PS-00286-2025

1/35  Expediente N.º: EXP202318433 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de julio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a REAL SOCIEDAD DE FUTBOL S.A.D. (en adelante, REAL SOCIEDAD DE FUTBOL), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202318433 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos (AEPD) y en base a los siguientes HECHOS PRIMERO: En fecha 18 de octubre de 2023, se notificó a la AEPD una brecha de datos personales, remitida por la REAL SOCIEDAD DE FUTBOL S.A.D., con NIF A20424511 (en adelante, REAL SOCIEDAD DE FUTBOL), en tanto que responsable del tratamiento. De acuerdo con la mencionada notificación, REAL SOCIEDAD DE FUTBOL habría sufrido una brecha de confidencialidad y disponibilidad por ciber-incidente de tipo ransomware que afectó a datos personales de 60.000 interesados, viéndose afectados datos biométricos, datos básicos (nombre, apellidos, fecha de nacimiento, entre otros), imagen (fotos o vídeos), DNI, NIE, pasaporte y/o cualquier otro documento identificativo, datos económicos o financieros (sin medios de pago), datos de localización, datos de contacto, de salud (exclusivamente de empleados, los imprescindibles para la relación laboral). REAL SOCIEDAD DE FUTBOL informa que fue conscientes del ataque el 16/10/23, al descubrir que sus sistemas habían sido encriptados. La notificación de la brecha fue ampliada posteriormente, en fecha 20 de noviembre de 2023, en la que se adjunta documento con un Informe final del incidente, de fecha 4 de noviembre de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/35 De dicho documento se extrae la siguiente información relevante:        “La cliente sufrió un ataque de tipo ransomware utilizando artefactos, herramientas y malware avanzado para conseguir el mayor impacto posible, así como distintas técnicas y herramientas para poder borrar las huellas y el rastro dejado durante el ataque. Debido a las limitaciones presentes en la recolección y acceso de la telemetría de los dispositivos de seguridad perimetral, así como a las tareas de recuperación iniciadas por el proveedor local en los dispositivos impactados previas al inicio de la investigación, que han conllevado la eliminación de evidencias. NO se han podido verificar todas las hipótesis planteadas por el equipo DFIR ni recopilar todos los artefactos deseados. Acceso inicial: Toda la actividad anómala registrada e identificada tiene origen en el rango de IPs asociadas al pool de VPN, por lo que la hipótesis más plausible es que este haya sido el punto de entrada. Sin embargo, debido a las limitaciones de telemetría mencionadas anteriormente no se puede confirmar con certeza. Artefactos: se ha identificado el artefacto malware utilizado para desencadenar el cifrado y borrado de los servidores de la entidad. Sin embargo, debido a las tareas realizadas sobre el servidor no ha sido posible su recuperación para su análisis en profundidad. Impacto: el ataque ha afectado al 100% de los servidores virtualizados, dado que el ataque fue ejecutado desde los servidores ESXI del cliente. Variante de ransomware: mediante el modus operandi seguido por el atacante, así como la extensión de cifrado utilizado y la nota de rescate, se pude confirmar que se trata de la variante más reciente de la familia ransomware AKIRA. NO se han encontrado evidencias forenses que demuestren un exfiltrado de información, en gran parte debido a limitaciones tecnológicas del entorno. Adicionalmente no se han encontrado menciones al ataque en el blog de la banda. (…) CONCLUSIONES:  No se han encontrado indicios en las evidencias revisadas que puedan indicar que se ha producido una exfiltración de datos. Adicionalmente no se ha observado que el grupo atacante haya puesto a la venta o revindicado el ataque.  El objetivo del ataque ha sido la obtención de rédito económico mediante el uso de un malware de tipo ransomware. La nota de rescate utilizada y la extensión de los archivos cifrados y la muestra obtenida confirma que se trata de ransomware de la familia Akira.  Los artefactos y herramientas identificadas durante el ataque carecen de personalización por lo que tras completar la investigación por parte del equipo DFIR, se determina que posiblemente se trate de un ataque NO dirigido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/35 El protocolo de restauración proporcionado por el equipo DFIR ha permitido que la cliente vuelva de forma controlada y segura a producción en el menor tiempo posible.  La falta de telemetría de los dispositivos de seguridad, así como las tareas previas realizadas por terceros antes del inicio de la investigación por parte del equipo DFIR han conllevado que no sea posible esclarecer en su totalidad la cadena de ataque.  Toda la actividad anómala y/o maliciosa detectada tiene origen en el rango de IPs asociado al pool de la VPN por lo que se determina como hipótesis que este ha podido ser el punto de entrada. Sin embargo, debido a la ausencia de evidencias de este dispositivo no se puede asegurar al 100%. (…)  11.ISSUES Durante la investigación, el equipo de DFIR se enfrentó a los siguientes retos:     Las tareas de restauración realizadas por terceros antes del inicio de la incorporación del equipo DFIR para la gestión del mismo han eliminado evidencias que podían haber sido esclarecedoras para determinar la cadena de ataque completa. La velocidad de extracción de evidencias y aplicación de medidas de mitigación por parte de terceros han ralentizado la investigación, así como la vuelta a producción de una forma más rápida y eficiente. La falta de telemetría proporcionada por los sistemas de seguridad de la cliente dificulta e imposibilita la revisión de posibles procesos que estén relacionados con las muestras analizadas o creación de persistencia en los dispositivos. No fue posible la utilización de la herramienta de descifrado de Avast en los archivos impactados, dado que la versión de cifrado utilizada en el ataque no era compatible con la herramienta indicada. En fecha 18 de octubre de 2023, la entidad publicó en la página web del club un comunicado informando de lo siguiente: "La Real Sociedad comunica que ha sufrido un ciberataque que ha afectado a distintos servidores y bases de datos del Club. El Club ha puesto en marcha todos los recursos a su alcance para solventar el incidente e, igualmente, los servicios técnicos del Club han adoptado todas las medidas técnicas y organizativas necesarias para asegurar el correcto funcionamiento de los sistemas. Los hechos han sido puestos en conocimiento de las autoridades correspondientes". