Gönüllü ödeme sonrasında yaptırım dosyasının kapatılması

1/38

 Expediente N.º: EXP202306835

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO SANCIONADOR POR
PAGO VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 23 de diciembre de 2024, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a la entidad
HYUNDAI MOTOR ESPAÑA S.L.U., con NIF B85754646 (en adelante, la parte
reclamada o HMES). Notificado el acuerdo de inicio y tras analizar las alegaciones
presentadas, con fecha 12 de noviembre de 2025 se emitió y notificó la propuesta de
resolución que a continuación se transcribe:

<<Expediente N.º: EXP202306835

PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES

PRIMERO: A.A.A., B.B.B. y C.C.C. (en adelante, la parte reclamante), con fechas
11/04/2023, 24/04/2023 y 08/06/2023, interpusieron reclamación ante la Agencia
Española de Protección de Datos. La reclamación se dirige contra HYUNDAI MOTOR
ESPAÑA S.L.U., con NIF B85754646 (en adelante, la parte reclamada o HMES). Los
reclamantes manifiestan que han recibido comunicación de una brecha de datos
personales por parte de la reclamada y que el hecho les causa diferentes molestias y
preocupaciones. Solicitan la investigación de los hechos. Aportan copias de las
comunicaciones con la parte reclamada.

Las reclamaciones están relacionadas con una brecha de datos personales que fue
comunicada por HMES a los afectados mediante mensaje de fecha 10/04/2023, en el
que se informa "un tercero no autorizado ha accedido a cierta información de nuestra
base de datos de clientes (...) Nuestra investigación informática indica que pueden
haberse visto afectados algunos datos relativos a clientes y potenciales clientes. Los
datos incluyen detalles de contacto (como correos electrónicos, direcciones y números
de teléfono) y datos de vehículos (como números de bastidor) de nuestros clientes. No
se han visto afectados datos financieros ni números de identificación oficial (como el
DNI) de nuestros clientes".

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), el 24/05/2023 y 29/06/2023 se dio traslado de dicha
reclamación a la parte reclamada, para que procediese a su análisis e informase a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

2/38

esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a
los requisitos previstos en la normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fueron recogidas en fechas 24/05/2023 y 29/06/2023
como consta en los acuses de recibo que obra en el expediente.

TERCERO: Con fecha 12/07 y 29/08/2023, respectivamente, de conformidad con el
artículo 65 de la LOPDGDD, se admitieron a trámite las reclamaciones.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.

En el marco de estas actuaciones se analiza la notificación de la brecha de datos
personales realizada por HMES a esta AEPD, que fue realizada inicialmente en fecha
27/02/2023 y completada el 31/03/2023.

Descripción:

Brecha de seguridad que llega a la AEPD a través de notificación por HMES; además,
existen tres reclamaciones vinculadas a la brecha. HMES refiere un problema de
seguridad en un software que le provee su encargado de tratamiento, Hyundai
AutoEver Europe GmbH (en adelante HAEE), que permitió una exfiltración de datos
personales de clientes y potenciales clientes de HMES, así como de otros
responsables del grupo Hyundai en otros países de la UE.

En este informe, o en la documentación aportada por la parte reclamada, se emplean
las siguientes denominaciones:
- Hyundai Motor España S.L.U.: parte reclamada, HMES, responsable del
tratamiento.
- Hyundai AutoEver Europe GmbH: HAEE, con sede en Offenbach am Main,
(Hesse, Alemania), encargada del tratamiento.

Cronología de la brecha, según las manifestaciones de la parte reclamada:

17/01/2023: un atacante consigue sustraer de un servidor de HAEE datos personales
correspondientes a 1.012.730 clientes y potenciales clientes de HMES (nombre y
apellidos; fecha de nacimiento; teléfono; según el caso dirección de correo electrónico
o dirección postal; identificador de cliente; número de bastidor del vehículo). Los datos
no estaban cifrados. Según manifiesta la parte reclamada, entre los datos no había
números de DNI, datos financieros ni datos de llaves de vehículos.

22/02/2023: el atacante informa a un empleado de HAEE en República Checa.

24/02/2023: la parte reclamada recibe la información, procede al bloqueo de todos los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

3/38

accesos (...), y da por cerrado el ataque.

27/02/2023: notificación inicial de la brecha en la AEPD.

30/03/2023: notificación completa de la brecha en la AEPD; manifiesta la intención de
comunicar a los afectados antes del 10 de abril.

10/04/2023: comunicación de la brecha a 850.430 afectados por correo electrónico.

19/05/2023 a 25/05/2023: comunicación de la brecha a 171.596 afectados por correo
postal.

Entidades responsable y encargada del tratamiento:

La parte reclamada, responsable del tratamiento, registra la notificación inicial de la
brecha el 27/02/2023. Manifiesta:

“Los sistemas informáticos del encargado del tratamiento fueron objeto de un ataque
[…]. Concretamente, el ataque consistió en el acceso a los servidores […] ubicados en
Alemania, que contienen datos básicos y de contacto de clientes del responsable […].
El atacante se puso en contacto con un empleado de otra sociedad del grupo
empresarial del que forma parte el responsable del tratamiento […]”

En la notificación completa de la brecha, el 31/03/2023, la parte reclamada manifiesta:

“[…] el incidente está relacionado con un servidor operado por Hyundai AutoEver
Europe GmbH, que actúa como encargado del tratamiento para varias empresas del
grupo Hyundai. Así, empresas de otros países también se han visto afectadas por la
brecha. Dichas empresas, como responsables del tratamiento, han comunicado la
brecha a las autoridades competentes en materia de protección de datos de sus
países.”

HAEE es un grupo empresarial con sede en Alemania al que pertenecen, entre otras,
la responsable del tratamiento HMES y la encargada del tratamiento HAEE.

El Delegado de Protección de Datos de la parte reclamada manifiesta, en pág. 2, que
“el interlocutor de la Sociedad con el Encargado en relación con el Incidente fue
Hyundai Europa en nombre de HMES”.

La parte reclamada ha aportado el acuerdo marco con la entidad encargada del
tratamiento de datos personales (HAEE): original en inglés (págs. 52 a 109), y su
traducción al español págs. 71 a 128).

En el acuerdo se designan a HMES como responsable y a HAEE como encargada del
tratamiento, pág. 71.

No constan referencias en el sistema IMI en relación con esta brecha.

Acuerdo de tratamiento:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

4/38

La fecha de firma del acuerdo es 17/05/2018, y de su apéndice 23 de noviembre de
2017. Aparecen las rúbricas en pág. 80. Se indica que se establece con duración
indefinida.

El apéndice consta de tres partes:

- Parte A: “Alcance, tipo y fines de la recogida, el tratamiento o la utilización
previstos de los datos, el tipo de datos y el círculo de personas afectadas
(interesados) de acuerdo con el Preámbulo del Acuerdo Marco de Protección
de Datos y otros encargados del tratamiento de acuerdo con la cláusula 6.3 de
dicho Acuerdo”, págs. 86 a 124.
- Parte B: “Persona(s) autorizada(s) por el Responsable y el Encargado del
tratamiento”, pág. 125.
- Parte C: “Medidas técnicas y organizativas que deberá adoptar el Encargado
del tratamiento, en concreto el control que llevará a cabo con arreglo a la
cláusula 2.2 del Acuerdo”, págs. 81 a 84 y 125 a 128.

Origen de la brecha:

Según indica el informe técnico de la brecha en págs. 22 a 69, ***SISTEMA.1 es el
sistema de Hyundai Europa que da soporte, entre otras, a la base de datos de clientes
de HMES para usos de publicidad y estadísticas, que es operada por HAEE como
prestador del servicio y encargado del tratamiento, y es la que resultó atacada.

En pág. 24 y ss., el informe indica que el atacante aprovechó una vulnerabilidad de
seguridad (…)

Preguntada por la versión del software que estaba instalada en el momento de la
brecha (17 de enero de 2023), y cuya vulnerabilidad resultó explotada, la parte
reclamada manifiesta en pág. 5:

“A los efectos oportunos, se deja constancia a continuación de la versión y fecha de
instalación de la aplicación referida:

***VERSION.1 / (…).

A los efectos oportunos, se informa de que, con ocasión del Incidente, se llevó a cabo
un parcheo de esta aplicación y que, con posterioridad, se ha sustituido esta solución
por el sistema ***SISTEMA.2 […].”

Consultada la página web del desarrollador del software, ***URL.1, se comprueba que
la última versión disponible anterior a la fecha del ataque era la versión ***VERSION.2
(***URL.2), disponible desde diciembre de 2022.

Consultada la página de vulnerabilidades del desarrollador del software, ***URL.3, se
comprueba que en la fecha de la brecha existían al menos 8 actualizaciones que
corregían vulnerabilidades conocidas del software, posteriores a la versión
***VERSION.3, calificadas por el desarrollador como de severidades Crítica
(***REFERENCIA.1), Alta y Media.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

5/38

La parte reclamada manifiesta que el 24 de febrero “se procedió a aislar los sistemas
afectados y se bloqueó su conexión al resto de los sistemas corporativos para evitar
movimientos laterales o cualquier expansión del ataque”.

Datos afectados:

La parte reclamada manifiesta que el número total de afectados en España es de
1.012.730. El informe técnico elaborado tras la brecha, indica en págs. 27, 61 y otras,
que en el ataque se exfiltraron 5,4 GB de datos.

La parte reclamada manifiesta que los datos obtenidos por el atacante no estaban
cifrados, y que consisten en:
- nombre y apellidos
- fecha de nacimiento
- teléfono
- según el caso dirección de correo electrónico o dirección postal
- identificador de cliente
- número de bastidor del vehículo

La parte reclamada manifiesta en pág. 2, que no hay evidencia de que entre los datos
obtenidos hubiera números de DNI, datos financieros ni datos de llaves de vehículos.

La parte reclamada manifiesta en pág. 2, que también se han visto afectadas por la
brecha empresas de otros países, que las mismas han comunicado la brecha a sus
respectivas autoridades de protección de datos, y que “el impacto de la brecha ha
variado entre empresas, dado que en cada caso se han visto afectadas distintas
categorías de datos, un número diferente de interesados, etc.”.

