1/32 Expediente Nº: EXP202411316 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de diciembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AVATEL TELECOM, S.A. (en adelante, AVATEL), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202411316 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 17 de mayo de 2024, se recibió en esta Agencia una notificación inicial de brecha de datos personales de AVATEL TELECOM, S.A., con NIF A93135218 (en adelante, AVATEL). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: - Descripción de los hechos: “Que con fecha 14 de mayo de 2024, se recibe notificación por parte de clientes afectados en tienda física de AVATEL en la que se indica que desde dentro de la empresa se ha procedido a realizar duplicados no autorizados de tarjetas SIM y a la posterior retirada de dinero mediante el uso fraudulento de dichas tarjetas SIM. (…). Al momento de recibir la queja, se abre un procedimiento tendente a esclarecer los hechos establecidos en la queja de los clientes, por lo que se inicia proceso de revisión de los movimientos realizados en el CRM de la empresa (***SISTEMA.1). La investigación determina que el usuario ***USUARIO.1 procedió a realizar una solicitud de duplicado de tarjeta SIM de un cliente con fecha 13 de mayo de 2024 a las 11:22 horas. Una vez detectada dicha acción, se procedió con un estudio más pormenorizado del usuario en cuestión, detectándose que el mismo ha realizado solicitudes, afectándose a un total de 47 clientes. Además de dichos cambios, el usuario mencionado ***USUARIO.1 operó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/32 cambios correspondientes en el correo electrónico de los afectados, modificando el mismo por uno temporal del proveedor ***CORREO.1”. - Tipología de los datos afectados: datos básicos (ej.: nombre, apellidos, fecha de nacimiento), DNI, NIE, pasaporte y / o cualquier otro documento identificativo, datos de medios de pago (tarjetas de crédito, etc.) datos de contacto. - Número de afectados: 47, a los que les será comunicada la brecha, a más tardar, el 17 de mayo de 2024. - Categoría de afectados: clientes/ciudadanos, otros. - Entre los afectados, no hay menores y se desconoce si hay miembros de colectivos vulnerables. - La brecha no se pone en conocimiento de las autoridades policiales. - No se identifican encargados de tratamiento. Junto a la notificación inicial, el responsable adjunta un escrito, de fecha 17 de mayo de 2024, en el que se ratifica lo expuesto anteriormente en la descripción de los hechos y, adicionalmente, se hace constar lo siguiente: en primer lugar, se manifiesta que se procede a (…). En segundo lugar, AVATEL (…). En tercer lugar, se detallan las actuaciones implementadas, (…). Por último, se indican las medidas adicionales que han sido acordadas para evitar incidentes futuros, (…). SEGUNDO: En fecha 14 de junio de 2024, AVATEL realiza una notificación adicional de brecha a través del formulario de notificaciones de brechas habilitado al efecto en la sede electrónica de la Agencia. En esta notificación adicional, AVATEL realiza modificaciones con respecto a la información aportada en la notificación inicial como consecuencia del informe forense remitido por la entidad especializada que fue contratada y que, según indican concluye que no existe prueba alguna que muestre que la incidencia en los sistemas haya afectado a los derechos y libertades de las personas físicas que se relacionan con AVATEL: En cuanto a la tipología de los datos afectados, se indican las credenciales de acceso o identificación (usuario y/o contraseña), con una modificación de lo manifestado en la notificación inicial.). Se reduce el número de afectados a 1 y se confirma que no hay miembros de colectivos vulnerables. A pesar de que inicialmente se comunicó que eran 47 los afectados, se indica que la brecha se comunica a un total de 20.000 afectados en fecha 17 de mayo de 2024. Junto a la notificación adicional, el responsable adjunta un escrito con información complementaria sobre la gestión de la brecha, de fecha 14 de junio de 2024, en el que se hace constar que se procedió a la contratación de servicios especializados de la empresa ***EMPRESA.1, con el objetivo de proceder con la revisión del incidente, recolección de evidencias y análisis forense de los dispositivos y elementos afectados. Asimismo, se indica que, con fecha 31 de mayo de 