PS-00353-2024 | Europaius

1/38  Expediente N.º: EXP202306835 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO SANCIONADOR POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad HYUNDAI MOTOR ESPAÑA S.L.U., con NIF B85754646 (en adelante, la parte reclamada o HMES). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 12 de noviembre de 2025 se emitió y notificó la propuesta de resolución que a continuación se transcribe: <<Expediente N.º: EXP202306835 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A., B.B.B. y C.C.C. (en adelante, la parte reclamante), con fechas 11/04/2023, 24/04/2023 y 08/06/2023, interpusieron reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra HYUNDAI MOTOR ESPAÑA S.L.U., con NIF B85754646 (en adelante, la parte reclamada o HMES). Los reclamantes manifiestan que han recibido comunicación de una brecha de datos personales por parte de la reclamada y que el hecho les causa diferentes molestias y preocupaciones. Solicitan la investigación de los hechos. Aportan copias de las comunicaciones con la parte reclamada. Las reclamaciones están relacionadas con una brecha de datos personales que fue comunicada por HMES a los afectados mediante mensaje de fecha 10/04/2023, en el que se informa "un tercero no autorizado ha accedido a cierta información de nuestra base de datos de clientes (...) Nuestra investigación informática indica que pueden haberse visto afectados algunos datos relativos a clientes y potenciales clientes. Los datos incluyen detalles de contacto (como correos electrónicos, direcciones y números de teléfono) y datos de vehículos (como números de bastidor) de nuestros clientes. No se han visto afectados datos financieros ni números de identificación oficial (como el DNI) de nuestros clientes". SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 24/05/2023 y 29/06/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/38 esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fueron recogidas en fechas 24/05/2023 y 29/06/2023 como consta en los acuses de recibo que obra en el expediente. TERCERO: Con fecha 12/07 y 29/08/2023, respectivamente, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite las reclamaciones. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En el marco de estas actuaciones se analiza la notificación de la brecha de datos personales realizada por HMES a esta AEPD, que fue realizada inicialmente en fecha 27/02/2023 y completada el 31/03/2023. Descripción: Brecha de seguridad que llega a la AEPD a través de notificación por HMES; además, existen tres reclamaciones vinculadas a la brecha. HMES refiere un problema de seguridad en un software que le provee su encargado de tratamiento, Hyundai AutoEver Europe GmbH (en adelante HAEE), que permitió una exfiltración de datos personales de clientes y potenciales clientes de HMES, así como de otros responsables del grupo Hyundai en otros países de la UE. En este informe, o en la documentación aportada por la parte reclamada, se emplean las siguientes denominaciones: Hyundai Motor España S.L.U.: parte reclamada, HMES, responsable del tratamiento. Hyundai AutoEver Europe GmbH: HAEE, con sede en Offenbach am Main, (Hesse, Alemania), encargada del tratamiento. Cronología de la brecha, según las manifestaciones de la parte reclamada: 17/01/2023: un atacante consigue sustraer de un servidor de HAEE datos personales correspondientes a 1.012.730 clientes y potenciales clientes de HMES (nombre y apellidos; fecha de nacimiento; teléfono; según el caso dirección de correo electrónico o dirección postal; identificador de cliente; número de bastidor del vehículo). Los datos no estaban cifrados. Según manifiesta la parte reclamada, entre los datos no había números de DNI, datos financieros ni datos de llaves de vehículos. 22/02/2023: el atacante informa a un empleado de HAEE en República Checa. 24/02/2023: la parte reclamada recibe la información, procede al bloqueo de todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/38 accesos (...), y da por cerrado el ataque. 27/02/2023: notificación inicial de la brecha en la AEPD. 30/03/2023: notificación completa de la brecha en la AEPD; manifiesta la intención de comunicar a los afectados antes del 10 de abril. 10/04/2023: comunicación de la brecha a 850.430 afectados por correo electrónico. 19/05/2023 a 25/05/2023: comunicación de la brecha a 171.596 afectados por correo postal. Entidades responsable y encargada del tratamiento: La parte reclamada, responsable del tratamiento, registra la notificación inicial de la brecha el 27/02/2023. Manifiesta: “Los sistemas informáticos del encargado del tratamiento fueron objeto de un ataque […]. Concretamente, el ataque consistió en el acceso a los servidores […] ubicados en Alemania, que contienen datos básicos y de contacto de clientes del responsable […]. El atacante se puso en contacto con un empleado de otra sociedad del grupo empresarial del que forma parte el responsable del tratamiento […]” En la notificación completa de la brecha, el 31/03/2023, la parte reclamada manifiesta: “[…] el incidente está relacionado con un servidor operado por Hyundai AutoEver Europe GmbH, que actúa como encargado del tratamiento para varias empresas del grupo Hyundai. Así, empresas de otros países también se han visto afectadas por la brecha. Dichas empresas, como responsables del tratamiento, han comunicado la brecha a las autoridades competentes en materia de protección de datos de sus países.” HAEE es un grupo empresarial con sede en Alemania al que pertenecen, entre otras, la responsable del tratamiento HMES y la encargada del tratamiento HAEE. El Delegado de Protección de Datos de la parte reclamada manifiesta, en pág. 2, que “el interlocutor de la Sociedad con el Encargado en relación con el Incidente fue Hyundai Europa en nombre de HMES”. La parte reclamada ha aportado el acuerdo marco con la entidad encargada del tratamiento de datos personales (HAEE): original en inglés (págs. 52 a 109), y su traducción al español págs. 71 a 128). En el acuerdo se designan a HMES como responsable y a HAEE como encargada del tratamiento, pág. 71. No constan referencias en el sistema IMI en relación con esta brecha. Acuerdo de tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/38 La fecha de firma del acuerdo es 17/05/2018, y de su apéndice 23 de noviembre de 2017. Aparecen las rúbricas en pág. 80. Se indica que se establece con duración indefinida. El apéndice consta de tres partes: - Parte A: “Alcance, tipo y fines de la recogida, el tratamiento o la utilización previstos de los datos, el tipo de datos y el círculo de personas afectadas (interesados) de acuerdo con el Preámbulo del Acuerdo Marco de Protección de Datos y otros encargados del tratamiento de acuerdo con la cláusula 6.3 de dicho Acuerdo”, págs. 86 a 124. - Parte B: “Persona(

s)autorizada(
s)por el Responsable y el Encargado del tratamiento”, pág. 125. - Parte C: “Medidas técnicas y organizativas que deberá adoptar el Encargado del tratamiento, en concreto el control que llevará a cabo con arreglo a la cláusula 2.2 del Acuerdo”, págs. 81 a 84 y 125 a 128. Origen de la brecha: Según indica el informe técnico de la brecha en págs. 22 a 69, ***SISTEMA.1 es el sistema de Hyundai Europa que da soporte, entre otras, a la base de datos de clientes de HMES para usos de publicidad y estadísticas, que es operada por HAEE como prestador del servicio y encargado del tratamiento, y es la que resultó atacada. En pág. 24 y ss., el informe indica que el atacante aprovechó una vulnerabilidad de seguridad (…) Preguntada por la versión del software que estaba instalada en el momento de la brecha (17 de enero de 2023), y cuya vulnerabilidad resultó explotada, la parte reclamada manifiesta en pág. 5: “A los efectos oportunos, se deja constancia a continuación de la versión y fecha de instalación de la aplicación referida: ***VERSION.1 / (…). A los efectos oportunos, se informa de que, con ocasión del Incidente, se llevó a cabo un parcheo de esta aplicación y que, con posterioridad, se ha sustituido esta solución por el sistema ***SISTEMA.2 […].” Consultada la página web del desarrollador del software, ***URL.1, se comprueba que la última versión disponible anterior a la fecha del ataque era la versión ***VERSION.2 (***URL.2), disponible desde diciembre de 2022. Consultada la página de vulnerabilidades del desarrollador del software, ***URL.3, se comprueba que en la fecha de la brecha existían al menos 8 actualizaciones que corregían vulnerabilidades conocidas del software, posteriores a la versión ***VERSION.3, calificadas por el desarrollador como de severidades Crítica (***REFERENCIA.1), Alta y Media. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/38 La parte reclamada manifiesta que el 24 de febrero “se procedió a aislar los sistemas afectados y se bloqueó su conexión al resto de los sistemas corporativos para evitar movimientos laterales o cualquier expansión del ataque”. Datos afectados: La parte reclamada manifiesta que el número total de afectados en España es de 1.012.730. El informe técnico elaborado tras la brecha, indica en págs. 27, 61 y otras, que en el ataque se exfiltraron 5,4 GB de datos. La parte reclamada manifiesta que los datos obtenidos por el atacante no estaban cifrados, y que consisten en: - nombre y apellidos - fecha de nacimiento - teléfono - según el caso dirección de correo electrónico o dirección postal - identificador de cliente - número de bastidor del vehículo La parte reclamada manifiesta en pág. 2, que no hay evidencia de que entre los datos obtenidos hubiera números de DNI, datos financieros ni datos de llaves de vehículos. La parte reclamada manifiesta en pág. 2, que también se han visto afectadas por la brecha empresas de otros países, que las mismas han comunicado la brecha a sus respectivas autoridades de protección de datos, y que “el impacto de la brecha ha variado entre empresas, dado que en cada caso se han visto afectadas distintas categorías de datos, un número diferente de interesados, etc.”