← España

PS-00408-2025

1/27  Expediente Nº: EXP202406208 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANKINTER, S.A. (en adelante, BANKINTER), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202406208 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 13 de abril de 2024, se notificó a esta Agencia una brecha de datos personales de EVO BANCO, S.A., con NIF A70386024 (en adelante, EVO BANCO). En la notificación, EVO BANCO a través del formulario de presentación en su página web, manifiesta lo siguiente: ¿Qué puede haber ocurrido?: Ciberincidente: Acceso no autorizado a datos en sistema de información (corporativo o servicio en internet)”       “Información temporal: La brecha se inició el 23/03/2024, fecha de detección el 09/04/2024. Tipología de la brecha: Confidencialidad. Tipo de incidente: Ciberincidente: Acceso no autorizado a datos en sistema de información (corporativo o servicio en internet). Encargado: No consta. Referido específicamente a los datos afectados por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? No Grado el que afectará a las personas: inconvenientes muy limitados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/27          Resumen del incidente: Que, con fecha de 8 de abril, los equipos de seguridad de EVO BANCO fueron informados por su servicio de detección de una publicación en la Deep Web declarando disponer de una base de datos de un BANCO Español de 1,3 millones de clientes. Como medida de prevención, EVO BANCO realizó una comprobación en sus sistemas con la finalidad de identificar cualquier posible vulnerabilidad y si dicha publicación se refería a su base de clientes. Se identificó una debilidad (…=, se detectó un número de consultas anómalas durante un plazo de 2 días, unos 5 millones, de las cuales se ha podido confirmar que 1,2 millones fueron exitosas. Tan pronto se confirmó esta situación, además de haber subsanado preventivamente el error (…), se establecieron medidas de refuerzo y correctivas, y medidas de prevención del fraude que se detallan en la documentación anexa. Categorías de datos: Datos básicos (Ej.: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de contacto Número de interesados afectados: 1.275.049 Categorías de afectados: Clientes / Ciudadanos, Suscriptores / Potenciales clientes Comunicación a los afectados: No serán informados. Implicaciones transfronterizas: No. Brecha resuelta: Sí. Método de detección de la brecha: Medios de detección implementados proactivamente por el responsable o encargado de tratamiento. Se ha puesto el incidente en conocimiento de las autoridades policiales: No.” Junto a la notificación el responsable adjunta un informe, de fecha 12/04/2024, con información adicional sobre la gestión de la brecha, denominado “INFORME INCIDENTE DE SEGURIDAD EVO BANCO, S.A.” (en adelante, informe inicial), del que en síntesis se desprende:  El responsable detecta la brecha mediante un servicio de prevención y detección de ciberdelincuencia, prestado por terceros, al detectar la puesta a la venta en la Deep Web, de una base de datos de clientes de la entidad.  El responsable da credibilidad al anuncio detectado, tras comprobar coincidencias con codificaciones internas usadas (…).  El responsable detecta una vulnerabilidad generada como consecuencia de (…)  (…) se utiliza en procesos de alta de usuarios y da acceso a una ficha de datos limitada. Por motivos de seguridad, la consulta está limitada externamente al usuario titular de los datos, o internamente a un gestor del Banco.  (…) se produjo un error que aparentemente afectó a la limitación establecida.  Como consecuencia de la investigación interna, el responsable identificó que durante las fechas 23/03/2024 a 26/03/2024 se produjo un volumen de peticiones anómalo a ese sistema de consulta. En concreto 5 MILLONES de peticiones, de las cuales 1,2 MILLONES de peticiones fueron exitosas. El responsable manifiesta que: “Posteriormente a lo ocurrido, se realizó un análisis de los registros afectados. De esta forma, se pudo comprobar que las peticiones daban la posibilidad de poder realizar consultas a un total de 1,2 millones de registros (…), si bien no se ha podido evidenciar la realización de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/27    extracción alguna de dicha información por parte de cualquier tercero ajeno a EVO BANCO.” El responsable indica los criterios utilizados para valorar que, no existe riesgo alto para los interesados afectados y su decisión de no informar a los afectados conforme al art. 34 del RGPD. Fundamenta esta decisión en las medidas implementadas para evitar que los datos exfiltrados se puedan utilizar con fines ilícitos en el marco de los procesos de contratación de la entidad. El responsable también analiza y valora como bajo, el riesgo de que un tercero los utilice con fines ilícitos en procesos de contratación externos a EVO BANCO. Indica el responsable que tales datos sólo podrían ser utilizados para generar la confianza del cliente de que está hablando con su entidad bancaria y provocar que él mismo realice operaciones que comportaran salida de sus fondos por distintos mecanismos, para lo que la entidad implementa medidas antifraude y de concienciación. Considera el responsable que el impacto potencial para los interesados sería bajo. A la vista de los hechos, el 18/04/2024 esta Agencia ordena a EVO BANCO que lleve a cabo la comunicación de la brecha a los interesados conforme al artículo 34 del RGPD, sin dilación indebida, y con objeto de que los afectados puedan adoptar las medidas que consideren oportunas para evitar aquellos riesgos que pudieran afectarle SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 18/04/2024 la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Una vez iniciadas las actuaciones previas de investigación, el 14/05/2024 se recibe escrito de EVO BANCO, confirmando el envío de la comunicación individualizada a los interesados afectados por la brecha de datos personales e incorporando, en su escrito, la siguiente información:  EVO BANCO manifiesta que, en fecha 15/04/2024, la Brigada de Investigación Tecnológica de la Policía Nacional se puso en contacto con EVO BANCO para informarle de que se había detectado en la Deep Web una publicación que contenía datos relativos a las bases de datos de EVO BANCO.  