← España

PS-00373-2025

1/31  Expediente N.º: EXP202401683 - RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SPRINTER MEGACENTROS DEL DEPORTE, S.L., con CIF B53404646 (en adelante, SPRINTER), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202401683 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 31 de octubre de 2023, se notificó a esta Agencia una brecha de datos personales de SPRINTER MEGACENTROS DEL DEPORTE, S.L. con CIF B53404646 (en adelante, SPRINTER). En el escrito recibido se informaba, entre otros aspectos, de lo siguiente: - “El 27 de octubre de 2023, el Datacenter de Sprinter reveló una incidencia: una intrusión por el ***PROGRAMA.1. Este grupo encriptó máquinas críticas, dejando una nota de rescate. Ante esto, Sprinter activó su protocolo de respuesta, (…). (…). El día 28 de octubre, los analistas forenses confirmaron que había indicios de filtración de datos por parte del atacante. (…). Expandiremos la información sobre el incidente conforme se avance en la investigación.” - Número aproximado de afectados: 6.200.000 - El tratamiento sobre el que se ha producido la brecha incluye datos de personas: en más de un Estado miembro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 - El incidente ha sido intencionado, para hacer daño al responsable/encargado o a las personas afectadas. - El origen del incidente ha sido: externo. responsable/encargado o a las personas afectadas. - ¿Qué puede haber ocurrido? Ciberincidente: Dispositivo cifrado / secuestro de información, Ciberincidente: Suplantación de identidad (phishing) / Compromiso de cuenta de usuario o administrador, Ciberincidente: Acceso no autorizado a datos en sistema de información (corporativo o servicio en internet). - Como consecuencia del incidente, se ha visto afectada la: confidencialidad, disponibilidad - Referido específicamente a los datos por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? No. ¿Se ha recuperado la disponibilidad de los datos personales de forma que pueden ser tratados con normalidad? Todavía no, pero se recuperará en breve. - ¿Qué puede haber ocurrido? Ser víctima de campañas de phishing/spamming. Pérdida de control sobre sus datos personales. Otras consecuencias. - ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas? Aún desconocido. - Tipos de datos afectados: datos básicos (ej: nombre, apellidos, fecha de nacimiento), imagen (Fotos o vídeos), DNI, NIE, pasaporte y/o cualquier otro documento identificativo; datos económicos o financieros (sin medios de pago) y datos de contacto. - Las personas afectadas tienen los siguientes perfiles: clientes/ciudadanos, usuarios y empleados. - ¿Hay personas afectadas por la brecha en otros estados miembros de la UE? Sí. Estados afectados: Francia (9.000), Italia (4.000), Países Bajos (550.000), Portugal (800.000). - Información temporal de la brecha indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales: 28 de octubre de 2023. - ¿Conoce la fecha en la que se inició la brecha? La fecha exacta. - Indique la fecha de inicio de la brecha: 24 de octubre de 2023. - La brecha se ha detectado mediante: medios de detección implementados proactivamente por el responsable o encargado de tratamiento. C/ Jorge Juan, 6 28001 – Madrid Otros, ajenos al www.aepd.es sedeaepd.gob.es 3/31 - Marque las medidas de seguridad implementadas en la organización antes del suceso de la brecha: (…). - ¿Se podría haber evitado la brecha adoptando alguna medida de seguridad adicional? Sí. ¿Se ha producido el incidente por algún fallo deficiencia o incumplimiento de medidas de seguridad implementadas? Sí. - ¿Ha actualizado su registro de incidentes con la información de esta brecha de datos personales? Sí. ¿Ha adoptado tras el incidente nuevas medidas de seguridad que podrían haber evitado la brecha? Sí. ¿Ha adaptado/mejorado sus procedimientos y políticas de seguridad? Sí. Marque exclusivamente las nuevas medidas de seguridad y las que se hayan actualizado: (…). - ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? Pendiente de decidir Con fecha 30 de noviembre de 2023, esta Agencia recibió un segundo escrito de SPRINTER con la intención de “Modificar una notificación hecha con anterioridad para proporcionar información relevante”. En el escrito recibido se proporcionaba información idéntica a la del escrito de fecha 31 de octubre de 2023, a excepción de: - “ (…). Se aporta informe del DPD analizando las diferentes acciones realizadas desde el inicio del incidente hasta la resolución del mismo. La brecha ha sido comunicada a los afectados conforme al art. 34 del RGPD.” - Número aproximado de afectados: 6.381.913 - ¿Qué puede haber ocurrido? Ciberincidente: dispositivo cifrado / secuestro de información. Ciberincidente: acceso no autorizado a datos en sistema de información (corporativo o servicio en internet). - ¿Qué puede haber ocurrido? Usurpación de identidad. Ser víctima de campañas de phishing/spamming. Pérdida de control sobre sus datos personales. Otras consecuencias. - ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas? Las personas pueden encontrar inconvenientes importantes, produciendo un daño limitado, que podrán superar a pesar de algunas dificultades (costos adicionales, denegación de acceso a servicios comerciales, miedo, falta de comprensión, estrés, dolencias físicas menores, etc). - Tipos de datos afectados: datos básicos (ej: nombre, apellidos y fecha de nacimiento), imagen (Fotos o vídeos), DNI, NIE, pasaporte y / o cualquier otro documento identificativo, datos económicos o financieros (sin medios de pago), datos de contacto, de salud (exclusivamente de empleados, los imprescindibles para la relación laboral). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 - Las personas afectadas tienen los siguientes perfiles: clientes/ciudadanos, usuarios, empleados, otros. - ¿Hay personas afectadas por la brecha en otros estados miembros de la UE? Sí. Estados afectados: Francia (10.351), Italia (4.718), Países Bajos (1.167.068)), Portugal (497.203). - ¿Se ha producido el incidente por algún fallo deficiencia o incumplimiento de medidas de seguridad implementadas? No. - ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? Sí. - Fecha en la que se informó: 27 de noviembre de 2023. - Número de personas informadas: 6.381.913 - Medio por el que se ha informado: comunicación digital personalmente a cada afectado (postal, email, sms o similar) con garantía de entrega y lectura. SEGUNDO: El 30 de noviembre se recibieron en la AEPD cuatro reclamaciones presentadas por afectados de la brecha de datos personales notificada por SPRINTER. El 1 de diciembre de 2023 uno de los reclamantes presentó un escrito por el que ampliaba la información contenida en su reclamación inicial. Asimismo, el 16 de diciembre de 2023 se recibió ante esta Agencia una nueva reclamación. En las reclamaciones se indica que el 28 de noviembre de 2023 se ha recibido una comunicación por parte de SPRINTER (desde noreply@info.sprintersports.com) por la que se les informa de la brecha de datos personales acaecida, de la que serían afectados. El contenido de la comunicación es el siguiente: “Estimado cliente/a, Nos gustaría informarte de que hemos sufrido un incidente de ciberseguridad, y nos gustaría disculparnos por cualquier inconveniente que hayas experimentado. Hemos realizado una exhaustiva investigación con especialistas en ciberseguridad para entender los hechos, contener el incidente y proteger los sistemas. ¿Qué información se ha visto expuesta? La investigación, que continúa en curso, muestra que entre la información comprometida se han visto afectados sistemas que incluyen datos de cuentas y pedidos de clientes, a los que puede haber accedido un tercero no autorizado. Según lo investigado hasta la fecha, sólo podemos tener una orientación sobre el tipo de pedidos e información que puede estar comprometida. Esta es la información que puede estar comprometida, que puede afectarte total o parcialmente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31 - Número de cliente, nombre completo, dirección de envío y/o facturación, email, teléfono, DNI/NIF, fecha de nacimiento. Por favor, ten en cuenta que no almacenamos la numeración de tu tarjeta bancaria ni la contraseña de tu cuenta. Para nosotros, la seguridad de tus datos es una prioridad y por ello seguimos monitorizando la situación. Sentimos enormemente lo ocurrido. ¿Qué puedes hacer para protegerte? Ya hemos reportado este hecho a la policía y a las autoridades competentes. Como medida de precaución, te recomendamos que sigas atento y atenta a los intentos de fraude y ante cualquier correo electrónico, llamada o mensaje de texto sospechoso. Evita también hacer clic en enlaces en correos electrónicos o mensajes de texto sospechosos. También te recomendamos cambiar periódicamente tu contraseña en Sprintersports.com. Aunque no conservemos toda tu información de pago en nuestros sistemas, te recomendamos prestar atención a cualquier movimiento sospechoso en tus cuentas, y lo comuniques a tu entidad bancaria si detectas cualquier actividad sospechosa. ¿A quien puedo contactar si quiero más información’ Por favor, no respondas a este email. Si quieres más información sobre lo sucedido, por favor escríbenos a dataprotection@sprintersports.com” TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 1 de febrero de 2024 se dio traslado de dichas reclamaciones a SPRINTER, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Este traslado, que se notificó a SPRINTER conforme a las normas establecidas LPACAP, fue recogido en fecha 1 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. En fecha 1 de marzo de 2024, esta Agencia recibió escrito de respuesta de SPRINTER en el que manifestaba, en síntesis, lo siguiente: Cronología de los hechos: - El 27 octubre de 2023 el equipo de informática de SPRINTER identificó que varios servicios de su Datacenter habían perdido conectividad. Tras una investigación preliminar, se estableció que un tercero no autorizado (***PROGRAMA.1), había accedido a la red y encriptado o apagado varias máquinas virtuales (…). Tras esta detección se aplicaron las siguientes medidas inmediatas de contención: o C/ Jorge Juan, 6 28001 – Madrid (…). www.aepd.es sedeaepd.gob.es 6/31 Una vez contenido el incidente, (…). Una vez identificado el incidente, SPRINTER afirma que se llevaron a cabo las siguientes acciones para minimizar el impacto: o (…). - El 28 de octubre de 2023 los analistas forenses confirmaron que había indicios de filtración de datos. También se confirmó que (…), y que el primer acceso no autorizado por parte del atacante tuvo lugar el día 24 de octubre entre las 15:00 y las 15:10 horas. - El 30 de octubre de 2023 SPRINTER recibió una prueba de vida en la que se determinaba que existía exfiltración de datos que afectaba tanto a clientes como empleados. Se desconocía el alcance real. - El 31 de octubre de 2023 se presentó denuncia (se adjunta), en ella se afirmaba que el cifrado tuvo lugar la madrugada del 27 de octubre de 2023. - El 13 de noviembre de 2023, se identifica una serie de datos que potencialmente podrían haberse visto afectados en relación con clientes, empleados y exempleados de la compañía, gracias a pruebas de vida que enviaban los atacantes con objetivo de extorsionar a SPRINTER. Del estudio de las referidas