. En el Acuerdo para el tratamiento de datos personales entre HMES y HAEE, constan las categorías de datos personales de clientes o clientes potenciales que constan reseñadas en el Hecho Probado Segundo. Consecuencias para los afectados: Los reclamantes manifiestan molestias por llamadas publicitarias, que asocian al incidente, así como temor a posibles consecuencias personales y profesionales a causa de la pérdida de control sobre sus datos personales y al posible hurto de sus vehículos. La parte reclamada manifiesta en pág. 3: “A la vista de la naturaleza de los datos afectados, no se prevé que los interesados vayan a verse afectados por consecuencias gravosas, y que en su caso podrán encontrar algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema (tiempo de reingreso de información, molestias, irritaciones, etc.).” La parte reclamada manifiesta que no tiene constancia de la difusión o publicación de los datos afectados, que la matriz coreana de Hyundai mantiene un servicio de monitorización de filtraciones en internet y que no han detectado difusión indebida de los datos afectados, que contrataron servicios de análisis de tendencias de opinión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/38 que no detectaron indicios de reacciones adversas en los entornos web analizados, que no ha tenido conocimiento de uso ilícito o improcedente de los datos, y que ha recibido y satisfecho ejercicios de derechos “ARCOP” por parte de interesados pero que, aparte de las reclamaciones del presente expediente no ha recibido otras denuncias o notificaciones por impacto negativo. Y en la pág. 15, manifiesta: “A la vista de las categorías de datos afectados, según la información facilitada por HMES no es previsible que los derechos y libertades de los interesados puedan verse gravemente perjudicados. Ello a la vista de la poco gravosa entidad de cualquier perjuicio que pueda surgir de un acceso indebido a datos personales como los afectados por el Incidente.” “En todo caso, los interesados podrían verse afectados por inconvenientes limitados y reversibles, que podrían superar sin mayor problema ni esfuerzo. En cualquier caso, la notificación realizada a los interesados habría servido de ayuda para reducir aún más los posibles riesgos.” A fecha de firma del informe, no consta que los afectados hayan sufrido otras consecuencias. La parte reclamada afirma también que: “Tal y como se ha informado a la AEPD en el seno de este expediente, desde la matriz coreana de la Sociedad, (Hyundai Motors Corea) se mantiene un servicio de monitorización continua de posibles filtraciones de información de las empresas del grupo en internet, incluyendo en la deepweb/darkweb.” “A fecha del presente escrito, se puede confirmar que no se ha tenido constancia de que se haya realizado ninguna publicación o difusión de los datos afectados por el Incidente en entornos web (ni en otros entornos diferentes).” Por otra parte, HMES ha manifestado a esta AEPD que “(…)”. Medidas preventivas organizativas y técnicas: El “Acuerdo Marco de Protección de datos HMES – HAEE” establece en pág. 72, (apartado 2, “Seguridad del tratamiento”): “2.1 El Encargado del tratamiento adoptará todas las medidas técnicas y organizativas necesarias para cumplir las obligaciones mencionadas en la cláusula 1, asegurar su cumplimiento y garantizar un nivel de seguridad adecuado al riesgo, teniendo en consideración el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables. Esto incluye, por ejemplo, (…).” “2.2. En el Apéndice al presente Acuerdo se ofrecen más detalles sobre las medidas técnicas y organizativas que adoptará el Encargado del tratamiento, concretamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/38 las medidas de control que aplicará. El Encargado del tratamiento podrá adoptar medidas técnicas y organizativas que superen aquellas establecidas en el Apéndice del presente Acuerdo, y adoptará cuantas medidas técnicas y organizativas adicionales exija cualquier disposición de la Unión o de los Estados miembros en materia de protección de datos. El Encargado del tratamiento notificará por escrito a Hyundai cualquier modificación en las medidas técnicas y organizativas adoptadas.” La parte reclamada manifiesta que disponía de políticas de protección de datos y seguridad antes del ataque: En pág. 4 y pág. 3: “(…).” En el informe del DPD se recoge lo siguiente: “Con anterioridad al Incidente, HMES había implementado medidas de seguridad técnicas y organizativas en relación con los datos albergados en los sistemas del Encargado que se vieron afectados por este incidente. En este sentido, HMES contaba con las siguientes medidas de seguridad: • (…).” La parte reclamada manifiesta que los datos personales no estaban cifrados. En el Análisis de Riesgos (AR) aportado, pág. 10, la parte reclamada menciona entre las medidas de seguridad aplicadas con anterioridad al incidente la “(…)”. Preguntada en R2 por las diferencias en las manifestaciones sobre el cifrado de los datos personales, la parte reclamada manifiesta en pág. 5: “(…) están cifrados, como parte de las medidas de seguridad estándar.” “(…).” Medidas técnicas adoptadas tras el incidente: La parte reclamada manifiesta: “Desde el momento en que aconteció la Brecha […] se procedió a aislar los sistemas afectados y se bloqueó su conexión al resto de los sistemas corporativos para evitar movimientos laterales o cualquier expansión del ataque.” DÉCIMO: HMES ha informado que tras la brecha ha implementado numerosas medidas organizativas y técnicas de seguridad para eliminar la vulnerabilidad aprovechada por el atacante, y ha tomado medidas adicionales de protección: - (…). Preguntada por las medidas de cifrado de datos personales adoptadas tras el incidente, la parte reclamada manifiesta: “En relación con esta cuestión, la solución de seguridad documental para proteger C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/38 archivos frente a posibles incidentes de seguridad o exfiltraciones ha sido actualizada, pasando de un esquema (…).” “De este modo, se garantiza que toda la documentación interna es ilegible sin que el usuario en cuestión cuente con accesos previos, incluso en caso de que se diera una exfiltración de la documentación.” “Para su lectura por terceras partes, sería necesario que los documentos fuesen desencriptados con anterioridad.” “Esto redunda en una mejora notable de los niveles de seguridad de la información tratada por la Sociedad.” Documentación de la parte reclamada relacionada con sus actividades de tratamiento y análisis de riesgos asociados a los mismos: La parte reclamada aporta como Anexo III, pág. 12, el Registro de Actividades de Tratamiento (RAT) relacionadas con los datos afectados por la brecha. En el RAT constan: (…). Entre las categorías de datos mencionadas en el RAT no consta (…), que la propia parte reclamada menciona en págs. 2 y 3, como categorías de datos afectados por la brecha. Preguntada por los Análisis de Riesgo (AR) para los derechos y libertades de las personas físicas, referidos a las actividades de tratamiento de los datos personales sobre los que se ha producido la violación de seguridad, la parte reclamada aporta, págs. 2 a 11, el “ANÁLISIS DE RIESGOS PARA LOS DERECHOS Y LIBERTADES DE LOS INTERESADOS EN RELACIÓN CON (…)”. Preguntada por su fecha de elaboración, la parte reclamada manifiesta que el mismo “fue redactado con posterioridad a la detección y gestión del Incidente, con el objetivo de documentar el análisis pormenorizado realizado en relación con el mismo y sus implicaciones en materia de protección de datos y seguridad de la información”. El AR considera los riesgos relacionados con la confidencialidad, disponibilidad e integridad de los datos, tiene en cuenta la probabilidad de materialización del riesgo, así como la severidad, en su caso, para los derechos y libertades de los afectados. El AR considera el riesgo del tratamiento como “asumible”, por sus características: Para la confidencialidad de los datos: probabilidad “limitada”, severidad en caso de materialización del riesgo “limitada”, medidas de seguridad que “mitigan este riesgo debidamente” Para la disponibilidad de los datos: probabilidad “limitada”, severidad en caso de materialización del riesgo “limitada”, medidas de seguridad que “mitigan este riesgo debidamente” Para la integridad de los datos: probabilidad “limitada”, severidad en caso de materialización del riesgo “limitada”, medidas de seguridad que “mitigan este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/38 riesgo debidamente” El AR concluye que resulta innecesaria la realización de una evaluación de impacto en relación con el tratamiento de datos personales (EIPD). Adicionalmente, la parte reclamada manifiesta: “La Sociedad desea dejar constancia de que […] junto con su encargado del tratamiento […] habían implementado todas las medidas oportunas para asegurar la confidencialidad, integridad y disponibilidad de la información tratada, en estricto cumplimiento de las obligaciones aplicables en materia de protección de datos sobre los sistemas afectados por el Incidente.” “[…] los datos personales afectados estuvieron en todo momento protegidos por las exhaustivas medidas de seguridad implementadas por el Encargado. En este sentido, y a modo ilustrativo pero no limitativo, el Encargado cuenta con la certificación ISO27001 de seguridad de la información, evidencia del cual se adjunta a la presente como Anexo I. Sirva esta certificación como ejemplo del nivel de compromiso con la seguridad de los datos personales por parte de la Sociedad y su Encargado.” Notificación a la Agencia Española de Protección de Datos y comunicación a los afectados: Queda acreditado que la parte reclamada notificó la brecha a la Agencia Española de Protección de Datos el 27 de febrero de 2023, antes de las 72 horas siguientes a su conocimiento de la brecha, y que envió una ampliación de la información el 31 de marzo. La parte reclamada manifestó su intención de comunicar la brecha a los afectados antes del 10 de abril de 2023. La parte reclamada manifiesta en pág. 6, que envió 850.430 comunicaciones por correo electrónico el 10 de abril de 2023 (45 días después de su conocimiento de la brecha), y aporta una imagen extraída de su herramienta de envío de comunicaciones, en la que constan esa cifra y esa fecha. Rte1 manifiesta que recibió esa comunicación el 11 de abril, y aporta una impresión del correo electrónico. La marca temporal del correo es “11/04/2023, 0:44” (no indica referencia horaria). La comunicación presenta fecha 10 de abril, y con excepción de la fecha su formato y contenido son iguales a los del Anexo IV. Rte2 manifiesta que recibió una comunicación por correo electrónico el día 10 de abril. Por las manifestaciones de Rte2 y por las manifestaciones de la parte reclamada