2024, ***EMPRESA.1, finalizó la investigación forense sobre el incidente y remitió el correspondiente informe, en el que se establece que no existe prueba alguna que muestre que la incidencia en los sistemas haya afectado a los derechos y libertades de las personas físicas que se relacionan con AVATEL. Finalmente, se añade una solicitud para el archivo de las actuaciones a esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/32 TERCERO: Debido a las diferencias entre el contenido de la notificación inicial y la notificación adicional, desde esta Agencia se contacta con el Delegado de Protección de Datos (en adelante, DPD) de AVATEL, quien remite el informe al que se refiere el antecedente anterior. CUARTO: Como consecuencia de los hechos conocidos, con fecha 18 de julio de 2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD, teniendo conocimiento de los siguientes extremos. A.- Análisis de la brecha. A.1. Detección y origen de la brecha. 1. La brecha tiene su origen en (…). Este hecho se manifiesta en el informe forense remitido por el responsable en fecha 19 de junio de 2024: “(…)”. 2. (…). 3. En relación con el CRM afectado por la brecha, en el escrito de respuesta remitido por AVATEL en fecha 23 de mayo de 2025 (en respuesta a requerimiento de esta Agencia), se aclara el alcance de dicho CRM: “(…). (…). (…)”. 4. En el informe forense remitido en fecha 19 de junio de 2024, se explican las acciones realizadas por el atacante sobre el CRM afectado, que consisten, principalmente, en acceder, modificar y exfiltrar datos. Así, se hace constar lo siguiente: “(…)”. 5. Como se manifiesta por AVATEL en la notificación inicial de brecha remitida en fecha 17 de mayo de 2024, la brecha acaecida es detectada a causa de varias reclamaciones de afectados, realizadas en fecha 14 de mayo de 2024, en las que estos afectados exponen que se han realizado duplicados de tarjeta SIM sin su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/32 autorización y que, el uso fraudulento de estas tarjetas SIM, ha permitido una retirada de dinero no autorizada. 6. Con base en las declaraciones expuestas, a modo de resumen, se presenta cronología de los hechos ocurridos en la brecha acaecida: a. (…). b. (…). (…). (…): - (…). - (…). (…): - (…). - (…). c. AVATEL detecta la brecha en fecha 14 de mayo de 2024, al recibir diversas reclamaciones de sus clientes. A.2. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su contención inicial. 7. En relación con las medidas adoptadas para la contención de la brecha, AVATEL aporta la siguiente información en el documento anexo a la notificación inicial de brecha remitida en fecha 17 de mayo de 2024. En concreto: a. (…). b. (…). c. (…). Informan de la adopción de medidas (…). De igual forma, indican (…). A.3. Causas que hicieron posible la brecha. 8. (…). (…): a. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/32 (…) (…). (…). (…): - (…). - (…). b. (…). (…). (…). c. (…). (…). (…). d. (…) (…). e. (…). De esto se desprende que la brecha no es detectada directamente por AVATEL. A.4. Respecto de la tipología y volumen de datos afectados. 9. Sobre la tipología y volumen de los datos afectados por la brecha, en la notificación inicial de brecha realizada por AVATEL en fecha 17 de mayo de 2024, AVATEL declara: - Que la tipología de los datos afectados son datos básicos (ej.: nombre, apellidos, fecha de nacimiento), DNI, NIE, pasaporte y / o cualquier otro documento identificativo, datos de medios de pago (tarjeta bancaria, etc.) y datos de contacto. - Que el número de afectados es de 47. - Que las categorías de afectados son, principalmente, clientes/ciudadanos. - Que, entre los afectados, no hay menores. 10. Para acreditar estas manifestaciones y esclarecer la volumetría total de interesados involucrados en los tratamientos afectados por la brecha, se solicita a AVATEL, que aporte su registro de actividades (RAT). En fecha 21 de abril de 2025, como respuesta, AVATEL lo aporta como documento 1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/32 Sin embargo, AVATEL aporta todo el RAT, sin especificar cuáles son los tratamientos afectados explícitamente por la brecha, por lo que se pregunta explícitamente por este hecho al responsable. En este sentido, en fecha 23 de mayo de 2025, AVATEL aporta documento 1, del cual, se desprende la siguiente información relevante para la investigación: a. La actividad de tratamiento