← España

PS-00316-2025

1/35  Expediente N.º: EXP202404934 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de septiembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS S.A.U. (en adelante, BARCELONESA), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202404934 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR ÍNDICE HECHOS....................................................................................................................... 2 PRIMERO: Notificación de brecha de datos personales............................................2 SEGUNDO: Actuación de oficio..................................................................................3 TERCERO: Actuaciones previas de investigación......................................................4 -En cuanto a las causas que hicieron posible la brecha:........................................7 -Respecto a las medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido:.............................................8 -Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido:.................................................................................................10 -Datos afectados:..................................................................................................11 -Contratos de encargo de tratamiento con terceros:.............................................11 CUARTO: Volumen de negocio................................................................................12 FUNDAMENTOS DE DERECHO.................................................................................12 I. Competencia......................................................................................................... 12 II. Procedimiento.....................................................................................................12 III. Cuestiones previas..............................................................................................13 IV. Primera obligación incumplida. Integridad y confidencialidad. Artículo 5.1.

  1. f)del RGPD....................................................................................................................... 13 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/35 1.Origen de la brecha. Vector de entrada.............................................................14 2.Datos afectados, duración de la brecha de datos personales y afectados.........15 3.Ausencia de medidas técnicas y organizativas para garantizar la confidencialidad de los datos personales..............................................................15 V. Tipificación de la infracción del artículo 5.1.
  2. f)del RGPD y calificación a efectos de prescripción.............................................................................................................. 17 VI. Propuesta de sanción por el incumplimiento del artículo 5.1.
  3. f)del RGPD..........18 VII. Artículo 28.3 del RGPD. Segunda obligación incumplida. Contrato de encargo.21 VIII. Tipificación de infracción del artículo 28 RGPD y calificación a efecto..............23 IX. Propuesta de sanción por el primer incumplimiento del artículo 28.3 del RGPD.24 X. Artículo 28.3 RGPD. Tercera obligación incumplida. Contrato de encargo...........25 XI. Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de prescripción.............................................................................................................. 27 XII. Propuesta de sanción por el segundo incumplimiento del artículo 28.3 del RGPD ................................................................................................................................. 28 XIII. Medidas correctivas..........................................................................................29 SE ACUERDA:............................................................................................................. 31 PRIMERO: Inicio de procedimiento sancionador......................................................31 SEGUNDO: Designación de instructor.....................................................................31 TERCERO: incorporación de documentación al expediente....................................31 CUARTO: Posible sanción.......................................................................................31 QUINTO: Notificación y plazo de alegaciones..........................................................31 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Notificación de brecha de datos personales Con fecha 20 de febrero de 2024, se notificó a esta Agencia una brecha de datos personales de BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS S.A.U., con NIF A08435919 (en adelante, BARCELONESA), por parte del responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/35 Los hechos que se ponen en conocimiento de esta autoridad consisten en un “Posible robo de datos de pago de tarjetas de crédito a través de intrusión en formulario java de página web. Formulario espejo o similar.” En la notificación se incluye, entre otros, la siguiente información: “ (…) - El tratamiento sobre el que se ha producido la brecha incluye datos de personas: únicamente en España a nivel nacional. - El incidente ha sido: intencionado, para hacer daño al responsable/encargado o a las personas afectadas. - El origen del incidente ha sido: externo: otros ajeno al responsable y encargado del tratamiento. - ¿Qué puede haber ocurrido?: Ciberincidente: dispositivo cifrado/secuestro de información. - Como consecuencia del incidente se ha visto afectada la: confidencialidad. - Referido específicamente a los datos afectados por la brecha de disponibilidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas?: No - ¿Qué puede haber ocurrido?: Pérdidas financieras. - ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas?: Las personas pueden encontrar inconvenientes importantes, produciendo un daño limitado, que podrán superar a pesar de algunas dificultades (costos adicionales, denegación de acceso a servicios comerciales, miedo, falta de comprensión, estrés dolencias físicas menores, etc) - Seleccione los tipos de datos que se han visto afectados: datos de medios de pago (tarjeta bancaria, etc). - Las personas afectadas tienen los siguientes perfiles: clientes/ciudadanos. - En total, ¿Cuántas personas han visto sus datos afectados por la brecha de datos personales?: ***CANTIDAD.1 - Indique la fecha de detección de la brecha (…): (...) - Conoce la fecha en que se inició la brecha: aproximadamente/estimada. - Indique la fecha de inicio de la brecha: (...). - La brecha se ha detectado mediante: la advertencia de un miembro de la organización del responsable o encargado. - Marque las medidas de seguridad implementadas en la organización antes del suceso de la brecha (deberá poder acreditar las medidas marcadas ante un eventual requerimiento de la autoridad de control). - ¿Se podría haber evitado la brecha adoptando alguna medida de seguridad adicional?: sí. - ¿Se ha producido el incidente por algún fallo deficiencia o incumplimiento de medidas de seguridad implementadas?: No. - Indique la fecha en la que se dio por resuelta la brecha: 20/02/2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/35 - ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas?: No serán informados. Las personas afectadas no serán informadas porque: no existe un riesgo alto para sus derechos y libertades. El 5 de marzo de 2024, BARCELONESA remite escrito a la AEPD por el que señala que “se ha procedido a comunicar al único afectado” por vía telefónica el 27 de febrero sobre las 12 horas. Asegura, además que “de los posibles 359 afectados no tenemos constancia, ni evidencia alguna de que en realidad haya ningún otro afectado (…)”. SEGUNDO: Actuación de oficio Como consecuencia de los hechos conocidos, con fecha 21/03/2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: Actuaciones previas de investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: - Los días 24 de mayo de 2024, 2 de enero de 2025 y 26 de marzo de 2025, la SGID remitió a BARCELONESA requerimientos de información en el marco de las actuaciones previas de investigación. BARCELONESA remitió contestación los días 14 de junio de 2024, 21 de enero de 2025 y 15 de abril de 2025 aportando los siguientes documentos: o Junto a su escrito de contestación de 14 de junio de 2024 Contrato de encargo con la empresa ***EMPRESA.1. Copia del “informe de resultados del caso ***REFERENCIA.1- BARCELONESA” de 13 de mayo de 2024 elaborado por la propia BARCELONESA. Junto a su escrito de contestación de 2 de enero de 2025  Copia del “informe tecnológico forense” de 4 de abril de 2024, elaborado por ***EMPRESA.2.   o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/35  Copia del correo electrónico de 15 de febrero de 2024 a las 12:52 horas de ***EMAIL.1 (responsable de ciberseguridad de BARCELONESA) a A.A.A.; B.B.B., con CC a C.C.C., con asunto (en catalán en el original): “***ASUNTO.1” con el contenido siguiente (traducción no oficial, en catalán en el original): “Hola, Respecto a lo que hemos comentado en la llamada, Vadequimica tiene 4 “sites” verticales en 1 (vadequimica, vadefood, vadepiscinas y vadecultivos). Es el mismo magento y usan el mismo método de pago “***SISTEMA.2” en las 4 páginas. Con fecha de ayer 14/02/2024 se ha sacado el método de pago “***SISTEMA.2” y actualmente todos usan al pasarela de pagos”.  Copia del correo electrónico de ***EMAIL.2 D.D.D. en el que se indica: para “(…) el día de ayer recibimos notificación desde ***EMPRESA.4 informando respecto de una sospecha de compromiso de datos que podría haber afectado afectado la plataforma del comercio ***REFERENCIA.1 - BARCELONESA. Esta situación, que puede estar relacionada con la inserción de código malicioso en sitios web para acceder a datos confidenciales, nos lleva a solicitar su colaboración en la realización de una investigación exhaustiva en sus sistemas. Si bien telefónicamente nos has comentado que no estaban al tanto de esta situación hasta que se lo informó E.E.E. y que en principio no hay código malicioso en vuestros sistemas (además de que ya tenían previsto quitar el ***SISTEMA.2 de la web), requerimos su colaboración para recabar la siguiente información crucial y el inicio de una investigación interna detallada y medidas adoptadas: • Fecha de detección de la brecha. • En caso de confirmarse la intrusión, indicar ubicación o plataforma donde se detectó el incidente. ¿Han entrado en servidor solo con datos de clientes o también accedieron a datos de tarjetas? • Tipos de datos comprometidos, (números de cuenta, fechas de caducidad, nombres de titulares de tarjetas, CVV, CVV2, direcciones, correos electrónicos, etc.) • Confirmar si la brecha está contenida. • Acciones realizadas hasta la fecha, incluyendo cualquier denuncia interpuesta ante las autoridades pertinentes. • Recomendamos considerar la presentación de una denuncia policial, notificación al CSIRT (Equipos de Ciberseguridad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/35 gestión de incidentes españoles) y al DPO (Departamento de Protección de Datos) correspondiente según los datos comprometidos. • El análisis y tareas llevadas a cabo, ¿Las han realizado vuestro equipo interno o se ha consultado con expertos externos? • Métodos de pago utilizados en la plataforma. Asimismo, para asegurarnos que la brecha está contenida, es fundamental conocer el flujo de datos de tarjeta, y entender los controles que hay implementados en cada proceso, y en los canales entre ellos. Nos referimos puntualmente a la solución (…) , el concentrador al que se conectan los distintos terminales del comercio. Quisiéramos saber si hay riesgo en esta solución, es decir, el tipo de operativa que realiza, si tiene la capacidad de capturar manualmente y/o almacenar datos de tarjeta. Es esencial verificar el cumplimiento con los estándares (…) del comercio en cuestión. Por lo que rogamos que nos aporten la documentación (…) de dicha solución. También destacar que, a fin de confirmar la existencia o no de la posible brecha de seguridad, cabe la posibilidad de que deban contratar una empresa de seguridad informática externa para que realice un peritaje forense en sus sistemas. Agradeceríamos que procedan con celeridad y nos remitan la información antes del viernes 16 de febrero para cumplir con el plazo establecido. De nuevo, gracias su pronta atención a este asunto y cualquier detalle adicional que puedan aportar, será de gran valor para avanzar en esta investigación. La seguridad de sus datos y la integridad de su plataforma son nuestra prioridad absoluta. Quedamos a la espera de su pronta respuesta y a disposición ante cualquier consulta o asistencia que necesiten (…)”. o Junto a su escrito de contestación de 26 de marzo de 2025  Copia del Developer Report – Acunetix Security Audit De los documentos y escritos de contestación emitidos por BARCELONESA se desprende lo siguiente: C/ Jorge Juan, 6 28001 – Madrid - BARCELONESA es responsable