su contenido coincide. La parte reclamada proporciona en págs. 14 y 15, el modelo de comunicación enviada a los afectados por correo electrónico, en el que aparece la fecha 9 de mayo de 2023. Preguntada por la falta de concordancia de las fechas, la parte reclamada manifiesta en pág. 3: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/38 “[…] el documento enviado a la AEPD, si bien idéntico en contenido a lo enviado a los interesados, era un mero ejemplo que se preparó a efectos de dar respuesta a la AEPD […] La fecha real de envío de las notificaciones a los afectados, tal como se comunicó y acreditó ante la AEPD, fue el 10 de abril (habiéndose alargado el proceso de parte de estos envíos hasta el 11 de abril), teniendo un contenido idéntico al ya compartido por la Sociedad a la AEPD en el seno de este expediente.” La parte reclamada manifiesta también que envió comunicaciones de la brecha por correo postal. Aporta en albaranes de entrega a Correos de 171.617 comunicaciones entre los días 19 y 25 de mayo de 2023 (entre 85 y 91 días después de su conocimiento de la brecha). Rte3 manifiesta haber recibido esa comunicación, de la que aporta copia. La comunicación tiene fecha de 18 de mayo, y su formato y contenido son iguales a los del Anexo V aunque este último tiene fecha 14 de abril. Preguntada por la falta de concordancia en las fechas, la parte reclamada manifiesta en pág. 4: “[…] la Sociedad confirma que la comunicación a los afectados sobre este Incidente por correo se realizó entre los días 19 a 25 de mayo de 2023, teniendo un contenido idéntico al ya compartido por la Sociedad a la AEPD en el seno de este expediente.” En estas comunicaciones, HMES informó a los clientes y potenciales clientes afectados lo siguiente: “Me pongo en contacto con usted en nombre de Hyundai Motor España para informarle de que, lamentablemente… nuestra empresa ha tenido conocimiento recientemente de que un tercero no autorizado ha accedido a cierta información de nuestra base de datos de clientes. En el momento en el que tuvimos conocimiento del incidente, iniciamos inmediatamente una investigación y tomamos medidas para contenerlo… Entre las diversas medidas de seguridad aplicadas, bloqueamos el servidor afectado y lo desconectamos permanentemente de la red… Nuestra investigación informática indica que pueden haberse visto afectados algunos datos relativos a clientes y potenciales clientes. Los datos incluyen detalles de contacto (como correos electrónicos, direcciones y números de teléfono) y datos de vehículos (como números de bastidor) de nuestros clientes. No se han visto afectados datos financieros ni números de identificación oficial (como el DNI) de nuestros clientes. Aunque no tenemos constancia de que estos datos hayan sido utilizados con fines fraudulentos, por extremar la precaución le recomendamos que aplique las medidas habitualmente recomendadas y compruebe cualquier intento de contacto por correo electrónico, postal y/o mensaje de texto que pueda parecer que proviene de Hyundai España o de otras entidades del Grupo Hyundai Motor. En particular, le recomendamos que evite pulsar cualquier enlace que contengan estas comunicaciones. Como siempre, puede ponerse en contacto con nosotros directamente para cualquier verificación o soporte. En este sentido, hemos habilitado un canal específico al que puede dirigirse: email… o teléfono…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/38 Por otra parte, con sus respuestas al trámite de traslado de las reclamaciones y a los requerimientos de información que le fueron realizados por los Servicios de Inspección, la entidad reclamada aportó copia de la respuesta que le remitió la División de Innovación Tecnológica de esta AEPD con ocasión de la notificación de la brecha de datos personales que ha motivado el presente expediente. En esta comunicación se indica lo siguiente: “En relación con la información adicional aportada mediante registro de entrada ***REFERENCIA.2, relativa a una brecha de datos personales en un tratamiento del que HYUNDAI MOTOR ESPAÑA, S.L.U. se declara responsable, informamos que: Tras el análisis de la información adicional aportada, la brecha ha sido actualizada en el registro de notificaciones de brechas de datos personales y, sin perjuicio del curso de otros procedimientos, no están previstas más acciones por parte de esta División con relación a este acto de notificación de brecha de datos personales. No obstante, le recordamos la necesidad de investigar las causas del incidente hasta entender cómo y por qué ha sucedido, y la obligación de tomar las acciones oportunas para evitar que vuelva a suceder y minimizar el impacto potencial sobre los afectados, así como la obligación de documentar cualquier incidente de seguridad que pueda afectar a los datos personales como los hechos relacionados con los mismos y las medidas correctivas aportadas tal y como establece el artículo 33.5 del RGPD. Si en el trascurso del tiempo obtuviera indicios que impliquen un cambio sustancial en la naturaleza, circunstancias o severidad de la brecha, puede realizar una nueva notificación completa a través del formulario de notificaciones de brechas de datos personales disponible en nuestra sede electrónica https://sedeagpd.gob.es/sedeelectronica-web/. Así mismo, le informamos que en el siguiente enlace tiene a su disposición la guía para la notificación de brechas de datos personales publicada por esta Agencia: https://www.aepd.es/media/guias/guia-brechas-seguridad.pdf”. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la parte reclamada es una gran empresa constituida en el año 2.009, y con un volumen de negocios de ***CANTIDAD.1 euros en el año 2.024. SEXTO: Con fecha 23/12/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad HMES, por la presunta infracción del artículo 5.1.
f)del RGPD, tipificada en el artículo 83.5.
a)del RGPD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder por la infracción imputada, sin perjuicio de lo que resulte de la instrucción, sería de 2.000.000 euros (dos millones de euros). Asimismo, se advirtió que la infracción, de confirmarse, podrá conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio, la entidad HMES presentó escrito de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/38 alegaciones en el que solicita que se dirija un apercibimiento o, subsidiariamente, se reduzca la cuantía de multa propuesta en el acuerdo de inicio por debajo de los 800.000 euros. Basa su pretensión en las consideraciones siguientes: Primera. Solicita que la multa administrativa sea sustituida por una medida de apercibimiento, prevista en el artículo 58.2 del RGPD, que puede acordarse en casos de infracciones leves teniendo en consideración los factores previstos en el artículo 83.2. del RGPD, de acuerdo con el Considerando 148 del mismo Reglamento, sin que sea un obstáculo que la infracción esté tipificada en el artículo 83.5 del citado texto legal. Según HMES, las Directrices del Grupo de Trabajo del Artículo 29 CEPD, sobre la aplicación y fijación de multas administrativas, y las Directrices 04/2022, sobre el cálculo de las multas, al definir la gravedad de la infracción, siguen el mismo criterio. A estos efectos, según la reclamada, para la consideración de la infracción como leve concurren los siguientes factores: 1. Naturaleza, gravedad y duración de la infracción: La afectación al principio de confidencialidad es limitada o leve, no generalizada, porque el incidente solo afectó a un único servidor de escasa relevancia, gestionado por una entidad subcontratada y cuya finalidad era compartir información con terceros que la usaban para la remisión de comunicaciones comerciales sobre vehículos en nombre de HMES, no vinculada a su actividad principal de venta al por mayor de vehículos a concesionarios y flotas, no a consumidores finales, la cual no exige un tratamiento regular, diario o a gran escala de datos personales de interesados en sus vehículos. Siendo así, la naturaleza del tratamiento de datos personales no reviste especial gravedad en la medida en que (
i)no invade la esfera privada de los interesados (por ejemplo, a través de perfilados detallados o análisis de datos financieros, conductuales…), (
ii)no perjudica o limita el ejercicio de derechos de protección de datos a los interesados, (iii) no permite adoptar decisiones de ningún tipo (mucho menos automatizadas) que puedan afectar negativamente a los interesados, (
iv)no permite la asociación o combinación del conjunto de datos, (
v)no permite la observación sistemática de interesados, (
vi)no implica el uso de nuevas tecnologías innovadoras, (vii) no trata datos de colectivos de interesados vulnerables, (viii) no trata datos sensibles del artículo 9.1 del RGPD, ni datos relativos a condenas e infracciones penales, ni datos que merezcan una protección adicional y (
ix)no implica el tratamiento de datos que permita el acceso ilegítimo o el uso de coches. Asimismo, la duración de la infracción debe entenderse limitada, ya que se procedió a subsanar la vulnerabilidad detectada en el momento en el que se tuvo conocimiento de la misma. 2. Número de interesados afectados: Según las Directrices 04/2022, el número de afectados (1.012.730 clientes) se podrá valorar en relación al número total de interesados en el contexto de que se trate. En este caso, el número de afectados es inferior a la mitad de las personas incluidas en las bases de datos que gestiona HMES en el curso de su actividad ordinaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/38 Adicionalmente, el tipo de datos no produce perjuicios relevantes ni las categorías de datos eran similares para todos los individuos, existiendo casos con solo uno, dos o tres registros en la base de datos afectada por el incidente, lo que producía una situación de riesgo muy bajo en muchos de los casos. Respecto de esta cuestión destaca que la AEPD ha conocido incidentes con un número de registros y afectados similar o superior, resueltos en diferentes ocasiones con archivos de actuaciones o sanciones menores, y cita: - El caso del E/08809/2019, en el que se habrían visto afectados 22 millones de registros mundialmente y afectó a datos de tarjeta de crédito, que culminó en archivo de actuaciones. - El caso del EXP202210465, en el que se habrían visto afectados los datos personales de 1.407.257 (un 38,9% superior), sancionado por la misma infracción del artículo 5.1.
