← España

PS-00329-2025

1/40  Expediente N.º: EXP202403096 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de agosto de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FUNDACIÓN PARA EL DESARROLLO DE LA ENFERMERÍA (en adelante, FUDEN), y SINDICATO DE ENFERMERÍA, SATSE (en adelante, SATSE), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202403096 Procedimiento Sancionador Nº PS/00329/2025 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Notificación de brecha por SATSE Y FUDEN. Con fecha de 28 de enero de 2024 se produce una brecha de datos personales que es comunicada a esta Agencia en fecha 31 de enero de 2024 por el SINDICATO DE ENFERMERÍA, SATSE con NIF G28584035 (en adelante, SATSE) y con fecha de 1 de febrero de 2024 por la FUNDACIÓN PARA EL DESARROLLO DE LA ENFERMERÍA con NIF G79069746 (en adelante, FUDEN), respectivamente. En la primera notificación de brecha de datos personales, realizada por SATSE, se hace constar, entre otros datos, los siguientes: - Fecha inicio de la brecha: 28/01/2024. Fecha de detección de la brecha: 29/01/2024. “El tipo de incidente sufrido es un malware de tipo Ransomware (…)”. Incidente intencionado. Que puede haber ocurrido: “(…)”. (corporativo o servicio en internet) Datos personales afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos económicos o financieros (sin medios de pago), Datos de contacto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/40 - Como consecuencia del incidente se ha visto afectada: Confidencialidad, y Disponibilidad. Valor aproximado de personas afectadas: 50.000. No hay menores. Y con los siguientes perfiles: Clientes / Ciudadanos, Estudiantes / Alumnos, Afiliados / Asociados, Empleados. No ha comunicado la brecha a los afectados, pero serán comunicados, máximo, el 02/02/2024. Hay implicado un encargado del tratamiento: PROSODIE IBERICA SLU, con NIF B83071290. En la notificación de brecha realizada por FUDEN, se hacen constar idénticos datos, con las siguientes diferencias: - Fecha detección de la brecha: 30/01/2024 Afectados. También aparece que son 50.000 personas, y que no hay menores. Pero en perfiles únicamente se indican: Estudiantes / Alumnos. SEGUNDO: Reclamaciones presentadas por afectados. Con fecha de 3 de febrero de 2024 se presenta la primera de un total de 156 reclamaciones que se presentan ante esta Agencia entre dicha fecha y el 24 de abril de 2024 frente a FUDEN. En todas las reclamaciones señaladas se manifiesta haber recibido en dicha fecha una comunicación por correo electrónico de FUDEN, en la que se le notifica haber sido víctima de un ciberataque por malware que afectó a sus sistemas de información, y en concreto, a sus datos personales básicos y documento identificativo (copia de DNI) que fueron proporcionados con ocasión de las actividades formativas que habían cursado con FUDEN, y que habían sido tratados durante el proceso de matriculación y gestión de expediente académico. Muchas de las reclamaciones aportan copia del correo electrónico recibido, que tienen el siguiente contenido: “Estimado alumno, Te informamos que el pasado día 29 de enero se detectó un incidente de seguridad, en concreto, un ciberataque mediante “malware”, que afectó a nuestros sistemas de información. Dicho incidente de seguridad afectó a tus datos personales, tales como datos básicos (nombre, apellidos y fecha de nacimiento), de contacto (número de teléfono, correo-

  1. e)y documento identificativo (copia de DNI). Estos datos personales nos los proporcionaste con ocasión de las actividades formativas que has cursado con nosotros y los hemos tratado durante proceso de matriculación y para la gestión de tu expediente académico. El acceso ilegitimo a estos datos significa que los ciberdelincuentes podrían hacerlos públicos o utilizarlos para fines ilegítimos por eso te aconsejamos que refuerces tus medidas de seguridad para evitar posibles intentos de fraude. Puedes encontrar más info y consejos de seguridad en la página web INCIBE www.incibe.es. La brecha de seguridad de datos personales ya ha sido comunicada a la Agencia Española de Protección de Datos y se ha presentado denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado, además de informar a la Instituto Nacional de Ciberseguridad que trabaja para afianzar la confianza digital, elevar la ciberseguridad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/40 la resiliencia y contribuir al mercado digital de manera que se impulse el uso seguro del ciberespacio en España. Nos tomamos tu privacidad muy en serio por eso hemos adoptado medias técnicas y organizativas para reforzar nuestros sistemas de información frente a estos tipos de incidentes y evitar que puedan repetirse en el futuro. Puedes contactarnos a través del siguiente correo- e informacion—brecha©fuden.es si deseas ampliarla información sobre la brecha de datos personales. También puedes ponerte en contacto con nuestro Delegado de Protección de Datos a través del siguiente correo- e privacidad— dpd©fuden.es”. TERCERO: Publicación aviso de brecha por INCIBE. Con fecha de 5 de febrero de 2024 se publica por el Instituto Nacional de Ciberseguridad (en adelante, INCIBE) un aviso de una brecha de datos personales que afecta a los clientes de FUDEN. El aviso del INCIBE se dirige a aquellos afectados que hubieran recibido la comunicación de FUDEN al objeto de recomendar seguir ciertas pautas para prevenir cualquier tipo de fraude. CUARTO: Publicación brecha en redes sociales de FUDEN. Con fecha de 6 de febrero de 2024 se recogen evidencias por parte de esta Agencia de que ha sido publicado un aviso de brecha de datos personales en el perfil de Twitter de FUDEN. QUINTO: Admisión a trámite de las reclamaciones. Entre el 23 de febrero de 2024, y 29 de mayo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite todas las reclamaciones presentadas contra FUDEN y se les notificó la admisión a los reclamantes. SEXTO: Actuaciones Previas de Investigación. La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Durante las actuaciones se investigó a las dos entidades que notificaron la brecha de datos personales producida el 28/01/2025, FUDEN Y SATSE. De dichas actuaciones se desprende lo siguiente: Primer requerimiento de información a FUDEN notificado el 16/5/24. Al objeto de requerir las causas del incidente, cronología y tipología de datos afectados, RAT y actividades afectadas, los roles de tratamientos de las entidades afectadas, análisis de riesgos y medidas de seguridad, reclamaciones que manifestaban haber ejercido derecho de supresión años anteriores a la brecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/40 Respuesta de FUDEN de 05/06/2024 para contestar al primer requerimiento realizado (en adelante, Resp1 FUDEN): El escrito de respuesta está firmado por el Delegado de Protección de Datos de FUDEN, y adjunta 13 documentos: DOC_01_informe análisis forense sobre la causa de la brecha en los sistemas de SATSE emitido por empresa ***EMPRESA.1 de 6 de marzo de 2024. DOC_02_Informe DPD sobre descripción y cronología brecha. DOC_03_ RAT de actividades de formación de FUDEN. DOC_04_Acuerdo_Plan_formación_SATSE_FUDEN_2024 (y corresponsabilidad en el tratamiento). DOC_05_Memoria_Actividades _FUDEN_SATSE_2022 DOC_06_”RGPD_ciclo_formacion_continuada” (Documento denominado como “Aplicación de la normativa de protección de datos participantes en el ciclo de formación continuada de profesionales sanitarios “contrato de formación no reglada”). DOC_07_Modelo escrito de comunicación de brecha a los afectados. DOC_08_Contrato_encargo a PROSIODE IBERICA suscrito por SATSE DOC_09_Informe_medidas_preventivas del responsable de seguridad de SATSE. DOC_10_Informe_medidas_reactivas del responsable de seguridad de SATSE. DOC_11_Contrato_IaaS_365 con FUDEN de 12/2/24. DOC_12_Denuncia ante Policía Nacional de FUDEN el 3/2/24. DOC_13_Denuncia ante Policía Nacional de SATSE el 2/2/24. - Segundo requerimiento a FUDEN de 4 de octubre de 2024. Para requerir acerca de las cuestiones que no habían quedado aclaradas en la primera respuesta: (
  2. i)sobre las copias de DNI recabadas que habían sido afectadas (
  3. ii)sobre los plazos de conservación de los datos dado que se señalaba que se conservaban de forma indefinida, (iii) que se aportase el contrato de encargo suscrito con PROSIODE IBERICA para alojar los servidores de la infraestructura tecnológica de SATSE, compartida con FUDEN, (
  4. iv)que confirmen y acrediten los cambios efectuados en las políticas de seguridad y accesos a la red a través de FORTICLIENT, (
  5. v)que acrediten si las medidas preventivas obtenidas fueron resultado de un proceso de análisis de riesgos previo, solicitando su acreditación, (
  6. vi)que confirmen si se había implantado el Segundo Factor de Autenticación (2FA) como medida reactiva en el control de acceso a la VPN, solicitando también que aclaren motivo por que el PROSODIE no había tenido en cuenta esta medida adicional de control, (vii) y, por último, si se han implantado medidas reactivas para cifrar los datos personales tratados. - Respuesta FUDEN al segundo requerimiento (Resp2 FUDEN) de 24 de octubre de 2024. Se presenta un escrito de respuesta, en la que se responde a las cuestiones pendientes de aclaración, conjuntamente y por bloques temáticos, aportando un total de 6 documentos DOC_01_ FORMULARIO DE MATRÍCULA. DOC_ 02_NORMATIVA TÍTULOS PROPIOS UCAV. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/40 DOC_03_CONTRATO BASE (CONTRATO_ALOJAMIENTO CON PROSIODE). (Contrato de encargo del tratamiento entre SATSE y PROSIODE. DOC_04_DOCUMENTO BASE DE MIGRACIÓN (medidas reactivas). DOC_05_DOCUMENTO PRESENTACIÓN PROYECTO DE MIGRACIÓN DOC_06_PROPUESTA DEFINITIVA SERVICIOS SEGURIDAD DE LA INFORMACIÓN. - Requerimiento a SATSE de 4 de octubre de 2024. Para que: (
  7. i)aporte su RAT; (
  8. ii)aclare la delimitación de responsabilidades derivada de su acuerdo de corresponsabilidad con FUDEN e indique si informan a los alumnos de su corresponsabilidad; (iii) que aporte contrato de encargo con PROSIODE; (
  9. iv)que aporten el análisis de riesgos realizado, (
  10. iv)aclaren qué medidas preventivas existían y por qué no impidieron el incidente, haciendo mención especial a la falta de cifrado y de 2FA en la VPN; (
  11. v)señalen qué medidas reactivas se han adoptado; (
