”, apartado “

  1. n)Tipificación de datos personales objeto de tratamiento”: “Dirección postal; Dirección de correo electrónico; Económicos, financieros y de seguros; Firma/Huella; Información comercial; NIF/DNI; Nombre y apellidos; Teléfono; Transacciones de bienes y servicios; Número de cuenta”. Se descarga de la página web https://www.ptvtelecom.com/informacion-legal/ los ficheros CCGG_PTV-22-10-1.pdf y CCGG_PTV-24-08.pdf, con las condiciones generales de contratación, y se diligencia y une al expediente. En esos ficheros se menciona el tratamiento de los siguientes tipos de datos: - Datos identificativos (nombre y apellidos, NIF/DNI, nº Seguridad Social/Mutualidad, dirección, teléfono, firma, imagen/voz, firma electrónica). - Metadatos de comunicaciones electrónicas (registros de llamadas y SMS -CDRs-, MSISDN, direcciones MAC, direcciones IP datos de navegación, datos de localización). - Datos económicos y financieros (facturación, datos bancarios, tarjeta de crédito seguros). - Datos de características personales (estado civil fecha de nacimiento, lugar de nacimiento, edad, sexo, nacionalidad). Preguntada por la base de legitimación para el tratamiento de los datos, PROCONO manifiesta: “En ambos documentos se indica que “Sin perjuicio de que éstos puedan ser ampliados o reducidos, los tipos de datos personales que PTV tratará del Cliente podrán ser los siguientes: […]”. Ello quiere decir que, desde la entidad pueden tratarse esos datos o no, dependiendo de los datos necesarios a tratar para el objeto del encargo de tratamiento en cuestión.” Requerida a PROCONO la lista de los descriptores de todos los campos de cada una de las bases de datos, así como la información sobre el formato y contenido de cada uno de esos campos, aporta en su escrito de fecha 25 de noviembre de 2024 una información genérica del contenido, sin el detalle solicitado. La parte reclamante ha proporcionado algunas copias de las comunicaciones recibidas a raíz de la brecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/26 Entre los datos de la brecha que proporciona la parte reclamante 2 en su reclamación (varios grupos de datos con diferentes campos y contenidos) aparecen, entre otros: - nacionalidad; - dirección IP; - número de cuenta bancaria sin encriptar (campo ‘CCC’ seguido de ‘ES…’); - tras la dirección postal y antes del número de teléfono, la expresión ‘EN PROPIEDAD’. (…)” Entre los datos de la brecha que proporciona la parte reclamante aparecen también una dirección IP, y el valor ‘EN PROPIEDAD’ tras la dirección postal y antes del número de teléfono: “(…)” La muestra obtenida de ***URL.1 el 4 de marzo de 2024 contiene información de 87 personas diferentes, con la siguiente cabecera de datos: `id`, `ID_CLIENTE`, `ID_CONTRATO`, `NUMERO_CONTRATO`, `ESTADO`, `FECHA_CONTRATO`, `FECHA_BAJA`, `TIPO_CONTRATO`, `EQUIPO`, `DESCRIPCION`, `FEC_NACIMIENTO`, `NACIONALIDAD`, `NOMBRE_VIA`, `NUMERO`, `BLOQUE`, `ESCALERA`, `PISO`, `PUERTA`, `LOCAL`, `COD_POSTAL`, `POBLACION`, `PROVINCIA`, `TELEFONO1`, `TELEFONO2`, `EMAIL`, `PACK`, `PROMOCION`, `PORTABILIDAD`, `ZAPI`, `created_at`, `updated_at`, `CAPTACION`, `TF`, `TV`, `NET`, `MV`. En esa muestra, el campo ‘DESCRIPCION’ corresponde a nombre y apellidos; el campo ‘NACIONALIDAD’ contiene: - 84 veces, ‘***PAÍS.1’ - 2 veces, ‘***PAÍS.2’ - 1 vez, ‘***PAÍS.3’ 2. Origen de la brecha: PROCONO manifiesta en su escrito de fecha 2 de enero de 2024, que para investigar las causas del incidente contrató los servicios de la empresa ***EMPRESA.1, en adelante ***EMPRESA.1, y que en esa fecha se encontraban “a la espera de que se emita el informe final tras la finalización de las investigaciones”. En su escrito de fecha 2 de enero de 2024, PROCONO ha aportado el contrato con ***EMPRESA.1, de 4 de octubre de 2023; en el que se mencionan los servicios contratados como “Análisis forense y respuesta a incidente de seguridad” y “Análisis de vulnerabilidades de sistemas y dispositivos de red”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/26 Solicitados esos análisis en requerimiento de 9 de abril de 2024, PROCONO manifiesta en su escrito de fecha 30 de abril de 