REPOSICION-PS-00093-2024

1/24  Expediente nº.: EXP202402612 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por SANTANDER CONSUMER FINANCE, S.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos, de fecha 14 de febrero de 2025, y en base a los siguientes HECHOS PRIMERO: En fecha 14 de febrero de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos, en el expediente EXP202402612, en virtud de la cual se imponía a SANTANDER CONSUMER FINANCE, S.A, por la infracción del artículo 5.1.

1. f)del RGPD, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el artículo 72.1
2. a)de la LOPDGDD, una multa de 500.000 euros y se ordenaba que, en virtud del artículo 58.2.
3. d)del RGPD, en el plazo de 6 meses desde que la resolución fuera firme y ejecutiva, acreditase haber procedido a la implantación de las medidas necesarias para garantizar la confidencialidad e integridad de los datos por cuya cuenta se traten, así como que informase a esta Agencia, en el mismo plazo, sobre las medidas adoptadas. Dicha resolución, que fue notificada a la parte recurrente, en fecha 19 de febrero de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00093/2024, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: Ha quedado constatado que, en fecha 3 de octubre de 2022, el equipo de MARKTEL detectó que algunas aplicaciones presentaban problemas de acceso, observándose a partir de este momento, elementos cifrados en los servidores. Consta que existía implantado un equipo de protección antimalware que llegó a detectar la existencia de movimientos laterales en servidores, pero no fue capaz de contener el ataque. Ha quedado también constatado que los atacantes estaban dentro de los sistemas de MARKTEL al menos desde el 11 de septiembre de 2022, no obstante, no fue hasta el 17 de octubre de 2022, cuando se tuvo constancia de la filtración de datos personales tras detectarse publicación en la página web del grupo atacante de la Dark Web. La información publicada en la Dark Web, procedía de la tabla “Clientes” de la base de datos, con algunos datos en abierto, que contenía (…) y los siguientes campos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 • DNI. • Nombre y Apellidos. • Teléfono. • Email. • Dirección (Calle, Número, Localidad, CP). • Fecha Nacimiento. • Números de cuenta IBAN sin ofuscar de (…), (para el resto de los registros estaba ofuscado o no incorporaban este dato). SEGUNDO: En fecha 5 de octubre de 2022 y 4 de noviembre de 2022, se reciben dos notificaciones de brechas de seguridad por parte de MARKTEL con número de registro de entrada REGAGE22e00044254458 y REGAGE22e00049917967. Del contenido de ambas notificaciones se extrae la siguiente información relevante: - Descripción de la brecha: “(…).” - Datos afectados: Datos básicos (Ej.: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos económicos o financieros (sin medios de pago), Datos de contacto. Personas afectadas: (…). Fecha de detección: 3 de octubre de 2022 (misma que la fecha de inicio). Fecha resolución incidente: 4 de noviembre de 2022. Se ha interpuesto denuncia ante autoridades policiales. Se ha informado a (…) en fecha 6 de octubre de 2022. - TERCERO: En fecha 29 de octubre de 2022 y registro de entrada REGAGE22e00048731676, se recibió notificación de brecha de seguridad por parte del responsable de tratamiento, SANTANDER CONSUMER, con la siguiente información asociada: Descripción: “(…)” Datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de contacto. Afectados: (…). Fecha detección: 28 de octubre de 2022. Fecha de inicio: 3 de octubre de 2022. Hay denuncia ante autoridades policiales. Afirman que los afectados no serán informados. CUARTO: Consta en el escrito de 19 de junio de 2033, registro EGAGE23e00039958979, de SANTANDER CONSUMER que, tras la orden de esta Agencia de comunicación a los afectados, se procedió a realizar dicha comunicación en las siguientes fechas y medios: - (…). - (…). - (…). - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 - (…). (…). QUINTO: En fecha 15 de diciembre de 2022, y registro de entrada REGAGE22e00057522607, se recibió notificación de brecha de seguridad por parte del responsable de tratamiento, SANTANDER CONSUMER, por cambio sustancial de información de la brecha reportada el 29 de octubre de 2022, con número de registro REGAGE22e00048731676. Tras investigaciones posteriores, se encuentra un número mayor de afectados. En algunos casos (…), el fichero robado tenía los datos del código IBAN completo. Datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de medios de pago (Tarjeta bancaria, etc.…), Datos de contacto. Afectados: (…) Fecha detección: 28 de octubre de 2022. Fecha de inicio: 3 de octubre de 2022. Nº personas informadas (…) SEXTO: Ha quedado constatado la filtración de la tabla “Clientes” de la base de datos, con algunos datos en abierto, que contenía (…) números de DNI únicos, (siendo (…) personas, las afectadas del SANTANDER CONSUMER) y los siguientes campos:        DNI. Nombre y Apellidos. Teléfono. Email. Dirección (Calle, Número, Localidad, CP). Fecha Nacimiento. Números de cuenta IBAN sin ofuscar de (…) y relativos a SANTANDER CONSUMER (…) casos (para el resto de los registros estaba ofuscado o no incorporaban este dato). (…).” SÉPTIMO: En relación con la responsabilidad de los datos personales filtrados, ha quedado constatado que MAKTEL actuaba como subencargado de tratamiento, subcontratado por ORANGE ESPAGNE para prestar el servicio de recobro de impagos de clientes que adquirían deudas por la compra de terminales a plazos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 ORANGE ESPAGNE actuaba con un doble rol con respecto de estos datos, por un lado, como responsable de tratamiento de los datos personales facilitados en la compra, y