  12. vi)y Número final de personas afectadas por la brecha y detalles de la tipología de datos personales que se ha visto exfiltrada - Respuesta de SATSE de 25 de octubre de 2025 (Resp SATSE) de 24 de octubre de 2024. En su escrito de respuesta, entre otros aspectos, y sin perjuicio de detallarse posteriormente, se responde a varias cuestiones en el mismo sentido que FUDEN (motivo por el que no se impidió el incidente con las medidas actuales, medidas preventivas y reactivas adoptadas, corresponsabilidad), se aporta el RAT de la actividad “Formación Continuada y de Postgrado”, aportan el Contrato Base con PROSIODE, sobre el requerimiento para aportar el Análisis de Riesgos señalan que es FUDEN quien lo hizo como impartidor de los cursos determinando que el tratamiento era de escaso riesgo, señalan que se desconoce sobre el número final de personas afectadas por la brecha al entender que no está acreditado que la exfiltración fuera satisfactoria porque vencido el plazo de rescate no hay evidencias de que se publicaran datos , y concretan cual fue la tipología de datos que pudo ser afectada, centrándose en las actividades formativas de FUDEN/SATSE. SATSE aporta junto con su respuesta un total de 8 documentos: DOC_01_ REGISTRO DE ACTIVIDADES DE TRATAMIENTO PARA LA ACTIVIDAD DE “FORMACIÓN CONTINUADA Y DE POSTGRADO”. DOC_02_ FORMULARIO DE MATRÍCULA. DOC_ 03_NORMATIVA TÍTULOS PROPIOS UCAV. DOC_ 04_CONTRATO BASE (CONTRATO_ALOJAMIENTO) DOC_05_INFORME MEDIDAS PREVENTIVAS. DOC_06_DOCUMENTO BASE DE MIGRACIÓN. DOC_07_DOCUMENTO PRESENTACIÓN PROYECTO DE MIGRACIÓN. DOC_08_PROPUESTA DEFINITIVA SERVICIOS SEGURIDAD DE LA INFORMACIÓN. Según consta en las actuaciones previas de investigación llevadas a cabo, SATSE y FUDEN son corresponsables del tratamiento, en los siguientes términos: “En el acuerdo anual suscrito por SATSE y FUDEN, en cumplimiento del artículo 26 RGPD, referido al ‘PLAN DE ACTIVIDADES FUDEN-SATSE 2024 - DISEÑO E C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/40 IMPLANTACIÓN DEL PLAN DE FORMACIÓN PARA ENFERMERAS, ENFERMEROS, ESPECIALISTAS Y FISIOTERAPEUTAS 2024’ se establece, en el punto 9, que: » SATSE y FUDEN asumen la consideración de corresponsables de las actividades de tratamiento que se derivan de la ejecución del presente servicio formativo, todo ello de acuerdo con lo dispuesto en el artículo 26 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, Reglamento General de Protección de Datos Personales o RGPD ). SÉPTIMO: Datos volumen de negocio. De acuerdo con el informe recogido de la herramienta AXESOR se reflejan los siguientes datos: SINDICATO DE ENFERMERÍA (SATSE):  Actividad: 8532 - Educación secundaria técnica y profesional.  Comentario de la actividad: Se trata de un Sindicato con una implantación mayoritaria en el sector sanitario y se caracteriza por su defensa de la enfermería, tanto de la profesión como de los profesionales que la ejercen.  Ventas/Volumen de negocio: 1.741.283 €  Empleados: 26 FUNDACIÓN PARA EL DESARROLLO DE LA ENFERMERÍA (FUDEN):     Actividad: 5811 - Edición de libros. Comentario de la actividad: Se trata de una Asociación sin ánimo de lucro, que tiene por objeto potenciar el desarrollo de la salud en todas las vertientes: asistenciales, gestoras, formativas y de investigación; prestando especial atención a la contribución que la Enfermería realiza al mismo. Asimismo, tiene como fin ejecutar contribuir y participar en proyectos de cooperación al desarrollo. Ventas/Volumen de negocio: 974.222 € Empleados: 6. OCTAVO: Diligencias expedidas. Con fecha de 22 de julio de 2025 se expiden las siguientes Diligencias al objeto de hacer constar los siguientes hechos: - Diligencia con el anuncio de publicación de la base de datos realizado por HUNTERS INTERNACIONAL. Diligencia sobre la política de privacidad de FUDEN y al que remite el enlace que figura en el formulario de matrícula aportado por FUDEN y SATSE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/40 FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II. Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  13. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III. Cuestiones previas 3.1. Datos personales objeto de tratamiento. El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/40 varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El presente procedimiento tiene su origen en un incidente de ciberseguridad producido el 28 de enero de 2024 mediante un malware malintencionado de Ransomware realizado por una organización denominada HUNTERS INTERNACIONAL, que produjo una brecha de datos personales en los servidores respecto de los que SASTE y FUDEN eran corresponsables del tratamiento. Dicha brecha fue detectada el 29/1/24 por el responsable de seguridad de sistemas de SATSE, y notificada a esta Agencia por SATSE y FUDEN con fechas de 30/1/24 y 1/2/24, respectivamente. El 2/2/24 dicha brecha fue comunicada a un total de 198.000 afectados, correspondientes a los profesionales sanitarios que habían cursado actividades formativas con dichas entidades. De acuerdo con lo manifestado por ambas partes, consta que la brecha habría afectado a los datos personales contenidos en dichos sistemas de información que se trataban conjuntamente por SATSE Y FUDEN, en régimen de corresponsabilidad. A este respecto, el artículo 4.17 del RGPD considera «responsable del tratamiento» o «responsable» a: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; Por su parte, el apartado primero del artículo 26 del RGPD señala que Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento Sentado lo anterior, recordemos que, ante una brecha de datos personales, el responsable de tratamiento debe ser capaz de determinar con precisión las categorías de datos personales afectadas, el número de personas afectadas y su perfil. Estos tres parámetros son fundamentales para poder determinar el nivel de riesgo para los afectados por la brecha de datos personales. Al respecto de estas cuestiones, se dispone de las siguientes evidencias: - De acuerdo con lo que consta en el Informe del DPD de FUDEN aportado con la Resp1 de la misma, sobre cronología y descripción del incidente: “El incidente sufrido (…)”. - Por su parte, SATSE hace constar que es la que dispone de la infraestructura tecnológica, habiendo contratado el alojamiento de los servidores en la CPD de PROSIODE IBÉRICA (en adelante, PROSIODE), y permitido el acceso a FUDEN a los mismos: “(…)”. - Y respecto a los afectados SATSE, señala que: “ (…)”. Sin embargo, no aporta evidencias de que el único afectado fuera este servidor, ni tampoco que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/40 únicos datos afectados fueran los de la plataforma de actividades formativas de FUDEN. Ni consta dicho particular en el informe de auditoría aportado. - Por otra parte, de las denuncias presentadas por los corresponsables ante la Policía Nacional, se señala que el incidente podría haber afectado a datos personales que no se corresponden con la actividad de formación, sino con la gestión propia de SATSE como empleador dentro de su actividad sindical. Ya que en la denuncia presentada por SATSE ante la Policía Nacional con fecha de 2 de febrero de 2024 (Doc 13 de la Resp2 de FUDEN), se hace constar que: “(…)”. - En la denuncia presentada por FUDEN (Doc12) para solicitar que se le tenga por afectado respecto a la previa denuncia presentada por SATSE, se confirma que el incidente de seguridad se produjo en los sistemas e infraestructuras de SATSE y que, al menos, han sido afectados los datos relacionados con la gestión académica de los alumnos de FUDEN, a los que se comunicó la brecha: “(…)”. De lo expuesto se deduce lo siguiente: - Respecto a la tipología y personas afectadas, fueron afectados por el incidente de ciberseguridad de tipo Ransomware, al menos, los siguientes tipos de datos personales de los profesionales de enfermería que cursen o hayan cursado formación continuada con FUDEN/SATSE, de acuerdo con lo que reconocen ambas entidades, salvo que de la instrucción se derive un mayor o menor número de datos y/o personas afectadas. “nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y/o cualquier otro documento identificativo; datos económicos o financieros (sin medios de pago) y datos de contacto, correspondiendo el perfil de las personas afectadas al de alumnos, en concreto, profesionales de enfermería matriculados en actividades de formación continuada”. No obstante, existen indicios racionales en el expediente de que el incidente pudo afectar a también a los datos personales de otras personas que no hubieran cursado estas actividades de formación, y no recibieron una comunicación, toda vez que: o C/ Jorge Juan, 6 28001 – Madrid El incidente se produjo “sobre los sistemas de SATSE” de acuerdo con el informe de auditoría de ***EMPRESA.1, y la denuncia ante la Policía Nacional de FUDEN. Esta circunstancia parecería verse confirmada por el hecho de que anuncio de puesta a la venta de los datos personales a los que se ha accedido por parte de Hunters Internacional que ha sido diligenciado se señala que base de datos ofertada es de SATSE y no de FUDEN www.aepd.es sedeaepd.gob.es 10/40 o o - Y en la denuncia presentada por SATSE ante la Policía Nacional se señaló que los aplicativos y bases de datos más afectados por el ataque eran los relativos a los procesos de gestión de nóminas y liquidación de cotizaciones sociales (***APP.1), gestión financiera, contables y de liquidación de impuestos (***APP.2) y gestión de expedientes de asesoría Jurídica (***APP.3), por haberse visto comprometidas también copias de respaldo. Información que no coincide con la proporcionada a esta Agencia en la notificación de la brecha ni con las respuestas a los requerimientos efectuados en el marco de las actuaciones previas de investigación. De igual forma, no consta que a dichos presuntos afectados les haya sido notificada la brecha. Ni consta que ello haya sido comunicado a los posibles afectados. Considerando que la infraestructura tecnológica afectada por la brecha aloja todos los servidores y los sistemas de información de SATSE y no solo los de FUDEN, sería muy probable que – además de los datos personales de alumnos que cursan o han cursado actividades de formación se conserven dentro de la misma y hubieran sido afectados por la brecha otros datos personales necesarios para ejercer su actividad propia. Por otra parte, por lo que respecta al número de afectados por la brecha, se parte inicialmente de lo manifestado por FUDEN y SATSE. Así, manifiesta el DPD de FUDEN que, ante la imposibilidad de determinar el alcance exacto de la brecha, se comunicó el incidente a la totalidad de alumnos y exalumnos, incluyendo aquellos cuyos datos habían sido suprimidos y bloqueados, siendo aproximadamente 198.000 profesionales. Asimismo, indica que serían unas 23.000 copias de DNI las afectadas. 3.2. Operaciones de tratamiento de datos personales. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el supuesto presente, consta que tanto SATSE como FUDEN trataban como corresponsables los datos personales que han sido señalados en el apartado anterior, y se ha notificado por ambos que se ha producido un incidente de seguridad de tipo RANSOMWARE que supuso la realización de varias operaciones de tratamiento no autorizadas por parte de un tercero, que no solo accedió de forma ilegítima mediante ataques de fuerza bruta por VPN a los sistemas de SATSE -compartidos con FUDENen los que se hallaban alojados los datos personales, sino que además que los ciberdelincuentes (autodenominados como HUNTERS INTERNACIONAL) habrían logrado manipular los sistemas realizando varios tipos de operaciones para las que se precisa clave de administrador, y cifrar la base de datos personales -que no se hallaba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/40 previamente cifrada por los corresponsables del tratamiento-, y pidió un rescate para poder devolver la disponibilidad de los datos personales a los corresponsables, según consta en el informe de auditoría presentado y se denunció ante la Policía Nacional. 3.3. Responsables del tratamiento y procedimiento sancionador. De acuerdo con la definición de responsable y corresponsable del tratamiento antes señalada, en el presente caso, consta la realización de un tratamiento de datos personales realizado por SATSE/FUDEN en régimen de corresponsabilidad y formalizado en el Acuerdo del Plan de Formación SATSE/FUDEN aportado al procedimiento, Tal y como señala el informe del DPD de FUDEN, aportado con la Resp1 de FUDEN, consta que: “En el acuerdo anual suscrito por SATSE y FUDEN, en cumplimiento del artículo 26 RGPD, referido al ‘PLAN DE ACTIVIDADES FUDEN-SATSE 2024 DISEÑO E IMPLANTACIÓN DEL PLAN DE FORMACIÓN PARA ENFERMERAS, ENFERMEROS, ESPECIALISTAS Y FISIOTERAPEUTAS 2024’ se establece, en el punto 9, que SATSE y FUDEN asumen la consideración de corresponsables de las actividades de tratamiento que se derivan de la ejecución del presente servicio formativo, todo ello de acuerdo con lo dispuesto en el artículo 26 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (…)”. Requeridas ambas entidades en varias ocasiones durante las actuaciones previas de investigación al objeto de aclarar la responsabilidad que asumía cada una de las partes en el tratamiento de datos personales, dado que la misma no estaba precisaba en dicho acuerdo (Plan de Formación SATSE/FUDEN 2024), ni tampoco en el resto de documentos que fueron aportados para responder a este requerimiento (Memoria de Actividades ni Documento de Normativa de aplicación roles intervinientes), tan sólo se pudo concluir que: “En relación con los roles asumidos por SATSE y FUDEN en el tratamiento afectado por la brecha, se constata que ambas entidades actúan como corresponsables del tratamiento, constando en documento suscrito por ambas entidades”. Por tanto, a falta de delimitación expresa de las responsabilidades respectivas de cada una de las partes, sin perjuicio de lo que se deduzca durante la instrucción, se infiere que la responsabilidad se asume conjuntamente de acuerdo con lo previsto en el artículo 28.3 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que dispone lo siguiente: “3. Cuando el cumplimiento de una obligación establecida por una norma con rango de Ley corresponda a varias personas conjuntamente, responderán de forma solidaria de las infracciones que, en su caso, se cometan y de las sanciones que se impongan. No obstante, cuando la sanción sea pecuniaria y sea posible se individualizará en la resolución en función del grado de participación de cada responsable”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/40 En consecuencia, habiéndose reflejado en tal acuerdo que ambas partes son corresponsable al fijar los fines y medios del tratamiento de forma conjunta, pero sin delimitar ni separar sus funciones y/o parte de responsabilidad en el tratamiento de datos personales llevados a cabo, cabe entender que la responsabilidad administrativa puede ser imputada a ambos conjuntamente y con carácter solidario, sin perjuicio de que de la instrucción se derive que solo uno o parte de ellos fueron responsables del incumplimiento de las obligaciones que se imputan en el presente procedimiento. II. Incumplimiento del artículo 5.1.
  14. f)RGPD. Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. El artículo 5.1.
  15. f)“Principios relativos al tratamiento” del RGPD señala que: “1. Los datos personales serán:
  16. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Este Principio atribuye al responsable de cualquier tratamiento de datos personales la obligación de impedir tratamientos no autorizados o ilícitos de estos datos. Dicho de otro modo, un responsable no debe tratar datos personales si no está en disposición de garantizar la confidencialidad, disponibilidad e integridad de los mismos e impedir que un tercero acceda a datos que no son de su titularidad, y secuestre su información, cifrándola sin permitirle disponer de ella, como ha sido el caso. En el presente supuesto, se ha notificado por parte de SATSE y FUDEN la existencia de una brecha de datos personales que pudo afectar aproximadamente a 198.000 personas. Este número se correspondería, según el DPD de con la totalidad de alumnos y exalumnos, incluyendo aquellos cuyos datos habían sido suprimidos y bloqueados. No obstante, como ya se ha indicado, la tipología de datos afectados por la brecha difiere en los diferentes documentos que conforman el expediente y, en la denuncia presentada ante la policía se señala que, “(…)”. Los datos contenidos en estos sistemas y que también habrían sido afectados no parece que se correspondan con alumnos o exalumnos, por lo que el número de afectados por la brecha podrían ser mayor que el inicialmente señalado. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/40 alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente supuesto, destacan principalmente las siguientes evidencias que llevan a concluir que se produjo un ciberataque por Ransomware que derivó en una brecha de confidencialidad, integridad y disponibilidad de los datos personales compartidos por SATSE/FUDEN: - De acuerdo con lo que señala el informe de auditoría de 6 de marzo de 2024: “(…)” - Y de acuerdo con las conclusiones de las actuaciones previas de investigación: “(…)”. De acuerdo con el glosario de Ciberseguridad del INCIBE consiste en un “Malware cuya funcionalidad es «secuestrar» un dispositivo (en sus inicios) o la información que contiene de forma que si la víctima no paga el rescate, no podrá acceder a ella”. Esta amenaza es un tipo de malware que impide a una organización continuar con el tratamiento de los datos, generalmente cifrando los datos o los sistemas en los que residen, y solicita el pago de un rescate para la recuperación de la disponibilidad de los datos. Se trata de un secuestro de la información, en tanto que quien legitimante debería poder tratarlos, no puede hacerlo. Necesariamente el Ransomware implica un acceso ilegítimo del atacante a los datos personales y la realización de diversas operaciones al objeto de proceder a su encriptación o cifrado, como se ha confirmado en este caso. Y, en la mayor parte de las ocasiones, va además acompañado de la exfiltración de los datos personales y su puesta a la venta en la dark web, concurriendo en este caso múltiples indicios racionales de que así ha sido. Esta Agencia ya viene advirtiendo desde hace años (nota publicada el 15-12-20) acerca de la aparición del malware de Ransomware, como una ciberamenaza con gran impacto sobre los datos personales que es bien conocida y cada vez más común, y que es necesario que personas responsables y encargadas de tratamiento tomen conciencia del riesgo que estos ataques plantean, y que apliquen medidas técnicas y organizativas apropiadas para afrontarlos. Estas medidas se han de orientar en tres direcciones: intentar evitar su materialización, tener capacidad para su detección temprana y rápida evaluación de las consecuencias y minimizar el impacto sobre los derechos y libertades de las personas cuyos datos personales se hayan visto afectados. En este caso concreto, señalemos que Hive es un Ransomware as a Service, es decir, un grupo criminal lo desarrolla y cobra a otros grupos criminales por utilizarlo para sus campañas de infección. Ha habido diferentes versiones de este ransomware, normalmente con diferentes vectores de infección, incluida la explotación de alguna vulnerabilidad, como en este caso que nos ocupa (de productos de Fortinet, de productos de Microsoft como Exchange, de soluciones de MFA, etc.). Casi siempre han usado doble extorsión: primero para descifrar los datos y poder seguir trabajando, luego para evitar la brecha de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/40 De acuerdo con lo actuado, SATSE/FUDEN constan las siguientes evidencias acerca de cuáles fueron las medidas adoptadas - para proteger la confidencialidad, integridad y disponibilidad de los datos personales: - El informe aportado en la Resp1 de FUDEN, que incluye una recopilación de las medidas de seguridad preventivas que tenían implantadas antes del incidente, que según el escrito Resp de SATSE, “(…). No consta que se hubieran adoptado medidas preventivas frente ataques como el sufrido como, por ejemplo, la actualización periódica de los sistemas, el desarrollo de actividades formativas específicas dirigidas al personal, la implementación de un doble factor de autenticación. O reactivas frente a potenciales ataques, de tal manera que sus efectos se reduzcan o mitiguen tales como) una correcta aplicación del principio de minimización de datos, medidas de cifrado. - Tal y como ha quedado reflejado en los antecedentes, el referido informe de medidas preventivas presentado no incluye el análisis de factores de riesgos o amenazas tanto para la seguridad como para los derechos y libertades de los interesados en la actividad de tratamiento afectada por la reclamación. - En línea con lo indicado, el informe de auditoría realizado por ***EMPRESA.1 el 6 de marzo de 2024 se recomendó la adopción de ciertas estrategias clave necesarias para reforzar la seguridad de las que carecían los sistemas antes del incidente:  (…). - SATSE comunica al Instituto Nacional de Ciberseguridad, INCIBE, la adopción de las siguientes medidas reactivas al ataque:  (…) - El escrito Resp1 de FUDEN, se decía lo siguiente en relación con las medidas reactivas implantadas tras el incidente para mejorar la seguridad de la organización: “(…)”. - Posteriormente, SATSE