1/34
Expediente N.º: EXP202318311
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 9 de julio de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a SOCIEDAD DE
GESTIÓN DE ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN
BANCARIA, S.A. (en adelante, SAREB), mediante el acuerdo que se transcribe:
<<
Expediente N.º: EXP202318311
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
ÍNDICE
HECHOS....................................................................................................................... 2
PRIMERO. Notificación de brecha de STRATESYS..................................................2
SEGUNDO. Notificación de brecha de SAREB..........................................................3
TERCERO: Reclamación recibida..............................................................................3
CUARTO Traslado de la reclamación.........................................................................4
QUINTO: Admisión a trámite......................................................................................4
SEXTO. Actuaciones previas de investigación frente a STRATESYS TECHNOLOGY
SOLUTIONS S.L........................................................................................................4
1.Notificaciones de la brecha ante AEPD................................................................4
2.Cronología de los hechos y las causas que hicieron posible la brecha................7
3.Acciones tomadas con objeto de minimizar los efectos adversos y medidas
adoptadas para su resolución final.......................................................................10
4.Medidas técnicas y organizativas adoptadas para evitar incidentes como el
sucedido............................................................................................................... 12
5.Informe forense realizado por ***EMPRESA.1...................................................13
6.Datos afectados.................................................................................................15
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/34
7.Contrato de encargado del tratamiento..............................................................15
SÉPTIMO. Actuaciones previas de investigación frente a SAREB...........................16
1.Medidas adoptadas por SAREB:.......................................................................17
2.Número de afectados y tipología de datos.........................................................18
3.Plazo de conservación de los datos personales................................................19
OCTAVO: Volumen de negocio................................................................................19
FUNDAMENTOS DE DERECHO.................................................................................20
I. Competencia......................................................................................................... 20
II. Procedimiento......................................................................................................20
III. Cuestiones previas..............................................................................................20
1.Aspectos generales del tratamiento...................................................................20
2.Responsabilidad por las infracciones.................................................................21
IV. Obligación incumplida. Artículo 5.1.f) RGPD Integridad y confidencialidad.........22
1.Régimen normativo y brecha producida.............................................................22
2.Causa de la brecha............................................................................................25
3.Tipos de datos afectados y número de personas...............................................25
4.Insuficiencia de las medidas para garantizar la confidencialidad y la
disponibilidad........................................................................................................26
5.Conclusiones.....................................................................................................29
V. Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción.............................................................................................................. 29
VI Propuesta de sanción por el incumplimiento del artículo 5.1.f) RGPD.................30
VII. Obligación incumplida. Artículo 28 RGPD. Encargado del tratamiento..............33
VIII. Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de
prescripción.............................................................................................................. 36
IX. Propuesta de sanción por el incumplimiento del artículo 28 RGPD...................37
X. Medidas correctivas.............................................................................................38
SE ACUERDA:............................................................................................................. 39
PRIMERO: Inicio de procedimiento sancionador......................................................39
SEGUNDO: Designación de instructor.....................................................................39
TERCERO: Incorporación de documentación al expediente....................................40
CUARTO: Posible sanción.......................................................................................40
QUINTO: Notificación y plazo de alegaciones..........................................................40
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/34
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO. Notificación de brecha de STRATESYS
Con fecha de 30/08/2023 se notificó a esta Agencia por parte de la sociedad
STRATESYS TECHNOLOGY SOLUTIONS S.L., con NIF B81866014 (en adelante,
STRATESYS) una brecha de datos personales categorizada como de confidencialidad
y disponibilidad. La información aportada fue posteriormente ampliada mediante
notificación de la misma sociedad de 26/09/2023. Conforme a ambos escritos, dicha
empresa había sufrido un ciberataque que afectó a la confidencialidad y disponibilidad
de los datos personales.
Se indica que como consecuencia del robo de información de STRATESYS por parte
del ***PROGRAMA.1, el equipo de ciberseguridad de STRATESYS ha monitorizado
de forma continua el sitio de la deepweb donde dicho ***PROGRAMA.1 ha
reivindicado el ataque, para detectar lo antes posible la filtración de la información que
pudieron sustraer de nuestros sistemas y poder comprobar con la mayor brevedad el
tipo de información de que se trata. El martes día 26 de septiembre de 2023,
STRATESYS consiguió acceder a la información (…). Tras analizar dicha información,
habrían descubierto que entre la misma se encuentra información sensible sobre
clientes a los que STRATESYS, presta (…). Entre el listado de empresas a la que
presta servicio se encuentra la SOCIEDAD DE GESTIÓN DE ACTIVOS
PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A. con NIF
A86602158 (en adelante, la parte reclamada o SAREB).
SEGUNDO. Notificación de brecha de SAREB
Con fecha de 06/10/2023 se notificó a esta Agencia por parte de SAREB una brecha
de datos personales categorizada como de confidencialidad y disponibilidad. La
información aportada fue posteriormente ampliada mediante notificación de la misma
sociedad de 02/11/2023. Conforme a ambos escritos, el día 3 de octubre de 2023 a las
recibió la comunicación por parte del proveedor STRATESYS que se había producido
una brecha que afectaba (…).