f)del RGPD con multa de 800.000 euros. A la vista del carácter no sistémico de la afectación que propició el incidente, el total de interesados afectados no es obstáculo para la consideración de la infracción como leve. 3. Categorías de datos afectados por la infracción: Los únicos datos afectados han sido datos identificativos (personales y de vehículo) y de contacto, de escasa sensibilidad y en diferentes combinaciones por individuo. No se trata de categorías especiales ni de los datos a que se refiere el artículo 10 del RGPD, que merecen una especial protección; no hay datos de menores u otros colectivos vulnerables; y tampoco otros datos especialmente sensibles, como datos bancarios, de tarjetas de crédito, transaccionales, datos de localización, comunicaciones privadas u otros documentos identificativos, a los que se refieren las Directrices 04/2022 (apartado 57). Asimismo, la brecha de datos personales no supone un menoscabo directo o alto en los derechos, libertades e intereses de los interesados, que no quedaron en una situación más comprometida o perjudicial, toda vez que los datos afectados son generalmente conocidos y están disponibles al público por otras vías. Incluso el número de bastidor del vehículo puede ser consultado por el público general que acredite un interés legítimo por los cauces habilitados por las autoridades competentes. Así, todo dato exfiltrado pudo haberse conocido y vinculado a los interesados por otros medios sin un esfuerzo desproporcionado. 4. El nivel de daños y perjuicios para los derechos e intereses de los interesados es limitado: - Los datos afectados son básicos y generalmente accesibles al público en general por diferentes medios. - Como consecuencia de este incidente, no se ha producido ningún perjuicio inmediato para los interesados, como podría ocurrir si se hubieran exfiltrado y publicado maliciosamente detalles personales de la esfera privada de cada interesado (como datos financieros, contraseñas, fotografías o mensajes privados). No consta que se haya realizado ninguna publicación o difusión de los datos afectados por el Incidente en entornos web (o cualesquiera otros entornos). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/38 - Cualquier hipotética consecuencia gravosa requeriría de un acto adicional y posterior (de cierta envergadura) que la materializara, como la realización exitosa por parte de un actor malicioso de una campaña de phishing (de lo cual no hay evidencia alguna hasta la fecha). Por el tipo de dato afectado, su sola exfiltración no da pie a ningún perjuicio. Por lo tanto, la AEPD, al referirse a “consecuencias gravosas e inconvenientes para los interesados”, lo que valora son potenciales e hipotéticas consecuencias gravosas por la incertidumbre causada a los interesados, no que la brecha conlleve de por sí cualquier tipo de consecuencia gravosa. En cualquier caso, si concurriera este perjuicio inmaterial, este no debería considerarse como alto por los motivos ya expuestos. Lo contrario desvirtuaría cualquier graduación de la proporcionalidad, pues se estaría equiparando una incertidumbre muy menor (a la vista de los datos afectados en este caso), con la intranquilidad que podría suponer un incidente en el que se exfiltren datos de tarjeta de crédito y sus claves de acceso (la cual sería, probablemente, mucho mayor). - Se valoran doblemente los mismos hechos como “inconvenientes” y como “molestias” que, como se ha indicado, no se han producido en ninguno de los afectados, más allá de la potencial preocupación manifestada por los tres reclamantes. - El temor manifestado por los reclamantes es infundado, por cuanto no se ha generado ningún perjuicio real y medible ni se prevé que puedan materializarse, mucho menos de la envergadura del robo de vehículos, que no se podría llevar a cabo con la información afectada. El mismo acuerdo de inicio habla de temor manifestado, no temor inherente al incidente. A este respecto, es ilustrativo que solo 3 de 1.012.730 de afectados han formulado reclamación. Destaca que las comunicaciones y respuestas dirigidas a los interesados informando de la brecha contenían mensajes de tranquilidad y recomendaciones sobre como mitigar posibles consecuencias negativas a raíz del Incidente. Al interesado que hacía alusiones al posible robo de su vehículo se le dio puntual respuesta, aclarándole que no sería posible usar los datos afectados para sustraer los vehículos de los clientes. A la vista de lo anterior, considera injusta la apertura de un procedimiento sancionador sobre la base de temores infundados y subjetivos de los reclamantes. Incluso la División de Innovación Tecnológica de la AEPD consideró que no procedía la adopción de acciones adicionales en relación con este incidente. Lo mismo aplicaría a la posible suplantación de identidad, que a la vista de los datos afectados sería de muy difícil o imposible materialización. Por último, resalta que el artículo 83.2.
a)del RGPD no hace referencia alguna al concepto de “posibilitar” que se “pueda producir” un perjuicio, sino a perjuicios ya sufridos. A lo que ha de añadirse lo indicado sobre la posible concurrencia de daños inmateriales. 5. Cualquier medida adoptada por el responsable del tratamiento para paliar los daños y perjuicios sufridos por los interesados: Al detectar el incidente se adoptaron medidas oportunas para aislar los sistemas afectados, bloqueando su conexión al resto de sistemas para evitar posibles expansiones del ataque y poder proceder con la adopción de las medidas técnicas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/38 necesarias para paliar sus efectos y evitar situaciones similares en el futuro, las cuales constan descritas en los formularios de notificación de la brecha y en las respuestas a los requerimientos de información. Entre las citadas medidas, las dirigidas a detectar y limitar en la mayor parte posible los perjuicios para los derechos y libertades de los interesados, como la consistente en recurrir a un sistema de monitorización de emergencia de la Dark Web para identificar potenciales publicaciones de los datos afectados. Cabe resaltar que no se ha tenido noticia de la publicación de ninguna información en abierto desde el momento del Incidente y así lo acredita el email remitido por la entidad contratada para esta monitorización que se ha traducido automáticamente al castellano. En ocasiones anteriores, la AEPD ha valorado la adopción de medidas técnicas y/u organizativas de seguridad en remediación de incidentes como atenuante en la graduación de infracciones. Tales son los casos de los procedimientos sancionadores PS/00062/2022; EXP202205206; y EXP202305587. 6. Inexistencia de sanciones anteriores: Desde la constitución de HMES en el año 2009, no cuenta con ninguna sanción previa. Incluso, algún expediente informativo tramitado por parte de la AEPD finalizó sin que se apreciase infracción alguna. A estos efectos, en la Resolución de 22 de diciembre de 2021 (PS/00204/2021) la AEPD consideró como factor relevante para determinar la cuantía de la multa administrativa el hecho de “que no se aprecia reincidencia, por no constar la comisión de ninguna infracción de la misma naturaleza”. Manifiesta conocer que las Directrices 04/2022 y la Audiencia Nacional entienden que la ausencia de infracciones previas no puede ser considerado una atenuante, pero ello no impide que pueda ser tenido en cuenta para la consideración de la infracción como leve a efectos del posible apercibimiento, en la medida en que acredita que la conducta que ha dado lugar al Acuerdo de Inicio es un hecho aislado que no afecta al cumplimiento generalizado del principio de seguridad y confidencialidad de la información. 7. Grado de cooperación con la autoridad de control para remediar la infracción y mitigar los efectos adversos: Manifiesta conocer que colaborar con la autoridad de control durante la tramitación de cualquier expediente administrativo es una obligación legal. No obstante, considera relevante la diligencia mostrada para responder en tiempo y forma a las cinco todas las solicitudes de información de la AEPD, que adoptó medidas para mitigar la vulnerabilidad del servidor en el momento en el que tuvo conocimiento del incidente, subsanando la vulnerabilidad antes de que se lo requiriese la propia AEPD e incluso antes de que cualquier interesado manifestase su preocupación, y ya había tratado de mitigar los posibles efectos adversos para los interesados informándoles del incidente sufrido y poniéndose a disposición de los interesados para ayudarles en todo cuanto pudiesen necesitar, con un servicio específico de call center y un centro de atención diferenciado, con un listado de explicaciones preparadas para atender a cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/38 consulta en relación con el incidente. 