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/35 Igualmente, se comunicó por correo electrónico a todos los posibles afectados la filtración de la información por el ciberataque sufrido. SEGUNDO: En fecha 19 de octubre de 2023, se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la REAL SOCIEDAD DE FUTBOL relacionada con los hechos narrados en el antecedente anterior. El reclamante, abonado de la REAL SOCIEDAD DE FUTBOL, manifiesta que en fecha 18 de octubre de 2023, recibió un correo electrónico de la REAL SOCIEDAD DE FUTBOL en el que le informaban de un ciberataque recibido en sus servidores, por el cual se había accedido a los datos de los abonados (entre los que se encuentra). En concreto a nombre, apellidos, nº de DNI y número de cuenta corriente. Reclama por “la falta de seguridad de mis datos personales en los citados servidores”. Junto al escrito, aporta la comunicación recibida y que fue emitida por el Delegado de Protección de Datos de Real Sociedad de Fútbol, desde la dirección de correo electrónico ***EMAIL.1, en fecha 18/10/2023, con el siguiente texto: “Estimado abonado/accionista/RS Fan/RS Laguna: La Real Sociedad quiere comunicarle que los servicios informáticos del Club han detectado un ciberataque que ha afectado a distintos servidores en los que la Real Sociedad almacena datos identificativos y de contacto de sus abonados, accionistas, RS Fan y RS Laguna; incluyendo nombres, apellidos, números de DNI, direcciones de correo electrónico, direcciones de correo postal, números de teléfono y, en el caso de los/las abonados/as, también los números de cuenta bancaria en los que se realizan los cargos de los correspondientes abonos. Dadas las circunstancias, y atendiendo al hecho de que la incidencia anteriormente referida podría llegar a afectarle debido a que puede suponer la pérdida de control sobre sus datos personales o, eventualmente, una posible suplantación de su identidad, la Real Sociedad considera indispensable remitirle la presente comunicación y le recomendamos tener cautela ante posibles comunicaciones electrónicas sospechosas. Igualmente, y para su tranquilidad, queremos remarcar que los datos bancarios expuestos únicamente incluyen el número de cuenta en el que realizamos los cargos de sus abonos. Esto es, esta circunstancia no supondrá afecciones que, en última instancia, pudieran desembocar en posibles pérdidas financieras. Desde el primer momento hemos puesto en marcha todos nuestros recursos para solventar el incidente, adoptando todas las medidas técnicas y organizativas necesarias. Gracias a ello hemos asegurado nuestros sistemas, garantizando su correcto funcionamiento. De igual manera, hemos comunicado el incidente a las autoridades correspondientes, incluida la Agencia de Protección de Datos. En caso de que requiera alguna información adicional, puede contactar con nosotros mediante la dirección de correo ***EMAIL.1.” TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a LA REAL SOCIEDAD DE FUTBOL, para que procediese a su análisis e informase a esta Agencia en el plazo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/35 de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante, LPACAP), fue notificado electrónicamente en fecha 26 de diciembre de 2023, como consta en el justificante de recibo que obra en el expediente. En fecha 18 de enero de 2024, se recibe en esta Agencia escrito de respuesta de la REAL SOCIEDAD DE FUTBOL, en el que, en síntesis, manifiesta en primer lugar que, en fecha 16 de octubre de 2023, tuvieron conocimiento de que les habían encriptado los servidores. En concreto, señala: “(…) Se detecta que no se tiene acceso a los servicios de red. A las 9.30 am, (…), ven que todas las máquinas virtuales tienen la extensión “. akira”, además en todas las carpetas hay un fichero de texto llamado “Akira_readme.text”. En ese archivo se puede leer en inglés que nos han entrado y encriptado los servidores, y nos invitan a conectar vía TOR a un chat privado, en el que nos darán más instrucciones para proceder al pago del rescate, y así poder recuperar los servidores y evitar que nuestros datos sean publicados. Las copias de seguridad diarias también han sido encriptadas. Otros equipos que estaban encendidos durante el fin de semana y el propio NAS de la videoteca no han sido encriptados. A las 11.00 am de ese mismo día, el CLUB confirma en varias páginas web que es una intrusión. (…) a las 13.00 am el equipo de K35 empieza a evaluar el plan de restauración de servidores, ver qué copias de seguridad están intactas, ver la posibilidad de descrifrar el encriptado de las máquinas virtuales (…). Igualmente, se comprueba que la videoteca y otros ordenadores de la red no están afectados y también se comprueba si hay alertas en el administrador de Sophos, que nos indique por dónde han entrado. No hay alertas en este sentido (…)” En lo que respecta al número de personas afectadas por la violación de la seguridad de los datos, y tras