En el Acuerdo para el tratamiento de datos personales entre HMES y HAEE, constan
las categorías de datos personales de clientes o clientes potenciales que constan
reseñadas en el Hecho Probado Segundo.

Consecuencias para los afectados:

Los reclamantes manifiestan molestias por llamadas publicitarias, que asocian al
incidente, así como temor a posibles consecuencias personales y profesionales a
causa de la pérdida de control sobre sus datos personales y al posible hurto de sus
vehículos.

La parte reclamada manifiesta en pág. 3:

“A la vista de la naturaleza de los datos afectados, no se prevé que los interesados
vayan a verse afectados por consecuencias gravosas, y que en su caso podrán
encontrar algunos inconvenientes muy limitados y reversibles que superarán sin
ningún problema (tiempo de reingreso de información, molestias, irritaciones, etc.).”

La parte reclamada manifiesta que no tiene constancia de la difusión o publicación de
los datos afectados, que la matriz coreana de Hyundai mantiene un servicio de
monitorización de filtraciones en internet y que no han detectado difusión indebida de
los datos afectados, que contrataron servicios de análisis de tendencias de opinión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

6/38

que no detectaron indicios de reacciones adversas en los entornos web analizados,
que no ha tenido conocimiento de uso ilícito o improcedente de los datos, y que ha
recibido y satisfecho ejercicios de derechos “ARCOP” por parte de interesados pero
que, aparte de las reclamaciones del presente expediente no ha recibido otras
denuncias o notificaciones por impacto negativo.

Y en la pág. 15, manifiesta:

“A la vista de las categorías de datos afectados, según la información facilitada por
HMES no es previsible que los derechos y libertades de los interesados puedan verse
gravemente perjudicados. Ello a la vista de la poco gravosa entidad de cualquier
perjuicio que pueda surgir de un acceso indebido a datos personales como los
afectados por el Incidente.”

“En todo caso, los interesados podrían verse afectados por inconvenientes limitados y
reversibles, que podrían superar sin mayor problema ni esfuerzo. En cualquier caso, la
notificación realizada a los interesados habría servido de ayuda para reducir aún más
los posibles riesgos.”

A fecha de firma del informe, no consta que los afectados hayan sufrido otras
consecuencias.

La parte reclamada afirma también que:

“Tal y como se ha informado a la AEPD en el seno de este expediente, desde la matriz
coreana de la Sociedad, (Hyundai Motors Corea) se mantiene un servicio de
monitorización continua de posibles filtraciones de información de las empresas del
grupo en internet, incluyendo en la deepweb/darkweb.”

“A fecha del presente escrito, se puede confirmar que no se ha tenido constancia de
que se haya realizado ninguna publicación o difusión de los datos afectados por el
Incidente en entornos web (ni en otros entornos diferentes).”

Por otra parte, HMES ha manifestado a esta AEPD que “(…)”.

Medidas preventivas organizativas y técnicas:

El “Acuerdo Marco de Protección de datos HMES – HAEE” establece en pág. 72,
(apartado 2, “Seguridad del tratamiento”):

“2.1 El Encargado del tratamiento adoptará todas las medidas técnicas y organizativas
necesarias para cumplir las obligaciones mencionadas en la cláusula 1, asegurar su
cumplimiento y garantizar un nivel de seguridad adecuado al riesgo, teniendo en
consideración el estado de la técnica, los costes de aplicación y la naturaleza, el
alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos
y libertades de las personas físicas, de gravedad y probabilidad variables. Esto
incluye, por ejemplo, (…).”

“2.2. En el Apéndice al presente Acuerdo se ofrecen más detalles sobre las medidas
técnicas y organizativas que adoptará el Encargado del tratamiento, concretamente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

7/38

las medidas de control que aplicará. El Encargado del tratamiento podrá adoptar
medidas técnicas y organizativas que superen aquellas establecidas en el Apéndice
del presente Acuerdo, y adoptará cuantas medidas técnicas y organizativas
adicionales exija cualquier disposición de la Unión o de los Estados miembros en
materia de protección de datos. El Encargado del tratamiento notificará por escrito a
Hyundai cualquier modificación en las medidas técnicas y organizativas adoptadas.”

La parte reclamada manifiesta que disponía de políticas de protección de datos y
seguridad antes del ataque:

En pág. 4 y pág. 3: “(…).”

En el informe del DPD se recoge lo siguiente:

“Con anterioridad al Incidente, HMES había implementado medidas de seguridad
técnicas y organizativas en relación con los datos albergados en los sistemas del
Encargado que se vieron afectados por este incidente. En este sentido, HMES
contaba con las siguientes medidas de seguridad:
• (…).”

La parte reclamada manifiesta que los datos personales no estaban cifrados.

En el Análisis de Riesgos (AR) aportado, pág. 10, la parte reclamada menciona entre
las medidas de seguridad aplicadas con anterioridad al incidente la “(…)”.

Preguntada en R2 por las diferencias en las manifestaciones sobre el cifrado de los
datos personales, la parte reclamada manifiesta en pág. 5:

“(…) están cifrados, como parte de las medidas de seguridad estándar.”

“(…).”

Medidas técnicas adoptadas tras el incidente:

La parte reclamada manifiesta:

“Desde el momento en que aconteció la Brecha […] se procedió a aislar los sistemas
afectados y se bloqueó su conexión al resto de los sistemas corporativos para evitar
movimientos laterales o cualquier expansión del ataque.”

DÉCIMO: HMES ha informado que tras la brecha ha implementado numerosas
medidas organizativas y técnicas de seguridad para eliminar la vulnerabilidad
aprovechada por el atacante, y ha tomado medidas adicionales de protección:

- (…).

Preguntada por las medidas de cifrado de datos personales adoptadas tras el
incidente, la parte reclamada manifiesta:

“En relación con esta cuestión, la solución de seguridad documental para proteger
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

8/38

archivos frente a posibles incidentes de seguridad o exfiltraciones ha sido actualizada,
pasando de un esquema (…).”

“De este modo, se garantiza que toda la documentación interna es ilegible sin que el
usuario en cuestión cuente con accesos previos, incluso en caso de que se diera una
exfiltración de la documentación.”

“Para su lectura por terceras partes, sería necesario que los documentos fuesen
desencriptados con anterioridad.”

“Esto redunda en una mejora notable de los niveles de seguridad de la información
tratada por la Sociedad.”

Documentación de la parte reclamada relacionada con sus actividades de tratamiento
y análisis de riesgos asociados a los mismos:

La parte reclamada aporta como Anexo III, pág. 12, el Registro de Actividades de
Tratamiento (RAT) relacionadas con los datos afectados por la brecha.

En el RAT constan:
- (…).

Entre las categorías de datos mencionadas en el RAT no consta (…), que la propia
parte reclamada menciona en págs. 2 y 3, como categorías de datos afectados por la
brecha.

Preguntada por los Análisis de Riesgo (AR) para los derechos y libertades de las
personas físicas, referidos a las actividades de tratamiento de los datos personales
sobre los que se ha producido la violación de seguridad, la parte reclamada aporta,
págs. 2 a 11, el “ANÁLISIS DE RIESGOS PARA LOS DERECHOS Y LIBERTADES DE
LOS INTERESADOS EN RELACIÓN CON (…)”.

Preguntada por su fecha de elaboración, la parte reclamada manifiesta que el mismo
“fue redactado con posterioridad a la detección y gestión del Incidente, con el objetivo
de documentar el análisis pormenorizado realizado en relación con el mismo y sus
implicaciones en materia de protección de datos y seguridad de la información”.

El AR considera los riesgos relacionados con la confidencialidad, disponibilidad e
integridad de los datos, tiene en cuenta la probabilidad de materialización del riesgo,
así como la severidad, en su caso, para los derechos y libertades de los afectados.

El AR considera el riesgo del tratamiento como “asumible”, por sus características:
- Para la confidencialidad de los datos: probabilidad “limitada”, severidad
en caso de materialización del riesgo “limitada”, medidas de seguridad que
“mitigan este riesgo debidamente”
- Para la disponibilidad de los datos: probabilidad “limitada”, severidad en
caso de materialización del riesgo “limitada”, medidas de seguridad que “mitigan
este riesgo debidamente”
- Para la integridad de los datos: probabilidad “limitada”, severidad en caso
de materialización del riesgo “limitada”, medidas de seguridad que “mitigan este
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

9/38

riesgo debidamente”

El AR concluye que resulta innecesaria la realización de una evaluación de impacto en
relación con el tratamiento de datos personales (EIPD).

Adicionalmente, la parte reclamada manifiesta:

“La Sociedad desea dejar constancia de que […] junto con su encargado del
tratamiento […] habían implementado todas las medidas oportunas para asegurar la
confidencialidad, integridad y disponibilidad de la información tratada, en estricto
cumplimiento de las obligaciones aplicables en materia de protección de datos sobre
los sistemas afectados por el Incidente.”

“[…] los datos personales afectados estuvieron en todo momento protegidos por las
exhaustivas medidas de seguridad implementadas por el Encargado. En este sentido,
y a modo ilustrativo pero no limitativo, el Encargado cuenta con la certificación
ISO27001 de seguridad de la información, evidencia del cual se adjunta a la presente
como Anexo I. Sirva esta certificación como ejemplo del nivel de compromiso con la
seguridad de los datos personales por parte de la Sociedad y su Encargado.”

Notificación a la Agencia Española de Protección de Datos y comunicación a los
afectados:

Queda acreditado que la parte reclamada notificó la brecha a la Agencia Española de
Protección de Datos el 27 de febrero de 2023, antes de las 72 horas siguientes a su
conocimiento de la brecha, y que envió una ampliación de la información el 31 de
marzo.

La parte reclamada manifestó su intención de comunicar la brecha a los afectados
antes del 10 de abril de 2023.