de la página www.barcelonesa.com. Entre otras actividades, comercializa productos a través de su tienda online www.vadequimica.com. - Las compras a través de la web www.vadequimica.com se realizaban empleando el denominado “método de pago ***SISTEMA.2”, en el que los clientes proporcionaban los datos de sus tarjetas a través de un formulario establecido en esa web (a través del cual se produjo la brecha) y después se transmitían a la www.aepd.es sedeaepd.gob.es 7/35 entidad de pago. Como medida reactiva, tras la brecha, y tal y como consta en el correo electrónico aportado de 15 de febrero de 2024 a las 12:52 horas por ***EMAIL.1, BARCELONESA sustituyó ese método por el de “pasarela de pago”, en el que los clientes proporcionan los datos de sus tarjetas en un formulario establecido en los sistemas de la entidad de pago. - En cuanto a la cronología de los hechos, de acuerdo con su escrito de contestación de 14 de junio de 2024, así como en el “informe de resultados del caso ***REFERENCIA.1- BARCELONESA”, es el siguiente, sin perjuicio de que se añadan dos fechas anteriores al 14 de febrero de 2024, tal y como se recoge en el Informe del incidente elaborado por ***EMPRESA.2:  25 de agosto de 2023 un cliente de BARCELONESA notifica aviso de su antivirus al navegar en la web www.vadequimica.com; posteriormente (fecha indeterminada), BARCELONESA identifica el problema en su plataforma de comercio ***PLATAFORMA.1, elimina los ficheros maliciosos y da por solucionado el incidente.  5 de febrero de 2024: Un cliente notifica a BARCELONESA que su antivirus emitió un aviso al realizar una compra con tarjeta a través de www.vadequimica.com, y que tras la compra sufrió cargos fraudulentos a través de esa tarjeta.  14 de febrero de 2024: o o C/ Jorge Juan, 6 28001 – Madrid ***EMPRESA.3 (***EMPRESA.3) traslada a BARCELONESA la notificación de ***EMPRESA.4 (en adelante, ***EMPRESA.4) (del día anterior), sobre la sospecha de compromiso de datos en la web de BARCELONESA. BARCELONESA modificó este día 14 el procedimiento de pago en su página.  18 de febrero de 2024: o Fecha en que recibe la notificación de ***EMPRESA.4. o Fecha de detección de la brecha, entendida como aquella en que tiene la certeza de afectación a datos personales.  20 de febrero de 2024: Notificación de la brecha a esta Agencia por parte de BARCELONESA.  27 de febrero de 2024: www.aepd.es sedeaepd.gob.es 8/35 o o - Orden de la directora de la AEPD de comunicar la brecha a los afectados y de notificación de su cumplimiento. Comunicación telefónica de BARCELONESA a un único afectado.  5 de marzo de 2024: confirmación de BARCELONESA a esta AEPD del cumplimiento de la comunicación.  13 de marzo de 2024: inicio del análisis forense.  14 de marzo de 2024: fecha del informe “***INFORME.1”  4 de abril de 2024: fecha del informe forense de ***EMPRESA.2. En cuanto a las causas que hicieron posible la brecha: BARCELONESA manifiesta que el “Posible robo de datos de pago de tarjetas de crédito a través de intrusión en formulario java de página web. Formulario espejo o similar.” BARCELONESA manifiesta que el 13 de marzo de 2024 encargó informe forense a la empresa “***EMPRESA.2” (***EMPRESA.2), y que recibió ese informe el 4 de abril. El mencionado informe forense indica que BARCELONESA identificó “ficheros maliciosos, y proporciona una lista de más de 140 de estos ficheros (...)), y que ese código resulta ser “una función anónima autoejecutable […] diseñada para cargar un script malicioso […] bajo ciertas condiciones”. El informe forense también refleja la instalación de ***HERRAMIENTA.1, que es una herramienta “(…)”. El informe indica que ese software estaba instalado en un lugar poco habitual del directorio, y que es sospechoso de haber sido empleado en el ataque. Asimismo, en dicho informe se indica la presencia de varias “(…)”. Y entre otras conclusiones en el informe forense se señala: “1. La principal hipótesis que se baraja es qué los atacantes aprovecharon las vulnerabilidades críticas de ***SISTEMA.1 para poder subir ficheros al sistema de archivos del servidor de producción https://www.vadequimica.com/. 2. Evidencia de la subida de ficheros, son las (…) identificadas en el punto 2.3 del presente informe. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/35 3. Los atacantes modificaron ficheros legítimos de la aplicación de comercio electrónico Magento, con un malware que permitía la captura de los datos relacionados con tarjetas de crédito. 4. Posteriormente estos datos eran enviados a un tercer servidor que no ha podido ser identificado, por lo que no sabe el impacto real del incidente”. Asimismo, se indica en su apartado 3.2 que a raíz del incidente “se ha comprometido por completo el sitio web”. - Respecto a las medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido: BARCELONESA manifiesta, en su escrito de 14 de junio de 2024, que antes del incidente disponía de las siguientes medidas de seguridad técnicas implementadas por el gestor de Sistemas (***EMPRESA.1): - (…). No obstante, solicitada copia de los Análisis de Riesgo (AR) realizados sobre la actividad de tratamiento que ha sufrido la brecha, BARCELONESA manifiesta en ese mismo escrito que: “No se había llevado a cabo un análisis de riesgo específico sobre la actividad afectada porque el sistema de cobro ***SISTEMA.2 (…) de ***EMPRESA.3 que era quien se encargaba de la gestión de cobros a través de la entidad bancaria.” Además, preguntado por el motivo por el que las medidas de seguridad implantadas no han impedido el accidente, indica: “El sistema de pago por (…) ***EMPRESA.3 no solo se ha demostrado no seguro, sino que parece que "anima" a los ciberdelincuentes a intentar vulnerar nuestra seguridad.” En el mencionado informe ***INFORME.1, el análisis realizado arroja 170 alertas de vulnerabilidad, con severidad categorizada como crítica

(13), alta
(60)media
(72), baja
(9)e informativa