confirma estas medidas reactivas, y aporta (…). - Por último, SATSE y FUDEN señalan que han implementado (…). A la vista de lo señalado, se considera que, con anterioridad al incidente, ni SATSE ni FUDEN habían analizado todos los riesgos concurrentes ni adoptado las medidas preventivas necesarias para afrontar los riesgos frente a un malware de Ramsomware, toda vez que, de los hechos acaecidos, se desprendería lo siguiente: - Insuficiencia de medidas preventivas dirigidas a evitar que el acceso o intromisión ilegítima se materializase: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/40 (…) La adopción de ambas medidas hubiera podido impedir que el acceso se materializase, derivando en un intento frustrado, por lo que su falta de previsión supone sin lugar a dudas una falta de adopción de medidas adecuadas que podría suponer, por sí sola, la vulneración del deber previsto en el artículo 5.1.f). del RGPD. Insuficiencia de medidas preventivas dirigidas a evitar que la exfiltración de datos y/o el secuestro de información se materializasen: Una vez lograron acceder a los sistemas, consta reconocido que los atacantes ejecutaron diversas herramientas para las que es preciso tener permiso de administrador, y lograron acceder a las contraseñas almacenadas, comprimir los archivos, y cifrarlos. Ello evidencia, a su vez, que tampoco existían medidas preventivas que impidiesen realizar estas operaciones, y que la base de datos en reposo no se hallaba adecuadamente encriptada. (…) - Incapacidad para la detección temprana de la brecha y rápida evaluación de las consecuencias y minimizar el impacto sobre los derechos y libertades de las personas cuyos datos personales se hayan visto afectados. Tal y como señala la Guía de notificación de brechas, para el responsable del tratamiento es importante determinar si la disponibilidad se ha podido recuperar o está en vías de recuperación, dado que recuperar los datos y los sistemas de tratamiento es la vía para mitigar el daño que pueden producir este tipo de brechas de datos personales. Para ello, los responsables de tratamiento deben establecer estrategias y procedimientos de recuperación ante situaciones de este tipo, incluyendo procedimientos de copia de seguridad, recuperación ante incidentes y estrategias de gobernanza de los datos. A este respecto, los corresponsable señalan -sin acreditarlo ni concretar fechas- que adoptaron estas medidas inmediatamente, y recuperaron los datos a través de copias de seguridad, lo que debe considerarse a favor de las responsables. (…) Y, por otra parte, aunque se han adoptado varias medidas reactivas cuyo cumplimiento ha sido acreditado por SATSE/FUDEN, no consta que se hayan evaluado las consecuencias con el rigor que merece un ciber ataque de estas características, puesto que ambas reclamadas manifiestan desconocer el alcance de la brecha por no saber certificar si hubo una exfiltración, ni si ésta fue completa, no señalan ni acreditan a qué sistema de información o datos afectó, o si han adoptado ninguna medida para conocer estos datos con mayor precisión. Y lo que es más importante, ni siquiera aporta información que permita conocer a qué datos y personas afectó el cifrado de la base de datos y durante cuantos días estuvieron bloqueados sin poder accederse a los mismos, lo que es también una vulneración del artículo 5.1.
  17. f)del RGPD porque implica la pérdida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/40 de disponibilidad de los datos. Existiendo dudas de que la brecha alcanzase a todos los datos que se hallaban almacenados por SATSE, en relación con su actividad como empleador y organizador de cursos, como ya se ha dicho. En definitiva, de todo lo expuesto se extrae que, con anterioridad a la brecha en cuestión ni SATSE, ni FUDEN contaban con medidas adecuadas dirigidas a proteger la confidencialidad, integridad y disponibilidad de los datos personales, habiéndolas adoptado, posteriormente a la brecha, como medidas reactivas. Cuando un malware de Ransomware tiene éxito y logra acceder a los sistemas de información, y se produce una brecha de datos personales es necesario determinar con exactitud su tipología, es decir determinar a qué dimensión/es de seguridad de los datos personales ha afectado la brecha. Estas dimensiones son la confidencialidad, disponibilidad e integridad. Es importante considerar que una misma brecha de datos personales puede afectar a más de una dimensión dependiendo de las circunstancias particulares en cada caso, tal y como ha señalado la Guía para la notificación de brechas de datos personales publicada en junio de 2021 por esta Agencia, que señala que una brecha puede: a. Afectar a la confidencialidad: cuando se produce revelación no autorizada o accidental de los datos personales, o su acceso a los datos personales. b. Afectar a la disponibilidad: en casos como la pérdida de acceso accidental o no autorizada a los datos personales, o su destrucción. c. Y afectar a la integridad: si se produce una alteración no autorizada o accidental de los datos personales. En el presente supuesto, SATSE denuncia ante la Policía Nacional (y FUDEN se adhiere a la misma como afectada) haber sido víctima de un “incidente de seguridad crítico en sus sistemas de información consistente en la instalación ilegítima de un malware de tipo ransomware que comprometió la confidencialidad, disponibilidad e integridad de información sensible de la organización al producirse encriptación y exfiltración de datos” Además de reconocerlo las entidades corresponsables, podemos señalar que constan evidencias de que la brecha de datos personales habría afectado a las 3 dimensiones de seguridad protegidas por el artículo 5.1.
  18. f)del RGPD: - Por una parte, existen evidencias de que los atacantes lograron acceder de forma ilegítima a los servidores y sistemas de SATSE, sin que ello fuera advertido por SATSE ni FUDEN, lo que de por sí supuso una vulneración del deber de mantener la confidencialidad de dichos datos, que pudieron ser visibles y conocidos por los ciber atacantes, ya que se ha reconocido que los éstos lograron ejecutar herramientas para acceder a las contraseñas almacenadas, dado que la base de datos en reposo no se hallaba cifrada y, además de encriptar de nuevo los datos, consta que realizaron operaciones para comprimir los datos personales y que existieron movimientos compatibles con una exfiltración de datos. En el presente supuesto, como decíamos, existen indicios racionales de que se pudo producir, además de un acceso a los datos, una exfiltración de los mismos, toda vez que las responsables denunciaron que se había producido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/40 exfiltración ante la Policía y según la nota de rescate que dejaron los atacantes, constaba la publicación en la dark web de una “base de datos de SATSE”. Además, en el informe de auditoría se hace constar como impacto que: “(…)”. No obstante, hay que aclarar que no es necesario que se hayan cedido, vendido o publicado los datos personales, ni que se haya ejecutado y completado la exfiltración de todos los datos personales para que se considere vulnerada la confidencialidad de los mismos y cometida la infracción del artículo 5.1.
  19. f)del RGPD. Y es que el deber de garantizar la confidencialidad de los datos personales: (
  20. i)no se limita a impedir que un tercero acceda ilegítimamente a sus sistemas de información de datos; (
  21. ii)ni tampoco a impedir que exfiltre o usurpe estos datos personales sin disponer de autorización y los transmita o ceda a un tercero para obtener un beneficio, (iii) sino que se extiende también a impedir que si logra acceder ilegítimamente, no pueda tener acceso a la información porque, por ejemplo, la base de datos en reposo esté cifrada con algoritmos no comprometidos, porque ello le impediría que pueda conocer y descifrar estos datos personales, y por tanto, no podrá conocerlos, exponerlos, publicarlos, ni cederlos a terceros. - Por otra parte, se ha constatado que (…). De acuerdo con la citada Guía de notificación de brechas antes citada: “Una brecha afecta a la disponibilidad de los datos personales cuando han estado inaccesibles de forma temporal o permanente para quien legítimamente debe poder tratarlos o acceder a ellos. Esta situación puede ocurrir por sucesos que afecten a los datos personales en sí mismos o también por sucesos que afecten a los sistemas utilizados Por ejemplo, incluye casos de cifrado de datos personales o de los sistemas de información causado por malware de tipo ransomware, pérdida de documentación en papel con datos personales o la imposibilidad de acceder a un almacenamiento de datos (acceso físico o lógico)”. Y por otra parte, la Guía señala que: “Una brecha afecta a la integridad cuando se han alterado los datos personales de forma ilegítima y el tratamiento de esos datos personales puede causar un daño a los afectados. (…) Los responsables podrán mitigar el riesgo de una brecha de integridad en las bases de datos contando con controles de acceso, alertas y registros ante modificaciones. Además, implementando sistemas que auditen de forma continua los accesos de lectura y escritura a estas bases de datos.”. Por tanto, constando evidencias de que los ciber atacantes lograron ejecutar un cifrado de datos personales, ello habría provocado también la falta de disponibilidad de los corresponsables a los sistemas de información compartidos entre FUDEN/SATSE, al menos desde el 28 de enero de 2024 hasta la fecha en que recuperaron el backup de dicha base de datos, que no se acredita en la documentación aportada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/40 Por tanto, existen evidencias de que en este supuesto se ha producido una brecha de confidencialidad, integridad y disponibilidad que ha conllevado una pérdida total y absoluta de control sobre los datos personales por sus titulares y el responsable del tratamiento. Esta pérdida de control sobre los propios datos personales se traduce en una vulneración del derecho fundamental a la protección de datos reconocido en el artículo 18. 4 de la Constitución Española, pues tal y como ha indicado el Tribunal Constitucional (Sentencia 292/2000, de 30 de noviembre de 2000): “el derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado (…)”, toda vez que el derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos, que solo pueden estar en manos de personas autorizadas por alguna base de licitud prevista en la normativa de protección de datos. En consecuencia, de conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción del del artículo 5.1.