La parte reclamada manifiesta en pág. 6, que envió 850.430 comunicaciones por
correo electrónico el 10 de abril de 2023 (45 días después de su conocimiento de la
brecha), y aporta una imagen extraída de su herramienta de envío de comunicaciones,
en la que constan esa cifra y esa fecha.

Rte1 manifiesta que recibió esa comunicación el 11 de abril, y aporta una impresión
del correo electrónico. La marca temporal del correo es “11/04/2023, 0:44” (no indica
referencia horaria). La comunicación presenta fecha 10 de abril, y con excepción de la
fecha su formato y contenido son iguales a los del Anexo IV.

Rte2 manifiesta que recibió una comunicación por correo electrónico el día 10 de abril.
Por las manifestaciones de Rte2 y por las manifestaciones de la parte reclamada su
contenido coincide.

La parte reclamada proporciona en págs. 14 y 15, el modelo de comunicación enviada
a los afectados por correo electrónico, en el que aparece la fecha 9 de mayo de 2023.
Preguntada por la falta de concordancia de las fechas, la parte reclamada manifiesta
en pág. 3:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

10/38

“[…] el documento enviado a la AEPD, si bien idéntico en contenido a lo enviado a los
interesados, era un mero ejemplo que se preparó a efectos de dar respuesta a la
AEPD […] La fecha real de envío de las notificaciones a los afectados, tal como se
comunicó y acreditó ante la AEPD, fue el 10 de abril (habiéndose alargado el proceso
de parte de estos envíos hasta el 11 de abril), teniendo un contenido idéntico al ya
compartido por la Sociedad a la AEPD en el seno de este expediente.”

La parte reclamada manifiesta también que envió comunicaciones de la brecha por
correo postal. Aporta en albaranes de entrega a Correos de 171.617 comunicaciones
entre los días 19 y 25 de mayo de 2023 (entre 85 y 91 días después de su
conocimiento de la brecha).

Rte3 manifiesta haber recibido esa comunicación, de la que aporta copia. La
comunicación tiene fecha de 18 de mayo, y su formato y contenido son iguales a los
del Anexo V aunque este último tiene fecha 14 de abril. Preguntada por la falta de
concordancia en las fechas, la parte reclamada manifiesta en pág. 4:

“[…] la Sociedad confirma que la comunicación a los afectados sobre este Incidente
por correo se realizó entre los días 19 a 25 de mayo de 2023, teniendo un contenido
idéntico al ya compartido por la Sociedad a la AEPD en el seno de este expediente.”

En estas comunicaciones, HMES informó a los clientes y potenciales clientes
afectados lo siguiente:

“Me pongo en contacto con usted en nombre de Hyundai Motor España para
informarle de que, lamentablemente… nuestra empresa ha tenido conocimiento
recientemente de que un tercero no autorizado ha accedido a cierta información de
nuestra base de datos de clientes.

En el momento en el que tuvimos conocimiento del incidente, iniciamos
inmediatamente una investigación y tomamos medidas para contenerlo… Entre las
diversas medidas de seguridad aplicadas, bloqueamos el servidor afectado y lo
desconectamos permanentemente de la red…

Nuestra investigación informática indica que pueden haberse visto afectados algunos
datos relativos a clientes y potenciales clientes. Los datos incluyen detalles de
contacto (como correos electrónicos, direcciones y números de teléfono) y datos de
vehículos (como números de bastidor) de nuestros clientes. No se han visto afectados
datos financieros ni números de identificación oficial (como el DNI) de nuestros
clientes.

Aunque no tenemos constancia de que estos datos hayan sido utilizados con fines
fraudulentos, por extremar la precaución le recomendamos que aplique las medidas
habitualmente recomendadas y compruebe cualquier intento de contacto por correo
electrónico, postal y/o mensaje de texto que pueda parecer que proviene de Hyundai
España o de otras entidades del Grupo Hyundai Motor. En particular, le
recomendamos que evite pulsar cualquier enlace que contengan estas
comunicaciones. Como siempre, puede ponerse en contacto con nosotros
directamente para cualquier verificación o soporte. En este sentido, hemos habilitado
un canal específico al que puede dirigirse: email… o teléfono…”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

11/38

Por otra parte, con sus respuestas al trámite de traslado de las reclamaciones y a los
requerimientos de información que le fueron realizados por los Servicios de
Inspección, la entidad reclamada aportó copia de la respuesta que le remitió la
División de Innovación Tecnológica de esta AEPD con ocasión de la notificación de la
brecha de datos personales que ha motivado el presente expediente. En esta
comunicación se indica lo siguiente:

“En relación con la información adicional aportada mediante registro de entrada
***REFERENCIA.2, relativa a una brecha de datos personales en un tratamiento del
que HYUNDAI MOTOR ESPAÑA, S.L.U. se declara responsable, informamos que:

Tras el análisis de la información adicional aportada, la brecha ha sido actualizada en
el registro de notificaciones de brechas de datos personales y, sin perjuicio del curso
de otros procedimientos, no están previstas más acciones por parte de esta División
con relación a este acto de notificación de brecha de datos personales.

No obstante, le recordamos la necesidad de investigar las causas del incidente hasta
entender cómo y por qué ha sucedido, y la obligación de tomar las acciones oportunas
para evitar que vuelva a suceder y minimizar el impacto potencial sobre los afectados,
así como la obligación de documentar cualquier incidente de seguridad que pueda
afectar a los datos personales como los hechos relacionados con los mismos y las
medidas correctivas aportadas tal y como establece el artículo 33.5 del RGPD.

Si en el trascurso del tiempo obtuviera indicios que impliquen un cambio sustancial en
la naturaleza, circunstancias o severidad de la brecha, puede realizar una nueva
notificación completa a través del formulario de notificaciones de brechas de datos
personales disponible en nuestra sede electrónica https://sedeagpd.gob.es/sede-
electronica-web/.

Así mismo, le informamos que en el siguiente enlace tiene a su disposición la guía
para la notificación de brechas de datos personales publicada por esta Agencia:
https://www.aepd.es/media/guias/guia-brechas-seguridad.pdf”.

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la parte
reclamada es una gran empresa constituida en el año 2.009, y con un volumen de
negocios de ***CANTIDAD.1 euros en el año 2.024.

SEXTO: Con fecha 23/12/2024, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la entidad HMES, por la presunta
infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD.

En el acuerdo de apertura se determinó que la sanción que pudiera corresponder por
la infracción imputada, sin perjuicio de lo que resulte de la instrucción, sería de
2.000.000 euros (dos millones de euros).

Asimismo, se advirtió que la infracción, de confirmarse, podrá conllevar la imposición
de medidas, de acuerdo con lo establecido en el citado artículo 58.2 del RGPD.

SÉPTIMO: Notificado el citado acuerdo de inicio, la entidad HMES presentó escrito de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

12/38

alegaciones en el que solicita que se dirija un apercibimiento o, subsidiariamente, se
reduzca la cuantía de multa propuesta en el acuerdo de inicio por debajo de los
800.000 euros. Basa su pretensión en las consideraciones siguientes:

Primera. Solicita que la multa administrativa sea sustituida por una medida de
apercibimiento, prevista en el artículo 58.2 del RGPD, que puede acordarse en casos
de infracciones leves teniendo en consideración los factores previstos en el artículo
83.2. del RGPD, de acuerdo con el Considerando 148 del mismo Reglamento, sin que
sea un obstáculo que la infracción esté tipificada en el artículo 83.5 del citado texto
legal. Según HMES, las Directrices del Grupo de Trabajo del Artículo 29 CEPD, sobre
la aplicación y fijación de multas administrativas, y las Directrices 04/2022, sobre el
cálculo de las multas, al definir la gravedad de la infracción, siguen el mismo criterio. A
estos efectos, según la reclamada, para la consideración de la infracción como leve
concurren los siguientes factores:

1. Naturaleza, gravedad y duración de la infracción:

La afectación al principio de confidencialidad es limitada o leve, no generalizada,
porque el incidente solo afectó a un único servidor de escasa relevancia, gestionado
por una entidad subcontratada y cuya finalidad era compartir información con terceros
que la usaban para la remisión de comunicaciones comerciales sobre vehículos en
nombre de HMES, no vinculada a su actividad principal de venta al por mayor de
vehículos a concesionarios y flotas, no a consumidores finales, la cual no exige un
tratamiento regular, diario o a gran escala de datos personales de interesados en sus
vehículos.

Siendo así, la naturaleza del tratamiento de datos personales no reviste especial
gravedad en la medida en que (i) no invade la esfera privada de los interesados (por
ejemplo, a través de perfilados detallados o análisis de datos financieros,
conductuales…), (ii) no perjudica o limita el ejercicio de derechos de protección de
datos a los interesados, (iii) no permite adoptar decisiones de ningún tipo (mucho
menos automatizadas) que puedan afectar negativamente a los interesados, (iv) no
permite la asociación o combinación del conjunto de datos, (v) no permite la
observación sistemática de interesados, (vi) no implica el uso de nuevas tecnologías
innovadoras, (vii) no trata datos de colectivos de interesados vulnerables, (viii) no trata
datos sensibles del artículo 9.1 del RGPD, ni datos relativos a condenas e infracciones
penales, ni datos que merezcan una protección adicional y (ix) no implica el
tratamiento de datos que permita el acceso ilegítimo o el uso de coches.

Asimismo, la duración de la infracción debe entenderse limitada, ya que se procedió a
subsanar la vulnerabilidad detectada en el momento en el que se tuvo conocimiento
de la misma.

2. Número de interesados afectados:

Según las Directrices 04/2022, el número de afectados (1.012.730 clientes) se podrá
valorar en relación al número total de interesados en el contexto de que se trate. En
este caso, el número de afectados es inferior a la mitad de las personas incluidas en
las bases de datos que gestiona HMES en el curso de su actividad ordinaria.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

13/38

Adicionalmente, el tipo de datos no produce perjuicios relevantes ni las categorías de
datos eran similares para todos los individuos, existiendo casos con solo uno, dos o
tres registros en la base de datos afectada por el incidente, lo que producía una
situación de riesgo muy bajo en muchos de los casos.

