← España

PS-00313-2025

1/34  Expediente N.º: EXP202318311 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de julio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SOCIEDAD DE GESTIÓN DE ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A. (en adelante, SAREB), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202318311 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR ÍNDICE HECHOS....................................................................................................................... 2 PRIMERO. Notificación de brecha de STRATESYS..................................................2 SEGUNDO. Notificación de brecha de SAREB..........................................................3 TERCERO: Reclamación recibida..............................................................................3 CUARTO Traslado de la reclamación.........................................................................4 QUINTO: Admisión a trámite......................................................................................4 SEXTO. Actuaciones previas de investigación frente a STRATESYS TECHNOLOGY SOLUTIONS S.L........................................................................................................4 1.Notificaciones de la brecha ante AEPD................................................................4 2.Cronología de los hechos y las causas que hicieron posible la brecha................7 3.Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final.......................................................................10 4.Medidas técnicas y organizativas adoptadas para evitar incidentes como el sucedido............................................................................................................... 12 5.Informe forense realizado por ***EMPRESA.1...................................................13 6.Datos afectados.................................................................................................15 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/34 7.Contrato de encargado del tratamiento..............................................................15 SÉPTIMO. Actuaciones previas de investigación frente a SAREB...........................16 1.Medidas adoptadas por SAREB:.......................................................................17 2.Número de afectados y tipología de datos.........................................................18 3.Plazo de conservación de los datos personales................................................19 OCTAVO: Volumen de negocio................................................................................19 FUNDAMENTOS DE DERECHO.................................................................................20 I. Competencia......................................................................................................... 20 II. Procedimiento......................................................................................................20 III. Cuestiones previas..............................................................................................20 1.Aspectos generales del tratamiento...................................................................20 2.Responsabilidad por las infracciones.................................................................21 IV. Obligación incumplida. Artículo 5.1.

  1. f)RGPD Integridad y confidencialidad.........22 1.Régimen normativo y brecha producida.............................................................22 2.Causa de la brecha............................................................................................25 3.Tipos de datos afectados y número de personas...............................................25 4.Insuficiencia de las medidas para garantizar la confidencialidad y la disponibilidad........................................................................................................26 5.Conclusiones.....................................................................................................29 V. Tipificación de la infracción del artículo 5.1.
  2. f)del RGPD y calificación a efectos de prescripción.............................................................................................................. 29 VI Propuesta de sanción por el incumplimiento del artículo 5.1.