los trabajos de investigación forenses realizados por expertos, afirma que la REAL SOCIEDAD está en disposición de asegurar que ningún abonado, accionista, RS Fan y RS Laguna del CLUB ha visto comprometidos sus datos. Atendiendo a los criterios técnicos empleados durante el análisis técnico forense llevado a cabo por la compañía (...), manifiesta que, desde la REAL SOCIEDAD DE FUTBOL, no se tiene constancia ni evidencia forense que sugiera que los datos de carácter personal se hayan visto comprometidos. Expone que, una vez llevadas a cabo todas las tareas técnicas para conocer la naturaleza, origen y alcance del ciberataque, la REAL SOCIEDAD dispone de elementos suficientes como para considerar que los hackers aprovecharon una vulnerabilidad de la (...), y consiguieron entrar a un ordenador personal conectado a la red local de las instalaciones deportivas de Zubieta. Presumiblemente desde ese equipo se conectaron a (...). En lo que respecta a las acciones tomadas para solucionar el incidente y minimizar su impacto sobre las personas afectadas, destaca:  (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/35     (…). (…). (…). (…). (…):   (…). (…). (…):   (…). (…). (…). (…). (…).  (…).  (…). Expone que, además, en el tiempo se han llevado a cabo varios experimentos de simulación de ataques a todos los empleados de REAL SOCIEDAD DE FUTBOL y el resultado ha sido satisfactorio. Afirma que “poca gente ha caído en la trampa”, siendo buena señal del trabajo concienciador que se está llevando a cabo. Señala que “en caso de ser víctima de la trampa, se propone la realización de un tutorial, pero la realidad es que nadie de las víctimas que han caído en el cebo lo ha hecho”. Además de todo esto, en el tiempo se ha ido impartiendo formación periódica respecto de contenido sensibilizador y formativo de INCIBE y de la AEPD. Entre las medidas que la REAL SOCIEDAD DE FUTBOL piensa adoptar para que no se vuelva a producir un incidente similar en el futuro, destaca: -(…). -(…). -(…). -(…). -(…). -(…). Junto al escrito adjunta notificación inicial de la brecha a la AEPD, ampliación de la notificación, informe final de la brecha de fecha 4 de noviembre de 2023 y escrito de la AEPDa la parte reclamada por el que se acusa recibo de la notificación. CUARTO: En fecha 19 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/35 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Cronología: 14/10/2023: Acceso con máquina “(...)”, desde (…). 15/10/2023: Acceso y (…). 16/10/2023: Fallo (…); Confirmación de la intrusión. Comienzo de la restauración (…); constatación de que las últimas copias de seguridad disponibles son del 3 de octubre. 17/10/2023: Cambio de contraseñas (...). Cierre de las VPN. 18/10/2023: Despliegue de (...). Publicación de nota en página web, y comunicación de la brecha a los afectados, por correo electrónico. Recuperación de los datos. 06/11/2023: Informe forense sobre la brecha Origen de la brecha: El informe forense de la brecha aportado por REAL SOCIEDAD DE FUTBOL indica que “Las tareas de restauración realizadas por terceros antes del inicio de la incorporación del equipo DFIR para la gestión del mismo han eliminado evidencias que podían haber sido esclarecedoras para determinar la cadena de ataque completa”, aunque indica que la brecha se produjo a causa de un ataque ransomware reivindicado por el grupo Akira, ejecutado (…), con impacto (…); señalando como el origen más probable (…). La entidad investigada manifiesta que la consecuencia del ataque fue el (...), y que no han encontrado evidencias de exfiltración de datos. El informe señala las vulnerabilidades detectadas: - Servicios publicados: en (…). - Indicadores de afección IoC, o Indicadores de Compromiso (…). - Cuentas de usuario comprometidas: (…). Asimismo, REAL SOCIEDAD DE FUTBOL manifiesta: “[…] la REAL SOCIEDAD dispone de elementos suficientes como para considerar que los hackers aprovecharon (…), y consiguieron entrar a un ordenador personal conectado a la red local de las instalaciones deportivas de Zubieta. Presumiblemente desde ese equipo (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/35 Consecuencias de la brecha: La entidad investigada manifiesta no haber sufrido daños o pérdidas a consecuencia de la brecha de datos personales. En la notificación inicial de la brecha, la entidad investigada manifestaba que en la brecha de datos personales se vieron afectados datos de aproximadamente 60.000 personas, y que resultó afectada la disponibilidad y confidencialidad de estos. En sus respuestas posteriores manifiesta que los datos no fueron exfiltrados. El informe forense indica que a consecuencia del cifrado de la totalidad de los servidores virtualizados se vio afectada la disponibilidad de los datos personales, asimismo, señala que, durante el análisis, no se encontraron evidencias de que la brecha hubiera afectado a la confidencialidad de estos “[…] no se han encontrado evidencias técnicas de que haya habido exfiltración de los datos personales […] no se ha observado que los datos personales hayan sido puestos a disposición de terceras partes interesadas, ni mencionados en ningún medio controlado por los atacantes tales como redes sociales, dark web, etc”. Medidas previas organizativas y técnicas de seguridad: La entidad investigada manifiesta que tras confirmar la brecha interviene “el equipo de K35” para la restauración de los servidores afectados. Solicitada copia del contrato con K35, la parte reclamada aporta como ANEXO 1 contrato con K35 IT MANAGERS GROUP S.L., de 1 de octubre de 2020, para la prestación de los servicios denominados “DIGITAL WORKPLACES” (soporte a usuarios) e “INFRAESTRUCTURA IT” (gestión y monitorización de la infraestructura IT). La entidad investigada manifiesta también que antes del incidente