Se trataría, por lo tanto, de la notificación a esta Agencia de la misma brecha sufrida
por STRATESYS, en la que esta última tendría la condición de encargado del
tratamiento y SAREB, de responsable del tratamiento. En la brecha se habrían visto
afectados (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/34
TERCERO: Reclamación recibida
Con fecha 17 de octubre de 2023 se presentó una reclamación ante la Agencia
Española de Protección de Datos por una posible infracción imputable a SAREB.
El reclamante manifiesta ser (…) recibió una comunicación por correo electrónico en el
que la entidad le informaba de que sus datos personales vinculados (…).
Junto al escrito, se aporta copia del correo electrónico de comunicación de la
existencia de la brecha, remitido por SAREB, como responsable del tratamiento, a la
parte reclamante.
CUARTO Traslado de la reclamación
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), se dio traslado de dicha reclamación tanto a SAREB como a
STRATESYS, para que procediesen a su análisis e informasen a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.
Ambas entidades han dado respuesta a la solicitud de información en fechas de
25/01/2024 y 26/01/2024 respectivamente.
QUINTO: Admisión a trámite
Con fecha 17 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación.
SEXTO. Actuaciones previas de investigación frente a STRATESYS
TECHNOLOGY SOLUTIONS S.L.
La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.
Durante estas actuaciones se investigó a la entidad: STRATESYS
1. Notificaciones de la brecha ante AEPD
a. Respecto a la notificación de STRATESYS:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/34
La brecha sufrida por el proveedor STRATESYS es notificada inicialmente por esta
entidad a la AEPD con fecha de registro 30/08/23 ampliándose posteriormente con
fechas de registro 26/9/23 y 2/10/23).
Se trata de una brecha de confidencialidad y disponibilidad causada por el
ciberincidente de tipo ransomware que afectó al (…) que actúa como encargado.
STRATESYS es una empresa que (…):
"(…)".
STRATESYS añade la siguiente información en las comunicaciones de la brecha:
- (…).
- (…).
- (…).
- (…).
- (…).
- (…):
(…)
- (…)
En la última de las comunicaciones STRATESYS pone de manifiesto que sospecha
que se ha sustraído información sensible con datos personales de los empleados de
los clientes (empresas y entidades a las que presta servicios). Entre ellas, SAREB
a. Respecto a la notificación de SAREB:
Por lo que a la brecha de SAREB se refiere, la brecha es notificada inicialmente a la
AEPD el 06/10/23 y ampliada posteriormente el 2/11/23. SAREB incluye la siguiente
información en las comunicaciones de la brecha:
- (…).
- (…).
- (…).
- (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/34
- (…).
- (…):
(…)
- (…)
- Afirma que han puesto el incidente en conocimiento de autoridades policiales.
- Expone que las personas afectadas han sido informadas con fecha 10 de
octubre de 2023 mediante comunicación dirigida personalmente a cada
afectado (postal, email, SMS o similar).
- En el informe aportado junto a la segunda notificación, SAREB manifiesta que,
por fuentes públicas, (…) ha sido deshabilitado por la Europol junto con otras
autoridades y que a fecha de deshabilitar el sitio web no se había habilitado el
link para la descarga de la información de SAREB.
- Indica como fecha de resolución el 30 de octubre de 2023.
- A juzgar por la comunicación remitida a la parte reclamante, la brecha ha
afectado a exempleados que prestaron servicio entre noviembre de 2013 y
febrero de 2017.
1. Cronología de los hechos y las causas que hicieron posible la brecha.
Tal como explica STRATESYS en su escrito de respuesta al requerimiento:
“• Con fecha 24 de agosto de 2023, (…);
• Con fecha 27 de agosto de 2023, (…);
• El 28 de agosto de 2023, en torno a las 8 am (…).
• Con fecha 28 de agosto de 2023, (…).
• Tras las averiguaciones y análisis inicial del incidente de seguridad sufrido, se
concluyó que el incidente había afectado a (…).
• Con fecha 31 de agosto de 2023, y con el objetivo de analizar la información
afectada se contactó con una empresa (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/34
• El 4 de septiembre de 2023, con la ayuda de la mencionada empresa experta
en recuperación de datos (…).
• Adicionalmente, de las averiguaciones practicadas, se ha podido concluir que
(…).
• A partir de este momento, el Departamento de Ciberseguridad de STRATESYS
(…), detectando que:
• (…).
• (…).
• (…).
• (…).
• El mismo día 29 de septiembre, esta mercantil reporta estos nuevos hallazgos
a la AEPD como encargados del tratamiento en el comunicado con Número de
registro: (...).
• En los días que siguen y tras un análisis de la información detectada, se
comunicó a todos los clientes afectados, poniéndonos a su disposición para darles
soporte y apoyo en todo lo que pudieran requerir.