por otro como encargado de tratamiento de SANTANDER CONSUMER FINANCE al existir una cesión de derechos de créditos de las deudas contraídas en la venta a plazos de los terminales, y encargar SANTANDER CONSUMER y a ORANGE ESPAGNE la gestión de las operaciones de recobro en caso de impago. OCTAVO: Consta que en fecha 7 de julio de 2015, ORANGE ESPAGNE y SANTANDER CONSUMER formalizaron un Contrato de prestación de servicios, mediante el cual Orange prestaría a Santander Consumer servicios de facturación, cobro, recobro y postventa a sus clientes y en el cual se regula el encargo de tratamiento de Orange. En el contrato de encargado del tratamiento, en relación con las medidas de seguridad, se indica que se deberán aplicar las medidas de nivel medio. En cuanto a la subcontratación se establece: “El ENCARGADO DEL TRATAMIENTO podrá subcontratar con un tercero los servicios objeto del Contrato de Prestación de Servicios, siempre y cuando se cumplan los siguientes requisitos: - Que el ENCARGADO DEL TRATAMIENTO comunique todos los datos (denominación social, domicilio social, número de identificación, etc.) del subcontratista al RESPONSABLE DEL FICHERO, de forma escrita, con anterioridad a su contratación. -Que el tratamiento de los datos por parte del subcontratista se ajuste en todo caso a las instrucciones del RESPONSABLE DEL FICHERO. -Que se formalice por escrito un contrato entre el ENCARGADO DEL TRATAMIENTO y la empresa subcontratista, en los mismos términos que el presente documento, y en el que se exprese que el subcontratista se ajustará a las instrucciones del RESPONSABLE DEL FICHERO. Una vez firmado el contrato, el ENCARGADO DEL TRATAMIENTO se obliga a enviar una copia del mismo al RESPONSABLE DEL FICHERO. El ENCARGADO DEL TRATAMIENTO controlará la calidad y nivel de cumplimiento de las obligaciones de los proveedores con los que hubiese subcontratado con la misma diligencia que debe observar en el cumplimiento de sus propias obligaciones, respondiendo personalmente de ello y exonerando de toda responsabilidad derivada de su actuación al RESPONSABLE DEL FICHERO.” Y en relación con su vigencia se indica que su duración queda vinculada a la ejecución del Contrato de Prestación de servicios y que, por tanto, tendría la misma duración que dicho contrato de servicios, el cual tenía una vigencia hasta el 1 de julio de 2017, aunque podía prorrogarse tácitamente por periodos bienales. NOVENO: SANTANDER CONSUMER ha informado a esta Agencia que el 2 de enero de 2020, Santander Consumer recibió notificación de Orange por la que comunicaba su intención de no prorrogar el Contrato de servicios. No obstante, se acordó que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/24 mantendrían por Orange los servicios en relación con los créditos cedidos a la fecha de vencimiento hasta la total percepción de los derechos económicos o finalización de los servicios de recobro de estos. Aporta Documento nº2 que contiene únicamente un correo enviado por SANTANDER CONSUMER a ORANGE ESPAGNE dando acuse de la notificación recibida con la intención de no prorrogar el contrato marco de compraventa de créditos, afirmando también la voluntad del responsable de llegar a obtener “una mutua colaboración de buena fe no solo con el fin de facilitar una resolución ordenada de las relaciones del contrato, sino también en aras al mantenimiento por su parte de la gestión de ser-vicios en relación a los créditos cedidos a la fecha de vencimiento hasta la total de los derechos económicos o la finalización de los servicios de recobro de los mismos”. DÉCIMO: ORANGE ESPAGNE firmó un contrato de encargado con MARKEL con vigencia retroactiva a partir del 1 de enero de 2022, el cual incorpora el objeto del encargo de tratamiento, los datos personales afectados, las categorías de interesados, las obligaciones asumidas por el encargado y las medidas de seguridad. En dicho contrato, la Cláusula 17 relativa a la protección de datos, establece en cuanto a las medidas de seguridad, en el apartado 2.6.d), que: d. En los casos en que los datos sean tratados en los sistemas del PROVEEDOR, este se obliga a garantizar, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto, y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, la aplicación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad al riesgo que, en su caso y entre otros, incluya:  La seudonimización y el cifrado de datos personales;  La capacidad de garantizar la confidencialidad, la integridad y la disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;  La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;  Un proceso de verificación, evaluación y valoración regular de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. Al evaluar la adecuación del nivel de seguridad, el PROVEEDOR tendrá particularmente en cuenta, los riesgos que presente el tratamiento de datos, en particular, como consecuencia de la destrucción, pérdida o alteración, accidental o ilícita, de datos personales transmitidos, conservados o tratados de otra forma, así como la comunicación o acceso no autorizados a dichos datos. El PROVEEDOR deberá implementar al menos, las medidas técnicas y organizativas descritas en el Anexo de la Seguridad de la Información adjuntas al presente Contrato, así como cualesquiera otras medidas de seguridad que ORANGE determine en cada momento y comunique al PROVEEDOR. ANEXO III MEDIDAS ESPECÍFICAS EN MATERIA DE SEGURIDAD DE LA INFORMACIÓN Y CÓDIGO DE CONDUCTA DE PROVEEDORES Y CONTROL DE FRAUDE Y REVENUE ASSURANCE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 1. MEDIDAS ESPECÍFICAS EN MATERIA DE SEGURIDAD DE LA INFORMACIÓN (…). 1. Requisitos en proveedores que traten datos de carácter personal: (…). (…). 2. Requisitos en proveedores que accedan a información de carácter interno. (…). (…). (…): a. (…). b. (…). c. (…): o o (