  3. f)RGPD.................30 VII. Obligación incumplida. Artículo 28 RGPD. Encargado del tratamiento..............33 VIII. Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de prescripción.............................................................................................................. 36 IX. Propuesta de sanción por el incumplimiento del artículo 28 RGPD...................37 X. Medidas correctivas.............................................................................................38 SE ACUERDA:............................................................................................................. 39 PRIMERO: Inicio de procedimiento sancionador......................................................39 SEGUNDO: Designación de instructor.....................................................................39 TERCERO: Incorporación de documentación al expediente....................................40 CUARTO: Posible sanción.......................................................................................40 QUINTO: Notificación y plazo de alegaciones..........................................................40 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/34 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO. Notificación de brecha de STRATESYS Con fecha de 30/08/2023 se notificó a esta Agencia por parte de la sociedad STRATESYS TECHNOLOGY SOLUTIONS S.L., con NIF B81866014 (en adelante, STRATESYS) una brecha de datos personales categorizada como de confidencialidad y disponibilidad. La información aportada fue posteriormente ampliada mediante notificación de la misma sociedad de 26/09/2023. Conforme a ambos escritos, dicha empresa había sufrido un ciberataque que afectó a la confidencialidad y disponibilidad de los datos personales. Se indica que como consecuencia del robo de información de STRATESYS por parte del ***PROGRAMA.1, el equipo de ciberseguridad de STRATESYS ha monitorizado de forma continua el sitio de la deepweb donde dicho ***PROGRAMA.1 ha reivindicado el ataque, para detectar lo antes posible la filtración de la información que pudieron sustraer de nuestros sistemas y poder comprobar con la mayor brevedad el tipo de información de que se trata. El martes día 26 de septiembre de 2023, STRATESYS consiguió acceder a la información (…). Tras analizar dicha información, habrían descubierto que entre la misma se encuentra información sensible sobre clientes a los que STRATESYS, presta (…). Entre el listado de empresas a la que presta servicio se encuentra la SOCIEDAD DE GESTIÓN DE ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A. con NIF A86602158 (en adelante, la parte reclamada o SAREB). SEGUNDO. Notificación de brecha de SAREB Con fecha de 06/10/2023 se notificó a esta Agencia por parte de SAREB una brecha de datos personales categorizada como de confidencialidad y disponibilidad. La información aportada fue posteriormente ampliada mediante notificación de la misma sociedad de 02/11/2023. Conforme a ambos escritos, el día 3 de octubre de 2023 a las recibió la comunicación por parte del proveedor STRATESYS que se había producido una brecha que afectaba (…). Se trataría, por lo tanto, de la notificación a esta Agencia de la misma brecha sufrida por STRATESYS, en la que esta última tendría la condición de encargado del tratamiento y SAREB, de responsable del tratamiento. En la brecha se habrían visto afectados (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/34 TERCERO: Reclamación recibida Con fecha 17 de octubre de 2023 se presentó una reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a SAREB. El reclamante manifiesta ser (…) recibió una comunicación por correo electrónico en el que la entidad le informaba de que sus datos personales vinculados (…). Junto al escrito, se aporta copia del correo electrónico de comunicación de la existencia de la brecha, remitido por SAREB, como responsable del tratamiento, a la parte reclamante. CUARTO Traslado de la reclamación De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación tanto a SAREB como a STRATESYS, para que procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Ambas entidades han dado respuesta a la solicitud de información en fechas de 25/01/2024 y 26/01/2024 respectivamente. QUINTO: Admisión a trámite Con fecha 17 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. SEXTO. Actuaciones previas de investigación frente a STRATESYS TECHNOLOGY SOLUTIONS S.L. La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Durante estas actuaciones se investigó a la entidad: STRATESYS 1. Notificaciones de la brecha ante AEPD a. Respecto a la notificación de STRATESYS: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/34 La brecha sufrida por el proveedor STRATESYS es notificada inicialmente por esta entidad a la AEPD con fecha de registro 30/08/23 ampliándose posteriormente con fechas de registro 26/9/23 y 2/10/23). Se trata de una brecha de confidencialidad y disponibilidad causada por el ciberincidente de tipo ransomware que afectó al (…) que actúa