Que, adicionalmente al post publicado en fecha 30/03/2024 (este aspecto se detallará más adelante), el atacante, desde el 18/04/2024 hasta el 27/04/2024, realiza diversas publicaciones en la Deep Web y contacta con varios empleados de EVO BANCO (incluido el CISO) con el fin de extorsiónales y amenazarles con la publicación de datos personales de las bases de datos de EVO BANCO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/27  Que, a raíz de estos hechos, EVO BANCO decide interponer la correspondiente denuncia, en fecha 22/04/2024 ante la Policía Nacional en la Comisaría General de Información en Madrid, con N.º de Referencia 3202/24. EVO BANCO dice aportar en su escrito los siguientes documentos:  Documento 1: copia de la denuncia interpuesta por el responsable ante la Policía Nacional.  Documento 2: capturas de pantallas de las publicaciones, amenazas y extorsiones que realiza el atacante.  Documentos 3 y 4: evidencia del contenido de las comunicaciones de brecha que EVO BANCO realiza a los interesados. Sin embargo, estos documentos no se encuentran adjuntos En fecha 17/05/2024, en el marco de las actuaciones previas de investigación, por esta Agencia se realiza un nuevo requerimiento de información, siendo contestado este en fecha 20/05/20204, y en el que EVO BANCO aporta los documentos 1, 2, 3 y 4 faltantes. En fecha 28/05/2024 EVO BANCO solicita a esta Agencia ampliación del plazo para contestar al requerimiento de información, siéndole esta concedida, de tal forma que presenta escrito en fecha 18/06/2024 al que adjunta 10 documentos, a saber: - Documentos nº: 1,2 y 3: informe ***EMPRESA.1 - Documento nº 4: certificado empresa envío comunicación brecha. - Documento nº 5: RAT - Documento nº 6: Gestión y notificación de incidentes de seguridad en materia de datos de carácter personal (marzo 2022). - Documento nº 7: Procedimiento gestión de cambios. - Documento nº 8: ***EMPRESA.2 – Servicios de Seguridad - Documento nº 9: KBA541 -Alarmas desde Appdynamics - Documento nº 10: EVO Banca Inteligente. Informe Técnico de refinamiento y seguridad. API. - Documento nº 11: Denuncia ante la Policía Nacional en fecha 22/04/2024 Del análisis de los documentos anteriores, así como los obrantes en el expediente, se concluye lo siguiente: 1. ANÁLISIS DE LA BRECHA 1.1. Detección y origen de la brecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/27 La brecha es detectada en fecha 8/04/2024, por los sistemas de prevención y detección de Ciber Incidentes de EVO BANCO (servicio prestado por los proveedores externos ***EMPRESA.2 y ***EMPRESA.3), tras la publicación de un post en el foro ***FORO.1 de la Deep Web. El post indica que el atacante dispone de una base de datos de 1,3 MILLONES de clientes de un BANCO Español, sin especificar de qué BANCO se trata. Este hecho lo manifiesta el EVO BANCO en el informe inicial de 12/04/2024: “Con fecha de 8 de abril, el equipo de seguridad de EVO BANCO fue informado por su servicio de prevención y detección de ciberdelincuencia (prestado por ***EMPRESA.2 y ***EMPRESA.3) de la existencia de un post en la Deep Web, en el que se indicaba disponer de una “base de 1,3 millones de clientes” de un “BANCO español”. En el mencionado informe consta captura de pantalla de la publicación en la Deep Web, y se manifiesta que:  La publicación data del 30/03/2024.  Consta que el atacante se ha unido recientemente al foro, en el propio marzo de 2024.  Constan únicamente dos publicaciones del atacante y su puntuación denota que es un atacante de escasa reputación.  La publicación incluye un enlace con una muestra de 10 registros. Asimismo, EVO BANCO manifiesta que: “El proveedor que informó de dicha publicación también indicó que se trataba de un hacker de baja reputación, […] No obstante, se analiza la muestra, detectando que existían identificadores (…), similares a los utilizados por EVO BANCO para registrar a sus clientes y potenciales clientes en los servicios implementados (…). Si bien las noticias sobre filtraciones, ataques o explotación de vulnerabilidades son habituales en este tipo de entornos, siendo en su mayoría “falsas alarmas”, esta publicación hacía un muestreo de códigos de datos relativos a 10 registros de usuarios. Si bien por sí mismos estos datos no tiene por qué atribuir ninguna pertenencia a una sociedad en concreto, dentro de los datos vinculados a los registros expuestos se incluía la codificación “(…)”, cuya correlación numérica coincidía con la codificación interna que EVO BANCO emplea en la gestión interna de los registros de su ***SISTEMA.1”. Ante los hallazgos expuestos, EVO BANCO, en su informe inicial, manifiesta haber realizado las siguientes acciones de análisis, para determinar el origen de la brecha: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/27  Los equipos de seguridad de EVO BANCO realizan un análisis sobre sus sistemas internos. “Ante esta revelación, los equipos de seguridad comenzaron una labor de análisis sobre los procesos de comunicación internos que se emplean en la gestión de negocio de la entidad, con el fin de descubrir cualquier situación anómala”. “(…)”. 