4. a)(
5. b)(
6. c)o o (…). (…). ‰ (…) ‰ (…). ‰ (…). ‰ (…). ‰ (…). ‰ (…). ‰ (…). ‰ (…). ‰ (…). ‰ (…). ‰ (…). 3. Requisitos, de Seguridad en proveedores que accedan a información de carácter confidencial. (…). (…): ‰ (…) ‰ (…) ‰ (…) (…). (…). (…). (…): ‰ (…). (…). (…). ‰ (...). ‰ (…) ‰ (…). ‰ (…). 4. Requisitos de Seguridad en proveedores que accedan a información de carácter secreto. (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 ‰ (…) ‰ (…) ‰ (…). 5. Requisitos de Seguridad en proveedores que traten y/o almacenen información de carácter interno o confidencial en sistemas (…). (…): (
7. a)(…). (
8. b)(…). (
9. c)(…). (…). ‰ (...). ‰ (…). ‰ (…). ‰ (…). ‰ (…). ‰ (…). ‰ (…). ‰ (…). ‰ (…). (…). (…). (…). o o o o (…): (…). Requisitos de Seguridad en proveedores que traten y/o almacenen información de carácter secreto en sistemas (…). (…). 2. Responsabilidad del PROVEEDOR por incumplimiento del presente Anexo. (…). 1. UNDÉCIMO: En relación con el cumplimiento de las obligaciones de notificación de la brecha tanto ante esta Agencia como a los afectados ha quedado acreditado la siguiente cronología de hechos: - El 17 de octubre de 2022 MARKTEL tiene primer conocimiento de la filtración de datos y notifica la brecha a sus clientes. El 22 de octubre de 2022 ORANGE ESPAGNE notifica la brecha a la AEPD. El 24 de octubre de 2022 ORANGE ESPAGNE tiene conocimiento de la afectación de datos personales de SANTANDER CONSUMER, procediendo a notificar la brecha a este el 25 de octubre de 2022. El 29 de octubre de 2022 SANTANDER CONSUMER notifica la brecha a la AEPD. El 4 de noviembre de 2022 ORANGE SPAGNE remite comunicación inicial de la brecha a los afectados, en ella no hace referencia a SANTANDER CONSUMER como responsable de tratamiento de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24 - El 10 de noviembre de 2022 se envía desde esta Agencia una orden de comunicación a los afectados sin dilación indebida dirigida al responsable SANTANDER CONSUMER. Entre el 7 y el 16 de diciembre de 2022 SANTANDER CONSUMER FINANCE comunica a los clientes afectados por la brecha, de llevar a cabo esta comunicación se encarga ORANGE ESPAGNE como encargado de tratamiento, no obstante, ha quedado constatado que SANTANDER CONSUMER tuvo conocimiento de la filtración el 25 de octubre de 2022. DECIMOSEGUNDO: Se ha constatado la implantación del siguiente listado de medidas preventivas por parte de MARKTEL en momentos previos al incidente: - (…). (…). (…). (…). (…). (…). (…). (…). (…). (…). (…). (…) DECIMOTERCERO: Se ha constatado la implantación y despliegue del siguiente listado de medidas reactivas adoptadas por MARKTEL: - (…). (…). (…). (…). (…). (…). (…). DECIMOCUARTO: En relación con los clientes afectados por la brecha cuyos datos eran responsabilidad de SANTANDER CONSUMER (tras la cesión de los derechos de créditos de ORANGE ESPAGNE), ha quedado acreditado que estos clientes fueron informados de esta cesión de créditos en la propia factura de compra, incluyéndose un texto en el pie de factura con la siguiente información: C/ Jorge Juan, 6 28001 – Madrid Que SANTANDER CONSUMER es responsable de los derechos de crédito de la deuda contraída y de sus datos personales. Que SANTANDER CONSUMER había delegado la gestión del cobro al propio ORANGE ESPAGNE. La existencia de los derechos de protección de datos y la forma de ejercerlos. www.aepd.es sedeaepd.gob.es 9/24 - Una dirección de correo electrónico para obtener información adicional.” TERCERO: La parte recurrente ha presentado, en fecha 19 de marzo de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, en el que, en síntesis, manifiesta que: PRIMERA. - DE LA DESVIRTUACIÓN DE LAS OBLIGACIONES DE LA DIVISIÓN DE INNOVACIÓN Y TECNOLOGÍA. A este respecto señala que, si bien es cierto que la DIT carece de competencia para una resolución de archivo de las actuaciones, también lo es que sus funciones van más allá del mero registro de las brechas de seguridad notificadas, toda vez que el Estatuto de la Agencia, aprobado mediante Real Decreto 389/2021, de 1 de junio, recoge, entre otros, que la DIT ha de desarrollar las siguientes funciones: (
10. i)la gestión del Registro y (
11. ii)analizar y clasificar las brechas, y en el caso de apreciar indicios de comisión de una infracción, proponer a la Presidencia la iniciación de una investigación. Por ello considera que, al establecer la DIT que “no están previstas más acciones por parte de esta División con relación a este acto de notificación de brecha de datos personales”, pone de manifiesto que no aprecia indicios de la comisión de ninguna infracción y por ello decide no dar traslado al SGID de la presente brecha de seguridad. Partiendo del contexto descrito, entiende que cuando la DIT, como división integrada en la propia Agencia y no como un ente no relacionado con la misma, comunica a SANTANDER CONSUMER que no están previstas más actuaciones, genera unas expectativas lo suficientemente concluyentes como para generar una razonable convicción de que existe en la AEPD una inequívoca voluntad de ajustar su comportamiento al determinado modo de proceder. Por todo ello, afirma que esta Agencia vulnera los principios de confianza legítima, buena fe, seguridad jurídica, congruencia y coherencia. A mayor abundamiento, y en correlación con el análisis que tiene la DIT la obligación de realizar, desea dejar constancia de que la información derivada de las conclusiones alcanzadas por la DIT no se ha aportado al expediente, lo que supone una clara vulneración del derecho a la tutela judicial efectiva, junto con la adecuada gestión y tramitación del procedimiento administrativo común y en concreto del artículo 53.1.
