PS-00330-2025

(15879)Austria

(2202)Bélgica

(4242)Bulgaria

(1043)Chipre

(236)Croacia

(669)Dinamarca

(1320)Francia

(16464)Eslovaquia

(182)Eslovenia

(463)Estonia

(80)Finlandia

(1268)Grecia

(2122)Hungría

(966)Irlanda

(3311)Italia

(19850)Letonia

(74)Lituania

(104)Luxemburgo

(813)Malta

(523)Países Bajos

(5460)Polonia

(1999)Portugal

(18452)República Checa

(778)Rumanía

(44)Suecia

(4269)Junto a la notificación de la brecha de datos personales, EMAGISTER aporta el documento “Designacin_Delegado_Proteccin_Datos_EMAGISTER” donde se recogen, entre otras cosas, el Manual de Funcionamiento del Delegado de Protección de Datos y que “La Dirección de EMAGISTER designa como Delegado de Protección de Datos a A.A.A.”. El documento está firmado en fecha 15 de diciembre de 2023. Posteriormente, con fecha 17 de enero de 2024, EMAGISTER amplía la información relativa a la brecha de datos personales en el documento titulado “Informe acerca de la brecha de seguridad 15/12/2023” que recoge un resumen de la incidencia descrita e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/34 incorpora la siguiente información adicional: “(…) En un primer examen de la incidencia se constató que el volumen de datos sustraídos era de aproximadamente 15.000.000. Tras realizar un análisis más exhaustivo, se ha constatado que el volumen final de afectados asciende a 27.000.000. (…), se logra encontrar la puerta de entrada que el atacante usó para acceder al sistema. Se valió de una url (www.emagister.com/Mails) que en combinación del uso de una clase (Zend_Mail) con la versión del framework que tenemos (Zend Framework 1) hacía que un usuario pudiera lanzar un ataque como el que sufrimos. En este enlace, https://vulmon.com/vulnerabilitydetails?qid=CVE-20153154&scoretype=cvssv3, se identifica la vulnerabilidad explicada. Entre este momento y en el que se instaló el QAF, el atacante trató de acceder ilegalmente a nuestros servidores 3 veces. Las 3 veces, al momento de entrar, se les bloqueó el acceso a los pocos segundos (gracias al sistema de monitorización…). Acciones tomadas en el momento - - Interrumpir los procesos y cerrar la conexión abierta por los atacantes (…). Crear un sistema de monitorización que analiza la existencia de este tipo de procesos (…). Instalación de un Web Application Firewall (WAF) (…). El WAF que decidimos instalar es Fortiweb, uno de los líderes del mercado (…). Contratar a la empresa Forensic & Security para que realice un análisis profundo forense de todos nuestros servidores en busca de procesos, recursos… maliciosos o sospechosos (…). En el informe salieron a la luz 3 urls que permitían accesos ilegales. Se eliminaron al momento. Aparte de eso, no salieron más vulnerabilidades y tenemos confirmación de que los servidores están limpios (…). Se valida con el INCIBE el incidente y las medidas tomadas. Tras informarle de la incidencia y de las medidas tomadas, nos comunicaron que dan su conformidad con las acciones tomadas y cierran el expediente. Se procede a enviar una notificación (vía email) a todos los usuarios afectados. En dicha notificación se explica la fuga de datos y qué datos han sido sustraídos. Mediante Forensic & Security se rastrean posibles mercados y lugares en los que pueden ofrecerse los datos sustraídos. No se encuentran evidencias de que hayan salido a la venta o se estén ofreciendo. Acciones tomadas y que siguen en proceso de desarrollo - Desde mayo de 2023 en Emagister se está procediendo a una puesta al día en las versiones de todo nuestro software y hardware. Es un proceso que se ha estimado en 1 año de trabajo y que debería finalizar en mayo del 2024. En dicho proceso se incluye la actualización del framework (Zend Framework), que es el software que tenía la vulnerabilidad aprovechada por los atacantes. Todo software que implementamos estará actualizado a versiones que tengan mantenimiento de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/34 Denuncia ante los juzgados del incidente (…) Emagister, ha presentado con fecha 02/01/2024, una denuncia de los hechos en ***JUZGADO.1, al objeto de que se realicen las acciones pertinentes para la averiguación de la identidad de la/s persona/s que realizó el ataque. Conclusiones Se puede concluir que: - Se ha identificado el origen por el que los atacantes entraron al sistema y se ha procedido a desactivarlo. - La instalación del firewall (WAF) en la web ha sido clave para la contención de este problema y de otros posibles ataques. Se ha demostrado que el mismo ataque con el WAF no habría sucedido. - Se ha hecho un análisis forense minucioso que descarta más afectaciones de las ya informadas en este informe. - Se sigue trabajando de manera intensiva en la actualización del software que se usa en Emagister, en los términos anteriormente descritos.” SEGUNDO: En relación con el ciberincidente descrito se han recibido en esta Agencia las siguientes reclamaciones de personas cuyos datos personales se vieron afectados:        Reclamación 1: en fecha 19 de diciembre de 2023 se recibe reclamación de C.C.C., en la que el reclamante manifiesta ser una de las personas afectadas por una brecha de seguridad comunicada por EMAGISTER. Reclamación 2: en fecha 19 de diciembre de 2023 se recibe reclamación de B.B.B., en la que el reclamante aporta copia de la comunicación de la brecha que ha recibido de EMAGISTER en fecha 19 de diciembre de 2023. Reclamación 3: en fecha 19 de diciembre de 2023 se recibe reclamación de D.D.D., en la que la reclamante aporta copia de la comunicación de la brecha que ha recibido de EMAGISTER en fecha 19 de diciembre de 2023. Reclamación 4: en fecha 21 de diciembre de 2023 se recibe reclamación de E.E.E., en la que la reclamante reproduce el texto de la comunicación de la brecha que ha recibido de EMAGISTER en fecha 20 de diciembre de 2023. Reclamación 5: en fecha 25 de diciembre de 2023 se recibe reclamación de F.F.F., en la que el reclamante aporta copia de la comunicación de la brecha que ha recibido de EMAGISTER en fecha 19 de diciembre de 2023. Reclamación 6: en fecha 9 de enero de 2024 se recibe reclamación de G.G.G., en la que el reclamante manifiesta haber recibido el 19 de diciembre de 2023 una comunicación de EMAGISTER informándole de la brecha. Reclamación 7: en fecha 6 de febrero de 2024 se recibe reclamación de H.H.H., en la que la reclamante aporta copia de la comunicación de la brecha que ha recibido de EMAGISTER en fecha 19 de diciembre de 2023. Como se ha indicado, algunos reclamantes se han limitado a reproducir el contenido del mensaje recibido, mientras que otros han aportado copia íntegra del correo electrónico remitido por EMAGISTER, en ambos casos el contenido del mensaje es coincidente. Se transcribe a continuación el contenido completo del referido mensaje con asunto “Información importante sobre sus datos en Emagister”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/34 “Estimado usuario, Le informamos que en fecha 15 de diciembre de 2023 se detectó una brecha de seguridad debido a una ejecución remota de código. La brecha de seguridad se produjo por un aprovechamiento de una vulnerabilidad en una de las librerías usadas en Emagister y consistió en la ejecución de un código no permitido desde nuestros servidores. Dicho incidente afectó a sus datos personales tales como nombre, apellidos, género, correo electrónico, fecha de nacimiento, número de teléfono, domicilio o código postal y se ha detectado que ello le podría afectar debido a que puede suponer pérdida de control sobre sus datos personales, reidentificación no autorizada, pérdida de confidencialidad de datos afectados. Asimismo, hemos determinado que la gravedad de las consecuencias expuestas es baja. Nos tomamos su privacidad muy en serio y por ello hemos tomado todas las medidas que se encuentran a nuestro alcance para solucionar el incidente y minimizar los posibles daños que eventualmente le pueda causar. Por ello hemos procedido a tomar todas las medidas necesarias para que no se vuelva a repetir una vez analizado el problema. De igual manera, en aras de cumplir con el principio de transparencia hemos comunicado la brecha de seguridad a la Agencia Española de Protección de Datos y hemos redactado un informe a nivel interno donde se detalla el proceso de gestión de la brecha de seguridad. Si desea obtener más información acerca de la gestión del incidente puede contactar con nosotros mediante el correo soporteusuario@emagister.com” Cabe señalar que, en determinados casos, el mensaje fue recibido en castellano, inglés e italiano, con contenido equivalente todas las versiones. TERCERO: Como consecuencia de los hechos conocidos, con fecha 9 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). CUARTO: Con fecha 12 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite las reclamaciones presentadas. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/34 Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Con fecha 27 de marzo de 2024 se realiza un requerimiento de información a EMAGISTER solicitándole, entre otros puntos, la descripción detallada y cronológica de los hechos y especificación de las causas del incidente, el número de personas afectadas, categoría de los datos involucrados y posibles consecuencias para los afectados, acciones tomadas para solucionar el incidente y medidas para que no vuelva a suceder, etc. La entidad notificada responde a este requerimiento de información con fecha de registro 11 de abril de 2024, proporcionando su escrito de respuesta denominado “INFORME_BRECHA_SEGURIDAD” al que se acompaña la siguiente documentación:  “INFORME_ANLISIS_DE_RIESGOS”: Análisis de Riesgos  “COMUNICACIN_REALIZADA_AFECTADOS”  “ICM_Contrato_Tratamiento_Emagister”: Contrato encargado de tratamiento ICM.  “Contrato_ICM_Implementacion_***SERVICIO.1”: Contrato implementación WAF-ICM.  “Informe_Forensic_Security”: Informe monitorización y vigilancia digital Forensic&Securit con fecha 8 de abril de 2024. Con fecha 12 de diciembre de 2024 se realiza un segundo requerimiento de información a EMAGISTER solicitándole aclaración, entre otros puntos, sobre las medidas desplegadas para el cifrado de los datos, acreditación de la fecha de realización del Análisis de Riesgos y copia de las comunicaciones con INCIBE. La entidad notificante responde a este requerimiento de información con fecha de registro 2 de enero de 2025, proporcionando la siguiente documentación junto a su escrito de respuesta “Contestacin_AEPD_EXP_202402289”:    “Informe_Forense_Forensic_Security”: Análisis forense realizado por la empresa externa de seguridad contratada tras la brecha (Forensic & Security) con fecha 9 de febrero de 2024. “Comunicacion_afectados_report01, 02 y 03” - Listado por países de la comunicación realizada. “Denuncia_Juzgado” - Copia de la denuncia interpuesta ante el ***JUZGADO.1 en la que figura el sello del registro de entrada del ***JUZGADO.1 y la fecha de presentación del escrito (2 de enero de 2024). La documentación y manifestaciones que EMAGISTER expone en sus escritos de respuesta a los requerimientos de información serán analizadas a continuación en el presente informe. Respecto al tratamiento EMAGISTER manifiesta en su escrito de respuesta al primer requerimiento de información que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/34 “El responsable recaba datos de carácter personal mediante formularios incluidos en página web. Los datos recabados son datos identificativos tales como nombre, apellidos, teléfono, DNI (en algunos supuestos) y correo electrónico, que son almacenados en servidores contratados por el responsable o encargados de tratamiento. El tratamiento de los datos tiene como finalidad dar respuesta a las solicitudes de información requerida por los usuarios, referida al campo de la formación académica.” Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final La cronología de los hechos se resume a continuación:     13/12/2023: EMAGISTER advierte una incidencia en el comportamiento normal de la página www.emagister.com. En el proceso de investigación de la incidencia se detectan procesos no reconocidos que mantenían una conexión con la IP ***IP.1 que no pertenece a EMAGISTER. La IP está localizada en Rumania. 14/12/2023: o Se interrumpe el proceso identificado y se cierra la conexión asociada. o Se crea, además, un sistema de monitorización que, ante una intrusión, alerta al equipo de guardia para que adopte las medidas oportunas para eliminarla. o Se investiga la actividad que se ha realizado a través de dicha conexión. 15/12/2023: o Se constata la siguiente evidencia: acceso a los servidores de EMAGISTER mediante una consulta SQL dirigida a la tabla que almacena los datos de los usuarios de emagister.com. Como resultado de dicha acción, se verifica que el script ejecutado a través de dicha conexión permitió la obtención de los datos correspondientes a todos los usuarios de la empresa que se cuantifica en aproximadamente 27.000.000. o Se identifica el vector de entrada que el atacante usó para acceder al sistema. 18/12/2023: Fecha de notificación de la brecha de seguridad de datos personales por parte del responsable del tratamiento. EMAGISTER considera como fecha de inicio de la brecha el 24/11/2023 precisando a este respecto: “Durante el análisis del incidente, el equipo de sistemas vio que el proceso por el que los atacantes se conectaron para sacar los datos de la base de datos se arrancó el 24/11/2023 Esta información se visualizó en el momento que se analizaba el incidente anterior. En el 24/11/2023 se arrancó el proceso que les permitía entrar en el servidor, pero no fue hasta el 14/12/2023 que usaron dicha conexión para extraer los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/34 datos. Fue el día 15/12/2023 fue cuando se tuvo la certeza de que se estaba produciendo una sustracción de datos, en los términos que se ha explicado anteriormente.” Respecto a las acciones realizadas una vez identificada la incidencia, EMAGISTER especifica en su escrito de respuesta al primer requerimiento: - (…) EMAGISTER aporta la copia de la denuncia presentada ante el ***JUZGADO.1 con fecha 2 de enero de 2024. Respecto de las causas que hicieron posible la brecha EMAGISTER aporta la siguiente explicación en su escrito de respuesta al primer requerimiento de información: “(…).” Solicitada acreditación de la detección de la posible vulnerabilidad de Zend Framework en abril de 2023, EMAGISTER manifiesta en su escrito de respuesta al segundo requerimiento de información que: “(…)” Respecto al informe forense realizado por Forensic&Security Solicitada la copia del análisis forense realizado tras la brecha, EMAGISTER remite el informe elaborado por la empresa externa de seguridad Forensic&Security, “Informe Forense Ejecutivo. Cliente: EMAGISTER Servicios de formación”, con fecha 9 de febrero de 2024. En este documento se explica el análisis del incidente y se describen la infraestructura de EMAGISTER, la cronología del análisis, del incidente y las evidencias recopiladas, así como recomendaciones para mejorar la postura de seguridad. Su objetivo es esclarecer el origen del incidente, la existencia o no de exfiltración de datos y encontrar información adicional que pueda ayudar a esclarecer lo sucedido. El informe establece la primera reunión entre EMAGISTER, ICM y Forensic&Security con fecha 20 de diciembre de 2023, siendo ICM el proveedor de sistemas de EMAGISTER. Describe la infraestructura del cliente de la siguiente manera: “El cliente dispone de 18 servidores virtualizados donde se encuentra desplegada su aplicativo web. El tráfico de las peticiones es balanceado a estos servidores para poder soportar la alta carga de tráfico recibidos.” El informe refiere que los servicios web de Emagister fueron auditados en 2023. De las vulnerabilidades identificadas destacan las siguientes con impacto alto: 001 Versión de servidor web deprecado 002 Vulnerabilidad HeartBleed Respecto a Pentesting destaca la siguiente vulnerabilidad con Impacto Crítico: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/34 SQL Injection La vulnerabilidad explotada, identificada como ***REFERENCIA.1, fue publicada en fecha 4 de abril de 2023 y catalogada como crítica. El método utilizado por el atacante es el siguiente: “a partir del proceso habitual del servidor web Apache, httpd, se ha lanzado la herramienta netcat (