1.2. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su contención inicial Tras el análisis del origen de la brecha, EVO BANCO en su informe inicial, manifiesta haber realizado, de manera prácticamente inmediata a la detección de la brecha (es decir, en fechas 8 y 9 de abril), las siguientes acciones para su contención:  Identificada la vulnerabilidad, se procede a corregirla de manera inmediata, devolviéndola a su desarrollo anterior. “(…)”.  Una vez subsanada la vulnerabilidad, EVO BANCO procede a analizar los registros afectados, comprobando que 1,2 MILLONES de consultas exitosas, daban la posibilidad de realizar consultas a 1,2 MILLONES de registros del ***SISTEMA.1 (sistema que permite gestionar las relaciones con clientes y que, por tanto, es susceptible de contener datos personales de los mismos). “(…)” - En fecha 9/04/2024 a las 21:30 h., EVO BANCO pone en conocimiento de su Delegado de Protección de Datos los hechos acaecidos, “Tras comprobar que el incidente puede afectar a datos de carácter personal, se procede a poner en conocimiento del Delegado de Protección de Datos de Evo BANCO a las 21:30 horas del mismo día 9 de abril”. - Entre las medidas adoptadas de manera inmediata, se encuentra la colaboración de peritos forenses para la investigación del suceso y así, el responsable solicita, a una entidad especializada en el sector (en concreto, ***EMPRESA.1), tanto la elaboración de un informe forense sobre la brecha acaecida, como una prueba de penetración sobre la aplicación afectada. “Una auditoría independiente se está llevando a cabo por ***EMPRESA.1, líder global en consultoría y auditoría, para proporcionar una verificación externa de la integridad y la seguridad de nuestras comunicaciones en la aplicación afectada dando fe de su resolución y mitigación con fecha 9 de abril 2024”. 1.3. Causas que hicieron posible la brecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/27 EVO BANCO manifiesta en su informe inicial que lo que hizo posible el volumen de llamadas anómalo (…) que permitió la brecha de datos personales (…), es una vulnerabilidad generada en el proceso de migración (…). Las características de la vulnerabilidad son las siguientes:  (…) Así se hace constar en el informe inicial: “(…)”. Con base en esta información, durante las actuaciones previas de investigación la AEPD ahondó en la vulnerabilidad manifestada por EVO BANCO. De esta manera, sobre la vulnerabilidad que da lugar a la brecha, con base en la información y documentación aportada por EVO BANCO en fecha 18/06/2024 se extrae la siguiente información relevante:  La API afectada se emplea para llevar a cabo el onboarding de clientes y potenciales clientes de EVO BANCO y se enmarca en su Portal Web de contrataciones y en su ***SISTEMA.1 de ***EMPRESA.4. Este hecho consta en el informe forense realizado por ***EMPRESA.1, aportado como documento 1 por EVO BANCO en fecha 18/06/2024: “(…)” EVO BANCO manifiesta este hecho en el escrito de su respuesta de fecha 18/06/2024: “[…] Centrándonos en el que ha generado la vulnerabilidad, (…). EVO BANCO manifiesta estos hechos en el escrito de su respuesta, remitido en fecha 18 de junio de 2024: “El 8 de febrero de 2024, a través del cambio planificado y aprobado en el comité de cambios de EVO BANCO, (…). 1.4. Respecto de la tipología y volumen de datos afectados 1.4.1. Sobre la tipología de los datos afectados por la brecha, en la notificación completa de brecha y en el informe inicial, EVO BANCO, manifiesta:  Que la tipología de los datos afectados son datos básicos (ej.: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo y datos de contacto.  Que no se ha tenido acceso a saldos, números de tarjeta o medios de pago similares ni contraseñas o credenciales.  Que no se han visto comprometidas imágenes de documentos de identidad o medios de identificación.  Que no se tratan ni se han visto afectados datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, datos genéticos, datos biométricos, datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/27 sobre salud, relativos a la vida sexual o la orientación sexual del cliente, conforme a lo recogido en el artículo 9.1 del RGPD.  Que el número de afectados es de 1.275.049 MILLONES.  Que las categorías de afectados suscriptores/potenciales clientes.  Que, entre los afectados, no hay menores o miembros de colectivos vulnerables.  Que, entre los afectados, no hay interesados en otros estados miembros de la UE. son clientes/ciudadanos y Esta información contrasta con lo recogido en el informe forense realizado por ***EMPRESA.1, en el cual consta lo siguiente: “Conforme al análisis realizado, en el periodo temporal que comprende el rango entre los días 23 de marzo y el 27 del mismo mes, se produjeron exactamente 5.473.299 peticiones, llegando a ser exitosas un total de 1.275.463 de ellas. (el subrayado es de la AEPD) Es decir, de los 5,4 millones de peticiones registradas en este periodo, el número de personas afectadas por la brecha de seguridad es de 1.275.463 teniendo en consideración para esta delimitación el conteo de los números identificativos DNI o NIE recuperados mediante peticiones maliciosas. (el subrayado es de la AEPD) Ahondando en la información potencialmente filtrada, identificamos los siguientes datos devueltos por parte del servidor como respuesta a las solicitudes maliciosas en función de los datos dados de alta en la plataforma de contratación web de EVO (véase Anexo VII. Detalle de los campos informados en los logs adquiridos (…) para consultar la información concreta analizada):  Identificador de ***EMPRESA.4 relacionado con cada uno de los usuarios afectados.  