12. a)de la LPACAP. SEGUNDA. - GRAVE ERROR A LA HORA DE DETERMINAR QUE NO EXISTE UNA VULNERACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA. Quiere hacer constar que se den por reproducidas las manifestaciones vertidas en sus anteriores escritos, manifestando que no existe prueba en todo el procedimiento que permita acreditar por parte de la AEPD que las medidas implementadas por parte SANTANDER CONSUMER, para evitar el ciberataque no eran suficientes, así como tampoco se ha aportado un informe técnico que permita concretar y, por ende, confirmar, que si se hubiesen encriptado los datos, dicho ataque se hubiese evitado, lo que le lleva a concluir que la AEPD basa su procedimiento sancionador en meras conjeturas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 En consecuencia, considera que es palmario que se desprende una notable privación de las facultades de prueba y contradicción, derivándose un destacable desequilibrio en la posición que ocupa la SANTANDER CONSUMER en el procedimiento y obteniéndose como resultado el efecto la indefensión material incurriéndose con dicho proceder en el vicio de anulabilidad del art. 48.2 de la LPACAP de acuerdo con la doctrina del Tribunal Constitucional. Especial hincapié desea hacer respecto de la completa omisión de la Agencia respecto al criterio de exclusión de la imputación objetiva de la “prohibición de regreso”, máxime teniendo en cuenta que el impacto de las actuaciones derivadas de la acción dolosa de un grupo organizado, sobre la infracción que se pretende imputar, deriva de la decisión de no acceder a una extorsión por parte del Encargado del Tratamiento. TERCERA. – ERROR EN LA ARGUMENTACIÓN EFECTUADA POR PARTE DE LA AEPD RESPECTO DE LAS MEDIDAS DE SEGURIDAD EXIGIDAS E IMPLEMENTADAS POR SANTANDER CONSUMER. En primer lugar, alega que la AEPD ha omitido interesadamente entrar a valorar las alegaciones realizadas por esta parte con respecto a que, el haber implementado como medida de seguridad el cifrado, hubiese imposibilitado la prestación del servicio ejecutado por el Subencargado del Tratamiento. Esto denota, en su opinión, que la Agencia está analizando la implementación de medidas de seguridad desde una perspectiva resultista y ultra vires, en tanto que, da por hecho que, en todos los casos, el cifrado evita el acceso no autorizado. Así las cosas, afirma que la Agencia evita, de forma sistemática, considerar la influencia determinante de un grupo criminal internacional que opera fuera del marco legal, centrándose exclusivamente en determinar que SANTANDER CONSUMER no implementó el cifrado como medida de seguridad, sin ni siquiera ofrecer mayor explicación de por qué este hubiese evitado firmemente que el grupo criminal no hubiese podido acceder a la información. Manifiesta que el uso de técnicas ingenieriles por parte de los atacantes es un factor determinante que demuestra que el incidente no puede ser atribuido a una negligencia del Responsable del Tratamiento, menos aun cuando la brecha de seguridad se produjo en los soportes informáticos del Subencargado. Considera que este tipo de métodos, además de ser extraordinariamente complejos de prever y neutralizar, suelen exceder los estándares de seguridad implementados en cualquier organización, incluso cuando esta haya actuado con el máximo grado de diligencia y previsión. De ningún modo comparte la idea de que SANTANDER CONSUMER ha posibilitado el acceso a terceros, sino que se falta gravemente a la verdad con tales acusaciones, en tanto en cuanto, un grupo de ciberdelincuentes consiguió, a través de determinadas técnicas específicas, acceder de forma ilegítima a la información almacenada en los sistemas del subencargado del tratamiento. Reitera que no existen pruebas de cargo sobre las cuales se puedan basar las declaraciones de la Agencia en la Resolución, en cuanto a que no existían medidas de seguridad suficientes, resultando oportuno recalcar que nos encontramos ante un grupo altamente especializado y cualificado, sin que se haya ofrecido un listado por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 parte de la AEPD respecto a las medidas que faltaban por implementar por parte del Subencargado del Tratamiento, donde evita en todo momento la Agencia entrar, al efecto de valorar dichos aspectos. A tal efecto, considera que partir de una generalidad lesiona la seguridad jurídica de los procedimientos sancionadores, viéndose claramente vulnerado el principio de presunción de inocencia y derecho a la tutela judicial efectiva, siendo el resultado de ello una sanción económica a todas luces desproporcionada junto a un Procedimiento Sancionador que no es iniciado frente a los sujetos sobre los cuales la responsabilidad puede recaer, por tener estos capacidad para participar en un proceso administrativo. Por lo tanto, afirma que la interpretación realizada por la Agencia respecto al nivel de protección no resulta realista, en tanto que exige una serie de medidas que, de ningún modo, posibilitarían la prestación encomendada y, además, tampoco hubiesen evitado la sustracción de la información. Entiende que atribuir la responsabilidad a SANTANDER CONSUMER, bajo la premisa de que no adoptó el cifrado del dato IBAN, viene a aseverar que existe un grave error a la hora de entender el funcionamiento del ataque perpetrado, así como, basarse en una mera conjetura, ya que no existen evidencias que permitan aseverar que, de haberse cifrado los datos, el acceso no autorizado no se hubiese materializado, lo que indudablemente conlleva en su opinión a la imposibilidad de imputar a SANTANDER CONSUMER el agravante de negligencia y/o culpa. CUARTA. – DE LA AUSENCIA DE RESPONSABILIDAD DEL ENCARGADO DEL TRATAMIENTO QUE LA AEPD SOSTIENE EN SU RESOLUCIÓN. Reitera que, no existen evidencias, ni examen o valoración que ponga de relieve que las medidas de seguridad exigidas por SANTANDER CONSUMER a través del Contrato, fuesen insuficientes, así como resulta cuanto menos llamativo que teniendo lugar la brecha de seguridad en los sistemas del Subencargado del Tratamiento, tampoco se haya llamado al Procedimiento al Encargado y mucho menos se haya cuestionado el contrato suscrito entre este y MARKTEL, documento clave que, en cualquier caso, de haber sido aportado al procedimiento como prueba, hubiese permitido a esta Agencia sostener sus manifestaciones en contra de SANTANDER CONSUMER. No obstante, afirma que esta Agencia ha considerado que las medidas de seguridad exigidas a través de este han sido conforme a la normativa vigente y aplicable en materia de protección de datos. QUINTA. VULNERACIÓN DE LOS PRINCIPIOS RECTORES DEL PROCEDIMIENTO ADMINISTRATIVO SANCIONADOR. Alega que la sanción