← España

PS-00528-2025

1/27  Expediente N.º: EXP202408108 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de enero de 2026, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MEDIOS DE PREVENCIÓN EXTERNOS SUR, S.L. (en adelante, MPE_SUR), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202408108 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos (en adelante, AEPD) y en base a los siguientes HECHOS PRIMERO: Con fecha de 22 de marzo de 2024, MEDIOS DE PREVENCIÓN EXTERNOS SUR, S.L. con NIF B90037649 (en adelante, MPE_SUR o la parte reclamada), realizó la notificación inicial de la quiebra de seguridad, ampliándola posteriormente ante la aparición de nuevos indicios con fechas de registro 19 de abril de 2024, 5 de septiembre de 2024 y 3 de octubre de 2024. Se trata de una brecha de confidencialidad y disponibilidad causada por el ciberincidente de tipo ransomware que afectó a la parte reclamada, empresa contratada tanto por la ***INSTITUCIÓN.1 como por la ***INSTITUCIÓN.2 para las revisiones médicas anuales. Se muestra la descripción breve especificada por la parte reclamada en cada una de las notificaciones: (…) (…). (…) (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/27 (…) (…). (…) (…). SEGUNDO: Con fecha 18 de abril de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a MEDIOS DE PREVENCIÓN EXTERNOS SUR, S.L. con NIF B90037649 Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante manifiesta haberse visto afectada por el ciberincidente sufrido, a fecha 22 de marzo de 2024, por la parte reclamada, que en un comunicado en su web indica "Se informa que el pasado mes sufrimos un ataque informático tipo Ramsonware sin signos aparentes ni evidencias de fuga de datos". Junto al escrito, se aporta copias de los correos recibidos por la parte reclamante, en los que el MPE_SUR comunica que el 22 de marzo de 2024 sus sistemas de información sufrieron un ciberataque de tipo (…). Con posterioridad a esta reclamación se han recibido seis reclamaciones más sobre los mismos hechos, siendo la última de ellas de fecha 29 de mayo de 2024. Todos los reclamantes que aportan copia del correo refieren el mismo texto de correo recibido desde noreply@grupompe.net en las siguientes fechas: .- Reclamantes RTE_1, RTE_2 y RTE_4: 15 de abril de 2024 dirigido a (…) .- Reclamante RTE_3: no indica fecha .- Reclamante RTE_5: 16 de abril de 2024 dirigido (…) El correo, además de identificar el ciberataque de tipo (…), añade los datos a los que los autores podrían haber tenido acceso, las medidas adoptadas y alertan sobre posibles comunicaciones sospechosas: “- Documento Nacional de Identidad. - Número de teléfono móvil. - Correo electrónico. - Fecha de nacimiento. - Sexo. - Puesto de trabajo. - Resultado del reconocimiento médico. - Certificado de aptitud. Hasta el momento no hay evidencias de alguna fuga de información y se han adoptado las siguientes acciones: - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/27 - (…). - (…). - (…). -(…). TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a MPE_SUR, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 04/06/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 01/07/2024 se recibe en esta Agencia escrito de respuesta junto al que aporta: - Análisis de Riesgos de fecha 07/11/2023, anterior al incidente. - Análisis de Riesgos de fecha 10/05/2024, posterior al incidente. - Copia del Registro de Actividad de los Tratamientos donde se ha producido el incidente. En el escrito de respuesta se expresa lo siguiente: "1. Descripción detallada y cronología de los hechos. Con fecha 22/03/2024 recibimos un ataque informático (…) donde nos encriptan la base de datos. Pudimos restaurar las copias de seguridad anteriores al ataque, limpiamos los servidores y reestablecemos los servicios al personal y a los clientes. Posteriormente, contratamos a ***COMPAÑÍA.1 para el análisis forense de lo ocurrido. 2. Especificación detallada de las causas que han hecho posible el incidente. Se desconoce el procedimiento que han utilizado para entrar en el sistema. 3. Número de personas afectadas por la violación de la seguridad de los datos personales. (…) personas afectadas. 4. Categoría de los datos personales involucrados. Datos básicos (Ej.: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos económicos o financieros (sin medios de pago), Datos de contacto, De salud (exclusivamente de empleados, los imprescindibles para la relación laboral), De salud (otros datos de salud), Credenciales de acceso o identificación (usuario y / o contraseña)". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/27 Adicionalmente, indica las medidas que piensa adoptar para que no se vuelva a producir un incidente similar en el futuro: .