Información sobre promociones utilizadas por los clientes.  Estado del usuario en relación con la documentación aportada a la entidad.  Datos socioeconómicos pertenecientes a cada uno de los usuarios afectados como datos sobre la declaración de IVA del último ejercicio, años trabajados, situación laboral, ingresos mensuales, etc.  Productos contratados junto con información complementaria, como el IBAN, en caso de que hubiera sido remitido a EVO BANCO.  Datos sobre productos contratados, en caso de que los hubiera, incluyendo el número IBAN de cuentas bancarias, el código del producto, identificador de la firma y estado de consentimiento, entre otros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/27  Información personal de los usuarios: nombre y apellidos de las personas afectadas, número de DNI o NIE, número de teléfono y régimen económico entre otros”. Como se puede observar, si bien el número de interesados es similar a lo señalado por EVO BANCO en su escrito, en el informe forense de ***EMPRESA.1 se señala que, entre los datos afectado, sí se incluyen datos de carácter económico y financiero. 1.4.2. Con respecto a la volumetría total de interesados involucrados en los tratamientos afectados por la brecha, EVO BANCO aporta el Registro de Actividades (RAT), de dichos tratamientos (documento nº 5), del que se desprende: Son tres las actividades de tratamiento afectadas por la brecha, según manifiesta el responsable:  Originación digital - Captación de nuevos clientes a través de entornos digitales.  Originación digital - Seguimiento durante el proceso de contratación.  Operaciones, Organización y Fraude - Alta y baja de clientes. En el RAT de cada una de estas actividades, se indica que el número de afectados varía entre 100.001 y 500.000. A la vista de esta información, se puede inferir que, en lo que respecta a los tratamientos afectados por la brecha, como máximo, EVO BANCO puede manejar una volumetría de clientes y potenciales de clientes de 1,5 MILLONES (volumetría máxima indicada de 500.000 por cada RAT, multiplicada por las tres actividades afectadas). Además, se ha de tener en cuenta que, muy posiblemente, esta volumetría sea algo inferior ya que habrá clientes y potenciales clientes que sean los mismos en las diferentes actividades afectadas por la brecha. Por todo ello, se infiere que la brecha, habiendo afectado a más de 1,2 MILLONES de clientes, supone la afectación de una proporción considerable del total de interesados para los que EVO BANCO trata datos personales, estimándose, como mínimo, en más de un 80%. 1.5. Impacto de la brecha de datos personales y exfiltración de datos personales El impacto de la brecha según la notificación completa de brecha realizada por EVO BANCO en fecha 13/04/2024, afecta a la confidencialidad, al haberse producido un acceso a datos personales de clientes y potenciales clientes por terceros no autorizados. En relación con la exfiltración de datos personales, EVO BANCO en el informe inicial, hace constar que: “[…] esta publicación hacía un muestreo de códigos de datos relativos a 10 registros de usuarios”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/27 “[…] si bien no se ha podido evidenciar la realización de extracción alguna de dicha información por parte de cualquier tercero ajeno a EVO BANCO”. En la información adicional que aporta el responsable en fecha 14/05/2024, sobre las amenazas que perpetra el atacante entre el 18 y el 27 de abril de 2024 (posteriores al primer post de fecha 30/03/2024) EVO BANCO manifiesta lo siguiente: “Ante la negativa de EVO BANCO de atender a las exigencias del ciberdelincuente, éste incrementó la intensidad de sus amenazas, indicando que procedería a publicar parte de los datos a los que tuvo acceso como consecuencia del ciberataque, en lotes de 500 registros al día. Dicha amenaza solo fue cumplida con relación a 958 clientes afectados y a cuatro empleados de la entidad”. (el subrayado es de la AEPD). En el informe forense realizado por ***EMPRESA.1, sobre la exfiltración de datos personales, consta lo siguiente: “La información filtrada en los foros de la Deep Web pertenece a datos legítimos de EVO, lo que infiere la idea de que el actor de amenazas responsable efectuó el robo de datos pertenecientes a clientes y no clientes de la entidad.(el subrayado es de la AEPD) o La tipología de los datos afectados coincide con la recogida por parte del Portal de Contrataciones y gestionada (…)”. “[…] Por el contrario, no se puede certificar que dicha información devuelta por el servidor de EVO BANCO haya sido exportada por el actor de amenazas”. Por tanto, existen evidencias de que el atacante ha accedido a dichos datos y de que, parte de ellos, han sido exfiltrados, tanto en la muestra de 10 registros publicada en la publicación inicial (…) de fecha 30/03/2024, como en las sucesivas amenazas que realiza el atacante, en las que hace pública información de 958 clientes afectados. Este hecho es manifestado por EVO BANCO en su escrito de fecha 14/05/2024: “En virtud de lo expuesto, quedó confirmado que el atacante disponía de los datos de carácter personal de las personas indicadas en sus dos publicaciones sin que, hasta el momento, esta entidad disponga de más pruebas sobre el contenido del supuesto fichero del que dispone ni pueda confirmar que se refiere al número de registros inicialmente indicado por el