como encargado. STRATESYS es una empresa que (…): "(…)". STRATESYS añade la siguiente información en las comunicaciones de la brecha: - (…). - (…). - (…). - (…). - (…). - (…): (…) - (…) En la última de las comunicaciones STRATESYS pone de manifiesto que sospecha que se ha sustraído información sensible con datos personales de los empleados de los clientes (empresas y entidades a las que presta servicios). Entre ellas, SAREB a. Respecto a la notificación de SAREB: Por lo que a la brecha de SAREB se refiere, la brecha es notificada inicialmente a la AEPD el 06/10/23 y ampliada posteriormente el 2/11/23. SAREB incluye la siguiente información en las comunicaciones de la brecha: - (…). - (…). - (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/34 - (…). - (…): (…) - (…) - Afirma que han puesto el incidente en conocimiento de autoridades policiales. - Expone que las personas afectadas han sido informadas con fecha 10 de octubre de 2023 mediante comunicación dirigida personalmente a cada afectado (postal, email, SMS o similar). - En el informe aportado junto a la segunda notificación, SAREB manifiesta que, por fuentes públicas, (…) ha sido deshabilitado por la Europol junto con otras autoridades y que a fecha de deshabilitar el sitio web no se había habilitado el link para la descarga de la información de SAREB. - Indica como fecha de resolución el 30 de octubre de 2023. - A juzgar por la comunicación remitida a la parte reclamante, la brecha ha afectado a exempleados que prestaron servicio entre noviembre de 2013 y febrero de 2017. 1. Cronología de los hechos y las causas que hicieron posible la brecha. Tal como explica STRATESYS en su escrito de respuesta al requerimiento: “• Con fecha 24 de agosto de 2023, (…); • Con fecha 27 de agosto de 2023, (…); • El 28 de agosto de 2023, en torno a las 8 am (…). • Con fecha 28 de agosto de 2023, (…). • Tras las averiguaciones y análisis inicial del incidente de seguridad sufrido, se concluyó que el incidente había afectado a (…). • Con fecha 31 de agosto de 2023, y con el objetivo de analizar la información afectada se contactó con una empresa (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/34 • El 4 de septiembre de 2023, con la ayuda de la mencionada empresa experta en recuperación de datos (…). • (…). Adicionalmente, de las averiguaciones practicadas, se ha podido concluir que • A partir de este momento, el Departamento de Ciberseguridad de STRATESYS (…), detectando que: • • • • (…). (…). (…). (…). • El mismo día 29 de septiembre, esta mercantil reporta estos nuevos hallazgos a la AEPD como encargados del tratamiento en el comunicado con Número de registro: (...). • En los días que siguen y tras un análisis de la información detectada, se comunicó a todos los clientes afectados, poniéndonos a su disposición para darles soporte y apoyo en todo lo que pudieran requerir. • El día 19 de octubre de 2023, la INTERPOL desmanteló el site de los atacantes (…). (…). • En ningún momento el enlace de descarga de la información sustraída a STRATESYS por los atacantes fue habilitado en su site de la deepweb, lo que dificulta que terceros pudieran acceder o descargar esta información.” STRATESYS reconoce un error humano y (…): “Para los servicios prestados en ese cliente, los datos se alojaban en los (…). […] (…). […] (…). (…).” Requerido el motivo por el cual la información relativa a los empleados de SAREB se encontraba almacenada en el servidor de ficheros del segmento de (…) afectado por el ciberataque, STRATESYS refiere de nuevo que: “(…). (…). 2. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/34 Con relación a las acciones tomadas con objeto de minimizar los efectos adversos y las medidas adoptadas para su resolución final, la parte reclamada aclara en su escrito de respuesta al traslado de la reclamación: “(…): • • • • • • • • • • • (…). (…). (…). (…). (…). (…). (…). (…). (…) (…). (…). Se constata que el día 28 de agosto de 2023, STRATESYS notificó el incidente ante la Guardia Civil, INCIBE y CCN-CERT mediante un correo con el asunto Ciberataque de (…)". Respecto de las medidas de seguridad implantadas (…). Solicitada confirmación de la existencia de (…), la parte reclamada manifiesta en su escrito de respuesta al requerimiento de información: “(…). Tras el incidente, (…).” (…) “(…)” (…). (…): (…). Por su parte, el documento “***DOCUMENTO.1” tiene fecha 28-06-2023 y define la monitorización, bastionado, políticas de usuarios y contraseñas, etc. Específicamente indica tanto para los servidores como para la seguridad perimetral: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/34 “(…).” “(…).” 