(16), muchas de ellas conocidas con anterioridad a la brecha. Los códigos CVE (Common Vulnerabilities and Exposures) y CWE (Common Weakness Enumeration) son identificadores únicos asignados a vulnerabilidades y exposiciones de seguridad conocidas públicamente en software y hardware. Estos códigos permiten identificar las amenazas, facilitando la mitigación de riesgos. Las vulnerabilidades críticas indicadas en el mencionado informe corresponden a: (…); como indican sus códigos, con origen descubierto o registrado entre 2017 y 2020. La mayoría de los códigos CVE de las vulnerabilidades de severidad alta corresponden a los años 2017 a 2023, y algunos al periodo entre 2008 - 2016. Los códigos CWE indican algunas vulnerabilidades conocidas anteriormente (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/35 Varias de las vulnerabilidades de severidad crítica y alta indicadas permitirían, por ejemplo, (…). Las soluciones propuestas en el informe forense para las vulnerabilidades más importantes identificadas son: (…) - Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido: BARCELONESA manifiesta en la primera de sus contestaciones a esta Agencia las siguientes: o (…) - Datos afectados: BARCELONESA manifiesta en la contestación de 21 de enero de 2025 de la Agencia que la brecha afectó a los datos de tarjetas de crédito o débito (número de tarjeta, fecha de caducidad y código CVV) que los clientes proporcionaban en el momento de la compra, y que esos datos no se almacenaban como consecuencia del sistema de pago ***SISTEMA.2 utilizado. Asimismo, manifiesta en dicha contestación que el resto de datos de clientes (Nombre y apellidos; dirección de envío; dirección de facturación; NIF/CIF/NIE; razón social; sector de actividad; tipo de cliente (empresa o particular/autónomo); correo electrónico), que estaban almacenados en una base de datos separada, no se vieron afectados. - Número de afectados: BARCELONESA ha proporcionado un número de afectados por la brecha que varía en sus comunicaciones a esta Agencia: - En la notificación inicial de la brecha, incluyó número aproximado de ***CANTIDAD.1 personas afectadas, y que el tratamiento afectado se realiza sobre aproximadamente ***CANTIDAD.2 personas. - Cuando esta Agencia le instó a comunicar el incidente a los afectados, lo hizo a un único afectado conocido. - En su contestación a uno de los requerimientos, aclaró que el cálculo del dato de ***CANTIDAD.1 personas afectadas proporcionado inicialmente se realizó por estimación del tráfico en la web. - Por otra parte, en su contestación de 21 de enero de 2025, al segundo de los requerimientos del inspector de esta Agencia, afirma que en sus registros constaban, en el momento de la brecha, datos de unos ***CANTIDAD.3 clientes particulares o empresarios autónomos, y que durante 2023 y 2024 se registraron al menos ***CANTIDAD.4 de estos clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/35 Por otra parte, se subraya que el informe forense señala: “No se ha podido identificar la venta de las tarjetas de crédito que fueron robadas en el sitio web de Barcelonesa de Drogas y Productos Químicos, S.A”. - Contratos de encargo de tratamiento con terceros: BARCELONESA manifiesta que “(…)”. Solicitado los contratos suscritos para recibir la prestación de los servicios, así como para el tratamiento de datos personales de sus clientes, correspondientes a (…) de ***EMPRESA.4”, BARCELONESA manifiesta en respuesta de 21 de enero de 2025 no haber podido localizarlos. Reiterado el requerimiento para que procediera a su aporte, en su contestación de 15 de abril de 2025, asegura que “se adjuntan los contratos que se han podido obtener hasta el momento”, sin incluirlos. CUARTO: Volumen de negocio De acuerdo con el informe recogido de la herramienta AXESOR, la entidad BARCELONESA es una empresa con un volumen de negocios de 166.825.573 euros en el ejercicio 2023. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II. Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/35 De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  1. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III. Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que BARCELONESA realiza, entre otros tratamientos, la recogida de datos personales de personas físicas: número de tarjeta de crédito, caducidad de la misma y código CVV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/35 BARCELONESA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV. Primera obligación incumplida. Integridad y confidencialidad. Artículo 5.1.
  2. f)del RGPD La letra
  3. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." 1. Origen de la brecha. Vector de entrada Como se ha constatado en el informe de actuaciones previas de investigación, en la notificación inicial de la brecha, se apuntó a un “Posible robo de datos de pago de tarjetas de crédito (…).” En el informe forense que consta en el expediente se indica que BARCELONESA identificó (…)”. El informe forense también refleja la instalación de ***HERRAMIENTA.1, que es una herramienta (…). El informe indica que ese software estaba instalado en un lugar poco habitual del directorio, y que es sospechoso de haber sido empleado en el ataque. Asimismo, en dicho informe se indica la presencia de varias (…). Y entre otras conclusiones en el informe forense: “(…)”. El pago ***SISTEMA.2 consiste en que el formulario de pago se integra en la propia interfaz de la tienda on line, utilizando su propio diseño web, con la presumible finalidad de proporcionar una experiencia más visual e inclusiva al propio usuario, otorgando mayor confianza. La principal diferencia entre el método ***SISTEMA.2 y la pasarela de pago radica en dónde se introducen y procesan los datos de la tarjeta. En el sistema ***SISTEMA.2, el formulario está alojado en la web del propio comercio, de modo que los datos de tarjeta (aunque no se almacenen) pasan por sus servidores antes de enviarse a la entidad de pago, lo que incrementa el riesgo de que sean interceptados en caso de una intrusión. En cambio, con la pasarela de pago, el cliente es redirigido directamente a los sistemas seguros de la entidad financiera o proveedor de servicios de pago, de manera que los datos nunca llegan a pasar por los servidores del comercio, reduciendo significativamente tanto la exposición a brechas de seguridad como la responsabilidad directa del comerciante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/35 A este respecto, los atacantes habrían tenido la oportunidad de leer los datos de las tarjetas mientras los clientes los introducían en la página web de BARCELONESA, de manera inadvertida, sin que dicha empresa ni los proveedores de servicios de pago fueran consciente de ello (gracias a los programas introducidos en el sistema de BARCELONESA aprovechando la vulnerabilidad en el módulo desarrollado para ***SISTEMA.1), tal y como se detalla en el informe forense. 