económica impuesta a SANTANDER CONSUMER es totalmente desproporcionada habida cuenta los hechos acaecidos y que no han sido tenidos en cuenta por la AEPD a la hora de valorar su cuantificación. A tal efecto, parte de la base de que la Agencia evita tratar u otorgar la categoría de banda organizada al grupo conformado por estos terceros que cometieron un ilícito penal. En segundo lugar, afirma que ha quedado debidamente probado que, en efecto, se disponía por parte de SANTANDER CONSUMER de medidas de seguridad adecuadas, exigiendo a su vez a ORANGE el requerimiento de estas con respecto a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 las futuras contrataciones que se pudiesen llevar a cabo, no obrando en el Expediente prueba en contrario, lo que supone que, en caso de no archivar las actuaciones, resultaría preciso recalificar la sanción. Reitera que existe una más que evidente falta de motivación respecto de la separación habida en la cuantificación seguida en otros expedientes ya analizados en los que se procedió al archivo de actuaciones, así como tampoco alcanza esta parte a comprender el motivo de que, o en otros supuesto similares, se hayan impuesto multas considerablemente más bajas. Y sin ánimo de resultar reiterativos, se remite a la totalidad de alegaciones vertidas a lo largo de este escrito y que ponen de relevancia que la aplicación del agravante de culpabilidad resulta improcedente. En definitiva, considera que la Agencia no se ha ceñido a los hechos concretos y a los parámetros del artículo 29 LRJSP y 83 del RGPD, por lo que solicita que se acuerde estimar la totalidad de pretensiones expuestas y, en consecuencia, acordar el archivo de las actuaciones por no ser imputable a SANTANDER CONSUMER una infracción de artículo 5.1.f)., y en caso de no estimar la anterior pretensión, se modere la sanción impuesta en virtud de las circunstancias que se han descrito a lo largo del escrito. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso, la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Sobre el recurso potestativo de reposición interpuesto En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en la resolución impugnada, cuyos Fundamentos de Derecho continúan plenamente vigentes y cuyo contenido se da íntegramente por reproducido. En cuanto al resto de alegaciones, se procede a dar respuesta a las mismas, según el orden expuesto: PRIMERA. - DE LA DESVIRTUACIÓN DE LAS OBLIGACIONES DE LA DIVISIÓN DE INNOVACIÓN Y TECNOLOGÍA. Tal y como se ha señalado a lo largo del procedimiento sancionador, se reitera que el escrito de la División de Innovación Tecnológica no es óbice ni obstáculo para el ejercicio de las potestades de investigación que tiene la AEPD, de conformidad con lo establecido en el artículo 64 de la LOPDGDD que determina que: “Artículo 64. Forma de iniciación del procedimiento y duración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación. 2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificado al interesado. Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” En relación con las actuaciones previas de investigación, el art. 67 de la LOPDGDD dispone lo siguiente: Artículo 67. Actuaciones previas de investigación. 1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa. De dicha normativa no se infiere en modo alguno que la AEPD tenga que justificar de la manera que exige SANTANDER CONSUMER el inicio de actuaciones previas. La AEPD llevó a cabo en este caso actuaciones previas de investigación con la finalidad de esclarecer los hechos y las circunstancias de lo acontecido, recabando más información al objeto de poder determinar la existencia o no de una posible infracción de la normativa en materia de protección de datos. En este sentido, el inicio de investigaciones previas y su realización, potestad de la AEPD, no prejuzga nada, sino que permite recabar la información necesaria para determinar si hay indicios o no de infracción. Incluso tras dicha investigación, puede ser que se archiven las actuaciones por entender, a la vista de la información recabada, que no concurren los elementos necesarios para la apertura de un procedimiento sancionador. Lo cual, en el presente caso, no ha sucedido. Ha de concluirse que la parte recurrente ha podido ejercer en todo momento a lo largo de la tramitación del procedimiento sancionador su derecho a la defensa, conociendo en todo momento los hechos que se le imputan y las infracciones derivadas de los mismos, sin que, del rechazo por parte de esta AEPD de los argumentos reiteradamente esgrimidos, en base a razonamientos debidamente motivados, pueda extraerse una vulneración de los principios de confianza legítima, buena fe, seguridad jurídica, congruencia y coherencia, como alega la recurrente. Consta acreditado además que la parte recurrente tuvo acceso a todos los documentos obrantes en el expediente, por lo que el planteamiento que la parte recurrente realiza sobre esta cuestión en sus alegaciones no se ajusta a Derecho. SEGUNDA. - GRAVE ERROR A LA HORA DE DETERMINAR QUE NO EXISTE UNA VULNERACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA. SANTANDER CONSUMER vuelve de nuevo a reiterar esta alegación y cuya respuesta fue debidamente argumentada en la resolución recurrida, a la que, en aras de economía procesal, procede remitirse. En dicha argumentación, ya se indicó la existencia de negligencia en la actuación de la compañía. Así, se indicó que la vulneración de la confidencialidad que se imputa a SANTANDER CONSUMER es por incumplir la obligación impuesta en el artículo 5.1.
13. f)del RGPD, de tratar los datos de tal manera que se garantice una seguridad adecuada de los mismos, incluida la protección contra el tratamiento no autorizado o ilícito, mediante la aplicación de medidas técnicas u organizativas apropiadas. No debe olvidarse, en este sentido, que existen medidas dirigidas específicamente a garantizar la confidencialidad de los datos personales, como el cifrado de los mismos. Sin embargo, tal y como se ha indicado en los Hechos Probados, en el momento de producirse el incidente de seguridad, el mismo conllevó una brecha de datos personales que afectó a la confidencialidad de éstos por cuanto SANTANDER CONSUMER no había implementado medidas que, en caso de haberse aplicado, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/24 hubiesen permitido la materialización de la exfiltración de los datos personales, ni una publicación de los mismos como finalmente sucedió. Sobre el principio de presunción de inocencia y la carga de la prueba, se debe indicar que la presunción de inocencia no exime al responsable del tratamiento de cumplir con las obligaciones establecidas en el artículo 5.1.