Respecto de esta cuestión destaca que la AEPD ha conocido incidentes con un
número de registros y afectados similar o superior, resueltos en diferentes ocasiones
con archivos de actuaciones o sanciones menores, y cita:
- El caso del E/08809/2019, en el que se habrían visto afectados 22 millones de
registros mundialmente y afectó a datos de tarjeta de crédito, que culminó en archivo
de actuaciones.
- El caso del EXP202210465, en el que se habrían visto afectados los datos
personales de 1.407.257 (un 38,9% superior), sancionado por la misma infracción del
artículo 5.1.f) del RGPD con multa de 800.000 euros.

A la vista del carácter no sistémico de la afectación que propició el incidente, el total
de interesados afectados no es obstáculo para la consideración de la infracción como
leve.

3. Categorías de datos afectados por la infracción:

Los únicos datos afectados han sido datos identificativos (personales y de vehículo) y
de contacto, de escasa sensibilidad y en diferentes combinaciones por individuo. No
se trata de categorías especiales ni de los datos a que se refiere el artículo 10 del
RGPD, que merecen una especial protección; no hay datos de menores u otros
colectivos vulnerables; y tampoco otros datos especialmente sensibles, como datos
bancarios, de tarjetas de crédito, transaccionales, datos de localización,
comunicaciones privadas u otros documentos identificativos, a los que se refieren las
Directrices 04/2022 (apartado 57).

Asimismo, la brecha de datos personales no supone un menoscabo directo o alto en
los derechos, libertades e intereses de los interesados, que no quedaron en una
situación más comprometida o perjudicial, toda vez que los datos afectados son
generalmente conocidos y están disponibles al público por otras vías. Incluso el
número de bastidor del vehículo puede ser consultado por el público general que
acredite un interés legítimo por los cauces habilitados por las autoridades
competentes. Así, todo dato exfiltrado pudo haberse conocido y vinculado a los
interesados por otros medios sin un esfuerzo desproporcionado.

4. El nivel de daños y perjuicios para los derechos e intereses de los interesados es
limitado:

- Los datos afectados son básicos y generalmente accesibles al público en
general por diferentes medios.
- Como consecuencia de este incidente, no se ha producido ningún perjuicio
inmediato para los interesados, como podría ocurrir si se hubieran exfiltrado y
publicado maliciosamente detalles personales de la esfera privada de cada
interesado (como datos financieros, contraseñas, fotografías o mensajes
privados). No consta que se haya realizado ninguna publicación o difusión de los
datos afectados por el Incidente en entornos web (o cualesquiera otros entornos).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

14/38

- Cualquier hipotética consecuencia gravosa requeriría de un acto adicional y
posterior (de cierta envergadura) que la materializara, como la realización exitosa
por parte de un actor malicioso de una campaña de phishing (de lo cual no hay
evidencia alguna hasta la fecha). Por el tipo de dato afectado, su sola exfiltración
no da pie a ningún perjuicio.
Por lo tanto, la AEPD, al referirse a “consecuencias gravosas e inconvenientes
para los interesados”, lo que valora son potenciales e hipotéticas consecuencias
gravosas por la incertidumbre causada a los interesados, no que la brecha
conlleve de por sí cualquier tipo de consecuencia gravosa.
En cualquier caso, si concurriera este perjuicio inmaterial, este no debería
considerarse como alto por los motivos ya expuestos. Lo contrario desvirtuaría
cualquier graduación de la proporcionalidad, pues se estaría equiparando una
incertidumbre muy menor (a la vista de los datos afectados en este caso), con la
intranquilidad que podría suponer un incidente en el que se exfiltren datos de
tarjeta de crédito y sus claves de acceso (la cual sería, probablemente, mucho
mayor).
- Se valoran doblemente los mismos hechos como “inconvenientes” y como
“molestias” que, como se ha indicado, no se han producido en ninguno de los
afectados, más allá de la potencial preocupación manifestada por los tres
reclamantes.
- El temor manifestado por los reclamantes es infundado, por cuanto no se ha
generado ningún perjuicio real y medible ni se prevé que puedan materializarse,
mucho menos de la envergadura del robo de vehículos, que no se podría llevar a
cabo con la información afectada. El mismo acuerdo de inicio habla de temor
manifestado, no temor inherente al incidente. A este respecto, es ilustrativo que
solo 3 de 1.012.730 de afectados han formulado reclamación.
Destaca que las comunicaciones y respuestas dirigidas a los interesados
informando de la brecha contenían mensajes de tranquilidad y recomendaciones
sobre como mitigar posibles consecuencias negativas a raíz del Incidente. Al
interesado que hacía alusiones al posible robo de su vehículo se le dio puntual
respuesta, aclarándole que no sería posible usar los datos afectados para
sustraer los vehículos de los clientes.
A la vista de lo anterior, considera injusta la apertura de un procedimiento
sancionador sobre la base de temores infundados y subjetivos de los
reclamantes. Incluso la División de Innovación Tecnológica de la AEPD consideró
que no procedía la adopción de acciones adicionales en relación con este
incidente. Lo mismo aplicaría a la posible suplantación de identidad, que a la vista
de los datos afectados sería de muy difícil o imposible materialización.

Por último, resalta que el artículo 83.2.a) del RGPD no hace referencia alguna al
concepto de “posibilitar” que se “pueda producir” un perjuicio, sino a perjuicios ya
sufridos. A lo que ha de añadirse lo indicado sobre la posible concurrencia de daños
inmateriales.

5. Cualquier medida adoptada por el responsable del tratamiento para paliar los daños
y perjuicios sufridos por los interesados:

Al detectar el incidente se adoptaron medidas oportunas para aislar los sistemas
afectados, bloqueando su conexión al resto de sistemas para evitar posibles
expansiones del ataque y poder proceder con la adopción de las medidas técnicas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

15/38

necesarias para paliar sus efectos y evitar situaciones similares en el futuro, las cuales
constan descritas en los formularios de notificación de la brecha y en las respuestas a
los requerimientos de información.

Entre las citadas medidas, las dirigidas a detectar y limitar en la mayor parte posible
los perjuicios para los derechos y libertades de los interesados, como la consistente
en recurrir a un sistema de monitorización de emergencia de la Dark Web para
identificar potenciales publicaciones de los datos afectados. Cabe resaltar que no se
ha tenido noticia de la publicación de ninguna información en abierto desde el
momento del Incidente y así lo acredita el email remitido por la entidad contratada
para esta monitorización que se ha traducido automáticamente al castellano.

En ocasiones anteriores, la AEPD ha valorado la adopción de medidas técnicas y/u
organizativas de seguridad en remediación de incidentes como atenuante en la
graduación de infracciones. Tales son los casos de los procedimientos sancionadores
PS/00062/2022; EXP202205206; y EXP202305587.

6. Inexistencia de sanciones anteriores:

Desde la constitución de HMES en el año 2009, no cuenta con ninguna sanción
previa. Incluso, algún expediente informativo tramitado por parte de la AEPD finalizó
sin que se apreciase infracción alguna.

A estos efectos, en la Resolución de 22 de diciembre de 2021 (PS/00204/2021) la
AEPD consideró como factor relevante para determinar la cuantía de la multa
administrativa el hecho de “que no se aprecia reincidencia, por no constar la comisión
de ninguna infracción de la misma naturaleza”.

Manifiesta conocer que las Directrices 04/2022 y la Audiencia Nacional entienden que
la ausencia de infracciones previas no puede ser considerado una atenuante, pero ello
no impide que pueda ser tenido en cuenta para la consideración de la infracción como
leve a efectos del posible apercibimiento, en la medida en que acredita que la
conducta que ha dado lugar al Acuerdo de Inicio es un hecho aislado que no afecta al
cumplimiento generalizado del principio de seguridad y confidencialidad de la
información.

7. Grado de cooperación con la autoridad de control para remediar la infracción y
mitigar los efectos adversos:

Manifiesta conocer que colaborar con la autoridad de control durante la tramitación de
cualquier expediente administrativo es una obligación legal. No obstante, considera
relevante la diligencia mostrada para responder en tiempo y forma a las cinco todas
las solicitudes de información de la AEPD, que adoptó medidas para mitigar la
vulnerabilidad del servidor en el momento en el que tuvo conocimiento del incidente,
subsanando la vulnerabilidad antes de que se lo requiriese la propia AEPD e incluso
antes de que cualquier interesado manifestase su preocupación, y ya había tratado de
mitigar los posibles efectos adversos para los interesados informándoles del incidente
sufrido y poniéndose a disposición de los interesados para ayudarles en todo cuanto
pudiesen necesitar, con un servicio específico de call center y un centro de atención
diferenciado, con un listado de explicaciones preparadas para atender a cualquier
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

16/38

consulta en relación con el incidente.

8. Otros factores:

El artículo 76.2 de la LOPDGDD establece algunos ejemplos de los factores que
podrán tenerse en cuenta en relación con el artículo 83.2.k del RGPD. A los efectos
que nos ocupan, resultan de aplicación los siguientes:

• No sólo no ha obtenido beneficios como consecuencia de la infracción achacada
por la AEPD, sino que, además, el Incidente le ha ocasionado pérdidas
económicas, derivadas de la contratación de diferentes perfiles profesionales para
analizar lo sucedido, y reputacionales por haber informado de forma voluntaria a
los interesados afectados cuando este incidente podría haber sido mitigado sin
notificación a los interesados, dado el bajo nivel de riesgo que implicaba.

• La actividad principal de la entidad consiste en la venta de vehículos a la red de
concesionarios, quienes, posteriormente los venden a los consumidores finales.
Por lo tanto, no cabe interpretar que la actividad principal está vinculada con el
tratamiento de datos personales. Las actividades de marketing se realizan desde
HMES como refuerzo de la imagen de marca, pero no como elemento necesario
en la venta. De ello se deriva, también, la consecuencia de que el tipo de datos
almacenados para las actividades de marketing eran únicamente datos básicos,
sin ningún tipo de afectación a la esfera de mayor riesgo de los interesados (no
existían datos financieros o especialmente protegidos).