1. Datos afectados, duración de la brecha de datos personales y afectados BARCELONESA manifiesta en la contestación al segundo requerimiento de la Agencia que la brecha de datos personales afectó a los datos de (…) que los clientes proporcionaban en el momento de la compra debido al sistema ***SISTEMA.2 utilizado. En cuanto a la duración de la brecha en sentido estricto, de acuerdo con la cronología facilitada por BARCELONESA, puede afirmarse que esta se produjo desde la instalación del (...) (desconocida). Sin embargo, consta que el día 13 de febrero de 2024, ***EMPRESA.4 informa a ***EMPRESA.3 de que se detectado un posible compromiso de datos en la web de BARCELONESA. El 14 de febrero de 2024, BARCELONESA sustituyó el sistema ***SISTEMA.2 por un sistema basado en una pasarela de pago. Sin perjuicio de lo anterior, tal y como se desarrollará en el siguiente epígrafe, no puede olvidarse que la brecha pudo materializarse por la ausencia de medidas de seguridad desde el año 2017, tal y como se recoge en el informe forense. Si bien el número de afectados no ha podido determinarse ni durante las actuaciones previas de investigación, ni por la investigación realizada por la entidad ***EMPRESA.2 previa a la elaboración de su informe forense, se subraya que los potenciales afectados serían todas aquellas personas que durante el tiempo que se extendió la brecha (entre el 13 de febrero de 2024 y el 14 de febrero de 2024) realizaron compras en la web de BARCELONESA. Se destaca, asimismo, que consta que al menos uno de los afectados sufrió cargos en su cuenta bancaria. 2. Ausencia de medidas técnicas y organizativas para garantizar la confidencialidad de los datos personales Durante las actuaciones previas de investigación se han puesto de manifiesto muy importantes deficiencias en las medidas incluidas en la página web de BARCELONESA, directamente relacionada con la brecha de datos personales, que habrían contribuido a su materialización. Tal y como se ha señalado, el informe ***INFORME.1, alerta sobre la existencia de 170 alertas de vulnerabilidad, con severidad categorizada como crítica
(13), alta
(60)media
(72), baja
(9)e informativa
(16), muchas de ellas conocidas con anterioridad a la brecha. Las vulnerabilidades críticas indicadas en el mencionado informe corresponden a: (…); como indican sus códigos, con origen descubierto o registrado entre 2017 y 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/35 La mayoría de los códigos CVE de las vulnerabilidades de severidad alta corresponden a los años 2017 a 2023, y algunos al periodo entre 2008 - 2016. Los códigos CWE indican algunas vulnerabilidades conocidas anteriormente (…). Varias de las vulnerabilidades de severidad crítica y alta indicadas permitirían, por ejemplo, (…). Adicionalmente a todo esto, debe reseñarse que tal y como reconoce la propia BARCELONESA, “No se había llevado a cabo un análisis de riesgo específico sobre la actividad afectada porque el sistema de cobro ***SISTEMA.2 venía avalado por las medidas de seguridad de ***EMPRESA.3 que era quien se encargaba de la gestión de cobros a través de la entidad bancaria.” El principio de confidencialidad e integridad, recogido en el citado artículo 5.1
  1. f)del RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de manera que se proteja su seguridad frente a accesos no autorizados, usos indebidos o divulgaciones ilícitas. Este principio no se limita a evitar el almacenamiento indebido de la información, sino que exige la implementación de medidas técnicas y organizativos eficaces que impidan que los datos queden expuestos en el momento mismo de su recogida y transmisión. En el presente caso, el sistema de cobro ***SISTEMA.2 implicaba que los datos de las tarjetas pasaban por los servidores de Barcelonesa, lo que hacía indispensable adoptar medidas que garantizaran un entorno seguro en todas las fases del tratamiento. La constatación de presuntas múltiples vulnerabilidades críticas y de alta severidad, algunas de ellas conocidas desde años anteriores, revelaría que los sistemas no contaban con un nivel de protección actualizado ni adecuado al riesgo. Estas deficiencias técnicas habrían facilitado que los datos de pago de los clientes pudieran ser interceptados a través del formulario comprometido, comprometiendo directamente la confidencialidad e integridad de la información. Ello supondría una vulneración del citado principio, en tanto que la empresa permitió que se materializara un escenario de brecha de datos personales previsible y evitable mediante un mantenimiento adecuado y una gestión proactiva de posibles vulnerabilidades. A esta situación se sumaría la ausencia de un análisis de riesgos específico sobre la actividad afectada, lo que denota una presunta falta de diligencia en la identificación y gestión de amenazas asociadas al tratamiento de datos de tarjetas de crédito y débito. Confiar únicamente en las medidas de seguridad declaradas por un tercero, sin realizar verificaciones ni supervisión propia, no exonera a BARCELONESA de su responsabilidad como responsable del tratamiento. Por el contrario, pondría de manifiesto una deficiencia en el cumplimiento del deber de garantizar de forma efectiva la protección de los datos tratados en su nombre y bajo su control. En línea con lo anterior, se subraya que, de acuerdo con el informe forense, como consecuencia del incidente “se ha comprometido por completo el sitio web”. Por otra parte, no debe olvidarse la ausencia de medidas destinadas a detectar el inicio de la brecha de datos personales. Así, BARCELONESA tuvo conocimiento de la brecha de datos personales a través del aviso de un tercero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/35 En definitiva, la combinación de vulnerabilidades no corregidas, la ausencia de un análisis de riesgos adaptado al sistema ***SISTEMA.2 y la dependencia exclusiva de las medidas adoptadas por un tercero, permitieron la materialización de una brecha de datos personales, constituyendo, por tanto, una infracción del citado principio de confidencialidad e integridad. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a BARCELONESA, por vulneración del artículo 5.1.
  2. f)del RGPD transcrito anteriormente. V. Tipificación de la infracción del artículo 5.1.
  3. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  4. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  5. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  6. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  7. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  8. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/35 VI. Propuesta de sanción por el incumplimiento del artículo 5.1.
