PS-00437-2024

(203)- Austria

(45)- Bélgica

(87)- Dinamarca

(10)- Francia

(292)- Italia

(804)- Países Bajos

(34)- Portugal

(595)- Suecia

(11)” - “Indique la fecha en la que se dio por resuelta la brecha: 25/05/2023” SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 7 de julio de 2023 la Directora de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos (SGID) realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), teniendo conocimiento de los siguientes extremos: 1. El 10 de abril de 2024, IBERIA presentó un escrito, en respuesta a requerimiento de esta Agencia, en el que se aportaba, entre otra, la siguiente información: Respecto de la cronología de los hechos  “(…).  (…).  (…).  (…).  (…).  (…).  (…). (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/74  “(…).  (…).  (…).  (…).  (…).  (…).  (…).  (…).  (…).” Se adjunta, como Documento número 1, la traducción al español de la versión borrador del informe técnico forense, de 17 de mayo de 2023, elaborado por ***COMPAÑÍA.1 (originalmente en inglés) para (...) (...) en relación con la violación de la seguridad de los datos comunicada a la AEPD. En este documento, se menciona: “(…) (…).” Se adjunta como Documento número 2: Impresión de tres correos electrónicos enviados entre el 1 y 3 de marzo de 2023 desde IAG a otros empleados de IAG, IBERIA y British Airlines en los que se menciona: “(…). (…) (...) ha sido fructífera. Sus responsables comerciales han aceptado nuestra exigencia de una revisión forense a cargo de un tercero independiente. (…)” Se adjunta como Documento número 3: Impresión de un correo electrónico enviado el 10 de marzo de 2023 desde (...) a IAG, en el que se menciona: “(…) El encargo será llevado a cabo por ***COMPAÑÍA.1 y actualmente estamos ultimando los trámites formales. (…)” También se adjunta como Documento número 4: Impresión de un correo electrónico enviado el 25 de mayo de 2023 desde IAG a otros empleados de IAG, IBERIA y British Airlines, en el que se indica: “Hola a todos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/74 Aquí podéis ver el informe actualizado: ***COMPAÑÍA.1 - (...) – (…). (…) En resumen, entre los datos afectados por esta violación figuran nombres, correos electrónicos, credenciales, datos de vuelos, cargos, direcciones, teléfonos móviles, nombres de agencias de viajes, números de fax y números de billetes. (…) ▪ (…). Entre los datos a los que se accedió, figura información de cuentas de usuario como nombre, número de teléfono, correo electrónico, contraseña cifrada, información de vuelos, nombres, aerolíneas, información de miembros e información de billetes.” Se adjunta como Documento número 7: Impresión de un correo electrónico recibido el 20 de febrero de 2023 a las 19:01hs en IAG desde (...), en el que se menciona: “Estimados todos: Siguiendo el procedimiento contractual (…), por la presente informamos sobre el incidente de acceso no autorizado a los datos de clientes por partes no autorizadas. (…). Sospechamos que podrían haberse visto afectados datos personales de los usuarios del sistema (administradores de las empresas), como el nombre de usuario, la dirección de correo electrónico, el nombre, los apellidos y la contraseña cifrada. El número total de usuarios no anonimizados es de unos (…) registros. (…). Los recursos de seguridad de (...) están investigando más a fondo el incidente para crear un plan de acción destinado a mitigar los riesgos. Les mantendremos informados a medida que se confirmen nuevos hechos, junto con recomendaciones relacionadas con el incidente (a corto y largo plazo). La dirección de (...) sigue de cerca este caso y seguirá estando disponible para futuros compromisos.” E impresión de un correo electrónico enviado el 21 de febrero a las 9:21hs desde IAG a (...), en el que se menciona: “(…) Os pedimos que nos facilitéis urgentemente los datos de contacto del responsable de este asunto en sus equipos de ciberseguridad, para que puedan ponerse en contacto directamente (…) cuando sea necesario. Además, con carácter prioritario, os rogamos que respondáis lo antes posible a las siguientes peticiones: 1. Facilitadnos más detalles para que podamos evaluar los riesgos para nuestro negocio y tomar las medidas adecuadas para proteger nuestros propios sistemas informáticos. 2. (…). 3. (…): a. (…). b. (…). c. (…). Muchas gracias de antemano por encargaros de este tema lo antes posible.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/74 Como Documento número 8 se adjunta: Impresión de un correo electrónico recibido el 23 de febrero de 2023 a las 10:00hs en IAG desde (...), con el siguiente contenido: “Asunto: RE: Preguntas para (...) Hola, A.A.A.: Te paso a continuación nuestras respuestas. Saludos, B.B.B. 1. ¿Ha afectado este incidente a algún otro cliente (...) (…)? No afecta a ningún otro cliente (...). 2. (…). 3. (…). (…). b. ¿Tienen pruebas de que la totalidad o parte de los datos a los que se ha accedido se filtraron de su sistema (u otras razones que demuestren que se filtraron o era probable que se filtraran)? Por el momento, no es posible confirmar a qué parte de los datos se ha accedido. 4. ¿Sigue siendo cierto que no se ha visto afectada ninguna otra base de datos? Este incidente solo ha afectado a la base de datos relacionada con el (…). 5. ¿De qué medidas preventivas disponían para detectar y evitar un ataque de este tipo? Esto formará parte del Informe de Incidentes que se está preparando ahora mismo. Enviaremos el borrador el viernes a última hora.” Respecto de los datos afectados En su escrito de 10 de abril de 2024, IBERIA indicó que “Entre los datos a los que el atacante accedió se encuentra: credenciales de acceso a la plataforma y contraseñas (…), nombres de los miembros del programa (....), números de teléfono y fax profesionales, direcciones de correo postal profesionales, direcciones de correo electrónico profesionales, información de vuelos, información de las empresas que son miembros del programa y nombres de agencias de viajes.” IBERIA, en su notificación inicial, indicaba que se exfiltraron datos de empleados, pero, en la respuesta al requerimiento de información de 10 de abril de 2023, indica que lo que se exfiltró fueron estas credenciales de acceso a la base de datos. En su escrito de 10 de abril de 2024, IBERIA indica que se han encargado de monitorizar la publicación en Internet de los datos exfiltrados sin que hayan encontrado publicaciones o indexaciones en buscadores de estos datos. Según se indica en el Documento número 1 que acompaña al escrito de 10 de abril de 2024, traducción al español del informe técnico forense de 17 de mayo de 2023 elaborado por ***COMPAÑÍA.1 (originalmente en inglés) para (...) en relación con la violación de la seguridad de los datos comunicada a la AEPD, se vieron afectados por el atacante: “(…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/74 (…): ■ (…) ■ (…) ■ (…) ■ (…). (…): ■ (…) ■ (…). (…): ■ (…). (…). (…). (…): ■ (…), ■ (…), ■ (…), ■ (…), ■ (…).” Respecto de la comunicación de la brecha a los afectados En su escrito de 10 de abril de 2024 indica IBERIA que “Iberia, tras los correspondientes análisis, decidió que no era necesario remitir, a los interesados afectados, notificación alguna relativa a la violación de la seguridad de los datos de conformidad con el artículo 34 del RGPD. Esto fue así dado se llegó a la conclusión de que, de conformidad con el artículo 34.3 (