2024, y se ratifica en su escrito de fecha 28 de junio de 2024, que los servicios proporcionados por ***EMPRESA.1 consisten en un informe que tiene fecha de 29 de abril de 2024; y que ha aportado en su escrito de fecha 30 de abril. Ese informe indica: “El equipo de trabajo no logra determinar la causa raíz del incidente por falta de evidencias, (…). A pesar de la falta de evidencias, el equipo de respuesta aprecia ciertas prácticas que han podido permitir que se materialice el ataque, (…). Para acceder al servidor que almacena las bases de datos de clientes que se han visto afectadas por el ataque, (…).” Preguntada sobre su conocimiento sobre los hechos, causas y condiciones que concurrieron en la brecha, PROCONO manifiesta en su escrito de fecha 30 de abril de 2024: “(…).” Preguntada por su conocimiento sobre los hechos ocurridos y de las causas y condiciones que concurrieron en la brecha y sobre el modo de almacenamiento de las claves de acceso a sus servidores, PROCONO manifiesta en su escrito de fecha 28 de junio de 2024: “(…).” Preguntada por la comunicación de la política de uso del sistema de información al empleado o empleados (…), PROCONO ha realizado las siguientes actuaciones: - en su escrito de fecha 30 de abril de 2024 ha proporcionado el documento “Política de uso del sistema de información y confidencialidad” del ***EMPRESA.2, sin cumplimentar, - en sus escritos de fecha 28 de junio (pag. 2 a 9) y 25 de noviembre de 2024 (pag. 35 a 42) ha aportado el mismo documento con una rúbrica y los datos de un empleado de la empresa ***EMPRESA.3. -PROCONO también ha aportado en el escrito de fecha 25 de noviembre de 2024, (pag. 28 a 33) un contrato de encargo para el tratamiento de datos personales con ***EMPRESA.3, pertenecientes ambas al ***EMPRESA.2. Requeridos detalle y acreditación documental de las medidas implementadas con anterioridad a la brecha, incluyendo en su caso las referentes a la seudonimización de datos, PROCONO aporta, en pág. 13 de su escrito de fecha 30 de abril de 2024, un documento sin fecha ni firma, referido a su modelo de segmentación del trabajo, (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/26 PROCONO manifiesta en su escrito de fecha 2 de octubre de 2023 que los datos no estaban encriptados. Posteriormente, manifiesta en su escrito de fecha 25 de noviembre de 2024 que ***FICHERO.3 y ***FICHERO.5 estaban encriptadas. 3. Medidas reactivas: PROCONO menciona en su escrito de fecha 30 de abril de 2024, en la denuncia ante la Guardia Civil, haber solicitado a la empresa “***EMPRESA.4” la retirada de los datos. Requerida más información, en su escrito de fecha 28 de junio de 2024 proporciona (pág. 3) copia de los correos intercambiados con ***EMPRESA.4 el día 30 de septiembre de 2023 en los que esa empresa le comunica la eliminación del enlace y la cancelación de la cuenta de usuario. Requerida la acreditación documental de las medidas técnicas y organizativas de seguridad adoptadas o modificadas para evitar, en lo posible, la repetición de incidentes de seguridad como el sucedido, PROCONO manifiesta en su escrito de fecha 30 de abril de 2024 que ha implementado las siguientes: - (…) 4. Gestión del correo electrónico: Preguntada sobre la gestión del dominio de correo @ptvtelecom.com en las fechas mencionadas en su respuesta, PROCONO manifiesta en su escrito de fecha 28 de junio de 2024 que “El mantenimiento del servidor de correo es realizado por la empresa ***EMPRESA.5 (…) […] Las medidas técnicas y organizativas de seguridad que dispone el servidor de correo con sistema operativo ***SISTEMA.1, (…) instalado y actualizado por ***EMPRESA.5.” Solicitado el contrato con la empresa de gestión del servidor de correo, PROCONO proporciona en su escrito de fecha 28 de junio de 2024 (pág. 33) un certificado, que presenta firma de 24 de junio de 2024 del ***PUESTO.1 de ***EMPRESA.6 (...), quien manifiesta que: - proporciona servicio de alojamiento y mantenimiento de un servidor de correo electrónico para PROCONO desde el 1 de abril de 2005; - no dispone de copia del contrato; - el servicio prestado es de carácter técnico; - la prestación técnica del