  10. f)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  11. a)a
  12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  14. b)la intencionalidad o negligencia en la infracción;
  15. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  16. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  19. g)las categorías de los datos de carácter personal afectados por la infracción;
  20. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  24. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/35
  25. a)El carácter continuado de la infracción.
  26. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  27. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  29. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  30. f)La afectación a los derechos de los menores.
  31. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  32. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas. Los artículos anteriores implican, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
  33. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio BARCELONESA, de 166.825.573 euros en el ejercicio 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de BARCELONESA es de 6.673.022 euros. Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones habrá de estar forzosamente entre los 0 y los 20.000.000 de euros. Asimismo, en relación con el nivel de gravedad en los términos del RGPD, se estima, en una valoración inicial, que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). En relación con esta circunstancia, debe señalarse que la brecha de datos personales derivó en que el atacante pudo conseguir los datos de las tarjetas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/35 crédito utilizados para las compras a través de la página web, durante todo el tiempo entre la instalación del software “espía” y el cambio que se realizó al uso exclusivo del sistema de pasarela de pago tras la detección de la brecha. La brecha ha supuesto una pérdida del control de los datos de los afectados. Adicionalmente en relación con los daños sufridos se resalta que uno de los afectados sufrió un daño, más allá de la vulneración de su derecho fundamental a la protección de datos, ya que comunicó una pérdida patrimonial derivada del uso irregular por un tercero de su tarjeta de crédito. • Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): Los hechos enjuiciados pueden considerarse como derivados de una especial negligencia. Como se ha detallado más arriba, el análisis forense detectó un total de 170 vulnerabilidades conocidas que contribuyeron a la materialización de la brecha de datos personales. De ellas 13 de carácter “crítico” y 60 de gravedad “alta”. Pero no solo eso, sino que, como se detalla en dicho informe, las críticas provenían del período 2017 – 2020. Y las altas ya estaban detectadas algunas de ellas desde 2008. Aparte, unos 12 días antes de que los proveedores de servicios de pago avisaran a BARCELONESA de la brecha, un cliente ya comunicó un incidente sufrido en su medio de pago, sin que la empresa reaccionara. Finalmente, no puede pasarse por alto que BARCELONESA declaró que no se había llevado a cabo un análisis de riesgo específico sobre la actividad afectada, lo que pone de manifiesto una dejadez en el cumplimiento de las obligaciones propias del responsable.  Las categorías de los datos de carácter personal afectados por las infracciones (artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…)el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso, los datos personales afectados son los relativos a las tarjetas de crédito de los clientes de BARCELONESA, por lo que se trata de un dato sensible, toda vez que la posesión de los mismos (…) permite normalmente realizar, sin necesidad de disponer de datos adicionales, compras on line en la mayoría de páginas web que incluyen posibilidad de transacciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/35 de comercio electrónico. Esto es, carece de relevancia el hecho de que los números de tarjeta no vayan acompañados de la identidad del titular. Se tiene en cuenta asimismo como circunstancia agravante: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 83.2
  34. k)del RGPD en conexión con el artículo 76.2, letra b), de la LOPDGDD): BARCELONESA, como consecuencia de su actividad empresarial (distribuidor de productos químicos industriales), realiza forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados, en concreto de ***CANTIDAD.3 clientes particulares, ya sea en el marco de compras online como en otros aspectos relativos a la prestación de servicios.. Así, las acciones infractoras se producen en el marco de un tratamiento de datos personales que habitualmente realiza BARCELONESA en su negocio y ligado a este. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  35. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de CIENTO CINCUENTA MIL EUROS (150.000,00 euros. VII. Artículo 28.3 del RGPD. Segunda obligación incumplida. Contrato de encargo Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD que estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  36. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/35
  37. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
  38. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  39. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  40. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  41. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  42. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  43. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  44. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. El artículo 28 del RGPD impone la obligación de que, en caso de que una entidad vaya a realizar operaciones de tratamiento de datos personales por cuenta de otra que establece los medios y fines, se celebre un contrato que vincule al encargado respecto del responsable y establezca “el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable”. La finalidad es obvia, esto es, garantizar que el hecho de que materialmente el tratamiento de datos personales sea realizado por una empresa distinta del responsable pero por encargo o encomienda de este, esto no pueda derivar en un menoscabo del cumplimiento de las obligaciones del RGPD. Y a este respecto es importante señalar que esta encomienda puede afectar a derechos y obligaciones tan importantes como el ejercicio de derechos por parte de sus titulares; la garantía de la integridad y confidencialidad de los datos y la necesidad de establecer las oportunas medidas de seguridad que contribuyan a garantizar tales principios, (estos últimos aspectos particularmente implicados en este caso). Por ello, el apartado 3 del artículo 28 impone tanto la obligación de celebrar un contrato como el contenido mínimo que este deberá incorporar. En relación con lo anterior, y también conforme al principio de responsabilidad proactiva determinado por el artículo 5.2 del RGPD, desarrollado por el artículo 24 del RGPD, el artículo 28 en su apartado 9 exige que el contrato conste por escrito, inclusive en formato electrónico. En relación con la celebración del contrato es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/35 importante acudir a lo que prescribe el apartado 101 de las Directrices 07/2020, del Comité Europeo de protección de datos, sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD“