1. b)del RGPD, Iberia había implementado suficientes medidas posteriores a la violación para garantizar que ya no existiese la probabilidad de que se materializase un riesgo de grado alto para los derechos y libertades de los interesados. Se adjunta, como Documento número 5, copia de dicho análisis. Como se puede observar, se realizó un primer análisis el 17 de marzo de 2023, antes de haber identificado evidencias de exfiltración de los datos, y se actualizó el mismo posteriormente (por medio de un anexo) al cierre de la investigación, el 26 de mayo de 2023. Dado que Iberia, a fecha del primer análisis, ya había implementado medidas suficientes para garantizar que ya no existiese la probabilidad de que se materializase un riesgo de grado alto para los derechos y libertades de los interesados, las conclusiones del análisis inicial no se vieron modificadas por las evidencias de exfiltración de datos. Esto es consistente con lo indicado en las anteriores alegaciones segunda y tercera y en la alegación octava siguiente, en el sentido de que Iberia: (
2. i)no ha recibido, hasta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/74 la fecha, reclamación o solicitud alguna de interesados en relación esta violación de la seguridad de los datos; y (
3. ii)no ha identificado ninguna publicación o divulgación no autorizada o uso fraudulento de los datos personales objeto de la violación de la seguridad sufrida por (...). A todas luces, por tanto, el análisis realizado por Iberia ha resultado acertado, al no haberse materializado, en ningún momento, un riesgo de tipo alto para los derechos y libertades de los interesados afectados.” Se aporta como Documento número 5 un informe realizado por ***COMPAÑÍA.2 el día 17 de marzo de 2023, con el título “ANÁLISIS PRELIMINAR DE LA NECESIDAD DE NOTIFICACIÓN DEL INCIDENTE DE SEGURIDAD A LOS INTERESADOS AFECTADOS”. En este informe se indica: “(…) (
4. i)El nivel de severidad de las consecuencias para los interesados afectados y la probabilidad de que se materialicen dichas consecuencias: El nivel de severidad del Incidente podría ser clasificado como “Bajo” en los términos de la Guía de la AEPD ya que los interesados no se verán afectados o encontrarán algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema. En este caso, los inconvenientes que los interesados podrán sufrir son: (
5. i)con mayor grado de probabilidad, molestias por el cambio de las contraseñas y el número de billete que Iberia ha llevado a cabo como medidas de remediación y contención del incidente; y (
6. ii)con menor grado de probabilidad y en casos muy limitados 1, 1 Este análisis podría variar si se obtienen evidencias de la exfiltración de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/74 usurpación de identidad, cambios indeseados en sus billetes o ser víctimas de campañas de phishing o spamming. Para llevar a cabo las anteriores acciones, el atacante tendría que haber podido exfiltrar la información comprometida. A fecha de emisión de este informe, Iberia no cuenta con evidencias de que dicha exfiltración se haya producido. Sin perjuicio de lo anterior, Iberia ha procedido, a través de las medidas de mitigación y remediación implementadas, a: (…). Por lo tanto, a fecha de emisión de este Informe y teniendo en cuenta que Iberia no cuenta con evidencias de exfiltración de los datos personales comprometidos y que ha implementado varias medidas de mitigación de las consecuencias, la severidad de las consecuencias para los interesados afectados es baja. En cuanto a la probabilidad de que se materialicen las consecuencias anteriores, Iberia considera que es “Improbable” que lo hagan, puesto que, a fecha de emisión del Informe: (
7. i)Iberia puede garantizar que no pueden materializarse las consecuencias descritas anteriormente; y (
8. ii)no se ha recibido reclamación alguna por parte de los interesados afectados. (…) (
9. iv)Naturaleza, sensibilidad y categorías de datos personales afectados: Los datos de carácter personal comprometidos incluyen (...). Tal y como se puede observar, los datos comprometidos son, en su mayoría, datos personales que no tienen potencial de causar efectos adversos significativos sobre los derechos y libertades de los interesados y los datos afectados no son especialmente sensibles. (
10. v)Datos legibles/ilegibles: Los datos de carácter personal comprometidos son legibles para el atacante (los datos no se encontraban encriptados ni se encontraban protegidos por sistemas de pseudonimización), pero desde Iberia no se han obtenido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/74 evidencias de exfiltración de los datos por parte del atacante, por lo que su posterior explotación se hace muy improbable. (
11. vi)Facilidad de identificación de individuos: El hecho de que respecto de los usuarios afectados no se hayan comprometido números de identificación únicos (por ejemplo, números de pasaporte, números de DNI, números de seguridad social, etc.) reduce en gran medida la capacidad del atacante de identificar a individuos únicos a través de los datos comprometidos. (vii) Características especiales de los individuos: Ninguno de los datos de carácter personal comprometidos se enmarcaría dentro de las categorías especiales de datos del artículo 9 del RGPD, por lo que no permitiría al atacante conocer características especiales de los usuarios afectados. (viii)El perfil de los usuarios afectados: Todos los interesados afectados son empleados de Iberia y representantes de clientes de Iberia que son personas jurídicas, por lo que no ha afectado a clientes finales de Iberia que no sean personas jurídicas, a menores o a colectivos vulnerables (p.ej. supervivientes de violencia de género o en riesgo de exclusión social). (…) Aunque, tal y como se desprende del anterior análisis: (
12. i)la severidad de las consecuencias para los interesados afectados es baja y es improbable que se materialicen a fecha de emisión del Informe; (
13. ii)los datos personales afectados no se enmarcan dentro de la categorías especiales de datos ni son especialmente sensibles; y (
14. ii)el incidente únicamente a afectado a datos personales de empleados de Iberia y representantes de clientes de Iberia que son personas jurídicas, Iberia considera que, antes de la implementación de las correspondientes medidas de mitigación y remediación, podría ser probable que la violación de la seguridad de los datos personales entrañase un alto riesgo para los derechos y libertades de las personas físicas, dado el número de interesados y registros de datos afectados. Así se desprende de los análisis realizados utilizando las herramientas puestas a disposición de los responsables del tratamiento por la AEPD. (…) Como Anexo II se incluye el análisis realizado utilizando la herramienta ComunicaBrecha RGPD que la AEPD pone actualmente a disposición de los responsables del tratamiento para ayudar a estos en la toma de la decisión sobre la notificación de las violaciones de seguridad de los datos a los interesados afectados. Como se puede observar, el resultado indica que Iberia “debería comunicar la brecha de seguridad a los afectados”. (…) Como hemos indicado en el punto anterior, el atacante podría, haciendo uso de los datos de carácter personal comprometidos: (
15. i)tratar de realizar cambios en los billetes de los usuarios; (
16. ii)usurpar la identidad de los interesados afectados; o (iii) realizar campañas de phishing o spamming. Si bien Iberia considera que, para poder llevar a cabo las anteriores acciones, el atacante tendría que haber podido exfiltrar la información comprometida y a fecha de emisión de este Informe no se cuenta con evidencias de ello, Iberia ha procedido a implementar medidas de mitigación y remediación ulteriores que garantizan que ya no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/74 exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades de los interesados identificado”. Además de las medidas reactivas adoptadas con posterioridad al ataque que se señalaron previamente, (…). Por todo lo anterior, Iberia considera que ha implementado suficientes medidas para garantizar que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades de los interesados afectados y que, por tanto, a día de hoy no es necesario realizar la comunicación descrita en el artículo 34 del RGPD. (…)” En el Anexo 2 “RESULTADO DE LA HERRAMIENTA COMUNICA-BRECHA RGPD PUBLICADA POR LA AEPD PARA ASISTIR A LOS RESPONSABLES DEL TRATAMIENTO A VALORAR LA NECESIDAD DE COMUNICACIÓN DE LA BRECHA A LOS INTERESADOS” de este Documento número 5, puede verse: “Resultado Según los datos facilitados, DEBERÍA COMUNICAR LA BRECHA DE SEGURIDAD A LOS AFECTADOS conforme al art. 34 del RGPD al apreciarse que puede existir un riesgo alto o muy alto para los derechos y libertades de los sujetos afectados por la brecha de seguridad. (…)” A continuación, en el citado Documento número 5 se incluye un “ANEXO AL ANÁLISIS DE LA NECESIDAD DE NOTIFICACIÓN DEL INCIDENTE DE SEGURIDAD A LOS INTERESADOS AFECTADOS, elaborado por ***COMPAÑÍA.2 el 26 de mayo de 2023, en el que se indica, tras reproducir la información contenida en el informe forense antes señalado, concluye: “Tras la implementación de las anteriores medidas, el atacante ya no podría explotar los datos exfiltrados ni, por ende, hacer que se materializasen la mayoría de las posibles consecuencias para los interesados identificadas en el Informe (cambios en los billetes o usurpación de identidad). Por todo lo anterior, Iberia considera que implementó suficientes medidas para garantizar que ya no exista la probabilidad de que se concrete el alto riesgo para los derechos y libertades de los interesados afectados y que, por tanto, no es necesario realizar la comunicación descrita en el artículo 34 del RGPD. En conclusión, Iberia considera que las conclusiones iniciales del Informe permanecerían inalteradas y que, por tanto, no es necesario realizar la comunicación descrita en el artículo 34 del RGPD.” Respecto del contrato de encargado del tratamiento Junto a su escrito de 10 de abril de 2024, IBERIA ha aportado, como Documento número 6, copia del contrato de encargado del tratamiento, actuando (…) en calidad de responsable del tratamiento y (...) como encargado del tratamiento. Este contrato está fechado el ***FECHA.1, con una duración inicial de (…). En este contrato, se estipulan, entre otros aspectos: - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/74 - (...). - (...). (…). - (…). - (…). - (…). Respecto de las medidas de seguridad implantadas En relación a la seguridad de los tratamientos de los datos afectados por la violación de la seguridad de los datos, indica IBERIA en su escrito de 10 de abril de 2024 que: (
17. i)Se adjunta, como Documento número 9, copia del análisis de riesgos realizado por IBERIA sobre el tratamiento que fue objeto de la violación de la seguridad, y como Documento número 10, copia de la Evaluación de Impacto en la Privacidad (“PIA”) realizada por IBERIA sobre dicho mismo tratamiento. El Documento número 9 lleva por encabezado “(…)” y refleja el siguiente contenido: (…) (…) (…) (…) (…) (…) (…) (…) 7.3 (…) 7.4 (…) 7.5 (…) 7.6 (…) 7.7 (…) El Documento número 10 lleva por encabezado “(…)” y refleja el siguiente contenido: (…) (…) (…) (…) (…) (…) (…) (…) 7.3 (…) 7.4 (…) 7.5 (…) 7.6 (…) 7.7 (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/74 Respecto de las medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido, de acuerdo con las declaraciones de IBERIA en su escrito de 10 de abril de 2024, éstas eran: - (…). - (…). - (....). - (…). - (…). - (…). En el citado escrito se incluyen capturas de pantalla como, a su juicio, evidencias de la implementación de dichas medidas: • (…) • (…) • (…) • (…) Respecto de las medidas de seguridad implementadas sobre los nombres de usuario y contraseñas (...), IBERIA señaló lo siguiente en su escrito de 10 de abril de 2024: “(…). (...). (…)”. En cuanto al motivo por el cual las medidas de seguridad implantadas no han impedido el incidente, de acuerdo con las declaraciones de IBERIA de su escrito de 10 de abril de 2024: “(…). (…).” Respecto a las medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido, de acuerdo con las declaraciones de IBERIA de su escrito de 10 de abril de 2024: “ (...).” (…). (…): - (...). - (...). - (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/74 - (...). - (....)” Junto a su escrito de 10 de abril de 2024 IBERIA aporta como Documento número 11 un intercambio de correos electrónicos entre IAG y (...), fechados entre el 25 de enero y el 1 de febrero de 2024, con el asunto: “(…) - Estado de los tickets de seguridad a largo plazo a 25 de enero de 2024”, en los que se comunican para informar sobre la implementación de las medidas de seguridad. También se aporta como Documento número 12 un un intercambio de correos electrónicos entre IAG y (...), fechados entre el 16 de octubre de 2023 y el 22 de marzo de 2024, con el asunto: “(…).”, en los que se solicita a (...) responder a un cuestionario de seguridad de la información. Sobre la dilación en notificar la afectación a datos personales de esta brecha de seguridad (esto se comunicó el 8 de junio de 2023) desde la comunicación inicial de la posible brecha a la Agencia Española de Protección de Datos (esto se comunicó el día 23 de febrero de 2023) Indica IBERIA que en dicha comunicación inicial “Iberia indicó que “según las primeras investigaciones realizadas por el encargado del tratamiento, parece que un atacante externo ha podido acceder al servidor que aloja la base de datos indicada anteriormente. Por el momento no se tiene confirmación sobre qué datos se han visto afectados (si es que se ha visto afectado alguno), ni si se han extraído datos de los servidores del encargado”. Sin perjuicio de que, tal y como se indicaba en la notificación, Iberia no tenía evidencias (por no haber sido las mismas facilitadas por (...)) de que los datos de su responsabilidad se habían visto afectados por el incidente, procedió a comunicar el mismo a la AEPD de manera proactiva y diligente mientras esperaba la finalización de los análisis forenses que estaba llevando a cabo (...). En fecha 11 de abril de 2023 y aunque (...) todavía no había finalizado las labores forenses de investigación del incidente, Iberia procedió a dar cumplimiento a su obligación de actualizar a la AEPD respecto del incidente en el plazo de 30 días desde la notificación inicial, indicando que en cuanto se dispusiese de las conclusiones definitivas del informe forense, se las haría llegar a esta Agencia. Es durante los últimos días de la investigación, en fecha 24 de mayo de 2023, que la Delegada de Protección de Datos de Iberia recibe una notificación de la AEPD vía correo electrónico (adjunta a este escrito como Documento número 13), a través de la cual la Agencia le solicita a Iberia que le confirme si finalmente el incidente ha tenido impacto sobre datos de carácter personal responsabilidad de Iberia. Un día después, en fecha 25 de mayo de 2023 (tal y como ha quedado acreditado en la alegación primera de este escrito), ***COMPAÑÍA.1 finaliza las labores forenses y de investigación del incidente encargadas por (...) y le traslada a Iberia las conclusiones de sus análisis. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/74 Dado que, … el informe de (...) no contiene detalles específicos del impacto que el incidente tuvo sobre datos de carácter personal responsabilidad de Iberia (p. ej., número de interesados afectados por compañía del Grupo IAG, número de datos afectados por cada categoría de datos, etc.), la Sociedad necesitó varios días para recabar esta información, insistiendo a (...) para que se la facilitase a la mayor brevedad. Diligentemente, y tras finalizar las averiguaciones sobre el impacto exacto que la violación de la seguridad de los datos sufrida por (...) había tenido sobre datos de carácter personal responsabilidad de Iberia, ésta da respuesta al correo electrónico de la AEPD en fecha 7 de junio de 2023 (también por correo electrónico). Un día más tarde, en fecha 8 de junio de 2023, la AEPD se vuelve a poner en contacto con lberia para indicarle que, en lugar de responder a través de correo electrónico, debe realizar una nueva notificación de violación de la seguridad de los datos a través del formulario habilitado en la Sede Electrónica de la AEPD. Una vez más, de la manera más diligente posible y mostrando total cooperación con esta Agencia, Iberia atiende la solicitud de la AEPD y, ese mismo día (8 de junio de 2023), presenta una notificación completa de violación de la seguridad de los datos ante la AEPD, actualizando las dos anteriores. Tal y como se puede observar, por tanto, la única razón de la dilación a la hora de actualizar a la AEPD respecto del incidente es el hecho de que las investigaciones forenses realizadas por (...) (con la ayuda de ***COMPAÑÍA.1) no habían finalizado. En cuanto lo hicieron e Iberia pudo obtener detalles suficientes sobre el impacto de la violación en los datos personales de su responsabilidad, actualizó a la AEPD siguiendo los procedimientos indicados por esta Agencia para ello. En cualquier caso, como se desprende de lo anterior, Iberia ya había facilitado a la AEPD, con la mayor diligencia posible, información relevante sobre el incidente en fecha 23 de febrero de 2023, incluso antes de conocer el alcance completo de la violación de la seguridad de los datos.” Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo IBERIA ha indicado que: “Iberia no tiene conocimiento de ningún incidente o violación de la seguridad de los datos que se haya producido con posterioridad a la ya notificada a la AEPD y no ha recibido, hasta la fecha, reclamación o solicitud alguna de interesados en relación esta violación de la seguridad de los datos. La Sociedad tampoco ha identificado ninguna publicación o divulgación no autorizada de los datos personales objeto de la violación de la seguridad de los datos sufrida por (...).” 2.- El 27 de septiembre de 2024 se ha realizado una búsqueda de la información disponible sobre la vulnerabilidad (...) ese mismo día obteniendo, entre otra, la siguiente información: - (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/74 - (…). 3.- El 30 de septiembre de 2024 se ha realizado una búsqueda de la información disponible sobre la vulnerabilidad (...) ese mismo día obteniendo, entre otra, la siguiente información: - (…). - (…). 4.- El 9 de octubre de 2024 se ha realizado una navegación en el sitio web ***URL.1, y se ha accedido a la política de privacidad (…) obteniendo, entre otra, la siguiente información: - En la sección “DATA CONTROLLER, DATA CONTROLLER’S REPRESENTATIVE” [Traducción no oficial: “RESPONSABLE DE LOS DATOS, REPRESENTANTE DEL RESPONSABLE DE LOS DATOS”] se indica que existe una tabla en la que se muestra qué empresa del grupo es la responsable del tratamiento según la finalidad del mismo, y, respecto a las finalidades “(…).” - La compañía (...) con más responsabilidades en la política de privacidad y a la que hay que dirigirse en el caso de querer contactar con las compañías del grupo que no aparezcan citadas expresamente en la política de privacidad es (...). CUARTO: De acuerdo con el informe recogido el 2 de diciembre de 2025 de la herramienta AXESOR, la entidad IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA es una empresa constituida en el año 2009, y con un volumen de negocios de 6.705.000.000 € en 2024. QUINTO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada cuestión el día 22 de marzo de 2024. El traslado de esta notificación a los Estados Miembro se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que IBERIA tiene su establecimiento principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúan en calidad de “autoridad de control interesada” las autoridades de protección de datos de Suecia, Bélgica, Países Bajos, Austria, Francia, Dinamarca, Portugal, Luxemburgo, Italia y las autoridades alemanas de Baja Sajonia, Baden Wurtemberg, Renania- Palatinado, Baviera, Berlín y Hesse. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/74 SEXTO: Con fecha 17 de diciembre de 2024, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 19 de diciembre de 2024 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.5 de la LOPDGDD. Dentro del plazo concedido a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. SÉPTIMO: Con fecha 21 de enero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.
18. f)del RGPD, tipificada en el artículo 83.5 del RGPD, y por la presunta infracción del artículo 32 del RGPD y artículo 34 del RGPD, tipificadas en el artículo 83.4 del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, el 12 de febrero de 2025 IBERIA presentó escrito de alegaciones en el que, en síntesis, alegaba: Primera.- La improcedencia de la sanción propuesta por la presunta infracción del artículo 5.1
19. f)del RGPD Segunda.- La improcedencia de la sanción impuesta por la presunta infracción del artículo 32 del RGPD Tercera.- La concurrencia de infracciones del artículo 5.1
20. f)del RGPD y 32 del RGPD Cuarta.- La improcedencia de la sanción impuesta por presunta infracción del artículo 34 del RGPD Quinta.- La falta de proporcionalidad en la graduación de la sanción impuesta a IBERIA Junto a este escrito se aportaba: - Documento número 1: informes de las auditorías que ***COMPAÑÍA.1 realizó sobre (...) en relación con su sistema de gestión de programas de fidelización, con el título “Informe sobre la descripción, diseño y eficacia operativa de controles de una organización de servicios para el período del 1 de diciembre de 2019 al 30 de noviembre de 2020 (...)” (en inglés el original, traducción al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/74 - - - - - - - - - - español aportada por IBERIA el 5 de marzo de 2025). De fecha 31 de diciembre de 2020, con firma manuscrita. Documento número 2: informes de las auditorías que ***COMPAÑÍA.1 realizó sobre (...) en relación con sus servicios de hosting dedicado, con el título “Informe sobre la descripción, diseño y eficacia operativa de controles de una organización de servicios para el período: 1 de enero de 2020 a 31 de diciembre de 2020 (…)” (en inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025). De fecha 8 de febrero de 2021, con firma manuscrita. Documento número 3: cuestionario de seguridad para proveedores de IAG que indican ha completado (...), con el título “Lista de comprobación de la seguridad de la información de terceros” (en inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025). Versión 6-02 de Diciembre 2020. Sin firma. Documento número 4: cuestionario para la revisión de proveedores de servicios SaaS que indican ha completado (...) con el título “Lista de comprobación del “software como servicio” (SaaS) de terceros” (en inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025). Sin fecha ni firma. Documento número 5: Protocolos de seguridad de (...) de su centro de datos, con el título “Anexo 12 Normas de seguridad de (…)” (en inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025). Sin fecha ni firma. Documento número 6: certificado de (...) en ISO 27001, de fecha 16/06/2015, válido desde el 16/06/2015 al 15/06/2018. Documento número 7: Cuestionario de preguntas adicionales de IBERIA a (...) con el título “Elementos adicionales que debe proporcionar (...)” (en inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025). Sin fecha ni firma. Documento número 8: evaluación de IBERIA de riesgos de terceros a través de la herramienta ***APLICACIÓN.1, para (...), con fecha de creación del documento 11 de enero de 2023. Sin firma. En inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025 Documento número 9: evaluación inicial realizada por IBERIA del riesgo de (...). Con fecha de creación 11/01/2023 y fecha de última modificación 24/01/2025. Sin firma. En inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025 Documento número 10: metodología general de IBERIA para la realización de análisis de riesgos y EIPDs, con el título “Guía de gestión del riesgo” de fecha 5 de mayo de 2023. Sin firmar. Documento número 11: anexo de la metodología para la realización de análisis de riesgos y EIPDs, con el título “Anexo 1- EVALUACIÓN DE IMPACTO SOBRE LA PROTECCIÓN DE DATOS”, versión nº 6 de fecha 5 de mayo de 2023. Sin firmar. Documento número 12: esquema que resume gráficamente el procedimiento seguido en IBERIA para actualizar o documentar nuevas actividades del tratamiento, con el título “Gestión de tratamientos y realización de análisis de impacto sobre la privacidad”, versión 2 de fecha 11/12/2023. Sin firmar. Documento número 13: documento con el título “Gestión del programa (…)”. Sin fecha ni firma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/74 - Documento número 14: Informe interno de (...) con el título “Normas de acceso remoto” (en inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025), (…). Documento número 15: impresión con fecha 04/02/2025 de las conversaciones mantenidas con (...) a través de la plataforma (…) con referencia (…)Interrupción imprevista de servicio en portales de (...)”, creado el 25/08/2022 y resuelto el 01/09/2022. NOVENO: Con fecha 5 de marzo de 2025, IBERIA presentó un escrito en el que aportaba la traducción al español de los documentos presentados en inglés el 12 de febrero de 2025, traducción realizada el 27/02/2025 por C.C.C. (…). DÉCIMO: Con fecha 3 de diciembre de 2025, la AEPD adoptó un proyecto de propuesta de resolución de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, al día siguiente se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. UNDÉCIMO: Con fecha 2 de enero de 2026, el órgano instructor del procedimiento dictó propuesta de resolución en la que se proponía, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP: “Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA, con NIF A85850394, por una infracción del artículo 5.1.
21. f)y artículo 34 del RGPD, tipificada en el artículo 83.5 del RGPD y artículo 83.4 del RGPD, respectivamente, con una multa de 800.000,00 € (ochocientos mil euros) y 240.000€ (doscientos cuarenta mil euros). Lo que arroja un total de 1.040.000 € (un millón cuarenta mil euros). Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA, con NIF A85850394, que en virtud del artículo 58.2.
22. d)del RGPD, en el plazo máximo de SEIS MESES, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber procedido al cumplimiento de: - Acreditar la adopción de medidas de seguridad de carácter técnico y organizativo adecuadas al riesgo del tratamiento de datos personales que se realizan. - Acreditar la comunicación a los interesados de las violaciones de seguridad de los datos personales.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/74 Esta propuesta de resolución, que se notificó a IBERIA conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 5 de enero de 2026, como consta en el acuse de recibo que obra en el expediente. DUODÉCIMO: Con fecha 27 de enero de 2026, se recibe en esta Agencia, en tiempo y forma, escrito de IBERIA en el que aduce alegaciones a la propuesta de resolución. En estas alegaciones, en síntesis, manifestaba que: - No procede sanción por la infracción del artículo 5.1.
23. f)del RGPD. No procede sanción por la infracción del artículo 34 del RGPD. La infracción del artículo 34 del RGPD está prescrita. La sanción a IBERIA no ha sido debidamente graduada. DÉCIMO TERCERO: Con fecha 3 de febrero de 2026, la AEPD adoptó un proyecto de resolución de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, al día siguiente se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha ***FECHA.1 (…) en calidad de responsable del tratamiento y (...) como encargado del tratamiento firmaron contrato de encargo de tratamiento de datos personales. Este contrato prevé una duración inicial de (…). En este contrato, se estipulan, entre otros aspectos (Documento número 6 del escrito de IBERIA de 10/04/2024): “(…).” Para ello, “(...)”. Asimismo, el contrato contenía especificaciones con respecto al cumplimiento de los requisitos de los servicios de hosting, mantenimiento y soporte y operativos: “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/74 En relación con los posibles subencargados del tratamiento, el mencionado contrato señalaba lo siguiente: “(…)”. De igual forma, se establecía que “(…)”. SEGUNDO: El 26 de noviembre de 2020 IBERIA creó o actualizó el tratamiento relativo a la gestión del programa (...) y creó una plantilla Pre-PIA y una plantilla PIA, de acuerdo con el documento titulado “Gestión del programa (…)” en las que se agregó a cada una un riesgo de nivel bajo, un riesgo de nivel medio y un riesgo de nivel alto. TERCERO: En diciembre de 2020 se elaboró el Documento “Lista de comprobación de la seguridad de la información de terceros”, que se aportó junto al escrito de alegaciones al acuerdo de inicio del presente procedimiento como Documento número 3, en el que podía verse (en inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025) un cuestionario de preguntas como: “(…). (…). (…). (…) (…) (…) (…) (…)”. No obstante, en el citado documento no consta completado los apartados relativos a “nombre del proveedor”, “representante del proveedor” ni “fecha de cumplimentación del cuestionario”. CUARTO: El 24 de junio de 2022 entró en vigor el documento de (...) con el título “Normas de acceso remoto” (en inglés el original aportado como Documento 14 del escrito de alegaciones al acuerdo de inicio, traducción al español aportada por IBERIA el 5 de marzo de 2025), versión 2.44, en el que puede verse, entre otros: “(…) (…):  (…)  (...). (…).” QUINTO: Del 1 al 8 de enero de 2023, según manifestó IBERIA en su escrito de 10/04/2024, (…). SEXTO: El 8 de enero de 2023, (…). SÉPTIMO: El 10 de enero de 2023, según manifestó IBERIA en su escrito de 10/04/2024, (…). Según consta en el Documento número 1 del escrito de IBERIA de 10/04/2024: “(...)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/74 OCTAVO: El 11 de enero de 2023 IBERIA creó el documento de evaluación de riesgos de terceros a través de la herramienta ***APLICACIÓN.1, para (...), documento que se aportó junto al escrito de alegaciones al acuerdo de inicio del presente procedimiento como Documento número 8, en el que podía verse (en inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025): “Nombre: (...) Organización: Gestión del riesgo de terceros (…) (…) Criticidad: Crítica (…) Fecha de creación: 11/01/2023 (…) Descripción: (…)” NOVENO: El 11 de enero de 2023 IBERIA creó el documento de evaluación inicial del riesgo de (...), que se aportó junto al escrito de alegaciones al acuerdo de inicio del presente procedimiento como Documento número 9, en el que podía verse (en inglés el original, traducción al español aportada por IBERIA el 5 de marzo de 2025): “*Denominación: (...) *Organización: Gestión del riesgo de terceros (…) (…) Calificación de proveedor: B-Buena (posición de seguridad validada por una entidad independiente) Criticidad: Crítica (…) Fecha de creación: 11/01/2023 (…) Fecha de última modificación: 24/01/25 (…) Puntuación de RiskRecon: 7,9 Grado de RiskRecon: B Fecha de actualización de RiskRecon 16/12/2024” DÉCIMO: El ataque tuvo como vector de entrada dos vulnerabilidades (...) y (...): Vulnerabilidad (...) (…) Vulnerabilidad (...): (…) UNDÉCIMO El 11 de enero de 2023 se produce el “(...)”, según consta en el Documento número 1 del escrito de IBERIA de 10/04/2024. DUODÉCIMO: Del 11 al 13 de enero de 2023 (…). Según consta en el Documento número 1 del escrito de 10/04/2024: “(…)”. DÉCIMO TERCERO: El 14 de febrero de 2023 (…). Según consta en el Documento número 1 del escrito de 10/04/2024, se produce: “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/74 DÉCIMO CUARTO: El 15 de febrero de 2023 (...). Según consta en el Documento número 1 del escrito de 10/0472024, la cronología sería la siguiente: “(…)”. DÉCIMO QUINTO: El 15, 16, 19 y 20 de febrero de 2023 (…). (...). Según consta en el Documento número 1 del escrito de 10/04/2024, el 16 de febrero de 2023 se produce un “(…)”. El 19 de febrero de 2023 (…). Finalmente, el 20 de febrero de 2023 (…). La cronología concreta fue la siguiente: El 20 de febrero de 2023 a las 12:49 CET, (...). El 20 de febrero de 2023 a las 12:57 CET, (…). El 20 de febrero de 2023 a las 13:18 CET, (...). El 20 de febrero de 2023 a las 14:30 CET, (...). El 20 de febrero de 2023 a las 14:56 CET, (...). El 20 de febrero de 2023 a las 16:00 CET, (…). De acuerdo con lo confirmado por IBERIA (…). (…): ■ (…) ■ (…) ■ (…) ■ (…). (…): ■ (…) ■ (…). (…): ■ (…) En resumen, los datos afectados por esta vulneración (…). (…): ■ (…), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/74 ■ (…), ■ (…), ■ (…), ■ (…). DÉCIMO SEXTO: El 20 de febrero de 2023 IAG recibió un correo electrónico de (...) en el que se menciona (Documento número 7 del escrito de IBERIA de 10/04/2024): “Estimados todos: Siguiendo el procedimiento (…), por la presente informamos sobre el incidente de acceso no autorizado a los datos de clientes por partes no autorizadas. (…). Sospechamos que podrían haberse visto afectados datos personales de los usuarios del sistema (administradores de las empresas), como el nombre de usuario, la dirección de correo electrónico, el nombre, los apellidos y la contraseña cifrada. El número total de usuarios no anonimizados es de unos (…) registros. (…). (…) DÉCIMO SÉPTIMO: Con fecha 21 de febrero de 2023 (…). DÉCIMO OCTAVO: El 23 de febrero de 2023 (...) respondió al correo previamente remitido por IAG en el siguiente sentido: (Documento número 8 del escrito de IBERIA de 10/04/2024): “Asunto: RE: Preguntas para (...) Hola, A.A.A.: Te paso a continuación nuestras respuestas. Saludos, B.B.B. 1. ¿Ha afectado este incidente a algún otro cliente (...)? No afecta a ningún otro cliente (...). 2. (…) 3. (…) b. ¿Tienen pruebas de que la totalidad o parte de los datos a los que se ha accedido se filtraron de su sistema (u otras razones que demuestren que se filtraron o era probable que se filtraran)? Por el momento, no es posible confirmar a qué parte de los datos se ha accedido. 4. ¿Sigue siendo cierto que no se ha visto afectada ninguna otra base de datos? Este incidente solo ha afectado a la base de datos relacionada con (...). 5. ¿De qué medidas preventivas disponían para detectar y evitar un ataque de este tipo? Esto formará parte del Informe de Incidentes que se está preparando ahora mismo. Enviaremos el borrador el viernes a última hora.” DÉCIMO NOVENO: El 23 de febrero de 2023, IBERIA realizó una notificación inicial de brecha de datos personales ante esta Agencia, en la que indicó: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/74 - “El 20 de febrero de 2023 un prestador de servicios de Iberia (encargado del tratamiento) se puso en contacto con la compañía para informar de un incidente de seguridad (…).” - Número aproximado de afectados: (...) - El tratamiento sobre el que se ha producido la brecha incluye datos de personas: En más de un Estado miembro y a terceros países - El incidente ha sido Intencionado, para hacer daño al responsable / encargado o a las personas afectadas - El origen del incidente ha sido: Externo - ¿Qué puede haber ocurrido?: Ciberincidente: Acceso no autorizado a datos en sistema de información (corporativo o servicio en internet) - Como consecuencia del incidente, se ha visto afectada la: Confidencialidad - Referido específicamente a los datos afectados por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? No - ¿Qué puede haber ocurrido?: Usurpación de identidad, Ser víctima de campañas de phishing / spamming - ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas? Las personas no se verán afectadas o pueden encontrar algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema (tiempo de reingreso de información, molestias, irritaciones, etc.) - A fecha de esta notificación, ¿tiene constancia de que se hayan materializado alguno de los daños identificados, con el grado indicado en la cuestión anterior? No - Como valora la probabilidad de que el daño anterior se materialice sobre las personas afectadas con la severidad indicada: Improbable - Tipos de datos afectados: Datos básicos (…) - Las personas afectadas tienen los siguientes perfiles: Usuarios, Empleados - ¿Hay personas afectadas por la brecha en otros estados miembro de la UE? Desconocido - Información temporal de la brecha Indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales: 20/02/2023 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/74 - ¿Conoce la fecha en la que se inició la brecha?: Aproximadamente / Estimada - Indique la fecha de inicio de la brecha: 15/02/2023 - La brecha se ha detectado mediante: La advertencia de un miembro de la organización del responsable o el encargado - Marque las medidas de seguridad implementadas en la organización antes del suceso de la brecha: (…) - ¿Se podría haber evitado la brecha adoptando alguna medida de seguridad adicional?: No - ¿Se ha producido el incidente por algún fallo deficiencia o incumplimiento de medidas de seguridad implementadas?: No - ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas?: Pendiente de decidir - ¿Hay implicado un encargado de tratamiento en la brecha de datos personales?:Si. (...)” VIGÉSIMO: El 17 de marzo de 2023 una entidad externa realizó un “ANÁLISIS PRELIMINAR DE LA NECESIDAD DE NOTIFICACIÓN DEL INCIDENTE DE SEGURIDAD A LOS INTERESADOS AFECTADOS” (Documento número 5 del escrito de IBERIA de 10/04/2024), en el que se indica: “(…) (
24. i)El nivel de severidad de las consecuencias para los interesados afectados y la probabilidad de que se materialicen dichas consecuencias: El nivel de severidad del Incidente podría ser clasificado como “Bajo” en los términos de la Guía de la AEPD ya que los interesados no se verán afectados o encontrarán algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema. (…) En cuanto a la probabilidad de que se materialicen las consecuencias anteriores, Iberia considera que es “Improbable” que lo hagan, puesto que, a fecha de emisión del Informe: (
25. i)Iberia puede garantizar que no pueden materializarse las consecuencias descritas anteriormente; y (
26. ii)no se ha recibido reclamación alguna por parte de los interesados afectados. (…) (
27. iv)Naturaleza, sensibilidad y categorías de datos personales afectados: Los datos de carácter personal comprometidos incluyen (...). Tal y como se puede observar, los datos comprometidos son, en su mayoría, datos personales que no tienen potencial de causar efectos adversos significativos sobre los derechos y libertades de los interesados y los datos afectados no son especialmente sensibles. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/74 (
28. v)Datos legibles/ilegibles: Los datos de carácter personal comprometidos son legibles para el atacante (los datos no se encontraban encriptados ni se encontraban protegidos por sistemas de pseudonimización), pero desde Iberia no se han obtenido evidencias de exfiltración de los datos por parte del atacante, por lo que su posterior explotación se hace muy improbable. (
29. vi)Facilidad de identificación de individuos: El hecho de que respecto de los usuarios afectados no se hayan comprometido números de identificación únicos (por ejemplo, números de pasaporte, números de DNI, números de seguridad social, etc.) reduce en gran medida la capacidad del atacante de identificar a individuos únicos a través de los datos comprometidos. (vii) Características especiales de los individuos: Ninguno de los datos de carácter personal comprometidos se enmarcaría dentro de las categorías especiales de datos del artículo 9 del RGPD, por lo que no permitiría al atacante conocer características especiales de los usuarios afectados. (viii)El perfil de los usuarios afectados: Todos los interesados afectados son empleados de Iberia y representantes de clientes de Iberia que son personas jurídicas, por lo que no ha afectado a clientes finales de Iberia que no sean personas jurídicas, a menores o a colectivos vulnerables (p.ej. supervivientes de violencia de género o en riesgo de exclusión social). (…) Como hemos indicado en el punto anterior, el atacante podría, haciendo uso de los datos de carácter personal comprometidos: (
30. i)tratar de realizar cambios en los billetes de los usuarios; (
31. ii)usurpar la identidad de los interesados afectados; o (iii) realizar campañas de phishing o spamming. Si bien Iberia considera que, para poder llevar a cabo las anteriores acciones, el atacante tendría que haber podido exfiltrar la información comprometida y a fecha de emisión de este Informe no se cuenta con evidencias de ello, Iberia ha procedido a implementar medidas de mitigación y remediación ulteriores que garantizan que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades de los interesados identificado. (…). (…). (…). En el Anexo 2 “RESULTADO DE LA HERRAMIENTA COMUNICA-BRECHA RGPD PUBLICADA POR LA AEPD PARA ASISTIR A LOS RESPONSABLES DEL TRATAMIENTO A VALORAR LA NECESIDAD DE COMUNICACIÓN DE LA BRECHA A LOS INTERESADOS” de este Documento, puede verse: “Resultado Según los datos facilitados, DEBERÍA COMUNICAR LA BRECHA DE SEGURIDAD A LOS AFECTADOS conforme al art. 34 del RGPD al apreciarse que puede existir un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/74 riesgo alto o muy alto para los derechos y libertades de los sujetos afectados por la brecha de seguridad. (…)” A continuación, en el citado Documento se incluye un “ANEXO AL ANÁLISIS DE LA NECESIDAD DE NOTIFICACIÓN DEL INCIDENTE DE SEGURIDAD A LOS INTERESADOS AFECTADOS, elaborado por ***COMPAÑÍA.2 el 26 de mayo de 2023, en el que se indica: “Aunque, en un primer momento, no se contaba con evidencias suficientes para determinar qué datos se habían visto afectados y si se habían extraído datos de los servidores de (...) responsabilidad de Iberia, en fecha 25 de mayo de 2023 Iberia recibió el correspondiente informe forense elaborado por ***COMPAÑÍA.1 a petición de (...), el cual determinaba que el incidente: (
32. i)implicó el acceso y exfiltración de datos personales responsabilidad de Iberia (brecha de confidencialidad); afectó a las siguientes categorías de datos responsabilidad de Iberia: (
33. a)datos (…). afectó a las siguientes categorías de interesados: (
34. a)empleados de Iberia; y (
35. b)representantes de clientes personas jurídicas de Iberia (…); y (
36. iv)afectó, en total, a (...) interesados.” (
37. ii)(iii) (
38. iv)Tras reseñar de nuevo las medidas adoptadas por IBERIA tras el incidente, el informe concluye: “Tras la implementación de las anteriores medidas, el atacante ya no podría explotar los datos exfiltrados ni, por ende, hacer que se materializasen la mayoría de las posibles consecuencias para los interesados identificadas en el Informe (cambios en los billetes o usurpación de identidad). Por todo lo anterior, Iberia considera que implementó suficientes medidas para garantizar que ya no exista la probabilidad de que se concrete el alto riesgo para los derechos y libertades de los interesados afectados y que, por tanto, no es necesario realizar la comunicación descrita en el artículo 34 del RGPD. En conclusión, Iberia considera que las conclusiones iniciales del Informe permanecerían inalteradas y que, por tanto, no es necesario realizar la comunicación descrita en el artículo 34 del RGPD.” VIGÉSIMO PRIMERO: El 11 de abril de 2023 IBERIA presentó un escrito de modificación de notificación anterior a esta Agencia de brecha de datos personales, en el que señalaba que la investigación estaba en curso e indicaba lo siguiente: - “Tipos de datos afectados: Datos básicos ((…)). - “¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? No serán informados” - “Las personas afectadas no serán informadas porque: No existe un riesgo alto para sus derechos y libertades” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/74 VIGÉSIMO SEGUNDO: El 8 de junio de 2023, IBERIA informó a esta Agencia lo siguiente: - “Les escribimos (…) en relación a la brecha de datos personales (…) relativa a un incidente de ciberseguridad sufrido por un encargado del tratamiento de Iberia Líneas Aéreas de España, S.A. Operadora S.U. (Iberia); en concreto, (...). Tras los oportunos análisis forenses realizados por (...), los cuales han finalizado en fecha 25 de mayo de 2023, (...) ha confirmado que el incidente: 1. Implicó el acceso y exfiltración de datos personales responsabilidad de Iberia (brecha de confidencialidad); 2. (…); y (
39. iv)otros datos (datos de vuelos y números de billete); 3. Afectó a las siguientes categorías de interesados: (
40. i)empleados de Iberia; y (
41. ii)representantes de clientes personas jurídicas de Iberia (…); y 4. Afectó, en total, a (...) interesados.” - “¿Hay personas afectadas por la brecha en otros estados miembro de la UE?: Si” - “Estados afectados: Alemania

(203)- Austria

(45)- Bélgica

(87)- Dinamarca

(10)- Francia

(292)- Italia

(804)- Países Bajos

(34)- Portugal

(595)- Suecia

(11)” - “Indique la fecha en la que se dio por resuelta la brecha: 25/05/2023” VIGÉSIMO TERCERO: El 28 de noviembre de 2023 (…), según ha manifestado IBERIA en su escrito de 10/04/2024. VIGÉSIMO CUARTO: El 10 de abril de 2024, IBERIA informa a esta AEPD de su decisión de no realizar comunicación de la brecha a los interesados, en los siguientes términos: “Iberia, tras los correspondientes análisis, decidió que no era necesario remitir, a los interesados afectados, notificación alguna relativa a la violación de la seguridad de los datos de conformidad con el artículo 34 del RGPD. Esto fue así dado se llegó a la conclusión de que, de conformidad con el artículo 34.3 (

1. b)del RGPD, Iberia había implementado suficientes medidas posteriores a la violación para garantizar que ya no existiese la probabilidad de que se materializase un riesgo de grado alto para los derechos y libertades de los interesados.” VIGÉSIMO QUINTO: Respecto de las medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido, de acuerdo con las declaraciones de IBERIA en su escrito de 10 de abril de 2024, éstas eran: - (…). - (…). - (....). - (…). - (…). - (…). En el citado escrito se incluyen capturas de pantalla como evidencias de la implementación de dichas medidas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/74 • (…) • (…) • (…) • (…) Respecto de las medidas de seguridad implementadas sobre los nombres de usuario y contraseñas de (...), IBERIA señaló lo siguiente en su escrito de 10 de abril de 2024: (…). (...). (…). En cuanto al motivo por el cual las medidas de seguridad implantadas no han impedido el incidente, de acuerdo con las declaraciones de IBERIA de su escrito de 10 de abril de 2024: “(…). (…).” Respecto a las medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido, de acuerdo con las declaraciones de IBERIA de su escrito de 10 de abril de 2024: “(...).” (…). (…): - (…). - (....). - (…). - (…). - (...). - (....)” VIGÉSIMO SEXTO: Del 22 de febrero al 27 de noviembre de 2023 (…). Todo ello según ha manifestado IBERIA en su escrito de 10/04/2024. VIGÉSIMO SÉPTIMO: El 4 de febrero de 2025 desde (...) se envió un correo electrónico a IBERIA indicando que “(…)” (traducción no oficial, en inglés el original). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/74 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que IBERIA realiza, entre otros tratamientos afectados en el presente caso, la recogida y conservación de datos personales de personas físicas, tales como: nombre, apellidos, direcciones de email, direcciones postales y números de teléfono móvil. IBERIA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que IBERIA está establecida en España, si bien presta servicio a otros países de la Unión Europea y, en el presente caso, tal y como consta en antecedentes, se han visto afectados datos de ciudadanos de otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, IBERIA tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/74 III Alegaciones al acuerdo de inicio En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por IBERIA: Primera.- De la improcedencia de la sanción propuesta por la presunta infracción del artículo 5.1
2. f)del RGPD 1. Sobre la causa de la supuesta infracción Alega IBERIA que la AEPD parece obviar que los sistemas que se vieron comprometidos por los atacantes no fueron los propios de IBERIA, sobre los que esta tiene pleno control, sino los de uno de sus proveedores ((...)) en los que se alojaban datos responsabilidad de la Sociedad. Es por este hecho que, a juicio de IBERIA, resulta totalmente desproporcionada la sanción propuesta. Indica que achacar a IBERIA un incumplimiento del principio de confidencialidad de los datos por no verificar continuamente que todas y cada una de las herramientas de los cientos de proveedores que prestan servicios a IBERIA se encuentran totalmente parcheadas va mucho más allá de lo exigido por la normativa de protección de datos y de la diligencia debida que le corresponde a un responsable del tratamiento. De hecho, exigir a los responsables del tratamiento que lo hagan so pena de sanción resultaría en la imposición de una obligación completamente desproporcionada que requeriría que estos se viesen obligados a desarrollar e implementar sistemas de comprobación de actualización de vulnerabilidades casi automáticos en sistemas o herramientas de terceros (tarea que resulta, de acuerdo con el estado actual de la técnica, prácticamente imposible). Al respecto, esta Agencia desea señalar que en ningún momento se pretende que los responsables del tratamiento verifiquen que todas y cada una de las herramientas de los cientos de proveedores de IBERIA se encuentran totalmente parcheadas, pero no debe olvidarse que IBERIA como responsable del tratamiento es la responsable de que el tratamiento de datos personales de su titularidad se realicen en cumplimiento de la normativa aplicable, para lo cual debe arbitrar mecanismos para verificar que sus proveedores cumplen con lo exigido por dicha normativa. De hecho, no debe perderse de vista que el encargado de tratamiento actúa por cuenta del responsable del tratamiento, por lo que es el responsable del tratamiento quien debe garantizar que el tratamiento de datos se realice en cumplimiento de lo dispuesto por el artículo 5.1.
3. f)del RGPD, tal y como el citado artículo lo indica. Olvida por otro lado IBERIA que el ataque fue propiciado por la existencia de dos vulnerabilidades - (...) y (...)- que eran conocidas, respectivamente, desde el (…) 2019 y el (…) 2017, es decir, varios años antes de que el ataque se produjese. Vulnerabilidades que, por otro lado, contaban con parches también conocidos y que el éxito del ataque desvela como no implementados por el encargado del tratamiento cuya actuación debía ser supervisada por IBERIA. Así, desde (…) 2018 estaba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/74 disponible el parche aplicable a la primera de las vulnerabilidades y, desde (…) 2017, el de la segunda. Alega IBERIA que la normativa prevé, entre otros, dos mecanismos para garantizar el cumplimiento, por parte de los encargados del tratamiento, de la obligación de implementación de medidas de seguridad suficientes que garanticen el cumplimiento del principio de confidencialidad (artículo 5.1
4. f)del RGPD). Estas son: i la obligación de incluir, en el acuerdo de encargado del tratamiento suscrito entre responsable y encargado del tratamiento, la obligación del encargado de implementar todas las medidas que sean necesarias de conformidad con el artículo 32 del RGPD para garantizar la seguridad del tratamiento de datos, así como un listado de las medidas que el encargado debe implementar (artículo 28.3
5. c)del RGPD). Obligación que entiende cumplida con la cláusula 13.3 del acuerdo de encargo de tratamiento así como con el listado de medidas de seguridad que (...) debía implementar para garantizar la seguridad de los datos responsabilidad de IBERIA, entre las que se incluían: (…). ii la obligación de incluir, en el acuerdo de encargado del tratamiento suscrito entre responsable y encargado del tratamiento, la obligación del encargado de “poner a disposición del responsable, toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable” (artículo 28.3
6. h)del RGPD). Obligación que también entiende cumplida IBERIA, que señala que realiza comprobaciones periódicas sobre todos sus encargados del tratamiento de datos y prestadores de servicios de soluciones tecnológicas recurrentemente. Al respecto debe indicarse primeramente que el cumplimiento de las obligaciones contenidas en el RGPD no han de abordarse desde una perspectiva meramente formal, sino material: mediante la adopción de las medidas adecuadas al riesgo del tratamiento, circunstancia que implica su continua actualización en atención a la evolución de los desarrollos tecnológicos- y, en consecuencia, a la posibilidad real de que las medidas adoptadas un día puedan devenir obsoletas- y también mediante un adecuado análisis y valoración de las circunstancias conocidas por el responsable del tratamiento y que le sean proporcionadas por el encargado. Lo acaecido en los hechos de los que trae causa el presente procedimiento sancionador desvelan lo contrario. Sólo así se explica que la brecha acontecida tenga como origen vulnerabilidades detectadas, públicamente conocidas y con soluciones disponibles desde varios años antes de que se produjera. Alega IBERIA que llevó a cabo, antes de la brecha, varias tareas de comprobación y revisión del cumplimiento de las obligaciones contractuales pactadas, que demuestran su alto nivel de diligencia (al contrario de lo que indica la AEPD en su Acuerdo de Inicio) y su compromiso con la seguridad de los datos personales de sus clientes. Al efecto señala, por ejemplo, que conoció en 2021 los informes de las auditorías que ***COMPAÑÍA.1 realizó sobre (...) en relación con su sistema de gestión de programas de fidelización y sus servicios de hosting dedicado. Dichas auditorías concluyeron que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/74 los controles establecidos por (...) fueron diseñados adecuadamente y que proporcionaban una seguridad razonable (se adjunta a las alegaciones, como Documento número 2, copia de dicho informe). Por otro lado, alude IBERIA a la revisión de seguridad de los sistemas de (...) que realizó en diciembre de 2020. Dicha revisión se basó en un cuestionario que fue respondido por dicha entidad que, en respuestas a sus protocolos y medidas de parcheado de herramientas y sistemas, contestando éste que instalaba parches de seguridad de forma regular y que se auditaba la seguridad de sus sistemas de forma anual. Respecto de estas cuestiones alegadas por IBERIA cabe señalar, en primer lugar, que todas estas acciones tuvieron lugar bastante antes que se produjeran los hechos analizados en este procedimiento. Asimismo, pretender fundamentar su diligencia respecto de un encargado de tratamiento en las respuestas proporcionadas por este, sin ningún tipo de constatación fáctica adicional (máxime cuando, según los hechos probados, las cláusulas del contrato establecían la posibilidad de acceder directamente a los sistemas de (...), estando este obligado a prestar asistencia en el proceso) no puede sostenerse. En definitiva, ni conocer un informe de auditoría fechado casi 3 años antes del incidente, ni realizar una supervisión con base en un cuestionario a cumplimentar por el encargado, sin ninguna actividad comprobatoria adicional, pueden ser consideradas como acciones suficientes adoptadas por IBERIA en cumplimiento de sus obligaciones como responsable del tratamiento. En este punto, cabe señalar que la STS de 15 de febrero 2022 (Rec. 7359/2020) indica que “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso”. Y que, de conformidad con lo señalado en la SAN de 29 de octubre de 2024, rec. 1824/2021, el responsable del tratamiento tiene la obligación, respecto de sus encargados del tratamiento, de controlarlos, implantando todo tipo de sistemas y medidas de seguridad y monitoreo que verifiquen y demuestren el cumplimiento del RGPD: “tiene la obligación de controlar el tratamiento de sus colaboradores, implantando todo tipo de sistemas y medidas de seguridad y monitoreo que verifiquen el cumplimiento de sus instrucciones y el cumplimiento de la normativa de protección de datos, y en virtud del principio de responsabilidad proactiva (artículo 5.2 RGPD) ser capaz de demostrarlo”. En sus alegaciones se refiere también IBERIA a un proceso de evaluación de riesgos de terceros a través de la herramienta ***APLICACIÓN.1 el día 11 de enero de 2023; esto es, con anterioridad a que tuviese lugar la violación de la seguridad de los datos que ahora nos ocupa. Dicha evaluación: (
7. a)la nota de (...) en materia de rendimiento frente al riesgo de ciberseguridad era de 7,9 (en una escala de 0.0 a 10, siendo 10 la mejor calificación); y (