disponía de las siguientes medidas de seguridad: - (…). (…). (…). (…). Sobre la gestión de usuarios, manifiesta que “la entidad contaba con (…)”. Aporta como anexos 7 a 11 los documentos sobre gestión de incidentes y violaciones de seguridad de la información, política de conservación de los activos de información, política de control de software, política de nombres de usuarios y contraseñas, y política de permisos de acceso a redes y equipos, sobre las que manifiesta que “tenía implementadas antes de la detección del incidente de seguridad” pero que, al igual que los documentos RAT, AR y EIPD, no presentan fecha. Preguntada por las fechas de elaboración de esos documentos, manifiesta que “esto podría deberse a procesos internos de revisión […] orientados a la necesidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/35 adaptarse a las necesidades cambiantes de seguridad […] en un entorno de amenazas en constante evolución […]”. Tipos de datos afectados: En la denuncia presentada el 16 de octubre de 2023 ante la Ertzaintza, REAL SOCIEDAD DE FUTBOL manifestó que “En los servidores hackeados se encuentra información del club, tanto financieros, económicos, datos personales de socios y de aficionados”. El informe forense indica que se vieron afectados (…). En la notificación, la parte reclamada indica que en la brecha se vieron afectados datos de aproximadamente 60.000 personas, y los siguientes tipos de datos, que no estaban cifrados: - Biométricos Datos básicos (p. ej.: nombre, apellidos, fecha de nacimiento) Imagen (Fotos o vídeos) DNI, NIE, Pasaporte y / o cualquier otro documento identificativo Datos económicos o financieros (sin medios de pago) Datos de localización Datos de contacto De salud (exclusivamente de empleados, los imprescindibles para la relación laboral). La comunicación que REAL SOCIEDAD DE FUTBOL manifiesta haber remitido a los afectados, y recibida por la parte reclamante, indica los siguientes tipos de datos: - Nombre y apellidos DNI Correo electrónico Dirección postal Número de teléfono Número de cuenta bancaria de abonados/as. Preguntada de nuevo por la tipología de los datos afectados en el ataque, la REAL SOCIEDAD DE FUTBOL manifiesta que los archivos comprometidos contenían la siguiente información, relativa a abonados, accionistas y clientes: - Nombre Dirección Número de identificación personal Fecha de nacimiento Correo electrónico Número de teléfono Dirección postal Número de cuenta corriente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/35 Aporta RAT, en el que se detallan los tipos de datos de cada una de las actividades de tratamiento. Se extraen a continuación algunos otros, diferentes a aquellos que la REAL SOCIEDAD DE FUTBOL manifiesta o comunica que se vieron afectados, correspondientes a las actividades que el AR clasifica como tratamientos con riesgo alto (ver apartado siguiente, RAT, AR y EIPD): - ABONADOS: edad; discapacidad (seudonimizado); imágenes (fotos). - GESTIÓN DE PERSONAL LABORAL NO DEPORTIVO: Imagen/voz; número ss/mutualidad; firma; estado civil; datos familiares básicos; fecha de nacimiento; lugar de nacimiento; edad; sexo; nacionalidad; profesión; puesto de trabajo; datos no económicos de nómina; datos de deducciones impositivas e impuestos; historial del trabajador; formación/titulaciones; experiencia profesional; ingresos; datos económicos de nómina; datos de deducciones impositivas e impuestos; patrimonio; usuario; contraseña; logs; datos de navegación; certificado negativo de delitos sexuales; apto o no apto (prevención de riesgos laborales); control de presencia; grado de discapacidad. - GESTIÓN DE JUGADORES PROFESIONALES Y NO PROFESIONALES Y TÉCNICOS: imagen/voz; número ss/mutualidad; firma; estado civil; datos familiares básicos; fecha de nacimiento; lugar de nacimiento; edad; sexo; nacionalidad; profesión; puesto de trabajo; datos no económicos de nómina; datos de deducciones impositivas e impuestos; historial del jugador; formación/titulaciones; experiencia profesional; ingresos; datos económicos de nómina; datos de deducciones impositivas e impuestos; patrimonio; número cuenta bancaria; datos de carácter médico y psicológico; datos de carácter técnico/táctico y de rendimiento. - GESTIÓN DE CAMPUS Y EVENTOS: imagen/voz; edad; alergias. - SEGUNDAS OPINIONES MÉDICAS: datos e imágenes médicos; asociación/club de procedencia. Registro de Actividades de Tratamiento, Análisis de Riesgos y Evaluación de Impacto: Solicitados el Registro de Actividades de Tratamiento (RAT), el Análisis de Riesgos (AR) de las actividades de tratamiento de los datos personales almacenados en los servidores impactados, previos y posteriores al incidente y las Evaluaciones de Impacto (EIPD) de los tratamientos donde se hubiera producido la violación de seguridad de los datos personales, la REAL SOCIEDAD DE FUTBOL aporta los documentos RAT, AR y EIPD solo para la actividad de tratamiento “Abonados”. Manifiesta que estos documentos están “relacionados con los datos personales almacenados en los servidores impactados tras el incidente de seguridad notificado”. El Análisis de riesgos, en la pestaña “Cuestionario de riesgos”: - Para 25 actividades considera que “Es un tratamiento que pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/35 - En 10 actividades señala que “La finalidad del tratamiento implica el uso específico de datos de personas con discapacidad o cualquier otro colectivo en situación de especial vulnerabilidad”. - Identifica 6 actividades con tratamiento de datos especialmente protegidos (5 actividades tratan datos relativos a la salud, y 1 actividad trata datos relativos a la salud y a condenas y delitos penales). - Figura que el impacto que conlleva una pérdida o alteración de la información es alto en 6 actividades, medio en 19 