  22. f)del RGPD. II. Tipificación de la infracción del artículo 5.1.
  23. f)RGPD La infracción del Principio contenido en el artículo 5.1.
  24. f)del RGPD se encuentra tipificada en el artículo 83.5
  25. a)del RGPD, que dispone que: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  26. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43.” Por su parte, la LOPDGDD en su artículo 72, a efectos de prescripción, califica de “Infracciones consideradas muy graves: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  27. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/40 III. Sanción por el presunto incumplimiento del artículo 5.1.
  28. f)RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada aso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  29. a)a
  30. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  31. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  32. b)la intencionalidad o negligencia en la infracción;
  33. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  34. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  35. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  36. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  37. g)las categorías de los datos de carácter personal afectados por la infracción;
  38. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  39. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  40. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  41. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  42. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  43. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  44. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/40
  45. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  46. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  47. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  48. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  49. f)La afectación a los derechos de los menores.
  50. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  51. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD del Comité Europeo de Protección de Datos (en adelante, CEPD), que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
  52. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de ambas entidades corresponsables, que en el año 2023 asciende a 1.741,283 euros en el caso de SATSE, y a 974.222 euros en el caso de FUDEN. Atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción tipificada en el artículo 5.1.
  53. f)del RGPD, tipificada en el artículo 83.5.
  54. a)del RGPD de la que se responsabiliza a la empresa en una valoración inicial, se parte del volumen de negocio de ambas entidades para fijar una sanción por esta infracción que deberá ser atendida de forma solidaria e íntegra por cualquiera de las partes. Para ello, y teniendo en cuenta los preceptos señalados, a multa a imponer podrá ir de 0 a 20.000.000 euros. Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción se estima que concurren las siguientes circunstancias de graduación de la sanción como punto de partida: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/40  Artículo 83.2, letra a), del RGPD):” La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido” Como circunstancias significativas para determinar la naturaleza y gravedad de la infracción se considera que estamos en presencia de un ataque de Ransomware que produjo una brecha de confidencialidad, integridad y disponibilidad con el alcance que ha sido fijado en el Fundamento de Derecho IV; afectando, por lo tanto, a un principio básico en materia de protección de datos personales. Así mismo, se tiene en consideración tanto que la causa o vector de entrada del malware de Ramsonware se debió a ataques por fuerza bruta y diccionario sobre las contraseñas de las conexiones VPN en los sistemas de SATSE como que las medidas organizativas y técnicas que se habían adoptado por las corresponsables del tratamiento a fecha del incidente se habían implementado sin análisis de riesgos previo y demostraron su insuficiencia en la prevención del ataque. Por último, se considera como duración de la infracción continuada cometida, entre 28 de enero de 2024 hasta la fecha en la que se logró restituir la disponibilidad del servicio con la copia de los datos personales tratados por lo que respecta a la vulneración de integridad y confidencialidad. • Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): Se aprecia una grave negligencia en la actuación de las entidades corresponsables del tratamiento de los datos personales afectados por la brecha al no actuar la diligencia exigible a un responsable del tratamiento puesto que: (
  55. i)no se realizó un previo análisis de riesgos conjunto entre SATSE y FUDEN que tuviera en cuenta todos los riesgos concurrentes para cada finalidad del tratamiento, (
  56. ii)ni se adoptaron todas las medidas organizativas y técnicas que eran necesarias para mitigar, reducir o eliminar los riesgos concurrentes, (…). A propósito del grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec. 63/2006), extrapolable al supuesto que nos ocupa, que indica que: “el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”.  Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
  57. g)del RGPD): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/40 En cuanto a la naturaleza de los datos personales afectados, hay que tener en cuenta que la brecha afectó, como mínimo a las siguientes categorías y perfiles que se señalan en el informe del DPD de FUDEN: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y/o cualquier otro documento identificativo; datos económicos o financieros (sin medios de pago) y datos de contacto, correspondiendo el perfil de las personas afectadas al de alumnos, en concreto, profesionales de enfermería matriculados en actividades de formación continuada”. Todo ello sin perjuicio de que durante la instrucción se derive un mayor o menor número y/o categorías de datos personales afectados. Se tiene en cuenta que dentro de los mismos pueden considerarse sensibles los datos financieros o bancarios, y las copias de DNI que fueron afectadas por la brecha (las partes reconocen que quedaron afectados, “en el peor de los casos, 23.000 copias de DNI”). En relación con el número de DNI, se trata de un tratamiento sobre un dato sensible, pues permite la identificación directa e inequívoca de una persona física. De acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, a la hora de valorar esta circunstancia, no solo debe hacerse referencia a los “tipos de datos cubiertos por los artículos 9 y 10 del RGPD, sino también a los datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas al interesado”. Entre estos, señala, de manera expresa los números documentos de identidad. Tal y como establece el Real Decreto 255/2025, de 1 de abril por el que se regula el Documento Nacional de Identidad, el DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento especialmente sensible dentro del ecosistema de datos personales. Su utilización indebida conlleva un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Por ello, una interpretación sistemática y finalista del RGPD — conforme a los considerandos 51 y 75— permite considerar el DNI como un dato particularmente sensible, atendiendo a su capacidad de provocar perjuicios significativos en caso de uso no autorizado. Y en este supuesto, no solo consta que la brecha ha afectado al número de DNI, sino a la copia integra del DNI, que contiene mayor número de datos personales si cabe, incluida la imagen y el chip NFC, nombre de los padres, número de equipo y tantos otros datos personales que agravan la situación. Asimismo, se valoran que concurre la siguiente circunstancia agravante de la graduación de la sanción:  La vinculación de la actividad del infractor con la realización de tratamientos de datos personales” (Artículo 76.2.
  58. b)de la LOPDGDD en relación con el artículo 83.2.k)). En la actividad de ambas entidades reclamadas es imprescindible el tratamiento de datos de carácter personal por ser su objeto social según la descripción que aparece en el informe de axesor unido al procedimiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/40 o o SATSE: Actividad: 8532 - Educación secundaria técnica y profesional. Comentario de la actividad: Se trata de un Sindicato con una implantación mayoritaria en el sector sanitario y se caracteriza por su defensa de la enfermería, tanto de la profesión como de los profesionales que la ejercen. FUDEN: Actividad: 5811 - Edición de libros. Comentario de la actividad: Se trata de una Asociación sin ánimo de lucro, que tiene por objeto potenciar el desarrollo de la salud en todas las vertientes: asistenciales, gestoras, formativas y de investigación; prestando especial atención a la contribución que la Enfermería realiza al mismo. Asimismo, tiene como fin ejecutar contribuir y participar en proyectos de cooperación al desarrollo. Por lo que la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  59. b)de la LOPDGDD en relación con el artículo 83.2.k). Sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  60. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 10.000 € (DIEZ MIL EUROS), por la supuesta infracción del artículo 5.1.
  61. f)del RGPD, tipificada en el artículo 83.5.