servicio es facilitada a PROCONO desde 2016 por la empresa ***EMPRESA.5 (…); - proporciona un documento “ANEXO - ACUERDO DE CONFIDENCIALIDAD, PROPIEDAD INTELECTUAL Y TRATAMIENTO DE DATOS PERSONALES”, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/26 noviembre de 2021, en que no se menciona a ***EMPRESA.6 ni a PROCONO; en su última página de ese aparece una rúbrica, sin nombre, bajo el logotipo de ***EMPRESA.5. Se comprueba que ***EMPRESA.6 (…) aparece registrada como sociedad cooperativa con la inscripción ***REFERENCIA.1 con actividades de consultoría informática, y no presenta ejercicios contables desde el año 2001; la fecha de publicación más reciente que aparece en la página ***URL.2 corresponde al año 2008. Se comprueba que ***EMPRESA.5 (...) se constituyó en octubre de 2014 y continúa activa; a través de la URL ***URL.4 (página de inicio), solo se puede acceder, a un formulario de consulta que no menciona políticas de protección de datos y a la publicación de concesión en dos ocasiones de incentivos de la Agencia de Innovación y Desarrollo de la Junta de Andalucía cofinanciado en un 80% por la UE a través del fondo FEDER. 5. Otras medidas organizativas (RAT, EIPD): En el registro de delegados de protección de datos de esta Agencia consta que desde 2022 el Delegado de Protección de Datos (DPD) de PROCONO es la empresa ***EMPRESA.7 (en adelante, ***EMPRESA.7). PROCONO manifestó en su escrito de fecha 2 de octubre de 2023 que sí disponía de un análisis de riesgos con anterioridad a la brecha, pero no lo aporta. Posteriormente, proporciona registros de actividades de tratamiento (RAT), redactados por ***EMPRESA.7: - en su escrito de fecha 2 de enero de 2024, presenta un RAT con fecha 21 de abril de 2023, como Anexo n.º 4. (págs. 35 a 75) - en su escrito de fecha 30 de abril de 2024, presenta un RAT de fecha 29 de abril de 2024, elaborado por ***EMPRESA.7 como Anexo n.º 6. (págs. 32 a 72) - en su escrito de fecha 25 de noviembre de 2024 (RAT actividad de tratamiento “Clientes”, sin fecha, como ANEXO 1. (págs. 2 a 10) PROCONO manifiesta en su escrito de fecha 2 de octubre de 2023, refiriéndose al tratamiento sobre el que se ha producido la brecha de datos personales, tratar datos de aproximadamente 200.000 personas. Los RAT aportados por PROCONO en su escrito de fecha 30 de abril de 2024 y 25 de noviembre de 2024 indican en la actividad de tratamiento N.º3, “Clientes”, apartado “
  2. u)Detalle de actividades de tratamiento de alto riesgo”: “Bloque de riesgos A – Daños o perjuicios económicos, morales o sociales significativos. - (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/26 “Bloque de riesgos F – Volumen de datos. - (…) - El responsable del tratamiento es una entidad que explota redes y presta servicios de comunicaciones electrónicas, tratando habitual y sistemáticamente datos personales a gran escala” En el apartado “
  3. v)Nivel de riesgo”: - “Alto riesgo” Requerida para que proporcione una Evaluación de Impacto relativa al tratamiento de Datos Personales (EIPD), PROCONO manifiesta en su escrito de fecha 30 de abril de 2024: “En relación a la realización de una evaluación de impacto en protección de datos, no nos encontramos en ninguno de los puestos establecidos en el artículo 35.3 del Reglamento (UE) 2016/679” “Así mismo, tampoco se encuentra dentro de los puestos establecidos en el listado elaborado por la AEPD basado en los criterios establecidos por el Grupo de Trabajo del Artículo 29 en la guía WP248 “Directrices sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento «entraña probablemente un alto riesgo» a efectos del RGPD”, los complementa y debe entenderse como una lista no exhaustiva” En el apartado “IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO” de los RAT aportados en sus escritos de fecha 2 de enero y 30 de abril de 2024 indican: “No existe la figura del corresponsable del tratamiento” y “La entidad responsable del tratamiento pertenece a un grupo de empresas respecto del cual tiene la consideración de empresa matriz, produciéndose comunicaciones de datos personales entre las mismas”. PROCONO también aporta en págs. 12 a 