pruebas de vida se identificaron como categorías de datos afectadas las siguientes: - o Clientes: nombre, apellidos, DNI/NIF (datos identificativos). Domicilio, teléfono, dirección de correo electrónico (datos de contacto). Fecha de nacimiento (características personales). o Empleados y exempleados: nombre, apellidos y DNI/Pasaporte o cualquier documento identificativo (datos identificativos). Fecha de nacimiento, estado civil (características personales). Domicilio, teléfono, dirección de correo electrónico (datos de contacto). Foto. Datos relativos al grado de discapacidad (datos de salud). Nóminas, número de cuenta (datos económicos). Tras identificar la posible información afectada, se empieza a trabajar en la comunicación a los afectados por la brecha, determinado un número total de posibles afectados de 6.381.913 los cuales se desglosan de la siguiente forma: o Empleados: 8.831 o Exempleados: 21.782 o Clientes: 6.351.300. España (4.671.960), Francia (10.351), Holanda (1.167.068), Italia (4.718) y Portugal (497.203). Comunicación a los afectados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31 SPRINTER afirma que las comunicaciones a los afectados (clientes, empleados y exempleados) se iniciaron tras tener evidencia de la información que había sido afectada, por las pruebas de vida aportadas por los atacantes, llevándose a cabo estas comunicaciones entre el 27 y 28 de noviembre de 2023. Se proporcionan en adjunto los comunicados remitidos. Impacto del incidente y sus consecuencias para las personas afectadas: - “El incidente ha afectado a la disponibilidad y confidencialidad de los datos personales de clientes empleados y exempleados, en tanto que existen evidencias constatadas de encriptación de los datos personales y publicación de los mismos en la darkweb” - “SPRINTER, junto con todas las partes implicadas en la resolución del incidente, han trabajado desde el primer momento con objetivo de minimizar las posibles consecuencias para los afectados, en especial, las consecuencias que pudieran darse para los empleados cuyo riesgo es mayor al tener registrados una mayor cantidad de datos personales que pueda derivar en consecuencias graves de suplantación de identidad o daños económicos. Así pues, en la notificación final realizada a la AEPD se identificaba como posibles consecuencias las siguientes: Usurpación de identidad. Ser víctima de campañas de phishing / spamming. Pérdida de control sobre sus datos personales. Transcurrido el tiempo, se han recibido avisos de clientes y empleados de SPRINTER que han visto materializarse dichas consecuencias, en cuanto que han recibido tanto emails como SMS susceptibles de ser objeto de campañas de phishing”. Medidas de seguridad adoptadas con anterioridad al incidente: SPRINTER afirma que lleva desde el año 2018 un proceso de mejora continua de su sistema de gestión de seguridad de la información, consistente en: - (…) Medidas de seguridad adoptadas tras el incidente: SPRINTER afirma que “En el informe forense elaborado por ***SERVICIO.1 se enumeran las medidas que se tienen que llevar a cabo tras la resolución del incidente. Dichas medidas se han implementado progresivamente desde el mismo. Se aporta DOCUMENTO Nº9 en el que se detallan todas aquellas medidas, las cuáles se encuentran ya implementadas. El resto de las medidas a implementar, están en proceso de desarrollo en la organización, a través de un plan de acción de mejora continua de la seguridad de la información en la entidad. Entre las medidas implementadas destacan, en relación con el incidente: - (…) Junto al escrito aportó, entre otra, la siguiente documentación: - Doc. 2 “Denuncia Policía”. Copia de la denuncia presentada el 31 de octubre de 2023 ante la Policía Nacional (número de Atestado: ***REFERENCIA.1) por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31 SPRINTER por los mismos hechos objeto del presente procedimiento sancionador. - Doc. 4 “Informe ***SERVICIO.1”. Copia del informe forense realizado el 15 de noviembre de 2023 por el equipo ***SERVICIO.1 de ***EMPRESA.1 en el que se recogen las siguientes afirmaciones relevantes: o - “(…)”. Doc. 7 “Gestión empleados” y Doc. 8 “Gestión clientes”. Copia de los Registros de Actividades de Tratamiento para las actividades “Gestión de Empleados” y “Gestión de Clientes”. Se adjuntan dos documentos Excel, sin fecha ni firma, que contienen distintos apartados que incluyen: una descripción inicial de la actividad de tratamiento, información sobre el ciclo de vida del tratamiento, justificación de NO realizar EIPD y evaluación de los riesgos. Para las amenazas identificadas se listan los siguientes controles (algunos de ellos aparecen entre las medidas de mejora recomendada por los analistas forenses tras la brecha por lo que no se puede determinar si fueron incluidos en el fichero antes o después del incidente): o - (…) Doc. 9 “Medidas de seguridad”. Se adjunta un documento Excel con las medidas de seguridad ya implementadas, las que estaban en proceso y las que no. CUARTO: Con fecha 29 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite las reclamaciones mencionadas con anterioridad. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: 1) En fecha 17 de junio de 2024, se recibió en esta Agencia escrito de respuesta de SPRINTER al requerimiento de información de esta Agencia, del que se extrae la siguiente información relevante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31 - En relación con los procedimientos implantadas para la gestión de brechas, se aporta documento con el procedimiento para la respuesta ante incidentes en la entidad, actualizado en fecha del 17 de enero de 2024, así como el documento con el procedimiento de gestión de brechas de seguridad aprobado por la entidad en marzo de 2024. - Sobre las soluciones implantadas en la organización para la monitorización y detección del incidente, afirman que de forma previa a la brecha (medida preventiva), existía una solución implantada (Documento nº4) que incluía “(…)”. - Sobre el motivo por el cual no se atendió la alerta del ***SISTEMA.1 registrada tras acciones de los atacantes según se especifica en el propio análisis forense (…), se proporciona la siguiente afirmación: “(…). - Sobre la forma en que los atacantes obtuvieron las credenciales de acceso que originaron el incidente, afirman que no se encontraron evidencias de su compromiso: “(…)”. - Sobre las medidas preventivas para garantizar la seguridad de los accesos por parte de los empleados a los escritorios virtuales VDI, afirma: “(…)”. Se aportan capturas de pantallas en las que puede verse: -  Una imagen con información (…)”  Una imagen de (…).  Una imagen de un panel que en la pestaña (…). Sobre las modificaciones realizadas tras el incidente en la política de Backup, afirma: “(…). Asimismo, de acuerdo con el documento SPRINTER contaba durante el incidente con copias de seguridad de los servidores mediante un sistema de “ ***SISTEMA.2” - Sobre los tipos de datos personales que finalmente fueron afectados, en concreto, sobre los datos de salud, SPRINTER afirma: “Se ha confirmado por las investigaciones realizadas tras el incidente que los datos contenidos en los servidores afectados por la brecha son los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 o o Datos personales de clientes: Nombre, apellidos, número de DNI/NIF. Domicilio, teléfono, dirección de correo electrónico. Fecha de nacimiento. Datos personales de empleados: Nombre y apellidos. Copia de DNI/Pasaporte o cualquier documento identificativo. Fecha de nacimiento, estado civil. Domicilio, teléfono, dirección de correo electrónico. Foto. Datos relativos al grado de discapacidad (En algunos casos podría existir documentos de la Seguridad Social acreditativos del motivo de la discapacidad). Nóminas, número de cuenta. No obstante, no se ha obtenido evidencia de cuáles exactamente han sido exfiltrados. Se conoce que, dentro de los sistemas afectados, había esta relación de datos personales, pero no se pudo determinar con exactitud la confirmación de que tipos de datos han sido exfiltrados, entre dicho conjunto de información. Por este motivo, la entidad, poniéndose en el escenario de mayor riesgo decide notificar a la Autoridad de control la totalidad de los datos alojados en los sistemas de información afectados” - Sobre el número final de personas afectadas que fueron comunicadas, SPRINTER afirma: “Se remitieron los siguientes correos electrónicos entre el 27 de noviembre de 2023 y el 28 de noviembre de 2023 a todos los afectados (clientes, empleados y exempleados de SPRINTER): o o - A empleados y exempleados: 30.613 correos electrónicos enviados. A clientes: 6.351.300 correos electrónicos enviados. España (4.671.960), Francia (10.351), Holanda (1.167.068), Italia (4.718) y Portugal (497.203). Sobre las actividades realizadas en SPRINTER para fomentar la formación y concienciación a los empleados en materia de seguridad y protección de datos, afirman que se han impartido formaciones en seguridad y protección de datos a 581 empleados de la entidad en 2021 y a 45 empleados en 2022 (Documento nº9). Asimismo, afirma que en continuidad con el plan formativo de SPRINTER, se ha impartido un curso de formación en materia de protección de datos a los interlocutores de los departamentos de la entidad en fecha del 25 de enero de 2024. - Sobre las medidas de seguridad listadas en la respuesta al traslado que se encontraban implantadas antes del incidente y cuáles de ellas se desplegaron con posterioridad al incidente para mejorar la seguridad de la organización, aportan nuevo documento formato EXCEL (Documento nº 10) con dos pestañas: “Estado antes del incidente” y “Estado actual y previsión”, destacando el siguiente contenido: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 Destaca el siguiente listado de medidas con indicación del estado actual de implantación de algunas de las medidas reactivas (“Estado Actual y Previsión”): (…) - Sobre implantación del doble factor de autenticación (2FA) como medida reactiva, SPRINTER afirma: “(…)”. Resto de documentación adjunta al escrito: - Doc. 1. Copia del documento “Procedimiento para la respuesta ante incidentes”, actualizado a 17 de enero de 2024. - Doc. 2. Copia de del documento “Procedimiento de gestión de brechas de seguridad en tratamiento de datos de carácter personal”, aprobado, según indica SPRINTER, en marzo de 2024. - Doc. 3. Copia de la oferta de servicios del equipo del ***SERVICIO.1 de ***EMPRESA.1 suscrita el 20 de mayo de 2022 por SPRINTER e ***EMPRESA.2 (…) en referencia al servicio de ***SERVICIO.1 que se contrató para el soporte en la detección y respuesta ante incidentes de seguridad. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR en fecha 16 de junio de 2025, la entidad SPRINTER es una empresa filial de grupo constituida en el año 1999, con un volumen de ventas de 662.218.431 euros en el año 2024 y 4.895 empleados. SÉPTIMO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada cuestión el día 16 de julio de 2025. El traslado de esta cuestión a los Estados Miembros se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD); teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que SPRINTER tiene su establecimiento principal en España. El plazo de tramitación de las actuaciones quedó suspendido automáticamente. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, las autoridades de Países Bajos, Suecia y Francia. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. OCTAVO: Con fecha 13 de agosto de 2025, la Presidencia de la AEAP adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo otorgado a tal efecto, la autoridad de control de Francia presentó sus objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD —y las cuales han sido acogidas— en el sentido de que consideraba que también existía una infracción del artículo 34 del RGPD respecto al plazo y contenido de la comunicación de brecha a los afectados y de que se aclarase si el volumen de negocio empleado para determinar la multa correspondía a SPRINTER o al grupo JD SPORTS. NOVENO: Con fecha 2 de octubre de 2025, la Presidencia de la AEAP adoptó un proyecto revisado de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, al día siguiente se transmitió a través del sistema IMI el citado proyecto revisado y se les hizo saber a las autoridades interesadas que tenían dos semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas dos semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto revisado y están vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/31 iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.

  1. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1 del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7 del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que SPRINTER realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas (clientes, empleados y exempleados): datos identificativos y de contacto (nombre, apellidos, DNI/pasaporte, domicilio, teléfono, dirección de correo electrónico, fecha de nacimiento), imagen, datos de salud (datos relativos al grado de discapacidad) y datos económicos. SPRINTER realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que SPRINTER está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, SPRINTER tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. IV Obligación incumplida. Integridad y confidencialidad La letra
  2. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." El principio de integridad y confidencialidad recogido en el citado artículo 5.1
  4. f)del RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de forma que se garantice la confidencialidad de los datos personales, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/31 evitando accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Ello exige implementar medidas técnicas y organizativas apropiadas de todo tipo para proteger los datos frente a posibles brechas de datos personales, tanto externas como internas. Dichas medidas deben ser adecuadas para evitar que se materialicen los riesgos en los derechos y libertades de las personas físicas que puedan derivarse del tratamiento, y deben ser revisadas y actualizadas periódicamente para garantizar su eficacia. En el presente caso, el 31 de octubre y 30 de noviembre de 2023 SPRINTER notificó ante esta Agencia una brecha de datos personales que tuvo inicio el 24 de octubre de 2023 y fue detectada el 27 de octubre de 2023 por su equipo informático tras identificar varios servicios sin conectividad. SPRINTER señaló que la brecha afectaba tanto a la confidencialidad como a la disponibilidad de datos identificativos, de contacto, económicos o financieros, de salud (exclusivamente de empleados y exempleados) e imagen; pertenecientes a millones de clientes, usuarios, empleados y otros, en distintos países de la Unión Europea: España, Francia, Italia, Países Bajos y Portugal. De acuerdo con el informe de análisis de la brecha realizado por el equipo ***SERVICIO.1 de ***EMPRESA.1 el 15 de noviembre de 2023, y que aportó SPRINTER como Documento nº4 en su escrito de respuesta al traslado, el vector de entrada fue (…). El primer acceso ilegítimo (…) fue el 24 de octubre de 2023. Una vez dentro del sistema, durante los días 24 a 27 de octubre de 2023, el atacante (…) y procedió (
  5. i)al exfiltrado de un total de (...) de datos comprimidos y (
  6. ii)al despliegue del ***PROGRAMA.1 que cifró los propios discos virtuales de los sistemas arrancados el 27 de octubre de 2023. SPRINTER manifestó en su escrito de respuesta al requerimiento de información de 17 de junio de 2024, desconocer cómo (…).” Asimismo, SPRINTER —en escrito de respuesta al traslado de 1 de marzo de 2024 y en escrito de respuesta al requerimiento de información de 17 de junio de 2024— reconoció la exfiltración de datos y, por tanto, la afectación a la confidencialidad de estos. El volumen de afectados ascendía a 6.381.913 personas, siendo informadas vía email en fechas comprendidas entre el 27 y 28 de noviembre de 2023. Se desglosan de la siguiente manera: - Clientes: 6.351.300 (España: 4.671.960, Francia: 10.351, Países Bajos: 1.167.068, Italia: 4.718 y Portugal: 497.203). - Empleados: 8.831 - Exempleados: 21.782 Y, con la siguiente tipología de datos afectados por la exfiltración: - C/ Jorge Juan, 6 28001 – Madrid Para clientes: datos identificativos y de contacto (nombre y apellidos, DNI/NIF, domicilio, teléfono, dirección de correo electrónico y fecha de nacimiento). www.aepd.es sedeaepd.gob.es 16/31 - Para empleados y exempleados: datos identificativos y de contacto (nombre y apellidos, DNI/Pasaporte o documento identificativo, fecha de nacimiento, estado civil, domicilio, teléfono, dirección de correo electrónico), imagen, datos de salud (datos relativos al grado de discapacidad) y datos económicos o financieros (nóminas y número de cuenta). En cuanto a la afectación de la disponibilidad de los datos, existen contradicciones en las manifestaciones