  62. a)de dicha norma. II. Presunto incumplimiento del artículo 26 del RGPD. Tal y como ha sido señalado en el Fundamento de Derecho III, apartado 3.3, estamos ante un supuesto de corresponsabilidad del tratamiento, ya que el artículo 26 del RGPD, establece que “cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento”, y las partes han asumido esta corresponsabilidad en un Acuerdo Anual suscrito para el Plan de Formación SATSE/FUDEN 2024, pero no han aportado evidencias hasta el momento -pese a los continuos requerimientos de aclaración de esta AEPD- de que se haya cumplido con todos los requisitos que el artículo 26 del RGPD (transcrito en dicho Fundamento), exige para los supuestos en los que exista corresponsabilidad. De acuerdo con las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD del Comité Europeo de Protección de Datos (CEPD), de 7 de julio de 2021 (en adelante, Directrices 07/20), no cabe duda de que las partes actuaron y pretendieron siempre actuar como corresponsables de la actividad de tratamiento de formación continuada y de postgrado de los profesionales sanitarios, toda vez que: “La figura de los corresponsables del tratamiento puede surgir cuando existen varios participantes en el tratamiento. El RGPD introduce disposiciones específicas sobre los corresponsables del tratamiento y establece un marco regulatorio para la relación entre estos. El criterio general para la existencia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/40 la corresponsabilidad del tratamiento es la participación conjunta de dos o más entes en la determinación de los fines y los medios de una operación de tratamiento. La participación conjunta puede tomar la forma de una decisión común adoptada por dos o más entes o ser el resultado de la convergencia de decisiones de dos o más entes, siempre que dichas decisiones se complementen entre sí y sean necesarias para que se lleve a cabo el tratamiento debido a que tienen un efecto tangible sobre la determinación de los fines y los medios del tratamiento. Un criterio importante para determinar la existencia de corresponsabilidad es la imposibilidad del tratamiento sin la participación de ambas partes, en el sentido de que los tratamientos por las distintas partes son inseparables los unos de los otros por estar indisolublemente unidos. La participación conjunta debe conllevar la determinación de los fines, por un lado, y de los medios, por otro.” Lo que se plantea en el supuesto presente si ambas entidades han incumplido con dos de las obligaciones que se deducen de los siguientes párrafos del artículo 26 del RGPD y son necesarias cuando existe corresponsabilidad (fijar y delimitar de sus responsabilidades respectivas en el acuerdo; y poner dicho acuerdo a disposición de los interesados). Toda vez que: - El artículo 26.1º del RGPD dispone que: ““Los corresponsables determinarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento, en particular en cuanto al ejercicio de los derechos del interesado y a sus respectivas obligaciones de suministro de información a que se refieren los artículos 13 y 14, salvo, y en la medida en que, sus responsabilidades respectivas se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. Dicho acuerdo podrá designar un punto de contacto para los interesados”. - El artículo 26.2º del RGPD dispone que: “El acuerdo indicado en el apartado 1 reflejará debidamente las funciones y relaciones respectivas de los corresponsables en relación con los interesados. Se pondrán a disposición del interesado los aspectos esenciales del acuerdo”. II.1. Respecto a la falta de concreción de funciones y relaciones respectivas de cada responsable en el Acuerdo de Corresponsabilidad. De acuerdo con lo previsto en ambos párrafos 1º y 2º del artículo 26 del RGPD, el CEPD señala en sus Directrices 07/2020, que “Los corresponsables del tratamiento deberán determinar de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el RGPD”, y que ella debe abordar el siguiente contenido que debe estar incluido en un documento o base jurídica que se proporcione a los interesados: - “La determinación de sus responsabilidades respectivas debe abordar, en particular, el ejercicio de los derechos de los interesados y las obligaciones de suministro de información. Además de esto, la distribución de las responsabilidades debe abarcar otras obligaciones del responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/40 tratamiento relacionadas, por ejemplo, con los principios generales de protección de datos, la base jurídica, las medidas de seguridad, la obligación de notificar las violaciones de la seguridad de los datos, las evaluaciones de impacto relativas a la protección de datos, el recurso a encargados del tratamiento, las transferencias a terceros países, y los contactos con los interesados y las autoridades de control”. - “Cada corresponsable del tratamiento está obligado a garantizar que exista una base jurídica que le permita llevar a cabo el tratamiento y que los datos no se sometan a un tratamiento posterior en un modo incompatible con los fines para los que fueron recogidos por el responsable del tratamiento que comparta los datos. El RGPD no especifica la forma jurídica que debe adoptar el acuerdo entre los corresponsables del tratamiento. En aras de la seguridad jurídica y a fin de asegurar la transparencia y la responsabilidad proactiva, el CEPD recomienda que dicho acuerdo se suscriba por medio de un documento vinculante, como un contrato, u otro acto jurídico vinculante en virtud del Derecho de la Unión o del Derecho de los Estados miembros que se les aplique. El acuerdo debe reflejar debidamente las funciones y relaciones respectivas de los corresponsables en relación con los interesados y deben ponerse a disposición del interesado los aspectos esenciales del acuerdo”. Señala también el CEPD que: “Independientemente de los términos del acuerdo, los interesados podrán ejercer sus derechos frente a, y en contra de, cada uno de los corresponsables. Los términos del acuerdo no vinculan a las autoridades de control ni en lo que respecta a la calificación de las partes como corresponsables del tratamiento ni en lo referente al punto de contacto designado.” Y en esta línea, concreta posteriormente algo esencial a tener en cuenta, que es que la evaluación de la corresponsabilidad debe basarse en un análisis fáctico, y no en un análisis formal del acuerdo o base jurídica suscrita por ambas partes, sino que hay que fijarse en la influencia real sobre los fines y los medios del tratamiento. Y al respecto, señala que: “·Todos los acuerdos existentes o previstos deben ser objeto de verificación en relación con las circunstancias de hecho en las que se desarrolla la relación entre las partes. Para ello, no basta con guiarse por un mero criterio formal, al menos por dos razones: en algunos casos, puede faltar el nombramiento formal de un responsable del tratamiento —por ejemplo, en virtud de la ley o de un contrato—; en otros, puede ocurrir que el nombramiento formal no refleje la realidad de los acuerdos, por haberse encomendado formalmente la función de responsable del tratamiento a un ente que, en la práctica, no esté en condiciones de «determinar» los fines y los medios del tratamiento”. Pues bien, en el supuesto presente, tenemos que las partes cumplieron con el requisito de reflejar en una base jurídica su corresponsabilidad pero lo hicieron de forma incompleta al no fijar claramente qué responsabilidades le correspondían a cada uno en la fijación de medios y fines de la actividad del tratamiento, que como ellos mismos dicen, se compone de diferentes funciones, cada una de las cuales conlleva diferentes operaciones de tratamiento de datos personales. Y por esta falta de determinación en el acuerdo base, se plantean dudas acerca de cuál era la responsabilidad real de cada una de las partes en la realidad fáctica. Esto es, si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/40 realmente era conjunta la determinación de la totalidad de fines y medios para todas las operaciones que componían el tratamiento como señalan SATSE y FUDEN en sus escritos de respuesta, o había algunas operaciones sobre cuyas decisiones operaban de forma independiente (siempre en su relación con los interesados y la protección de los datos personales objeto de tratamiento). Desde el punto de vista formal, ambas partes se reconocen y autodenominan como corresponsables y que la base jurídica, según el informe del DPD de FUDEN se hizo constar: “En el acuerdo anual suscrito por SATSE y FUDEN, en cumplimiento del artículo 26 RGPD, referido al ‘PLAN DE ACTIVIDADES FUDEN-SATSE 2024 DISEÑO E IMPLANTACIÓN DEL PLAN DE FORMACIÓN PARA ENFERMERAS, ENFERMEROS, ESPECIALISTAS Y FISIOTERAPEUTAS 2024’, en el que se establece, en el punto 9, que SATSE y FUDEN asumen la consideración de corresponsables de las actividades de tratamiento que se derivan de la ejecución del presente servicio formativo, todo ello de acuerdo con lo dispuesto en el artículo 26 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (…)”. El tenor literal de dicha cláusula novena del Plan de Formación (Como documento 4 Resp1 de FUDEN) es el siguiente: »A estos efectos, SATSE y FUDEN tratarán los datos personales recabados para promocionar y desarrollar el programa formativo aceptado en el que se acuerda la impartición de enseñanzas no oficiales dirigidas a la formación continuada y especialización de profesionales sanitarios que dan lugar a la obtención de títulos y diplomas acreditados por la UCAV, UCLM y Comisión de Formación Continuada de las Profesiones Sanitarias, constituyendo éstos los fines determinados, explícitos y legítimos de las actividades de tratamiento. A efectos del artículo 6 RGPD, dado que la participación en el programa formativo requiere de un proceso de acceso y de matriculación previo por parte de los potenciales alumnos, constituye la base jurídica de las actividades de tratamiento la ejecución del contrato de formación en el que el interesado va a ser parte o la aplicación a petición del interesado de medidas precontractuales, por ser los datos recabados necesarios para la ejecución del referido contrato. Asimismo, también operan como bases legitimadoras de las actividades de tratamiento, según los casos, la satisfacción de intereses legítimos perseguidos por SATSE, FUDEN o por un tercero, en los términos fijados por el RGPD, o el consentimiento dado por el interesado. » Los datos no serán comunicados a terceros, salvo obligación legal. » Los datos personales se conservarán durante el tiempo estrictamente necesario para dar cumplimiento a los fines y funciones docentes especificados. » SATSE y FUDEN, a efectos de determinar de modo transparente y de mutuo acuerdo sus respectivas responsabilidades en el cumplimiento de las obligaciones en materia de protección de datos impuestas por el RGPD, determinan que las actividades de tratamiento de datos cuya responsabilidad asume cada institución son aquellas vinculadas directamente con las tareas y cometidos que les corresponde en ejecución del programa formativo en los términos estipulados en los distintos apartados del Plan de Formación, con relación a las actividades de:
  63. a)Gestión de acceso y matriculación de alumnos.
  64. b)Gestión administrativa (matrícula, preinscripción, acreditación de calificaciones, actas, etc.) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/40
  65. c)Gestión académica (evaluaciones, actividades académicas, etc.)