46 de su escrito de fecha 2 de enero de 2024 el documento “Seguridad del tratamiento. Cumplimiento con lo establecido en el art. 32 del reglamento (UE) 2016/679”, de ***EMPRESA.7 que: - No presenta fecha ni firma. - No contiene información técnica ni organizativa sobre la política de seguridad de tratamiento, sino indicaciones o propuestas para su implementación. - Menciona a PROCONO, en su página 4, como responsable de las actividades de tratamiento. - Menciona, en su página 6, la necesidad de la elaboración de una política relativa a la protección de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/26 Aporta, asimismo, en págs. 2 a 34 de su escrito de fecha 2 de enero de 2024 un “Control regular de cumplimiento de los principios y obligaciones del RGPD, LOPDGDD y LSSICE”, que lleva fecha de 20 de abril de 2023 y firma de ***EMPRESA.7 que: - Relaciona nueve actividades de tratamiento, cinco de las cuales presentan un nivel de riesgo alto, (…)”. - Indica que no detecta deficiencias apreciables en referencia (entre otros) al RAT, la licitud del tratamiento, la información y transparencia, el tratamiento de datos personales de menores de edad, la política de uso del sistema de información, y los tratamientos realizados por cuenta del responsable (encargados del tratamiento). PROCONO también aporta, en págs. 14 a 19 de su escrito de fecha 30 de abril de 2024 la política de uso del sistema de información y confidencialidad del ***EMPRESA.2. Solicitada información sobre programas de formación a sus empleados, relacionados con la protección de datos personales, PROCONO aporta en págs. 29 y 30 de su escrito de fecha 28 de junio de 2024 copia de correos de abril de 2023 relacionados con una formación básica, así como un certificado de ***EMPRESA.7 con el programa de esa acción formativa. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad PROCONO es una empresa con un volumen de ventas de 68.339.800 euros en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/26 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  4. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que PROCONO realiza, entre otros tratamientos, la recogida y conservación de datos personales de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/26 personas físicas: nombre y apellido, fecha de nacimiento, dirección postal, DNI, número de cuenta y número de tarjeta bancaria, correo electrónico y nacionalidad. PROCONO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” IV Obligación incumplida. Integridad y confidencialidad La letra
  5. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  6. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." Según las Directrices sobre la notificación de las violaciones de la seguridad de los datos personales de acuerdo con el Reglamento 2016/679 del GT29 se produce una «violación de la confidencialidad» cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos; una «violación de la integridad»: cuando se produce una alteración no autorizada o accidental de los datos personales; y una «violación de la disponibilidad»: cuando se produce una pérdida de acceso accidental o no autorizada a los datos personales, o la destrucción de los mismos . El principio de confidencialidad e integridad, dentro del marco del RGPD, implica la obligación de garantizar que los datos personales se mantengan protegidos y únicamente puedan ser accesibles o modificados por aquellos que tienen autorización para su tratamiento, con el fin legítimo previsto por el responsable del tratamiento. La protección de la confidencialidad e integridad de los datos personales objeto de tratamiento ha de hacerse mediante la adopción de las medidas técnicas y organizativas de todo tipo destinadas a alcanzar tal objetivo. En el caso que nos ocupa, de las actuaciones de investigación realizadas por la presente autoridad, se desprende una presunta vulneración del principio de confidencialidad manifestada con el acceso por parte de terceros no autorizados a datos personales que estaban siendo objeto de tratamiento y a la publicación de los mismos en internet. Dicha vulneración se manifiesta tanto en las