afectada por la brecha es una, según manifiesta el responsable en el documento 1 de fecha 23 de mayo de 2025, denominada “PRESTACIÓN DE SERVICIOS DE COMUNICACIONES. GESTIÓN DE CLIENTES, CONTABLE, FISCAL Y ADMINISTRATIVA. Gestión del cliente para prestar el servicio”. b. Los datos tratados en esta actividad, según declara AVATEL en el documento 1 de fecha 23 de mayo de 2025, son los siguientes: “Datos que coinciden exactamente con los listados en el RAT: Nombre, Primer Apellido, Segundo Apellido, Dirección, Teléfono 1, Teléfono 2, Email, Localidad, DNI. Datos que se incluyen en apartado “Otras categorías de datos personales: CARACTERÍSTICAS PERSONALES. INFORMACIÓN COMERCIAL. TRANSACCIONES DE BIENES Y SERVICIOS” del RAT: Fecha Alta, Fecha Baja, Facturable, Tipo Impresión, Días Vencimiento, Forma de Pago. NOTA: El campo “forma de pago” tiene únicamente dos opciones, número de cuenta si domicilia los recibos, y pago en efectivo si el cliente va renovando el saldo en tienda. No se almacenan datos de tarjetas de crédito”. c. Según declara AVATEL en el documento 1 de fecha 23 de mayo de 2025, se confirma que no hay datos de menores: “Datos de Menores: No. Todos los clientes de telefonía son mayores de edad y tienen cuenta bancaria”. d. Adicionalmente, en el escrito de respuesta remitido por AVATEL en fecha 23 de mayo de 2025, AVATEL declara que no hay imágenes escaneadas de documentos de identidad: “Exclusiones confirmadas: • No se almacenan imágenes escaneadas de documentos de identidad ni tampoco tarjetas de crédito de ningún tipo”. e. También se destaca que, en dicho escrito, se aporta captura de pantalla de los campos contenidos en el CRM afectado por la brecha, quedando constatado la existencia de los datos manifestados por el responsable en dicho sistema. f. La volumetría total de interesados afectados por la brecha, según declara AVATEL en el documento 1 de fecha 23 de mayo de 2025, es la siguiente: “Volumetría a fecha del incidente: 27.131 clientes distintos”. 11. A la vista de las manifestaciones y evidencias aportadas por AVATEL, respecto a la tipología y volumen de datos afectados, se concluye que: - Los datos afectados por la brecha son: nombre, primer apellido, segundo apellido, dirección, teléfono 1, teléfono 2, email, localidad, DNI (sin imágenes escaneadas), fecha de alta, fecha de baja, indicador de si el cliente es o no facturable, tipo de impresión, días de vencimiento y forma de pago (pudiendo este campo contener un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/32 número de cuenta o la indicación de que el cliente abona en efectivo. No hay datos de tarjetas de crédito. - En relación con la volumetría de afectados, se puede inferir que la brecha afecta a 47 interesados de un total de 27.131, lo que representa, aproximadamente, un 0,17%. A.5. Impacto de la brecha, modificación y exfiltración de datos personales. Impacto de la brecha: 12. El impacto de la brecha analizada presenta una dualidad, explicada a continuación: a. Por un lado, según la notificación inicial de brecha realizada por AVATEL en fecha 17 de mayo de 2024, la brecha afecta a la dimensión de integridad, puesto que hay datos que son alterados por el atacante. Esto es recogido en la descripción de los hechos de dicha notificación inicial de brecha: “[…] el usuario mencionado ***USUARIO.1 operó cambios correspondientes en el correo electrónico de los afectados, modificando el mismo por uno temporal del proveedor ***CORREO.1”. b. No obstante, en esta misma descripción de los hechos, se indica que el atacante también realiza acciones relacionadas con la solicitud ilegítima de duplicados de tarjeta SIM de hasta 47 clientes: “La investigación determina que el usuario ***USUARIO.1 procedió a realizar una solicitud de duplicado de tarjeta SIM de un cliente con fecha 13 de mayo de 2024 a las 11:22 horas. Una vez detectada dicha acción, se procedió con un estudio más pormenorizado del usuario en cuestión, detectándose que el mismo ha realizado solicitudes, afectándose a un total de 47 clientes”. Esto implica que la brecha no afecta únicamente a la dimensión de integridad, sino también a la confidencialidad, al haberse producido un acceso no autorizado a datos de clientes por el atacante que le ha permitido solicitar duplicados de tarjetas SIM de manera ilegítima. Así, según la notificación adicional de brecha realizada por AVATAEL en fecha 14 de junio de 