  66. d)Expediente de alumno matriculado en el estudio propio
  67. e)Supervisión académica
  68. f)Coordinación académica
  69. g)Gestión de plataforma de formación online
  70. h)Gestión de docentes
  71. i)Expedición de títulos propios y diplomas
  72. j)Difusión del programa formativo
  73. k)Gestión de pólizas colectivas de seguro por actividades académicas (escolar, accidentes, viajes, etc.). » Ambas instituciones se comprometen cumplir con los deberes de información y transparencia establecidos en los artículos 13 y 14 RGPD, a tal fin ponen a disposición de los interesados, a través de la información básica de protección de datos, los aspectos esenciales de este acuerdo. » Los interesados pueden ejercer los derechos que les reconoce el RGPD ante SATSE y FUDEN indistintamente, por establecerlo así el artículo 26.3 RGPD. » SATSE y FUDEN coordinarán sus obligaciones en materia de protección de datos a través de los responsables de formación de ambas entidades. » Teniendo en cuenta el estado de la técnica, el coste de implementación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, ambas instituciones, en su condición de responsables de tratamiento, manifiestan disponer de las medidas de índole técnica y organizativa que garantizan la aplicación de forma efectiva los principios de protección de datos, a fin de cumplir los requisitos del RGPD y proteger los derechos de los interesados.» Así pues, el acuerdo de corresponsabilidad enumera una serie de funciones genéricas (un total de 11 funciones propias de la actividad formativa enumeradas con las letras a-
  74. k)y remite al Plan de formación SATSE/FUDEN 2024 al objeto de concretar las tareas cuya actividad de tratamiento le corresponden a cada parte. Pero del texto del resto de cláusulas del Plan de formación de 2024 contenidas en dicho documento 4 no se deduce en ningún caso esta responsabilidad. Puesto que el Plan se limita a realizar una asignación presupuestaria referida a diferentes cursos de formación de SATSE/FUDEN, donde no se hace constar qué roles o funciones de estos 11 apartados cumple cada una de las entidades (ni siquiera quien se encarga de impartir la formación), y, lo que es más relevante, no se hace constar quién se encarga del tratamiento de los datos personales recabados para cumplir con las finalidades del tratamiento que se describen. Cabe señalar que tampoco se deduce esta distribución de responsabilidades del resto de documentos aportados por la Resp1 de FUDEN al respecto, puesto que: - DOC_05_Memoria_Actividades _FUDEN_SATSE_2022, donde se listan las actividades de formación impartidas en el año 2022, con número de alumnos matriculados y número de diplomas, sin mención funciones ni roles. Aparece sin firma y con el sello de FUDEN y SATSE. - DOC_06_”RGPD_ciclo_formacion_continuada”. Se trata de un documento denominado como “Aplicación de la normativa de protección de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/40 participantes en el ciclo de formación continuada de profesionales sanitarios “contrato de formación no reglada”, donde aparecen las modalidades formación no reglada. Y se indica como base legal que: “La ejecución del contrato de formación continuada en el que profesional sanitario es parte y la satisfacción de intereses legítimos del responsable o corresponsable de tratamiento actúan como bases legales que legitiman las actividades de tratamiento de datos personales entre los diferentes participantes del ciclo formativo con relación a las fases de organización, diseño, promoción, impartición, acreditación y, en su caso, reconocimiento de la actividad Formativa”. Estas funciones coinciden con las que se atribuyen ambas partes en el RAT de la actividad de tratamiento y se enumeran los diferentes roles y las funciones que corresponde a cada uno, pero no se identifica quién ejerce cada rol (organizador, diseñador, impartidor, comisión de formación continuada (acreditador1), universidad (acreditador2), y reconocedor. No aparece qué entidades o personas se encargan de ejecutar estos roles), por lo que siguen sin estar delimitadas estas actividades de tratamiento. . Requeridas ambas partes al objeto de aclarar y delimitar sus responsabilidades respectivas, siguen planteándose diversas dudas acerca de quién se encarga de decidir sobre los fines y los medios, a la vista de las contradicciones aparentes entre la asunción de responsabilidad conjunta y las siguientes evidencias: o SATSE señala que fundó FUDEN en 1989 como entidad jurídica benéfica docente y que desde entonces ambas “han contribuido conjuntamente a la formación y capacitación de enfermeras, matronas y fisioterapeutas”. o El RAT aportado por FUDEN y SATSE señala las siguientes finalidades: FUDEN tiene la “Gestión del diseño, promoción, organización, impartición, incluyendo prácticas tutorizadas, acreditación y evaluación de calidad de las actividades formativas presenciales, semipresenciales, a distancia u online”, mientras que SATSE se atribuye una finalidad muy similar relativa a “Plan de actividades formativas incluyendo el diseño, organización, promoción, impartición (incluyendo prácticas tutorizadas) y acreditación de las actividades formativas.” Esta diferencia no aparece en el Acuerdo de Corresponsabilidad ni se explica exactamente en qué consiste. Y existen dos finalidades no coincidentes que podrían estar ejerciéndose por separado en la realidad a las que tampoco hace referencia el acuerdo, toda vez que:  FUDEN tiene otra finalidad de tratamiento que no aparece en el RAT de SATSE: “Envío de información promocional de nuevas actividades formativas relacionas con otras cursadas anteriormente, así como de otras actividades relacionadas con la difusión de los valores de la enfermería.”  SATSE también tiene una finalidad que no aparece en el RAT de FUDEN: Gestión y control de la oferta formativa presencial, semipresencial o a distancia del Sindicato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/40 o En su Respuesta, SATSE señala que cuenta con un amplio conocimiento en la formación, y que FUDEN “como entidad no lucrativa inscrita en el Ministerio de Educación y en cumplimiento de sus fines fundacionales, organiza, diseña, imparte y acredita, por sí o mediante la colaboración con terceras entidades, actividades formativas destinadas a los profesionales sanitarios de enfermería desde su creación en 1989”. No obstante, la distribución de funciones (que en cualquier caso no consta en el Acuerdo de Corresponsabilidad) vuelve a confundirse posteriormente al no aclarar qué papel tiene SATSE en esta actividad, señalándose que: “Enmarcada dentro de esa estrecha vinculación jurídica por vía fundacional que une a ambas instituciones, la estrategia de colaboración busca aprovechar sus sinergias en beneficio de los profesionales de enfermería, para ofertar formación continuada de calidad en modalidad presencial, semipresencial y online”. o Ambas partes afirman que SATSE tiene una infraestructura tecnológica robusta que comparte con FUDEN, y que “dentro del marco de colaboración entre ambas entidades con relación a las actividades de formación continuada dirigida a profesionales sanitarios, FUDEN accede al entorno tecnológico de SATSE mediante 3 túneles de VPC adicionales que conectan las sedes de FUDEN”. Y pese a que en el Acuerdo de Corresponsabilidad ambas se declaraban responsables de adoptar medidas, se observa que: (
  75. i)Es el responsable de seguridad de SATSE quien firma los informes sobre medidas preventivas y reactivas adoptadas; (
  76. ii)Solo SATSE ha suscrito el contrato base de alojamiento de servicios con la encargada del tratamiento para conservar los datos personales en sus CPD, PROSIODE IBÉRICA, (iii) Pero, por otra parte, el nuevo contrato del servicio de vigilancia se ha suscrito entre IASS365 y FUDEN, no con SATSE; (
  77. iv)y consta que la detección de la brecha se realizó por SATSE, que la comunicó a FUDEN y ambas notificaron la brecha a esta autoridad. Por tanto, no se acaba de entender si esta responsabilidad en la adopción de medidas es realmente conjunta, y quién está realmente decidiendo sobre los fines y medios al respecto. Porque las partes no están cumpliendo con su deber de documentarlo. o Pese a lo que señala el acuerdo en cuanto al ejercicio de derechos de los interesados e información previa, en los formularios de matrícula y política de privacidad sobre la actividad formativa, únicamente constan como responsables del tratamiento de datos personales recabados FUDEN y la Universidad que colabora en la impartición, y no SATSE como veremos seguidamente. o A mayor abundamiento, resulta significativo que las respuestas de ambas partes a los requerimientos realizados mantienen idénticos argumentos, haciendo referencia mutua a lo realizado, contratado o previsto por la otra parte, y asumiendo siempre la corresponsabilidad de funciones. Se observa que ambas están actuando conjuntamente al responder a esta Agencia, puesto que FUDEN aporta documentos de SATSE (informe de auditoría, todos los informes sobre medidas preventivas, reactivas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/40 descriptivos de la migración), y SATSE indica que el Análisis de Riesgos lo hizo FUDEN como “impartidor de los cursos” (lo que no consta en el acuerdo firmado ni en el RAT ni en el documento de roles intervinientes). En consecuencia, de lo expuesto se deduce que en el Acuerdo de Corresponsabilidad no está reflejando con transparencia y claridad qué responsabilidades respectivas le corresponden a cada entidad en la actividad de tratamiento señalada, y existen indicios razonables de que algunas de las decisiones sobre los fines y medios del tratamiento que se hacen constar en el mismo podrían no coincidir con la realidad fáctica, lo que deberá acreditarse durante la instrucción a los efectos de determinar la responsabilidad de las partes en la Resolución, tal y como señala el artículo 28 de la LRJSP antes citado. II.1. Respecto a la falta de disposición a los interesados del Acuerdo que fije las funciones y relaciones de cada responsable. En respuesta al requerimiento para que confirmen la información que se proporcionaba a los alumnos en relación con la corresponsabilidad del tratamiento (transparencia del tratamiento), SATSE afirma que esta información se realiza en el proceso de matrícula con los documentos que se requiere, formalizando el contrato de formación que regula los derechos y obligaciones entre el alumno y la entidad de formación, y se acredita mediante el formulario de matrícula. Como se ha visto, en la cláusula novena del Acuerdo Anual para el Plan de Formación, in fine, se señala expresamente que la responsabilidad se podrá ejercer por los interesados frente a ambas entidades y que ambas cumplirán con los deberes de información y establecerán las medidas técnicas y organizativas necesarias para proteger los datos personales. Motivo por el que, formalmente, cabe entender que está fijándose una responsabilidad conjunta de cara al interesado. Ahora bien, ello no coincide con lo que se está informando a los interesados, toda vez que, de acuerdo con el formulario de matrícula aportado por SATSE y FUDEN, se hace constar que el responsable del tratamiento es únicamente FUDEN y la Universidad con la que se colabora, al igual que en la política de privacidad que aparece en la oferta e información previa sobre la actividad formativa, sin que en ningún momento se haga referencia a SATSE en dichos documentos, sino a la colaboración con la Universidad o Centro educativo correspondiente. - En el formulario de matrícula aportado tanto en la Resp1 de FUDEN como en la Respuesta de SATSE, sobre el PROGRAMA ACADÉMICO “UCAV-FUDEN”, para el aparecen como responsables del tratamiento: Universidad Católica “Santa Teresa de Jesús” de Ávila (UCAV), y la Fundación para el Desarrollo de la Enfermería (FUDEN). Y señalan que Puede consultar información adicional y detallada sobre nuestra Política de Protección de Datos en: http://www.fuden.es/politica-de-proteccion-de-datos, y http://www.ucavila.es/PoliticaPrivacidad.pdf. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/40 - La política de privacidad de FUDEN que consta en dicho enlace ha sido diligenciada, sin que en ningún lugar se concrete qué datos personales se tratan ni aparezca SATSE como responsable. Y, por otra parte, tampoco se ha acreditado que el acuerdo de corresponsabilidad que consta en dicho Plan de Formación se haya puesto a disposición de los interesados, de acuerdo con lo previsto en el artículo 26.2 del RGPD, por lo que cabe entender presuntamente incumplida esta obligación. II.1. Conclusión. En consecuencia, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción del artículo 26 del RGPD, por haber incumplido presuntamente las obligaciones que se atribuyen a los corresponsables de un tratamiento, a la vista de la falta de concreción de las responsabilidades, funciones y relaciones respectivas de cada responsable en el Acuerdo de Corresponsabilidad, así como la falta de puesta a disposición de las mismas a los interesados. VIII. Tipificación de la infracción del artículo 26 RGPD La infracción del Principio contenido en el artículo 26 del RGPD se encuentra tipificada en el artículo 83. 4
  78. a)del RGPD, que dispone que: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  79. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43” Por su parte, la LOPDGDD en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas leves: “
  80. h)La falta de formalización por los corresponsables del tratamiento del acuerdo que determine las obligaciones, funciones y responsabilidades respectivas con respecto al tratamiento de datos personales y sus relaciones con los afectados al que se refiere el artículo 26 del Reglamento (UE) 2016/679 o la inexactitud en la determinación de las mismas.” IX. Sanción por el presunto incumplimiento del artículo 26 del RGPD. En este caso, considerando la gravedad de la infracción constatada respecto a la vulneración del artículo 26 del RGPD, de acuerdo con las previsiones normativas que se han hecho constar en el Fundamento de Derecho VI contenidas en el artículo 83 del RGPD y 76 de la LOPDGDD, y atendiendo especialmente a las consecuencias que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/40 su comisión provoca en los interesados, se entiende que procedería imponer una sanción de multa, considerándose los volúmenes de negocio de ambas corresponsables y fijando una sola sanción inicial que corresponde a ambas de forma solidaria, que deberá abonarse de forma íntegra por una de las dos entidades. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes:  Art. 83.2.