1. nc)establecido una conexión contra una máquina en Internet con dirección IP ***IP.2 y hacia el puerto destino 8443. Este tipo de conexiones se denominan conexiones inversas o “remote shell“ ya que es la maquina victima la que establece la conexión contra el atacante.” El informe incluye evidencias de las conexiones implicadas en la exfiltración de datos. También informa sobre un intento de extorsión: “El 15 de enero de 2024 nuestro cliente recibe un correo con objeto de extorsión desde un buzón de “protonmail”, […] En dicho correo se muestran evidencias de los datos exfiltrados durante el incidente sufrido por nuestro cliente, apareciendo un volumen aproximado de 25 Gb de datos en archivos de texto plano tipo sql. La fecha de creación de estos archivos según se puede observar en los listados es el 13 de diciembre de 2023, previo a la identificación y parcheo de las vulnerabilidades.” En las evidencias mostradas se comprueba que la fecha es el 13 de diciembre de 2023, que la mayor parte de los campos para cada usuario tiene el valor NULL y que la contraseña está cifrada. Forensic&Security refiere que el incidente no tiene impacto en la disponibilidad ni en la integridad, pero sí en la confidencialidad: el atacante ha conseguido realizar consultas contra las bases de datos y copiar los datos en un sistema bajo su control. Como lecciones aprendidas, indica: - Necesidad de mantenerse informados sobre nuevas vulnerabilidades para los aplicativos en uso, aplicando los parches de seguridad tan pronto se encuentren disponibles. Necesidad de medidas adicionales para la protección y monitorización de los sistemas. Necesidad de mejora en la capacidad para identificar IP origen peticiones tras balanceador. RECOMENDACIONES PARA MEJORAR LA POSTURA DE SEGURIDAD. Tras el análisis forense del incidente de seguridad se identifican las siguientes recomendaciones: − Establecer una política de análisis de vulnerabilidades periódico de la infraestructura interna y externa. − Definir un sistema/política de parcheo de los distintos sistemas desplegados en la infraestructura del cliente. Esto permitirá mantenerlos actualizados a su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/34 última versión en caso de publicarse actualizaciones que solucionen las últimas vulnerabilidades detectadas. − Desplegar un sistema de protección de endpoint AV/EDR que aporte mayores garantías de protección y detección. Realizar búsquedas activa de posible malware mediante técnicas de “Threat Hunting”. − Implementar una política de retención de registros/logs de los diferentes sistemas de la infraestructura que permita realizar un análisis más en profundidad en caso de que suceda un incidente de seguridad. − Realizar una monitorización y correlación de los diferentes registros y alertas de seguridad generados por sistemas de la infraestructura. Esto permitirá realizar una detección temprana en caso de incidente de seguridad. − Mantenerse informado sobre la publicación de vulnerabilidades relativas a los sistemas operativos y otro software en uso mediante subscripción a boletines de vulnerabilidades de INCIBE-CERT.” Como conclusiones, el informe establece: “(…).” EMAGISTER aporta el informe elaborado por la empresa externa de seguridad Forensic&Security – “Informe monitorización y vigilancia digital Forensic&Securit” con fecha 8 de abril de 2024, que indica: “hasta la fecha de redacción de este documento, no se ha podido localizar en ninguna fuente de información publicación alguna relativa a la venta, intercambio o distribución de información sustraída a Emagister.” Respecto de los datos afectados EMAGISTER indica el número de afectados por la brecha y la tipología de los datos en su escrito de respuesta al primer requerimiento de información, añadiendo que las posibles consecuencias para los afectados tendrán un impacto despreciable: (…) No se han encontrado en IMI casos informados por otras Autoridades de Control Europeas. En su escrito de respuesta al primer requerimiento de información, EMAGISTER explica que, dentro de las acciones realizadas una vez identificada la incidencia, “Se ha procedido a enviar una notificación (vía email) a todos los usuarios afectados. En dicha notificación se pone en su conocimiento el acceso no consentido y qué datos han sido sustraídos”. Los afectados fueron informados a partir del 18/12/2023. En las reclamaciones recibidas en esta Agencia, se constata que los afectados fueron informados el día 19 de diciembre de 2023. EMAGISTER remite la comunicación enviada a los usuarios afectados y el listado por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/34 países de la comunicación realizada, donde se comprueban las distintas campañas de comunicación efectuadas. Se constata la campaña en España con fecha de comienzo 18/12/2023 y resto de campañas con fecha de comienzo 19/01/2024. Respecto del contrato de encargado del tratamiento Solicitada la copia del contrato de encargado del tratamiento en el caso de que el mantenimiento de los Sistemas de Información afectados por la brecha sea realizado por terceras compañías, EMAGISTER informa que la brecha ha tenido lugar en las máquinas de EMAGISTER, que (…). EMAGISTER aporta copia del contrato de encargado del tratamiento de fecha 9 de enero de 2023, actuando esta entidad en calidad de responsable del tratamiento e ICM como encargada. En este contrato, se comprueba que constan, entre otros aspectos: - El objeto del contrato es (…). - Los tratamientos a realizar por el encargado son Conservación, Acceso y Destrucción de los siguientes tipos de datos personales de clientes y usuarios: - Datos identificativos (nombre y apellidos, NIF/DNI, teléfono, email) -Identificadores en línea facilitados por dispositivos (direcciones IP, identificadores de sesión en forma de “cookies”). - Figuran las obligaciones del encargado, entre otras: - “Únicamente tratará los datos siguiendo las instrucciones del RESPONSABLE” - “El ENCARGADO se compromete a implementar en sus sistemas técnicos y organizativos las medidas pertinentes para garantizar la seguridad de los ficheros y tratamientos de datos de carácter personal, de conformidad con la naturaleza de sus funciones. Dichas medidas de seguridad incluirán mecanismos para:
2. a)Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento:
3. b)restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico;
4. c)verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento; y