14. f)del RGPD, de tratar los datos de tal manera que se garantice una seguridad adecuada de los mismos, incluida la protección contra el tratamiento no autorizado o ilícito, mediante la aplicación de medidas técnicas u organizativas apropiadas. Por lo tanto, en este caso, el principio de presunción de inocencia no puede invocarse para eximir al responsable de esta obligación toda vez que, en el supuesto examinado, y tal y como consta en los hechos probados, hay una clara pérdida de confidencialidad pues se ha producido el acceso por un tercero no autorizado a los datos personales tratados por SANTANDER CONSUMER, siendo ello un resultado objetivo, que no una responsabilidad objetiva. Por tanto, queda refutada esta alegación. TERCERA. – ERROR EN LA ARGUMENTACIÓN EFECTUADA POR PARTE DE LA AEPD RESPECTO DE LAS MEDIDAS DE SEGURIDAD EXIGIDAS E IMPLEMENTADAS POR SANTANDER CONSUMER. Frente a ello, debe señalarse que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que haya mediado la actuación fraudulenta de un tercero, pues la responsabilidad de la parte actora no deriva de la actuación de éste, sino de la suya propia. En ningún caso se ha exigido una infalibilidad total de las medidas que se pueden adoptar para garantizar una protección adecuada en el tratamiento de los datos personales. El hecho de que se haya apreciado que el responsable de tratamiento contara con algunas medidas de seguridad, no obsta a que en este procedimiento sancionador se haya comprobado que, en relación con la información publicada en la Dark Web, se filtrara la tabla “Clientes” de la base de datos, con algunos datos en abierto. En cuanto a la alegación relativa a que la normativa aplicable no establece una obligación de resultado respecto de las medidas de seguridad, sino sólo de medios, trayendo para ello a colación la Sentencia del Tribunal Supremo STS 188/2022 de 15 de febrero de 2022, se significa que esta Sentencia declara: “La obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado (…) En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia " o "de comportamiento" (…) no basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24 responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso.” Pues bien, la nueva regulación prevista en el RGPD amplía notablemente las obligaciones del responsable del tratamiento y su ámbito de acción y responsabilidad, extendiéndose ahora de manera clara a las actuaciones realizadas por sus encargados del tratamiento, que quedan dentro de su ámbito de responsabilidad. Al respecto, esta Agencia desea señalar que de ninguna manera considera que la obligación de implementación de medidas impuesta por la normativa de protección de datos tenga una naturaleza de obligación de resultado y no de medios. Pero no es menos cierto que SANTANDER CONSUMER no contaba, antes de que se produjera el incidente, con medidas que “conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado”, pues no hay que olvidar que los datos no se encontraban cifrados o sometidos a cualquier otra técnica para impedir el acceso a la información. En este mismo sentido, hay que tener presente también que existen medidas dirigidas específicamente a garantizar la confidencialidad de los datos personales, como el cifrado de los mismos o la aplicación sobre ellos de técnicas de seudonimización o anonimización, medidas que, en caso de haberse aplicado, hubieran, cuando menos, dificultado el acceso por un tercero no autorizado a los datos personales y, en consecuencia, la publicación ulterior de los mismos. Y ello porque la pérdida de confidencialidad se constató consecuencia de la exfiltración de los datos; pérdida de confidencialidad, acceso de un tercero a los datos personales, que no se hubiera producido si estos hubieran estado cifrados o seudonimizados o anonimizados, pues los delincuentes se hubieran llevado una información ininteligible. CUARTA. – DE LA AUSENCIA DE RESPONSABILIDAD DEL ENCARGADO DEL TRATAMIENTO QUE LA AEPD SOSTIENE EN SU RESOLUCIÓN. Recordemos que en fecha 7 de julio de 2015, ORANGE ESPAGNE y SANTANDER CONSUMER con motivo del contrato de prestación de servicios suscrito en dicha fecha, formalizaron un contrato de acceso a los datos de los que es responsable SANTANDER CONSUMER que quedó incorporado al contrato de prestación de servicios en el ANEXO 3 del mismo, mediante el cual ORANGE prestaría a SANTANDER CONSUMER servicios de facturación, cobro, recobro y postventa a sus clientes. En relación con las medidas de seguridad, el contrato de acceso a datos indica que se deberán aplicar las medidas de nivel medio, lo que no cumple con los requisitos que recoge el artículo 5.1.
15. f)del RGPD. Ello es responsabilidad de SANTANDER CONSUMER por cuanto, es la responsable del tratamiento y es quien tiene la obligación de integrar y desplegar la protección de datos dentro de todo lo que constituya su organización, en todos sus ámbitos de actuación, ya afecten a sus empleados o a sus encargados del tratamiento. Se debe tener muy presente que en última instancia la finalidad determinante es la de garantizar la protección del interesado, pues el foco está los riesgos en los derechos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/24 libertades de los interesados derivados del tratamiento de datos personales que realiza el responsable del tratamiento. Por consiguiente, el responsable del tratamiento debe llevar a cabo una evaluación de los riesgos para los derechos y libertades de las personas físicas en los tratamientos de datos, implantando las medidas técnicas y organizativas apropiadas para aplicar los principios de protección de datos e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del RGPD, debiendo poder demostrar que el tratamiento es conforme con lo previsto en la citada norma. Y a la luz del principio de responsabilidad proactiva (art 5.2 RGPD), el responsable del tratamiento debe poder demostrar que ha tomado en cuenta todos los elementos previstos en el RGPD. El sistema previsto en la LOPD era un sistema de cumplimiento y en la actualidad, se ha pasado de un sistema con medidas de seguridad estándar y estáticas para cualquier responsable, a medidas propias para cada organización (adaptadas a sus características e idiosincrasia), que considera los riesgos específicos de la entidad de que se trate y que no quedan limitadas al establecimiento de medidas exclusivamente de seguridad; además, ahora, son dinámicas, de tal forma que no se agota con la implementación de las medidas adecuadas al riesgo al inicio de los tratamientos, sino que deben ir adaptándose a los riesgos que vayan apareciendo. Establecer el cumplimiento de medidas de nivel medio no supone haber dado cumplimiento a esta obligación la cual exige la implementación de las medidas