3. Medidas técnicas y organizativas adoptadas para evitar incidentes como el sucedido. STRATESYS informa en su escrito de respuesta al traslado de la reclamación que “se han tomado otras medidas de garantía y prevención adicionales tendentes a evitar se vuelva a producir un incidente similar en el futuro, entras las que destacan las siguientes: • • • • • • • • (…). (…). (…). (…). (…). (…). (…). (…). 4. Informe forense realizado por ***EMPRESA.1 Solicitado la copia del análisis forense realizado tras la brecha, STRATESYS remite el informe elaborado por la empresa externa de seguridad ***EMPRESA.1 “Revisión técnica del proceso de respuesta ante incidentes” elaborado por ***EMPRESA.1 en Octubre de 2023. En este documento se especifican los sistemas afectados y los sistemas recuperados, así como la infraestructura afectada, la cronología del ataque y la cronología de acciones realizadas. Como conclusiones, el informe establece: “(…): I. (…). II. (…). III. (…). IV. (…). V. (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/34 ***EMPRESA.1 incluye en el informe una tabla en la que, además de estas conclusiones, especifica las Fortalezas y las Mejoras potenciales para cada una de las fases antes y durante el incidente: Prevención, Detección, Análisis y respuesta y Recuperación. Como Mejoras potenciales, se especifican: 1 (…). 2 (…). 3 (…). 4 (…). 5. Datos afectados STRATESYS indica que resultaron afectados inicialmente 7.200 personas (valor estimado), de las cuales 360 personas (valor estimado) serían empleados de SAREB. ▪ (…): o o o o ▪ (…). (…). (…). (…). (…): o o o o o (…). (…). (…). (…). (…). 6. Contrato de encargado del tratamiento STRATESYS aporta copia del contrato de encargado del tratamiento, actuando esta entidad en calidad de encargada y SAREB como responsable del tratamiento, firmado por ambos con fecha ***FECHA.1. El contrato de encargo actúa como Adenda (…). En este contrato de encargo, se comprueba que constan, entre otros aspectos: - (…).” - (…) […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/34 (…)” - “(…): • (…). • (…). • (…). • (…).” - “(…)” - (…): .- (…) .- (…) .- (…) .- (…) .- (…) .- (…). SÉPTIMO. Actuaciones previas de investigación frente a SAREB La Subdirección General de Inspección de Datos procedió, adicionalmente y como trámite diferente a las anteriores actuaciones, a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Durante estas actuaciones se investigó a la entidad: SAREB En relación con los aspectos relacionados con la producción de la brecha, cronología de los hechos, medidas previas y posteriores a la misma, SAREB transmite sustancialmente la misma información que la ya aportada en las actuaciones previas de investigación frente a STRATESYS. A continuación, se resumen los aspectos de interés resultantes de estas actuaciones previas frente a SAREB. SAREB relata pormenorizadamente todas las reuniones y contactos mantenidos con STRATESYS para determinar las causas y el alcance de la brecha de datos personales. 1. Medidas adoptadas por SAREB: “• (…). • (…).” En relación con la posible publicación de los datos exfiltrados: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/34 (…) (…): • (…). Asimismo realizó lo siguiente:  (…).  (…).  (…).  (…). (…): - (…). - (…). - (…).” 1. Número de afectados y tipología de datos SAREB informa que “(…).” Respecto a las categorías de Datos Personales afectadas, la parte reclamada especifica en su escrito de respuesta al traslado de la reclamación: “(…): (…) (…): • (…). • (…). • (…).” (…). 2. Plazo de conservación de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/34 Solicitado el motivo por el cual se conservan los datos de la parte reclamante años después de finalizar su relación contractual, la parte reclamada manifiesta en su escrito de respuesta al requerimiento de información: “De acuerdo con la Ley Orgánica 7/2012, de 27 de diciembre, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal en materia de transparencia y lucha contra el fraude fiscal y en la Seguridad Social y la Ley 58/2003, de 17 de diciembre, General Tributaria, el plazo de prescripción de los delitos contra la Seguridad Social y contra la Hacienda Pública asciende a 10 años, lo que implica la obligación de conservar los datos utilizados para el cálculo de las cotizaciones sociales y retenciones salariales durante dicho periodo, a fin de garantizar su disponibilidad para la acreditación de obligaciones fiscales o sociales en caso de ser requerido por la Hacienda Pública y por la Seguridad Social, contribuyendo así a la prevención y detección de posibles infracciones.” En ese mismo escrito, SAREB aclara: “no debe confundirse entre los datos del Reclamante presentes en los sistemas de información de SAREB (objeto del derecho de acceso ejercitado) y los datos afectados por la brecha de datos personales del encargado, que se reducen a aquellos a los que STRATESYS tuvo acceso por cuenta y en nombre de SAREB, de manera necesaria, para la prestación del servicio realizado por este proveedor. El volumen de los segundos es mucho más reducido que el de los primeros, no habiéndose comprometido la confidencialidad de gran parte de esta información a causa del incidente sufrido por STRATESYS.” OCTAVO: Volumen de negocio De acuerdo con el informe recogido de la herramienta AXESOR, la entidad SAREB es una empresa con (…) y con un volumen de negocios de 2.118.629.000 euros en el año 2023. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/34 II. Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  4. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III. Cuestiones previas 1. Aspectos generales del tratamiento El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/34 persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. 1. Responsabilidad por las infracciones En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que SAREB realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, entre ellos datos (…). SAREB realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad en virtud del artículo 4.7 del RGPD. Por su parte, STRATESYS tiene la consideración de encargado del tratamiento, a cuyos efectos tanto dicha empresa como SAREB han aportado (…). Tanto en las notificaciones relativas a la brecha como en sus contestaciones a los requerimientos de información de la Inspección de esta Agencia, defiende SAREB su ausencia de responsabilidad respecto de los hechos acontecidos en atención a dos factores. Por una parte, (…). Por otra parte, alega que tenía celebrado el oportuno contrato de encargo de tratamiento de datos personales con dicha empresa. En él figurarían las instrucciones al encargado en relación con el citado tratamiento. En el supuesto actual, conforme a la información facilitada por SAREB, las prestaciones encomendadas al encargado del tratamiento serían las del (…). La existencia de un encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que podrá decidir realizar por sí mismo determinadas operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un encargado. Es decir, que el encargado, para serlo, no ostenta ningún interés propio respecto del resultado del tratamiento objeto de encargo, sin perjuicio de la compensación económica que recibe por el servicio prestado y que es lo que acontece en el presente caso. Los encargados no tienen ningún interés propio, actúan por cuenta y en nombre del responsable, cumpliendo sus órdenes y para las finalidades de éste, y esto es lo que determina que sean encargados desde el principio. Ello determina que responde el responsable del tratamiento de actuaciones contrarias al RGPD llevadas a cabo por sus encargados del tratamiento, a salvo que estos últimos hubieran actuado como verdaderos responsables del tratamiento, decidiendo sobre los fines y medios del tratamiento, tal y como prevé el apartado 10 del artículo 28 del RGPD, cuestión que no ha acontecido en el presente supuesto. Analizado el contrato de encargo del tratamiento aportado por SAREB, se observa que se limita a contener una serie de previsiones generales en relación con el mencionado tratamiento. A modo de ejemplo, en relación con las medidas de seguridad que deben establecerse por el encargado, en el contrato se resumen más bien una serie de objetivos, y no de medidas concretas (garantizar la confidencialidad, adoptar medidas técnicas y organizativas teniendo en cuenta los riesgos, adoptar todas aquellas otras medidas técnicas, jurídicas y organizativas que le traslade el responsable, a tenor del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/34 análisis de riesgo que efectúe, que resulten necesarias para garantizar un nivel de seguridad adecuado). Pero no figuran medidas concretas, ni por parte del responsable del tratamiento se han aportado instrucciones que, en ejecución del contrato, haya dirigido al encargado del tratamiento. Por lo demás, si bien en el contrato de encargo está reflejada la posibilidad de que por parte del responsable del tratamiento se realicen auditorías de cumplimiento del encargado, nada se ha aportado por aquel en relación con este aspecto, con lo que los indicios apuntan a que el responsable se limitaba a imponer formalmente las obligaciones en el contrato, sin supervisar si realmente se cumplían. La responsabilidad, por lo tanto, recae sobre el responsable del tratamiento, quien determina los medios y los fines del tratamiento. En este supuesto, SAREB IV. Obligación incumplida. Artículo 5.1.