5. d)seudonimizar y cifrar los datos personales, en su caso.” EMAGISTER aporta también copia del presupuesto que le envía ICM para la implementación del servicio WAF en AWS de fecha 9 de enero de 2024. “(…)” Con relación a las comunicaciones mantenidas con ICM para la resolución de la brecha, EMAGISTER indica, en su escrito de respuesta al primer requerimiento de información de esta Agencia, que se realizaron vía Meet o Teams y aporta resumen de las acciones de ICM realizadas cronológicamente. De especial relevancia es la información aportada para el día 14 de diciembre de 2023: “Al entrar al front29 nos hemos encontrado con estos procesos de apache: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/34 […] En el 15/12 se descubre que el tráfico de subida detectado se debe a una ejecución de una query de base de datos sobre la tabla de usuarios.” El 18 de diciembre de 2023 ICM comienza el deploy de un (…). Por otra parte, EMAGISTER indica en su escrito de respuesta al segundo requerimiento de información de esta Agencia: “la empresa ICM NetSystems 2005, S.L. figura como encargado de tratamiento en la prestación de servicios desarrollados en la plataforma AWS, de la cual es partner y comercial. El contrato con AWS es un contrato tipo firmado online con dicha plataforma. Adjunto enlace donde se recoge las condiciones de contrato de usuario: AWS_Customer_Agreement_2024-05-17_ES(LA).pdf Igualmente se adjunta enlace donde se recoge como adenda al contrato anterior, el tratamiento de datos personales: https://d1.awsstatic.com/legal/aws-dpa/aws-dpa.pdf” Respecto de las medidas de seguridad implantadas Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido. Con relación a las medidas implantadas con anterioridad al incidente, en su escrito de respuesta al primer requerimiento de información de esta Agencia, EMAGISTER indica con detalle dichas medidas de seguridad. Se listan a continuación: .-(…) Respecto a esta monitorización, EMAGISTER manifiesta que: “Gracias a estos sistemas, el día del ataque se pudo tener conocimiento al momento que algo sucedía. […] En años anteriores se ha realizado una limpieza exhaustiva de datos que se almacenaban de los usuarios en la base de datos. Dicha limpieza incluía: - Borrado de datos muy sensibles como numeración de tarjetas de crédito - Borrado de datos no necesarios de los usuarios. - Cifrado de contraseñas para que a pesar de que se sustraigan datos, los intrusos no puedan averiguar la contraseña real de los usuarios. Gracias a esta limpieza los datos a los que se han tenido acceso son datos identificativos básicos de los usuarios tales como nombre, apellidos, email y teléfono.” .- (…) Con relación al cifrado de los datos, EMAGISTER aclara, en su escrito de respuesta al segundo requerimiento de información de esta Agencia, que se haya en proceso de evaluación de posibles alternativas y que las contraseñas se almacenan cifradas: “En ningún momento la contraseña en plano queda reflejada en la base de datos ya que en el momento en el que los servidores reciben la petición de alta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/34 del usuario, la procesan y hashean el password con una seed que no es pública, ni está en base de datos ni han accedido a ella. Esa contraseña hasheada es la que se guarda en base de datos.” Respecto al riesgo de conexión externa no autorizada y exfiltración de datos personales, EMAGISTER manifiesta en su escrito de respuesta al primer requerimiento de información de esta Agencia: “(…)” Solicitada la copia del análisis de riesgos (AR) realizado sobre la actividad de tratamiento que ha sufrido la brecha de seguridad con anterioridad a la incidencia acaecida, EMAGISTER remite el documento “INFORME_ANLISIS_DE_RIESGOS.pdf”, sin fecha ni firma: “Responsable: Emagister Servicios de Formación, S.L. Tipología de datos: datos identificativos tales como nombre, apellidos, teléfono, DNI (en algunos supuestos) y correo electrónico. Finalidad del tratamiento: dar respuesta a las solicitudes de información requerida por los usuarios, referida al campo de la formación académica mediante el envío de comunicaciones vía correo electrónico y llamadas telefónicas. Modo de obtención de los datos: mediante formularios en página web. Cesión de datos: se ceden los datos, previo consentimiento del afectado, al tercero que previamente ha seleccionado el afectado, al objeto de hacerle llegar la información sobre formación académica que es de su interés.” Entre otros riesgos, son de relevancia: “(…).” El AR incluye una valoración del riesgo inherente, (calculado multiplicando el valor de la probabilidad por el valor del impacto para cada amenaza identificada) y una valoración del riesgo residual una vez aplicados los controles. En el caso de Acceso ilegítimo a los datos, con amenazas Fuga de información y Operaciones de tratamiento no autorizadas, cuyos riesgos son Terceras personas acceden a los datos vulnerado su confidencialidad y Uso ilegítimo de los datos que vulneran los derechos de los interesados Ambos tienen un riesgo inherente de nivel medio, valoración 5. El control para ambos es: Acceso a usuarios autorizados mediante el uso de credenciales El riesgo residual para Fuga de información es Medio Valoración 3 El riesgo residual para Operaciones de tratamiento no autorizadas es Bajo Valoración 2 Requerida acreditación de la fecha de realización del AR y confirmación de la fecha en la que se inició el tratamiento de datos de la actividad afectada por la brecha, EMAGISTER no aporta información sobre la fecha de realización del AR e indica que el tratamiento de datos de la actividad de la empresa para la gestión de solicitudes de información puede datarse en el año 2004. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/34 También refiere la futura elaboración de un nuevo AR: “Como fruto del conjunto de medidas implantadas relativas a las herramientas de software, los nuevos de recursos de seguridad y el desarrollo del análisis y evaluación para la implementación de medidas de encriptación, se ha pospuesto la elaboración de un nuevo análisis de riesgos, al objeto de que el mismo pueda recoger las nuevas medidas control y seguridad a implementar, una vez cerrado dicho proceso.” Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente. En su escrito de respuesta al primer requerimiento de información de esta Agencia, EMAGISTER no aclara el motivo, únicamente manifiesta que: “(…)” Con relación al doble check EMAGISTER explica que se realiza desde 2018 para mitigar los posibles errores humanos en la realización de una tarea. En cuanto a la url atacada aclara que es una url de naturaleza interna que data de enero del 2012 y que solo se usó durante unos meses de ese año para el envío de emails internos entre trabajadores de la compañía a modo de test. Esta url estaba en un inicio limitada por IP para que solamente un usuario de la compañía la pudiera ejecutar, pero debido a una serie de actualizaciones del lenguaje de programación que se han realizado con los años, esa limitación se perdió por error humano. Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido. EMAGISTER especifica con detalle las medidas en su escrito de respuesta al primer requerimiento de información de esta Agencia. El resumen es: .- (…) Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo EMAGISTER indica que no tiene constancia de accesos anteriores y explotación de la vulnerabilidad y que los mismos atacantes intentaron explotar la vulnerabilidad en diversas ocasiones y que el sistema con las nuevas medidas de seguridad implementadas les bloqueó en cada una de ellas. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad EMAGISTER es una empresa constituida en el año 2001, y con un volumen de negocios de 16.422.243 euros en el año 2023. SÉPTIMO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada cuestión con el resto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/34 de autoridades de control el día 24 de julio de 2025. El traslado de esta reclamación/cuestión a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que EMAGISTER tiene su establecimiento único o principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada” las autoridades de Francia e Italia, y las autoridades alemanas de protección de datos de Hesse, Baja Sajonia, Baden-Wurtemberg, Renania-Palatinado, Berlín, Brandeburgo, Mecklemburgo-Pomerania Occidental, Baviera. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. La consulta fue lanzada el día 24 de julio de 2025 y finalizó el 21 de agosto de 2025. De acuerdo con lo establecido en el artículo 64.5 de la LOPDGDD, los plazos de tramitación quedaron automáticamente suspendidos durante este tiempo. OCTAVO: Con fecha 29 de agosto de 2025, la Presidencia de la AEPD adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 1 de septiembre de 2025 se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto y están vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/34 tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
6. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EMAGISTER, mediante formularios incluidos en la página web www.emagister.com, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/34 realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: entre ellos nombre, apellidos, teléfono, DNI (en algunos supuestos) y correo electrónico de los usuarios. EMAGISTER realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que EMAGISTER está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, EMAGISTER tiene su establecimiento único o principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. IV Obligación incumplida. Integridad y confidencialidad La letra
7. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." El principio de confidencialidad recogido en citado artículo 5.1
9. f)del RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de forma que se garantice la confidencialidad de los datos personales, evitando accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Ello exige implementar medidas técnicas y organizativas apropiadas de todo tipo para proteger los datos frente a posibles brechas de datos personales, tanto externas como internas. Dichas medidas deben ser adecuadas para evitar que se materialicen los riesgos en los derechos y libertades de las personas físicas que puedan derivarse del tratamiento, y deben ser revisadas y actualizadas periódicamente para garantizar su eficacia. Por su parte el artículo 4.12 del RGPD define la “violación de seguridad de los datos personales” como “toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” A este respecto, el Grupo de trabajo sobre protección de datos del artículo 29 (GT29) en sus “Directrices sobre la notificación de las violaciones de la seguridad de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/34 personales de acuerdo con el Reglamento 2016/679” (WP250) explica que tales violaciones pueden clasificarse en «violación de la confidencialidad» cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos; «violación de la integridad» cuando se produce una alteración no autorizada o accidental de los datos personales y «violación de la disponibilidad» cuando se produce una pérdida de acceso accidental o no autorizada a los datos personales, o la destrucción de los mismos. En el presente caso, del análisis de la documentación que obra en el expediente, se desprende una presunta vulneración del principio de confidencialidad, la cual se habría materializado en el acceso no autorizado por parte de un tercero a los datos personales de los usuarios de EMAGISTER, incluyendo su exfiltración. Tales circunstancias determinan una brecha de datos personales categorizada como brecha de confidencialidad. Todo ello se pone de manifiesto en las reclamaciones presentadas en esta Agencia por algunos de los usuarios afectados de EMAGISTER, así como en la notificación de la brecha realizada por la propia entidad responsable. Según la documentación aportada por el responsable, la brecha de datos personales fue detectada el 15 de diciembre de 2023, como resultado del análisis realizado tras advertirse una incidencia en el comportamiento normal de la página web www.emagister.com ocurrida el 13 de diciembre de 2023, si bien los primeros indicios del incidente se venían produciendo desde el 24 de noviembre de 2023. A pesar de ello, no se detectó la brecha hasta que se materializó el ataque, lo que evidencia la carencia de actuaciones de monitoreo eficaces. El informe realizado por la empresa Forensic&Security de fecha 9 de febrero de 2024 (en adelante, Informe Forensic), aportado en fecha 2 de enero de 2025 por EMAGISTER en el marco de las actuaciones previas de investigación llevadas cabo, expone los resultados del análisis forense realizado sobre el ciberincidente causante de la brecha de datos personales objeto de este expediente. En el Informe Forensic se detalla cuál fue el origen de la brecha: “Un atacante remoto ha conseguido ejecutar código mediante el aprovechamiento de una vulnerabilidad en el aplicativo Zend Framework versión 1.12.20 desplegado en los servidores web en el momento del incidente. La vulnerabilidad explotada está identificada como ***REFERENCIA.1, fue publicada el 04/04/2023. Esta vulnerabilidad está catalogada como Crítica (9.8/10) al permitir la ejecución en la máquina afectada de código a elección del atacante. El atacante ha aprovechado la posibilidad de ejecución de comandos sobre la máquina vulnerada para establecer una conexión de control contra la dirección IP ***IP.2” Por tanto, el origen del ciberataque para acceder a la infraestructura de EMAGISTER consistió en la explotación de una vulnerabilidad conocida en el software Zend Framework identificada como ***REFERENCIA.1, publicada en fecha 4 de abril de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/34 2023 y catalogada como crítica. Además, el software afectado por la vulnerabilidad explotada no recibe actualizaciones de seguridad como explica EMAGISTER en su escrito de respuesta a requerimiento de información de esta Agencia de fecha 11/04/2024 “INFORME_BRECHA_SEGURIDAD.pdf”: “La causa de la brecha ha sido haber seguido usándolo como framework principal sin migrarlo a ningún otro tipo de software actualizado”. Esta vulnerabilidad permitió al atacante establecer una conexión inversa o “remote shell” para obtener acceso a los servidores de EMAGISTER a través de un IP ***IP.2 que se encuentra geolocalizada en Rumanía y categorizada como atacante en varias fuentes de información sobre amenazas, como se indica en el referido informe forense. A este respecto, resulta conveniente subrayar que la vulnerabilidad explotada por el atacante era pública desde varios meses antes de que se produjera el ataque. Tal circunstancia evidencia una negligencia en la gestión de vulnerabilidades conocidas, particularmente en relación con el firewall utilizado. A mayor abundamiento, se ha indicado que dicho componente no fue actualizado pese a que parecía existir conocimiento previo de sus deficiencias. Por otro lado, el acceso no autorizado se produjo a través de la URL (https://www.emagister.com/Mails) aprovechando la vulnerabilidad indicada. Según lo indicado en el Informe Forensic, esta URL se encontraba en desuso, pero era accesible. Esta combinación de factores, permitió al atacante acceder y sustraer datos personales de los usuarios de emagister.com comprometiendo la confidencialidad del entorno afectado. Así se refleja en el Informe Forensic al evaluar el impacto del incidente: “Con impacto en la confidencialidad, el atacante ha conseguido realizar consultas contra las bases de datos y copiar los datos en un sistema bajo su control”. Conforme a la información aportada por EMAGISTER, la exfiltración se produjo el día 13/12/2023 