que en cada caso sean necesarias. Por tanto, todo ello no hace sino reflejar una falta de diligencia por parte de la recurrente a la hora de garantizar una seguridad adecuada al riesgo de los tratamientos de datos que lleva a cabo. En este sentido, no debe olvidarse que en la base de datos afectada se encuentran almacenados datos personales de miles de clientes, lo cual supone un tratamiento a gran escala, lo que exige medidas técnicas y organizativas apropiadas de todo tipo, incluidas las de seguridad, y dirigidas especialmente a garantizar que no se produzca un acceso ilegítimo a dichos datos personales. Tal y como se ha venido demostrando y argumentando a lo largo del presente procedimiento sancionador, se considera que no había implantadas unas medidas, en este caso, apropiadas para garantizar la seguridad de los datos personales de los clientes, lo que determinó en este supuesto un acceso ilegítimo a los datos personales de los clientes de SANTANDER CONSUMER. Por tanto, no se está exigiendo una responsabilidad objetiva como consecuencia exclusiva de un resultado provocado por un ciberataque. Es mucho más, es una falta de cumplimiento de las obligaciones impuestas por el RGPD. Por tanto, se insiste, en que el responsable del tratamiento debe establecer, en su relación con el encargado del tratamiento, modalidades claras para dicha asistencia y dar instrucciones precisas al encargado del tratamiento sobre cómo cumplirlas de forma adecuada y documentarlo previamente a través de un contrato o bien en otro acuerdo (vinculante) y también posteriormente durante la vigencia del mismo y comprobar en todo momento del desarrollo del contrato su cumplimiento en la forma establecida en el mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/24 Sin embargo, las instrucciones dadas por SANTANDER CONSUMER a su encargado eran a todas luces insuficientes en cuanto a garantizar una protección de los datos adecuada al riesgo. Las medidas adoptadas deben ser evaluadas periódicamente para aplicar medidas eficaces adecuadas al riesgo. Sin embargo, SANTANDER CONSUMER ni siquiera renovó el contrato de encargado del tratamiento suscrito con ORANGE ESPAÑA. Basta con traer a colación el contenido de la STS 1562/2020, de 15 de junio de 2020, rec. 601/2019, que señala lo siguiente: “En tal sentido, ya la Sentencia del Tribunal Supremo de 5 de junio de 2004, que confirma, en casación para Unificación de Doctrina, la de esta AN de 16 de octubre de 2003, haciéndose eco de lo argumentado por esta Sala refiere la diferenciación de dos responsables en función de que el poder decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específica. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento. Con ello, como asimismo argumenta la STS de 26 de abril de 2005 (casación para unificación de doctrina 217/2004), el legislador español pretende adaptarse a las exigencias de la Directiva 95/46/CE, que tiene como objetivo dar respuesta legal al fenómeno, que cada vez es más frecuente, de la llamada externalización de los servicios informáticos, donde actúan múltiples operadores, muchos de ellos insolventes, creados con el objetivo de buscar la impunidad o irresponsabilidad de los que le siguen en los eslabones siguientes de la cadena. En la actualidad, el nuevo Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (por el que se deroga la Directiva 95/46/CE, y de aplicación directa a partir del 25 de mayo de 2018) distingue asimismo entre las figuras del responsable y del encargado del tratamiento. La primera se define en el apartado 7) del artículo 4 como " persona física o jurídica (...) que determine los fines y medios del tratamiento”. Y el encargado de tratamiento en el apartado 8) del mismo artículo 4 como aquel que "trate datos personales por cuenta del responsable del tratamiento". Ello en relación con los Artículos 24 y 28 del mismo Reglamento Europeo de Protección de Datos. Responsable y encargado del tratamiento de datos que, sin lugar a duda, resultan asimismo responsables de las infracciones en materia de protección de datos, en tal nuevo marco normativo, de conformidad con lo previsto en el artículo 82.2 del repetido Reglamento (UE) 2016/679 a cuyo tenor: Cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto por el presente Reglamento. Un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/24 haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable. Se desprende de todo lo anterior que la concurrencia, en el presente supuesto, de un encargado del tratamiento ZZZZ en absoluto exime de responsabilidad a la entidad XXXX ahora recurrente, y ello a pesar de la contundencia de las cláusulas que figuran en el contrato y anexo al mismo firmados por ambas compañías (hechos probados 9 y 10) en cuanto los datos personales tratados lo fueron con la finalidad de llevar a cabo una campaña publicitaria respecto de seguros de coche y moto que comercializaba la (XXXX), en definitiva en beneficio de dicha XXXX, siendo tal entidad actora la que, en último término, determina los fines y medios del repetido tratamiento de datos, por lo que la misma no puede ser exonerada de responsabilidad”. Continua la STS, en relación con la posible exoneración de responsabilidad alegada en cuanto a lo suscrito en el contrato de «encargado del tratamiento», lo siguiente: “La conducta sancionada de obstaculización o impedimento por XXXX del ejercicio por su cliente del derecho de oposición al tratamiento de sus datos, se manifiesta en que dicha sociedad no adoptó ninguna clase de medida o de cautela para evitar el envío de publicidad a las direcciones de correo electrónico de su cliente por parte de aquellas empresas a las que encomendó la realización de las campañas publicitarias. La adopción de las medidas o cautelas necesarias para asegurar la efectividad del derecho de oposición al tratamiento de sus datos por parte de XXXX, como responsable del fichero, subsisten aunque las campañas publicitarias no se realicen a partir de los datos de sus propios ficheros, sino con bases de datos de otras compañías contratadas por XXXX, y en este caso quedó acreditado que la recurrente no comunicó a las empresas con las que contrató la realización de servicios de publicidad la oposición del denunciante a recibir publicidad de la Mutua, ni en definitiva adoptó previsión alguna para asegurar la exclusión de su cliente de los envíos publicitarios contratados con terceras entidades.” En consecuencia, las alegaciones deben ser desestimadas toda vez que la recurrente ha infringido las obligaciones impuestas en el RGPD en calidad de responsable de los tratamientos llevados a cabo en su nombre y por su cuenta, en relación con las responsabilidades que exige a todo responsable del tratamiento el artículo 5.1.