8. b)la nota sobre la postura de ciberseguridad de (...) era de B (en una escala de A a F, siendo A la mejor calificación). A este respecto se adjunta, como Documento número 9, copia de la evaluación inicial realizada por IBERIA). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/74 Al respecto, cabe señalar que el mencionado proceso comenzó casi en paralelo al comienzo del incidente cuya fecha de inicio, cabe recordar, se sitúa entre el 1 y el 8 de enero de 2023, cuando comenzaron las tareas de reconocimiento de la infraestructura de (...) por parte del atacante. Cabe destacar también que fue el 8 de enero de 2023 cuando, según ha quedado probado, (…). Resulta cuanto menos llamativo que justo al día siguiente IBERIA decidiese, aleatoriamente, iniciar un proceso de revisión. Un proceso del que no se aportan más detalle sobre su desarrollo ni sobre cómo se alcanzaron los resultados señalados. Unos resultados que, no obstante, y teniendo en la actividad que se venía produciendo desde días antes y que ya se estaba materializando en la forma de ejecución de diversos comandos web, serían cuanto menos cuestionables. Finalmente, cabe recordar que el Tribunal de Justicia de la Unión Europea (TJUE), en su sentencia de 14 de diciembre de 2023, asunto C-340/21 (VB), ha declarado que la carga de la prueba del cumplimiento de las obligaciones derivadas de los artículos 5, apartado 1, letra f), y 32 del RGPD corresponde al responsable del tratamiento, en virtud del principio enunciado en el artículo 5, apartado 2, del RGPD y desarrollado en su artículo 24. “49 A este respecto, procede recordar, en primer lugar, que el artículo 5, apartado 2, del RGPD establece un principio de responsabilidad en virtud del cual el responsable del tratamiento es responsable del respeto de los principios relativos al tratamiento de datos personales enunciados en el apartado 1 de ese artículo y estipula que este responsable debe ser capaz de demostrar la conformidad del tratamiento con dichos principios. 50 En particular, el responsable del tratamiento debe, de conformidad con los principios de integridad y de confidencialidad de los datos personales establecidos en el artículo 5, apartado 1, letra f), de dicho Reglamento, garantizar que estos datos son tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas y debe ser capaz de demostrar la conformidad con los referidos principios. 51 Asimismo, procede señalar que tanto el artículo 24, apartado 1, del RGPD, en relación con el considerando 74 de este, como el artículo 32, apartado 1, del mismo Reglamento obligan al responsable del tratamiento, para todo tratamiento de datos personales realizado por él mismo o por su cuenta, a aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento. 52 Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD se desprende inequívocamente que la carga de la prueba de que los datos personales se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C 60/22, EU: C:2023:373, apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartado 95].” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/74 Por todo lo expuesto, se desestima la presente alegación. 2. Vulneración del principio de tipicidad Alega IBERIA la vulneración del principio de tipicidad dado que considera que no se puede determinar con certeza suficiente cuál es la conducta que puede suponer un incumplimiento sería un caso de vulneración de aquel principio fundamental. Condición que, a su juicio, no se da en el artículo 5.1.
9. f)del RGPD, que establece un principio general que no tiene concreción específica mediante actos positivos o limitativos claros que el sujeto obligado pueda conocer y cumplir. Al contrario, entiende que utiliza conceptos jurídicos indeterminados de forma encadenada (“seguridad adecuada”, “medidas apropiadas”), que no permiten conocer de forma transparente el alcance de las obligaciones o prohibiciones. A su juicio, teniendo esto en consideración, debe especificarse claramente el motivo por el cual esos hechos son incardinables en el tipo redactado de forma poco taxativa. Circunstancia ésta que, en el Acuerdo de Inicio, no ha sido tenido en cuenta por la AEPD, dado que justifica la supuesta infracción del artículo 5.1.
10. f)del RGPD en que IBERIA no tenía, y debía haber tenido, conocimiento de unas vulnerabilidades, publicadas en Internet, que afectaban a herramientas y sistemas de un encargado del tratamiento ((...)) y que fueron explotadas por los atacantes, sin conectar e identificar de forma clara esta circunstancia con el contenido del artículo 5.1.
11. f)del RGPD. Al respecto cabe señalar que tal y como determina la STC 218/2015, de 12 de septiembre, el principio de tipicidad comporta la exigencia de “la predeterminación normativa de las conductas ilícitas y de las sanciones correspondientes”, esto es, que existan normas jurídicas que permitan “predecir con el suficiente grado de certeza qué conducta es exactamente considerada jurídicamente como ilícita, y se sepa a qué atenerse en cuanto a la aneja responsabilidad y a la eventual sanción”. Los hechos acreditados en el expediente administrativo se encuadran perfectamente en los elementos del tipo previsto en el artículo 83.5 del RGPD, limitándose la AEPD a integrar los hechos en el mismo. Lo fundamental, en el supuesto examinado, es que las conductas probadas se encuentran perfectamente tipificadas en el RGPD, puesto que la vulneración de los preceptos controvertidos se determina con claridad del quebrantamiento de las obligaciones impuestas en los mismos. El art. 5.1.
12. f)del RGPD exige taxativamente que se garantice la confidencialidad y la integridad, y requiere para su aplicación una pérdida de confidencialidad y/o de integridad, esto es, un resultado. Estas medidas de protección deben resultar adecuadas y proporcionadas al riesgo detectado. Ello implica realizar un análisis de riesgos previo al tratamiento, incluso una EIPD de ser necesario, que englobe todas las operaciones del tratamiento que formen parte de aquel. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/74 Al evaluar la adecuación del nivel de seguridad al riesgo se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos de que se trate, en el sentido expresado en el considerando 83 del RGPD señala que: “A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. En el presente caso se comprueba que están presente todos los elementos requeridos por el artículo 5.1.
13. f)del RGPD toda vez que no se ha garantizado por una seguridad adecuada de los datos personales tratados por IBERIA como responsable de tratamiento, al no haber aplicado medidas técnicas u organizativas apropiadas, lo cual tuvo como consecuencia la pérdida de confidencialidad de tales datos. Por lo que se desestima la presente alegación. Segunda.- De la improcedencia de la sanción impuesta por la presunta infracción del artículo 32 del RGPD 1. Sobre el análisis de riesgos y la Evaluación de Impacto en la Privacidad (“EIPD”) realizada por IBERIA Alega IBERIA que cuenta con protocolos de cumplimiento del RGPD en materia de seguridad de la información y de los datos personales que tienen en cuenta y abarcan todas las áreas de la Sociedad que pudieran estar involucradas en un tratamiento de datos personales concreto. Indica que estos protocolos incluyen procedimientos de alta y actualización de los riesgos de cada uno de los tratamientos de datos realizados por IBERIA. En este sentido, cuando se plantea la realización de nuevas actividades que implican el tratamiento de datos personales y/o se detecta un nuevo riesgo de privacidad en los tratamientos de datos actuales, los distintos departamentos de IBERIA involucrados en el día a día de dichos tratamientos escalan éstos detalles al equipo de privacidad de IBERIA, a través de la herramienta líder en el mercado ***APLICACIÓN.1, para que éstos puedan analizarlos de forma previa a su diseño y realización o, en su caso, a su mitigación. Se adjunta, junto con otra documentación, la metodología general de IBERIA para la realización de análisis de riesgos y EIPDs. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/74 Explica IBERIA que múltiples departamentos y empleados tienen acceso a la herramienta ***APLICACIÓN.1 y los tratamientos recogidos en ella se encuentran en permanente revisión y actualización. Aporta varias capturas de pantalla y logs con las actualizaciones periódicas que se realizaron (y se siguen realizando) sobre el tratamiento que fue objeto de la violación de seguridad (....) desde el año 2020 hasta 2025. Además, añade que se aprecian y describen las tres tipologías de riesgos que se identificaron respecto de este tratamiento, así como los controles asociados a cada una de estas tipologías. Por último, indica que se incluye una breve explicación sobre la actualización de la actividad del tratamiento realizada en mayo de 2023, en virtud de la cual se eliminaron los riesgos identificados previamente y se sustituyeron por los nuevos riesgos identificados siguiendo la nueva metodología implementada a la luz de los últimos criterios de la AEPD. Al respecto cabe decir que lo alegado por IBERIA viene referido al proceso que, con carácter general, se sigue para el análisis de los riesgos derivado de los tratamientos de datos personales que se llevan a cabo. No se refieren en concreto- y, por lo tanto, no queda justificado a los efectos del presente procedimiento sancionador- que dicho proceso fuese aplicado al presente caso. Nada se prueba al respecto. Tampoco se da detalle alguno sobre cuáles fueron los riesgos eliminados que se habían identificado previamente ni cuáles han sido los nuevos riesgos identificados. Nada se ha aportado en este sentido sobre el detalle de los riesgos identificados para el tratamiento objeto del presente procedimiento ni sobre las medidas identificadas e implementadas para paliar tales riesgos. Por su parte, IBERIA considera que la falta de diligencia apreciada por la AEPD en su Acuerdo de Inicio respecto de la realización de los análisis de riesgos y la EIPD del tratamiento de datos afectado por la violación de seguridad, basada en la marca de tiempo incluida en los documentos facilitados por IBERIA, no sería ajustada a derecho ni a la realidad de las cosas. En respuesta a ello, cabe señalar que parece confundir IBERIA los términos en los que fue analizada por esta AEPD la falta de diligencia que se le imputa. Y ello por cuanto la diferencia temporal entre los documentos que se señaló en el acuerdo de inicio no constituye sino un argumento a añadir a todos los anteriormente manifestados que evidencian la falta de la diligencia necesaria y debida que hubiera sido necesaria en este caso. Se reitera que nada se ha aportado a esta Agencia sobre los riesgos concretos identificados para el tratamiento en cuestión y las medidas específicas adoptadas para mitigarlos. Respecto a la señalada falta de identificación de riesgos y medidas mitigadoras en los documentos de análisis de riesgos y EIPD remitidos a la AEPD, IBERIA considera que la misma queda superada por lo previsto en los pantallazos de la herramienta que se adjuntan. En ellos se observa que, desde la creación y documentación del tratamiento en la herramienta ***APLICACIÓN.1 en noviembre de 2020, se han venido identificando riesgos y aplicando medidas mitigadoras y controles, actualizando los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/74 detalles del tratamiento en función de los cambios que se han venido produciendo en él a lo largo de los años. De nuevo cabe responder que esta información de carácter general y sin el detalle que sería necesario para evidenciar la diligencia pretendida en el presente caso, no puede desvirtuar lo señalado en el acuerdo de inicio del presente procedimiento sancionador y que se ha visto confirmado tras la instrucción realizada. La documentación aportada no permite apreciar el detalle de los cambios que se reflejan en la documentación; no se aprecia los riesgos que se han tenido en consideración ni, en consecuencia, las medidas concretas que se pusieron en práctica para mitigarlos. Por lo que se desestima la presente alegación. 