realizadas por SPRINTER ya que, en un primer momento, en las notificaciones de brecha de octubre y noviembre de 2023, la entidad afirmó que la disponibilidad de los datos también estaba afectada y que todavía no había podido recuperarla. Sin embargo, en escrito de respuesta al requerimiento de información de 17 de junio de 2024, SPRINTER señaló que “finalmente no afectó a la disponibilidad de los datos personales de los afectados debido a la redundancia de datos y el mantenimiento de bases de datos que impidieron la indisponibilidad”. Acredita estas afirmaciones mediante documentación que pondría de manifiesto la existencia de copias de seguridad en otros servidores distintos a los encriptados que habrían evitado la pérdida de disponibilidad de los datos personales. En cualquier caso, es indubitada la existencia de una brecha de datos personales que afectó a la confidencialidad de los mismos. Llegados a este punto, esta Agencia desea señalar que la documentación obrante en el expediente administrativo pone de manifiesto que las medidas técnicas y organizativas existentes en el momento de la brecha de datos no eran adecuadas para el posible riesgo de que un incidente como el que es objeto del presente procedimiento tuviera lugar, lo cual permitió la vulneración de la confidencialidad de los datos personales objeto de tratamiento por parte de SPRINTER. La propia entidad en el formulario de la primera notificación de brecha de 31 de octubre de 2023 a las preguntas “¿Se podría haber evitado la brecha adoptando alguna medida de seguridad adicional?” y “¿Se ha producido el incidente por algún fallo deficiencia o incumplimiento de medidas de seguridad implementadas?”, señaló que “Sí”; reconociendo así la inadecuación de sus medidas. Si bien, en el segundo escrito de 30 de noviembre de 2023, se contradijo. Del informe forense de 15 de noviembre de 2023 realizado por el servicio ***SERVICIO.1 de ***EMPRESA.1 también se desprende que las medidas técnicas y organizativas de SPRINTER no eran suficientes para garantizar un adecuado nivel de seguridad de los datos personales, toda vez que en el informe se recomienda un listado de medidas a fin de evitar que se vuelva a producir una brecha de datos personales con características similares y que SPRINTER mejore, con carácter general, sus estándares de seguridad. En este sentido, la entidad afirmó que muchas de esas recomendaciones ya se habían implantado o que estaban en proceso de implantación, tal y como clasifica en el Documento nº10 adjunto a su escrito de respuesta al requerimiento de información de 17 de junio de 2024. Entre las insuficiencias relacionadas con el origen de la brecha, se encuentra que SPRINTER (…). La propia entidad reconoció que la medida referente (…)”. Y, en escrito de respuesta al requerimiento de información de 17 de junio de 2024, añadió que (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 Al respecto, esta Agencia desea indicar que (…). Además, cabe señalar que, una vez dentro del sistema, los atacantes aprovecharon otras carencias para desplegar el ***PROGRAMA.1. Tal y como se recoge en el informe forense realizado por el servicio ***SERVICIO.1 de ***EMPRESA.1, los atacantes (…). Ello evidenciaría una deficiencia significativa en las medidas aplicadas por la organización antes del incidente que facilitó la materialización de la brecha. La rapidez con la que los atacantes consiguieron realizar sus desplazamientos muestra vulnerabilidades en la infraestructura más allá de (…). En este sentido, conviene resaltar, que SPRINTER ha implementado con posterioridad al incidente una serie de medidas reactivas, de acuerdo con las manifestaciones de su escrito de respuesta al traslado de 1 de marzo de 2024. Destacan: - (…). Todo lo expuesto demuestra, como se ha indicado anteriormente, que las medidas técnicas y organizativas con las que contaba SPRINTER antes del incidente en cuestión no eran las apropiadas para garantizar un nivel de seguridad adecuado al riesgo respecto de los datos personales que trataba de sus clientes, empleados y exempleados. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a SPRINTER, por vulneración del artículo 5.1.
  7. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
  8. f)del RGPD y calificación a efectos de prescripción De confirmarse, la citada infracción del artículo 5.1.
  9. f)del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/31 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679; (…)” VI Propuesta de sanción por la infracción del artículo 5.1.
  12. f)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  13. a)a
  14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  15. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  16. b)la intencionalidad o negligencia en la infracción;
  17. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  18. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  19. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  20. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  21. g)las categorías de los datos de carácter personal afectados por la infracción;
  22. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/31
  23. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  24. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  25. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  26. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  27. a)El carácter continuado de la infracción.
  28. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  29. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  31. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  32. f)La afectación a los derechos de los menores.