8. Otros factores: El artículo 76.2 de la LOPDGDD establece algunos ejemplos de los factores que podrán tenerse en cuenta en relación con el artículo 83.2.k del RGPD. A los efectos que nos ocupan, resultan de aplicación los siguientes: • No sólo no ha obtenido beneficios como consecuencia de la infracción achacada por la AEPD, sino que, además, el Incidente le ha ocasionado pérdidas económicas, derivadas de la contratación de diferentes perfiles profesionales para analizar lo sucedido, y reputacionales por haber informado de forma voluntaria a los interesados afectados cuando este incidente podría haber sido mitigado sin notificación a los interesados, dado el bajo nivel de riesgo que implicaba. • La actividad principal de la entidad consiste en la venta de vehículos a la red de concesionarios, quienes, posteriormente los venden a los consumidores finales. Por lo tanto, no cabe interpretar que la actividad principal está vinculada con el tratamiento de datos personales. Las actividades de marketing se realizan desde HMES como refuerzo de la imagen de marca, pero no como elemento necesario en la venta. De ello se deriva, también, la consecuencia de que el tipo de datos almacenados para las actividades de marketing eran únicamente datos básicos, sin ningún tipo de afectación a la esfera de mayor riesgo de los interesados (no existían datos financieros o especialmente protegidos). • No se han visto afectados los derechos de menores ni otro colectivo vulnerable. • Aun cuando, a priori, podría justificarse que HMES no estaría obligada a nombrar un Delegado de Protección de Datos, procedió a su designación y registro. Termina citando algunos precedentes similares en los que la AEPD acordó no imponer multa administrativa y finalizar con un apercibimiento o, incluso, el archivo de las actuaciones: a. Procedimiento E/08809/2019, ya citado en el punto 2. b. Procedimiento PS/00118/2020, que finalizó con apercibimiento, a pesar de que la investigada no aportó el análisis de riesgos y declaró que “la máquina afectada por los incidentes de seguridad estaba técnicamente obsoleta”, por lo que no contaba con medidas de seguridad adecuadas al riesgo que conllevaba el tratamiento. c. Procedimiento E/05937/2021: finalizó con la imposición de una sanción de apercibimiento, viéndose afectados datos económicos y financieros. Segunda. Sobre la graduación de la multa administrativa Los mismos criterios alegados para la calificación de la infracción como leve a efectos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/38 de sustituir la multa por un apercibimiento sirven para reducir el importe de la sanción, en virtud de lo dispuesto en el artículo 83.2 del RGPD. Asimismo, conforme a lo establecido en el artículo 83.1. del RGPD, deberá tenerse en consideración lo siguiente: 1. El importe de la multa administrativa propuesta no es efectivo, proporcional ni disuasorio:
a)No es efectivo. Tal y como se establece en las Directrices 04/2022, la efectividad de una multa persigue los siguientes objetivos: (
i)reestablecer el cumplimiento de la normativa y/o (
ii)castigar un compartimiento ilícito. HMES, voluntariamente y si requerimiento previo de la AEPD o los interesados, ya ha reestablecido el cumplimiento de la normativa, puesto que, como se ha acreditado, ya se han adoptado las medidas pertinentes para subsanar la vulnerabilidad que ha ocasionado el Incidente. Por lo tanto, el único objetivo que esta multa perseguiría sería el de “castigar un comportamiento ilícito”. Si bien, teniendo en cuenta los factores indicados en la Alegación Primera, existen suficientes elementos de valoración que permitirían justificar que el importe de la misma fuera reducido a una cifra muy inferior.
b)No es proporcional. El importe de dos millones no es proporcional a la finalidad de “castigar un comportamiento ilícito” por una infracción que no puede considerarse grave, por cuanto el incidente no supone un incumplimiento absoluto del principio de confidencialidad.
c)No es disuasorio. De conformidad con lo previsto en las Directrices 04/2022, el carácter disuasorio de una multa tiene dos esferas: (
i)la disuasión general de desincentivar a otros a cometer la misma infracción en el futuro y (
ii)la disuasión especifica de desincentivar al destinatario de la multa a cometer de nuevo la misma infracción. En cuanto a la disuasión general, aunque se pueda compartir el criterio del CEPD, HMES considera que este procedimiento no debería utilizarse con fines disuasorios generales, especialmente porque: (
i)existen múltiples procedimientos sancionadores de la AEPD por incumplimiento de medidas de seguridad o incumplimiento del principio general de seguridad de la información que ya cumplirían con este efecto disuasorio general, que ya existe en el tejido empresarial español; y (
ii)el carácter del Incidente (un ciberincidente de un grupo de hackers altamente profesionalizado) no tiene una entidad suficiente por sí sólo para ser considerado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/38 relevante para que tenga efectos disuasorios en un tercero, especialmente porque cualquier responsable o encargado del tratamiento puede ser objeto de un ciberataque. En cuanto a la disuasión especifica, como ya se ha indicado, HMES ha implantado nuevas medidas técnicas y organizativas para subsanar posibles vulnerabilidades tecnológicas, por lo que, la multa administrativa no tendría ningún tipo de efecto disuasorio adicional en la entidad. 2. Equilibrio de la multa administrativa con otros procedimientos sancionadores similares o incluso más graves. Cita nuevamente el procedimiento EXP202210465, en el que se impone una multa por importe de 800.000 euros por incumplimiento del principio general del artículo 5.1.
f)del RGPD, que HMES considera un caso muy similar por hechos más graves: o El número de interesados afectados es de 1.407.257, es decir, 394.527 afectados más. o El servicio afectado por la violación de datos personales está directamente relacionado con el servicio principal. En el caso de HMES, los datos afectados no están relacionados con servicios principales, sino que el servidor afectado se utilizaba para comunicaciones con terceras partes que remitían comunicaciones comerciales en nombre de HMES. o La entidad infractora presta servicios de telecomunicaciones, por lo que la actividad de la entidad infractora está directamente relacionada con el tratamiento de datos personales. o La entidad infractora realizó la notificación de la violación de datos personales a los infractores porque lo pidió la AEPD, no de forma voluntaria como hizo HMES. o Los datos afectados, al igual que en el presente caso, no estaban cifrados. Por tanto, en base a todo lo anterior, procede graduar la multa administrativa propuesta a HMES en un importe inferior a los 800.000 euros impuestos por la AEPD en el EXP202210465. Finalmente, señala HMES que deben incorporarse al procedimiento sus notificaciones por las que da cuenta de la brecha de datos personales, la respuesta de esta AEPD a estas comunicaciones, sus escritos de respuesta a los requerimientos de información y cualquier otro documento relacionado. A este respecto, se hace constar que dicha documentación consta incorporada al expediente y su contenido principal reseñado en este acto. OCTAVO: En atención a lo solicitado por HMES, con fecha 11/11/2025 se remite a HMES copia íntegra de las actuaciones que forman el presente expediente. NOVENO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/38 HECHOS PROBADOS PRIMERO: la entidad HMES, dedicada principalmente a la venta de automóviles y repuestos, es responsable de un fichero en el que se registran los datos personales de clientes y potenciales clientes para usos publicitarios y estadísticos. SEGUNDO: La entidad HAEE, con sede en Alemania y perteneciente al mismo grupo empresarial que HMES, se ocupa de la gestión del fichero reseñado en el Hecho Probado Primero bajo la condición de encargada del tratamiento, en virtud del Acuerdo Marco suscrito por dichas entidades en fecha 17/05/2018. Según HMES, ***SISTEMA.1 es el sistema que da soporte a la indicada base de datos personales. En el Acuerdo para el tratamiento de datos personales entre HMES y HAEE, constan las siguientes categorías de datos personales de clientes o clientes potenciales: o (…) TERCERO: Con fecha 17/01/2023, un tercero (o terceros) no identificado accedió a la base de datos de Marketing y sustrajo datos personales pertenecientes a 1.012.730 interesados, clientes y potenciales clientes de HMES, relativos a nombre y apellidos; fecha de nacimiento; teléfono; según el caso, dirección de correo electrónico o dirección postal; identificador de cliente; y número de bastidor del vehículo. Este acceso y exfiltración de datos personales se produce mediante un ataque a los sistemas informáticos de HAEE, que posibilitó el acceso a un servidor (…) operado por esta entidad. HMES ha informado a esta AEPD que el acceso a la información se produce por un problema de seguridad en el software que le provee su encargado de tratamiento, HAEE. Concretamente, se informa que el atacante aprovechó una vulnerabilidad de seguridad (…). La versión disponible en el momento del ataque (…) fue instalada en julio de 2021. Consultada por los Servicios de Inspección de la AEPD la página web del desarrollador del software, ***URL.1, se comprueba que la última versión disponible anterior a la fecha del ataque era la versión ***VERSION.2 (***URL.2), (…) Consultada por los Servicios de Inspección de la AEPD la página de vulnerabilidades del desarrollador del software, ***URL.3, se comprueba que en la fecha de la brecha existían al menos 8 actualizaciones que corregían vulnerabilidades conocidas del software, posteriores a la versión ***VERSION.3, calificadas por el desarrollador como de severidades Crítica (***REFERENCIA.1), Alta y Media. CUARTO: Con fecha 22/02/2023, el atacante informa a un empleado de HAEE en República Checa sobre el ataque realizado. QUINTO: Con fecha 24/02/2023, HMES recibe la información, procede al bloqueo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/38 todos los accesos (...), y da por cerrado el ataque. SEXTO: Con fecha 27/02/2023, HMES realiza la notificación inicial de la brecha en la AEPD. SÉPTIMO: Con fecha 31/03/2023, HMES amplía la información ofrecida en la primera notificación de la brecha. OCTAVO: Con fecha 10/04/2023, HMES comunica la brecha a 850.430 afectados por correo electrónico; y con fecha 19/05/2023 a 25/05/2023, hace lo mismo por correo postal a 171.596 afectados. NOVENO: HMES ha informado que antes del ataque disponía de las siguientes políticas de protección de datos y seguridad: • (…).” DÉCIMO: Con fechas 11/04/2023, 24/04/2023 y 08/06/2023 se recibieron en esta AEPD sendas reclamaciones dirigidas contra HMES, formuladas por personas que recibieron la comunicación de la brecha de datos personales por parte de la citada entidad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio HMES presenta escrito de alegaciones en el que no cuestiona los hechos que han determinado la apertura del procedimiento ni la infracción imputada por vulneración de lo establecido en el artículo 5.1.