en la base de datos de la tabla “USUARIOS”, viéndose afectados aproximadamente 27.000.000 de usuarios a nivel mundial: - España: 15.000.000 - Argentina: 1.896.548 - Brasil: 490.996 - Chile: 1.196.761 - Colombia: 1.640.147 - Alemania: 292.203 - Ecuador: 60.710 - Francia: 1.724.316 - India: 757.429 - Italia: 1.392.441 - México: 2.004.525 - Perú: 28.922 - Portugal: 27.810 - UK: 775.974 El citado informe forense precisa, además, que el volumen de datos sustraídos fue de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/34 25 GB (gigabytes). La tipología de datos exfiltrados es la siguiente: - Nombre y apellidos - Teléfono - Correo electrónico - DNI El responsable declara que el dato del DNI se circunscribe a tres mil usuarios. Por otro lado, explica que el campo PASSWORD de la tabla USUARIOS no se vio afectado por encontrarse cifradas las contraseñas. El Informe Forensic incluye evidencias de las conexiones implicadas en la exfiltración de datos. Asimismo, el citado informe deja constancia de que, como consecuencia directa del acceso no autorizado descrito, EMAGISTER ha sido objeto de una tentativa de extorsión, materializada mediante el envío de un correo electrónico de fecha 15 de enero de 2024 en el que se muestran evidencias de los datos exfiltrados durante el ciberincidente causante de la brecha de datos personales. Como se expuso anteriormente, el principio de seguridad exige que los responsables del tratamiento implementen medidas de seguridad apropiadas en función de los riesgos conocidos. En el caso que nos ocupa, tanto de la notificación de la brecha realizada por la EMAGISTER como de la información y documentación aportada durante las actuaciones previas de investigación se desprende la insuficiencia de las medidas técnicas y organizativas establecidas en relación con los tratamientos de datos personales de los usuarios de emagister.com. En primer lugar, como indica EMAGISTER, en su escrito de fecha 11 de abril de 2024, con ocasión del análisis forense llevado a cabo por la empresa Forensic & Security se identificaron 3 URLS que permitían accesos no autorizados. Una de tales URLS (https://www.emagister.com/Mails) fue utilizada para perpetrar el ciberataque que derivó en la brecha de seguridad con filtración de datos personales objeto de este expediente. Sobre este particular, el responsable explica que: “La página que los atacantes usaron era una página privada que estaba en un inicio limitada por ip para que solamente un usuario de la compañía la pudiera ejecutar (…). Con esta medida no habría sido posible la ejecución de esta url por los atacantes”. Sin embargo, debido a una serie de actualizaciones del lenguaje de programación, esa limitación se perdió por error humano quedado la URL accesible sin las debidas restricciones. Esto se ve agravado por el hecho de que la URL desprotegida, que data de enero del año 2012 y que solo fue utilizada durante unos meses de ese año, no fuese identificada como una amenaza durante el análisis de riesgos y que sólo se advirtiera tras la brecha, en el contexto del informe forense posterior. Esta exposición de partes del sistema obsoletas y en desuso pone de manifiesto una deficiencia de las medidas de inventario, supervisión y control de los activos, una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/34 gestión inadecuada del riesgo y la ausencia o ineficiencia de las auditorías de seguridad. Asimismo, se constata la existencia en los servidores web de EMAGISTER de la versión de un software (Zend Framework) que además de ser susceptible a vulnerabilidades previamente identificadas y publicadas, carece de mecanismos de actualización, lo que incrementa el riesgo asociado a su uso. Como es sabido, uno de los mayores riesgos de utilizar un software sin mecanismos de actualización es la presencia de vulnerabilidades sin corregir que pueden ser aprovechadas por los atacantes para comprometer la seguridad, como sucedió en el caso que nos ocupa. A este respecto, las Directrices 1/2021 del Comité Europeo de Protección de Datos sobre ejemplos de notificación de violaciones de la seguridad de los datos personales establecen que “La seguridad del entorno del responsable del tratamiento de datos es sumamente importante, ya que la mayoría de estas violaciones pueden evitarse garantizando que todos los sistemas se actualizan constantemente, (…).” Más específicamente, las citadas Directrices incluye una lista orientativa, que no exhaustiva, de medidas aconsejables para prevenir o mitigar el impacto de los ataques informáticos. Entre ellas, resulta oportuno mencionar las siguientes:     “(…) Mantener actualizado el sistema (software y firmware). (…) Auditorías sistemáticas de seguridad informática vulnerabilidad (pruebas de penetración).” y evaluaciones de Por último, se advierte la ausencia de cifrado de los datos personales que el responsable recaba mediante formularios incluidos en su página web, a excepción de la contraseña de los usuarios. Así lo indica EMAGISTER en su escrito de respuesta de 2 de enero de 2025: “Desde el inicio de la actividad en la gestión de los datos de los usuarios, se han tenido cifradas las contraseñas de los usuarios”. Posteriormente, añade: “El departamento de sistemas se haya en proceso de evaluación de posibles alternativas para cifrar los datos de los usuarios en base de datos” por lo que otros datos personales como el nombre y apellidos, teléfono, correo electrónico y DNI se almacenan en texto plano. El cifrado es un mecanismo importante de protección de la confidencialidad de los datos personales. Si bien un ciberataque puede permitir el acceso a datos cifrados, la confidencialidad no se verá comprometida si dichos datos no pueden ser descifrados por el atacante. En este contexto, el cifrado permite limitar de forma significativa el alcance del incidente. Como se afirma en la “Guía para la notificación de brechas de datos personales” de esta AEPD: “En brechas de confidencialidad causadas por la exfiltración de un fichero de base de datos de usuarios conteniendo nombre de usuario, contraseña, datos de contacto y dirección. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/34   Si las contraseñas de los usuarios están protegidas con un algoritmo de hash considerado criptográficamente seguro, de forma que son ininteligibles para quien ha tenido acceso a la base de datos, el riesgo quedaría parcialmente mitigado. Si el algoritmo de hash no se considera criptográficamente seguro (md5, sha1, …) la mitigación del riesgo no es efectiva. Si el fichero de base de datos exfiltrado estaba totalmente cifrado mediante un algoritmo criptográficamente seguro y la clave de cifrado no está comprometida, el riesgo queda mitigado de forma que en algunos casos se puede considerar que es prácticamente nulo.” Todos estos aspectos proporcionan suficientes evidencias para considerar que, en el momento en que se produjo la brecha, la parte reclamada no tenía implantadas medidas técnicas u organizativas apropiadas que garantizaran una seguridad adecuada de los datos personales. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a EMAGISTER, por vulneración del artículo 5.1.
10. f)del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
11. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
12. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
13. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/34 VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