actividades y bajo en 4 actividades. Como resultado, el AR clasifica 7 actividades de tratamiento con riesgo alto, 17 con riesgo medio y 5 con riesgo bajo. En las pestañas “Medidas Riesgo Bajo”, “Medidas Riesgo Medio” y “Medidas de Riesgo Alto - EIPD” se indican las de protección de los riesgos asociados a esos tratamientos. Entre las medidas de mitigación de riesgos se mencionan (…). En el “Resumen del Análisis”, el Análisis de riesgos indica que para 6 de las 7 actividades con riesgo alto resulta necesaria la realización de una EIPD. Corresponden a: “Abonados”; “Gestión de Personal Laboral NO deportivo”; “Gestión de Jugadores Profesionales y no Profesionales y Técnicos”; “Gestión de Peñas”; “Gestión de Campus y Eventos”; “Segundas opiniones médicas”. Solicitadas las evaluaciones de Impacto de los tratamientos (EIPD) donde se ha producido la violación de seguridad de los datos personales, aporta en solo la EIPD correspondiente a la actividad de tratamiento “Abonados”. Ésta incluye: descripción de los interesados; descripción y categoría de los datos tratados; base legitimadora del tratamiento y el juicio de ponderación; análisis de impacto sobre la privacidad (PIA); periodos de conservación. La pestaña “4. Identificación de amenazas” sitúa en la categoría “Errores y fallos” (referencia de amenaza A.1) entre otras las amenazas sobre la disponibilidad, integridad y confidencialidad de los datos y en la categoría “Ataques intencionados” (referencia de amenaza A.2) las amenazas relacionadas con el uso de privilegios de acceso, de información confidencial y de identidades, entre otras. En la pestaña “5. Evaluación de riesgos" asigna a la amenaza A.1 las referencias de riesgo R.1, R.2 y R.3 y a la amenaza A.2 a las referencias de riesgo R.8, R.9 y R.10, que describe: - R.1 (disponibilidad) como “Potencial borrado de información del interesado de la Real Sociedad, por errores humanos o problemas técnicos”; - R.2 (integridad) como “Posible utilización y/o transmisión a terceros no autorizados de datos de interesados e información confidencial registrada en los sistemas de información o documentos en papel” (confundiendo aparentemente su concepto con el de confidencialidad); - R.3 (confidencialidad) como “Posible robo de información relativa al interesado”; - R.8 (uso de privilegios de acceso) como “Abuso de privilegios de acceso y divulgación de información confidencial”; - R.9 (uso de información confidencial) como “Acceso a las unidades de red y sistemas informáticos en los que se alojan los datos del interesado”; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/35 - R.10 (uso de identidades) como “Conocimiento de los datos del interesado y uso con fines ilícitos”. En esa misma pestaña “5. Evaluación de riesgos", la EIPD otorga una valoración del riesgo inherente “Medio” a R.1, R.2, R.3, R.8, R.9 y R.10. Establece respectivamente para esos riesgos las siguientes medidas mitigantes: - C.1 “(…)”; C.2 “(…)”; C.3 “(…)”; C.8 “(…)”; C.9 “(…)”; C.10 “(…)”. Y asigna un riesgo residual “Bajo” para R.1, R.2, R.3 y R.10, y “Medio” para R.8 y R.9. En la pestaña “6. Plan de acción” de la EIPD se indican medidas adicionales mitigantes solo para los riesgos residuales “Altos” o “Muy Altos”, y por tanto no establece la aplicación de esas medidas adicionales (cuyo estado es “En proceso”) a los riesgos mencionados anteriormente. La EIPD concluye: “En base a los niveles de riesgos residuales que se han obtenido durante la fase gestión de riesgos se concluye que el tratamiento no entraña un alto riesgo para los derechos y libertades de los interesados. El tratamiento se ha confeccionado para aportar todas las garantías necesarias con el fin de proteger los derechos y libertades de los interesados”. Medidas reactivas: Ya se ha hecho referencia en el apartado “Origen de la brecha” a las vulnerabilidades detectadas en el informe forense, que también indica algunas “Áreas de mejora”. Entre paréntesis, se indica el grado de prioridad que establece ese informe: - Detección: (…) Prácticas de seguridad: (…). Estrategia: (…). Políticas internas: (…). REAL SOCIEDAD DE FUTBOL manifiesta haber adoptado las siguientes medidas tras la brecha: - (…). (…). (…). (…). (…). (…). (…). (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/35 - (…). Adicionalmente, manifiesta su intención de implementar las siguientes: - (…). (…). (…). (…). (…). Sobre la gestión de usuarios, la REAL SOCIEDAD DE FUTBOL manifiesta que “A raíz del ataque […] la cuenta de administrador de dominio ahora es única y se utiliza exclusivamente en situaciones que requieren una intervención específica”, y que cada uno de los usuarios administradores de dominio “ahora opera con su usuario individual”. Solicitada copia del contrato con S21Sec, la REAL SOCIEDAD DE FUTBOL aporta, como ANEXO 2 de contrato con S21Sec, de 17 de octubre de 2023, para la prestación de un servicio DFIR (elaboración de informe forense). Preguntada por el grado de aplicación de las medidas correctivas propuestas en el análisis forense de la brecha, la REAL SOCIEDAD DE FUTBOL manifiesta que aporta los documentos anexos I a VII, y señala las siguientes medidas: - (…). (…). (…). (…). (…). (…). (…). Adicionalmente, REAL SOCIEDAD DE FUTBOL manifiesta que están implementando medidas técnicas y organizativas de la norma ISO/IEC 27002, que actuó de manera diligente en la notificación de la brecha, y que ha implementado medidas técnicas y organizativas adicionales. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad REAL SOCIEDAD DE FUTBOL es una gran empresa, constituida en el año 1992, y con un volumen de negocios de 160.546.001 € euros, en el año 2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/35 LOPDGDD, es competente para iniciar y resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.