  5. f)RGPD Integridad y confidencialidad 1. Régimen normativo y brecha producida La letra
  6. f)del artículo 5.1 del RGPD establece: "1. Los datos personales serán: (…)
  7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En el presente caso, se ha producido una brecha de confidencialidad y disponibilidad de los datos personales responsabilidad de SAREB. Pérdida de confidencialidad En relación con la pérdida de confidencialidad, en el informe de actuaciones previas de investigación relativo a la actuación de STRATESYS, se recoge lo siguiente: En relación con el acceso a los datos por el atacante: “(…); (…); (…).” En relación con la posible publicación de los datos exfiltrados: “(…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/34  (…).  (…).  (…). (…) Existen indicios, por lo tanto, de que al menos el atacante tuvo acceso a los datos exfiltrados. En cuanto a la publicación de los mismos, si bien se afirma que el enlace de descarga no llegó a estar habilitando en ningún momento, lo cierto es que los técnicos de STRATESYS lograron acceder a al menos parte de la información que estaba en poder del atacante. La confidencialidad de los datos, por lo tanto, quedó afectada. Pérdida de disponibilidad. La brecha afectó a la disponibilidad de los datos tanto por el responsable como por el encargado del tratamiento. A este respecto, en el informe de actuaciones previas de investigación de STRATESYS se constata lo siguiente: (…). (…). Cabe añadir a esto que, en ambas notificaciones de brecha, de STRATESYS y SAREB (…). Se produjo, por lo tanto, una brecha de confidencialidad y de disponibilidad. 1. Causa de la brecha El vector de entrada del ataque es objeto de análisis en el informe de actuaciones previas de investigación tras el análisis de toda la documentación obrante en el expediente. En las conclusiones que figuran en dicho informe se indica lo siguiente: (…). (…). Confluyeron, por lo tanto, dos errores que posibilitaron el ciberataque. (…). 2. Tipos de datos afectados y número de personas De acuerdo con la notificación realizada por SAREB, serían los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/34 “(…): (…) (…): • (…). • (…). • (…).” (…). 3. Insuficiencia de las medidas para garantizar la confidencialidad y la disponibilidad La falta o quebrantamiento de medidas para garantizar estos aspectos se constata en el informe de actuaciones previas de investigación. (…). Pero, además, la (…).” Asimismo, en el citado informe se señala el establecimiento de esta medida como posterior a la brecha:  “(…).  (…).” (…). (…). (…): “(…).” La conjunción de ambos factores facilitó tanto el acceso por el atacante a los datos, como el hecho de que estos pudieran ser vistos y extraídos en claro. (…): “(…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/34 (…): “(…).” (…). (…). “(…): I. (…). II. (…). III. (…). IV. (…).” 1. Conclusiones De conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a SAREB, por vulneración del artículo 5.1.
  8. f)del RGPD transcrito anteriormente. V. Tipificación de la infracción del artículo 5.1.
  9. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  11. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  12. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  13. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  14. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/34 con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción por el incumplimiento del artículo 5.1.
  16. f)RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  17. a)a
  18. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  19. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  20. b)la intencionalidad o negligencia en la infracción;
  21. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  22. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  23. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  24. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  25. g)las categorías de los datos de carácter personal afectados por la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/34
  26. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  27. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  28. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  29. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  30. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  31. a)El carácter continuado de la infracción.
  32. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  33. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  34. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  35. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  36. f)La afectación a los derechos de los menores.
  37. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  38. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de SAREB, que asciende a 2.118.629.000 euros en el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/34 Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): (…). (…). (…). • Negligencia en la infracción (artículo 83.2, letra b), del RGPD). Debe considerarse especialmente grave la negligencia cometida en la producción de la brecha. No se trata de que el responsable debiera tener previstas medidas adicionales a las que ya tenía, (…). • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD). (…). Especial referencia merece el dato del número de DNI. Se trata de un tratamiento sobre un dato sensible, pues permite la identificación directa e inequívoca de una persona física. Tal y como establece el Real Decreto 1553/2005, el DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento especialmente sensible dentro del ecosistema de datos personales. Además, su utilización indebida conlleva un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Por ello, una interpretación sistemática y finalista del RGPD —conforme a los considerandos 51 y 75— permite considerar el DNI como un dato particularmente sensible, atendiendo a su capacidad de provocar per-juicios significativos en caso de uso no autorizado. En este sentido, De acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, a la hora de valorar esta circunstancia, no solo debe hacerse referencia a los “tipos de datos cubiertos por los artículos 9 y 10 del RGPD, sino también a los datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas al interesado”. Entre estos, señala, de manera expresa los números documentos de identidad. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La afectación a los derechos de los menores (artículo 76.2, letra f), de la LOPDGDD). A este respecto, (…). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/34 artículo 5.1.