• No se han visto afectados los derechos de menores ni otro colectivo vulnerable.

• Aun cuando, a priori, podría justificarse que HMES no estaría obligada a
nombrar un Delegado de Protección de Datos, procedió a su designación y
registro.

Termina citando algunos precedentes similares en los que la AEPD acordó no imponer
multa administrativa y finalizar con un apercibimiento o, incluso, el archivo de las
actuaciones:

a. Procedimiento E/08809/2019, ya citado en el punto 2.

b. Procedimiento PS/00118/2020, que finalizó con apercibimiento, a pesar de que
la investigada no aportó el análisis de riesgos y declaró que “la máquina afectada
por los incidentes de seguridad estaba técnicamente obsoleta”, por lo que no
contaba con medidas de seguridad adecuadas al riesgo que conllevaba el
tratamiento.

c. Procedimiento E/05937/2021: finalizó con la imposición de una sanción de
apercibimiento, viéndose afectados datos económicos y financieros.

Segunda. Sobre la graduación de la multa administrativa

Los mismos criterios alegados para la calificación de la infracción como leve a efectos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

17/38

de sustituir la multa por un apercibimiento sirven para reducir el importe de la sanción,
en virtud de lo dispuesto en el artículo 83.2 del RGPD.

Asimismo, conforme a lo establecido en el artículo 83.1. del RGPD, deberá tenerse en
consideración lo siguiente:

1. El importe de la multa administrativa propuesta no es efectivo, proporcional ni
disuasorio:

a) No es efectivo.

Tal y como se establece en las Directrices 04/2022, la efectividad de una multa
persigue los siguientes objetivos: (i) reestablecer el cumplimiento de la normativa y/o
(ii) castigar un compartimiento ilícito.

HMES, voluntariamente y si requerimiento previo de la AEPD o los interesados, ya ha
reestablecido el cumplimiento de la normativa, puesto que, como se ha acreditado, ya
se han adoptado las medidas pertinentes para subsanar la vulnerabilidad que ha
ocasionado el Incidente.

Por lo tanto, el único objetivo que esta multa perseguiría sería el de “castigar un
comportamiento ilícito”. Si bien, teniendo en cuenta los factores indicados en la
Alegación Primera, existen suficientes elementos de valoración que permitirían
justificar que el importe de la misma fuera reducido a una cifra muy inferior.

b) No es proporcional.

El importe de dos millones no es proporcional a la finalidad de “castigar un
comportamiento ilícito” por una infracción que no puede considerarse grave, por
cuanto el incidente no supone un incumplimiento absoluto del principio de
confidencialidad.

c) No es disuasorio.

De conformidad con lo previsto en las Directrices 04/2022, el carácter disuasorio de
una multa tiene dos esferas: (i) la disuasión general de desincentivar a otros a cometer
la misma infracción en el futuro y (ii) la disuasión especifica de desincentivar al
destinatario de la multa a cometer de nuevo la misma infracción.

En cuanto a la disuasión general, aunque se pueda compartir el criterio del CEPD,
HMES considera que este procedimiento no debería utilizarse con fines disuasorios
generales, especialmente porque:

(i) existen múltiples procedimientos sancionadores de la AEPD por incumplimiento
de medidas de seguridad o incumplimiento del principio general de seguridad de
la información que ya cumplirían con este efecto disuasorio general, que ya existe
en el tejido empresarial español; y

(ii) el carácter del Incidente (un ciberincidente de un grupo de hackers altamente
profesionalizado) no tiene una entidad suficiente por sí sólo para ser considerado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

18/38

relevante para que tenga efectos disuasorios en un tercero, especialmente porque
cualquier responsable o encargado del tratamiento puede ser objeto de un
ciberataque.

En cuanto a la disuasión especifica, como ya se ha indicado, HMES ha implantado
nuevas medidas técnicas y organizativas para subsanar posibles vulnerabilidades
tecnológicas, por lo que, la multa administrativa no tendría ningún tipo de efecto
disuasorio adicional en la entidad.

2. Equilibrio de la multa administrativa con otros procedimientos sancionadores
similares o incluso más graves.

Cita nuevamente el procedimiento EXP202210465, en el que se impone una multa por
importe de 800.000 euros por incumplimiento del principio general del artículo 5.1. f)
del RGPD, que HMES considera un caso muy similar por hechos más graves:

o El número de interesados afectados es de 1.407.257, es decir, 394.527
afectados más.
o El servicio afectado por la violación de datos personales está directamente
relacionado con el servicio principal. En el caso de HMES, los datos afectados no
están relacionados con servicios principales, sino que el servidor afectado se
utilizaba para comunicaciones con terceras partes que remitían comunicaciones
comerciales en nombre de HMES.
o La entidad infractora presta servicios de telecomunicaciones, por lo que la
actividad de la entidad infractora está directamente relacionada con el tratamiento
de datos personales.
o La entidad infractora realizó la notificación de la violación de datos personales a
los infractores porque lo pidió la AEPD, no de forma voluntaria como hizo HMES.
o Los datos afectados, al igual que en el presente caso, no estaban cifrados.

Por tanto, en base a todo lo anterior, procede graduar la multa administrativa
propuesta a HMES en un importe inferior a los 800.000 euros impuestos por la AEPD
en el EXP202210465.

Finalmente, señala HMES que deben incorporarse al procedimiento sus notificaciones
por las que da cuenta de la brecha de datos personales, la respuesta de esta AEPD a
estas comunicaciones, sus escritos de respuesta a los requerimientos de información
y cualquier otro documento relacionado. A este respecto, se hace constar que dicha
documentación consta incorporada al expediente y su contenido principal reseñado en
este acto.

OCTAVO: En atención a lo solicitado por HMES, con fecha 11/11/2025 se remite a
HMES copia íntegra de las actuaciones que forman el presente expediente.

NOVENO: Se acompaña como anexo relación de documentos obrantes en el
procedimiento.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

19/38

HECHOS PROBADOS

PRIMERO: la entidad HMES, dedicada principalmente a la venta de automóviles y
repuestos, es responsable de un fichero en el que se registran los datos personales de
clientes y potenciales clientes para usos publicitarios y estadísticos.

SEGUNDO: La entidad HAEE, con sede en Alemania y perteneciente al mismo grupo
empresarial que HMES, se ocupa de la gestión del fichero reseñado en el Hecho
Probado Primero bajo la condición de encargada del tratamiento, en virtud del Acuerdo
Marco suscrito por dichas entidades en fecha 17/05/2018. Según HMES,
***SISTEMA.1 es el sistema que da soporte a la indicada base de datos personales.

En el Acuerdo para el tratamiento de datos personales entre HMES y HAEE, constan
las siguientes categorías de datos personales de clientes o clientes potenciales:

o (…)

TERCERO: Con fecha 17/01/2023, un tercero (o terceros) no identificado accedió a la
base de datos de Marketing y sustrajo datos personales pertenecientes a 1.012.730
interesados, clientes y potenciales clientes de HMES, relativos a nombre y apellidos;
fecha de nacimiento; teléfono; según el caso, dirección de correo electrónico o
dirección postal; identificador de cliente; y número de bastidor del vehículo.

Este acceso y exfiltración de datos personales se produce mediante un ataque a los
sistemas informáticos de HAEE, que posibilitó el acceso a un servidor (…) operado
por esta entidad.

HMES ha informado a esta AEPD que el acceso a la información se produce por un
problema de seguridad en el software que le provee su encargado de tratamiento,
HAEE. Concretamente, se informa que el atacante aprovechó una vulnerabilidad de
seguridad (…).

La versión disponible en el momento del ataque (…) fue instalada en julio de 2021.

Consultada por los Servicios de Inspección de la AEPD la página web del
desarrollador del software, ***URL.1, se comprueba que la última versión disponible
anterior a la fecha del ataque era la versión ***VERSION.2 (***URL.2), (…)

Consultada por los Servicios de Inspección de la AEPD la página de vulnerabilidades
del desarrollador del software, ***URL.3, se comprueba que en la fecha de la brecha
existían al menos 8 actualizaciones que corregían vulnerabilidades conocidas del
software, posteriores a la versión ***VERSION.3, calificadas por el desarrollador como
de severidades Crítica (***REFERENCIA.1), Alta y Media.

CUARTO: Con fecha 22/02/2023, el atacante informa a un empleado de HAEE en
República Checa sobre el ataque realizado.

QUINTO: Con fecha 24/02/2023, HMES recibe la información, procede al bloqueo de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

20/38

todos los accesos (...), y da por cerrado el ataque.

SEXTO: Con fecha 27/02/2023, HMES realiza la notificación inicial de la brecha en la
AEPD.

SÉPTIMO: Con fecha 31/03/2023, HMES amplía la información ofrecida en la primera
notificación de la brecha.

OCTAVO: Con fecha 10/04/2023, HMES comunica la brecha a 850.430 afectados por
correo electrónico; y con fecha 19/05/2023 a 25/05/2023, hace lo mismo por correo
postal a 171.596 afectados.

NOVENO: HMES ha informado que antes del ataque disponía de las siguientes
políticas de protección de datos y seguridad:

• (…).”

DÉCIMO: Con fechas 11/04/2023, 24/04/2023 y 08/06/2023 se recibieron en esta
AEPD sendas reclamaciones dirigidas contra HMES, formuladas por personas que
recibieron la comunicación de la brecha de datos personales por parte de la citada
entidad.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Alegaciones al acuerdo de inicio

HMES presenta escrito de alegaciones en el que no cuestiona los hechos que han
determinado la apertura del procedimiento ni la infracción imputada por vulneración de
lo establecido en el artículo 5.1.f) del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

21/38

Sus alegaciones se centran exclusivamente en la medida correctiva de multa
administrativa que se contempla en el acuerdo de inicio del procedimiento y en su
cuantía, limitándose a solicitar que por razón de la infracción cometida se dirija un
apercibimiento o, subsidiariamente, se reduzca la cuantía de multa por debajo de los
800.000 euros.

