← España

PS-00511-2025

1/32  Expediente Nº: EXP202409350 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de febrero de 2026, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. (en adelante, ALÍA GESTIÓN), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202409350 Referencia IMI: A56ID 855923 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 26 de abril de 2024, se notificó a esta Agencia una brecha de datos personales por parte de ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. con CIF B91708263 (en adelante, ALÍA GESTIÓN). En el escrito recibido se informaba, entre otros aspectos, de lo siguiente: - “El 24 de abril de 2024, a las 06:02 AM, los sistemas de seguridad informática de ***EMPRESA.1 identificaron y respondieron a un intento de ataque de Ramsomware. La rápida detección del ataque ha permitido reforzar las medidas de seguridad existentes, garantizando la continuidad de gran parte de los sistemas esenciales para la prestación de servicios. La principal hipótesis es la vulneración de las credenciales de un usuario de la red privada virtual (VPN) de ***EMPRESA.1 y su certificado digital. Los atacantes habrían podido obtener acceso remoto a la red interna, desplegando técnicas avanzadas de intrusión sin ser detectados inicialmente. Las técnicas empleadas, sugieren un estudio meticuloso por parte de los atacantes, quienes lograrían explotar debilidades no parcheadas. Con este acceso realizaron un reconocimiento de la red de servidores, con un archivo binario de baja prevalencia, no registrado previamente por el SGSI de ***EMPRESA.1. Posteriormente, los atacantes implementaron técnicas de movimiento lateral para explorar y ganar control C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/32 sobre otros sistemas dentro de la red. A través de Windows (WMI han ejecutado scripts a través de SMB, desinstalando de protecciones de seguridad clave como el sensor de Falcon, y alteraron configuraciones como el DNS, redirigiéndolo a una dirección maliciosa. Se han encriptado datos en 31 equipos (un 3% de los servidores de ***EMPRESA.1), afectando la disponibilidad de sistemas, volviéndose inaccesibles, revocando y bloqueando las credenciales de usuarios.” - Información sobre los afectados: 12.500 afectados (empleados y otros) de más de un Estado miembro y terceros países. - ¿Hay personas afectadas por la brecha en otros estados miembros de la UE? Sí. Reino Unido

(20), Irlanda
(250), Italia
(10), Polonia
(50)y Portugal
(10). - Tipos de datos afectados: datos básicos (ej: nombre, apellidos, fecha de nacimiento), imagen (Fotos o vídeos), DNI, NIE, pasaporte y/o cualquier otro documento identificativo; datos de contacto, de salud (exclusivamente de empleados, los imprescindibles para la relación laboral), credenciales de acceso o identificación (usuario y/o contraseña). - El incidente ha sido intencionado, para hacer daño al responsable/encargado o a las personas afectadas. - El origen del incidente ha sido: externo. responsable/encargado o a las personas afectadas. - ¿Qué puede haber ocurrido? Ciberincidente: Dispositivo cifrado / secuestro de información, Ciberincidente: Acceso no autorizado a datos en sistema de información (corporativo o servicio en internet). - Como consecuencia del incidente, se ha visto afectada la: confidencialidad, disponibilidad. C/ Jorge Juan, 6 28001 – Madrid Otros, ajenos al www.aepd.es sedeaepd.gob.es 3/32 - Referido específicamente a los datos por la brecha de confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que son ininteligibles para quien haya podido tener acceso o no se puede identificar a las personas? No. - Referido específicamente a los datos por la brecha de disponibilidad. ¿Se ha recuperado la disponibilidad de los datos personales de forma que pueden ser tratados con normalidad? Todavía no, pero se recuperará en breve. - ¿Qué puede haber ocurrido? Aún desconocido. - ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas? Aún desconocido. - Información temporal de la brecha indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales: 24 de abril de
  1. - ¿Conoce la fecha en la que se inició la brecha? La fecha exacta. - Indique la fecha de inicio de la brecha: 24 de abril de
  2. - La brecha se ha detectado mediante: medios de detección implementados proactivamente por el responsable o encargado de tratamiento. - Marque las medidas de seguridad implementadas en la organización antes del suceso de la brecha: (…). - ¿Se podría haber evitado la brecha adoptando alguna medida de seguridad adicional? Desconocido. ¿Se ha producido el incidente por algún fallo deficiencia o incumplimiento de medidas de seguridad implementadas? Desconocido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/32 - ¿Ha actualizado su registro de incidentes con la información de esta brecha de datos personales? Sí. ¿Ha adoptado tras el incidente nuevas medidas de seguridad que podrían haber evitado la brecha? No. ¿Ha adaptado/mejorado sus procedimientos y políticas de seguridad? No. ¿Considera que ha tomado todas las acciones posibles y da por resulta la brecha? Desconocido. - ¿Se ha comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas? Sí. Fecha en la que se informó: 25 de abril de
  3. Número de personas informadas: 12.
  4. Medio por el que se ha informado: comunicación dirigida personalmente a cada afectado (postal, email, sms o similar). - ¿Hay implicado un encargado de tratamiento en la brecha de datos personales? Sí (ALIA GESTION INTEGRAL DE SERVICIOS, S.L., con CIF B91708263). Junto al escrito aportó un documento en el que se indicaba que “El Grupo AYESA, representado por ALIA GESTION INTEGRAL DE SERVICIOS, S.L. (sociedad perteneciente al Grupo AYESA) ha llevado a cabo esta notificación en su condición del responsable del tratamiento y de encargado del tratamiento de la lista de sociedades que aparece a continuación, de la cual tiene autorización (a continuación, se adjunta este listado)”. SEGUNDO: Con fecha 30 de abril de 2024, se notificó a esta Agencia una brecha de datos personales por parte de RED.ES, con CIF Q2891006E (en adelante, RED.ES). En el escrito se indicaba, entre otra, la siguiente información relevante: - “Red.es gestiona su servicio de centro de atención al usuario de todos sus programas de ayudas y servicios públicos (Programa Kit digital...), a través de un contrato público adjudicado a la mercantil ***EMPRESA.