1. f)de la LPACAP. III Cuestiones previas La REAL SOCIEDAD DE FUTBOL es una gran empresa que tiene como objeto social la promoción, participación, explotación y comercialización de espectáculos deportivos. Para ello trata datos de carácter personal, entendiendo por dato de carácter personal: “toda información sobre una persona física identificada o identificable”. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/35 Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. El artículo 4 apartado 12 del RGPD define, «violación de la seguridad de los datos personales»: como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. En el presente caso, consta una notificación inicial de brecha de datos personales presentada, en fecha 18 de octubre de 2023, ante esta Agencia por parte de la REAL SOCIEDAD DE FUTBOL y una notificación posterior, efectuada en fecha 20 de noviembre de 2023. Se trata de una brecha de datos personales que afectó a la disponibilidad de los datos personales almacenados en todos los servidores virtualizados de la entidad, mediante el acceso a sus sistemas e instalación de ransomware. REAL SOCIEDAD DE FUTBOL manifiesta que los datos personales afectados por la brecha no estaban cifrados y que tras la brecha se inició la recuperación de la disponibilidad de los datos a partir del último backup disponible. IV Obligación incumplida. Principio de integridad y de confidencialidad. Establece el artículo 5.1.
2. f)del RGPD lo siguiente: “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Según las Directrices 9/2022, sobre la notificación de las violaciones de la seguridad de los datos personales en el marco del RGPD, se produce una «brecha de confidencialidad de datos confidencialidad» cuando se produce una revelación no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/35 autorizada o accidental de los datos personales, o el acceso a los mismos por terceros no autorizados; una «brecha de integridad de datos personales»: cuando se produce una alteración no autorizada o accidental de los datos personales; y una «brecha de disponibilidad de datos personales»: cuando se produce una pérdida de acceso accidental o no autorizada a los datos personales, o la destrucción de los mismos . El principio de integridad y confidencialidad, dentro del marco del RGPD, implica la obligación de garantizar que los datos personales se mantengan protegidos y disponibles, sin perjuicio de que únicamente puedan ser accesibles o modificados por aquellos que tienen autorización para su tratamiento, con el fin legítimo previsto por el responsable del tratamiento. En el caso que nos ocupa, de las actuaciones de investigación realizadas por la presente autoridad, se desprende una presunta vulneración del citado principio de integridad y confidencialidad. Así pues, consta una notificación inicial de brecha de datos personales presentada en fecha 18 de octubre de 2023, ante esta Agencia, por parte de la REAL SOCIEDAD DE FUTBOL y una notificación posterior, efectuada en fecha 20 de noviembre. Se trata de una brecha de datos personales que afectó a la confidencialidad y disponibilidad de los datos personales almacenados en todos los servidores virtualizados de la entidad, mediante el acceso a sus sistemas e instalación de ransomware. Así, en la notificación inicial de la brecha, la REAL SOCIEDAD DE FUTBOL manifiesta que se vieron afectados datos de aproximadamente 60.000 personas, resultando afectado la disponibilidad y confidencialidad de estos. Asimismo, el informe forense aportado indica que, a consecuencia del cifrado de la totalidad de los servidores virtualizados, se vio afectada la disponibilidad de los datos personales. El hecho de que los hackers aprovecharan (…), y consiguieran entrar a un ordenador personal conectado a la red local de las instalaciones deportivas de Zubieta y que presumiblemente desde ese equipo se conectaran a (…) a través de un ramsomware, constituye ya una manifestación de la vulneración del principio de integridad y confidencialidad, establecido en el citado artículo 5.1.
