PS-00508-2025

1/24  Expediente Nº: EXP202515726 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 4 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a OVH HISPANO, S.L.U. (en adelante, OVH), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202515726 (PS/00508/2025) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 03/04/2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a OVH HISPANO, S.L.U. con NIF B83834747 (en adelante, OVH). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: El reclamante manifiesta que en fecha ***FECHA.1 procedió a solicitar a OVH la modificación de un dato vinculado a la cuenta de su empresa (dirección de correo de acceso a la plataforma de gestión de OVH), acompañando copia de cierta documentación, entre la que se incluía un formulario completado, su DNI y los certificados de la empresa a la que pertenece. Dicha solicitud se realizó mediante el envío de un e-mail a la cuenta “procedimiento@ovh.es”. Dice que "desde aquel momento y hasta el día de hoy estoy en copia de cada email que otros usuarios envían a procedimiento@ovh.es recibiendo así su solicitud, sus dni y certificados de empresa. Hablamos de + de 100 emails. Por ende, doy por hecho que ha ocurrido lo mismo con el email que envié el día ***FECHA.1 para completar mi solicitud". Junto al escrito de reclamación, se aporta la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24  Captura de pantalla de un correo electrónico, de ***FECHA.1, remitido por la parte reclamante a la entidad reclamada en el marco del procedimiento número “(...)”, como se indica en la línea del asunto y en el cuerpo del correo. En el correo se recogen los siguientes datos personales: nombre y apellidos de quien reclama y copia escaneada de su DNI por ambas caras.  Captura de pantalla de la bandeja de entrada de la cuenta de correo electrónico de la parte reclamante en la que se visualizan numerosos correos electrónicos (40 aproximadamente) de cuyos asuntos se desprende que son solicitudes de otros clientes para cambiar los datos de contacto.  Capturas de pantalla conteniendo el despliegue de algunos de dichos correos en los que se observa que contienen documentos adjuntos como imágenes de DNI, de NIF, escrituras notariales de constitución de sociedades y nombramientos, así como los formularios de solicitud de gestiones solicitadas a OVH.  Captura de pantalla de correo electrónico, de ***FECHA.1, remitido por la parte reclamante a la entidad reclamada en el que indica “Es la segunda vez que me llega la documentación privada de otro usuario de OVH”. Adjunta el documento de identidad de un tercero.  Captura de pantalla de correo electrónico, de 05/12/2022, remitido por la parte reclamante a la entidad reclamada en el que advierte, entre otras cosas, lo siguiente: “I keep receiving private documentation including ID + Company documents of the users looking to change their email address. I don’t understand why and this is a main break of personal information”. “Sigo recibiendo documentación privada que incluye DNI + documentos de empresa de los usuarios que quieren cambiar su dirección de correo electrónico. No entiendo por qué y esto es una brecha principal de información personal” (traducción no oficial).  Captura de pantalla de correo electrónico de 20/12/2022 remitido por la parte reclamante a la entidad reclamada en el que manifiesta lo siguiente: “He recibido alrededor de 10 emails en los que se me comparte la documentación y solicitud de cambio de contactos de personas que desconozco. Todas ellas, envían su información personal a procedimiento@ovh.es y las recibo yo. Por favor dejen de enviarme la información de otros”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se dio traslado de dicha reclamación a OVH, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 30/05/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 29/6/2023 y 3/7/2023 tuvieron entrada sendos escritos de respuesta al traslado de la reclamación realizada a OVH, para que procediese al análisis de dicha reclamación y diese respuesta en el plazo de un mes. El representante de OVH informó de lo siguiente: “Primero. – El origen de la reclamación se halla en la solicitud de cambio de correo electrónico que el reclamante formuló ante OVH en fecha (…), mediante el envío de un e-mail a la cuenta procedimiento@ovh.es. A este respecto, interesa destacar que OVH dispone de un procedimiento específico por el que se tramitan dichas solicitudes (…).  