atacante. Desde 27 de abril, no ha existido ninguna publicación adicional en la Deep Web y el mismo atacante ha dado por cerrada lo que ahora llama una incidencia”. (el subrayado es de la AEPD) 2. MEDIDAS DE SEGURIDAD 2.1. Medidas de seguridad implantadas con anterioridad a la brecha 2.1.1. Gestión de cambios en el software. EVO BANCO manifiesta que dispone de un procedimiento específico para la gestión de cambios. En dicha gestión de cambios, se enmarca el proceso de (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/27 Así lo hace constar EVO BANCO en el escrito de su respuesta, remitido en fecha 18/06/2024: “Se adjunta como Documento 7 el procedimiento de gestión de cambios de la entidad “***URL.1.” En el caso del cambio que generó la vulnerabilidad origen de la brecha, se puede apreciar que el mismo, se encontraba aprobado y documentado (…) con código: ***URL.2. Así pues, EVO BANCO aporta, en fecha 18/06/2024, tanto su procedimiento de gestión de cambios (documento 7), como una explicación detallada de cómo se ha realizado el proceso de migración en el que se produce la vulnerabilidad (…) por el incidente. Analizando ambos documentos, se observa que: (…) Este hecho pone de manifiesto que la validación funcional que EVO BANCO realiza sólo comprueba que los datos devueltos son los que se solicitan, pero no se valida que un usuario no autorizado (sin credenciales válidas), no pueda acceder a los datos.  Consta que la fecha de la siguiente revisión/caducidad del procedimiento fue el 15/06/2024; sin embargo, en el control de versiones, la última actualización data de fecha 22/01/2024. Puesto que este documento se recibió en fecha 18/06/2024, se puede inferir que la revisión del documento, que se debería haber realizado en fecha 15 de junio de 2024, no se llegó a hacer. 2.1.2. Sistemas de monitorización y alerta sobre eventos de seguridad. Sobre esta medida, EVO BANCO manifiesta lo siguiente en su escrito de fecha 18/06/2024: (…) 3.1.3. Procedimiento de gestión de brechas dedatos personales. EVO BANCO manifiesta que dispone de un procedimiento de gestión y notificación de incidentes de seguridad en materia de datos de carácter personal (documento nº 6). En relación con las pruebas de penetración realizadas sobre los procesos de desarrollo en diciembre de 2023, EVO BANCO manifiesta lo siguiente en el escrito de fecha 18/06/2024: “Se adjunta como Documento 8 el análisis realizado sobre los procesos de login en diciembre “***URL.3” así como el del proceso de alta clientes “(...) - Informe Tecnico.pdf” que usa este servicio”. En este sentido, EVO BANCO aporta el informe de dichas pruebas de penetración (documento nº: 8), y así, analizando dicho documento, se concluye que es un informe realizado por ***EMPRESA.2, que revisa la seguridad sobre los formularios de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/27 autenticación de distintos aplicativos de EVO BANCO. El informe data de diciembre de 2023 y se identifica un nivel de riesgo medio, sobre la base de una serie de vulnerabilidades para su resolución por parte de EVO BANCO. En relación con el Plan Director de Ciberseguridad aprobado por EVO BANCO a finales de 2023, este manifiesta: “A finales de 2023 se presentó el plan estratégico de tecnología 2024. En dicho plan, se incluyen las acciones relacionadas con la seguridad que se llevarían a cabo en 2024”. Se adjunta captura de pantalla en dicho escrito, en la que se aprecian diversas iniciativas. Estas iniciativas, según manifiesta EVO BANCO, se llevarían a cabo durante el año 2024. . Por ello, estas medidas se describen, más adelante. 2.3. Medidas técnicas y organizativas adoptadas para evitar incidentes como el sucedido 2.3.1. En relación con la gestión de cambios en el software, EVO BANCO manifiesta en su escrito de 18/06/2024 que: (…) Como ya se ha explicado, el proceso de validación que se hizo sobre la API afectada por el incidente no incluía la comprobación de denegación de accesos a usuarios no autorizados, lo que impidió detectar que existía un error manual en la configuración. Esta es una de las nuevas medidas que establece EVO BANCO: o (…) 2.3.2. En relación con los sistemas de monitorización y alerta, EVO BANCO destaca en su escrito de fecha 18/06/2024, las siguientes medidas:  (…) 2.3.3. En relación con pruebas de penetración específicas para (…), EVO BANCO manifiesta: “g. Copia del pentesting realizado por ***EMPRESA.1. Esta parte ha adjuntado, como Documento 3, el informe del pentest realizado por ***EMPRESA.1 inmediatamente después del incidente, en el que se evidencia que (…) ya no es vulnerable”. Se revisa el informe de pruebas de penetración aportado por EVO BANCO como documento nº 3, en el que consta que, tras las pruebas, la conclusión es que el (…). 2.3.4. Otras medidas adicionales. Dentro del Plan Director de Ciberseguridad de EVO BANCO, ya mencionado, se establecen medidas adicionales cuya fecha de implantación se estima, tras el incidente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/27 Así, dichas medidas se describen con mayor detalle en el Anexo I del informe inicial de fecha 12/04/2024, manifestando EVO BANCO lo siguiente: “(…)” 3. Otros aspectos: Tal y como se señalará en el antecedente de hecho cuarto, durante el curso de las actuaciones previas de investigación tuvieron entrada en la AEPD diversas reclamaciones de afectados por la brecha de datos personales. Algunos de ellos, manifestaban que habían recibido la comunicación prevista en el artículo 34 del RGPD aun cuando no eran clientes de la entidad en el momento de producirse los hechos o aun cuando habían ejercitado su derecho