4. f)del RGPD. Las vulnerabilidades de la VPN en los que se encuentra el origen de la brecha de disponibilidad de los datos personales consistían, de acuerdo con el informe forense remitido por REAL SOCIEDAD DE FUTBOL, en la (…). Asimismo, ha de subrayarse, que tal y como señalaba REAL SOCIEDAD DE FUTBOL en su escrito de 18 de enero de 2024, sus copias de seguridad también fueron encriptadas, lo que significa que se encontraban en el mismo servidor, careciendo de utilidad práctica. En línea con lo anterior, que el hecho de que el ramsomware a través del cual se encriptaron los servidores, pudiera expandir a todos los servidores en red virtualizados, pone de manifiesto la ausencia de medidas destinadas a la segmentación de la red. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/35 Estas carencias, ponen de manifiesto una ausencia de medidas técnicas y organizativas íntimamente relacionadas con la brecha de disponibilidad exigidas por el artículo 5.1
5. f)del RGPD. Por otra parte, tal y como se ha subrayado, la brecha de disponibilidad de los datos personales afectó a la totalidad de los servidores virtualizados, tal y como ha reconocido REAL SOCIEDAD DE FUTBOL y se recoge en el informe del incidente aportado. Este hecho debe ponerse en relación con la tipología y categoría de los datos personales afectados, especialmente teniendo en cuenta que, según el RAT y tal y como se ha puesto de manifiesto durante las actuaciones previas de investigación, existen tratamientos de los siguientes tipos de datos personales, incluidos de categoría especial, que presumiblemente habrían de encontrarse en los servidores comprometidos (especialmente teniendo en cuenta que se trató del 100% de los servidores de red): datos de categoría especial (discapacidad, datos de carácter médico y psicológico de jugadores y segundas opiniones médicas, alergias, datos de riesgos laborales, certificados de delitos sexuales), así como imagen/voz, número de la seguridad social, mutualidad, firma, estado civil; datos familiares básicos; fecha de nacimiento; lugar de nacimiento; sexo edad; sexo; nacionalidad; profesión; puesto de trabajo; datos no económicos de nómina; datos de deducciones impositivas e impuestos; historial del trabajador; formación/titulaciones; experiencia profesional; ingresos; datos económicos de nómina; datos de deducciones impositivas e impuestos; patrimonio; usuario; contraseña; profesión; puesto de trabajo; datos no económicos de nómina; datos de deducciones impositivas e impuestos; historial del jugador; formación/titulaciones; experiencia profesional; ingresos; datos económicos de nómina; datos de deducciones impositivas e impuestos; patrimonio; número cuenta bancaria; datos de carácter técnico/táctico y de rendimiento. A este respecto (sobre la tipología y categoría de los datos afectados), REAL SOCIEDAD DE FUTBOL ha realizado múltiples afirmaciones de diversa índole. Así, mientras que en la denuncia presentada ante la Ertzaintza aseguran que “en los servidores hackeados se encuentra información del club, tanto financieros, económicos, datos personales de socios y de aficionados”. En las notificaciones de la brecha a la AEPD conforme al artículo 33 del RGPD, los días 18 de octubre de 2023 y 20 de noviembre de 2023, se aseguraba que los datos afectados fueron: datos biométricos, datos básicos (nombre, apellidos, fecha de nacimiento, entre otros), imagen (fotos o vídeos), DNI, NIE, pasaporte y/o cualquier otro documento identificativo, datos económicos o financieros (sin medios de pago), datos de localización, datos de contacto, de salud (exclusivamente de empleados, los imprescindibles para la relación laboral). Por otra parte, en su comunicación a la parte reclamante de 18 de octubre de 2023 aseguraba que los datos afectados eran: nombre y apellidos, DNI, dirección de correo electrónico, dirección postal, número de teléfono, dirección postal y número de cuenta corriente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/35 En su respuesta de 13 de mayo de 2024, asegura que los datos personales comprometidos fueron para abonados, accionistas y clientes: nombre y apellidos, dirección, números de identificación personal, fechas de nacimiento, correo electrónico, número de teléfono, dirección postal, número de cuenta corriente. Solicitada aclaración sobre la tipología de los datos afectados ante la diversidad de respuestas aportadas, la REAL SOCIEDAD DE FUTBOL asegura en su escrito de 7 de noviembre de 2024, que “eventualmente podría inferirse que el incidente afectó únicamente a los datos mencionados en la respuesta a los requerimientos de información realizados a la AEPD”. De la respuesta anterior, no queda acreditado, por tanto, que los datos personales afectados no fueran la totalidad de los datos personales presentes en los servidores y que se detallan en el RAT, a los que se ha hecho referencia previamente. Debe tenerse en cuenta que la brecha de disponibilidad afectó a la totalidad de los servidores red, sin que pueda acreditarse que no afectara a todos los datos personales incluidos en los mismos: datos de categoría especial (discapacidad, datos de carácter médico y psicológico de jugadores y segundas opiniones médicas, alergias, datos de riesgos laborales, certificados de delitos sexuales), así como imagen/voz, número de la seguridad social, mutualidad, firma, estado civil; datos familiares básicos; fecha de nacimiento; lugar de nacimiento; sexo edad; sexo; nacionalidad; profesión; puesto de trabajo; datos no económicos de nómina; datos de deducciones impositivas e impuestos; historial del trabajador; formación/titulaciones; experiencia profesional; ingresos; datos económicos de nómina; datos de deducciones impositivas e impuestos; patrimonio; usuario; contraseña; profesión; puesto de trabajo; datos no económicos de nómina; datos de deducciones impositivas e impuestos; historial del jugador; formación/titulaciones; experiencia profesional; ingresos; datos económicos de nómina; datos de deducciones impositivas e impuestos; patrimonio; número cuenta bancaria; datos de carácter técnico/táctico y de rendimiento. Conviene resaltar que el número de datos afectados en este caso para cada uno de los 60.000 afectados. En cuanto a la duración de la brecha de datos personales, se subraya que esta comenzó, de acuerdo con el informe forense aportado por REAL SOCIEDAD DE FUTBOL, el 14 de octubre de 2023 (aun cuando no fuera detectada) y se prolongó en el tiempo hasta, como mínimo hasta el 6 de noviembre de 2023, fecha de emisión del informe forense. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a REAL SOCIEDAD DE FUTBOL, por vulneración del artículo 5.1.