El cliente debe escribir a la dirección de correo procedimiento@ovh.es para solicitar la modificación de los datos asociados a su ficha, acompañando la documentación acreditativa de su identidad y, si se trata de una persona jurídica, determinada documentación complementaria.  En caso de que el solicitante no haya presentado la documentación, se le envía un correo electrónico automático, requiriéndole para que la aporte.  Una vez el solicitante aporta la documentación, se le responde con otro correo electrónico automático, informándole que el cambio de sus datos se ha hecho efectivo. Se adjunta, (…), copia del procedimiento de solicitud de modificación de datos de clientes. Segundo. – En cumplimiento de dicho procedimiento, tras la recepción del correo en el que el reclamante solicitaba un cambio de datos, se le envió un e-mail automático en el que se le solicitaba que facilitase la documentación preceptiva para poder tramitar su petición. El reclamante respondió ese mismo día, aportando la documentación requerida y, a través de una respuesta automática, se le confirmó que su petición había sido aceptada y se había hecho efectiva. Tercero. – Los días (…), el reclamante se puso en contacto con OVH, escribiendo sendos correos electrónicos a procedimiento@ovh.es, en los que informaba de que estaba recibiendo e-mails enviados por otros clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 La queja fue recibida por un agente de OVH. No obstante, éste no interpretó correctamente los hechos que el reclamante estaba poniendo de manifiesto, por lo que no informó de ellos al Contacto de Seguridad o al Delegado de Protección de Datos de la entidad, sino que decidió cerrar el expediente, saltándose los procedimientos internos establecidos al efecto, y, por tanto, vulnerando sus deberes laborales. Cuarto. – La primera noticia que OVH ha tenido de estos hechos fue al recibir el requerimiento de la AEPD, en fecha 30 de mayo de

1. Inmediatamente, se inició una investigación interna, tras la que se ha concluido que el acceso del reclamante a los emails enviados por otros clientes tiene su causa en que su cuenta de e-mail se dio de alta, por error, en una lista de difusión. Ello se produjo por un fallo del sistema informático de envío de e-mails durante el proceso de modificación de sus datos personales. Así, en fecha de (...), se le envió por error un correo automático, en el que, en relación con su solicitud de modificación de datos, se le informaba indebidamente de que podía suscribirse a una lista de difusión mandando un correo electrónico a procedimiento-suscribe@ovh.es. El reclamante, atendiendo dichas indicaciones, se suscribió a la indicada lista y, posteriormente, ratificó dicha inscripción, respondiendo a un correo de confirmación y recibiendo a continuación un último correo automático en el que se le informaba de que había sido incluido en la lista de difusión. Como resultado de ello, los correos enviados por otros clientes a la cuenta procedimiento@ovh.es fueron recibidos también por el reclamante. Quinto. – Tras el análisis de la incidencia, se ha concluido que, no resulta susceptible de provocar consecuencias de alto impacto para los clientes afectados. Se trata de un hecho puntual y aislado, que tiene su origen en un error técnico, que ya ha sido corregido, y que no habría tenido mayores consecuencias de no ser por el hecho de que el agente de OVH encargado de atender la petición del reclamante no cumplió el procedimiento interno y no informó al DPO de la compañía de los hechos que el reclamante estaba poniendo de manifiesto. Los datos de terceros a los que se ha accedido indebidamente son sólo nombre, apellidos, DNI y dirección postal y sólo ha accedido a ellos el propio reclamante, sin que conste que haya hecho un uso ulterior de los mismos. Además, ya ha sido requerido por escrito para que se abstenga de utilizar dichos datos y los elimine de forma inmediata. Por último, no parece previsible que el reclamante vaya a hacer un mal uso de los datos de terceros, dado que fue él mismo quien comunicó la situación al agente de OVH desde el primer momento. Sexto. – No obstante lo anterior, en el mismo momento en que se han conocido los hechos, se ha procedido a la adopción de las siguientes medidas:  Se eliminó el correo del reclamante de la lista de distribución, para que cesase de forma inmediata la recepción de correos indebidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/24  A nivel técnico, se subsanó el error informático que provocó que se enviase indebidamente un correo automático para la suscripción en la mailing list cuando el reclamante solicitó la modificación de sus datos.  Se contactó por correo electrónico con el reclamante, para confirmarle la eliminación de su dirección de correo electrónico de la lista de difusión y para solicitarle que procediese a la destrucción de toda aquella información de terceros que hubiese recibido indebidamente. Se adjunta (…) la comunicación dirigida al interesado  Se procedió a registrar internamente la incidencia y a comunicar a la Agencia Española de Protección de Datos la brecha de seguridad, de conformidad con el artículo 33 del Reglamento General de Protección de Datos (RGPD). Se adjunta (…) la comunicación de la brecha de seguridad y (…) el registro interno de la misma.  Para prevenir que estos hechos puedan reproducirse en el futuro, OVH ha difundido un comunicado a los empleados de la compañía para reforzar la importancia de cumplir su obligación de ponerse en contacto con el Delegado de Protección de Datos y/o el Contacto de Seguridad si se tienen dudas o sospechas sobre un suceso que pueda derivar en una brecha de seguridad de datos personales o el ejercicio de derechos reconocidos en la normativa de protección de datos. Se adjunta (…) el documento que contiene el comunicado. Se adjunta (…) el procedimiento de respuesta al ejercicio de derechos y el procedimiento de gestión y notificación de brechas de seguridad de la compañía. Séptimo. – Que, en relación con otras cuestiones que puedan resultar de interés, OVH manifiesta lo siguiente:  Tiene designado un Delegado de Protección de Datos, (…). Adicionalmente, recibe asesoramiento por parte de un despacho experto en la materia.  OVH muestra su total voluntad en colaborar con la Agencia Española de Protección de Datos.  Ha desarrollado un Curso de Protección de Datos que deben hacer obligatoriamente todos los empleados y que se encuentra disponible en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 Intranet de la entidad. Mediante dicho curso, se forma a los usuarios sobre sus obligaciones en esta materia y la necesidad de cumplir los protocolos establecidos por la empresa al respecto. Se adjunta (…) pantallazo de la Intranet de la compañía donde queda constancia de la publicación de los cursos formativos.  Dispone de un documento de Medidas de Seguridad, en el que se recogen una serie de medidas y procedimientos que se deben cumplir al objeto de garantizar la seguridad y confidencialidad de los datos personales. Se adjunta (…) copia de la Política de Información y Comunicación. […] Solicita que (…) tenga por respondido el requerimiento de información, acordándose el archivo de la reclamación, al haberse producido los hechos como resultado de un fallo técnico que ya ha sido corregido (…) sin que conste que se hayan causado perjuicios a los interesados titulares de los datos ni que sea previsible que dichos perjuicios puedan producirse en el futuro (…)”. Con su respuesta al traslado, OVH aportó diversa documentación. Interesa detallar a continuación el contenido de la siguiente:  Anexo Nº 1-B: Copia de correo electrónico remitido al reclamante con fecha 07/06/2023 en el que se indica lo siguiente: “De conformidad con su solicitud le informamos de que hemos procedido a eliminar su dirección de correo electrónico de la lista de difusión por lo que ya no recibirá en copia los correos electrónicos remitidos a la cuenta procedimiento@ovh.es [mailto: procedimiento@ovh.es]. Debe tener en cuenta que los correos electrónicos que ha recibido por error contienen información reservada, por lo que le rogamos que lo destruya inmediatamente, notificándonoslo a esta misma dirección e-mail, completando el documento adjunto.” El correo incluye pie de firma en el que consta la identidad del remitente y su cargo (A.A.A.). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24  Anexo nº 2: Recibo de presentación en el Registro General de la AEPD, de fecha 08/06/2023 y nº de registro REGAGE23e00037047005, del formulario de notificación de brecha de seguridad cumplimentado. Resulta relevante destacar la información consignada en los siguientes campos del formulario: C/ Jorge Juan, 6 28001 – Madrid  La intención es notificar una nueva brecha de datos personales.  El número aproximado de personas físicas sobre las que se recoge, almacena o trata datos personales de otra forma; referido exclusivamente al tratamiento sobre el que se ha producido la brecha de datos personales, es de
2.  El origen del incidente ha sido interno: personal o sistemas bajo el control del responsable del tratamiento.  ¿Qué puede haber ocurrido?: Datos personales enviados por error (postal o electrónicamente).  Como consecuencia confidencialidad.  Los datos afectados por la brecha de confidencialidad no estaban cifrados de forma segura, anonimizados o protegidos de forma que fueran ininteligibles para quien hubiera podido tener acceso.  Entre las posibles consecuencias que podría haber ocurrido se indica la usurpación de identidad y la pérdida de control sobre los datos personales.  Las personas no se verán afectadas por las consecuencias identificadas o pueden encontrar algunos inconvenientes muy limitados y reversibles que superaran sin ningún problema (tiempo de reingreso de la información, molestias, irritaciones, etc.).  No se ha tenido constancia de que se haya materializado alguno de los daños identificados y se valora como baja la probabilidad de que tales daños se materialicen sobre las personas afectadas.  Se describe brevemente el incidente.  Los tipos de datos afectados son: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE; Pasaporte y/o cualquier otro documento identificativo y datos de contacto.  Entre las personas afectadas no hay menores ni miembros de colectivos vulnerables. del incidente se ha visto afectada la www.aepd.es sedeaepd.gob.es 8/24   Las personas afectadas son los clientes de la reclamada y ciudadanos (aproximadamente 186).  La fecha de detección de la brecha y en la que se dio por resuelta: 30/05/
3.  La fecha de inicio de la brecha: (…).  La brecha se ha detectado mediante otros.  Se reconoce que la brecha ha obedecido a un fallo, deficiencia o incumplimiento de las medidas de seguridad implementadas que podría haberse evitado adoptando alguna medida de seguridad adicional.  Se informa que se han adoptado nuevas medidas de seguridad (que podrían haber evitado la brecha) con relación a los niveles de acceso a los datos y que se ha anotado la brecha en su registro interno de incidentes.  Se indica que las personas afectadas no serán informadas porque no existe riesgo alto para sus derechos y libertades.  Se hace constar que la notificación se considera COMPLETA y que no está previsto aportar más información a la Autoridad de Control. Anexo nº 3: Registro de Brecha de Seguridad de Datos Personales en OVH HISPANO, S.L.U. En el registro interno de la brecha se reproduce la información facilitada en el formulario de notificación a esta Agencia sobre el incidente objeto de este procedimiento. Además, incluye una valoración de la violación de seguridad que OVH precisa haber realizado teniendo en cuenta la Guía para la notificación de brechas de datos personales publicada por la AEPD, las Directrices 9/2022, las Directrices 01/2021 sobre ejemplos relativos a la notificación de brechas de datos personales y las herramientas AsesoraBrecha RGPD y Comunica-Brecha RGPD de la AEPD:  C/ Jorge Juan, 6 28001 – Madrid “Tipo de brecha de datos personales: La brecha de seguridad ha afectado a la confidencialidad de los datos personales de clientes de la compañía (en adelante, los afectados). En concreto, (…) los datos personales han sido comunicados por un error técnico, como consecuencia del envío de un correo electrónico al reclamante que le habilitó a inscribirse en una lista de difusión de carácter interno. No obstante, el acceso no autorizado que ha provocado esta pérdida de confidencialidad no puede considerarse masivo. www.aepd.es sedeaepd.gob.es 9/24   C/ Jorge Juan, 6 28001 – Madrid Naturaleza, carácter sensible y el volumen de datos personales:  Naturaleza: Se considera poco probable que el acceso no autorizado a la información indicada de la afectada cause daños y perjuicios sustanciales, teniendo en cuenta que no ha habido un acceso o una exposición/publicación externa de dicha información y que al acceso no ha sido generalizado.  Carácter sensible: La brecha de seguridad no ha afectado a categorías especiales de datos (datos sensibles).  Volumen de datos personales: Se han visto afectados los datos personales de ciento ochenta y seis