2024, AVATEL manifiesta que, efectivamente, la brecha también afecta a la dimensión de confidencialidad. Modificación de datos personales: 13. En relación con la modificación de datos personales, en el informe forense remitido por el responsable en fecha 19 de junio de 2024, se manifiesta lo siguiente: “[…] (…). (…)”. Con base en lo expuesto, se revisa la tabla A.5 indicada y contenida en el informe forense remitido por AVATEL en fecha 19 de junio de 2024, en la cual, efectivamente, se pueden observar (…) en la zona de (…) del CRM afectado por la brecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/32 Así, queda constatado que el atacante realiza, en su acceso al sistema afectado por la brecha, modificaciones no autorizadas de datos. Exfiltración de datos personales: 14. En relación con la exfiltración de datos personales, en el informe forense remitido por AVATEL en fecha 19 de junio de 2024, (concretamente en el apartado 2.3), se manifiesta lo siguiente: “Para determinar si existió exfiltración de datos durante la actividad del atacante, se ha examinado principalmente la telemetría de ***SISTEMA.1, […]. Se puede observar en A.5 que existen eventos de export del usuario ***USUARIO.1 posteriores a los accesos maliciosos, estos se han producido en los siguientes ***SISTEMA.1: - (...) - (...) - (...) - (...) - (...) - (...)”. Con base en lo expuesto, se revisa la tabla A.5 indicada y contenida en el informe forense remitido por AVATEL en fecha 19 de junio de 2024. En esta tabla, se observan eventos de tipo “export”, pero únicamente en dos de las zonas del CRM afectado por la brecha, mencionadas en el apartado 2.3 de dicho informe forense: (...) y (...). Así, sobre esta posible incongruencia detectada en el informe forense, se pregunta a AVATEL. En el escrito de respuesta a requerimiento remitido por el responsable en fecha en 23 de mayo de 2025, AVATEL manifiesta lo siguiente: “Tras el análisis de la información contenida en el informe, se ha verificado que en la tabla A.5 no se registran eventos de tipo “export” en el CRM para las zonas (...), (...), (...) ni (...). Este hecho sugiere efectivamente que, sobre dichas zonas, no se produjeron exportaciones ni intentos de exportación de datos. Según lo reflejado en la mencionada tabla, los intentos de exportación se limitaron exclusivamente a las zonas (…) y (...). Adicionalmente, se observa que en la sección “2.3 - Exfiltración de información” del informe de ***EMPRESA.1 se incluye un listado de todas las zonas existentes en el CRM. Sin embargo, esta relación parece responder a un error material, ya que no existen evidencias de exfiltraciones en la mayoría de dichas zonas, ni según lo analizado por ***EMPRESA.1 (…), ni en investigaciones posteriores realizadas por parte de AVATEL. La información disponible y los registros analizados confirman que las actividades de intentos de exportación se circunscribieron únicamente a las zonas (…) y (...). Sin embargo y según lo indicado previamente, no podemos saber con exactitud este punto ya que este informe fue realizado por una empresa ajena a AVATEL hace cerca de un año”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/32 Por tanto, con base en las manifestaciones y evidencias recibidas, se puede concluir que existen acciones de exportación de datos en, al menos, dos zonas del CRM afectado por la brecha. 15. En lo que respecta a conocer qué información exporta el atacante, en el informe forense remitido por AVATEL en fecha 19 de junio de 2024, se reitera en varias ocasiones que no es posible saber con exactitud la información que se exporta en la brecha acaecida. En este sentido, en dicho informe forense, se recogen las siguientes declaraciones: - En el apartado 2.3 del informe forense se indica: “Debido a la información que se obtiene de los (...) no se puede saber la información que ha sido exportada durante la actividad. (…)”. - En el apartado 3 del informe forense se indica: “No es posible saber el tipo de exportación de datos se realizó desde estos ***SISTEMA.1”. 