de supresión conforme al artículo 17 del RGPD. En relación con esta cuestión durante las actuaciones previas de investigación se comprueba que el ataque perpetrado afectó a datos personales que se encontraban bloqueados en cumplimiento del artículo 32 de la LOPDGDD. CUARTO: Entre el 27 de abril de 2024 y el 1 de abril de 2025 se recibieron en esta Agencia diez reclamaciones de afectados por la brecha de datos personales anteriormente mencionada. En concreto, se recibió una reclamación el 27 de abril de 2024, dos reclamaciones el 22 de mayo de 2024, una reclamación el 23 de mayo de 2024, otra reclamación el 24 de mayo de 2024, otra reclamación el 8 de junio de 2024, otra reclamación el 17 de junio de 2024, otra el 19 de junio de 2024, otra reclamación el 1 de agosto de 2024 y otra reclamación el 1 de abril de 2025. En ellas se reclama en tanto que afectados por la brecha y junto con sus reclamaciones aportan la comunicación remitida por la entidad en cumplimiento del artículo 34 del RGPD. En algunas de las reclamaciones se expresa, además, que han sido afectados por la brecha de datos personales aun cuando en el momento en que se produjo no eran clientes de esta entidad y manifiestan una posible vulneración del derecho de supresión que habían ejercitado ante la entidad. Las reclamaciones obvian, no obstante, el deber de bloqueo previsto en el artículo 32 de la LOPDGG, por lo que esos hechos no son objeto del presente procedimiento sancionador. QUINTO: De conformidad con el artículo 65 de la LOPDGDD, las diez reclamaciones anteriores se admitieron a trámite los días 17 de mayo de 2024, 28 de junio de 2024 (7 de ellas), 3 de octubre de 2024 y 9 de mayo de 2025. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad EVO BANCO fue una empresa constituida en el año 2013, cuyo estado a fecha actual es “inactiva por extinción”. Y ello por cuanto, se ha producido un proceso de fusión por absorción por BANKINTER S.A., posterior a los hechos, que consta en la “Resolución de 9 de abril de 2025, del Banco de España, por la que se publica la baja en el Registro de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/27 entidades de crédito de Evo Banco, SA”, y publicada en el BOE de fecha 18 de abril de 2025: “Con fecha de efectos 1 de abril de 2025 ha sido inscrito en el Registro de Entidades de crédito la baja de Evo Banco, SA, que mantenía el número de codificación 0239, por fusión por absorción por Bankinter, SA”. Al haberse producido la baja de EVO BANCO, SA como entidad de crédito, no puede obviarse que la responsabilidad en el presente procedimiento ha de atribuirse a la entidad bancaria que la ha absorbido, BANKINTER SA (en adelante, BANKINTER). SÉPTIMO: De acuerdo con la información disponible en Bankinter.com (https://www.bankinter.com/file_source2/webcorporativa/estaticos/pdf/accionistas-einversores/informacion-nanciera/informesrimestrales/2024/t4/FY24_Bankinter_Resultados.pdf), la cuenta de resultados de BANKINTER ESPAÑA refleja un resultado antes de impuestos de 1.360.000.000€ para el año 2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/27 Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.

  1. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EVO BANCO realizaba, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas como, por ejemplo: nombre, apellidos, fecha de nacimiento, DNI, NIE, Pasaporte, IBAN, entre otros. EVO BANCO realizaba esta actividad en tanto que responsable del tratamiento puesto que determinaba fines y medios conforme al artículo 4.7 del RGPD. No obstante, tal y como se ha señalado, debe tenerse en cuenta la publicación en el Boletín Oficial del Estado Número 94 del viernes 18 de abril de 2025, en su apartado III. Otras Disposiciones. BANCO DE ESPAÑA en la que se señala: (…) 7949 Resolución de 9 de abril de 2025, del Banco de España, por la que se publica la baja en el Registro de entidades de crédito de Evo Banco, SA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/27 En cumplimiento de lo establecido en el apartado 3 del artículo 15 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito, se procede a la publicación de la siguiente variación en el Registro de entidades de crédito: Con fecha de efectos 1 de abril de 2025 ha sido inscrito en el Registro de Entidades de crédito la baja de Evo Banco, SA, que mantenía el número de codificación 0239, por fusión por absorción por Bankinter, SA. Por tanto y como se indica en la citada Resolución del Banco de España, con fecha 1/04/2025 se publicó la baja de EVO BANCO, en el Registro de Entidades de Crédito, al haber sido absorbido por BANKINTER SA. Sin perjuicio de que la fecha de detección de la brecha de datos personales fue el 9/04/2024 y su comunicación a esta Agencia el 13/04/2024, esto es, todo ello anterior al proceso de absorción de EVO BANCO por BANKINTER SA, la absorción de BANKINTER implica la extinción de la personalidad jurídica de EVO BANCO y que su nueva razón social pasa a ser BANKINTER SA con NIF A28157360, siendo a esta a la que debe atribuirse la responsabilidad de las presuntas infracciones cometidas. Atendido a lo anterior, a efectos del presente procedimiento sancionador, BANKINTER SA tiene la condición de responsable del tratamiento. IV Obligación incumplida. Integridad y confidencialidad La letra