f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/38 Sus alegaciones se centran exclusivamente en la medida correctiva de multa administrativa que se contempla en el acuerdo de inicio del procedimiento y en su cuantía, limitándose a solicitar que por razón de la infracción cometida se dirija un apercibimiento o, subsidiariamente, se reduzca la cuantía de multa por debajo de los 800.000 euros. Para fundamentar su pretensión, HMES invoca diversos fatores de los previstos en el artículo 83.2 del RGPD y artículo 76.2 de la LOPDGDD para decidir la cuantía de la multa, que a su juicio justifican la calificación de la infracción como leve, entendiendo con ello que la multa administrativa sea sustituida por una medida de apercibimiento de acuerdo con el Considerando 148 del mismo Reglamento. En concreto, HMES valora las circunstancias de graduación siguientes: 1. Naturaleza, gravedad y duración de la infracción. 2. Número de interesados afectados. 3. Categorías de datos afectados por la infracción. 4. El limitado nivel de daños y perjuicios para los derechos e intereses de los interesados. 5. Cualquier medida adoptada por el responsable del tratamiento para paliar los daños y perjuicios sufridos por los interesados. 6. Inexistencia de sanciones anteriores. 7. Grado de cooperación con la autoridad de control para remediar la infracción y mitigar los efectos adversos. 8. Ausencia de beneficios. 9. La actividad que desarrolla no está vinculada con el tratamiento de datos personales 10. No se han visto afectados derechos de menores ni otro colectivo vulnerable. 11. Tiene designado un delegado de protección de datos, aunque, a priori, podría justificarse que no está obligada a nombrarlo. En base a estas mismas circunstancias formula su petición para que, de forma subsidiaria, se reduzca el importe de la multa administrativa. Esta AEPD considera que, en el presente caso, no concurren todos los factores de graduación apreciados por HMES o bien no tienen entidad suficiente para contrarrestar la cuantificación de la multa realizada en esta propuesta de modo que pueda sustituirse dicha multa por un apercibimiento. Además, algunos de los factores de graduación alegados, valorados correctamente, expresan lo contrario a la consideración de la infracción como leve, según se expone en el Fundamento de Derecho V, dedicado a la cuantificación de la multa. No se justifica, a juicio de esta AEPD, que la presente infracción sea leve por el solo hecho de que puedan cometerse infracciones más graves que afecten a tratamientos y datos personales más sensibles o a colectivos de afectados vulnerables; ni tampoco por las supuestas peores consecuencias que la infracción analizada en este acto hubiese podido tener de haber afectado a todos los datos registrados en los sistemas de información de HMES, según alega esta entidad. Ello sin perjuicio de que las circunstancias concretas de cada caso puedan tener como efecto la imposición de una multa por importe mayor o menor, ajustada al supuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/38 concreto de que se trate. De hecho, la multa de 2.000.000 de euros para la infracción cometida por HMES se sitúa en un rango muy inferior en relación con el intervalo de multa que cabría imponer conforme al RGPD, que se establece entre 0,00 euros y 52.537.680 euros para una empresa cuyo volumen de negocio ascendió en el año 2024 a ***CANTIDAD.1 euros. La multa se entiende proporcional a la infracción cometida, atendiendo a las concretas circunstancias que se valoran en este caso, las cuales se desarrollan en el Fundamento de Derecho V, ya citado. En todo caso, (
i)las circunstancias de hecho concurrentes, entre las que destaca de forma esencia la gravedad de las deficiencias apreciadas en las medidas organizativas y técnicas dispuestas por HMES, (
ii)los elementos subjetivos que configuran la conducta de HMES, especialmente la negligencia apreciada en su actuación, o (iii) el propio carácter de esta entidad y el nivel de profesionalidad que cabe exigirle, así como (
iv)los efectos que conlleva la infracción en cuanto a la pérdida del poder de disposición y control de sus datos personales por más de un millón de personas, todo ello en conjunto e incluso cada una de esas circunstancias considerada aisladamente, imposibilita llegar a concluir que la infracción sea merecedora de un apercibimiento en lugar de multa o la estimación de una reducción de la cuantía de la multa. Aceptar la pretensión de HMES equivaldría a renunciar al efecto disuasorio de las medidas correctivas que corresponde imponer a esta AEPD. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” La sanción propuesta cumple con la función disuasoria exigida por el RGPD, cuyo objetivo es garantizar que las infracciones no se repitan y procurar que el cumplimiento normativo sea una prioridad efectiva y no meramente declarativa para el responsable del tratamiento. Por tanto, la sanción es proporcional, adecuada y necesaria, cumpliendo con los objetivos del artículo 83 del RGPD y garantizando un efecto disuasorio frente a futuras infracciones. No obstante lo anterior, interesa realizar algunas consideraciones respecto de las siguientes circunstancias: . Ninguno de los factores de graduación considerados queda atenuado por el hecho de que la entidad reclamada no haya sido objeto de un procedimiento sancionador con anterioridad, circunstancia esta que ha sido alegada por la entidad reclamada para que sea considerada como una atenuante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/38 A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. Según el citado artículo 83.2 del RGPD, al decidir la imposición de una multa administrativa y su cuantía de debe tener en cuenta “toda infracción anterior cometida por el responsable”. Es una previsión normativa que no incluye la inexistencia de infracciones precedentes como factor de graduación de la multa, el cual debe entenderse como un criterio próximo a la reincidencia, aunque más amplio. . En cuanto a la cooperación de HMES con la AEPD, por la atención de todos los requerimientos y solicitudes de información, si bien es valorable, no constituye una atenuante relevante, ya que se trata de una obligación básica del responsable del tratamiento conforme al artículo 31 del RGPD, y no de una medida adicional que exceda sus deberes legales, por lo que la cooperación en el sentido expresado por HMES no puede considerarse un factor atenuante sustancial, sino un deber inherente al proceso. . El inexistente beneficio obtenido por la reclamada como resultado al tratamiento de datos que ocupa este procedimiento. Lo mismo puede decirse respecto de la ausencia de beneficios también alegada como atenuante por la entidad reclamada. Sobre este criterio, el artículo 76.2 de la LOPDGDD, en su letra c), incluye entre los criterios que deben sopesarse a la hora de fijar la cuantía de la sanción “los beneficios obtenidos como consecuencia de la comisión de la infracción” y no la ausencia de estos beneficios. La misma Sentencia de la Audiencia Nacional citada, de 05/05/2021, se refiere a la necesidad de que concurra el “presupuesto” de hecho contemplado en la norma para que pueda aplicarse un determinado criterio de graduación, y, como se ha dicho, la ausencia de beneficios no está entre las circunstancias reguladas en el artículo citado. Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.