16. Por esta razón, se pregunta al responsable qué acciones realiza para determinar el alcance de la exfiltración de datos. En el escrito de respuesta al requerimiento remitido por AVATEL en fecha 23 de mayo de 2025, se declara lo siguiente: “[…] (…). (…). (…). […] (…)”. Consideración general: 17. A la vista de las manifestaciones y evidencias recibidas, se puede inferir que las acciones perpetradas por el atacante son las siguientes: - Accede a datos personales ya que queda constatado, a través de las reclamaciones de los clientes realizadas a AVATEL, que el atacante realiza duplicados de tarjetas SIM no autorizados y, para ello, ha tenido que acceder a los datos de los afectados. Además, en el informe forense remitido en fecha 19 de junio de 2024, en la tabla A.5 mencionada anteriormente, también se pueden observar (…) en prácticamente todas las zonas del CRM afectado por la brecha. - Modifica datos personales sin autorización, en concreto, direcciones de correo electrónico de los afectados, puesto que hay evidencia de (…) en una de las zonas del sistema afectado por la brecha. - Hay indicios de exportación de datos en, al menos, dos zonas del CRM afectado por la brecha puesto que hay evidencia de (…). No obstante, no se ha podido clarificar qué datos pudieron exportarse. A.6. Posibles consecuencias para los afectados. 18. Sobre las posibles consecuencias para los interesados, queda constatado, con base en las manifestaciones realizadas por AVATEL en la notificación inicial de brecha de fecha 17 de mayo de 2024, que los 47 afectados por la brecha sufren: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/32 - Solicitudes ilegítimas en su nombre de duplicados de tarjeta SIM. - Retiradas de dinero no autorizadas debido al uso fraudulento de los duplicados de tarjeta SIM. - Modificación de sus correos electrónicos por otros temporales del proveedor ***CORREO.1. En su escrito de respuesta remitido en fecha 21 de abril de 2025, AVATEL añade lo siguiente: “Hubo 47 afectados, de los cuales aproximadamente 11 sufrieron el robo de pequeñas cantidades de dinero, presumiblemente debido a ataques de phishing y a la falta de medidas de seguridad adecuadas, como la autenticación de doble factor, por parte de su entidad bancaria. Para que se produjera la sustracción del dinero, debieron fallar tanto el cliente como su banco en la implementación de medidas de seguridad. No obstante, AVATEL tomó medidas para minimizar el impacto en los derechos y libertades de los afectados, restituyendo las cuantías sustraídas a todos ellos” 19. En relación con posibles consecuencias para la volumetría total de interesados para los que AVATEL trata datos en el ***SISTEMA.1 afectado, en el escrito de respuesta remitido por AVATEL en fecha 23 de mayo de 2025 (como respuesta al requerimiento 2), este manifiesta lo siguiente: “Posteriormente, se verificó que (…) ***SISTEMA.1 ((…)), que centraliza la gestión de las zonas afectadas, contenía un total de 27.131 clientes distintos en el momento del incidente. No obstante, es importante destacar que no se ha identificado ningún indicio de compromiso o exfiltración de datos personales respecto a la totalidad de esos clientes, con la única excepción de los 47 casos previamente mencionados, quienes fueron afectados por un duplicado no autorizado de sus tarjetas eSIM, tal como se expuso en el informe del incidente”. B.- Notificaciones y comunicaciones de la brecha. B.1.- Notificación de la brecha a la Agencia Española de Protección de Datos. 22. Entre la notificación inicial y adicional, se observan algunas posibles incongruencias, destacadas a continuación: - Número de afectados por la brecha: en la notificación inicial de fecha 17 de mayo de 2024, se indica que los afectados son 47. Sin embargo, en la notificación adicional de fecha 14 de junio de 2024, se recoge que el número de afectados es 1. Esta posible incongruencia, según recoge la nota interior de esta Agencia de fecha 18 de julio de 2024, obedece a que la notificación inicial hace referencia a los clientes afectados per se y en la notificación adicional AVATEL parece hacer referencia al usuario comprometido. - Datos afectados: la hipótesis anterior se ve reforzada teniendo en cuenta la posible incongruencia existente en la declaración que realiza AVATEL sobre los datos afectados en las diferentes notificaciones. Así, en la notificación inicial, AVATEL manifiesta que los datos afectados son datos básicos, de medios de pago y de contacto (es decir, datos de los clientes afectados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/32 per se); mientras que, en la notificación adicional, indica que los datos afectados son credenciales de acceso o identificación - usuario y/o contraseña -; (es decir, los datos afectados para el usuario que se ve comprometido y a través del cual se perpetra el ataque). - Número de afectados a los que se les comunica la brecha: en la notificación inicial de fecha 17 de mayo de 2024, se indica que el número de afectados comunicados son 47. Sin embargo, en la notificación adicional de fecha 14 de junio de 2024, se recoge que el número de afectados comunicados son 20.000. Sobre esta posible incongruencia se solicita a AVATEL aclaración. Sobre este aspecto, en el escrito de respuesta remitido por AVATEL en fecha 23 de mayo de 2025, el responsable aporta la siguiente aclaración: “Esta diferencia se debe a un malentendido derivado de la evolución de la investigación interna. En la notificación inicial […], se estimó un posible impacto sobre unos 20.000 interesados. Esta cifra correspondía al volumen total de datos tratados en el CRM de la localización afectada y se incluyó en el formulario de notificación como medida de prudencia, siguiendo la recomendación del Delegado de Protección de Datos (DPD), adoptando el peor escenario posible en las primeras fases de la investigación. Dicha estimación se comunicó a todas las Autoridades competentes, tal como corresponde en este tipo de situaciones. No obstante, tras un análisis más detallado, se pudo determinar que la brecha afectó realmente a un total de 47 clientes. En consecuencia, fueron únicamente estos 47 los que recibieron la comunicación individual de la brecha”. B.2.- Comunicación de la brecha a los interesados. 23. Sobre las fechas en las que se realiza la comunicación a los afectados, tanto en la notificación inicial de brecha de fecha 17 de mayo de 2024 como en la notificación adicional de brecha de fecha 14 de junio de 2024, AVATEL manifiesta que la comunicación se realiza el 17 de mayo de 2024. Adicionalmente, este hecho lo hace constar AVATEL explícitamente en su escrito de respuesta remitido en fecha 21 de abril de 2025: “Fecha y hora de la comunicación. La notificación fue enviada el vie, 17 mayo 2024, asegurando que los afectados fueran informados con la mayor celeridad posible tras la identificación del incidente”. 24. Sobre el canal que se emplea para realizar la comunicación, AVATEL manifiesta lo siguiente en su escrito de respuesta remitido en fecha 21 de abril de 2025: “Canales de comunicación utilizados. Para garantizar una comunicación efectiva y trazable, la notificación se realizó a través de correo electrónico. Además, en aras de una comunicación lo más fluida posible, se habilitó un buzón de atención específico para que los afectados pudieran contactar con el equipo de AVATEL asignado al efecto, en caso de requerir información adicional o asistencia respecto al incidente”. AVATEL aporta captura de pantalla del modelo de correo electrónico empleado para la comunicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/32 Adicionalmente, con base en las manifestaciones del responsable, se solicita a AVATEL que aporte evidencia del buzón de atención específico que manifiesta disponer para atender las solicitudes relacionadas con la brecha. En el escrito de respuesta a dicho requerimiento remitido por AVATEL en fecha 23 de mayo de 2025, este aporta captura de pantalla sobre el uso del buzón de atención específico. En esta captura se observa un ejemplo de comunicación de un afectado, dirigida a AVATEL, para solicitar información sobre el estado de su reclamación. 25. Sobre la volumetría de afectados a los que se les comunica el incidente, AVATEL manifiesta lo siguiente en su escrito de respuesta remitido en fecha 21 de abril de 2025: “Volumen de afectados notificados. La comunicación fue dirigida a un total de 47 clientes cuyos datos personales se vieron potencialmente afectados por la brecha de seguridad. Este número se corresponde al 100% del total de clientes que confirmamos que fueron comprometidos o que pudieron tener algún tipo de impacto de acuerdo con el informe realizado por la empresa externa ***EMPRESA.1”. Este hecho está alineado con la aclaración que AVATEL aporta en el escrito de respuesta remitido en fecha 23 de mayo de 2025 sobre la posible incongruencia entre la volumetría de afectados comunicados en las diferentes notificaciones de brecha realizadas. 26. Sobre el contenido de la comunicación llevada a cabo a los afectados, en el escrito de respuesta remitido por AVATEL en fecha 21 de abril de 2025, AVATEL aporta captura de pantalla del modelo de comunicación que reciben los afectados. En esta captura de pantalla, se observa que se informa al interesado de: - La existencia de un incidente de seguridad. - Que AVATEL ha movilizado sus recursos disponibles con el objetivo de solucionar el incidente a la mayor brevedad posible. - Que AVATEL ha comunicado el incidente a las autoridades pertinentes. - Los datos de contacto del DPD. Sin embargo, en el modelo de comunicación a los afectados aportado, no se informa al interesado sobre: - Una descripción general del incidente y momento en el que se ha producido (únicamente se indica que hay un incidente). - Las posibles consecuencias que este incidente puede conllevar a los interesados. - Una descripción de los datos e información personal afectados. - Un resumen de las medidas implantadas hasta el momento para controlar los posibles daños (únicamente se indica que se movilizan los recursos disponibles). - Otras informaciones útiles para que los afectados puedan proteger sus datos o prevenir posibles daños. C.- Medidas de seguridad. C.1. Medidas de seguridad implantadas con anterioridad a la brecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/32 Se presentan a continuación las medidas de seguridad implementadas por AVATEL con anterioridad a la brecha y relacionadas con su origen y causa raíz: 27. (…): a. (…): - (…). - (…). - (…). - (…). - (…)”. En el propio documento 8 remitido por AVATEL en fecha 21 de abril de 2025, se aportan capturas de pantalla (…). b. (…): - (…). - (…). - (…). - (…). - (…)”. En el propio documento 8 remitido por AVATEL en fecha 21 de abril de 2025, se aportan capturas de pantalla (…). c. (…): - (…). - (…)”. En el propio documento 8 remitido por AVATEL en fecha 21 de abril de 2025, se aportan capturas de pantalla (…). d. Sobre la aplicación de estos aspectos (…) manifiesta lo siguiente en el documento 8 remitido en fecha 21 de abril de 2025: - (…). - (…). (…). 28. (…). […] (…): (…). (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/32 En el escrito de respuesta remitido por AVATEL en fecha 23 de mayo de 2025, AVATEL aporta (…). 29. (…). Sobre este aspecto, AVATEL, en las respuestas remitidas en fechas 21 de abril de 2025 y 23 de mayo de 2025, realiza diversas manifestaciones y aporta acreditaciones documentales. En concreto: a. (…): - (…). * (…). - (…). * (…). - (…). * (…). * (…). b. (…), en el documento 5 remitido por AVATEL en fecha 21 de abril de 2025, AVATEL manifiesta lo siguiente: (…): - (…). * (…). * (…). * (…). * (…). - (…): * (…). * (…). Adicionalmente, en el escrito de respuesta remitido por AVATEL en fecha 23 de mayo de 2025 , el responsable manifiesta lo siguiente (…): - (…). - (…). - (…). - (…). Tal y como manifiesta AVATEL, se aporta (…). También, en el propio escrito de respuesta remitido por AVATEL en fecha 23 de mayo de 2025, el responsable aporta captura de pantalla (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/32 c. (…), en el documento 5 remitido por AVATEL en fecha 21 de abril de 2025, AVATEL manifiesta lo siguiente: “(…)”. En el propio escrito de respuesta remitido por AVATEL en fecha 21 de abril de 2025, el responsable aporta captura de pantalla (…). d. (…), en el documento 5 remitido por AVATEL en fecha 21 de abril de 2025, AVATEL manifiesta lo siguiente: “(…) - (…): - (…). - (…). (…)”. 30. (…). Sobre este aspecto, se solicita aclaración a AVATEL. En el escrito de fecha 23 de mayo de 2025, AVATEL manifiesta lo siguiente: “[…] (…). (…)”. 31. (…). Sobre este punto, AVATEL realiza diversas manifestaciones. En concreto: a. (…). Esto se declara por el responsable en el escrito de respuesta remitido en fecha 23 de mayo de 2025: “[…] (…)”. b. (…). Sobre este punto, AVATEL manifiesta lo siguiente en el documento 5 remitido en fecha 21 de abril de 2025: “(…): - (…). - (…)”. (…). c. (…) . Sobre este punto, AVATEL manifiesta lo siguiente en el documento 7 remitido en fecha 21 de abril de 2025: “(…). (…) - (…). - (…). - (…). - (…). - (…). - (…). - (…)”. En relación con la brecha acaecida, AVATEL declara, en dicho documento 7, (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/32 (…). En el escrito de respuesta a dicho requerimiento remitido por AVATEL en fecha 23 de mayo de 2025, se hace constar lo siguiente: “(…)”. 32. Además, AVATEL, en fecha 21 de abril de 2025, aporta diversos documentos donde explica y adjunta evidencias de medidas adicionales a las indicadas, implementadas con posterioridad al incidente. En concreto: a. (…). En dicho documento, se aportan capturas de pantalla de la solución indicada. b. (…) “[…]”. En dicho documento, se aportan capturas de pantalla de la solución indicada. c. (…), “[…]”. En dichos documentos, se aportan capturas de pantalla de la solución indicada. d. (…). En dichos documentos, se aportan capturas de pantalla de la solución indicada. e. (…). En el documento 11 remitido en fecha 21 de abril de 2025, se aportan capturas de pantalla de las actividades indicadas. f. Medidas complementarias: además de las medidas indicadas, AVATEL declara la existencia de otras medidas (…). En dichos documentos, se aportan capturas de pantalla de las medidas indicadas. C.2. Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente. Teniendo en cuenta que el origen y causa raíz de la brecha, se destacan los siguientes aspectos como motivo principal por el que las medidas de seguridad implantadas no han impedido el incidente: 33. (…). (…). (…). (…). 34. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/32 (…). 35. (…). (…). 36. (…). (…). 37. (…): a. (…). b. (…). c. (…). C.3. Medidas técnicas y organizativas adoptadas para evitar incidentes como el sucedido. Con base en los motivos por los cuales las medidas de seguridad implantadas no han impedido el incidente, AVATEL adopta las siguientes medidas con posterioridad al incidente: 38. (…). 39. (…). Este hecho se manifiesta en el documento 13 remitido por AVATEL en fecha 21 de abril de 2025: “(…). (…): - (…). - (…). (…)”. En el documento 13 remitido por AVATEL en fecha 21 de abril de 2025, se aporta captura de pantalla (…). Adicionalmente, sobre la implementación de esta medida, AVATEL aporta el documento 5_7 remitido en fecha 23 de mayo de 2025. (…). 40. (…). Este hecho se manifiesta en el documento 13 remitido por AVATEL en fecha 21 de abril de 2025: “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/32 41. (…). Este hecho se manifiesta en el documento 13 remitido por AVATEL en fecha 21 de abril de 2025: “(…): - (…). - (…). - (…). - (…). (…)”. Sobre la implementación de esta mejora, AVATEL aporta el documento 5_8 remitido en fecha 23 de mayo de 2025. Este documento contiene una captura de pantalla (…). 42. (…). Este hecho se manifiesta el escrito de respuesta remitido por AVATEL en fecha 23 de mayo de 2025: “(…)”. En dicho escrito, se aporta captura de pantalla (…). 43. Otras medidas adicionales. Además de las medidas indicadas, AVATEL manifiesta, en el documento 13 remitido en fecha 21 de abril de 2025, la implementación de otras medidas con posterioridad al incidente, tales como: - (…). - (…). - (…). D. Otros aspectos. D.1. Análisis de riesgos. 44. Respecto a los análisis de riesgos realizados sobre el tratamiento afectado por la brecha, en el escrito de respuesta remitido en fecha 21 de abril de 2025, AVATEL manifiesta lo siguiente: “También se adjunta el documento de Análisis de Riesgos en la protección de datos realizado en abril de 2019 y actualizado a marzo de 2023, para incluir el último tratamiento (canal ético). Se adjunta AR en la protección de datos como Documento 14”. Se analiza el documento 14 remitido en fecha 21 de abril de 2025, destacando los siguientes puntos: a. En primera instancia, se evalúa el riesgo inherente, a través de la probabilidad e impacto inherente, para cada uno de los tratamientos que realiza AVATEL con el fin de determinar si es necesario o no realizar una EIPD. En el caso de la actividad afectada por la brecha, denominada “CLIENTES”, el resultado es que el riesgo inherente es significativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/32 b. Partiendo de esta consideración y valorando algunos aspectos adicionales, se concluye finalmente que la actividad “CLIENTES” requiere realizar una EIPD. 45. En dicho documento 14, se incluye la EIPD realizada, (…) 46. En el escrito de respuesta remitido en fecha 21 de abril de 2025, AVATEL manifiesta lo siguiente en relación con los análisis de riesgos, desde el punto de vista de seguridad, que realiza: “(…). […] (…)”. 47. (…): a. (…). b. (…). c. (…). d. (…). e. (…). f. (…). SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, en fecha 12 de noviembre de 2025, la entidad AVATEL es una empresa constituida en el año 2011, y con un volumen de negocios de (…) en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/32 Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.