  81. a)RGPD: “La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. Se tiene en consideración respecto a la gravedad que ambas partes reflejaron su corresponsabilidad en un acuerdo, si bien el mismo no cumplía con los requisitos mínimos, ni fue puesto a disposición de los interesados, a los que se proporcionó otra información sobre los responsables en el formulario de matrícula y la política de privacidad de FUDEN. Asimismo, se tiene en cuenta que la infracción respecto de la identificación de los términos bajo los que se desarrolla la corresponsabilidad se aplica respecto de todo tratamiento de datos llevado a cabo en el macro de las acciones formativas, realizadas y en realización, de forma conjuntamente por ambas entidades.  Art. 83.2b) “la intencionalidad o negligencia en la infracción”. Como corresponsables de la actividad de tratamiento que se ejerce conjuntamente, ambas entidades vienen obligadas a actuar con la especial diligencia que es exigible a este tipo de tratamientos, dados los elevados riesgos que genera su utilización. A propósito del nivel de diligencia que el responsable del tratamiento está obligado a desplegar puede traerse a colación la sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 17 de octubre de 2007, que ha sido citada anteriormente. Aplicando esta doctrina al presente supuesto, la falta de diligencia concurrente debe calificarse de “grave”, dejando patente su falta de diligencia al desconocer incluso el contenido exacto que hay que reflejar en el acuerdo de corresponsabilidad y que éste debe adecuarse a la realidad y ajustarse al mismo todos los documentos relacionados con el cumplimiento de la normativa de la protección de datos personales. Sin que se hubiera tenido en cuenta la obligación de comunicar a los interesados que SATSE era corresponsable, señalando que lo era FUDEN y la Universidad colaboradora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/40 Si bien se incluyó una cláusula dentro del Plan de Formación suscrito entre ambas partes para reflejar que se actuaba en régimen de corresponsabilidad, consta que no se reflejaron las funciones ni las responsabilidades respectivas de cada parte ni en dicho Plan de Formación, ni en ninguno de los documentos elaborados como la Memoria de Actividades, o el documento de normativa del artículo 6 del RGPD que hacía referencia a los roles, no habiendo además adecuado el RAT, y documentación informativa proporcionada al interesado (alumno) a la realidad de la corresponsabilidad que se estaba produciendo. Es más, incluso al contestar a los requerimientos de información, siguen confundiéndose estas cuestiones, como se ha señalado previamente. • Artículo 83.2.
  82. g)del RGPD: “La afectación a una de las categorías especiales de datos”: a la vista de que la actividad de tratamiento sobre formación que se asume en régimen de corresponsabilidad en el acuerdo requiere el tratamiento de las categorías de datos personales de los profesionales que se han hecho constar en el en los Fundamento de Derecho III y VI, incluyendo incluso datos financieros y copias de DNI. Asimismo, se valoran que concurre la siguiente circunstancia agravante de la graduación de la sanción:  La vinculación de la actividad del infractor con la realización de tratamientos de datos personales” (Artículo 76.2.
  83. b)de la LOPDGDD en relación con el artículo 83.2.k)). En la actividad de ambas entidades reclamadas es imprescindible el tratamiento de datos de carácter personal por ser su objeto social según la descripción que aparece en el informe de axesor al que ya se ha hecho referencia. Por lo que la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  84. b)de la LOPDGDD en relación con el artículo 83.2.k). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 26 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 5.000 € (CINCO MIL EUROS). X. Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 5.1.
  85. f)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  86. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/40 En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir tanto a SATSE como a FUDEN para que, en el plazo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber adoptado las medidas siguientes: - - - Acredite que ha establecido las medidas técnicas y organizativas necesarias que sean necesarias para proteger la confidencialidad, disponibilidad e integridad de los datos personales que sean objeto de tratamiento por ambas partes, frente a todos los riesgos concurrentes que se plantean, debiendo aportar un análisis de riesgos del tratamiento realizado, en el que se analicen de forma exhaustiva todos los riesgos para los derechos y libertades de los clientes, y se detallen las medidas adoptadas para mitigar, reducir o eliminar los riesgos concurrentes. Acredite que ambas partes han formalizado un Acuerdo de corresponsabilidad que fije las funciones y responsabilidades respectivas de cada una de las partes en relación con la actividad de formación continuada y postgrado -y aquellas otras sobre cuyos fines y medios se decida conjuntamente-y cumpla con los requisitos previstos en el artículo 26 del RGPD. En concreto, en dicho acuerdo deberá reflejarse las actividades de tratamiento de datos personales – cuyos datos personales son objeto de tratamiento y se alojan en las infraestructuras compartidas por ambas entidades- que se ejercen de forma conjunta y cuáles se ejercen de forma independiente por cada una de las partes, y quien decide en cada caso sobre los fines y medios del tratamiento en cada caso. Acredite que ambos corresponsables han puesto a disposición de los interesados dicho acuerdo de corresponsabilidad antes de continuar prestando acciones formativas. Acredite que se ha adecuado a la realidad fáctica del tratamiento tanto el referido Acuerdo de Corresponsabilidad, como los RAT de cada entidad, los formularios de matrícula, política de privacidad, contratos de encargo del tratamiento, así como el resto de documentación acreditativa del cumplimiento de obligaciones por ambos responsables del tratamiento a las que se refiere el RGPD. Se hace constar que se deberá acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, no solo para cumplir con la normativa, sino también para demostrar su cumplimiento antes las autoridades de control e interesados. La imposición de esta medida es compatible con la sanción consistente en multa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/40 administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FUNDACIÓN PARA EL DESARROLLO DE LA ENFERMERÍA (FUDEN) con NIF G79069746 y a SINDICATO DE ENFERMERÍA, SATSE, con NIF G28584035, como presuntos corresponsables de las siguientes infracciones: - Infracción del artículo 5.1.
  87. f)del RGPD, tipificada en el artículo 83.5.
  88. a)del RGPD. Infracción del artículo 26 del RGPD, tipificada en el artículo 83.4.
  89. a)del RGPD. SEGUNDO: NOMBRAR como instructora a S.S.S. y, como secretaria, a R.R.R., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  90. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, sin perjuicio de lo que resulte de la instrucción, la sanción que pudiera corresponder a ambas corresponsables y a título solidario, sería la de multa administrativa de los siguientes importes: - 10.000 euros (DIEZ MIL EUROS) por la infracción del artículo 5.1.
  91. f)del RGPD 5.000 euros (CINCO MIL EUROS), por la infracción del artículo 26 del RGPD Ello arroja una cantidad total de 15.000 euros (QUINCE MIL EUROS) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/40 QUINTO: NOTIFICAR el presente acuerdo a FUNDACIÓN PARA EL DESARROLLO DE LA ENFERMERÍA y SINDICATO DE ENFERMERÍA, SATSE, otorgándoles un plazo de audiencia de diez días hábiles para que formulen las alegaciones y presenten las pruebas que considere convenientes. En sus escritos de alegaciones deberán facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. También podrán presentar un escrito de alegaciones conjunto en caso de disponer de una misma persona que actúe como representante en nombre y representación de los dos, cuya representación se acredite. SEXTO: De conformidad con lo dispuesto en el artículo 85 de la LPACAP, ambas entidades corresponsables podrán reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción total que proceda imponer en el presente procedimiento (de 15.000 euros). Con la aplicación de esta reducción del 20% al reconocer la responsabilidad, la sanción quedaría establecida en 12.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 12.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones (20%+20%), el importe de la sanción quedaría establecido en un 60 % de la sanción total fijada inicialmente (9.000 euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (12.000 euros o 9.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/40 electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
  92. es)y de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-010725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 23 de agosto de 2025, se ha procedido al pago de la sanción en la cuantía de 9.000,00 euros, haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad, por FUDEN y SATSE, en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  93. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/40 garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 9.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/40 Tras la notificación del citado acuerdo de inicio, FUDEN y SATSE han procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 15.000,00 euros. Tras haber procedido FUNDACIÓN PARA EL DESARROLLO DE LA ENFERMERÍA y SINDICATO DE ENFERMERÍA, SATSE al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 9.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202403096, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a FUNDACIÓN PARA EL DESARROLLO DE LA ENFERMERÍA y SINDICATO DE ENFERMERÍA, SATSE para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifiquen a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a FUNDACIÓN PARA DESARROLLO DE LA ENFERMERÍA y SINDICATO DE ENFERMERÍA, SATSE. EL QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/40 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  94. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  95. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.