16. f)del RGPD. QUINTA. VULNERACIÓN DE LOS PRINCIPIOS RECTORES DEL PROCEDIMIENTO ADMINISTRATIVO SANCIONADOR. Como consideración general y final, procede señalar que la sanción aplicada no vulnera el principio de proporcionalidad. Así, debe recordarse que el artículo 83.5 del RGPD, donde se encuentra tipificada la infracción del artículo 5.1.f), establece unos límites en las cuantías de las multas que se pueden imponer muy alejados de las que finalmente se han establecido, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/24 habiéndose considerado para su individualización, dentro de los márgenes legalmente establecidos, las circunstancias concretas que concurren en el presente caso. Esta adecuación de la sanción al caso concreto no solo no vulnera el principio de proporcionalidad, sino que, como a continuación se indica, resulta exigible para dar debido cumplimiento al mismo. Tal y como ha considerado el Tribunal Supremo en diferentes sentencias (STS 4ª 10 de julio de 1985, STS 12 de diciembre de 2012, STS 3ª 23 de junio de 2014), la discrecionalidad que se otorga a la Administración en la imposición de sanciones, dentro de los límites legalmente previstos, debe ser desarrollada ponderando las circunstancias concurrentes, con el objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad. Por su parte, el artículo 29 de la Ley 40/2015 de 1 de octubre, de Régimen Jurídico del Sector Público, en el apartado 3, hace igualmente referencia a la necesidad de adecuar las sanciones a la gravedad de los hechos constitutivos de infracción. En cualquier caso, se subraya que, de conformidad con el artículo 63.2 de la LOPDGDD “los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. El RGPD establece su propio sistema sancionador y de determinación de la cuantía de la multa en el artículo 83, sin perjuicio de que prevea la aplicación subsidiaria de los principios básicos del derecho sancionador. Por tanto, de acuerdo con el principio de especialidad normativa (lex specialis derogat legi generali), es de aplicación preferente la ley especial (esto es, lo contenido en el RGPD y en la LOPDGDD) sobre la ley general, que tendrá aplicación subsidiaria. Así, el propio artículo 83.1 del RGPD consagra, entre las condiciones generales para la imposición de multas administrativas, el mandato (habitual, por otra parte, en el ámbito del derecho administrativo sancionador) de que las multas han de resultar en cada caso individual efectivas, proporcionadas y disuasorias. En consecuencia, la Administración dispone de un cierto margen de apreciación de las circunstancias concretas a la hora de valorar el alcance de la infracción, necesario y requerido para determinar la cuantía concreta de la sanción, lo cual no implica que en su actuación pueda hablarse de discrecionalidad en sentido estricto o arbitrariedad. Sobre este particular, la Sentencia del Tribunal Supremo, de 12 de diciembre de 2012, rec. 5120/2009, que reproduce lo ya expresado en su sentencia de 29 de junio de 2010, aclara lo siguiente: “Pero es un error jurídico entender que dicho margen de apreciación puede calificarse propiamente de discrecionalidad, en su sentido estricto de admitir una libertad más o menos amplia para decidir una sanción u otra. Dicho margen de apreciación quiere decir que es la Administración quien está en mejor posición para valorar el peso relativo de las diversas circunstancias concurrentes en un supuesto concreto a la hora de determinar el riesgo creado a la seguridad o el perjuicio causado al bien jurídico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/24 protegido. Pero dicha capacidad de apreciación no quiere decir que no deban tenerse en cuenta obligadamente para fijar una sanción las diversas circunstancias concurrentes y así ponerlo de manifiesto en toda resolución sancionadora.” La discrecionalidad con la que cuenta la Administración para determinar la sanción a imponer es bastante limitada, estando nítidamente regulados todos los elementos a tener en cuenta para determinar el importe de la correspondiente multa. Es decir, sin perjuicio de la existencia del margen de apreciación indicado, la Administración debe ajustarse en su actuación, a la aplicación de unos criterios valorativos previstos en la norma e inferibles de principios integradores del ordenamiento jurídico (Sentencia del Tribunal Supremo de 30 noviembre 2004 Rec. núm. 6573/2001 (RJ 2005\5402). En el caso que nos ocupa, estos criterios valorativos se encuentran recogidos en el artículo 83.2 del RGPD, y en el artículo 76.2 de la LOPDPGDD, y la determinación concreta de las sanciones se ha efectuado atendiendo a la concurrencia de las circunstancias previstas en los citados preceptos para la graduación de la sanción, y que han resultado expuestas y razonadas a lo largo del presente procedimiento sancionador, sin que pueda aceptarse que haya existido una vulneración del principio de proporcionalidad por parte de esta Agencia en el sentido alegado por el recurrente. Por otra parte, como ya se indicó, esta Agencia no tiene un criterio de archivo en el supuesto de ciberataques, del tipo que sea, ni tampoco, por tanto, respecto de aquellos afectados por un ransomware, sino que, en materia de protección de datos, las medidas técnicas y organizativas a adoptar por los responsables del tratamiento y demás obligaciones a cumplir exigidas por el RGPD, deben ser las adecuadas en relación con los concretos riesgos que suponen los específicos tratamientos que realice cada responsable. Por tanto, al analizar la diligencia de unos y otros en el cumplimiento de la normativa, ha de estarse a las circunstancias de cada caso, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines de cada tratamiento, no existiendo casos idénticos. Así, un ataque realizado con el mismo ransomware en el mismo momento y en distintas empresas tendría resultados dispares, pues las circunstancias son diferentes. Incluso este mismo ataque contra la misma empresa en momentos distintos podría determinar una situación diferente. Las decisiones que toman las autoridades de control en cada caso no son susceptibles de comparación, pues se refieren a distintas organizaciones que pueden ser muy diferentes, bien por su tamaño, por los tratamientos que realizan, la tipología de los datos, los datos personales involucrados, los riesgos existentes, los sistemas afectados y por el momento tecnológico en el que opera cada ciber incidente. Por lo expuesto, no existe en esta Agencia un criterio de archivo en casos de ataques con ransomware, ni tampoco de imponer los mismos importes concretos de multas en caso de ciberataques, pues en el caso de ciberataques, ya sean estos de tipo ransomware o de otro tipo, se ha de estar al caso concreto y especialmente, a las medidas previas de seguridad existentes y a las adoptadas para tratar el incidente. A efectos de fijar el importe de la sanción por infracción del artículo 5.1.
17. f)del RGPD, se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/24 del artículo 76.2 de la LOPDGDD. Lo anterior implica de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
18. b)y
19. g)y, en aquellos casos en los que el infractor sea una empresa, el volumen de negocios. En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio total anual global del Banco Santander, S.A. y sociedades dependientes (Grupo Santander) que, en el ejercicio financiero anterior a la comisión de la infracción, ejercicio 2021, ascendió a 52.117 millones de euros. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por la infracción podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de SANTANDER CONSUMER es de 2.084.680.000 euros. En consecuencia, teniendo en cuenta el volumen de negocio de SANTANDER CONSUMER, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 2.084.680.000 euros. Dado que la sanción impuesta fue de 500.000 euros, esta Agencia no comparte los calificativos vertidos sobre el carácter confiscatorio, o la ausencia de proporcionalidad de la multa. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que imputa ni suponen causa de justificación o exculpación suficiente. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/24 sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SANTANDER CONSUMER FINANCE, S.A. contra la resolución de esta Agencia Española de Protección de Datos, dictada en fecha 14 de febrero de 2025, en el expediente EXP202402612. SEGUNDO: NOTIFICAR la presente resolución a SANTANDER CONSUMER FINANCE, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
20. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/24 en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
21. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es