6. f)del RGPD. V Tipificación y calificación de la infracción De confirmarse, la citada infracción del artículo 5.1.
7. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/35 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
10. a)a
11. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
12. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
13. b)la intencionalidad o negligencia en la infracción;
14. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/35
15. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
16. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
17. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
18. g)las categorías de los datos de carácter personal afectados por la infracción;
19. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
20. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
21. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
22. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
23. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
24. a)El carácter continuado de la infracción.
25. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
26. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
27. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
28. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
29. f)La afectación a los derechos de los menores.
30. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
31. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/35 supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por infracción del artículo 5.1
32. f)del RGPD, procede cuantificar la sanción que se propone, considerando para ello que la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como del artículo 76.2 de la LOPDGDD anteriormente reproducidos. Lo anterior implica de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
33. b)y
34. g)y, en aquellos casos en los que el infractor sea una empresa, el volumen de negocios. En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de la REAL SOCIEDAD DE FUTBOL, que en el ejercicio 2024, ascendió a 160.546.001 € euros. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por la infracción podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de REAL SOCIEDAD DE FUTBOL es de 6.421.840 euros. En consecuencia, teniendo en cuenta el volumen de negocio de la REAL SOCIEDAD DE FUTBOL, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 20.000.000 euros. Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción se estima que concurren las circunstancias siguientes: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): los hechos conocidos inciden directamente en el control que los afectados tienen sobre sus datos personales. Asimismo, excede las expectativas razonables que los interesados puede prever sobre el tratamiento de sus datos personales. Así, los afectados confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas razonables de los afectados respecto al tratamiento de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/35 Por otra parte, sin perjuicio de que el procedimiento sancionador se tramite a raíz de una reclamación, los hechos conocidos ponen de manifiesto una ausencia de medidas técnicas y organizativas de todo tipo que ha redundado en una brecha con un número muy considerable de afectados, en concreto 60.000. Asimismo, debe subrayarse el elevado número de datos personales por cada afectado que se vieron comprometidos. La combinación de este tipo de datos personales eleva significativamente el nivel de riesgo para los derechos y libertades de sus titulares en la medida en que se produce una pérdida de control y disposición de los interesados respectos a todos y cada uno de sus datos personales. De esta manera, el servicio desempeñado o las funciones realizadas por REAL SOCIEDAD DE FUTBOL en favor de los titulares de los datos personales afectados, no pudo llevarse a cabo mientras tuvo lugar la brecha de datos personales, en la medida en que los datos personales no estaban disponibles en los servidores ni en las copias de seguridad. En cuanto a la duración de la infracción, esta se prolongó, como mínimo desde el 14 de octubre de 2023 hasta el 6 de noviembre de 2023. Por otra parte, el incumplimiento del principio de integridad y confidencialidad implica el incumplimiento del principio de responsabilidad proactiva previsto en el artículo 5.2 RGPD y desarrollado en el artículo 24, por el que los responsables del tratamiento no solo han de cumplir con lo previsto en el RGPD, sino que deben ser capaces de demostrarlo con un nuevo enfoque de adopción e implementación de medidas adecuadas al riesgo. Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): Las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso entre los datos personales objeto de la brecha para cada uno de los afectados, se incluye el número del DNI/pasaporte o NIE, así como cuentas bancarias. Por otra parte, entre los datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/35 presentes en los servidores a los que se privó el acceso, se encontraban datos de salud, datos relativos a condenas o posibles delitos sexuales, datos relativos al rendimiento laboral, entre otros. Asimismo, se consideran los siguientes factores en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): REAL SOCIEDAD DE FUTBOL, como consecuencia de su actividad empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados (abonados, accionistas, jugadores y clientes). La realización de su actividad principal, en tanto que club deportivo, implica forzosamente operaciones de tratamiento de datos personales. Así, la infracción se produce en el marco de un tratamiento de datos personales que habitualmente realiza el responsable en su negocio y que se encuentra estrechamente vinculado a este. Considerando los factores expuestos, la valoración inicial que alcanza la cuantía de la multa es de 60.000 euros por infracción del artículo 5.1
35. f)del RGPD. VII Obligación incumplida. Seguridad del tratamiento. Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
36. a)la seudonimización y el cifrado de datos personales;
37. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
38. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
39. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/35 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El Considerando 74 del RGPD, anteriormente reproducido, establece: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas.” Hay que señalar que el RGPD en el citado precepto no establece un listado de medidas, tampoco de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “