PS-00444-2025

1/31  Expediente N.º: EXP202405166 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AXARNET COMUNICACIONES, S.L. (en adelante, AXARNET), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202405166 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: En fecha 22 de febrero de 2024, se notificó a esta Agencia una brecha de datos personales de AXARNET COMUNICACIONES, S.L. con NIF B97193114 (en adelante, AXARNET) por parte del responsable del tratamiento. Los hechos que se ponen en conocimiento de esta autoridad son: “A través de una vulnerabilidad de un programa empleado y comercializado por una empresa ajena a nosotros un tercero ha accedido a nuestro CRM y ha descargado información de nuestro CRM. De un total de 5 gbs de información sabemos que han descargado unos 645 Mbs de datos, pero desconocemos los datos a los que han tenido acceso. Entre los datos del CRM tenemos los datos de 50.250 clientes (activos e inactivos) entre los que figuran sus nombres, apellidos, email, dirección, DNI o CIF, productos contratados, facturas emitidas. De 11.300 cuentas existen asimismo registro de sus cuentas bancarias. Como medida correctora se han tomado las siguientes acciones: Hemos corregido la vulnerabilidad detectada en el componente del programa afectado. Hemos restablecido los accesos de usuarios y modificado las contraseñas de los servicios contratados por nuestros clientes, aunque no se vieron estos vulnerados al estar cifrados. Hemos informado a las autoridades competentes y hemos puesto la correspondiente denuncia. De manera adicional, estamos implementando nuevas medidas de seguridad que mejoran las implementadas actualmente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 En la notificación se incluye, entre otros, la siguiente información: “(…) -Tipos de datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de medios de pago (Tarjeta bancaria, etc.…), Datos de contacto. -Entre las personas afectadas, hay menores: No -Entre las personas afectadas, ¿hay miembros de colectivos vulnerables como supervivientes de violencia de género o en riesgo de exclusión social?: No -Las personas afectadas tienen los siguientes perfiles: Clientes / Ciudadanos -En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos personales?: 50.000 - ¿Hay personas afectadas por la brecha en otros estados miembro de la UE? Desconocido -Indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales: 20/02/2024. - ¿Conoce la fecha en la que se inició la brecha? Aproximadamente / Estimada. -Indique la fecha de inicio de la brecha 07/02/2024. -La brecha se ha detectado mediante: Medios de detección implementados proactivamente por el responsable o encargado de tratamiento. -Medidas de seguridad implementadas en la organización antes del suceso de la brecha: Políticas de protección de datos y seguridad, Formación en protección de datos y seguridad de la información al nivel adecuado, Los sistemas informáticos se mantienen actualizados, Registro de incidentes, Auditorías periódicas, Control de acceso lógico, Niveles de acceso a los datos, Cifrado de los datos, Copia de seguridad. - ¿Se podría haber evitado la brecha adoptando alguna medida de seguridad adicional? No - ¿Se ha producido el incidente por algún fallo deficiencia o incumplimiento de medidas de seguridad implementadas? No - ¿Dispone de un análisis de riesgos documentado que justifique las medidas de seguridad adoptadas previamente al incidente? No -Acciones tomadas tras el incidente ¿Ha actualizado su registro de incidentes con la información de esta brecha de datos personales? Si - ¿Ha adoptado tras el incidente nuevas medidas de seguridad que podrían haber evitado la brecha? Si - ¿Ha adaptado / mejorado sus procedimientos y políticas de seguridad? Si -Marque exclusivamente las nuevas medidas de seguridad y las que se hayan actualizado: Ninguna de las anteriores - ¿Ha puesto el incidente en conocimiento de las autoridades policiales / judiciales por considerar que es constitutivo de delito? Si - ¿Considera que ha tomado todas las acciones posibles y da por resuelta la brecha? Si -Indique la fecha en la que se dio por resuelta la brecha 21/02/2024 - ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? Si -Fecha en la que se informó: 22/02/2024 -Número de personas informadas 50.250. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/31 SEGUNDO: En fecha 23 de febrero de 2024, se recibe en esta AEPD una reclamación de una persona cuyos datos habrían sido afectados por el ciberataque. El reclamante manifiesta ser una persona a la que la entidad reclamada envió una comunicación advirtiéndole de que sus datos personales (nombres y apellidos, correo electrónico, dirección, DNI o CIF, productos contratados, facturas emitidas) se habían visto expuestos como consecuencia de un ciber incidente. TERCERO: En fecha 1 de marzo de 2024, se recibe una nueva reclamación, de otro afectado, afirmando que sus datos estarían afectados por la brecha, adjuntando una comunicación informativa sobre la misma, de AXARNET. CUARTO: En fecha 28 de agosto de 2024, se recibe en esta AEPD otra reclamación de una persona a la que la entidad reclamada envió una comunicación advirtiendo de que sus datos personales (nombres y apellidos, correo electrónico, dirección, DNI o CIF, productos contratados, facturas emitidas) se habían visto expuestos como consecuencia de un ciber incidente. Esta persona manifiesta además no tener vínculo con la entidad notificante desde febrero de 2018, y que no obtuvo una respuesta satisfactoria a su solicitud de información. QUINTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de la primera reclamación a AXARNET COMUNICACIONES, S.L., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 08/04/2024, como consta en el acuse de recibo que obra en el expediente. En fecha 30/04/2024 se recibe en esta Agencia escrito de respuesta indicando: “AXARNET COMUNICACIONES, S.L. sufrió una brecha de seguridad el día 20 de febrero 2024, procediendo a su comunicación ante la Agencia Española de Protección de Datos el día 22 de febrero de 2024, tal y como se establece en el artículo 33 del Reglamento (UE) 2016/679. Se adjunta como ANEXO I el justificante de entrega de la comunicación ante la Agencia Española de Protección de Datos.” En cuanto a la descripción de la brecha afirma: “A través de una vulnerabilidad de un programa empleado y comercializado por una empresa ajena a nosotros un tercero ha accedido a nuestro CRM y ha descargado información de nuestro CRM. De un total de 5 gbs de información sabemos que han descargado unos 645 Mbs de datos, pero desconocemos los datos a los que han tenido acceso. Entre los datos del CRM tenemos los datos de 50.250 clientes (activos e inactivos) entre los que figuran sus nombres, apellidos, email, dirección, DNI o CIF, productos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 contratados, facturas emitidas. De 11.300 cuentas existen asimismo registro de sus cuentas bancarias. Como medida correctora se han tomado las siguientes acciones: Hemos corregido la vulnerabilidad detectada en el componente del programa afectado. Hemos restablecido los accesos de usuarios y modificado las contraseñas de los servicios contratados por nuestros clientes, aunque no se vieron estos vulnerados al estar cifrados. Hemos informado a las autoridades competentes y hemos puesto la correspondiente denuncia. De manera adicional, estamos implementando nuevas medidas de seguridad que mejoran las implementadas actualmente. “ Se adjunta como ANEXO II copia del formulario de la Agencia Española de protección de Datos con todos los datos solicitados relativos al número de personas afectadas, categoría de los datos, consecuencias para los afectados, medidas de seguridad y detalles del tratamiento; asimismo se adjunta como ANEXO III el Registro De Actividades De Tratamiento De La Entidad. En cuanto a la notificación a los afectados indica que se procedió a comunicar a los afectados, la brecha de seguridad de la que había sido objeto. Se incluye como ANEXO IV la comunicación que se hizo llegar a los interesados. Afirma que dicha comunicación se realizó por medio del correo electrónico, y se realizó el día 22 de febrero de 2024. SEXTO: En fecha 8 de mayo de 2024, de conformidad con el artículo 65 de la LOPDGDD, las dos primeras reclamaciones fueron admitidas a trámite. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD y tuvo conocimiento de lo siguiente: Respecto de la empresa La entidad notificante es una (…). Según los datos obrantes en AXESOR (…) y según consta en su página web https://axarnet.es, ofrece: alojamiento web (hosting Web, ***SISTEMA.3 con mantenimiento, Prestashop, WooComerce, Reseller y Correo); servidores virtuales (VPS y cloud; protección VPS); gestión de dominios (registro, traslado y compra de dominios .com y .es; certificados SSL) así como otros servicios (Microsoft 365, antispam, antivirus ESET, restauración de backups). Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31 AXARNET manifiesta en que la brecha se inició el día 7 y fue detectada el día 20 de febrero de 2024. En las comunicaciones de 22 de febrero de 2024, AXARNET comunica a los afectados: “Hemos informado a las autoridades competentes y puesto la correspondiente denuncia”. Lo que reitera en la respuesta al traslado, de 30 de abril. Solicitada copia de esa denuncia, en su página 3 se indica: “A finales del lunes 19 de febrero de 2024 nos dimos cuenta de que se había incluido USDT (Tether, criptomoneda estable) como método de pago en el carrito de la compra de nuestra página web: www.axarnet.es. Al ser un método de pago que no ofrecemos a nuestros clientes, cambiamos de inmediato las contraseñas a nuestro sistema de gestión ***SISTEMA.1 y lanzamos una investigación interna. Descubrimos que, gracias a una brecha de seguridad en una plantilla externa del carrito de la compra, el 6 de febrero de 2024 personas malintencionadas consiguieron subir un archivo en el código de la cesta de la compra y el 13 de febrero accedieron a través de un gestor de archivos. El 18 de febrero se incluyó el nuevo método de pago y lo desactivamos el 19 de febrero de 2024. El 21 de febrero descubrimos que el 8 de febrero accedieron a parte de la base de datos de clientes y descargaron 650Mb de datos de clientes. Entre los datos del CRM figuran datos como nombres, apellidos, correo electrónico, dirección, DNI o CIF, productos contratados, facturas emitidas y en algún caso cuenta bancaria. El 22 de febrero de 2024 se informó a la Agencia Española de protección de datos y a todos los clientes que se pudieran haber visto afectados por el robo de sus datos personales. El 22 de febrero se informó por correo electrónico a la unidad de Cibercrimen de la Guardia Civil de la intención de poner la denuncia una vez se disponga de la información detallada, a lo cual procedemos en el día de hoy. Adjuntamos el informe de la brecha de seguridad a esta denuncia.” AXARNET incluye en la denuncia un informe sobre la brecha, del que no menciona autor. Asimismo, aporta otros detalles sobre la brecha, como el volumen de los datos tratados en el CRM que resultó accedido. En resumen, AXARNET manifiesta: - Que la intrusión en su sistema se inició entre los días 7 y 8 de febrero de 2024. - Que los intrusos aprovecharon una vulnerabilidad en ***SISTEMA.2, que forma parte de su CRM, y realizaron una inyección de código, consiguiendo introducir un gestor de archivos que les permitió acceder a la base de datos de su CRM. - Que el volumen de datos tratado en ese CRM es de unos 5GB. - Que descubrieron la brecha el día 19 de febrero al detectar la presencia de una criptomoneda entre los medios de pago. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/31 - Que el 21 de febrero descubrieron que los atacantes habían descargado una parte de la base de datos de clientes, con un volumen aproximado de 650MB. - Que posteriormente (no aclara la fecha exacta) actualizaron ***SISTEMA.2. - Que notificaron a los afectados y a esta Agencia el 22 de febrero. Respecto de la denuncia presentada por la entidad notificante: En las comunicaciones de 22 de febrero de 2024, AXARNET indica a los afectados: “Hemos informado a las autoridades competentes y puesto la correspondiente denuncia”. Lo que reitera en la respuesta al traslado, de 30 de abril. Solicitada posteriormente copia de esa denuncia, AXARNET aporta documento de 14 junio. En la misma, indica: “El 22 de febrero se informó por correo a la unidad de Cibercrimen de la Guardia Civil de la intención de poner la denuncia una vez se disponga de la información detallada (…)” Respecto de las causas que hicieron posible la brecha AXARNET manifiesta como objeto del ataque sus CRM y ERP. En la notificación de la brecha manifiesta que “(…) (…) (…)”; en el informe que acompaña a su denuncia ante la Guardia Civil indica que “(…) (…) (…)”. Un ERP (Enterprise Resource Planning o sistema de planificación de recursos empresariales) es un software que permite a una entidad centralizar la información de sus diferentes departamentos a través de una única base de datos. Los componentes más comunes son: compras, ventas, inventario, logística, facturación, contabilidad, recursos humanos y CRM (Customer Relationship Management). AXARNET indica como causa: - “(…) brecha de seguridad en ***SISTEMA.2, desarrollado por ***EMPRESA.2 para ***SISTEMA.1 (…) utilizada para automatizar la facturación, el soporte y la gestión de clientes.” - “Recientemente, se han identificado vulnerabilidades en ***SISTEMA.2 (…)” Entre esas vulnerabilidades, AXARNET menciona: (…). ***SISTEMA.3 es un sistema de gestión de contenidos muy popular que permite crear y gestionar sitios web. ***SISTEMA.1 (...) es una plataforma de automatización para empresas de alojamiento web, que gestiona la facturación, el soporte y la administración de clientes. ***SISTEMA.3 permite la integración con ***SISTEMA.2 es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31 un theme (tema o aspecto) diseñado para los portales de clientes de ***SISTEMA.1, que ofrece personalización mediante una interfaz de usuario. Los themes son conjuntos de archivos de diseño y configuración que modifican la apariencia de una aplicación o sistema más complejo, normalmente por empresas ajenas (en este caso ***EMPRESA.2 desarrolla el ***SISTEMA.2 para el programa ***SISTEMA.1 de ***EMPRESA.1), y que pueden contener archivos de código HTML, CSS, JavaScript, PHP u otros. Para explotar una vulnerabilidad por XSS (Cross-Site Scripting), el atacante introduce de forma remota código ejecutable (script) en la página web atacada, que le permite, en función del código introducido, modificar su aspecto, interceptar la información introducida en los formularios, o acceder al sistema en que se aloja la web, entre otras posibilidades. En las vulnerabilidades por inyección de código SQL (SQL injection) se explota la relación entre una página web y su base de datos de soporte, normalmente con el fin de engañar a la base de datos mediante la ejecución de un código malicioso. La inyección de código SQL suele implicar otras acciones maliciosas, como el uso de credenciales de usuario expuestas, la escalada de permisos de usuario y la explotación de vulnerabilidades en el software de la base de datos. Solicitada información sobre la vulnerabilidad aprovechada por los atacantes, el programa y componente vulnerado, empresa comercializadora, versión y fecha de instalación, AXARNET manifiesta: “(…)” Solicitada posteriormente información sobre el modo de instalación y versión de ***SISTEMA.2 y ***SISTEMA.1 que se empleaban en su página cuando se inició el ataque, y fecha de instalación de la versión (...) ***SISTEMA.2, AXARNET no responde sobre la versión de ***SISTEMA.1 operativa en el momento de la brecha, y manifiesta: “(…)”. Se incluye en el expediente diligencia del contenido de la página ***URL.1, donde se pueden leer comentarios de fechas 26 de enero y 23 de febrero de 2024 en los que se menciona la vulnerabilidad en los paquetes (…) a partir de la versión 1.5.0, y se proporcionan instrucciones para la instalación de los parches que corrigen la vulnerabilidad. Asimismo, diligencia del contenido de varias de las páginas de ***URL.2 y ***URL.3, relacionadas con versiones y actualizaciones de seguridad de los productos de ***SISTEMA.1 y ***SISTEMA.2. AXARNET manifiesta tener instalada la versión (...) ***SISTEMA.2 en abril de 2020; en la imagen “***IMAGEN.1” que se menciona en la diligencia de 22 de enero de 2025, puede leerse que la versión (...) ***SISTEMA.2 se lanzó el 6 de noviembre de 2022. Tampoco se encuentra ninguna actualización de esa versión publicada el 20 de febrero de 2024. En la página ***URL.4 puede consultarse, a fecha de redacción del presente informe, el historial de versiones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31 AXARNET no proporciona información sobre las medidas adoptadas para prevenir las vulnerabilidades conocidas de en ***SISTEMA.1 antes de la brecha o con posterioridad a la misma. Tampoco proporciona información sobre las versiones de ***SISTEMA.1 instaladas antes y después de la brecha, pese a haber sido requerida. En el informe técnico que proporcionó a la Guardia Civil en su denuncia tampoco menciona esa información, por lo que no puede descartarse que el atacante aprovechara una o varias de las vulnerabilidades conocidas de ***SISTEMA.1. En www.cve.org estaban publicadas, hasta febrero de 2024, las siguientes vulnerabilidades CVE (Common Vulnerabilities) de ***SISTEMA.1, de las que se indica fecha de publicación y debilidades (Common Weakness) con las que están relacionadas. - (…) Esas debilidades pueden consultarse por su CWE (y las vulnerabilidades por su CVE) en las páginas incibe.es, cve.org, nvd.nist.gov y otras: (…). Con posterioridad a la brecha, también relacionadas con ***SISTEMA.1, han sido publicadas las siguientes vulnerabilidades: (…). En el informe aportado se incluye un apartado denominado “Acceso a la base de datos”. Como “Logs” presenta un registro correspondiente al 8 de febrero, en el que se aprecia la descarga de aproximadamente 615MB (644826661 bytes) desde el dominio ***DOMINIO.1, durante algo más de 16 minutos (967159023us). En ese informe también se enumeran diferentes direcciones IP desde las que se realizaron accesos. Se observan accesos desde el día 8 de febrero desde la misma IP hacia la que se descargó el archivo con datos de los clientes, ***IP.1. Los ciber-ataques se realizan con frecuencia desde servicios públicos de conexión por VPN por las ventajas que presentan para los atacantes. El informe muestra numerosos accesos a la red de AXARNET (***DOMINIO.1, ***DOMINIO.2), el más antiguo el día 21 de enero desde IP ***IP.2, así como en fechas posteriores desde otras IP del rango ***IP.3 a ***IP.4, pertenecientes a ***EMPRESA.3, proveedor de servicios de internet localizado en EE. UU. La IP ***IP.1, hacia la que se realizó la descarga del fichero con los datos de los clientes de AXARNET desde ***URL.5, se localiza en Hong Kong, China. AXARNET no manifiesta ni acredita disponer de un sistema de filtrado o alerta de accesos a su red interna por IP de origen, ni tampoco de envío de ficheros voluminosos, desde su red interna a direcciones IP en países de destino poco probables. AXARNET manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31 “Antes del incidente, AXARNET COMUNICACIONES, S.L. disponía de un conjunto de sistemas y procedimientos de seguridad orientados a la detección de vulnerabilidades en sus sistemas críticos. Entre estos mecanismos se incluían: La realización de (…), con el fin de identificar vulnerabilidades potenciales y evaluar la eficacia de las medidas de seguridad existentes. (…), llevado a cabo por el departamento de sistemas, que permitía la identificación precoz de accesos no autorizados o actividades anómalas, facilitando así una respuesta rápida en caso de detectar irregularidades.” Los (…) pueden resultar útiles como métodos de prevención contra intrusiones, pero AXARNET no acredita que condujeran a la actualización de las versiones del elemento vulnerable ni a la instalación de otras medidas técnicas de prevención de riesgos en los tratamientos de datos personales. El subinspector no ha encontrado en Internet referencias de recomendación del uso de (…) como parte de un sistema de detección precoz de ciber-ataques. Para una detección de intrusiones se suelen usar sistemas automáticos como IDS/IPS (Intrusion Detection/Prevention Systems), SIEM (Security Information and Event Management) u otras herramientas automáticas de monitoreo de logs en tiempo real, que AXARNET no manifiesta tener instaladas. En la notificación de la brecha a esta Agencia, AXARNET manifestó que los datos no estaban cifrados de forma segura o protegidos de forma que fueran ininteligibles. AXARNET manifiesta también: “5.2 Certificaciones de estándares de seguridad anteriores a la brecha: Nuestra entidad dentro de sus principales metas, cuenta con un robusto sistema de gestión de seguridad de la información, validado mediante la obtención de certificaciones que acreditan el cumplimiento de estándares internacionales y nacionales. Estas certificaciones constituyen evidencia objetiva del esfuerzo continuo por garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas informáticos y respaldan la eficacia de las medidas de seguridad adoptadas conforme a lo dispuesto en el artículo 32 del RGPD.” Manifiesta que aporta “ANEXO V - AXARNET AUDITORIA AENOR ISO 27001 Y CERTIFICADO”. Como puede comprobarse en esos documentos ambos presentan fechas posteriores a la brecha por lo que no pueden considerarse evidencia de medidas anteriores a la misma, y se analizan en el apartado posterior de este informe “Respecto de las medidas de seguridad implantadas”. AXARNET manifiesta asimismo que: “Cuando seleccionamos nuestro proveedor de CPD uno de los principales motivos por el cual seleccionamos el proveedor actual es que dispone tanto de la certificación ISO 27001 como la certificación del Esquema Nacional de Seguridad en su categoría ALTA. Estas certificaciones, cuya documentación se encuentra acreditada en el documento ANEXO IV – CERTIFICACIONES CPD, demuestran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 que los procesos, infraestructuras y sistemas de almacenamiento han sido sometidos a auditorías y cumplen con los exigentes requisitos establecidos en materia de seguridad de la información a nivel nacional e internacional.” Los documentos presentados mencionan conformidad con el Esquema Nacional de Seguridad, presentan fecha de 15 de julio de 2024 (posterior a la brecha), y AXARNET no aclara el vínculo con los tratamientos afectados por la brecha de las empresas para las que están emitidos esos certificados. Respecto de los datos afectados: AXARNET manifiesta que la brecha afectó aproximadamente a unas 50.000 personas, con datos bancarios de unas 11.300 de ellas, y que en la brecha se descargó un volumen aproximado de 645MB de estos datos. Preguntada por la tipología de los datos personales afectados por el ataque, AXARNET manifiesta los siguientes: Nombre; Apellidos; Nombre de empresa (en el caso de disponerla); Correo electrónico; dirección fiscal; Ciudad; Provincia; Código Postal; País de residencia; teléfono (en el caso de disponerlo); DNI/CIF; Cuenta bancaria (en el caso de disponerla); Productos contratados por el cliente (en el caso de disponerlos); Facturas emitidas (en el caso de disponerla). Asimismo, manifiesta que “el tercero no tuvo acceso a datos de acceso a paneles o servicio al estar estos datos encriptados”. Proporciona también una imagen de la consulta a la base de datos sobre un cliente ficticio. Aunque es evidente que la copia de pantalla de una consulta a la base de datos no indica que la información mostrada incluya todos los campos almacenados en esa base de datos sobre el registro solicitado, también aparecen en esa imagen los siguientes tipos de datos: información sobre facturas, cobros y saldo; información sobre los productos y servicios contratados; archivos subidos; emails recientes; fecha de alta; fecha y dirección IP del último acceso. Respecto de las medidas de seguridad implantadas: En la página 18 del RAT aportado por AXARNET en su respuesta al traslado, de 23 de abril de 2024 y por tanto posterior a la brecha, que incluye cinco actividades de tratamiento, indica: “El listado completo de medidas se encuentra desarrollado en el documento de análisis de riesgos y en el documento de seguridad. Véase también el procedimiento de actuación ante brechas de seguridad”. Enumera el tratamiento de los siguientes tipos de datos para la actividad de tratamiento “CLIENTES”: - “Datos identificativos”: DNI-NIF; dirección; teléfono; firma manual o digitalizada; nombre y apellidos; CCC/IBAN; correo electrónico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 - “Otras categorías de datos personales”: INFORMACIÓN COMERCIAL; ECONÓMICOS, FINANCIEROS Y DE SEGUROS; TRANSACCIONES DE BIENES Y SERVICIOS; - “Datos de categorías sensibles”: no incluye ninguno; - “Datos relativos a infracciones”: no incluye ninguno. Para la actividad de tratamiento “FACTURACIÓN – CONTABILIDAD – GESTIÓN FISCAL" enumera los mismos tipos de datos, salvo firma e información comercial. En el apartado 4, RAT de abril de 2024 y por tanto posterior a la brecha, AXARNET en las “Medidas de seguridad aplicadas en los tratamientos de este registro”, indica: “El listado completo de medidas se encuentra desarrollado en el documento de análisis de riesgos y en el documento de seguridad. Véase también el procedimiento de actuación ante brechas de seguridad.” Solicitado en un primer requerimiento, AXARNET no aporta el “documento de seguridad” que menciona en su RAT. Solicitado el “procedimiento de actuación ante brechas de seguridad”, AXARNET aporta documento en el que no se describen medidas de seguridad. Solicitados los Análisis de Riesgos inmediatamente anterior y posterior al incidente, AXARNET aporta en su respuesta a ese requerimiento únicamente AR de 23 de abril de 2023, anterior a la brecha, para la actividad de tratamiento “CLIENTES”, que incluye la siguiente indicación, referida al cifrado de datos “especialmente críticos o sensibles”: “Amenaza Seguridad - Pérdida de confidencialidad por no cifrar los datos especialmente críticos o sensibles La organización ha implementado políticas de cifrado de los datos especialmente críticos o sensibles. En caso de no ser posible el cifrado, se han adoptado medidas de seguridad de similar eficacia. Se verifica periódicamente que los algoritmos de cifrado utilizados son seguros y válidos” Es decir, según la información que consta en el RAT y en el AR proporcionados a esta Agencia, las políticas de cifrado de AXARNET estaban orientadas a “datos especialmente críticos o sensibles”, entre los que no se encontraba ninguno de los mencionados en las actividades de tratamiento. En el apartado 7, “Conclusiones”, indica: “Según nuestra opinión profesional, las Medidas de Seguridad Técnicas y Organizativas implantadas por ASOCIACION DE EMPRESARIOS DE FONTANERIA GAS CALEFACCION CLIMATIZACION SANEAMIENTO MANTENIMIENTO Y AFINES DE ATURIAS (ASINAS), SON ADECUADAS a fin de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 garantizar y poder demostrar que el tratamiento de datos es conforme con el Reglamento UE 679/2016 (…). Por ello, el nivel de cumplimiento de las obligaciones de seguridad sobre las actividades de tratamiento de datos personales realizados por AXARNET COMUNICACIONES, S.L., es: NIVEL DE RIESGO ACEPTABLE con salvedades leves”. La no coincidencia en las entidades evidencia falta de control sobre el contenido de ese documento. Solicitada la descripción detallada de las medidas de pseudonimización y cifrado de datos personales adoptadas con posterioridad a la brecha, o justificación del motivo para no haberlas adoptado, AXARNET indica en [18]: (…). En pág.23 de la contestación al requerimiento, menciona las siguientes (…) Solicitados en nuevo requerimiento los análisis de riesgos anterior y posterior a la brecha correspondientes a la actividad de tratamiento “FACTURACIÓN CONTABILIDAD - GESTIÓN FISCAL”, AXARNET aporta los documentos AR de 30 de enero de 2024, y AR de 30 de septiembre de 2024. En AR de 30 de enero de 2024, establece: “(…) determinamos que: Las medidas correctoras propuestas son suficientes para reducir el riesgo inherente a un riesgo residual aceptable. El plazo de implantación de las acciones es de 3 a 6 meses, para la implementación de las mismas”. AXARNET no acredita la fecha de implantación de esas medidas. Siendo el AR de 30 de enero de 2024 y el plazo de implantación de las medidas de 3 a 6 meses, no parece probable que las mismas estuvieran implantadas cuando se inició la brecha (7 de febrero de 2024). En AR de 30 de septiembre de 2024, menciona las ya citadas en la contestación al requerimiento, pág. 23. Preguntada en el segundo requerimiento por la relación detallada de las medidas técnicas de seguridad preventivas aplicadas antes de la brecha, AXARNET manifiesta: “Antes de la ocurrencia del incidente, nuestra entidad implantaba un conjunto de medidas técnicas y organizativas, diseñado para garantizar la protección de los datos personales en el marco de la actividad de tratamiento “FACTURACIÓN – CONTABILIDAD – GESTIÓN FISCAL”, estas medidas las detallamos en el ANEXO III - RELACION DETALLADA DE LAS MEDIDAS TECNICAS IMPLANTADAS”. Aporta relación de medidas de seguridad implantadas en los sistemas informáticos de AXARMET COMUNICACIONES S.L., que lleva fecha 3 de abril de 2025, por lo que no puede ser considerada anterior a la brecha. Respecto de la seudonimización de los datos, indica (apartado 8) que (…). Respecto de la codificación-cifrado, indica (apartado 9) que (…). No menciona medidas de control de software, ni sistemas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/31 monitorización de accesos indebidos o de transferencias de datos en tiempo real aplicables a la brecha. Solicitada una relación detallada de medidas técnicas de seguridad preventivas adicionales aplicadas tras la brecha, AXARNET manifiesta: “Con posterioridad al incidente se han implantado las siguientes medidas: - (…) Estas acciones se tomaron como medidas preventivas adicionales para mitigar riesgos y reforzar la seguridad.” AXARNET aporta el informe de consultoría, de 12 de marzo de 2024, en el que indica: “La Entidad realiza revisiones y auditorías de protección de datos de forma periódica, adecuadas al riesgo”. Solicitada copia de las auditorías anterior y posterior a la brecha, AXARNET manifiesta en: “Auditoría Anterior: Asimismo, se pone a disposición de esa Agencia la documentación interna correspondiente al análisis de riesgo anteriormente citado realizado en enero de 2024. Ya obra en poder esta Agencia el Registro de Actividades de Tratamiento. Estos documentos acreditan que, si bien existían controles preventivos, la vulnerabilidad explotada derivó de un componente de terceros, cuya actualización y corrección se llevó a cabo de forma inmediata una vez detectado el incidente por nuestro departamento de sistemas.” AXARNET aporta la auditoría de 16 de diciembre de 2024 y el Certificado ISO/IEC 27001: 2017, de 9 de mayo de 2024. El informe de auditoría de 16 de diciembre de 2024 incluye una “Tabla de Programación de actividades de auditoría del ciclo completo de certificación”, en la cual aparece como “Auditoría completa” la realizada en abril de 2022 al “CPD, Vigo”, que AXARNET no aporta. Asimismo, manifiesta: “Auditoría Posterior: Se adjunta copia de la auditoría técnica realizada por AENOR, fechada el 09 de diciembre de 2024, la cual evalúa la eficacia de las medidas correctoras adoptadas tras la brecha, comprobando la plena conformidad del Sistema de Gestión de Seguridad con los requisitos de la norma ISO 27001. Se adjunta la auditoria y el certificado de cumplimiento como ANEXO V - AXARNET AUDITORIA AENOR ISO 27001 Y CERTIFICADO” En el certificado de 9 de mayo de 2024, AENOR certifica que “AXARNET COMUNICACIONES, S.L. dispone de un sistema de gestión de seguridad de la información conforme con la norma UNE-EN ISO/IEC 27001:2017” para “Los sistemas de información que dan soporte a las actividades de: Alojamiento de servidores dedicados y sus comunicaciones, manos remotas 24x7, operación, explotación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 supervisión y monitorización de los mismos alojados en el Centro de Datos ubicado en (…)”. Esos mismos sistemas también se mencionan en el Informe de auditoría como parte de la auditoría AS2 de abril de 2024. La auditoría no menciona la realización de pruebas de penetración. Respecto de la tercera reclamación por la inadecuada atención a sus derechos: En su reclamación, el afectado manifiesta que no tenía vínculo con AXARNET desde febrero de 2018, y que no obtuvo una respuesta satisfactoria a su solicitud de información. “No recuerdo haber contratado ningún servicio con esta compañía (…), les pregunté de qué datos míos disponían míos en febrero de 2018, a lo cual se me han contestado vaguedades. En resumen, al parecer esta empresa ha custodiado datos personales míos desde hace más de seis años, datos que han sido imprudentemente expuestos a terceros, sin que conste la razón por la que lo hacían (…).” Aporta junto con su reclamación, copia de los siguientes correos electrónicos con AXARNET (se presentan aquí en orden cronológico): - 22 de febrero de 2024. Remitente: ***EMAIL.1 Destinatario ***EMAIL.2 Comunicación de la brecha, en la que indica: “El estado de su cuenta de cliente en nuestro CRM es inactivo/cancelada y sus datos se guardan de forma temporal (6 años) conforme a la normativa española”. - 20 de marzo de 2024. Remitente: ***EMAIL.2 Manifiesta que no recuerda haber contratado ningún servicio con su empresa, y solicita que le indiquen qué actividad o servicios o estaban activos a su nombre. - 20 de marzo de 2024. Remitente: ***EMAIL.1 Respuesta automática de AXARNET, indicando el escalado del tique. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/31 - 4 de abril de 2024. Remitente: ***EMAIL.1 Destinatario ***EMAIL.2 Respuesta posterior en la que se indica: “No nos consta ningún servicio en su ficha de cliente vinculada a la cuenta de correo desde la que nos escribe”. - 10 de julio de 2024. Remitente: ***EMAIL.2 Manifiesta ha recibido en su correo la comunicación de la brecha y asimismo la respuesta de inexistencia de datos de cliente vinculados a esa cuenta de correo. - 10 de julio de 2024. Respuesta posterior, no relacionada con la solicitud. Se solicitan en requerimiento: listado completo de los datos personales del reclamante, actividades de tratamiento aplicadas a esos datos, base legitimadora para el tratamiento de esos datos, y en su caso, acreditación documental del consentimiento por parte del reclamante para el tratamiento de sus datos personales. AXARNET manifiesta: “En relación con los datos proporcionados por A.A.A., y tras su correspondiente revisión por nuestra parte, desde AXARNET COMUNICACIONES, S.L. se ha detectado una duda razonable sobre la veracidad de estos. En concreto, se ha constatado que el número de teléfono facilitado en la ficha del cliente corresponde al de AXARNET COMUNICACIONES, S.L. y no al del interesado, lo cual implica la aportación de datos falsos en el momento del alta. De conformidad con el principio de exactitud establecido en el artículo 5.1.

1. d)del RGPD, y una vez finalizado el procedimiento actual, se procederá a la supresión de los datos del interesado, al haberse verificado su inexactitud.” “Los datos personales del reclamante constan en las actividades de tratamiento CLIENTES y FACTURACION-CONTABILIDAD-GESTION FISCAL, debido a que en el pasado ha mantenido una relación comercial con AXARNET debido a la contratación de los productos ofertados por la entidad. Actualmente la cuenta correspondiente al reclamante se encuentra en estado cerrado, sin tener productos activos ni registros de información financiera, ya que no se han efectuado compras ni se mantienen relaciones comerciales activas.” “El tratamiento de los datos personales del reclamante se fundamenta en: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/31 - el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; - el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento” “En este caso, no resulta procedente la acreditación documental del consentimiento del reclamante para el tratamiento de sus datos, puesto que dicho tratamiento se efectúa en el marco del cumplimiento de la ejecución de un contrato en el que el interesado fue parte. El mantenimiento de registros históricos se sustenta en las bases legales anteriormente expuestas, sin requerir una manifestación expresa de consentimiento adicional, dada la condición de cuenta cerrada y la inexistencia de actividad de tratamiento con fines comerciales.” AXARNET no acredita la relación contractual ni consentimiento por parte del reclamante, ni la respuesta proporcionada al mismo en respuesta a su solicitud. En la págs. 19 y 20 del RAT, AXARNET establece los plazos previstos para la supresión de las diferentes categorías de datos. El AR indica: “Amenaza Categorías especiales de datos - Fallos o errores sistemáticos u ocasionales para recabar el consentimiento expreso cuando éste sea la causa que legitima su tratamiento o cesión. La organización ha establecido procedimientos que garantizan la obtención del consentimiento expreso (y por escrito cuando sea necesario) y que permitan probar que se cuenta con él.” “Amenaza Derechos de los interesados - Dificultar o imposibilitar el ejercicio de los derechos de los interesados. La organización ha Implantado sistemas que permiten a los afectados acceder de forma fácil, directa y con la apropiada seguridad a sus datos personales, así como ejercitar sus derechos. Se ha definido qué personas o departamentos se ocuparán de gestionar los derechos de los interesados y formarlos adecuadamente.” “Amenaza Derechos de los interesados Carencia de procedimientos y herramientas para la gestión de los derechos de los interesados. Carencia de procedimientos y herramientas para la comunicación de rectificaciones, cancelaciones u oposiciones a los cesionarios de los datos personales. La organización ha puesto en marcha herramientas que garantizan que todos los empleados conocen cómo actuar ante un ejercicio de derechos de los interesados y que pueden suministrar la información adecuada a los afectados. Se ha facilitado información a los empleados encargados de gestionar los ejercicios de derechos de los interesados. Se han establecido procedimientos de gestión y puesta en marcha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 de herramientas que garanticen la comunicación de rectificaciones, cancelaciones y oposiciones a las organizaciones a las que se hayan cedido los datos personales de que se trate. Se han establecido acuerdos y procedimientos de gestión y comunicación con los cesionarios de la información que garanticen la correcta actualización de los datos personales cedidos.” Pese a manifestar la existencia de mecanismos para la atención al ejercicio de los derechos relacionados con la protección de los datos personales de sus clientes, AXARNET no acredita que en este caso se siguieran los mismos. OCTAVO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad AXARNET COMUNICACIONES, S.L. es una pequeña empresa, constituida en el año 2002 y con un volumen de negocios de 7.741.475 euros, en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
2. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/31 El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que AXARNET COMUNICACIONES, S.L. realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas y jurídicas: nombre, apellidos, nombre de empresa, correo electrónico, dirección fiscal, ciudad, provincia, código postal, país de residencia, teléfono, DNI/CIF, cuenta bancaria, productos contratados por el cliente, facturas emitidas. AXARNET COMUNICACIONES, S.L. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Integridad y confidencialidad. Artículo 5.1.