diferentes reclamaciones que se han recibido en esta Agencia, como en la notificación de la brecha realizada por la propia entidad responsable, y que son: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/26 - Entre el 1 y el 30 de octubre de 2023 se han recibido en esta Agencia hasta 13 escritos en los que se ponía de manifiesto que la entidad PROCONO había sufrido una brecha de datos personales tal y como les había notificado la propia entidad, y en algunos casos aportaban enlaces a un artículo publicado el 30 de septiembre de 2023 en ***URL.5 (medio especializado en telecomunicaciones) y a la página ***URL.6 (foro de hackers, en el que aparecerían los datos a la venta). Algunos de estos reclamantes manifestaron que consiguieron esos datos y proporcionan muestras que incluyen, entre otros: nacionalidad, número de cuenta bancaria sin encriptar (con el campo CCC seguido de ES) y dirección IP, así como nombre y apellidos, dirección, correo electrónico, NIF y número de teléfono, - PROCONO ha informado en sus escritos que el 29 de septiembre de 2023 ha sufrido un ataque a los servidores de almacenaje de datos personales, que ha afectado a 200.000 clientes, que han visto afectada la confidencialidad de sus datos, ya que no estaban cifrados. Los datos que se han visto afectados, según ha informado PROCONO son nombre y apellidos dirección, teléfonos de contacto, email y servicios contratados, de una base de datos de clientes, números de unas seiscientas tarjetas bancarias de una segunda base de datos que por su antigüedad supone caducadas, y que en otras bases de datos estarían encriptadas. En un primer momento indicaron que la nacionalidad también se vio afectada, así como el número de cuenta bancaria. En fase de actuaciones previas, se ha podido comprobar que los datos afectados, tal y como se han publicado en la dark web incluían -nombre y apellidos -DNI -Número de contrato -Dirección -fecha de nacimiento -email -Teléfono -nacionalidad -cuenta corriente PROCONO ha manifestado que, con posterioridad a la brecha, se detectó (…). PROCONO ha manifestado que dispone de (…). PROCONO presenta, (…). Asimismo ha manifestado que “El mantenimiento del servidor de correo es realizado por la empresa ***EMPRESA.5 (antigua ***EMPRESA.6) […], (…) […] Las medidas técnicas y organizativas de seguridad que dispone el servidor de correo con sistema operativo ***SISTEMA.1, (…) instalado y actualizado por ***EMPRESA.5 (antigua ***EMPRESA.6).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/26 Por otro lado, PROCONO contrató un estudio forense de la brecha a ***EMPRESA.1, en el que se indica que hubo (…). El informe aportado se expresaba así: “(…) Durante los días 3/10/2023 al 5/10/2023, un equipo de especialistas en ciberseguridad del equipo del centro de operaciones de seguridad de ***EMPRESA.1 participó en el análisis forense de un incidente de seguridad reportado por la empresa PTV Telecom el día 29 de septiembre de 2023. (…) (…)” De lo anterior, cabe concluir que la falta de confidencialidad se ha producido debido a la falta de medidas técnicas y organizativas adecuadas, por ejemplo, (…). Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a PROCONO, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
  7. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/26
  9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  10. a)a
  11. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  12. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  13. b)la intencionalidad o negligencia en la infracción;
  14. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  15. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  16. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  17. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  18. g)las categorías de los datos de carácter personal afectados por la infracción;
  19. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  20. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  21. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  22. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/26 2. De acuerdo a lo previsto en el artículo 83.2.