2. Las medidas de seguridad no pueden considerarse inapropiadas para el riesgo del tratamiento 2.1 Sobre las medidas de seguridad Alega IBERIA que, de acuerdo con la información y documentación aportada en contestación al Requerimiento de Información, tanto IBERIA como su encargado del tratamiento, (...), contaban con amplias medidas técnicas y organizativas para garantizar la seguridad de los datos responsabilidad de IBERIA que se encontraban almacenados en los sistemas de (...). Indica que respecto al posible acceso desde el exterior a los sistemas internos de (...) sin necesidad de utilizar una VPN y al hecho de que, según la AEPD, no se habían implementado medidas de seguridad como el doble factor de autenticación, (...) ha confirmado que la única vía para que los empleados accedan a los sistemas internos de la compañía desde el exterior es a través del uso de una VPN, lo que requiere, además la utilización del Doble Factor de Autenticación (“…”). En este sentido, se incluye a continuación una captura de pantalla de un email confirmatorio de (...), y, un informe interno de (...) explicativo sobre esta cuestión. A este respecto, cabe indicar que, según figura en los hechos probados, en junio de 2022 entró en vigor el documento de (...) con el título “Normas de acceso remoto” (en inglés el original aportado como Documento 14 del escrito de alegaciones al acuerdo de inicio, traducción al español aportada por IBERIA el 5 de marzo de 2025), en el que se indicaba que se había implementado un método de autenticación (…). No obstante, tal extremo no fue verificado por IBERIA. Esta Agencia se reitera en que pretender fundamentar la diligencia de un responsable de tratamiento respecto de un encargado de tratamiento en la información proporcionada por este, sin ningún tipo de constatación fáctica adicional (máxime cuando, según los hechos probados, las cláusulas del contrato establecían la posibilidad de acceder directamente a los sistemas de (...), estando este obligado a prestar asistencia en el proceso) no puede sostenerse. Y que todo ello, sin ninguna actividad comprobatoria adicional, no pueden ser consideradas como acciones suficientes adoptadas por IBERIA en cumplimiento de sus obligaciones como responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/74 Asimismo, indica IBERIA que, según la AEPD, (…) como algoritmo para el hasheo de las contraseñas se considera obsoleto tomando como referencia el estándar OWASP. En este sentido cabe destacar que, si se toma como referencia otro estándar, (…), por lo que, a juicio de IBERIA, no se podría, en ningún caso, calificar este algoritmo como “obsoleto” dado que se sigue utilizando hoy en día y se seguirá utilizando durante, al menos, 5 años más. En este sentido, por tanto, IBERIA entiende que esta circunstancia no puede, al tratarse de una cuestión meramente subjetiva y sujeta a interpretación en función del estándar utilizado o seguido, tomarse como determinante para determinar la presunta infracción o incumplimiento del artículo 32 del RGPD. Adicionalmente, informan de la adopción por (...) con anterioridad a la violación de la seguridad de los datos, seis recomendaciones de seguridad señaladas por IBERIA. Sobre esto último, esta Agencia desea señalar que la adopción por (...) de seis recomendaciones señaladas por IBERIA no obsta a que las medidas adoptadas no eran suficientes a fin de evitar un incidente como el que ha dado lugar al presente procedimiento. Respecto al algoritmo utilizado para las contraseñas, el hecho de que NIST indique que (…) dejará de ser utilizado en 2030, no implica que fuera una solución apropiada en función del riesgo para los derechos y libertades del tratamiento realizado por IBERIA objeto del presente procedimiento, sobre el cual ya había llamado la atención el estándar OWASP. En este sentido, dado que (…) era criptográficamente obsoleto (colisiones factibles) y produce hashes rápidos y por tanto fáciles de atacar, y además su uso estaba explícitamente desaconsejado por estándares de seguridad actuales como OWASP (***URL.1) usar (...) para almacenar contraseñas representa una vulnerabilidad grave y actual. En un sistema moderno, con amenazas reales, existe un riesgo elevado de que las contraseñas con (...) (sobre todo si son débiles o repetidas) serán crackeadas con relativa facilidad, comprometiendo la seguridad de los usuarios (***URL.2), lo cual debió ser tenido en cuenta por IBERIA. En cualquier caso, esta Agencia considera que de ninguna manera se trata de una cuestión meramente subjetiva y sujeta a interpretación en función del estándar utilizado o seguido, sino que a la hora de valorar la adecuación de las medidas a adoptarse para mitigar el posible riesgo para los derechos y libertades de los interesados es responsabilidad del responsable del tratamiento (en este caso, IBERIA) valorar toda la información disponible y decantarse por la opción que permita la debida protección de los datos personales ante posibles accesos no autorizados. Por lo que se desestima la presente alegación. 2.2 Sobre el listado OWASP TOP 10 Indica IBERIA que la AEPD menciona en el Acuerdo de Inicio que los errores o fallos criptográficos (circunstancias que pudieron ser utilizadas para llevar a cabo el ataque C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/74 que dio lugar a la violación de la seguridad de los datos) aparecen en la lista OWASP17 TOP 10 (…). Pero alega que el listado se limita a recoger, de manera amplia y genérica, aquellas tipologías de vulnerabilidades que son explotadas con mayor frecuencia por los atacantes, lo que no significa que sean más fácilmente evitables. Alega IBERIA que más bien al contrario, el hecho de que se encuentren en esta lista confirma la dificultad a la hora de implementar medidas que eviten totalmente la explotación de dichas vulnerabilidades, puesto que los atacantes siguen aprovechándose de ellas para realizar sus ataques. Es por ello que considera que el hecho de que el ataque pudiera haberse perpetrado a través de la explotación de una de las vulnerabilidades recogidas en la lista de OWASP no supone, por sí mismo, un incumplimiento del artículo 32 del RGPD. Se remite de nuevo IBERIA al cuestionario cursado a (...) en el que preguntó específicamente si cumplía con los estándares de la OWASP. En su respuesta, (...) señaló que llevaba a cabo tests de penetración y escáneres regulares. Indica IBERIA que, al no responder concretamente a la pregunta sobre el cumplimiento de los estándares OWASP, volvió a preguntar a (...) sobre el tema a través del documento de preguntas adicionales En esta ocasión, (...) confirmó específicamente que cumplía con el listado de estándares de OWASP. Respecto a las menciones al cuestionario cursado a (...) años antes del incidente, sin haber realizado más comprobaciones en este sentido por parte de IBERIA, no cabe más que remitirse a la valoración de los mismos realizada en apartados precedentes de la presente propuesta de resolución. Con relación a la valoración que realiza IBERIA de la publicación de las vulnerabilidades realizada en el listado OWASP y su apreciación de que dicha publicación no las hace más evitables, cabe recordar que, en este caso, las vulnerabilidades concretas que propiciaron el ataque no sólo eran conocidas desde mucho tiempo antes que se produjera el incidente, sino que ambas contaban con soluciones públicas que no fueron implementadas. Por lo que se desestima la presente alegación. Tercera.- De la concurrencia de infracciones del artículo 5.1
14. f)del RGPD y 32 del RGPD Alega IBERIA que, en este caso, sancionar por el art. 5.1
15. f)y por el art. 32 supone una concurrencia de infracciones y, en consecuencia, la existencia de concurso medial. En relación con el concurso medial, se ha de señalar que el RGPD es un sistema completo. El RGPD es una norma europea directamente aplicable en los Estados miembros, que contiene un sistema nuevo, completo y global destinado a garantizar la protección de datos de carácter personal de manera uniforme en toda la Unión Europea, lo que no se conseguiría si cada autoridad de control aplicase de manera que pudiera ser contraria a dicho principio armonizador sus preceptos nacionales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/74 En relación, específicamente y también, con el régimen sancionador dispuesto en el RGPD, resultan de aplicación sus disposiciones de manera inmediata, directa e íntegra previendo un sistema completo que ha de entenderse, interpretarse e integrarse de forma completa, íntegra, dejando así indemne su finalidad última que es la garantía efectiva y real del derecho fundamental a la Protección de Datos de Carácter Personal. De hecho, una muestra específica de la inexistencia de lagunas en el sistema del RGPD es el artículo 83 del RGPD, que determina las circunstancias que pueden operar como agravantes o atenuantes respecto de una infracción (art. 83.2 del RGDP) o que especifica la regla existente relativa a un posible concurso medial (art. 83.3 del RGPD), que a diferencia del art. 29.5 de la ley 40/2015, no considera que haya que imponer “únicamente” la sanción correspondiente a la infracción más grave cometida, sino que en caso de infracción de varios preceptos del RGPD “la cuantía total de la multa no será superior a la cuantía prevista para las infracciones más graves.” (esto es, se castigan todas las infracciones, pero el importe total no podrá ser superior a la prevista en el RGPD para las infracciones más graves). El art. 63.2 LOPDGDD consagra no ya el carácter supletorio (que serviría para colmar lagunas, que no existen, como hemos visto) sino el carácter subsidiario (que no supletorio) de la normativa general de los procedimientos administrativos respecto de las normas que rigen los procedimientos de la AEPD en materia de protección de datos. Dice así el art. 63.2 LOPDGDD: “2. Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” El legislador español ha optado pues por el principio de subsidiariedad, que no de supletoriedad, de las normas generales de procedimiento administrativo frente a las específicas del RGPD y LOPDGDD. Dicha relación entre supletoriedad y subsidiariedad hay que entenderla en el sentido mencionado en la sentencia de la Audiencia Nacional de 23 de octubre de 2001 (Rec. 390/1999, ECLI:ES:AN:2001:6122), cuando recordaba que “el recurso a la subsidiariedad es una fórmula de colaboración normativa para los casos de concurso de normas, esto es, para los casos en los que resulten aplicables dos o más de ellas al mismo supuesto de hecho, de manera que la subsidiaria cede en beneficio de la primaria a la que, en su caso, complementa”, a diferencia de la supletoriedad, que tiene por objeto colmar una laguna “de tal manera que cuando un determinado supuesto no es objeto de regulación por la norma inicialmente aplicable se da paso a la supletoria, siempre, eso sí, que semejante operación no resulte, por otras circunstancias, disconforme al ordenamiento jurídico”. En el presente caso, la norma primaria sería el RGPD, que regula expresamente en su art. 83.3 la posible existencia de más de una infracción del RGPD en las mismas operaciones de tratamiento u operaciones vinculadas (regulación expresa de un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 44/74 posible concurso medial), no siendo de aplicación la regulación del concurso medial prevista en el art. 29.5 ley 40/2015 precisamente por su carácter subsidiario. Dice así el art. 83.3 RGPD: “3. Si un responsable o un encargado del tratamiento incumpliera de forma intencionada o negligente, para las mismas operaciones de tratamiento u operaciones vinculadas, diversas disposiciones del presente Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía prevista para las infracciones más graves.” En consecuencia, no es posible aplicar la regulación subsidiaria que contiene una regulación diferente a la regulación principal. A lo anterior se ha de sumar que el RGPD no permite el desarrollo o la concreción de sus previsiones por los legisladores de los Estados miembros, a salvo de aquello que el propio legislador europeo ha previsto específicamente, delimitándolo de forma muy concreta (por ejemplo, la previsión del art. 83.7 del RGPD). La LOPDGDD sólo desarrolla o concreta algunos aspectos del RGPD en lo que éste le permite y con el alcance que éste le permite. Ello es así porque la finalidad pretendida por el legislador europeo es implantar un sistema uniforme en toda la Unión Europea que garantice los derechos y libertades de las personas físicas, que corrija comportamientos contrarios al RGPD, que fomente el cumplimiento, que posibilite la libre circulación de estos datos. En este sentido, el considerando 2 del RGPD determina que: “