14. a)a
15. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
16. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
17. b)la intencionalidad o negligencia en la infracción;
18. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
19. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
20. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
21. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
22. g)las categorías de los datos de carácter personal afectados por la infracción;
23. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
24. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
25. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
26. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/34
28. a)El carácter continuado de la infracción.
29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
31. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
33. f)La afectación a los derechos de los menores.
34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de EMAGISTER de 16.422.243 euros en el año 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de 16.422.243 euros es de 656.890 euros. Por lo que la sanción que se imponga necesariamente deberá oscilar entre los 0 y los 20.000.000 euros. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las siguientes circunstancias: 1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en consideración las circunstancias siguientes:  Artículo 83.2.
36. a)del RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/34 tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”.  Naturaleza de la infracción: El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la disposición infringida afecta a un principio básico del derecho a la protección de datos personales, como es el de la confidencialidad de los datos personales, cuya violación entraña la pérdida de control de los datos por parte de sus titulares, lo que supone un riesgo importante para sus derechos. La conducta de EMAGISTER ha provocado, de forma directa, la lesión del bien jurídico protegido por el artículo 5.1.
37. f)del RGPD, impidiendo su aplicación efectiva y el objetivo que pretende proteger. Conviene señalar que la vulneración del principio de confidencialidad en el presente caso no afecta a datos aislados o piezas individuales de información, sino que involucra a un conjunto integrado de datos personales contenidos en la base de datos USUARIOS de EMAGISTER, lo que puede facilitar la suplantación de identidad y otros usos indebidos con una mayor tasa de éxito. Esta situación se agrava dado que no solo se ha producido un acceso no autorizado, sino que además se ha materializado una exfiltración de datos, lo cual incrementa el riesgo de usos indebidos y dificulta la posibilidad de mitigar o revertir las consecuencias del incidente.  Gravedad de la infracción: No puede obviarse el elevado número de afectados por la brecha ya que, según lo manifestado por EMAGISTER, se ha visto comprometidos los datos personales de aproximadamente 27.000.000 de usuarios a nivel mundial. En particular, en el ámbito de la Unión Europea, el número de afectados por Estado miembro es el siguiente: o España: 15.000.000 o Alemania: 292.203 o Francia: 1.724.316 o Italia: 1.392.441 o Portugal: 27.810 Esta amplia afectación incrementa considerablemente la gravedad de la infracción, dado que cada cliente afectado representa un potencial caso de fraude o suplantación de identidad. Además, la infracción se ve agravada por el contexto en el que se produce, donde los individuos confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas de los afectados respecto al tratamiento de sus datos personales. Una confianza que no ha tenido contrapartida en la actuación de la parte reclamada, con unas medidas cuya ausencia o deficiencia en la implementación han favorecido la pérdida de confidencialidad objeto de este expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/34  El nivel de daño sufrido por los interesados: De conformidad con el considerando 75 del RGPD, el nivel de daño sufrido se refiere a los daños y perjuicios físicos, materiales o no materiales. En el presente caso, los interesados pierden el control de sus datos personales, por lo que el daño podría persistir durante un tiempo indeterminado, especialmente considerando que se ha producido una exfiltración. Se tiene en cuenta, no obstante, que la falta de medidas técnicas y organizativas necesarias para impedir el acceso a los datos personales por parte de terceros, incluida su exfiltración. ─ Artículo 83.2.
38. b)del RGPD: “la intencionalidad o negligencia en la infracción”. En este caso se considera que concurre negligencia en la infracción teniendo en cuenta que la conducta del responsable pone de manifiesto una grave falta de diligencia, al no haber aplicado los controles operativos mínimos exigibles en el desarrollo de su actividad. La utilización de activos obsoletos no responde a un error puntual o a una circunstancia accidental, sino a una gestión continuada del entorno sin atender a los riesgos inherentes al tratamiento de datos personales. Asimismo, debe valorarse el hecho de que el atacante haya explotado una vulnerabilidad conocida varios meses antes de que se materializase el ciberataque. Este tipo de descuidos no constituyen un fallo técnico aislado, sino un indicador del déficit de atención sistemática a los aspectos más elementales de protección, lo que permite calificar la actuación como negligente en grado grave a efectos de graduación de la sanción. En este sentido resulta muy ilustrativa la SAN de 17 de octubre de 2007(rec. 63/2006), la cual indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Es el caso de la entidad reclamada cuya actividad consiste en la prestación servicios de formación a través de diversos sitios web.  Artículo 83.2.
39. g)del RGPD: “las categorías de los datos de carácter personal afectados por la infracción”. La información accedida por la parte reclamante incluye datos personales relativos a nombre y apellidos, teléfono, correo electrónico y DNI de los usuarios de EMAGISTER. En ese sentido los considerandos 51 y 75 del RGPD distinguen un grupo de datos personales que, por su naturaleza, son particularmente sensibles por razón del importante riesgo que pueden entrañar, en el contexto de su tratamiento, para los derechos y libertades fundamentales. El común denominador de todos ellos es que su tratamiento comporta un riesgo importante para los derechos y las libertades fundamentales pues puede llegar a provocar daños y perjuicios físicos, materiales o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/34 inmateriales. En este grupo o categoría de datos particularmente sensibles se incluyen las categorías de datos especialmente protegidos que regula el artículo 9 del RGPD -considerando 51 del RGPD- y, además, otros muchos datos no regulados en ese precepto. El considerando 75 menciona con detalle los datos personales cuyo tratamiento puede entrañar un riesgo, de gravedad y probabilidad variables, para los derechos y libertades de las personas físicas como consecuencia de que pueden provocar daños y perjuicios físicos, materiales o inmateriales. Entre ellos menciona aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo;” (El subrayado es nuestro) El Real Decreto 1553/2005, de 23 de diciembre, por el que se regula la expedición del Documento Nacional de Identidad y sus certificados de firma electrónica, establece en su artículo 1: “1. El Documento Nacional de Identidad es un documento personal e intransferible emitido por el Ministerio del Interior que goza de la protección que a los documentos públicos y oficiales otorgan las leyes. Su titular estará obligado a la custodia y conservación del mismo. 