k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios. Si a esto añadimos que las sanciones deberán ser “en cada caso individual” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/38 efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, admitir la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que procede imponer que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. Por otra parte, en cuanto a la existencia de otros procedimientos similares o incluso más graves en los que la AEPD ha resuelto el archivo de actuaciones o impuesto una multa inferior (cita el ejemplo que consta reseñado en los antecedentes) o apreciado alguna de las atenuantes alegadas, debe señalarse que, además de poner de manifiesto que este tipo de ataques están a la orden del día y por tanto previsibles en gran medida, cada ataque es diferente pues, incluso aunque el ataque fuese similar, en cada uno las empresas que lo sufren son distintas, con tratamientos de datos personales diferentes y particulares y en cada caso hay que analizar las medidas existentes (si existían, si eran adecuadas para garantizar un nivel de seguridad apropiado al riesgo concreto en cada caso, si fueron eficientes, si se observaron, etc.). No cabe, por tanto, equiparar sanciones ante hechos y circunstancias diferentes. HMES únicamente ha seleccionado y trae a colación un precedente para defender un supuesto trato desigual, pero, sin embargo, obvia las resoluciones dictadas en numerosos procedimientos sancionadores tramitados por esta AEPD en los que, tras producirse una brecha de confidencialidad, se ha sancionado con importes similares o superiores, todas ellas disponibles en la web. En este sentido, de nuevo se recuerda que, en materia de protección de datos, las medidas técnicas y organizativas de seguridad a adoptar por los responsables del tratamiento y demás obligaciones a cumplir exigidas por el RGPD, deben ser las adecuadas en relación con los concretos riesgos que suponen los específicos tratamientos que realice cada responsable. Por tanto, al analizar la diligencia de unos y otros en el cumplimiento de la normativa ha de estarse a las circunstancias de cada caso, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines de cada tratamiento, no existiendo, por tanto, casos idénticos. En este sentido, debe recordarse que el artículo 83, en su apartado 2 establece que “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual…”. Por tanto, hay que atender a las circunstancias de cada caso individual, no existiendo dos expedientes iguales y, por tanto, con resultados iguales. III Obligación incumplida: infracción del artículo 5.1.
f)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/38 El artículo 5.1.
f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” (…)” La documentación obrante en el expediente ofrece indicios evidentes de que la parte reclamada, vulneró el artículo 5.1.
f)del RGPD, principios relativos al tratamiento, al no garantizar debidamente la confidencialidad e integridad de los datos de carácter personal como consecuencia de la quiebra de seguridad producida aprovechando las debilidades del sistema de información de la reclamada; todo ello posibilitaba el acceso a los datos personales de los clientes de la entidad. Este deber de confidencialidad e integridad, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de datos no consentidas por los titulares de los mismos. Según se indica en el informe técnico de la brecha que fue notificado a la AEPD el servidor de HAEE sufrió un ataque informático el día 17/01/2023, a través del cual el atacante, aprovechando una vulnerabilidad del software instalado en el servidor (...) que proporciona servicio a los ***SISTEMA.3 de diferentes empresas del grupo (entre ellas, a HMES) y en el que se almacenan datos de clientes destinados a estadísticas y comunicaciones comerciales. El ataque sufrido se dirige a la versión de (…). El informe aclara y señala cual es el objetivo y finalidad de ambos (…).” En cuanto a la versión del software que estaba instalada en el momento de la brecha y cuya vulnerabilidad resultó explotada, la parte reclamada manifiesta que: “…la versión y fecha de instalación de la aplicación referida: ***VERSION.1 / (…). A los efectos oportunos, se informa de que, con ocasión del Incidente, se llevó a cabo un parcheo de esta aplicación y que, con posterioridad, se ha sustituido esta solución por el sistema ***SISTEMA.2 (…)” Consultada la página web del desarrollador del software, se comprueba que la última versión disponible anterior a la fecha del ataque era la versión ***VERSION.2, disponible desde diciembre de 2022. Consultada la página de vulnerabilidades del desarrollador del software se comprueba que en la fecha de la brecha existían al menos 8 actualizaciones que corregían vulnerabilidades conocidas del software, posteriores a la versión ***VERSION.3, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/38 calificadas por el desarrollador como de severidades Críticas (***REFERENCIA.1), Alta y Media. Es decir, que la versión del software que la parte reclamada ha manifestado tener instalada en la fecha del ataque, era anterior a la última disponible en esa fecha; y se conocían vulnerabilidades de ese software, existiendo versiones y actualizaciones posteriores a la instalada, que corregían la vulnerabilidad que fue explotada en el ataque. La parte reclamada manifiesta que el 24 de febrero “se procedió a aislar los sistemas afectados y se bloqueó su conexión al resto de los sistemas corporativos para evitar movimientos laterales o cualquier expansión del ataque”. El mismo DPD de la parte reclamada en su informe ha señalado que: “Con anterioridad al Incidente, HMES había implementado medidas de seguridad técnicas y organizativas en relación con los datos albergados en los sistemas del Encargado que se vieron afectados por este incidente” y que contaba con las siguientes medidas de seguridad: “Política de protección de datos y seguridad. Formación en protección de datos y seguridad de la información. Actualización permanente de los sistemas informáticos. Registro de incidentes. Auditorías periódicas. Control de acceso físico. Control de acceso Lógico. Niveles de acceso a datos. Copia de seguridad.” Sin embargo, señala que los datos personales no estaban cifrados, mientras que en el Análisis de Riesgos aportado, la parte reclamada menciona entre las medidas de seguridad aplicadas con anterioridad al incidente la “Encripción de datos del sistema de ***SISTEMA.3” y a la pregunta del porqué de estas diferencias manifestaba que “Los datos en reposo almacenados en los sistemas de ***SISTEMA.3 están cifrados, como parte de las medidas de seguridad estándar”. Asimismo, señala el informe que “No obstante, este incidente afectó a los datos contenidos en (…), en el proceso de ser compartidos con terceras partes. Para poder compartir los datos con terceros, por lo tanto, estos no pueden estar cifrados, ya que de otro modo no podrían ser utilizados para las finalidades perseguidas. Por lo tanto, podemos confirmar que los datos en reposo sí están cifrados (…).” La parte reclamada en fecha 10/04/23, informaba a los afectados que "un tercero no autorizado ha accedido a cierta información de nuestra base de datos de clientes (...) Nuestra investigación informática indica que pueden haberse visto afectados algunos datos relativos a clientes y potenciales clientes. Los datos incluyen detalles de contacto (como correos electrónicos, direcciones y números de teléfono) y datos de vehículos (como números de bastidor) de nuestros clientes. No se han visto afectados datos financieros ni números de identificación oficial (como el DNI) de nuestros clientes". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/38 Por otra parte, como así figura en el informe técnico elaborado tras la brecha la parte reclamada ha manifestado que el número total de afectados en España es de 1.012.730, y que en el ataque se exfiltraron 5,4 GB de datos. La parte reclamada manifiesta que los datos obtenidos por el atacante no estaban cifrados, y consisten en: - nombre y apellidos - fecha de nacimiento - teléfono - dirección de correo electrónico o dirección postal - identificador de cliente - número de bastidor del vehículo Asimismo, manifiesta que no hay evidencia de que entre los datos obtenidos hubiera números de DNI, datos financieros ni datos de llaves de vehículos. Manifiesta la reclamada que “A la vista de la naturaleza de los datos afectados, no se prevé que los interesados vayan a verse afectados por consecuencias gravosas, y que en su caso podrán encontrar algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema (tiempo de reingreso de información, molestias, irritaciones, etc.).” Y que “A la vista de las categorías de datos afectados, según la información facilitada por HMES no es previsible que los derechos y libertades de los interesados puedan verse gravemente perjudicados. Ello a la vista de la poco gravosa entidad de cualquier perjuicio que pueda surgir de un acceso indebido a datos personales como los afectados por el Incidente.” A la luz de lo que antecede se considera que la parte reclamada ha vulnerado el principio de confidencialidad e integridad de los datos, principio consagrado en el artículo 5.1.
f)del RGPD, infracción tipificada en el artículo 83.5.
a)del RGPD. IV Tipificación por la infracción del artículo 5.1.
f)del RGPD De conformidad con las evidencias de las que se dispone, se considera que la parte reclamada no garantizó debidamente la confidencialidad de los datos de carácter personal. La infracción que se le atribuye a la entidad se encuentra tipificada en el artículo 83.5
a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/38 La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 5.1.
f)del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/38 medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores.