Para fundamentar su pretensión, HMES invoca diversos fatores de los previstos en el
artículo 83.2 del RGPD y artículo 76.2 de la LOPDGDD para decidir la cuantía de la
multa, que a su juicio justifican la calificación de la infracción como leve, entendiendo
con ello que la multa administrativa sea sustituida por una medida de apercibimiento
de acuerdo con el Considerando 148 del mismo Reglamento. En concreto, HMES
valora las circunstancias de graduación siguientes:

1. Naturaleza, gravedad y duración de la infracción.
2. Número de interesados afectados.
3. Categorías de datos afectados por la infracción.
4. El limitado nivel de daños y perjuicios para los derechos e intereses de los
interesados.
5. Cualquier medida adoptada por el responsable del tratamiento para paliar los daños
y perjuicios sufridos por los interesados.
6. Inexistencia de sanciones anteriores.
7. Grado de cooperación con la autoridad de control para remediar la infracción y
mitigar los efectos adversos.
8. Ausencia de beneficios.
9. La actividad que desarrolla no está vinculada con el tratamiento de datos
personales
10. No se han visto afectados derechos de menores ni otro colectivo vulnerable.
11. Tiene designado un delegado de protección de datos, aunque, a priori, podría
justificarse que no está obligada a nombrarlo.

En base a estas mismas circunstancias formula su petición para que, de forma
subsidiaria, se reduzca el importe de la multa administrativa.

Esta AEPD considera que, en el presente caso, no concurren todos los factores de
graduación apreciados por HMES o bien no tienen entidad suficiente para
contrarrestar la cuantificación de la multa realizada en esta propuesta de modo que
pueda sustituirse dicha multa por un apercibimiento. Además, algunos de los factores
de graduación alegados, valorados correctamente, expresan lo contrario a la
consideración de la infracción como leve, según se expone en el Fundamento de
Derecho V, dedicado a la cuantificación de la multa.

No se justifica, a juicio de esta AEPD, que la presente infracción sea leve por el solo
hecho de que puedan cometerse infracciones más graves que afecten a tratamientos
y datos personales más sensibles o a colectivos de afectados vulnerables; ni tampoco
por las supuestas peores consecuencias que la infracción analizada en este acto
hubiese podido tener de haber afectado a todos los datos registrados en los sistemas
de información de HMES, según alega esta entidad.

Ello sin perjuicio de que las circunstancias concretas de cada caso puedan tener como
efecto la imposición de una multa por importe mayor o menor, ajustada al supuesto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

22/38

concreto de que se trate.

De hecho, la multa de 2.000.000 de euros para la infracción cometida por HMES se
sitúa en un rango muy inferior en relación con el intervalo de multa que cabría imponer
conforme al RGPD, que se establece entre 0,00 euros y 52.537.680 euros para una
empresa cuyo volumen de negocio ascendió en el año 2024 a ***CANTIDAD.1 euros.

La multa se entiende proporcional a la infracción cometida, atendiendo a las concretas
circunstancias que se valoran en este caso, las cuales se desarrollan en el
Fundamento de Derecho V, ya citado.

En todo caso, (i) las circunstancias de hecho concurrentes, entre las que destaca de
forma esencia la gravedad de las deficiencias apreciadas en las medidas
organizativas y técnicas dispuestas por HMES, (ii) los elementos subjetivos que
configuran la conducta de HMES, especialmente la negligencia apreciada en su
actuación, o (iii) el propio carácter de esta entidad y el nivel de profesionalidad que
cabe exigirle, así como (iv) los efectos que conlleva la infracción en cuanto a la
pérdida del poder de disposición y control de sus datos personales por más de un
millón de personas, todo ello en conjunto e incluso cada una de esas circunstancias
considerada aisladamente, imposibilita llegar a concluir que la infracción sea
merecedora de un apercibimiento en lugar de multa o la estimación de una reducción
de la cuantía de la multa.

Aceptar la pretensión de HMES equivaldría a renunciar al efecto disuasorio de las
medidas correctivas que corresponde imponer a esta AEPD. A este respecto, la
Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11,
ECLI:EU:C:2013:386, dice:

“102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de
la consideración, en este contexto, del tamaño y de los recursos globales de la
empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la
sanción no debe ser insignificante, especialmente en relación con la capacidad
financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de
junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto
de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).”

La sanción propuesta cumple con la función disuasoria exigida por el RGPD, cuyo
objetivo es garantizar que las infracciones no se repitan y procurar que el
cumplimiento normativo sea una prioridad efectiva y no meramente declarativa para el
responsable del tratamiento. Por tanto, la sanción es proporcional, adecuada y
necesaria, cumpliendo con los objetivos del artículo 83 del RGPD y garantizando un
efecto disuasorio frente a futuras infracciones.

No obstante lo anterior, interesa realizar algunas consideraciones respecto de las
siguientes circunstancias:

. Ninguno de los factores de graduación considerados queda atenuado por el
hecho de que la entidad reclamada no haya sido objeto de un procedimiento
sancionador con anterioridad, circunstancia esta que ha sido alegada por la
entidad reclamada para que sea considerada como una atenuante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

23/38

A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica:

“Considera, por otro lado, que debe apreciarse como atenuante la no comisión de
una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe
tenerse en cuenta para la imposición de la multa administrativa, entre otras, la
circunstancia "e) toda infracción anterior cometida por el responsable o el
encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de
que no concurra el presupuesto para su aplicación conlleva que no pueda ser
tomada en consideración, pero no implica ni permite, como pretende la actora, su
aplicación como atenuante”.

Según el citado artículo 83.2 del RGPD, al decidir la imposición de una multa
administrativa y su cuantía de debe tener en cuenta “toda infracción anterior
cometida por el responsable”. Es una previsión normativa que no incluye la
inexistencia de infracciones precedentes como factor de graduación de la multa,
el cual debe entenderse como un criterio próximo a la reincidencia, aunque más
amplio.

. En cuanto a la cooperación de HMES con la AEPD, por la atención de todos los
requerimientos y solicitudes de información, si bien es valorable, no constituye
una atenuante relevante, ya que se trata de una obligación básica del responsable
del tratamiento conforme al artículo 31 del RGPD, y no de una medida adicional
que exceda sus deberes legales, por lo que la cooperación en el sentido
expresado por HMES no puede considerarse un factor atenuante sustancial, sino
un deber inherente al proceso.

. El inexistente beneficio obtenido por la reclamada como resultado al tratamiento
de datos que ocupa este procedimiento.

Lo mismo puede decirse respecto de la ausencia de beneficios también alegada
como atenuante por la entidad reclamada. Sobre este criterio, el artículo 76.2 de
la LOPDGDD, en su letra c), incluye entre los criterios que deben sopesarse a la
hora de fijar la cuantía de la sanción “los beneficios obtenidos como consecuencia
de la comisión de la infracción” y no la ausencia de estos beneficios. La misma
Sentencia de la Audiencia Nacional citada, de 05/05/2021, se refiere a la
necesidad de que concurra el “presupuesto” de hecho contemplado en la norma
para que pueda aplicarse un determinado criterio de graduación, y, como se ha
dicho, la ausencia de beneficios no está entre las circunstancias reguladas en el
artículo citado.

Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo
previsto en el artículo 83.2.k) del RGPD, según el cual las multas administrativas
se impondrán teniendo en cuenta cualquier “factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos
o las pérdidas evitadas, directa o indirectamente, a través de la infracción”,
entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos
que la obtención de beneficios.

Si a esto añadimos que las sanciones deberán ser “en cada caso individual”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

24/38

efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1
del RGPD, admitir la ausencia de beneficios como una atenuante, no solo es
contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino
también contrario a lo establecido en el artículo 83.2.k) del RGPD y a los
principios señalados.

Así, valorar la ausencia de beneficios como una atenuante anularía el efecto
disuasorio de la multa, en la medida en que minora el efecto de las circunstancias
que inciden efectivamente en su cuantificación, reportando al responsable un
beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la
sanción que procede imponer que puede llevar a entender que infringir la norma
sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto
negativo proporcional a la gravedad del hecho infractor.

Por otra parte, en cuanto a la existencia de otros procedimientos similares o incluso
más graves en los que la AEPD ha resuelto el archivo de actuaciones o impuesto una
multa inferior (cita el ejemplo que consta reseñado en los antecedentes) o apreciado
alguna de las atenuantes alegadas, debe señalarse que, además de poner de
manifiesto que este tipo de ataques están a la orden del día y por tanto previsibles en
gran medida, cada ataque es diferente pues, incluso aunque el ataque fuese similar,
en cada uno las empresas que lo sufren son distintas, con tratamientos de datos
personales diferentes y particulares y en cada caso hay que analizar las medidas
existentes (si existían, si eran adecuadas para garantizar un nivel de seguridad
apropiado al riesgo concreto en cada caso, si fueron eficientes, si se observaron, etc.).
No cabe, por tanto, equiparar sanciones ante hechos y circunstancias diferentes.

HMES únicamente ha seleccionado y trae a colación un precedente para defender un
supuesto trato desigual, pero, sin embargo, obvia las resoluciones dictadas en
numerosos procedimientos sancionadores tramitados por esta AEPD en los que, tras
producirse una brecha de confidencialidad, se ha sancionado con importes similares o
superiores, todas ellas disponibles en la web.

En este sentido, de nuevo se recuerda que, en materia de protección de datos, las
medidas técnicas y organizativas de seguridad a adoptar por los responsables del
tratamiento y demás obligaciones a cumplir exigidas por el RGPD, deben ser las
adecuadas en relación con los concretos riesgos que suponen los específicos
tratamientos que realice cada responsable. Por tanto, al analizar la diligencia de unos
y otros en el cumplimiento de la normativa ha de estarse a las circunstancias de cada
caso, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines de cada
tratamiento, no existiendo, por tanto, casos idénticos. En este sentido, debe
recordarse que el artículo 83, en su apartado 2 establece que “Las multas
administrativas se impondrán, en función de las circunstancias de cada caso
individual…”.