3. f)del RGPD. La letra
4. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
5. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." Como se ha constatado durante las actuaciones previas de investigación, en la notificación inicial de la brecha, se apuntó que, a través de una vulnerabilidad de un programa empleado y comercializado por una empresa ajena, un tercero accedió a su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/31 CRM, descargando información, de tal forma que de un total de 5 Gbs de información se descargaron unos 645 Mbs de datos, desconociendo los datos a los que se tuvo acceso. Según ha manifestado la propia entidad, la brecha se produjo por un ciber-ataque mediante la introducción de código aprovechando una vulnerabilidad en un módulo auxiliar del programa de gestión de clientes y facturación. AXARNET manifiesta como objeto del ataque sus CRM y ERP. Así consta en la notificación de la brecha donde manifiesta que “(…) (…) (…)”; y en el informe que acompaña a su denuncia ante la Guardia Civil indica que “(…) (…) (…)”. Por otra parte, la propia entidad indica como causa: - “(…) brecha de seguridad en ***SISTEMA.2, desarrollado por ***EMPRESA.2 para ***SISTEMA.1 (…) utilizada para automatizar la facturación, el soporte y la gestión de clientes.” - “Recientemente, se han identificado vulnerabilidades en ***SISTEMA.2 (…)” Entre esas vulnerabilidades, AXARNET menciona: (…) Con respecto a los datos afectados, la brecha afectó aproximadamente a unas 50.000 personas, con datos bancarios de unas 11.300 de ellas, y según consta, durante la brecha se descargó un volumen aproximado de 645MB de estos datos, viéndose afectados los siguientes datos personales: Nombre; Apellidos; Nombre de empresa (en el caso de disponerla); Correo electrónico; dirección fiscal; Ciudad; Provincia; Código Postal; País de residencia; teléfono (en el caso de disponerlo); DNI/CIF; Cuenta bancaria (en el caso de disponerla); Productos contratados por el cliente (en el caso de disponerlos); Facturas emitidas (en el caso de disponerla). Durante las actuaciones previas de investigación se han puesto de manifiesto muy importantes deficiencias en las medidas directamente relacionadas con la brecha de datos personales que habrían contribuido a su materialización. En primer lugar, AXARNET no ha proporcionado información sobre las medidas adoptadas para prevenir las vulnerabilidades conocidas en ***SISTEMA.1 antes de la brecha o con posterioridad a la misma. Tampoco ha proporcionado información sobre las versiones de ***SISTEMA.1 instaladas antes y después de la brecha, pese a haber sido requerida. En el informe técnico que proporcionó a la Guardia Civil en su denuncia, tampoco menciona esa información. En segundo lugar, las actuaciones de investigación han permitido constatar que los atacantes extrajeron aproximadamente 650MB de la base de datos de clientes, de tipo identificativo y de contacto, así como datos bancarios, no encriptados, hacia una dirección IP en China. Si bien la entidad acredita disponer de registro de logs, manifiesta realizar un seguimiento manual de los mismos y no manifiesta disponer de sistemas automáticos de monitorización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/31 El principio de confidencialidad e integridad, recogido en el citado artículo 5.1
6. f)del RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de manera que se proteja su seguridad frente a accesos no autorizados, usos indebidos o divulgaciones ilícitas. Este principio no se limita a evitar el almacenamiento indebido de la información, sino que exige la implementación de medidas técnicas y organizativos eficaces que impidan que los datos queden expuestos en el momento mismo de su recogida y transmisión. En el presente caso, la entidad no ha acreditado adecuadamente la actualización ni ha detallado las versiones del software afectado que tenía instaladas en el momento de la brecha, del que se conocían vulnerabilidades similares a la aprovechada en el ataque. A esta situación se sumaría el hecho de que AXARNET no manifiesta ni acredita disponer de un sistema de filtrado o alerta de accesos a su red interna por IP de origen, ni tampoco de envío de ficheros voluminosos, desde su red interna a direcciones IP en países de destino poco probables. Asimismo, se subraya que las políticas de cifrado de AXARNET estaban orientadas a “datos especialmente críticos o sensibles”, entre los que no se encontraba ninguno de los datos afectados por la brecha. La constatación de estas presuntas vulnerabilidades revelaría que los sistemas no contaban con un nivel de protección actualizado ni adecuado al riesgo. Estas deficiencias técnicas habrían facilitado que los datos personales de los clientes pudieran ser interceptados, comprometiendo directamente la confidencialidad e integridad de la información. Ello supondría una vulneración del citado principio, en tanto que la empresa permitió que se materializara un escenario de brecha de datos personales previsible y evitable mediante un mantenimiento adecuado y una gestión proactiva de posibles vulnerabilidades. Por último, la entidad manifiesta haber actualizado tras la brecha el software vulnerado, y haber implantado medidas adicionales de seguridad (…), pero no acredita la instalación de sistemas automáticos de seguimiento de logs, ni de monitorización de posibles intrusiones en tiempo real, por ejemplo. Por tanto, tal y como ha quedado expuesto en las actuaciones de investigación y de la información transmitida, la combinación de las vulnerabilidades descritas permitió la materialización de una brecha de datos personales, constituyendo, por tanto, una infracción del citado principio de confidencialidad e integridad. En consecuencia, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a AXARNET por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
7. f)del RGPD y calificación a efectos de prescripción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/31 El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
10. a)a
11. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
12. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
13. b)la intencionalidad o negligencia en la infracción;
14. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/31
15. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
16. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
17. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
18. g)las categorías de los datos de carácter personal afectados por la infracción;
19. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
20. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
21. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
22. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
23. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
24. a)El carácter continuado de la infracción.
25. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
26. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
27. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
28. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
29. f)La afectación a los derechos de los menores.
30. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
31. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por infracción del artículo 5.1
32. f)del RGPD, procede cuantificar la sanción que se propone, considerando para ello que la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como del artículo 76.2 de la LOPDGDD anteriormente reproducidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/31 Lo anterior implica de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
33. b)y
34. g)y, en aquellos casos en los que el infractor sea una empresa, el volumen de negocios. En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de AXARNET COMUNICACIONES, S.L. es de 7.741.475 euros, en el año 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por la infracción podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de AXARNET COMUNICACIONES, S.L es de 309.659 euros. En consecuencia, teniendo en cuenta el volumen de negocio de AXARNET COMUNICACIONES, S.L el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 20.000.000 euros. Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): Los hechos conocidos inciden directamente en el control que los afectados tienen sobre sus datos personales. Asimismo, excede las expectativas razonables que los interesados puede prever sobre el tratamiento de sus datos personales. Así, los afectados confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas razonables de los afectados respecto al tratamiento de sus datos personales. De acuerdo con la cronología de los hechos, la brecha se inició el día 7 de febrero de 2024, pero no fue detectada hasta el día 20 de febrero, siendo resuelta el 21 de ese mismo mes. Asimismo, debe subrayarse el elevado número (aproximadamente 50.000 personas) de datos personales por cada afectado que se vieron comprometidos. La combinación de este tipo de datos personales eleva significativamente el nivel de riesgo para los derechos y libertades de sus titulares en la medida en que se produce una pérdida de control y disposición de los interesados respectos a todos y cada uno de sus datos personales. Esta amplia afectación amplifica la gravedad de la infracción, dado que existió para cada cliente, riesgo de phishing. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/31  Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): Se considera que concurre una grave negligencia teniendo en cuenta que la conducta del responsable pone de manifiesto una grave falta de diligencia, al no haber aplicado controles operativos mínimos exigibles en el desarrollo de su actividad. El hecho de que los atacantes extrajeran aproximadamente 650MB de la base de datos de clientes, de tipo identificativo y de contacto, así como datos bancarios, no encriptados, hacia una dirección IP en China y que la entidad no haya acreditado adecuadamente la actualización ni haya detallado las versiones del software afectado que tenía instaladas en el momento de la brecha, del que se conocían vulnerabilidades similares a la aprovechada en el ataque, no responde a un error puntual o a una circunstancia accidental, sino a una gestión continuada del entorno sin atender a los riesgos inherentes al tratamiento de datos personales. Este tipo de descuidos estructurales no constituye un fallo técnico aislado, sino un indicador del déficit de atención sistemática a los aspectos más elementales de protección, lo que permite calificar la actuación como negligente en grado grave a efectos de graduación de la sanción, separándose dicha conducta del tipo infractor principal.  Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): Las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso entre los datos personales objeto de la brecha para cada uno de los afectados, se incluye el número del DNI/pasaporte o NIE, así como cuentas bancarias. El tratamiento del número del DNI/NIF/NIE constituye un tratamiento sobre un dato personal de especial sensibilidad, pues permite la identificación directa e inequívoca de una persona física. Tal y como establece el Real Decreto 255/2025, de 1 de abril por el que se regula el Documento Nacional de Identidad, el DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento de especial sensibilidad dentro del ecosistema de datos personales. Además, su utilización indebida conlleva un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Por ello, una interpretación sistemática y finalista del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/31 RGPD —conforme a los considerandos 51 y 75— permite considerar el número del DNI como un dato particularmente sensible, atendiendo a su capacidad de provocar perjuicios significativos en caso de uso no autorizado. En este sentido, a la hora de valorar esta circunstancia, no solo debe hacerse referencia a los tipos de datos cubiertos por los artículos 9 y 10 del RGPD, sino también a los datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas al interesado, tal y como permite el precepto. Asimismo, se consideran los siguientes factores en calidad de agravantes:  La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): AXARNET como consecuencia de su actividad empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados. La realización de su actividad principal implica forzosamente operaciones de tratamiento de datos personales. Así, la infracción se produce en el marco de un tratamiento de datos personales que habitualmente realiza el responsable en su negocio y que se encuentra estrechamente vinculado a este. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
35. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 20.000,00 euros. VII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 5.1.
36. f)de acuerdo con lo establecido en el citado artículo 58.2.
37. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/31 responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a AXARNET COMUNICACIONES, S.L. para que, en el plazo máximo de 6 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: -Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, para garantizar el cumplimiento del principio de confidencialidad establecido en el artículo 5.1.
38. f)del RGPD. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO COMUNICACIONES, S.L., con NIF B97193114, SANCIONADOR a AXARNET - por la presunta infracción del artículo 5.1.
39. f)del RGPD, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructora a R.R.R. y, como secretaria a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/31 CUARTO: QUE a los efectos previstos en el art. 64.2
40. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 20.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a AXARNET COMUNICACIONES, S.L., con NIF B97193114, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 12.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (16.000,00 euros o 12.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/31 1479-021025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 5 de noviembre de 2025, AXARNET ha procedido al pago de la sanción en la cuantía de 12.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
41. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/31 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 12.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, AXARNET ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/31 resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 20.000,00 euros. Tras haber procedido AXARNET COMUNICACIONES, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 12.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202405166, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a AXARNET COMUNICACIONES, S.L. para que en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a AXARNET COMUNICACIONES, S.L.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
42. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/31 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
43. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es