  39. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 250.000,00 euros. VII. Obligación incumplida. Artículo 28 RGPD. Encargado del tratamiento Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD que estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. (…) 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. En el curso de la investigación, tanto SAREB como STRATESYS han aportado una copia del contrato de encargo para el tratamiento de datos personales, en el que figuran la primera como responsable del tratamiento y la segunda como encargada. (…). En relación con este aspecto, SAREB como responsable del tratamiento ha informado lo siguiente: - En el documento denominado “(…): (…). (…).” En contestación al requerimiento del inspector sobre esta cuestión, SAREB contesta lo siguiente: “De acuerdo con la Ley Orgánica 7/2012, de 27 de diciembre, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/34 materia de transparencia y lucha contra el fraude fiscal y en la Seguridad Social y la Ley 58/2003, de 17 de diciembre, General Tributaria, el plazo de prescripción de los delitos contra la Seguridad Social y contra la Hacienda Pública asciende a 10 años, lo que implica la obligación de conservar los datos utilizados para el cálculo de las cotizaciones sociales y retenciones salariales durante dicho periodo, a fin de garantizar su disponibilidad para la acreditación de obligaciones fiscales o sociales en caso de ser requerido por la Hacienda Pública y por la Seguridad Social, contribuyendo así a la prevención y detección de posibles infracciones.” Por su parte, STRATESYS ha aportado en relación con este aspecto la siguiente información: “Conforme a la política de privacidad de Stratesys y en virtud del principio de limitación del plazo de conservación, como regla general, los datos personales se suprimen cuando dejan de ser necesarios para cumplir con la finalidad para la que fueron recabados (ej. la finalización del contrato que vincula al responsable del tratamiento con el encargado de tratamiento). Sin perjuicio de ello, de manera excepcional, los datos personales pueden ser conservados durante un periodo de tiempo determinado si se dieran determinadas circunstancias como podría ser el cumplimiento de una obligación legal.” Toda vez que STRATESYS actúa en este asunto como encargado del tratamiento, consultado el contenido del contrato de encargo, se observa que la única previsión que este contiene en relación con la conservación de los datos personales por parte del encargado sería la siguiente (cláusula séptima): “7. Obligación de destrucción de los datos finalizado el encargo. (…). Analizado el resto del contrato de encargo, no figura ninguna previsión adicional sobre el plazo de conservación de datos por parte del encargado del tratamiento. Puede comprobarse, por lo tanto, que ninguna previsión se incluye en el contrato de encargo acerca del período de conservación de los datos por parte del propio encargado del tratamiento. Así, parecería que, conforme la cláusula anterior, el encargado conservaría todos los datos personales objeto de tratamiento hasta el momento en que concluyera la vigencia del contrato, por prolongada que esta fuera. El encargado del tratamiento trata datos por cuenta del responsable, y la relación jurídica, que obliga a ambos, debe estar claramente determinada en el contrato de encargo del tratamiento. Adicionalmente, el responsable debe emitir, en cuanto sea necesario por no ser suficientemente concretas las cláusulas contractuales, instrucciones concretas posteriores adecuadas para ejecutar el encargo. El contenido obligatorio del contrato que se prevé en el artículo 28.3 RGPD implica una obligación tanto formal como material que recae principalmente en el responsable del tratamiento. Así, el mencionado contrato no puede limitarse a reproducir de manera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/34 genérica la redacción de dicho precepto, ya que de ese modo no se cumple verdaderamente con la obligación prescrita en el RGPD. En el supuesto aquí analizado, puede considerarse que SAREB no ha dado debido cumplimiento al artículo 28 del RGPD, puesto que los plazos de conservación de los datos personales deben ser aplicados con independencia de por quién se realice materialmente el tratamiento, sea este el responsable o el encargado. El contrato de encargo tiene que incorporar y estar adaptado a los plazos de conservación del tratamiento. A este respecto, carece de sentido que el responsable suprima los datos cuando procede en aplicación del principio del artículo 5.1.