(101)Este acto jurídico debe constar por escrito, permitiéndose el formato electrónico. Por tanto, los acuerdos no formalizados por escrito (con independencia de su exhaustividad o su eficacia) no pueden considerarse suficientes para el cumplimiento de los requisitos establecidos en el artículo 28 del RGPD. A fin de evitar cualquier dificultad a la hora de probar la eficacia del contrato u otro acto jurídico, el CEPD recomienda asegurarse de que se hayan incluido las firmas necesarias en el acto jurídico siguiendo lo dispuesto en el Derecho aplicable (p. ej., el Derecho contractual).” En relación con el presente procedimiento, BARCELONESA contaba como encargado del tratamiento con la plataforma ***EMPRESA.3 con la que contrató el sistema de cobro ***SISTEMA.2. No obstante, no consta contrato de encargo en el que se contenga la relación jurídica entre el responsable y el encargado del tratamiento. Así, en su contestación a esta AEPD en el marco de las actuaciones previas de investigación de 21 de enero de 2025, BARCELONESA, como responsable del tratamiento, ha contestado : “Este contrato no se ha podido localizar en el momento de enviar esta respuesta pero se aportará posteriormente” Ante la reiteración por parte de esta Agencia para su aporte el 26 de marzo de 2025, el 15 de abril de 2024, BARCELONESA ha señalado: “Se adjuntan los contratos que se han podido obtener hasta el momento.” Sin embargo, no consta contrato encargo alguna con la empresa anteriormente mencionada. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a BARCELONESA, por vulneración del mencionado artículo 28.3 del RGPD, transcrito anteriormente por carecer de contrato de encargo con ***EMPRESA.3. VIII. Tipificación de infracción del artículo 28 RGPD y calificación a efecto El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  1. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/35 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  2. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679." IX. Propuesta de sanción por el primer incumplimiento del artículo 28.3 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como en el artículo 76 LOPDGDD, ya reproducidos en el Fundamento sexto de este acuerdo de inicio. En este sentido, se considera, con carácter previo, el volumen de negocio de BARCELONESA de 166.825.573 euros en el año 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.4 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 10.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 2% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 2% del volumen de negocio de BARCELONESA es de 3.336.511,46 euros. Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones habrá de estar forzosamente entre los 0 y los 10.000.000 de euros. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). En este caso cabe tener en consideración el número de afectados. Hay que tener en cuenta que la falta de contrato de encargo impide un verdadero control del cumplimiento por el encargado de las obligaciones de protección de datos y con ello la protección de los derechos y libertades de sus titulares. Conforme a lo declarado por BARCELONESA en la realización de las actuaciones previas de investigación, esta empresa dispone de ***CANTIDAD.3 clientes particulares o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/35 empresarios autónomos, y que durante 2023 y 2024 se registraron al menos ***CANTIDAD.4 de estos clientes • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD). A la hora de enjuiciar la ausencia de contrato de encargo, reviste especial gravedad la tipología de datos afectados (…) toda vez que estos son el tipo de tratos tratados por ***EMPRESA.3 siguiendo las instrucciones de BARCELONESA. Asimismo, se considera el siguiente factor de graduación en calidad de agravante: Se tiene en cuenta asimismo como circunstancia agravante: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 83.2
  3. k)del RGPD en conexión con el artículo 76.2, letra b), de la LOPDGDD): BARCELONESA, como consecuencia de su actividad empresarial (distribuidor de productos químicos industriales), realiza forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados, en concreto de ***CANTIDAD.3 clientes particulares, ya sea en el marco de compras online como en otros aspectos relativos a la prestación de servicios.. Así, las acciones infractoras se producen en el marco de un tratamiento de datos personales que habitualmente realiza BARCELONESA en su negocio y ligado a este. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 28.3 del RGPD, permite fijar inicialmente una sanción de multa administrativa de OCHENTA MIL EUROS (80.000,00 euros). X. Artículo 28.3 RGPD. Tercera obligación incumplida. Contrato de encargo. Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD que estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/35 respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  4. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  5. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
  6. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  7. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  8. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  9. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  10. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  11. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  12. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. El artículo 28 del RGPD impone la obligación de que, en caso de que una entidad vaya a realizar operaciones de tratamiento de datos personales por cuenta de otra que establece los medios y fines, se celebre un contrato que vincule al encargado respecto del responsable y establezca “el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable”. La finalidad es obvia, esto es, garantizar que el hecho de que materialmente el tratamiento de datos personales sea realizado por una empresa distinta del responsable pero por encargo o encomienda de este, esto no pueda derivar en un menoscabo del cumplimiento de las obligaciones del RGPD. Y a este respecto es importante señalar que esta encomienda puede afectar a derechos y obligaciones tan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/35 importantes como el ejercicio de derechos por parte de sus titulares; la garantía de la integridad y confidencialidad de los datos y la necesidad de establecer las oportunas medidas de seguridad que contribuyan a garantizar tales principios, (estos últimos aspectos particularmente implicados en este caso). Por ello, el apartado 3 del artículo 28 impone tanto la obligación de celebrar un contrato como el contenido mínimo que este deberá incorporar. En relación con lo anterior, y también conforme al principio de responsabilidad proactiva determinado por el artículo 5.2 del RGPD, desarrollado por el artículo 24 del RGPD, el artículo 28 en su apartado 9 exige que el contrato conste por escrito, inclusive en formato electrónico. En relación con la celebración de formalidades del contrato es importante acudir a lo que prescribe el apartado 101 de las Directrices 07/2020, del Comité Europeo de protección de datos, sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD: “
(101)Este acto jurídico debe constar por escrito, permitiéndose el formato electrónico. Por tanto, los acuerdos no formalizados por escrito (con independencia de su exhaustividad o su eficacia) no pueden considerarse suficientes para el cumplimiento de los requisitos establecidos en el artículo 28 del RGPD. A fin de evitar cualquier dificultad a la hora de probar la eficacia del contrato u otro acto jurídico, el CEPD recomienda asegurarse de que se hayan incluido las firmas necesarias en el acto jurídico siguiendo lo dispuesto en el Derecho aplicable (p. ej., el Derecho contractual).” En relación con el presente procedimiento, BARCELONESA contaba como encargado del tratamiento con la plataforma ***EMPRESA.4 con la que contrató el sistema de cobro mediante pasarela de pago. No obstante, no consta contrato de encargo en el que se contenga la relación jurídica entre el responsable y el encargado del tratamiento. Así, en su contestación a esta AEPD en el marco de las actuaciones previas de investigación de 21 de enero de 2024, BARCELONESA, como responsable del tratamiento, ha contestado : “Este contrato no se ha podido localizar en el momento de enviar esta respuesta pero se aportará posteriormente” Ante la reiteración por parte de esta Agencia para su aporte el 26 de marzo de 2025, el 15 de abril de 2024, BARCELONESA ha señalado: “Se adjuntan los contratos que se han podido obtener hasta el momento.” Sin embargo, no consta contrato encargo alguna con la empresa anteriormente mencionada. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a BARCELONESA, por vulneración del mencionado artículo 28.3 del RGPD, transcrito anteriormente por carecer de contrato de encargo con ***EMPRESA.4. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/35 XI. Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  1. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  2. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679." XII. Propuesta de sanción por el segundo incumplimiento del artículo 28.3 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como en el artículo 76 LOPDGDD, ya reproducidos en el Fundamento sexto de este acuerdo de inicio. En este sentido, se considera, con carácter previo, el volumen de negocio de BARCELONESA de 166.825.573 euros en el año 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.4 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 10.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 2% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 2% del volumen de negocio de BARCELONESA es de 3.336.511,46 euros. Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones habrá de estar forzosamente entre los 0 y los 10.000.000 de euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/35 Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). En este caso cabe tener en consideración el número de afectados. Hay que tener en cuenta que la falta de contrato de encargo impide un verdadero control del cumplimiento por el encargado de las obligaciones de protección de datos y con ello la protección de los derechos y libertades de sus titulares. Conforme a lo declarado por BARCELONESA en la realización de las actuaciones previas de investigación, esta empresa dispone de unos ***CANTIDAD.3 clientes particulares o empresarios autónomos, y que durante 2023 y 2024 se registraron al menos ***CANTIDAD.4 de estos clientes • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD). A la hora de enjuiciar la ausencia de contrato de encargo, reviste especial gravedad la tipología de datos afectados (…) toda vez que estos son el tipo de tratos tratados por ***EMPRESA.3 siguiendo las instrucciones de BARCELONESA. Asimismo, se considera el siguiente factor de graduación en calidad de agravante: Se tiene en cuenta asimismo como circunstancia agravante: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 83.2
  3. k)del RGPD en conexión con el artículo 76.2, letra b), de la LOPDGDD): BARCELONESA, como consecuencia de su actividad empresarial (distribuidor de productos químicos industriales), realiza forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados, en concreto de ***CANTIDAD.3 clientes particulares, ya sea en el marco de compras online como en otros aspectos relativos a la prestación de servicios.. Así, las acciones infractoras se producen en el marco de un tratamiento de datos personales que habitualmente realiza BARCELONESA en su negocio y ligado a este. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 28.3 del RGPD, permite fijar inicialmente una sanción de multa administrativa de OCHENTA MIL EUROS (80.000,00 euros). XIII. Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
  4. f)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/35 RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  5. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a BARCELONESA para que, en el plazo máximo de SEIS MESES a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, no solo para cumplir con la normativa, sino para demostrar su cumplimiento antes las autoridades de control e interesados, en particular: o Cambio de las contraseñas de administración utilizadas en el sitio web afectado. o Nuevo despliegue del sitio https://www.vadequimica.com/ respecto a Magento, ***SISTEMA.1, Plugins utilizados. o Bloqueo de IPs que no sean del alcance del negocio de BARCELONESA. o Actualización regular de todos los componentes del sitio web afectado. - Acreditar la celebración de los correspondientes contratos de encargo de tratamiento con los dos encargados a que se hace referencia en los fundamentos jurídicos, en caso de que se mantenga la relación contractual con ambos. En caso contrario, acreditar el fin de la mencionada relación contractual. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/35 tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: Inicio de procedimiento sancionador INICIAR PROCEDIMIENTO SANCIONADOR a BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS S.A.U., con NIF A08435919, por la presunta infracción del/ del artículo 5.1.
  6. f)del RGPD, y por dos infracciones del artículo 28 del RGPD tipificadas, respectivamente] en el/ artículo 83.5 del RGPD (la primera) y en el artículo 83.4 del RGPD (las dos últimas) SEGUNDO: Designación de instructor NOMBRAR como instructor a S.S.S. y, como secretaria, a R.R.R. , indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: incorporación de documentación al expediente INCORPORAR al expediente, a efectos probatorios, la notificación de la violación de la seguridad de los datos personales, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: Posible sanción QUE a los efectos previstos en el art. 64.2
  7. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, las sanciones que pudieran corresponder serían las siguientes: - Multa administrativa de 150.000 euros, por la infracción del artículo 5.1.
  8. f)del RGPD Multa administrativa de 80.000 euros por la infracción del artículo 28 del RGPD, en relación con el encargado del tratamiento ***EMPRESA.3 Multa administrativa de 80.000 euros por la infracción del artículo 28 del RGPD, en relación con el encargado del tratamiento ***EMPRESA.4 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/35 Ello hace un total de TRESCIENTOS DIEZ MIL EUROS (310.000 €), sin perjuicio de lo que resulte de la instrucción. QUINTO: Notificación y plazo de alegaciones NOTIFICAR el presente acuerdo a BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS S.A.U., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 248.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 248.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 186.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (248.000 euros o 186.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/35 De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y si el importe de la sanción impuesta es superior a un millón de euros, será objeto de publicación en el Boletín Oficial del Estado la información que identifique al infractor, la infracción cometida y el importe de la sanción impuesta. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-010725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 2 de octubre de 2025, BARCELONESA ha procedido al pago de la sanción en la cuantía de 186.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  9. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/35 resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 186.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, BARCELONESA ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/35 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 310.000,00 euros. Tras haber procedido BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS S.A.U. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 186.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202404934, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS S.A.U. para que en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS S.A.U.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/35 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  11. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.