Por tanto, hay que atender a las circunstancias de cada caso individual, no existiendo
dos expedientes iguales y, por tanto, con resultados iguales.

III
Obligación incumplida: infracción del artículo 5.1.f) del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

25/38

El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:

“1. Los datos personales serán:

(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).”
(…)”

La documentación obrante en el expediente ofrece indicios evidentes de que la parte
reclamada, vulneró el artículo 5.1.f) del RGPD, principios relativos al tratamiento, al no
garantizar debidamente la confidencialidad e integridad de los datos de carácter
personal como consecuencia de la quiebra de seguridad producida aprovechando las
debilidades del sistema de información de la reclamada; todo ello posibilitaba el
acceso a los datos personales de los clientes de la entidad.

Este deber de confidencialidad e integridad, debe entenderse que tiene como finalidad
evitar que se realicen filtraciones de datos no consentidas por los titulares de los
mismos.

Según se indica en el informe técnico de la brecha que fue notificado a la AEPD el
servidor de HAEE sufrió un ataque informático el día 17/01/2023, a través del cual el
atacante, aprovechando una vulnerabilidad del software instalado en el servidor (...)
que proporciona servicio a los ***SISTEMA.3 de diferentes empresas del grupo (entre
ellas, a HMES) y en el que se almacenan datos de clientes destinados a estadísticas y
comunicaciones comerciales.

El ataque sufrido se dirige a la versión de (…).

El informe aclara y señala cual es el objetivo y finalidad de ambos (…).”

En cuanto a la versión del software que estaba instalada en el momento de la brecha y
cuya vulnerabilidad resultó explotada, la parte reclamada manifiesta que: “…la versión
y fecha de instalación de la aplicación referida:

***VERSION.1 / (…).
A los efectos oportunos, se informa de que, con ocasión del Incidente, se llevó a cabo
un parcheo de esta aplicación y que, con posterioridad, se ha sustituido esta solución
por el sistema ***SISTEMA.2 (…)”

Consultada la página web del desarrollador del software, se comprueba que la última
versión disponible anterior a la fecha del ataque era la versión ***VERSION.2,
disponible desde diciembre de 2022.

Consultada la página de vulnerabilidades del desarrollador del software se comprueba
que en la fecha de la brecha existían al menos 8 actualizaciones que corregían
vulnerabilidades conocidas del software, posteriores a la versión ***VERSION.3,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

26/38

calificadas por el desarrollador como de severidades Críticas (***REFERENCIA.1),
Alta y Media.

Es decir, que la versión del software que la parte reclamada ha manifestado tener
instalada en la fecha del ataque, era anterior a la última disponible en esa fecha; y se
conocían vulnerabilidades de ese software, existiendo versiones y actualizaciones
posteriores a la instalada, que corregían la vulnerabilidad que fue explotada en el
ataque.

La parte reclamada manifiesta que el 24 de febrero “se procedió a aislar los sistemas
afectados y se bloqueó su conexión al resto de los sistemas corporativos para evitar
movimientos laterales o cualquier expansión del ataque”.

El mismo DPD de la parte reclamada en su informe ha señalado que: “Con
anterioridad al Incidente, HMES había implementado medidas de seguridad técnicas y
organizativas en relación con los datos albergados en los sistemas del Encargado que
se vieron afectados por este incidente” y que contaba con las siguientes medidas de
seguridad:

“Política de protección de datos y seguridad.
Formación en protección de datos y seguridad de la información.
Actualización permanente de los sistemas informáticos.
Registro de incidentes.
Auditorías periódicas.
Control de acceso físico.
Control de acceso Lógico.
Niveles de acceso a datos.
Copia de seguridad.”

Sin embargo, señala que los datos personales no estaban cifrados, mientras que en el
Análisis de Riesgos aportado, la parte reclamada menciona entre las medidas de
seguridad aplicadas con anterioridad al incidente la “Encripción de datos del sistema
de ***SISTEMA.3” y a la pregunta del porqué de estas diferencias manifestaba que
“Los datos en reposo almacenados en los sistemas de ***SISTEMA.3 están cifrados,
como parte de las medidas de seguridad estándar”.

Asimismo, señala el informe que “No obstante, este incidente afectó a los datos
contenidos en (…), en el proceso de ser compartidos con terceras partes. Para poder
compartir los datos con terceros, por lo tanto, estos no pueden estar cifrados, ya que
de otro modo no podrían ser utilizados para las finalidades perseguidas. Por lo tanto,
podemos confirmar que los datos en reposo sí están cifrados (…).”

La parte reclamada en fecha 10/04/23, informaba a los afectados que "un tercero no
autorizado ha accedido a cierta información de nuestra base de datos de clientes (...)
Nuestra investigación informática indica que pueden haberse visto afectados algunos
datos relativos a clientes y potenciales clientes. Los datos incluyen detalles de
contacto (como correos electrónicos, direcciones y números de teléfono) y datos de
vehículos (como números de bastidor) de nuestros clientes. No se han visto afectados
datos financieros ni números de identificación oficial (como el DNI) de nuestros
clientes".
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

27/38

Por otra parte, como así figura en el informe técnico elaborado tras la brecha la parte
reclamada ha manifestado que el número total de afectados en España es de
1.012.730, y que en el ataque se exfiltraron 5,4 GB de datos.

La parte reclamada manifiesta que los datos obtenidos por el atacante no estaban
cifrados, y consisten en:
- nombre y apellidos
- fecha de nacimiento
- teléfono
- dirección de correo electrónico o dirección postal
- identificador de cliente
- número de bastidor del vehículo

Asimismo, manifiesta que no hay evidencia de que entre los datos obtenidos hubiera
números de DNI, datos financieros ni datos de llaves de vehículos.

Manifiesta la reclamada que “A la vista de la naturaleza de los datos afectados, no se
prevé que los interesados vayan a verse afectados por consecuencias gravosas, y que
en su caso podrán encontrar algunos inconvenientes muy limitados y reversibles que
superarán sin ningún problema (tiempo de reingreso de información, molestias,
irritaciones, etc.).”

Y que “A la vista de las categorías de datos afectados, según la información facilitada
por HMES no es previsible que los derechos y libertades de los interesados puedan
verse gravemente perjudicados. Ello a la vista de la poco gravosa entidad de cualquier
perjuicio que pueda surgir de un acceso indebido a datos personales como los
afectados por el Incidente.”

A la luz de lo que antecede se considera que la parte reclamada ha vulnerado el
principio de confidencialidad e integridad de los datos, principio consagrado en el
artículo 5.1.f) del RGPD, infracción tipificada en el artículo 83.5.a) del RGPD.

IV
Tipificación por la infracción del artículo 5.1.f) del RGPD

De conformidad con las evidencias de las que se dispone, se considera que la parte
reclamada no garantizó debidamente la confidencialidad de los datos de carácter
personal.

La infracción que se le atribuye a la entidad se encuentra tipificada en el artículo 83.5
a) del RGPD, que considera que la infracción de “los principios básicos para el
tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,
6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del
citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

28/38

La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones
los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley
orgánica”.

Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:

1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.
(…)”

V
Sanción por la infracción del artículo 5.1.f) del RGPD

A fin de establecer la multa administrativa que procede imponer han de observarse las
previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

29/38

medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.

En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76,
“Sanciones y medidas correctivas”, establece que:

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa.

Procede cuantificar la sanción que procede, considerando para ello que la multa que
se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria,
conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos
principios, se considera, con carácter previo, el volumen de negocio de HMES, que en
el ejercicio 2024 ascendió a ***CANTIDAD.1 euros.

En primer término, se tiene en cuenta la categoría de la infracción cometida,
comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con
la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima
de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía
equivalente al 4% como máximo de su volumen de negocio anual. Según el citado
precepto, al establecer el importe máximo aplicable debe optarse por el límite de
mayor cuantía, de los dos fijados por la norma.

En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el
año 2024 a ***CANTIDAD.1 euros, el importe de la multa que procede imponer estará
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

30/38

necesariamente situado entre 0,00 euros y 52.537.680 euros.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la
sanción a imponer en el presente caso por la infracción del artículo 5.1.f) del RGPD de
la que se responsabiliza a HMES, tipificada en el artículo 83.5.a) del RGPD, se
estiman concurrentes los siguientes factores:

1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en
consideración las circunstancias siguientes:

. Artículo 83.2.a) del RGPD: “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento
de que se trate así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido”.

. Naturaleza de la infracción:

El artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la
disposición infringida afecta a un principio básico del derecho a la protección de
datos personales, como es el de la confidencialidad de los datos personales y su
violación entraña un riesgo importante para los derechos de los interesados.

En este caso, la conducta de HMES ha provocado, de forma directa, la lesión del
bien jurídico protegido por el artículo 6 del RGPD, impidiendo su aplicación
efectiva y el objetivo que pretende proteger. Esta conducta ha posibilitado que se
produzca la brecha de datos personales con el consiguiente acceso a los datos
por terceros no autorizados, con los perjuicios que ello puede conllevar.

Además, puede concluirse que la infracción tuvo connotaciones sistémicas y, por
lo tanto, pudo afectar, incluso en diferentes momentos, a un número de
interesados mayor (la base de datos en cuestión tenía un número de registros
mayor al número de afectados por la brecha de datos personales.

A lo que debe sumarse que el ataque ni siquiera fue detectado por HMES, sino
que fueron los propios atacantes los que contactaron con un empleado del Grupo
al que pertenece la reclamada para informar sobre el incidente.

. Gravedad de la infracción:

. Naturaleza y propósito del tratamiento:

Evaluar la gravedad de estos aspectos del tratamiento de los datos
personales requiere considerar el contexto en el que se realiza.

Los datos personales afectados por la infracción tienen que ver con la base
de datos dispuesta por HMES para realizar acciones de marketing con
clientes y potenciales clientes. Dicho tratamiento de datos se realiza en el
marco de la actividad empresarial principal y básica de la citada operadora,
desarrollada con ánimo de lucro.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

31/38

. El alcance del tratamiento:

Interesa considerar que HMES es una compañía que opera con alcance
nacional y que la infracción es consecuencia directa de las debilidades
apreciadas en la seguridad de sus sistemas de información, por lo que el
riesgo que ello conlleva es alto.