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa. Procede cuantificar la sanción que procede, considerando para ello que la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de HMES, que en el ejercicio 2024 ascendió a ***CANTIDAD.1 euros. En primer término, se tiene en cuenta la categoría de la infracción cometida, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía equivalente al 4% como máximo de su volumen de negocio anual. Según el citado precepto, al establecer el importe máximo aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma. En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el año 2024 a ***CANTIDAD.1 euros, el importe de la multa que procede imponer estará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/38 necesariamente situado entre 0,00 euros y 52.537.680 euros. De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la sanción a imponer en el presente caso por la infracción del artículo 5.1.
f)del RGPD de la que se responsabiliza a HMES, tipificada en el artículo 83.5.
a)del RGPD, se estiman concurrentes los siguientes factores: 1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en consideración las circunstancias siguientes: . Artículo 83.2.
a)del RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . Naturaleza de la infracción: El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la disposición infringida afecta a un principio básico del derecho a la protección de datos personales, como es el de la confidencialidad de los datos personales y su violación entraña un riesgo importante para los derechos de los interesados. En este caso, la conducta de HMES ha provocado, de forma directa, la lesión del bien jurídico protegido por el artículo 6 del RGPD, impidiendo su aplicación efectiva y el objetivo que pretende proteger. Esta conducta ha posibilitado que se produzca la brecha de datos personales con el consiguiente acceso a los datos por terceros no autorizados, con los perjuicios que ello puede conllevar. Además, puede concluirse que la infracción tuvo connotaciones sistémicas y, por lo tanto, pudo afectar, incluso en diferentes momentos, a un número de interesados mayor (la base de datos en cuestión tenía un número de registros mayor al número de afectados por la brecha de datos personales. A lo que debe sumarse que el ataque ni siquiera fue detectado por HMES, sino que fueron los propios atacantes los que contactaron con un empleado del Grupo al que pertenece la reclamada para informar sobre el incidente. . Gravedad de la infracción: . Naturaleza y propósito del tratamiento: Evaluar la gravedad de estos aspectos del tratamiento de los datos personales requiere considerar el contexto en el que se realiza. Los datos personales afectados por la infracción tienen que ver con la base de datos dispuesta por HMES para realizar acciones de marketing con clientes y potenciales clientes. Dicho tratamiento de datos se realiza en el marco de la actividad empresarial principal y básica de la citada operadora, desarrollada con ánimo de lucro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/38 . El alcance del tratamiento: Interesa considerar que HMES es una compañía que opera con alcance nacional y que la infracción es consecuencia directa de las debilidades apreciadas en la seguridad de sus sistemas de información, por lo que el riesgo que ello conlleva es alto. La relación existente entre la infracción cometida y la asignación de recursos que cabe exigir a HMES para impedirla debe analizarse en base al riesgo real y a su ámbito de actuación de alcance nacional. . Número de interesados: El número de interesados afectados es muy elevado (1.012.730 clientes de la reclamada). . El nivel de daño sufrido por la parte reclamante: De conformidad con el considerando 75 del RGPD, el nivel de daño sufrido se refiere a los daños y perjuicios físicos, materiales o no materiales. En el presente caso, el daño sufrido por los afectados no puede calificarse como marginal. Además, en la medida en que pierden el control de sus datos personales, el daño podría persistir durante un tiempo indeterminado. El nivel de daños y perjuicios causados debe ser considerado alto teniendo en cuenta los datos de carácter personal a los que se ha posibilitado el acceso (nombre y apellidos, fecha de nacimiento, teléfono, dirección de correo electrónico, dirección postal, identificador de cliente, número de bastidor del vehículo). Además de las consecuencias gravosas e inconvenientes para los afectados, molestias que se asocian a la brecha, así como el temor manifestado por los reclamantes a causa de la pérdida de control sobre sus datos personales y al posible hurto de sus vehículos, debe señalarse que la situación generada, considerando que todos los datos sustraídos se encuentran asociados a los datos identificativos de su titular, posibilita que pueda producirse la materialización del riesgo de suplantación de identidad, entre otros. Se trata de riesgos que no disminuyen por el hecho de que, según indica HMES, no haya tenido constancia de ningún tipo de publicación ni explotación de estos datos por parte de terceros ajenos. Producida la exfiltración de datos, el riesgo puede materializarse en cualquier momento. Como se ha indicado, se tiene en cuenta el daño y riesgo que supone la pérdida de confidencialidad, que conlleva una total pérdida de control sobre los propios datos personales y el alto riesgo que conlleva de que se usen de forma fraudulenta, pues han sido sustraídos por un ciberdelincuente. . Artículo 83.2.
b)del RGPD: “la intencionalidad o negligencia en la infracción”. Se observa en la conducta de HMES una negligencia grave, por incumplimiento del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/38 deber de cuidado y atención de los riesgos exigido por la ley, más allá de lo que puede considerarse un factor neutro asociado al elemento subjetivo de la culpabilidad. Esta conclusión resulta de elementos objetivos de la conducta de HMES, obtenidos en base a todas las circunstancias de hecho que constan detalladas en los Fundamentos de Derecho que preceden. No hay que olvidar que mantenía un software sin actualizar -hasta ocho actualizaciones pendientes- a pesar de que sus vulnerabilidades eran conocidas, calificadas por el desarrollador como de severidades crítica, alta y media; y que esta circunstancia tuvo incidencia directa en el éxito del ciberataque producido. La consecuencia final de todo ello fue la exfiltración de los datos personales de una base de datos con cientos de miles de registros, los cuales no se encontraban cifraos en el momento en que tuvo lugar el ataque. Conectado también con el grado de diligencia que HMES está obligada a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. . Artículo 83.2.
g)del RGPD: “las categorías de los datos de carácter personal afectados por la infracción”. La falta de medidas técnicas y organizativas adecuadas para garantizar la confidencialidad de los datos personales posibilitó que terceros no autorizados accedieran a datos personales de clientes y potenciales clientes de HMES relativos a nombre y apellidos, fecha de nacimiento, teléfono, dirección de correo electrónico, dirección postal, identificador de cliente, número de bastidor del vehículo. 2. Se considera el siguiente factor de graduación en calidad de agravante: . Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra
b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La actividad de la entidad presuntamente infractora se encuentra vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros, realizados a gran escala y de forma continua. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado su objeto y volumen de negocio, la transcendencia de la conducta objeto de la presente reclamación es innegable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/38 Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las circunstancias concurrentes, tomando en consideración su volumen de negocio y su vinculación con el tratamiento de datos personales atendiendo el número de personas que prestan servicio como empleados en… y su actividad”. A la hora de decidir la imposición de la multa administrativa, esta Agencia toma en consideración esta circunstancia prevista por el legislador. En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
f)del RGPD, permite fijar la sanción de multa administrativa en una cuantía de 2.000.000 euros (dos millones de euros). VI Adopción de medidas Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
a)a j). De confirmarse la infracción cometida, procedería acordar imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Por tanto, se considera procedente ordenar que el reclamado en el plazo de seis meses a partir de la firmeza de la resolución sancionadora que se dicte adecuar los tratamientos objeto del presente procedimiento a la normativa aplicable. En el texto de este acuerdo se establecen cuáles son los hechos que supuestamente han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles serían las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte reclamada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en el presente caso entre las medidas a adoptar se señalan aquellas de carácter técnico y organizativas a fin de evitar incidentes como el producido que garanticen el principio de confidencialidad en el tratamiento de los datos de conformidad con lo señalado en el artículo 5.1.
f)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/38 RGPD. Se advierte que no atender la orden impuesta por este organismo podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que el pago voluntario de la cuantía propuesta no exime de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN PRIMERO: Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a HYUNDAI MOTOR ESPAÑA, S.L.U., con NIF B85754646, por una infracción del artículo 5.1.
f)del RGPD, tipificada en el Artículo 83.5.
a)del RGPD, con una multa de 2.000.000,00 euros (dos millones de euros). SEGUNDO: Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a HYUNDAI MOTOR ESPAÑA, S.L.U., con NIF B85754646, que en virtud del artículo 58.2.
d)del RGPD, en el plazo máximo de seis meses, acredite haber procedido a adoptar las medidas requeridas en el Fundamento de Derecho VI. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600.000 euros (un millón seiscientos mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y si el importe de la sanción finalmente impuesta es superior a un millón de euros, será objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/38 publicación en el Boletín Oficial del Estado la información que identifique al infractor, la infracción cometida y el importe de la sanción. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-250625 R.R.R. INSTRUCTOR ANEXO Índice del expediente EXP202306835 (…) SEGUNDO: Notificada la propuesta de resolución, con fecha 25 de noviembre de 2025, se recibió escrito de respuesta de HMES, en el que anuncia a esta AEPD su intención de “proceder con el pago de la cantidad reducida (1.600.000 euros) antes de la terminación del procedimiento”, y solicita que se “proceda a declarar la terminación del procedimiento una vez reciba el pago anunciado”, reservándose “las acciones correspondientes en la jurisdicción contencioso-administrativa”. En fecha 5 de diciembre de 2025, HMES ha procedido al pago de la sanción en la cuantía de 1.600.000 euros, haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: En la propuesta de resolución se detallaron los hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/38 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, HMES, en fecha 5 de diciembre de 2025, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/38 Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de la infracción y CONFIRMAR la sanción determinada en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución, por importe de 2.000.000 euros. Tras haber procedido HYUNDAI MOTOR ESPAÑA, S.L.U., con NIF B85754646, al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 1.600.000 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202306835, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a HYUNDAI MOTOR ESPAÑA, S.L.U. que, en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho de la propuesta de resolución transcrita en la presente resolución. CUARTO: NOTIFICAR la presente resolución a HYUNDAI MOTOR ESPAÑA, S.L.U. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el importe de la sanción impuesta es superior a un millón de euros, será objeto de publicación en el Boletín Oficial del Estado la información que identifique al infractor, la infracción cometida y el importe de la sanción. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/38 LOPDGDD, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.