(2)Los principios y normas relativos a la protección de las personas físicas en lo que respecta al tratamiento de sus datos de carácter personal deben, cualquiera que sea su nacionalidad o residencia, respetar sus libertades y derechos fundamentales, en particular el derecho a la protección de los datos de carácter personal. El presente Reglamento pretende contribuir a la plena realización de un espacio de libertad, seguridad y justicia y de una unión económica, al progreso económico y social, al refuerzo y la convergencia de las economías dentro del mercado interior, así como al bienestar de las personas físicas”. (el subrayado es nuestro) E indica el considerando 13 del RGPD que: “

(13)Para garantizar un nivel coherente de protección de las personas físicas en toda la Unión y evitar divergencias que dificulten la libre circulación de datos personales dentro del mercado interior, es necesario un reglamento que proporcione seguridad jurídica y transparencia a los operadores económicos, incluidas las microempresas y las pequeñas y medianas empresas, y ofrezca a las personas físicas de todos los Estados miembros el mismo nivel de derechos y obligaciones exigibles y de responsabilidades para los responsables y encargados del tratamiento, con el fin de garantizar una supervisión coherente del tratamiento de datos personales y sanciones equivalentes en todos los Estados miembros, así como la cooperación efectiva entre las autoridades de control de los diferentes Estados miembros. El buen funcionamiento del mercado interior exige que la libre circulación de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 45/74 personales en la Unión no sea restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales”. (el subrayado es nuestro) En este sistema, lo determinante del RGPD no son sólo las multas, sino igualmente el resto de los poderes correctivos de las autoridades de control previstos en el art. 58.2 del RGPD. Así, el art. 83.2 del RGPD dice que “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras

1. a)a
2. h)y j).”. Por ello, el art. 83.1 del RGPD previene que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasoria”. Las multas han de ser efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida por el RGPD. Para que dicho sistema funcione con todas sus garantías en necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español al permitirlo el propio RGPD-, ya sea por la aplicación de un concurso medial con una consecuencia distinta de la prevista en el RGPD, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias, y en cualquier caso se perdería su voluntad de dotar de uniformidad al sistema en toda la Unión Europea. Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. De igual forma que la AEPD no está aplicando los agravantes y atenuantes dispuestos en el art. 29 de la LRJSP, puesto que el RGPD establece los suyos propios, por ende, no hay laguna legal ni aplicación subsidiaria del mismo, tampoco cabe la aplicación de la regulación pretendida del concurso medial por idénticas razones. En relación con la cita de las Directrices 04/2022 del CEPD sobre el cálculo de multas administrativas conforme al RGPD, en su versión 2.1, adoptadas el 24 de mayo de 2023, en su apartado 22 se hace referencia a tres tipos de concurrencias, a saber, de infracción, unidad de acción y pluralidad de acciones: “Al examinar el análisis de las tradiciones de los Estados miembros en materia de normas de concurrencia, tal como se indica en la jurisprudencia del TJUE5 , y teniendo en cuenta los diferentes ámbitos de aplicación y las consecuencias jurídicas, estos principios pueden agruparse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 46/74 aproximadamente en las tres categorías siguientes: - Concurrencia de infracciones (capítulo 3.1.1), - Unidad de acción (capítulo 3.1.2), - Pluralidad de acciones (capítulo 3.2)”. En los supuestos de concurrencia de infracciones la previsión establecida al respecto es la contenida en el artículo 83.3 del RGPD que establece un límite cuantitativo en estos supuestos de concurrencia: “Si un responsable o un encargado del tratamiento incumpliera de forma intencionada o negligente, para las mismas operaciones de tratamiento u operaciones vinculadas, diversas disposiciones del presente Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía prevista para las infracciones más graves.” (el subrayado es nuestro). Si admitiéramos el argumento esgrimido por IBERIA, podría extraerse que la “plena aplicabilidad del concurso medial” referido a la aplicación preferente del artículo 29 de la LRJSP, en su única pretensión de pagar una única multa en lugar de las dos impuestas, desplazan o anulan la vigencia del art 83.3 RGPD, lo que resulta a todo punto contrario por el ordenamiento jurídico. No obstante, más allá de todo lo anteriormente expuesto, en el presente caso ha quedado acreditado que las medidas técnicas y organizativas adoptadas por IBERIA no eran apropiadas en los términos exigidos por el artículo 5.1.
3. f)del RGPD a fin de garantizar la confidencialidad de los datos personales de los que era responsable. A saber: - No ha quedado acreditado en el presente expediente que contara con un análisis de riesgo ni evaluación de impacto apropiado, que permitiese identificar las medidas adecuadas al mismo. - (…). - (…). - (…). - (…). - (…). Todas estas medidas cuya falta ha quedado acreditada en el presente procedimiento se encuentran directamente vinculadas a la brecha en cuestión y no son ajenas a la misma, razón por la que se considera que son las que han permitido, junto con la explotación de las vulnerabilidades reseñadas a lo largo del presente documento, que se produjera la pérdida de confidencialidad de los clientes (…) de IBERIA. Por lo que se considera que el presente procedimiento corresponde archivar la infracción del artículo 32 del RGPD y mantener una única infracción del artículo 5.1.
4. f)del RGPD en los términos expuestos anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 47/74 Cuarta.- De la improcedencia de la sanción impuesta por presunta infracción del artículo 34 del RGPD Indica IBERIA que, como responsable del tratamiento, a pesar de contar con información limitada el 23 de febrero de 2023 realizó la notificación inicial de la brecha a la AEPD. Tras continuar con las labores de investigación sobre el incidente, IBERIA realizó la notificación final sobre el incidente a la AEPD el día 11 de abril de 2023. En esta comunicación se indicó que, de acuerdo con la información de que se disponía hasta ese momento, no se habían identificado evidencias de exfiltración de los datos personales responsabilidad de IBERIA. Explica que tomó la decisión de no notificar la violación de seguridad al considerar que dicho incidente no suponía un alto riesgo para los derechos y libertades de los interesados afectados. Una vez finalizó la auditoría forense practicada por ***COMPAÑÍA.1 a (...) se llegó a la conclusión de que sí existían evidencias de una posible exfiltración de los datos personales responsabilidad de IBERIA. Se realizó una notificación complementaria y se mantuvo la conclusión de que la violación no suponía un alto riesgo para los derechos y libertades de los interesados. Y ello por cuanto, nada más tener conocimiento de la brecha, IBERIA: (…). Adicionalmente, IBERIA no había recibido ningún tipo de reclamación o consulta relativa a la utilización, por parte de terceros no autorizados, de los datos de los interesados afectados por la violación (destaca que tampoco se ha recibido una sola a fecha de redacción del escrito de alegaciones). Por todo ello, y basándose en el artículo 34.3
5. b)del RGPD, IBERIA entendió que la notificación de la violación a los interesados afectados no era necesaria, puesto que la Sociedad había tomado medidas ulteriores que garantizaban que ya no existía la probabilidad de que se concretizase el alto riesgo para los derechos y libertades de los interesados afectados. Entiende que seguía existiendo un mínimo riesgo (IBERIA no niega este extremo), pero en ningún caso se alcanzaba el umbral de alto riesgo requerido por el artículo 34 del RGPD para que la notificación fuese obligatoria. Al respecto, cabe señalar que IBERIA parece confundir la existencia de una brecha de datos personales que afecte a la confidencialidad de los mismos con el hecho de que, consecuencia de esa brecha, los datos sean hechos públicos. La pérdida de confidencialidad se produce desde el momento en que un tercero ajeno y no autorizado tiene acceso a los datos personales que son objeto de tratamiento. Y esta circunstancia fue la que se produjo en este caso. Con independencia o no que de que produzca una publicación de los datos obtenidos (situación a la que IBERIA denomina exfiltración). Antes, al contrario, desde el momento en que el ataque fue exitoso, se produjo una pérdida de confidencialidad de los datos y, por lo tanto, una infracción del art. 5.1
6. f)RGPD. Y ello con independencia de una publicación ad extra de los datos o de la recepción de reclamaciones. Y es el riesgo que esta pérdida de confidencialidad puede significar para los derechos y libertades de los interesados lo que debe ser valorado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 48/74 por el responsable del tratamiento para valorar si la brecha en cuestión debe comunicarse a los afectados, conforme exige el artículo 34 del RGPD. En el presente caso, un tercero no autorizado accedió a datos básicos, datos de contacto y credenciales de acceso de clientes (…) de IBERIA y es el conjunto de tales datos lo que ocasiona en los interesados una pérdida del control de su información personal y la posibilidad de resultar víctimas de una suplantación de identidad por parte de terceros. Por tanto, se desestima la presente alegación. Quinta.- Sobre la graduación de la sanción impuesta a IBERIA 0 Indica IBERIA que, en el Acuerdo de Inicio, la AEPD ha considerado adecuado aplicar varias circunstancias agravantes a la propuesta de sanción de IBERIA. Entre ellas, se incluye la agravante recogida en el artículo 83.2, letra
7. e)del RGPD, relativa a la comisión de infracciones anteriores por el responsable del tratamiento de los datos. 1 IBERIA considera que la aplicación de esta agravante se ha aplicado por la AEPD de forma totalmente desproporcionada, al no encontrarse ninguno de los anteriores expedientes sancionadores de IBERIA relacionados con el objeto de las supuestas conductas infractoras señaladas en este Acuerdo de Inicio. Cita IBERIA las Directrices 04/2022 del Comité Europeo de Protección de Datos (“CEPD”), sobre el cálculo de las multas bajo el RGPD que indican que, para la aplicación de esta tipología de agravante, “las mismas infracciones de la materia deben considerarse más relevantes que las infracciones anteriores en relación con un tema diferente.” Y que estas mismas Directrices recogen un caso muy similar al del Acuerdo de Inicio de la AEPD, señalando que: “el hecho de que el responsable o el encargado del tratamiento no hayan respondido en el pasado a los interesados que ejerzan sus derechos en el momento oportuno debe considerarse más pertinente cuando la infracción investigada se refiere también a la falta de respuesta a un interesado que cuando se refiere a una violación de datos personales.” Alega IBERIA que en el presente caso la AEPD, en sentido contrario al criterio señalado por el CEPD, ha