- (…) .- (…) .- (…) .- (…) .- (…) CUARTO: Con fecha 18 y 22 de julio y 8 de octubre de 2024, la Agencia Española de Protección de Datos acordó admitir a trámite todas las reclamaciones en relación con la brecha de seguridad sufrida por la parte reclamada. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. 1-. Respecto a la información aportada en las respuestas a los requerimientos de información: Con fecha 17 de junio de 2025 se realiza un requerimiento de información a la parte reclamada solicitándole, entre otros puntos, la descripción detallada y cronológica de los hechos y especificación de las causas del incidente, el número de personas afectadas, categoría de los datos involucrados y posibles consecuencias para los afectados, acciones tomadas para solucionar el incidente y medidas para que no vuelva a suceder, etc. La entidad reclamada responde a este requerimiento de información con fecha 1 de julio de 2025, proporcionando su escrito de respuesta la siguiente documentación: - ANEXO I: Pág. 7. El documento coincide con la respuesta aportada al traslado de la reclamación, con sus 3 anexos: ANEXO I - Análisis de Riesgos de fecha 07/11/2023, anterior al incidente. ANEXO II - Análisis de Riesgos de fecha 10/05/2024 realizado tras el incidente. ANEXO III copia del Registro de Actividad de los Tratamientos donde se ha producido el incidente. .- ANEXO II: Pág. 96. Copia de las comunicaciones realizadas a los afectados con fecha abril de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/27 .- ANEXO III: Pág. 101. Contrato de prestación de servicios entre MPE_SUR (Responsable) y ***EMPRESA.1 (Encargado) .- ANEXO IV: Pág. 104. Informe de incidente (***COMPAÑÍA.1) de fecha 29 de abril de 2024 Medios de Prevención Externos ANEXO V: Pág. 185. Comunicaciones con la ***UNIDAD.1. ANEXO VI: Pág. 188. Registro de incidencias 2-. Respecto de la cronología de los hechos y las causas que hicieron posible la brecha: La cronología de los hechos es la siguiente: .- 12/03/24: primera evidencia confirmada de la amenaza en la que (…). .- 22/03/24: ataque informático y notificación de la brecha a la AEPD. .- 09/04/2024: comunicación de la brecha a los organismos de la ***INSTITUCIÓN.1, ***INSTITUCIÓN.2 e ***INSTITUCIÓN.3. .- 15/04/2024: comunicación de la brecha a los miembros de la ***INSTITUCIÓN.1. .- 16/04/2024: comunicación de la brecha a los miembros de la ***INSTITUCIÓN.2. .- 19/04/24: ampliación de la notificación de la brecha a la AEPD. .- 28/08/2024: Correo electrónico del Departamento (…) ***UNIDAD.1 a la parte reclamada en el que se adjunta el enlace de los datos publicados ((...)). .- 05/09/2024: Nueva notificación de la brecha a la AEPD tras comunicado de la ***UNIDAD.1 de ***INSTITUCIÓN.1 ((…)) .- 03/10/2024: ampliación de la notificación de la brecha a la AEPD. 3-. Respecto a las causas que han hecho posible la brecha, la parte reclamada indica: “1.2.1 (…) (…). (…). 1.2.2. (…). (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/27 (…).” 4-. Respecto de los datos afectados: La parte reclamada refiere desconocer el número de personas afectadas. Respecto a la categoría de los datos personales involucrados: Datos básicos (Ej.: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos económicos o financieros (sin medios de pago), Datos de contacto, De salud (exclusivamente de empleados, los imprescindibles para la relación laboral), De salud (otros datos de salud), Credenciales de acceso o identificación (usuario y / o contraseña). Manifiestan no tener constancia de la utilización por terceros ni de posible publicación en internet de los datos personales obtenidos a través de la brecha. 5-. Respecto a posibles consecuencias para las personas afectadas: Aunque MPE_SUR considera que “Las personas no se verán afectadas o pueden encontrar algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema (tiempo de reingreso de información, molestias, irritaciones, etc.)”, el hecho de que se hayan descubierto (…). 6.- Respecto de la comunicación a los afectados: Solicitada información respecto de las comunicaciones realizadas a los afectados y el motivo por el que los afectados no serán informados sobre la actualización de la brecha tras el descubrimiento (…), la parte reclamada manifiesta: “Las comunicaciones fueron realizadas a través de comunicados enviados por correo electrónico a los posibles afectados, así como aviso publicado en la página web corporativa de MPE”. Aporta copia de los comunicados realizados en fecha abril de 2024: .- 09/04/2024: comunicación de la brecha a los organismos de la ***INSTITUCIÓN.1 e ***INSTITUCIÓN.2. .- 15/04/2024: comunicación de la brecha a los miembros de la ***INSTITUCIÓN.1. .- 16/04/2024: comunicación de la brecha a los miembros de la ***INSTITUCIÓN.2. .- publicación en la página web corporativa. En todas las comunicaciones a los afectados refiere que no hay evidencias de fuga de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/27 La parte reclamada contesta en su respuesta el motivo por el que los afectados no serán informados sobre la actualización de la brecha tras el (…): “No se notifica al considerar baja la probabilidad de que se materialice el daño y desconocer que personas han sido afectadas”. 7-. Respecto del contrato de encargado del tratamiento: Solicitadas las comunicaciones mantenidas para la resolución de la brecha con las compañías que realizan el mantenimiento de los Sistemas de Información afectados por la brecha, MPE_SUR simplemente indica que: “Las comunicaciones fueron realizadas de forma (…)”. Tampoco facilita ninguna explicación de la estructura del GRUPO MPE. Aporta copia del Contrato de prestación de servicios entre MEDIOS DE PREVENCIÓN EXTERNOS SUR, S.L (Responsable) y ***EMPRESA.1 (Encargado) con fecha 30 de noviembre de 2024, fecha posterior a las notificaciones de la brecha a la AEPD, cuyo objeto es Mantenimiento informático. “Se entiende que accederá a los datos de carácter personal durante el desarrollo de su trabajo en cuyo caso se obligará a mantener las debidas medidas de seguridad en su tratamiento.” Del Contenido que exige el Art 28.3 del RGPD, no se encuentra estipulado lo siguiente: .- Tipo de datos personales y categorías de interesados. .- Mención sobre recurrir a otro encargado del tratamiento de datos. Art 28.3.

  1. d)del RGPD. 8-. Respecto de las medidas de seguridad implantadas: Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido. MPE_SUR especifica en su respuesta el conjunto de medidas técnicas y organizativas del que dispone su red corporativa para la protección de los datos personales: “6.1.1 (…). (…). (…). 6.1.2 (…). (…). (…). (…). 6.1.3 (…). (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/27 (…). 6.1.4 (…). (…). (…). (…). (…). (…)”. MPE_SUR manifiesta en su respuesta “(…). Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido.
  2. a)(…).
  3. b)(…).
  4. c)(…).
  5. d)(…).
  6. e)(…).
  7. f)(…)”. (…): “(…): - (…) - (…) (…)”. 9-. Respecto al informe forense realizado por ***COMPAÑÍA.1: Solicitada la copia del análisis forense realizado tras la brecha, MPE_SUR remite el informe elaborado por ***COMPAÑÍA.1 “Informe de incidente” elaborado con fecha 29 de abril de 2024. El resumen ejecutivo del informe refleja: “(…): ❖ (…). ❖ (…). ❖ (…). * (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/27 ❖ (…). ❖ (…). ❖ (…). (…). El informe corrobora el vector de entrada al ataque explicado por la parte reclamada, aunque lo considera como hipótesis y matiza que “debido a la falta de registros, no ha podido ser evidenciado el mecanismo utilizado para el acceso a la infraestructura.” También añade “En el contenido de la nota de rescate se recalca que el atacante habría exfiltrado información, además de haber realizado el cifrado de esta. Junto a ello, proporciona una serie de instrucciones para que la víctima se ponga en contacto por medio de la red Tor”. Y proporciona el escenario del incidente y un listado de los usuarios comprometidos identificados en la Investigación: (…) (…) El informe forense también resume el listado de técnicas observadas en la muestra empleadas por el atacante para maximizar las posibilidades de infección: “❖ (…). ❖ (…). .- (…). .- (…)”. 10-. Respecto de la documentación exigida por el RGPD: Solicitada la documentación relacionada con el cumplimiento del RGPD, MPE_SUR aporta la siguiente documentación: .- RAT: Copia del Registro de Actividad de los Tratamientos donde se ha producido el incidente. .- Análisis de Riesgos. .- Anterior al incidente: .- Posterior al incidente: .- Información actualizada en el registro de incidentes con las entradas relativas a esta brecha de datos personales: El Registro de Actividad de los Tratamientos contempla tres tratamientos: • ASPECTOS RELATIVOS AL FICHERO GESTION DE PERSONAL • ASPECTOS RELATIVOS AL FICHERO CLIENTES Y PROVEEDORES • ASPECTOS RELATIVOS AL FICHERO HISTORIAL CLINICO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/27 Con base jurídica Art. 6.1.a, Art. 6.1.b y Art. 6.1.c La parte reclamada proporciona dos versiones del Análisis de Riesgos realizado: uno con fecha 07/11/2023, anterior al incidente, y otro con fecha 10/05/2024, posterior al incidente. La diferencia entre ambos es que en la segunda versión han incluido la siguiente información: “(…) - (…) - (…) - (…) - (…) - (…) (…)”. El Análisis de Riesgos contempla los riesgos asociados a los siguientes tratamientos: .- GESTION DE PERSONAL .- CLIENTES Y PROVEEDORES .- HISTORIAL CLINICO Siendo el nivel de riesgo tolerable o aceptable en todos los casos. En particular, se considera como riesgo tolerable en los tres tratamientos: “Hay acceso no autorizado por terceras personas no autorizadas/hackers a datos personales”, con la siguiente probabilidad e impacto: .- GESTION DE PERSONAL: poco probable, significativamente grave. .- CLIENTES Y PROVEEDORES: poco probable, significativamente grave. .- HISTORIAL CLINICO: improbable, extremadamente grave. Como conclusiones de ambos Análisis: “CONCLUSIÓN Tras el análisis de los distintos riesgos expuestos en la tabla anterior, se concluye que, tras la aplicación de las medidas expuestas en el Informe de Seguridad y los Anexos que dispone la entidad, no existe ningún riesgo cuya relación entre probabilidad y gravedad se considere inaceptable. Por tanto, no es necesario llevar a cabo una evaluación de impacto, así como tampoco se prevé la necesidad de cesar o modificar ninguno de los tratamientos que actualmente lleva a cabo la organización. En cualquier caso, este análisis deberá ser revisado previamente al inicio de nuevos tratamientos, de igual modo, cuando se modifiquen los ya analizados”. MPE_SUR proporciona copia de la información actualizada en el registro de incidentes con las entradas relativas a esta brecha de datos personales. Se confirma que existen cuatro entradas que reflejan las fechas de las notificaciones efectuadas ante la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/27 El primer registro, con fecha 22/03/2024, indica: “Fecha en que se produjo la incidencia: La brecha se produjo el 22/03/2024 […] Nº de personas afectadas: Aproximadamente unas (…) personas. Respecto al registro con fecha 03/10/2024: “Fecha en que se produjo la incidencia: 05/09/2024 No se notifica al considerar baja la probabilidad de que se materialice el daño y desconocer que personas han sido afectadas”. 11-. Respecto de las comunicaciones mantenidas con la ***UNIDAD.1: Solicitada acreditación de las comunicaciones mantenidas con la ***UNIDAD.1 para tratar el incidente de seguridad junto con la copia del informe elaborado por la ***UNIDAD.1, MPE_SUR indica que se realizaron reuniones presenciales y telemáticas con los responsables de la ***UNIDAD.1 encargados de la investigación. No envía copia del informe de la ***UNIDAD.1, alegando que no disponen de dicho informe. Remite el documento que consiste en: .- Diligencia haciendo constar entrega y recepción de disco duro externo conteniendo archivos. Fecha 24 de abril de 2024 ante la Comandancia de la ***INSTITUCIÓN.1 Sevilla. Unidad orgánica Policía Judicial. .- Diligencia haciendo constar entrega y recepción de disco duro. Fecha 26 de abril de 2024 ante la Unidad Central Operativa Policía Judicial de la ***INSTITUCIÓN.1. Departamento contra Cibercrimen. .- Intercambio de correos entre el grupo MPE y el Departamento contra Cibercrimen de la Unidad Central Operativa - ***INSTITUCIÓN.1 con fecha 28 de agosto de 2024 en el que se adjunta el enlace de los datos publicados ((...)) y convocatoria de reunión con fecha 02/09/2024. Respecto de la aparición de (…), la parte reclamada únicamente ha enviado evidencias de un correo de la ***UNIDAD.1 con fecha 28/08/2024. La nueva notificación de la brecha ante la AEPD se realizó el 05/09/2024, 8 días después de la recepción del correo. 12-. Información de INCIBE respecto a (...): Información proporcionada por INCIBE con fecha 14/03/2024 con relación a (...), extraída de su página web: https://www.incibe.es/incibe-cert/blog/(...)-acciones-de-respuesta-y-recuperacion Según INCIBE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/27 “(...). (…). (…). […] (…): (…) (…) (…) (…) (...) (…). QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad MPE_SUR es una empresa constituida en el año 2013, y con un volumen de negocios de 12.936.538 euros en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/27 El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  8. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que MPE_SUR realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre, apellidos, fecha de nacimiento, número de DNI, NIE, Pasaporte y/o cualquier otro documento identificativo, datos económicos o financieros, datos de contacto, de salud de sus empleados y, por último credenciales de acceso o identificación (usuario y / o contraseña). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/27 MPE_SUR realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Integridad y confidencialidad La letra
  9. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  10. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En este sentido, el considerando 39 del RGPD, en clara referencia al principio recogido en el artículo 5.1.
  11. f)del RGPD, dispone que: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Y es que la pérdida de confidencialidad y de integridad supone un riesgo, que materializado puede conllevar daños y perjuicios físicos, materiales o inmateriales para las personas físicas (considerando 85 del RGPD). Por su parte, el art. 4.12 del RGPD define una «violación de la seguridad de los datos personales» como: «toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos». Según recogen las Directrices sobre la notificación de las violaciones de la seguridad de los datos personales de acuerdo con el Reglamento 2016/679, del GT29, las violaciones de la seguridad de los datos personales pueden clasificarse con arreglo a los siguientes tres conocidos principios de seguridad de la información: • «Violación de la confidencialidad»: cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos. • «Violación de la integridad»: cuando se produce una alteración no autorizada o accidental de los datos personales. • «Violación de la disponibilidad»: cuando se produce una pérdida de acceso accidental o no autorizada15 a los datos personales, o la destrucción de los mismos. Asimismo, señalan que, dependiendo de las circunstancias, una violación puede afectar a la confidencialidad, la integridad y la disponibilidad de los datos personales al mismo tiempo, así como a cualquier combinación de estos elementos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/27 En este sentido, las Directrices 4/2019 del Comité Europeo de Protección de Datos, relativas al artículo 25 Protección de datos desde el diseño y por defecto, adoptadas el 20 de octubre de 2020, respecto del principio de integridad y confidencialidad, explican que este principio incluye protección contra el tratamiento no autorizado o ilícito y contra pérdidas, destrucción o daños accidentales, mediante la aplicación de medidas técnicas y organizativas adecuadas. La seguridad de los datos personales requiere medidas adecuadas concebidas para prevenir y gestionar incidentes de violación de datos personales, para garantizar la debida ejecución de las tareas de tratamiento de datos y el cumplimiento de otros principios, y para facilitar el ejercicio efectivo de los derechos de las personas. Uno de los requerimientos que establece el RGPD para responsables y encargados del tratamiento que realizan actividades de tratamiento con datos personales es la necesidad de llevar a cabo un análisis de riesgos de la seguridad de la información con el fin de establecer las medidas adecuadas orientadas a cumplir los principios de protección desde el diseño y por defecto que garanticen los derechos y libertades de las personas. En el presente caso, de la documentación obrante en el expediente se comprueba que, entre el 12 y el 22 de marzo de 2024, un tercero no autorizado accedió a la infraestructura de MPE_SUR mediante credenciales robadas y escalado de privilegios, alcanzando incluso los controladores de dominio. El ataque fue catalogado como incidente crítico de ransomware ((...)), con movimientos laterales, creación de usuarios maliciosos y control total de la red corporativa, habiendo encriptado la base de datos de MPE_SUR en un primer momento. Además, el informe forense realizado por ***COMPAÑÍA.1 confirma el uso de herramientas de exfiltración de información (***APLICACIÓN.1 y ***APLICACIÓN.2) durante varios días: “En el análisis de los sistemas informáticos, se ha podido evidenciar el uso de ***APLICACIÓN.1 y ***APLICACIÓN.2 junto a acciones relativas a la exfiltración de información entre los días 13 y 20 de marzo de 2024”. Esta circunstancia se vio confirmada cuando, con fecha 28 de agosto de 2024, MPE_SUR recibió un correo (…), con datos personales de las personas afectadas por la brecha de datos, lo cual fue objeto de notificación a esta Agencia con fecha 5 de septiembre de 2024. . De la descripción de las causas que hicieron posible la brecha realizada por la parte reclamada y del informe forense realizado por ***COMPAÑÍA.1 se identifican la existencia de las siguientes deficiencias estructurales, imputables a MPE_SUR, que facilitaron el incidente: 1. Ausencia de autenticación multifactor en la VPN. MPE_SUR reconoce que la VPN SSL expuesta a internet se protegía únicamente con usuario y contraseña, sin doble factor de autenticación. Esta carencia permitió que, una vez robadas las credenciales mediante phishing o malware, los atacantes accedieran directamente a la red interna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/27 La ausencia de autenticación multifactor (MFA) en una VPN expuesta a Internet constituiría un factor crítico de materialización de la brecha, especialmente en escenarios de robo de credenciales mediante phishing o malware. En primer lugar, la autenticación basada exclusivamente en usuario y contraseña se considera, a día de hoy, un mecanismo insuficiente para proteger accesos remotos a sistemas internos. Debe añadirse que, en ausencia de doble factor de autenticación, una vez que el atacante accede correctamente a la VPN con credenciales válidas, su tráfico se integra en la red interna utilizando una IP legítima asignada por la propia infraestructura de la VPN. Desde ese momento, el acceso resulta indistinguible del de un usuario autorizado, tanto a nivel de red como, en muchos casos, a nivel de registros de seguridad. Esta circunstancia dificulta de forma significativa la detección del acceso no autorizado, ya que los sistemas de monitorización registran un inicio de sesión válido, desde una IP interna, sin indicadores evidentes de anomalía. Ello reduce de manera notable la capacidad de reacción, facilitando que el atacante mantenga sesiones prolongadas, se desplace lateralmente por la red y acceda a sistemas que tratan información especialmente sensible. En este caso, dicha situación adquiere una especial gravedad, al tratarse de sistemas que gestionan datos médicos, considerados categorías especiales de datos personales, cuya protección exige un nivel reforzado de seguridad. La combinación de una VPN expuesta a Internet, protegida únicamente por usuario y contraseña, y el tratamiento de datos de salud, evidencia que no se adoptaron medidas técnicas adecuadas y proporcionales al riesgo para los derechos y libertades de las personas, siendo la autenticación multifactor una medida básica y ampliamente reconocida para prevenir este tipo de accesos indebidos. 2. Insuficiente protección de las cuentas de correo corporativo. La propia entidad admite que no existían mecanismos específicos de protección avanzada del correo electrónico. Esta circunstancia facilitó el robo de credenciales, que fue el paso previo necesario para el acceso no autorizado. 3. Falta de registros y auditoría del tráfico de red. Por su parte, el informe forense señala expresamente que no se dispone de registros suficientes para determinar con exactitud el volumen de datos exfiltrados. La ausencia de auditoría del tráfico entrante y saliente impidió detectar a tiempo la extracción de información y dimensionar adecuadamente el impacto. 4. Inadecuada protección de privilegios elevados Los atacantes obtuvieron credenciales con privilegios elevados y pudieron crear usuarios, desactivar medidas de seguridad y neutralizar el antivirus, cuyos cambios fueron interpretados como legítimos. Esto pone de manifiesto una insuficiente protección de cuentas privilegiadas y una falta de controles reforzados sobre los sistemas más críticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/27 A la vista de estas vulnerabilidades, la brecha no puede calificarse como inevitable. De las actuaciones de investigación realizadas por esta Agencia, se comprueba las deficiencias de las medidas implantadas por MPE_SUR para garantizar de modo efectivo la disponibilidad y la confidencialidad de los datos que somete a tratamiento. Estas evidencias suponen la vulneración del artículo 5.1.
  12. f)del RGPD por MPE_SUR, como responsable de la vulneración de la disponibilidad y la confidencialidad de los datos personales de las personas cuyos datos trata en el desarrollo de su actividad, debido a la falta adopción de las medidas de técnicas y organizativas apropiadas, lo que, en el caso que nos ocupa, primero, ha supuesto la pérdida de la disponibilidad de sus datos, ante la encriptación de la base de datos, y, posteriormente, (…), lo que evidencia la salida efectiva de datos personales fuera del control del responsable del tratamiento y la consiguiente vulneración de la confidencialidad. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a MPE_SUR, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
  13. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  14. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/27 A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  16. a)a
  17. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  18. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  19. b)la intencionalidad o negligencia en la infracción;
  20. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  21. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  22. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  23. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  24. g)las categorías de los datos de carácter personal afectados por la infracción;
  25. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  26. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  27. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  28. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  29. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  30. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/27
  31. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  32. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  33. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  34. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  35. f)La afectación a los derechos de los menores.
  36. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  37. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de MPE_SUR 12.936.538 euros en el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
  38. a)del RGPD): los hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de la confidencialidad e integridad de los mismos, que la norma sanciona con la mayor gravedad al posibilitarse, como consecuencia de la brecha de datos personales, el acceso a los datos de carácter personal por terceros no autorizados con los perjuicios que ello puede conllevar. La brecha de datos tiene un número elevado de afectados, según la propia MPE_SUR afectó a aproximadamente a (…) personas, • Intencionalidad/ Negligencia en la infracción (artículo 83.2.
  39. b)del RGPD): Se observa falta de diligencia en el cumplimiento de las obligaciones que le impone la normativa de protección de datos, al posibilitar el acceso por ciberdelincuente a los datos de carácter personal vulnerando su confidencialidad; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/27 en este sentido puede citarse la SAN de 17/10/2007, que si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  40. b)del RGPD).  Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
  41. g)del RGPD): El atacante tuvo acceso a un gran volumen de datos, que incluye datos personales relativos a nombre, apellidos, sexo, dirección postal, número de DNI, NIE, Pasaporte y/o cualquier otro documento identificativo, datos económicos o financieros, datos de contacto (número de teléfono móvil y correo electrónico), puestos de trabajo, de salud de sus empleados y, por último, credenciales de acceso o identificación (usuario y/o contraseña). Además, (…). Los datos de salud pertenecen a las categorías especiales de datos establecido por el artículo 9 del RGPD. Debido a su especial protección por el RGPD, el tratamiento de las categorías especiales de datos, en principio, está prohibido salvo que concurran las circunstancias enumeradas en el apartado 2 del citado artículo. El tratamiento del número del DNI/NIF/NIE constituye un tratamiento sobre un dato personal de especial sensibilidad, pues permite la identificación directa e inequívoca de una persona física. Tal y como establece el Real Decreto 255/2025, de 1 de abril por el que se regula el Documento Nacional de Identidad, el DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento de especial sensibilidad dentro del ecosistema de datos personales. Además, su utilización indebida conlleva un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Por ello, una interpretación sistemática y finalista del RGPD —conforme a los considerandos 51 y 75— permite considerar el número del DNI como un dato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/27 particularmente sensible, atendiendo a su capacidad de provocar perjuicios significativos en caso de uso no autorizado. En este sentido, a la hora de valorar esta circunstancia, no solo debe hacerse referencia a los tipos de datos cubiertos por los artículos 9 y 10 del RGPD, sino también a los datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas al interesado, tal y como permite el precepto. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2.
  42. b)de la LOPDGDD): La actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  43. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 60.000,00 euros. VII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
  44. f)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  45. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a MPE_SUR para que, en el plazo máximo de 3 meses, a contar desde la fecha de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/27 ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, para evitar brechas de datos personales como la ocurrida en el presente caso. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a MEDIOS DE PREVENCIÓN EXTERNOS SUR, S.L., con NIF B90037649, por la presunta infracción del Artículo 5.1.
  46. f)del RGPD, tipificada en el artículo 83.5.
  47. a)del RGPD. SEGUNDO: NOMBRAR como instructor a A.A.A. y, como secretario, a B.B.B., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2.
  48. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 60.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a MEDIOS DE PREVENCIÓN EXTERNOS SUR, S.L., con NIF B90037649, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/27 De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 48.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 48.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 36.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (48.000,00 euros o 36.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
  49. es)y de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/27 1479-021025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 30 de enero de 2026, MPE_SUR ha procedido al pago de la sanción en la cuantía de 36.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  50. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/27 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 36.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, MPE_SUR ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/27 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 60.000,00 euros. Tras haber procedido MEDIOS DE PREVENCIÓN EXTERNOS SUR, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 36.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202408108, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a MEDIOS DE PREVENCIÓN EXTERNOS SUR, S.L. para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a MEDIOS DE PREVENCIÓN EXTERNOS SUR, S.L.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  51. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  52. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/27 manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.