  2. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." El principio de confidencialidad reseñado exige, por tanto, la protección de los datos personales contra accesos, usos y divulgaciones no autorizados y ello por cuanto el Considerando 39 del referido RGPD señala: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. En el presente caso consta la existencia de una brecha de datos personales de confidencialidad que afectó a clientes, antiguos clientes cuyos datos continuaban bloqueados conforme al artículo 32 de la LOPDGDD, potenciales clientes, no clientes y empleados de EVO BANCO. La brecha de datos personales se produjo, tal y como se recoge en el informe inicial de 12 de abril de 2024 presentado por EVO BANCO, así como en el informe de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/27 ***EMPRESA.1 aportado durante las actuaciones previas de investigación, como consecuencia de (…) Así, entre los días 23 de marzo horas y 27 de marzo (así se indica en el informe de ***EMPRESA.1 a diferencia de lo señalado por EVO BANCO que hablaba del 26 de marzo) tuvo lugar según el informe inicial de EVO BANCO “(…)”. Esta información se precisa en el informe de ***EMPRESA.1 que señala: “(…)”. EVO BANCO no tuvo conocimiento de la brecha hasta el 9 de abril de 2024 a raíz de que “(…)”. La publicación databa del 30 de marzo de 2024. Así, la brecha de datos personales afectó a la confidencialidad de los datos, esto es, se produjo un acceso a los mismos por parte de un tercero no autorizado que realizó una copia de estos para, posteriormente, amenazar a EVO BANCO con su publicación en la dark web salvo que se produjera el abono de una recompensa. En total el número de afectados fue de 1.275.049 personas. Asimismo, de esos 1.275.049 afectados, se produjo la publicación en la dark web de los datos de 958 clientes, así como 4 empleados de la entidad, de acuerdo con la información adicional aportada por EVO BANCO el 14 de mayo de 2024 a esta Agencia. En cuanto a la tipología de los datos personales afectados, tal y como consta en el informe de ***EMPRESA.1 figuraba: nombre, apellidos, DNI o NIE, número de teléfono, el régimen económico, número IBAN de cuentas bancarias, firma, código de los productos contratados, declaración del IVA del último ejercicio, años trabajados, situación laboral, ingresos mensuales, así como su identificador en la plataforma, entre otros. En cuanto a la duración de la brecha de datos personales, debe subrayarse que esta se inició el 23 de marzo de 2024 -sin perjuicio de que la deficiencia de las medidas que la provocaron date de 8 de marzo de 2024- . En cuanto a la finalización de la misma, se remarca que el 9 de abril de 2024, al tener conocimiento de la misma, EVO BANCO restauró la antigua versión del (…). Asimismo, una vez que “(…)”. Llegados a este punto, esta Agencia desea señalar que la documentación obrante en el expediente administrativo pone de manifiesto que carencias en las medidas técnicas y organizativas existentes en el momento de la brecha de datos personales que facilitaron la materialización de la brecha de datos personales en los términos anteriormente señalados. Así, teniendo en cuenta que el origen y causa de la brecha se encuentra en la existencia de una vulnerabilidad en la API, se destacan los siguientes aspectos:  (…) - Por otra parte, se subraya que EVO BANCO carecía de medidas de cifrado de los datos personales, tal y como reconoció en el formulario de notificación de brecha de datos personales, lo que hubiera limitado el impacto del acceso a sus sistemas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/27 Sin perjuicio de lo anterior, se subraya que, tal y como fue acreditado a través del informe de ***EMPRESA.1 presentado por EVO BANCO, todas estas cuestiones fueron solventadas por parte de la entidad con posterioridad.  (…) En definitiva, de acuerdo con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que EVO BANCO no habría adoptado medidas técnicas y organizativas de todo tipo, que garantizaran el principio de integridad y confidencialidad previsto por el artículo 5.1
  4. f)del RGPD. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a BANKINTER por vulneración del artículo 5.1
  5. f)del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
  6. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  7. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  8. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  9. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  10. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  11. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/27
  12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo, por las infracciones del presente Reglamento, indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  13. a)a
  14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  15. a)la de la naturaleza, gravedad y duración infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  16. b)la intencionalidad o negligencia en la infracción;
  17. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  18. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  19. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  20. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  21. g)las categorías de los datos de carácter personal afectados por la infracción;
  22. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  23. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  24. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  25. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/27 2. De acuerdo a lo previsto en el artículo 83.2.
  26. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  27. a)El carácter continuado de la infracción.
  28. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  29. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  31. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  32. f)La afectación a los derechos de los menores.