  5. ***EMPRESA.1 ha subido un ataque de ciberdelincuentes (…). El servicio de atención al usuario de Red.es trata datos personales de las personas que se ponen en contacto con el mismo. Red.es es el responsable de esos datos y ***EMPRESA.1 el encargado de tratamiento. Según la información de ***EMPRESA.1 no se ha producido exfiltración de los datos, pero no hay evidencia de que no se haya producido. (…) responsabilidad de esta entidad pública empresarial. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/32 - Información sobre los afectados: 500.000 afectados (clientes/ciudadanos, usuarios), únicamente en España. - Tipos de datos afectados: datos básicos (ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, pasaporte y/o cualquier otro documento identificativo; y datos de contacto. - Como consecuencia del incidente, se ha visto afectada la: disponibilidad. - ¿Hay implicado un encargado de tratamiento en la brecha de datos personales? Sí (***EMPRESA.1, con CIF ***NIF.1). Junto al escrito aportó copia del “Informe Incidente de Seguridad. Prestación servicios de atención y soporte a usuarios servicio” realizado el 26 de abril de 2024 por ***EMPRESA.1 en el que recogen detalles de la brecha de datos sufrida por la citada entidad y que se ha informado a RED.es. En cuanto al número de afectados, el informe indica que está “por determinar”. TERCERO: Con fecha 8 de mayo de 2024, esta Agencia recibió un segundo escrito de ALÍA GESTIÓN con la intención de aportar nueva documentación relacionada con la notificación de brecha de datos efectuada el 26 de abril de
  6. En concreto, copia de las denuncias presentadas por ALÍA GESTIÓN, en fechas 30 de abril y 7 de mayo de 2024 (ampliación), ante la Policía Nacional referentes a la brecha de datos objeto del presente procedimiento sancionador. CUARTO: Entre el 16 de mayo de 2024 y el 28 de junio de 2024 se recibieron en esta Agencia nueve reclamaciones de afectados referentes a la brecha de datos de ALÍA GESTIÓN. Entre los reclamantes se encuentran cinco empleados en activo, tres exempleados y un representante de los trabajadores. En algunos casos, junto con su reclamación, adjuntan copia del correo electrónico remitido el 7 de junio de 2024 por ***EMAIL.1 informando sobre la brecha de datos personales objeto del presente procedimiento sancionador y los datos personales de los que son titulares afectados. QUINTO: Con fecha 25 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite las seis reclamaciones presentadas el 16 de mayo de 2024 y el 4 y 25 de junio de
  7. El resto de las reclamaciones a las que se hace referencia en el hecho cuarto fueron admitidas a trámite el día 15 de julio de
  8. SEXTO: Con fecha 31 de mayo de 2024, se notificó a esta Agencia una brecha de datos personales por parte de FUNDACIÓN AYESA, con CIF G91809228 (en adelante, FUNDACIÓN AYESA). En el escrito se indicaba, entre otra, la siguiente información relevante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/32 - “El 31 de mayo, ALIA GESTION INTEGRAL DE SERVICIOS, S.L. (ALIA), encargada del tratamiento sistemas de los sistemas de FUNDACIÓN AYESA, nos informó que se habían exfiltrado datos personales ***FORO.1 de los que FUNDACION es responsable del tratamiento. (…). En un principio el ciber ataque (…). La publicación de la información se produjo el día 30 de mayo y el 31 se identificó que había datos personales en los que la FUNDACION era responsable del tratamiento.” - Información sobre los afectados: 200 afectados (empleados), únicamente en España. - Tipos de datos afectados: datos básicos y de contacto (ej: nombre, apellidos, fecha de nacimiento), imagen (fotos o vídeos), datos económicos o financieros (sin medios de pago), datos de medios de pago (tarjeta bancaria, etc). También, datos de salud y credenciales de acceso o identificación (usuario y/o contraseña). - Como consecuencia del incidente, se ha visto afectada la: confidencialidad. - ¿Hay implicado un encargado de tratamiento en la brecha de datos personales? Sí, ALÍA GESTIÓN INTEGRAL DE SERVICIOS con CIF B
  9. SÉPTIMO: Con fecha 4 de junio de 2024, se notificó a esta Agencia una brecha de datos personales por parte de E.P.E. ADIF-ALTA VELOCIDAD, con CIF Q2802152E (en adelante, ADIF-ALTA VELOCIDAD). En el escrito se indicaba, entre otra, la siguiente información relevante: - “***EMPRESA.2, en su condición de encargado del tratamiento, informa de que ha sufrido un ataque Ramsonware en el que se ha podido ver comprometida la confidencialidad de la información. El tratamiento de los datos personales afectados (…). En la comunicación recibida se informa que se han adoptado Medidas de Mitigación tales como: (…). Asimismo, se informa de que se ha efectuado la comunicación a la AEPD (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/32 - Información sobre los afectados: 14.000 afectados (clientes/ciudadanos, empleados, otros), únicamente en España. - Tipos de datos afectados: datos básicos y de contacto (ej: nombre, apellidos, fecha de nacimiento), DNI/NIE, pasaporte y/o cualquier otro documento identificativo, datos económicos o financieros (sin medios de pago), datos de medios de pago (tarjeta bancaria, etc). - Entre las personas afectadas, hay menores: sí. - Como consecuencia del incidente, se ha visto afectada la: confidencialidad. - ¿Hay implicado un encargado de tratamiento en la brecha de datos personales? Sí, ***EMPRESA.3 con CIF ***NIF.
  10. OCTAVO: Con fecha 12 de junio de 2024, esta Agencia recibió un tercer escrito de ALÍA GESTIÓN con la intención de “Modificar una notificación hecha con anterioridad para proporcionar información relevante”. En el escrito recibido se proporcionaba información idéntica a la del escrito de 26 de abril de 2024, a excepción de: - “(…) indicando a continuación las medidas adoptadas por ***EMPRESA.1 en calidad de responsable y encargado del tratamiento para minimizar el daño sobre las personas afectadas: (…)”. - ¿Hay personas afectadas por la brecha en otros estados miembros de la UE? Sí. Reino Unido
(120), Irlanda
(40), Italia
(15), Polonia
(70)y Portugal
(10). - Tipos de datos afectados: datos básicos (ej: nombre, apellidos, fecha de nacimiento), imagen (Fotos o vídeos), DNI, NIE, pasaporte y/o cualquier otro documento identificativo; datos económicos o financieros (sin medios de pago), de salud (exclusivamente de empleados, los imprescindibles para la relación laboral), credenciales de acceso o identificación (usuario y/o contraseña). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/32 - Referido específicamente a los datos por la brecha de disponibilidad. ¿Se ha recuperado la disponibilidad de los datos personales de forma que pueden ser tratados con normalidad? Sí. - ¿Qué puede haber ocurrido? Usurpación de identidad. Ser víctima de campañas de phishing/spamming. Pérdidas financieras. - ¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas? Las personas pueden encontrar inconvenientes importantes, produciendo un daño limitado, que podrán superar a pesar de algunas dificultades (costos adicionales, denegación de acceso a servicios comerciales, miedo, falta de comprensión, estrés, dolencias físicas menores, etc). ¿Tiene constancia de que se hayan materializado alguno de los daños identificados, con el grado indicado en la cuestión anterior? No. Cómo valora la probabilidad de que el daño anterior se materialice sobre las personas afectadas con la severidad indicada: baja. - Información temporal de la brecha. Indique la fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales: 24 de abril de
  1. - Marque las medidas de seguridad implementadas en la organización antes del suceso de la brecha: (…). - ¿Se podría haber evitado la brecha adoptando alguna medida de seguridad adicional? Desconocido. ¿Se ha producido el incidente por algún fallo deficiencia o incumplimiento de medidas de seguridad implementadas? Desconocido. - ¿Ha actualizado su registro de incidentes con la información de esta brecha de datos personales? Sí. ¿Ha adoptado tras el incidente nuevas medidas de seguridad que podrían haber evitado la brecha? No. ¿Ha adaptado/mejorado sus procedimientos y políticas de seguridad? No. ¿Considera que ha tomado todas las acciones posibles y da por resulta la brecha? Desconocido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/32 - Fecha en la que se informó a las personas afectadas: 7 de junio de
  2. Número de personas informadas: 5.
  3. Medio por el que se ha informado: telefónica o verbalmente. Comunicación dirigida personalmente a cada afectado (postal, email, sms o similar) con garantía de entrega y lectura. Junto al escrito aportó un anexo en el que se indicaba lo siguiente: “La comunicación ha sido realiza por la sociedad ALIA GESTIÓN INTEGRAL DE SERVICIOS, S.L. (ALIA), que es la sociedad que presta servicios corporativos al resto de las sociedades del grupo, (…). ALIA comunica la brecha en nombre propio, como responsable del tratamiento, y también como encargado del tratamiento de servicios corporativos de las siguientes sociedades del Grupo (…)”. Y, vuelve a incluir el listado de empresas a las que hizo referencia en la primera notificación de brecha y entre las que se incluye, entre otras: ***EMPRESA.3 o ***EMPRESA.
  4. NOVENO: Con fecha 14 de junio de 2024, se notificó a esta Agencia una brecha de datos personales por parte de E.P.E. ADMINISTRADOR DE INFRAESTRUCTURAS FERROVIARIAS, con CIF Q2801660H (en adelante, ADMINISTRADOR DE INFRAESTRUCTURAS FERROVIARIAS). En el escrito se indicaba, entre otra, la siguiente información relevante: - “ADIF ALTA VELOCIDAD (ADIF AV) tiene conocimiento el 03/06/2024 a las 14.14 horas de una posible exfiltración de datos personales. ***EMPRESA.1 ***EMPRESA.2, en su condición de encargado del tratamiento, informa de que ha sufrido un ataque ramsonware en el que se ha podido ver comprometida la confidencialidad de la información. El tratamiento de los datos personales afectados estaría relacionado con los expedientes de expropiación forzosa. (…). Se constata inicialmente, con fecha de 14/06/2024 que existen (…) que afectan también a datos personales cuya responsabilidad del tratamiento es de E.P.E ADIF (…)”. - Información sobre los afectados: 300 empleados, otros), únicamente en España. - Tipos de datos afectados: datos básicos y de contacto (ej: nombre, apellidos, fecha de nacimiento), DNI/NIE, pasaporte y/o cualquier otro documento identificativo, datos económicos o financieros (sin medios de pago), datos de medios de pago (tarjeta bancaria, etc) y datos de localización. - Entre las personas afectadas, hay menores: sí. C/ Jorge Juan, 6 28001 – Madrid afectados (clientes/ciudadanos, www.aepd.es sedeaepd.gob.es 10/32 - Como consecuencia del incidente, se ha visto afectada la: confidencialidad. - ¿Hay implicado un encargado de tratamiento en la brecha de datos personales? Sí, ***EMPRESA.3 con CIF ***NIF.
  5. DÉCIMO: Con fecha 17 de junio de 2024, esta Agencia recibió un segundo escrito de RED.ES con la intención de “Modificar una notificación hecha con anterioridad para proporcionar información relevante” y en el que actualizaba la información aportada hasta la fecha. DÉCIMO PRIMERO: Con fecha 12 de julio de 2024, esta Agencia recibió un segundo escrito de FUNDACIÓN AYESA con la intención de “Modificar una notificación hecha con anterioridad para proporcionar información relevante” y en el que comunicaba las medidas adoptadas desde que tuvo conocimiento del incidente: “(…)”. DÉCIMO SEGUNDO: Con fecha 15 de julio de 2024, esta Agencia recibió un segundo escrito de ADIF-ALTA VELOCIDAD con la intención de “Modificar una notificación hecha con anterioridad para proporcionar información relevante”. En el escrito se comunicaba (i) un nuevo número de afectados
(8541), (
  1. ii)que entre las personas afectadas hay miembros de colectivos vulnerables y (iii) las medidas adoptadas una vez tuvo conocimiento del incidente (…). Asimismo, en esa misma fecha, también se recibió en esta Agencia un segundo escrito de ADMINISTRADOR DE INFRAESTRUCTURAS FERROVIARIAS con la intención de “Modificar una notificación hecha con anterioridad para proporcionar información relevante”. En el escrito se comunicaba (
  2. i)un nuevo número de afectados
(1541), (
  1. ii)que entre las personas afectadas hay miembros de colectivos vulnerables y (iii) las medidas adoptadas una vez tuvo conocimiento del incidente (…).” DÉCIMO TERCERO: Con fecha 2 de agosto de 2024, esta Agencia recibió un cuarto escrito de ALÍA GESTIÓN en el que aportaba copia del “Informe Brecha de datos personales” realizado por ***EMPRESA.1 el 2 de agosto de 2024. Se recogen las siguientes afirmaciones relevantes: 1. Consideraciones previas. “(…)” 2. Análisis de la brecha. 2.1. Sobre el origen de la brecha: - (…) 2.2. Sobre la cronología de los hechos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/32 - (…) 2.3. Sobre el volumen y la tipología de datos afectados: - (…) 2.4. Sobre el alcance de la brecha: - (…) 3. Medidas técnicas y organizativas (incluidas de seguridad). 3.1. Medidas de seguridad implementadas con anterioridad a la brecha. Se indica que ***EMPRESA.1 (…). 3.2. Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente. Sobre el vector de entrada, se indica que: “(…)” 3.3. Medidas técnicas y organizativas (incluidas de seguridad) implementadas con posterioridad al incidente. Las acciones realizadas para mitigar las posibles consecuencias del ataque fueron, en síntesis: - (…) Con el fin de evitar sucesos similares en un futuro, se indica que ***EMPRESA.1 adoptó las siguientes medidas: - (…). 4. Comunicación a los afectados. Del resumen de las comunicaciones realizadas a los afectados, se extrae la siguiente información: - (…) DÉCIMO CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/32 en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: 1) En fecha 21 de octubre de 2024, se recibió en esta Agencia escrito de respuesta de ALÍA GESTIÓN al requerimiento de información. La entidad reitera la información recogida en el informe de la brecha reseñado en el apartado anterior y, a mayores, se extrae la siguiente información relevante: 1. Relación entre las entidades del Grupo AYESA y con terceras entidades. “(…)” ALÍA GESTIÓN aporta copia de los contratos de encargo de tratamiento, entre otros, suscritos con las entidades que también notificaron la brecha de datos: - Con relación al tratamiento de datos donde actúa ADIF en calidad de responsable de tratamiento, ALÍA GESTIÓN manifiesta que el encargo de tratamiento se encuentra asociado a los contratos públicos con referencia Exp: ***REFERENCIA.1 y Exp: ***REFERENCIA.2 (Anexos 6.2 y 6.3). El primer contrato con referencia Exp: ***REFERENCIA.1 tiene como fin “Servicios de consultoría y asistencia al proceso de expropiaciones de los bienes y derechos afectados por obras derivadas de proyectos ferroviarios encomendados a ADIF-AV en el ámbito de las direcciones de construcción”. (…) Respecto al contrato Exp: ***REFERENCIA.2, cuyo fin es “Servicios para la asistencia al proceso de expropiaciones de los bienes y derechos afectados por las obras derivadas del proyecto "Corredor Mediterráneo de Alta Velocidad". tramo: MurciaAlmería. subtramos R.A.F. Murcia Sangonera-Librilla. Variante de Librilla-Alhama. Alhama-Totana. variante de Totana-Lorca”, ADIF manifiesta: “A la fecha de su formalización no se encontraba implementado el actual clausulado de protección de datos personales donde se recogen las medidas y requerimientos de seguridad en cumplimiento del RGPD, la LOPDGDD y el ENS hoy vigentes”. Por este motivo, se procedió a la firma de un anexo con posterioridad al incidente (18 de junio de 2024), del que se aporta copia, donde se describe el tratamiento, colectivos y datos tratados, junto con las medidas de seguridad de carácter general. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/32 - - Copia de encargo de tratamiento suscrito entre FUNDACIÓN AYESA y ALÍA GESTIÓN, de fecha 14 de noviembre de 2023 (Anexo 6.10). En dicho contrato constan los siguientes puntos relevantes: o El objeto del contrato es la prestación de servicios para el alojamiento de archivos y gestión de herramientas informáticas. o Entre las obligaciones del encargado, figuran:  “Tratar los datos de acuerdos con las documentadas del responsable del tratamiento”. instrucciones  “El encargado de tratamiento notificará al responsable de tratamiento, sin dilación indebida, y en cualquier caso antes del plazo máximo de 48 horas, a las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento”. o Comunicación a los afectados: se especifica que corresponde al responsable la labor de comunicar a los interesados las violaciones de seguridad que se pudieran haber producido. o (…) ALÍA GESTIÓN manifiesta que “un caso similar es el de RED.ES en el que el encargo de tratamiento de datos personales viene regulado por los pliegos de condiciones técnicas y administrativas” (Anexo 6.12). Asimismo, ALÍA GESTIÓN facilita extracto de las notificaciones de la brecha realizadas a las diferentes entidades para las que actúa como encargado de tratamiento (Anexo 6.1 a Anexo 6.13). (…). 2. Análisis de la brecha. 2.1. Sobre el origen de la brecha. ALÍA GESTIÓN matizó que “(…)”. Reitera ALÍA GESTIÓN que (…)” Aporta: - Anexo 13.1 “(…)” - Anexo 13.2 “(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/32 ALÍA GESTIÓN sostiene la hipótesis de que “(…)” 2.2. Sobre el volumen y la tipología de datos afectados: Respecto a las entidades del Grupo AYESA que actúan como responsables de tratamiento, ALÍA GESTIÓN aportó como Anexo 5 listado de la mismas. Se vieron afectados datos identificativos (en algunos casos, copia de documentos identificativos), de contacto, académicos, profesionales y familiares; así como datos económicos y de salud y el número de afectados ascendía a 32.178, Asimismo, el Grupo AYESA actúa como encargado de tratamiento para diferentes entidades cliente que se han visto afectadas por la brecha de datos, a partir de las distintas sociedades que lo integran (Anexo 6.1). Se vieron afectados datos identificativos (en algunos casos, documentos de identidad), de contacto y profesionales; así como datos de salud y de menores y el número de afectados ascendía a 44.849 afectados. 2.3. Sobre el alcance de la brecha. ALÍA GESTIÓN reiteró que “(…)” 3. Medidas técnicas y organizativas (incluidas de seguridad). 3.1 Adoptadas antes de la brecha. (
  2. i)Respecto al Análisis de Riesgos realizado antes de la brecha, ALÍA GESTIÓN indicó: - ***EMPRESA.1 realiza Análisis de Riesgos de todas las actividades de tratamiento identificadas. (…). - Aportó como Anexo 2.2 copia del “Análisis de Riesgo SGSI antes de la brecha”. Entre las amenazas identificadas y de aplicación para la presente brecha, constan: (…). (
  3. ii)También aportó: - Anexo 2.3 “Declaración de Aplicabilidad ISO-27001”. Fecha de aprobación de 22 de marzo de 2024. - Anexo 2.4 “Declaración de Aplicabilidad ENS”. Fecha de aprobación de 1 de marzo de 2023. - Anexo 9.1 “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/32 3.2. Adoptadas después de la brecha. (
  4. i)Actualización del Análisis de Riesgos después de la brecha que aportó ALÍA GESTIÓN como Anexo 2.5 (“Análisis de Riesgo SGSI después de la brecha”) y en el que figura un listado de amenazadas identificadas (entre otras, (…)); así como del documento “***DOCUMENTO.1” (Anexo 9.2). (
  5. ii)ALÍA GESTIÓN reitera haber adoptado las medidas enumeradas en el apartado decimotercero recogidas en el “Informe Brecha de datos personales” realizado por ***EMPRESA.1 el 2 de agosto de 2024. Asimismo, manifiesta que se realizaron auditorías por parte de entidades externas expertas en la materia para evaluar la infraestructura, aportando como Anexo 4.1 copia del “***DOCUMENTO.2; y como Anexo 4.2 copia del “***DOCUMENTO.3. (iii) Adicionalmente, particularizando sobre el cifrado de los datos, ALÍA GESTIÓN manifiesta lo siguiente: “(…)”. 4. Otra documentación relevante. ALÍA GESTIÓN aporta copia del Registro de Actividades de Tratamiento del Grupo AYESA (Anexo 1.1) en las que actúa como responsable del tratamiento y, complementariamente, copia del Registro de Actividades de Tratamiento de Grupo AYESA (Anexo 1.2) en las que actúa como encargado de tratamiento. En este segundo documento se localiza mención a los tratamientos para las entidades FUNDACIÓN AYESA, ADIF y RED.ES realizados como encargado por las entidades ALÍA GESTIÓN, AYESA INGENIERIA Y ARQUITECTURA y ***EMPRESA.1, respectivamente. Asimismo, ALÍA GESTIÓN manifiesta que, en base a los análisis de riesgos realizados, se determinó necesario llevar a cabo una evaluación de impacto para la actividad de tratamiento afectada denominada “canal de denuncias” (Anexo 3.1). DÉCIMO QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR en fecha 1 de octubre de 2025, la ALÍA GESTIÓN es una empresa filial de grupo constituida en el año 2007, con un volumen de ventas de 34.301.153 euros en el año 2024. DÉCIMO SEXTO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada cuestión el día 4 de diciembre de 2025. El traslado de esta cuestión a los Estados Miembros se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/32 en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que ALÍA GESTIÓN tiene su establecimiento único o principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúan en calidad de “autoridades de control interesadas”, la autoridad de Italia y la autoridad de Irlanda. Estas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. DÉCIMO SÉPTIMO: Con fecha 19 de enero de 2026, la Presidencia de la AEAP adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto y están vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/32 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  6. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas (
  7. i)Conceptos básicos en materia de protección de datos. El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ALÍA GESTIÓN realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas (clientes o empleados, entre otros perfiles): datos identificativos y de contacto, documentos identificativos, datos de salud y económicos. (
  8. ii)Responsabilidad del encargado de tratamiento. El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/32 responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.” Estos conceptos son autónomos, propios y específicos de protección de datos, en el sentido y en el contexto del RGPD, sin que puedan desfigurarse por mezclarse con otros de otros ámbitos del Derecho, tal y como disponen las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0, adoptadas el 7 de julio de 2021 (en adelante, Directrices 07/2020): “13. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» también son conceptos autónomos, en el sentido de que, aunque fuentes legales externas puedan ayudar a identificar quién es el responsable, este concepto debe interpretarse fundamentalmente con arreglo al Derecho de la Unión en materia de protección de datos. El concepto de «responsable del tratamiento» no debería verse afectado por otros conceptos —con los que a veces colisiona o se solapa— de otros ámbitos del Derecho, como los conceptos de «autor» o «titular de derechos» de la normativa sobre la propiedad intelectual o la competencia”. Las Directrices 07/2020 destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” (subrayado de esta Agencia). Asimismo, las referidas Directrices 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” (subrayado de esta Agencia). A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices 07/2020 destacan los elementos básicos para determinar quién es el responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/32 tratamiento en un caso concreto: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” (el subrayado es de esta Agencia). En cuanto al concepto de encargado, las Directrices 07/2020 indican dos condiciones fundamentales para ser considerado encargado del tratamiento: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
  9. a)ser un ente independiente del responsable del tratamiento; y
  10. b)tratar datos personales por cuenta del responsable”. Tal y como ha indicado el CEPD en sus Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses: “80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación».” Precisamente porque uno de los requisitos para tener la condición de encargado del tratamiento es actuar por cuenta del responsable del tratamiento, el RGPD prevé que el responsable del tratamiento responde tanto de los tratamientos realizados por sí mismo, como de los realizados por su cuenta o “bajo su autoridad”. De ahí que el RGPD, entre otros, en los artículos 28 y 29 del RGPD incida en que el encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo podrán tratar dichos datos siguiendo instrucciones del responsable. No obstante, en casos de incumplimiento de las instrucciones del responsable, salvo obligación legal, el RGPD prevé su consideración como responsable del tratamiento, en la medida en que ha pasado a definir por sí mismo los fines y medios del tratamiento. En concreto, debe hacerse referencia al artículo 28.10 que señala: “10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. En la misma línea las Directrices 07/2020 mencionadas determinan: “74. El RGPD establece obligaciones concretas que vinculan directamente a los encargados del tratamiento, tal como se especifica en la sección 1 del apartado II de las presentes directrices. Es posible exigir responsabilidad o sancionar a un encargado cuando no cumpla con dichas obligaciones o actúe al margen o en contra de las instrucciones legales del responsable. (… ) 80 En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación». En el caso de la normativa de protección de datos, el cometido del encargado del tratamiento es aplicar las instrucciones dadas por el responsable del tratamiento, cuando menos en lo relativo a los fines del tratamiento y a los elementos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/32 esenciales de los medios. La legitimidad del tratamiento en virtud del artículo 6 y, si procede, del artículo 9 del Reglamento deriva de la actividad del responsable, y el encargado únicamente debe tratar los datos siguiendo las instrucciones dadas por este. Aun así, tal como se ha indicado previamente, las instrucciones del responsable del tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de servir mejor a los intereses de este, de modo que permitan al encargado elegir los medios técnicos y organizativos más adecuados. 81. Actuar «por cuenta de» alguien también significa que el encargado no puede llevar a cabo el tratamiento para sus propios fines. Tal como se estipula en el artículo 28, apartado 10, el encargado del tratamiento infringirá el RGPD cuando no se ciña a las instrucciones del responsable y comience a determinar sus propios fines y medios del tratamiento”. (…) 150. Si un encargado del tratamiento infringe el Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento (artículo 28, apartado 10, del RGPD)”. Lo anterior significa que, si bien la regla general es que el responsable del tratamiento es responsable de los tratamientos realizados por sí mismo, y de los realizados por su cuenta, existen excepciones en las que el encargado o subencargado del tratamiento responderá como responsable del tratamiento en las situaciones en las que el encargado haya tratado datos personales (
  11. i)para fines que le sean propios o (
  12. ii)en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento, es decir de manera incompatible o contraria o extralimitándose respecto las instrucciones del responsable del tratamiento sobre los fines y los medios del tratamiento o (iii) que realice actuaciones que el responsable no hubiera autorizado. En línea con lo anterior, según la STJUE de 5 de diciembre de 2023 dictada en el asunto C-683/21: “84. Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en la que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que ha recurrido, quien ha efectuado el tratamiento por cuenta suya. 85. No obstante, la responsabilidad del responsable del tratamiento por el comportamiento de un encargado no puede extenderse a las situaciones en las que el encargado haya tratado datos personales para fines que le sean propios o en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento o de manera que no pueda considerarse razonablemente que dicho responsable hubiera dado su consentimiento. En efecto, de conformidad con el artículo 28, apartado 10, del RGPD, el encargado del tratamiento debe, en ese supuesto, ser considerado responsable del tratamiento con respecto a dicho tratamiento”. (el subrayado es de esta Agencia). En el presente caso, el incidente causante de la brecha de datos se circunscribe en el entorno de ALÍA GESTIÓN, tal y como manifiesta la propia entidad: “(…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/32 Esta brecha afectó tanto a datos de los que ALÍA GESTIÓN reconoce tener la condición de responsable de tratamiento como a datos en los que ostenta el rol de encargado de tratamiento. Como vector de entrada del ataque, la propia ALÍA GESTIÓN reconoce que (…). Lo anterior supone que ALÍA GESTIÓN habría tomado una decisión referente a una medida de seguridad básica que afectó a la totalidad de los datos personales que trata, ya sea como responsable o encargado de tratamiento. Por tanto, conformidad con el artículo 28.10 del RGPD en relación con las Directrices 07/2020, y la interpretación del TJUE antes mencionada, ALÍA GESTIÓN debe ser considerada como responsable administrativo de la infracción imputada en el presente procedimiento y, en consecuencia, nos encontramos, sin perjuicio de lo que resulte de la instrucción en un supuesto en el que debe ser considerada responsable de todos los tratamientos que realiza. (iii) Tratamiento transfronterizo. Por último, se trata de un tratamiento transfronterizo, dado que ALÍA GESTIÓN está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, ALÍA GESTIÓN tiene su establecimiento único o principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. IV Obligación incumplida. Integridad y confidencialidad La letra
  13. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  14. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/32 El principio de integridad y confidencialidad recogido en el citado artículo 5.1
  15. f)del RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de forma que se garantice la confidencialidad de los datos personales, evitando accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Ello exige implementar medidas técnicas y organizativas apropiadas de todo tipo para proteger los datos frente a posibles brechas de datos personales, tanto externas como internas. Dichas medidas deben ser adecuadas para evitar que se materialicen los riesgos en los derechos y libertades de las personas físicas que puedan derivarse del tratamiento, y deben ser revisadas y actualizadas periódicamente para garantizar su eficacia. En el presente caso, la documentación obrante en el expediente administrativo deja constancia de una brecha de datos personales en los sistemas de información gestionados por ALÍA GESTIÓN (…). La brecha tuvo inicio el 19 de abril de 2024 y no fue detectada hasta el 24 de abril de 2024 por sus sistemas de seguridad informática. De acuerdo con el informe de análisis de la brecha realizado por ***EMPRESA.1 el 2 de agosto de 2024, y lo manifestado por ALÍA GESTIÓN en su escrito de respuesta al requerimiento de información de 22 de octubre de 2024, el vector de entrada (…). Una vez dentro del sistema, durante los días 19 a 24 de abril de 2024, (…). Asimismo, ALÍA GESTIÓN reconoce que la brecha afectó tanto a la disponibilidad como confidencialidad de los datos. Respecto a la disponibilidad, en la primera notificación de brecha de ALÍA GESTIÓN de 26 de abril de 2024, se indicó que (…). Y, en el escrito de respuesta al requerimiento de información de 22 de octubre de 2024, ALÍA GESTIÓN afirmó que (…). En cuanto a la afectación de la confidencialidad, si bien inicialmente ALÍA GESTIÓN señaló que (…). La exfiltración abarcó una naturaleza de colectivos y tipología de datos muy heterogénea, tal y como se refleja en el apartado décimo cuarto del apartado “Hechos”, y cuya cifra asciende a: - 32.178 afectados respecto a los que es ordinariamente responsable de tratamiento ALÍA GESTIÓN. No obstante, ha de indicarse que en la última notificación de brecha de ALÍA GESTIÓN de 12 de junio de 2024, señaló que había afectados en otros países de la Unión Europea: Irlanda
(40), Italia
(15), Polonia
(70)y Portugal
(10). Se vieron afectados datos identificativos (en algunos casos, copia de documentos identificativos), de contacto, académicos, profesionales y familiares; así como datos económicos y de salud. - 44.849 afectados para los que ordinariamente no es responsable de tratamiento ALÍA GESTIÓN. Se vieron afectados datos identificativos (en algunos casos, documentos de identidad), de contacto y profesionales; así como datos de salud y de menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/32 Llegados a este punto, esta Agencia desea señalar que la documentación obrante en el expediente administrativo pone de manifiesto que las medidas técnicas y organizativas (incluidas de seguridad) existentes en el momento de la brecha de datos no eran adecuadas para el posible riesgo de que un incidente como el que es objeto del presente procedimiento tuviera lugar, lo cual permitió la vulneración de la disponibilidad y confidencialidad de los datos personales responsabilidad de ALÍA GESTIÓN. La rapidez con la que los atacantes consiguieron realizar sus desplazamientos muestra vulnerabilidades en la infraestructura (…). Ello evidenciaría una deficiencia significativa en las medidas aplicadas por la organización antes del incidente que facilitó la materialización de la brecha. Deficiencia, además, de la que ALÍA GESTIÓN tenía conocimiento desde enero de 2024 y, sin embargo, no había solventado a fecha de 19 de abril de ese mismo año, en la que se iniciaron los hechos. En este sentido, conviene resaltar, que ALÍA GESTIÓN ha implementado con posterioridad al incidente una serie de medidas reactivas, de acuerdo con el informe de análisis de la brecha realizado por ***EMPRESA.1 el 2 de agosto de 2024 y la documentación aportada junto con su escrito de respuesta al requerimiento de información de 22 de octubre de 2024. Destacan: - (…) Todo lo expuesto demuestra, como se ha indicado anteriormente, que las medidas técnicas y organizativas con las que contaba ALÍA GESTIÓN antes del incidente en cuestión no eran las apropiadas para garantizar un nivel de seguridad adecuado al riesgo, lo que propició que se produjera una brecha de datos personales como la que da origen al presente procedimiento. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a ALÍA GESTIÓN, por vulneración del artículo 5.1.
  1. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
  2. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  3. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/32 Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  4. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  5. a)a
  6. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  7. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  8. b)la intencionalidad o negligencia en la infracción;
  9. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  10. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/32
  11. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  12. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  13. g)las categorías de los datos de carácter personal afectados por la infracción;
  14. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  15. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  16. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  17. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  18. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  19. a)El carácter continuado de la infracción.
  20. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  21. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  22. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  23. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  24. f)La afectación a los derechos de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/32
  25. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  26. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de ALÍA GESTIÓN de 34.301.153 euros. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de ALÍA GESTIÓN es de 1.372.046 euros. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Conforme a lo anterior, la sanción que se imponga habrá de estar forzosamente entre los 0 y 20.000.000 de euros. Asimismo, en relación con el nivel de gravedad en los términos del RGPD, sin perjuicio de lo que resulte de la instrucción, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): los hechos conocidos inciden directamente en el control que los afectados tienen sobre sus datos personales. Asimismo, excede las expectativas razonables que los interesados puede prever sobre el tratamiento de sus datos personales. Así, los afectados confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas razonables de los afectados respecto al tratamiento de sus datos personales. Por otra parte, los hechos conocidos ponen de manifiesto una ausencia de medidas técnicas y organizativas de todo tipo que ha redundado en una brecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/32 que afecta tanto a la disponibilidad como confidencialidad. Además, ha redundado en una brecha con un total de afectados de, como mínimo, 77.027; y que algunos pertenecen a otros países de la Unión Europea (Irlanda, Italia, Polonia y Portugal), lo que debe tenerse en cuenta en relación con el alcance de la infracción. Y, además, debe subrayarse el elevado número de datos personales que se vieron comprometidos. En cuanto a la duración de la infracción, esta se prolongó, como mínimo desde el 19 de abril de 2024 hasta el 24 de abril de 2024. • La intencionalidad o negligencia en la infracción (artículo 83.2, letra
  27. b)del RGPD): ALÍA GESTIÓN fue gravemente negligente toda vez que (…), vector de entrada claramente identificado. A ello se suma que (…). • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): se han visto afectados datos de salud, económicos y, también, documentos identificativos. En este sentido, las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso, el número de DNI de millones de clientes se ha visto afectado por la brecha. Se trata de un tratamiento sobre un dato sensible, pues dicho dato permite la identificación directa e inequívoca de una persona física. De conformidad con el Real Decreto 255/2025, de 1 de abril por el que se regula el Documento Nacional de Identidad, el número de DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular. Esta cualidad lo convierte en un dato personal particularmente sensible pues, en la medida en que su tratamiento no vaya acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con total facilidad, o, con otras palabras, puede provocar un fraude de identidad, con los riesgos que ello comporta para la privacidad, el honor y el patrimonio del suplantado. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): ALÍA GESTIÓN se dedica a la gestión y prestación de servicios integrales de apoyo a otras empresas. Como consecuencia de su actividad empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/32 elevado número de interesados, lo que supone forzosamente operaciones de tratamiento de datos personales de las personas físicas. • La afectación a los derechos de los menores (artículo 76.2, letra f), de la LOPDGDD): entre los datos afectados vinculados a FUNDACIÓN AYESA, ALÍA GESTIÓN reconoce que hay datos de menores. Por otro lado, en calidad de atenuantes, se tiene en cuenta la siguiente circunstancia:  Cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados (artículo 83.2, letra c del RGPD). A este respecto, se tiene en cuenta la adopción de medidas por parte de ALÍA GESTIÓN tras la brecha acaecida. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  28. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 250.000 (doscientos cincuenta mil euros). Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. con CIF B91708263, por la presunta infracción del artículo 5.1.
  29. f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, las notificaciones de la violación de la seguridad d ellos datos personales y reclamaciones interpuestas por los reclamantes y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el artículo 64.2
  30. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de multa administrativa de 250.000€ (doscientos cincuenta mil euros), por la presunta infracción del artículo 5.1.
  31. f)del RGPD. QUINTO: NOTIFICAR el presente acuerdo a ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. con CIF B91708263, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su CIF y el número de procedimiento que figura en el encabezamiento de este documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/32 De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 200.000€ (doscientos mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 200.000€ (doscientos mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 150.000€ (ciento cincuenta mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (200.000€ o 150.000€), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES000000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-181024 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/32 SEGUNDO: En fecha 13 de marzo de 2026, ALÍA GESTIÓN ha procedido al pago de la sanción en la cuantía de 150.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/32 del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 150.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, ALÍA GESTIÓN ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 250.000,00 euros. Tras haber procedido ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 150.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/32 SEGUNDO: DECLARAR la terminación del procedimiento EXP202409350, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  32. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  33. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaeps.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 936-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.