  23. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  24. a)El carácter continuado de la infracción.
  25. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  26. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  27. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  28. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  29. f)La afectación a los derechos de los menores.
  30. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  31. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como del artículo 76.2 de la LOPDGDD anteriormente reproducidos. Lo anterior implica que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
  32. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de PROCONO de 68.339.800 euros en el año 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 2% del volumen de negocio de 68.339.800 euros es de 1.366.796 euros. Por lo que la sanción que se imponga necesariamente deberá oscilar entre los 0 y los 1.366.796 euros. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/26 • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). Conviene señalar que la vulneración del principio de confidencialidad en el presente caso involucra un conjunto de datos personales cuya naturaleza amplifica las implicaciones de la brecha de seguridad. Ello se desprende de la circunstancia de que se han visto afectados determinados datos personales como son nombre y apellidos, correo electrónico, dirección postal completa, fecha de nacimiento, así como la cuenta corriente o el número de la tarjeta de crédito, cuya exposición aumenta el riesgo de uso indebido y fraude y ataques de ingeniería social y estafa informática. La combinación de este tipo de datos personales eleva significativamente el nivel de riesgo para los derechos y libertades de sus titulares y las implicaciones de la vulneración de la confidencialidad. Esto se debe a la circunstancia de que dicha combinación no solo aumenta la cantidad de información disponible para un actor malicioso, sino que también amplía el espectro de posibles abusos. Dado que no se trata de datos aislados o piezas individuales de información, sino de la exposición de un conjunto integrado de datos personales que cuando se combinan, pueden ser utilizados para construir un perfil completo y detallado de un individuo, lo cual puede permitir a un atacante realizar operaciones de fraude y suplantación de identidad con una mayor tasa de éxito. Por último, no puede obviarse el número considerable de afectados de la brecha, dado que se ha constatado que ha afectado a, al menos, 200.000 personas, lo que resalta el volumen de individuos cuyos derechos y libertades fueron comprometidos. Esta amplia afectación amplifica la gravedad de la infracción, dado que cada cliente afectado representa un potencial caso de fraude, suplantación de identidad, o pérdida financiera, multiplicando exponencialmente las repercusiones negativas del incidente. Además, la infracción se ve agravada por el contexto en el que se produce, donde los individuos confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas de los afectados respecto al tratamiento de sus datos personales. Una confianza que no ha tenido contrapartida en la actuación de la parte reclamada, con unas medidas cuya ausencia o deficiencia en la implementación han favorecido la pérdida de confidencialidad objeto de este expediente. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…)el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/26 resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso, los datos personales objeto de tratamiento incluyen números de identificación nacional, datos de localización, al recogerse la dirección completa, así como datos de tarjeta de crédito o números de cuenta. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): La actividad empresarial de la entidad investigada exige un continuo tratamiento de datos de carácter personal. La empresa opera en un sector donde la confianza y la seguridad de la información resulta fundamental, y por tal motivo tiene la responsabilidad garantizar con mayor rigurosidad los principios de protección de datos respecto a la información que gestiona en virtud de dicha actividad. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  33. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 300.000,00 euros. VII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
  34. f)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  35. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/26 La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a PROCONO SA, con NIF A14049506, por la presunta infracción del Artículo 5.1.
  36. f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  37. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 300.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a PROCONO SA, con NIF A14049506, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/26 reducción, la sanción quedaría establecida en 240.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 240.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 180.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (240.000,00 euros o 180.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-110425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 7 de julio de 2025, PROCONO ha procedido al pago de la sanción en la cuantía de 180.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/26 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/26 III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 180.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, PROCONO ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 300.000,00 euros. Tras haber procedido PROCONO SA al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 180.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202317448, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a PROCONO SA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/26 CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  38. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  39. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaeps.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 936-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.