2. Dicho Documento tiene suficiente valor, por sí solo, para acreditar la identidad y los datos personales de su titular que en él se consignen, así como la nacionalidad española del mismo. 3. A cada Documento Nacional de Identidad, se le asignará un número personal que tendrá la consideración de identificador numérico personal de carácter general. (...)” (El subrayado es nuestro) Por su parte, el artículo 11 del Real Decreto, bajo la rúbrica “Contenido” indica que “El Documento Nacional de Identidad recogerá gráficamente los siguientes datos de su titular: En el anverso: [...] Número personal del Documento Nacional de Identidad y carácter de verificación correspondiente al Número de Identificación Fiscal.” (El subrayado es nuestro) A través del identificador numérico del DNI junto con el carácter de verificación correspondiente al número de identificación fiscal, la persona física queda identificada de modo indubitado. Esta cualidad del número del DNI/NIF lo convierte en un dato particularmente sensible en tanto en cuanto, si el tratamiento de este dato no va acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con los riesgos que ello entraña para la privacidad, el honor y el patrimonio del suplantado. En este mismo sentido se pronuncian las Directrices 04/2022, sobre el cálculo de las multas administrativas contempladas en el RGPD adoptadas por el Comité Europeo de Protección de Datos (CEPD) en mayo de 2023. 57. En cuanto al requisito de tener en cuenta las categorías de los datos personales afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/34 más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado 26 (por ejemplo, datos de localización, datos sobre comunicaciones privadas, números de identificación nacionales o datos financieros, como resúmenes de operaciones o números de tarjetas de crédito)27.En general, cuantas más de estas categorías de datos estén implicadas o más sensibles sean los datos, más peso podrá atribuir la autoridad de control a este factor) En el asunto que nos ocupa, entre los datos personales afectados se encuentra el DNI que, aunque no comprometió a la totalidad de los 27.000.000 de usuarios afectados por la brecha, afectó a un grupo de aproximadamente 3.000 usuarios, cifra que representa un volumen significativo dada la naturaleza particularmente sensible de esta información. Por tal motivo, estimamos que el hecho de que la vulneración de la confidencialidad de los datos haya recaído sobre un dato particularmente sensible, el DNI/NIF de los afectados, dato que por sí solo permitía su identificación, incide en la gravedad de la conducta infractora. 2. Se consideran los siguientes factores de graduación en calidad de agravantes: - Artículo 83.2.
40. k)del RGPD en relación con el artículo 76.2, letra
41. b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. Esta agravante se justifica, en este caso, debido a la clara y directa vinculación entre la actividad empresarial de EMAGISTER (en este caso, la prestación de servicios de formación a través de diversos sitios web) y el tratamiento de datos personales de sus clientes/usuarios. Dado que el negocio no solo requiere, sino que se basa en el tratamiento constante de datos personales, el incumplimiento de las obligaciones de protección de estos datos adquiere una gravedad especial, justificando así la concurrencia de la citada circunstancia. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
42. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 80.000 euros. VII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
43. f)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
44. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/34 Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a EMAGISTER SERVICIOS DE FORMACIÓN, S.L., con NIF B62673108, por la presunta infracción del Artículo 5.1.
45. f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructora a R.R.R. y, como secretario, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la violación de la seguridad de los datos personales, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
46. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 80.000,00 euros, sin perjuicio de lo que resulte de la instrucción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/34 QUINTO: NOTIFICAR el presente acuerdo a EMAGISTER SERVICIOS DE FORMACIÓN, S.L., con NIF B62673108, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 64.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 64.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 48.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (64.000,00 euros o 48.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-110425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/34 SEGUNDO: En fecha 15 de octubre de 2025, EMAGISTER ha procedido al pago de la sanción en la cuantía de 48.000,00 euros, haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica, y conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, como ha manifestado la citada entidad en escrito de la misma fecha. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
47. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/34 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 48.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, EMAGISTER ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. IV Adopción de medidas Confirmada la infracción, procede imponer a la parte reclamada la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
48. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/34 presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el texto del acuerdo de inicio de procedimiento sancionador transcrito se establece cuál ha sido la infracción cometida y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, procede requerir a la parte reclamada para que, en el plazo de seis meses contado desde la notificación de la presente resolución, acredite ante esta AEPD haber adoptado las medidas necesarias para dar cumplimiento a lo establecido en el artículo 5.1.
49. f)del RGPD, con el alcance expresado en este acto. Finalmente, se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 80.000,00 euros. Tras haber procedido EMAGISTER SERVICIOS DE FORMACIÓN, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 48.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202402289, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a EMAGISTER SERVICIOS DE FORMACIÓN, S.L. para que, en el plazo de seis meses contados desde la notificación de la presente resolución, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/34 notifique a la Agencia la adopción de las medidas adecuadas para dar cumplimiento a lo establecido en el artículo 5.1.
50. f)del RGPD, con el alcance expresado en este acto. CUARTO: NOTIFICAR la presente resolución a EMAGISTER SERVICIOS DE FORMACIÓN, S.L. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
51. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
52. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1551-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es