  33. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  34. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
  35. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, la cifra de 1.360.000.000€ euros de resultados antes de impuestos de BANKINTER ESPAÑA para 2024. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de BANKINTER (1.360.000.000 euros antes de impuestos en 2024) es de 54.400.000€ euros. Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones habrá de estar forzosamente entre los 0 y los 54.400.000 euros Asimismo, en relación con el nivel de gravedad en los términos del RGPD, sin perjuicio de lo que resulte de la instrucción, se estima que concurren las circunstancias siguientes: Con carácter previo, se estima que concurren las circunstancias siguientes:  La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): los hechos conocidos inciden directamente en el control que los afectados tienen sobre sus datos personales. Asimismo, excede las expectativas razonables que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/27 interesados puede prever sobre el tratamiento de sus datos personales. Así, los afectados confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas razonables de los afectados respecto al tratamiento de sus datos personales. En relación con el número de afectados, se subraya que la brecha de confidencialidad ha afectado a 1.275.049 personas. Además, consta que se publicaron en la Deep web al menos los datos de 958 personas. Asimismo, debe subrayarse el elevado número de datos personales por cada afectado que se vieron comprometidos. Conviene señalar que la vulneración del principio de confidencialidad en el presente caso involucra un conjunto de datos personales cuya naturaleza amplifica las implicaciones de la brecha de datos personales. Ello se desprende en la circunstancia de que se hayan visto afectados un elevado número de datos personales. En concreto: nombre, apellidos, DNI o NIE, número de teléfono, el régimen económico, número IBAN de cuentas bancarias, firma, código de los productos contratados, declaración del IVA del último ejercicio, años trabajados, situación laboral, ingresos mensuales, así como su identificador en la plataforma, entre otros, dependiendo de si se trataba de clientes o no clientes. La combinación de este tipo de datos personales eleva significativamente el nivel de riesgo para los derechos y libertades de sus titulares y las implicaciones de la vulneración de la confidencialidad. Esto se debe a la circunstancia de que dicha combinación no solo aumenta la cantidad de información disponible para un actor malicioso, sino que también amplía el espectro de posibles abusos. Dado que no se trata de datos aislados o piezas individuales de información, sino de la exposición de un conjunto integrado de datos personales que cuando se combinan, pueden ser utilizados para construir un perfil completo y detallado de un individuo, lo cual puede permitir a un atacante realizar operaciones de fraude y suplantación de identidad con una mayor tasa de éxito. En cuanto a la duración de la infracción, esta se prolongó, como mínimo entre el 23 de marzo de 2024 y el 9 de abril de 2024. Por otra parte, el incumplimiento del principio de integridad y confidencialidad implica el incumplimiento del principio de responsabilidad proactiva previsto en el artículo 5.2 RGPD y desarrollado en el artículo 24, por el que los responsables del tratamiento no solo han de cumplir con lo previsto en el RGPD, sino que deben ser capaces de demostrarlo con un nuevo enfoque de adopción e implementación de medidas adecuadas al riesgo - Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGP: Las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/27 aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso, el número de DNI de millones de afectados se ha visto afectado por la brecha. Se trata de un tratamiento sobre un dato sensible, pues dicho dato permite la identificación directa e inequívoca de una persona física. De conformidad con el Real Decreto 255/2025, de 1 de abril por el que se regula el Documento Nacional de Identidad, el número de DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular. Esta cualidad lo convierte en un dato personal particularmente sensible pues, en la medida en que su tratamiento no vaya acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con total facilidad, o, con otras palabras, puede provocar un fraude de identidad, con los riesgos que ello comporta para la privacidad, el honor y el patrimonio del suplantado. Además, ha de hacerse referencia a que entre los datos comprometidos se encuentran datos de índole financiera: IBAN, declaraciones e IVA, salarios, entre otros. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): el conjunto de operaciones que una entidad financiera realiza con la información de sus clientes (o/y potenciales clientes), al abrir cuentas, conceder créditos, ejecutar pagos…etc., supone la recopilación de datos de identificación personal (nombre, DNI/Pasaporte, dirección, teléfono…), datos financieros (cuentas bancarias, movimientos, tarjetas…), datos laborales y fiscales (ingresos, situación laboral, declaraciones…), entre otros. Todo ello supone un tratamiento continuo y masivo de datos personales. Por otra parte, se considera en calidad de atenuante: • La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente (artículo 76.2, letra e), de la LOPDGDD): como ya indicó en las cuestiones previas de este documento, consta en el expediente la publicación en el BOE (18/04/2025), la Resolución del Banco de España de fecha 9/04/2025, por la que se publica la baja de EVO BANCO, con fecha de efectos 01/04/2025, en el Registro de Entidades de Crédito, al haber sido absorbido por BANKINTER SA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/27 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  36. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 400.000 (CUATROCIENTOS MIL EUROS). Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a BANKINTER, S.A., con NIF A28157360 por la presunta infracción del artículo 5.1.
  37. f)del RGPD, tipificado en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la violación de la seguridad de los datos personales, así como, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de multa administrativa: - Por la supuesta infracción del artículo 5.1.
  39. f)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 400.000€. QUINTO: NOTIFICAR el presente acuerdo a BANKINTER, S.A., con NIF A28157360, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 320.00€ EUROS, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 320.000 EUROS y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/27 La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 240.000 EUROS. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (320.000€ o 240.000€ deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-010725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 6 de noviembre de 2025, BANKINTER ha procedido al pago de la sanción en la cuantía de 240.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/27 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/27 III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 240.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, BANKINTER ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 400.000,00 euros. Tras haber procedido BANKINTER, S.A. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 240.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202406208, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a BANKINTER, S.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/27 CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  40. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  41. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaeps.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 936-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.