  33. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  34. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de la infracción según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
  35. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de SPRINTER de 662.218.431 euros. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/31 del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de SPRINTER es de 26.488.737 euros. Conforme a lo anterior, la sanción que se imponga habrá de estar forzosamente entre los 0 y 26.488.737 de euros. Asimismo, en relación con el nivel de gravedad en los términos del RGPD, sin perjuicio de lo que resulte de la instrucción, se estima que concurren las circunstancias siguientes: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): los hechos conocidos inciden directamente en el control que los afectados tienen sobre sus datos personales. Asimismo, excede las expectativas razonables que los interesados puede prever sobre el tratamiento de sus datos personales. Así, los afectados confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas razonables de los afectados respecto al tratamiento de sus datos personales. Por otra parte, los hechos conocidos ponen de manifiesto una ausencia de medidas técnicas y organizativas de todo tipo que ha redundado en una brecha con un número muy considerable de afectados, en concreto: o Clientes: 6.351.300 (España: 4.671.960, Francia: 10.351, Países Bajos: 1.167.068, Italia: 4.718 y Portugal: 497.203). o Empleados: 8.831 o Exempleados: 21.782 Asimismo, debe subrayarse el elevado número de datos personales por cada afectado que se vieron comprometidos. Conviene señalar que la vulneración del principio de confidencialidad en el presente caso involucra un conjunto de datos personales cuya naturaleza amplifica las implicaciones de la brecha de datos personales. Ello se desprende en la circunstancia de que se hayan visto afectados un elevado número de datos personales. En concreto: C/ Jorge Juan, 6 28001 – Madrid o Para clientes: datos identificativos y de contacto (nombre y apellidos, DNI/NIF, domicilio, teléfono, dirección de correo electrónico y fecha de nacimiento). o Para empleados y exempleados: datos identificativos y de contacto (nombre y apellidos, DNI/Pasaporte o documento identificativo, fecha de nacimiento, estado civil, domicilio, teléfono, dirección de www.aepd.es sedeaepd.gob.es 21/31 correo electrónico), imagen, datos de salud (datos relativos al grado de discapacidad) y datos económicos o financieros (nóminas y número de cuenta). La combinación de este tipo de datos personales eleva significativamente el nivel de riesgo para los derechos y libertades de sus titulares y las implicaciones de la vulneración de la confidencialidad. Esto se debe a la circunstancia de que dicha combinación no solo aumenta la cantidad de información disponible para un actor malicioso, sino que también amplía el espectro de posibles abusos. Dado que no se trata de datos aislados o piezas individuales de información, sino de la exposición de un conjunto integrado de datos personales que cuando se combinan, pueden ser utilizados para construir un perfil completo y detallado de un individuo, lo cual puede permitir a un atacante realizar operaciones de fraude y suplantación de identidad con una mayor tasa de éxito. En cuanto a la duración de la infracción, esta se prolongó, como mínimo desde el 24 de octubre de 2023 hasta el 28 de octubre de 2023. Por otra parte, el incumplimiento del principio de integridad y confidencialidad implica el incumplimiento del principio de responsabilidad proactiva previsto en el artículo 5.2 RGPD y desarrollado en el artículo 24, por el que los responsables del tratamiento no solo han de cumplir con lo previsto en el RGPD, sino que deben ser capaces de demostrarlo con un nuevo enfoque de adopción e implementación de medidas adecuadas al riesgo. Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): Las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso, el número de DNI de millones de clientes se ha visto afectado por la brecha. Se trata de un tratamiento sobre un dato sensible, pues dicho dato permite la identificación directa e inequívoca de una persona física. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/31 De conformidad con el Real Decreto 255/2025, de 1 de abril por el que se regula el Documento Nacional de Identidad, el número de DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular. Esta cualidad lo convierte en un dato personal particularmente sensible pues, en la medida en que su tratamiento no vaya acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con total facilidad, o, con otras palabras, puede provocar un fraude de identidad, con los riesgos que ello comporta para la privacidad, el honor y el patrimonio del suplantado. Además, ha de hacerse referencia a que entre los datos comprometidos se encuentran datos de salud (exclusivamente de empleados) y datos financieros de empleados y exempleados. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): SPRINTER se dedica a la venta de artículos deportivos tanto en tienda física como de manera online. Como consecuencia de su actividad empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados, lo que supone forzosamente operaciones de tratamiento de datos personales de las personas físicas (clientes, empleados y exempleados). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  36. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 2.600.000 € (dos millones seiscientos mil euros). VII Obligación incumplida. Comunicación de una violación de la seguridad de los datos personales al interesado. El artículo 34 “Comunicación de una violación de la seguridad de los datos personales al interesado” propugna: “1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida. 2. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b),
  37. c)y d). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/31 3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes:
  38. a)el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;
  39. b)el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1;