La relación existente entre la infracción cometida y la asignación de recursos
que cabe exigir a HMES para impedirla debe analizarse en base al riesgo real
y a su ámbito de actuación de alcance nacional.

. Número de interesados:

El número de interesados afectados es muy elevado (1.012.730 clientes de la
reclamada).

. El nivel de daño sufrido por la parte reclamante:

De conformidad con el considerando 75 del RGPD, el nivel de daño sufrido se
refiere a los daños y perjuicios físicos, materiales o no materiales.

En el presente caso, el daño sufrido por los afectados no puede calificarse
como marginal. Además, en la medida en que pierden el control de sus datos
personales, el daño podría persistir durante un tiempo indeterminado.

El nivel de daños y perjuicios causados debe ser considerado alto teniendo
en cuenta los datos de carácter personal a los que se ha posibilitado el
acceso (nombre y apellidos, fecha de nacimiento, teléfono, dirección de
correo electrónico, dirección postal, identificador de cliente, número de
bastidor del vehículo). Además de las consecuencias gravosas e
inconvenientes para los afectados, molestias que se asocian a la brecha, así
como el temor manifestado por los reclamantes a causa de la pérdida de
control sobre sus datos personales y al posible hurto de sus vehículos, debe
señalarse que la situación generada, considerando que todos los datos
sustraídos se encuentran asociados a los datos identificativos de su titular,
posibilita que pueda producirse la materialización del riesgo de suplantación
de identidad, entre otros.

Se trata de riesgos que no disminuyen por el hecho de que, según indica
HMES, no haya tenido constancia de ningún tipo de publicación ni explotación
de estos datos por parte de terceros ajenos. Producida la exfiltración de
datos, el riesgo puede materializarse en cualquier momento. Como se ha
indicado, se tiene en cuenta el daño y riesgo que supone la pérdida de
confidencialidad, que conlleva una total pérdida de control sobre los propios
datos personales y el alto riesgo que conlleva de que se usen de forma
fraudulenta, pues han sido sustraídos por un ciberdelincuente.

. Artículo 83.2.b) del RGPD: “la intencionalidad o negligencia en la infracción”.

Se observa en la conducta de HMES una negligencia grave, por incumplimiento del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

32/38

deber de cuidado y atención de los riesgos exigido por la ley, más allá de lo que puede
considerarse un factor neutro asociado al elemento subjetivo de la culpabilidad.

Esta conclusión resulta de elementos objetivos de la conducta de HMES, obtenidos en
base a todas las circunstancias de hecho que constan detalladas en los Fundamentos
de Derecho que preceden. No hay que olvidar que mantenía un software sin actualizar
-hasta ocho actualizaciones pendientes- a pesar de que sus vulnerabilidades eran
conocidas, calificadas por el desarrollador como de severidades crítica, alta y media; y
que esta circunstancia tuvo incidencia directa en el éxito del ciberataque producido.

La consecuencia final de todo ello fue la exfiltración de los datos personales de una
base de datos con cientos de miles de registros, los cuales no se encontraban cifraos
en el momento en que tuvo lugar el ataque.

Conectado también con el grado de diligencia que HMES está obligada a desplegar en
el cumplimiento de las obligaciones que le impone la normativa de protección de datos
puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del
RGPD su pronunciamiento es perfectamente extrapolable al supuesto que
analizamos. La sentencia, después de aludir a que las entidades en las que el
desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y
terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado
por ajustarse a las prevenciones legales al respecto”.

. Artículo 83.2.g) del RGPD: “las categorías de los datos de carácter personal
afectados por la infracción”.

La falta de medidas técnicas y organizativas adecuadas para garantizar la
confidencialidad de los datos personales posibilitó que terceros no autorizados
accedieran a datos personales de clientes y potenciales clientes de HMES relativos a
nombre y apellidos, fecha de nacimiento, teléfono, dirección de correo electrónico,
dirección postal, identificador de cliente, número de bastidor del vehículo.

2. Se considera el siguiente factor de graduación en calidad de agravante:

. Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra b) de la LOPDGDD:
“La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales”.

La actividad de la entidad presuntamente infractora se encuentra vinculada con el
tratamiento de datos de carácter personal tanto de clientes como de terceros,
realizados a gran escala y de forma continua. En la actividad de la entidad reclamada
es imprescindible el tratamiento de datos de carácter personal por lo que, dado su
objeto y volumen de negocio, la transcendencia de la conducta objeto de la presente
reclamación es innegable.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

33/38

Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo
ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando
declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra
de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no
pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las
circunstancias concurrentes, tomando en consideración su volumen de negocio y su
vinculación con el tratamiento de datos personales atendiendo el número de personas
que prestan servicio como empleados en… y su actividad”.

A la hora de decidir la imposición de la multa administrativa, esta Agencia toma en
consideración esta circunstancia prevista por el legislador.

En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea
efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento
efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en
el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.f) del
RGPD, permite fijar la sanción de multa administrativa en una cuantía de 2.000.000
euros (dos millones de euros).

VI
Adopción de medidas

Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control
se relacionan en su artículo 58.2, apartados a) a j).

De confirmarse la infracción cometida, procedería acordar imponer al responsable la
adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada
en este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD,
según el cual cada autoridad de control podrá “ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Por tanto, se considera procedente ordenar que el reclamado en el plazo de seis
meses a partir de la firmeza de la resolución sancionadora que se dicte adecuar los
tratamientos objeto del presente procedimiento a la normativa aplicable. En el texto de
este acuerdo se establecen cuáles son los hechos que supuestamente han dado lugar
a la vulneración de la normativa de protección de datos, de lo que se infiere con
claridad cuáles serían las medidas a adoptar, sin perjuicio de que el tipo de
procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte reclamada, pues es quien conoce plenamente su organización
y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo
cumplir con el RGPD y la LOPDGDD. No obstante, en el presente caso entre las
medidas a adoptar se señalan aquellas de carácter técnico y organizativas a fin de
evitar incidentes como el producido que garanticen el principio de confidencialidad en
el tratamiento de los datos de conformidad con lo señalado en el artículo 5.1.f) del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

34/38

RGPD.

Se advierte que no atender la orden impuesta por este organismo podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que el pago voluntario de la cuantía propuesta no exime de la
obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan
los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento
de esa obligación.

A la vista de lo expuesto se procede a emitir la siguiente

PROPUESTA DE RESOLUCIÓN

PRIMERO: Que por la Presidencia de la Agencia Española de Protección de Datos se
sancione a HYUNDAI MOTOR ESPAÑA, S.L.U., con NIF B85754646, por una
infracción del artículo 5.1.f) del RGPD, tipificada en el Artículo 83.5.a) del RGPD, con
una multa de 2.000.000,00 euros (dos millones de euros).

SEGUNDO: Que por la Presidencia de la Agencia Española de Protección de Datos se
ordene a HYUNDAI MOTOR ESPAÑA, S.L.U., con NIF B85754646, que en virtud del
artículo 58.2.d) del RGPD, en el plazo máximo de seis meses, acredite haber
procedido a adoptar las medidas requeridas en el Fundamento de Derecho VI.

Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 1.600.000 euros (un millón seiscientos
mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la
imposición de las medidas correspondientes. La efectividad de esta reducción estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y si el importe
de la sanción finalmente impuesta es superior a un millón de euros, será objeto de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

35/38

publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.

En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el
procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere
en su defensa y presentar los documentos e informaciones que considere pertinentes,
de acuerdo con el artículo 89.2 de la LPACAP.

926-250625
R.R.R.
INSTRUCTOR

ANEXO

Índice del expediente EXP202306835

(…)

SEGUNDO: Notificada la propuesta de resolución, con fecha 25 de noviembre de
2025, se recibió escrito de respuesta de HMES, en el que anuncia a esta AEPD su
intención de “proceder con el pago de la cantidad reducida (1.600.000 euros) antes de
la terminación del procedimiento”, y solicita que se “proceda a declarar la terminación
del procedimiento una vez reciba el pago anunciado”, reservándose “las acciones
correspondientes en la jurisdicción contencioso-administrativa”.

En fecha 5 de diciembre de 2025, HMES ha procedido al pago de la sanción en la
cuantía de 1.600.000 euros, haciendo uso de la reducción prevista en la propuesta de
resolución transcrita anteriormente.

TERCERO: En la propuesta de resolución se detallaron los hechos constitutivos de
infracción, y se propuso que, por la Presidencia, se impusiera al responsable la
adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo
con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual cada autoridad
de control podrá “ordenar al responsable o encargado del tratamiento que las
operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento,
cuando proceda, de una determinada manera y dentro de un plazo especificado…”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

36/38

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 1.600.000 euros y su
pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.

Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, HMES, en fecha 5 de diciembre de 2025, procedió a realizar el pago
voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del
artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

37/38

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DECLARAR la comisión de la infracción y CONFIRMAR la sanción
determinada en la parte dispositiva de la propuesta de resolución transcrita en la
presente resolución, por importe de 2.000.000 euros.

Tras haber procedido HYUNDAI MOTOR ESPAÑA, S.L.U., con NIF B85754646, al
pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud
del artículo 85 de la LPCAP, a la reducción de un 20% del total mencionado, lo cual
supone la cantidad definitiva de 1.600.000 euros.

La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202306835, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a HYUNDAI MOTOR ESPAÑA, S.L.U. que, en el plazo de 6
meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho de la
propuesta de resolución transcrita en la presente resolución.

CUARTO: NOTIFICAR la presente resolución a HYUNDAI MOTOR ESPAÑA, S.L.U.

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, la presente resolución será firme en vía administrativa y
plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

---

38/38

LOPDGDD, los interesados podrán interponer recurso contencioso administrativo ante
la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo
dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la
Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es