  40. d)del RGPD mientras que el encargado los mantuviera indefinidamente hasta la finalización del contrato (que podría tener una duración superior a la de la conservación de los datos) La previsión contractual que indica que, a elección del responsable, el encargado suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento en nada altera este incumplimiento, toda vez que, como se ha dicho, resultaría de aplicación únicamente al finalizar la vigencia del contrato. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a SAREB, por vulneración del artículo 28 del RGPD transcrito anteriormente. VIII. Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  41. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;
  42. b)las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
  43. c)las obligaciones de la autoridad de control a tenor del artículo 41, apartado 4." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/34 vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  44. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679." IX. Propuesta de sanción por el incumplimiento del artículo 28 RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como del artículo 76 de la LOPDGDD, ya reproducidas en el fundamento jurídico sexto de este acuerdo de inicio. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de SAREB de 2.118.629.000 euros en el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). (…) • Negligencia en la infracción (artículo 83.2, letra b), del RGPD). Debe considerarse la negligencia como grave. El mantenimiento de los datos durante períodos muy prolongados de tiempo (recordemos que los más antiguos de los afectados por la brecha databan de diciembre de 2013) creaba una situación de riesgo innecesaria para datos que podrían haber sido suprimidos de haber estado determinados los plazos. De este modo, es perfectamente posible que muchos de los datos en poder del encargado no habrían sido afectados por el ciberataque de haberse implementado una política clara y eficaz de supresión de los datos tras el transcurso de los plazos. Y a este respecto debe recordarse que, si bien el encargado del tratamiento podría estar sujeto a cumplimento de obligaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/34 legales a que hace referencia en sus contestaciones, más dudoso parece que lo esté el encargado del tratamiento, que no establece los medios y los fines. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD). (…). • La afectación a los derechos de los menores (artículo 76.2, letra f), de la LOPDGDD): (…). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 28 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 50.000,00 euros. X. Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 28 del RGPD y Artículo 5.1.
  45. f)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  46. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado.” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a SAREB para que, en el plazo de TRES MESES a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, tanto para garantizar el cumplimiento de los principios de integridad y confidencialidad, así como la implementación de las medidas de seguridad del tratamiento adecuadas a los riesgos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/34 - Acreditar la celebración y vigencia del correspondiente contrato de encargo del tratamiento con quien en el momento actual desarrolle, en su caso, las funciones encomendadas por SAREB objeto de este expediente, con el contenido adaptado al artículo 28 del RGPD. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: Inicio de procedimiento sancionador INICIAR PROCEDIMIENTO SANCIONADOR a la SOCIEDAD DE GESTIÓN DE ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A., con NIF A86602158, - Por la presunta infracción del artículo 5.1.
  47. f)del RGPD, tipificada en el artículo 83.5 del mismo Reglamento - Por la presunta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 del mismo Reglamento SEGUNDO: Designación de instructor NOMBRAR como instructor a A.A.A. y, como secretaria, a B.B.B., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/34 TERCERO: Incorporación de documentación al expediente INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: Posible sanción QUE a los efectos previstos en el art. 64.2
  48. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de - Multa administrativa de 250.000 euros, por la infracción del artículo 5.1.
  49. f)del RGPD - Multa administrativa de 50.000 euros por la infracción del artículo 28 del RGPD Ello hace un total de TRESCIENTOS MIL EUROS (300.000€). Todo ello sin perjuicio de lo que resulte de la instrucción. QUINTO: Notificación y plazo de alegaciones NOTIFICAR el presente acuerdo a SOCIEDAD DE GESTIÓN DE ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 240.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 240.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/34 La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 180.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (240.000,00 euros o 180.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
  50. es)y de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-110425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 30 de julio de 2025, SAREB ha procedido al pago de la sanción en la cuantía de 180.000,00 euros haciendo uso de las dos reducciones previstas en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/34 el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  51. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/34 salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 180.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, SAREB ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 300.000,00 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/34 Tras haber procedido SOCIEDAD DE GESTIÓN DE ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 180.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202318311, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a SOCIEDAD DE GESTIÓN DE ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A. para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a SOCIEDAD DE GESTIÓN DE ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  52. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  53. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/34 administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.