  40. c)suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados. 4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3.” En el presente caso, SPRINTER indicó en su notificación de brecha de 31 de octubre de 2023 que “¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? Pendiente de decidir”. Sin embargo, en su notificación de brecha de 30 de noviembre de 2023 señaló que el 27 de noviembre de 2023 se informó sobre la brecha a los 6.381.913 afectados mediante comunicaciones personales (postal, email, sms o similar) con garantía de entrega y lectura. Esto último quedaría acreditado con la documentación aportada por los reclamantes referente a la comunicación de brecha que recibieron de parte de SPRINTER (noreply@info.sprintersports.com) el 28 de noviembre de 2023. Si bien la normativa de protección de datos de carácter personal no fija un plazo explícito para realizar estas comunicaciones, debe subrayarse que sí incide en la obligación de comunicar lo sucedido a los afectados “sin demora indebida”. En este sentido, el apartado 83 de las Directrices 9/2022, sobre la notificación de las violaciones de la seguridad de los datos personales en el marco del RGPD, de 28 de marzo de 2023, señala que: “El RGPD establece que la comunicación de una violación a las personas debe hacerse «sin dilación indebida», lo cual significa lo antes posible. El objetivo principal de la notificación a las personas es proporcionarles información específica sobre las medidas que deben adoptar para protegerse. Como ya se ha señalado, dependiendo de la naturaleza de la violación y del riesgo que entrañe, una comunicación rápida ayudará a las personas a adoptar medidas para protegerse de sus consecuencias negativas”. Así, pese a que SPRINTER remitió comunicaciones informando a los afectados de los acontecimientos, no fue hasta el 27 y 28 de noviembre de 2023, un mes después de haber tenido conocimiento de la brecha, cuando se remitieron. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/31 Por otra parte, el contenido de la comunicación remitida por SPRINTER fue incompleta en tanto en cuanto no hizo ninguna mención a las medidas que adoptó para combatir la brecha de seguridad (entre otras, (…)). Simplemente informó de que “hemos realizado una exhaustiva investigación con especialistas en ciberseguridad para entender los hechos, contener el incidente y proteger los sistemas”. El apartado 86 de las citadas Directrices, en relación con el artículo 34.2 del RGPD, enumera la información mínima que ha de contener la comunicación de brecha, en concreto: “una descripción de la naturaleza de la violación, el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto, una descripción de las posibles consecuencias de la violación; y una descripción de las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos” (el subrayado es de esta Agencia). Respecto a esta última cuestión, el apartado 87 señala: “Como ejemplo de las medidas adoptadas para subsanar la violación y mitigar sus posibles efectos adversos, el responsable del tratamiento podría indicar que, tras haberla notificado a la autoridad de control pertinente, ha recibido asesoramiento sobre el modo de gestionarla y de reducir su impacto. El responsable del tratamiento también debe, cuando proceda, asesorar de manera específica a las personas para que se protejan de las posibles consecuencias adversas de la violación, como establecer nuevas contraseñas si sus credenciales de acceso se han visto comprometidas. De nuevo, un responsable del tratamiento puede decidir proporcionar más información de la que se requiere aquí”. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a SPRINTER, por vulneración del artículo 34 del RGPD. VIII Tipificación de la infracción del artículo 34 del RGPD y calificación a efectos de prescripción De confirmarse, la citada infracción del artículo 34 del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/31
  41. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 74 de la LOPDGDD establece lo siguiente: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…) ñ) El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos que entrañe un alto riesgo para los derechos y libertades de los afectados, conforme a lo exigido por el artículo 34 del Reglamento (UE) 2016/679, salvo que resulte de aplicación lo previsto en el artículo 73
  42. s)de esta ley orgánica." En el presente caso, tal como ha quedado expuesto, la infracción del artículo 34 del RGPD prescribió al año, por lo que tal infracción estaría prescrita en la actualidad. IX Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 5.1.
  43. f)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  44. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la entidad reclamada, pues es el responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/31 tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a la SPRINTER para que, en el plazo de 6 MESES a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la implementación y aplicación efectiva de las medidas organizativas y técnicas, de seguridad, en particular las relativas a: (…) La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SPRINTER MEGACENTROS DEL DEPORTE, S.L., con NIF B53404646, por la presunta infracción del artículo 5.1.
  45. f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la violación de la seguridad de los datos personales y reclamaciones interpuesta por los reclamantes y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el artículo 64.2
  46. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la sanción que pudiera corresponder sería de multa administrativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/31 de 2.600.000€ (dos millones seiscientos mil euros), sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a SPRINTER MEGACENTROS DEL DEPORTE, S.L., con NIF B53404646, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 2.080.000€ (dos millones ochenta mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 2.080.000€ (dos millones ochenta mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, ***SISTEMA.1pre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 1.560.000€ (un millón quinientos sesenta mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (2.080.000€ o 1.560.000€), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y si el importe de la sanción impuesta es superior a un millón de euros, será objeto de publicación en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/31 el Boletín Oficial del Estado la información que identifique al infractor, la infracción cometida y el importe de la sanción impuesta. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-021025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 5 de noviembre de 2025, SPRINTER ha procedido al pago de la sanción en la cuantía de 1.560.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  47. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/31 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 1.560.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, SPRINTER ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/31 Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 2.600.000,00 euros. Tras haber procedido SPRINTER MEGACENTROS DEL DEPORTE, S.L., con CIF B53404646, al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 1.560.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202401683, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a SPRINTER MEGACENTROS DEL DEPORTE, S.L., con CIF B53404646, para que en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a SPRINTER MEGACENTROS DEL DEPORTE, S.L., con CIF B53404646. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el importe de la sanción impuesta es superior a un millón de euros, será objeto de publicación en el Boletín Oficial del Estado la información que identifique al infractor, la infracción cometida y el importe de la sanción. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/31 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  48. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  49. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.