• El día 19 de octubre de 2023, la INTERPOL desmanteló el site de los atacantes
(…). (…).
• En ningún momento el enlace de descarga de la información sustraída a
STRATESYS por los atacantes fue habilitado en su site de la deepweb, lo que dificulta
que terceros pudieran acceder o descargar esta información.”
STRATESYS reconoce un error humano y (…):
“Para los servicios prestados en ese cliente, los datos se alojaban en los (…).
[…]
(…).
[…]
(…).
(…).”
Requerido el motivo por el cual la información relativa a los empleados de SAREB se
encontraba almacenada en el servidor de ficheros del segmento de (…) afectado por
el ciberataque, STRATESYS refiere de nuevo que:
“(…).
(…).
2. Acciones tomadas con objeto de minimizar los efectos adversos y medidas
adoptadas para su resolución final
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/34
Con relación a las acciones tomadas con objeto de minimizar los efectos adversos y
las medidas adoptadas para su resolución final, la parte reclamada aclara en su escrito
de respuesta al traslado de la reclamación:
“(…):
• (…).
• (…).
• (…).
• (…).
• (…).
• (…).
• (…).
• (…).
• (…)
• (…).
• (…).
Se constata que el día 28 de agosto de 2023, STRATESYS notificó el incidente ante la
Guardia Civil, INCIBE y CCN-CERT mediante un correo con el asunto Ciberataque de
(…)".
Respecto de las medidas de seguridad implantadas
(…).
Solicitada confirmación de la existencia de (…), la parte reclamada manifiesta en su
escrito de respuesta al requerimiento de información:
“(…).
Tras el incidente, (…).”
(…)
“(…)”
(…).
(…):
(…).
Por su parte, el documento “***DOCUMENTO.1” tiene fecha 28-06-2023 y define la
monitorización, bastionado, políticas de usuarios y contraseñas, etc. Específicamente
indica tanto para los servidores como para la seguridad perimetral:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/34
“(…).”
“(…).”
3. Medidas técnicas y organizativas adoptadas para evitar incidentes como el
sucedido.
STRATESYS informa en su escrito de respuesta al traslado de la reclamación que “se
han tomado otras medidas de garantía y prevención adicionales tendentes a evitar se
vuelva a producir un incidente similar en el futuro, entras las que destacan las
siguientes:
• (…).
• (…).
• (…).
• (…).
• (…).
• (…).
• (…).
• (…).
4. Informe forense realizado por ***EMPRESA.1
Solicitado la copia del análisis forense realizado tras la brecha, STRATESYS remite el
informe elaborado por la empresa externa de seguridad ***EMPRESA.1 “Revisión
técnica del proceso de respuesta ante incidentes” elaborado por ***EMPRESA.1 en
Octubre de 2023.
En este documento se especifican los sistemas afectados y los sistemas recuperados,
así como la infraestructura afectada, la cronología del ataque y la cronología de
acciones realizadas.
Como conclusiones, el informe establece:
“(…):
I. (…).
II. (…).
III. (…).
IV. (…).
V. (…).”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/34
***EMPRESA.1 incluye en el informe una tabla en la que, además de estas
conclusiones, especifica las Fortalezas y las Mejoras potenciales para cada una de las
fases antes y durante el incidente: Prevención, Detección, Análisis y respuesta y
Recuperación.
Como Mejoras potenciales, se especifican:
1 (…).
2 (…).
3 (…).
4 (…).
5. Datos afectados
STRATESYS indica que resultaron afectados inicialmente 7.200 personas (valor
estimado), de las cuales 360 personas (valor estimado) serían empleados de SAREB.
▪ (…):
o (…).
o (…).
o (…).
o (…).
▪ (…):
o (…).
o (…).
o (…).
o (…).
o (…).
6. Contrato de encargado del tratamiento
STRATESYS aporta copia del contrato de encargado del tratamiento, actuando esta
entidad en calidad de encargada y SAREB como responsable del tratamiento, firmado
por ambos con fecha ***FECHA.1. El contrato de encargo actúa como Adenda (…). En
este contrato de encargo, se comprueba que constan, entre otros aspectos:
- (…).”
- (…)
[…]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/34
(…)”
- “(…):
• (…).
• (…).
• (…).
• (…).”
- “(…)”
- (…):
.- (…)
.- (…)
.- (…)
.- (…)
.- (…)
.- (…).
SÉPTIMO. Actuaciones previas de investigación frente a SAREB
La Subdirección General de Inspección de Datos procedió, adicionalmente y como
trámite diferente a las anteriores actuaciones, a la realización de actuaciones previas
de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las
funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes
otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de
Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el
Título VIII, de la LOPDGDD.
Durante estas actuaciones se investigó a la entidad: SAREB
En relación con los aspectos relacionados con la producción de la brecha, cronología
de los hechos, medidas previas y posteriores a la misma, SAREB transmite
sustancialmente la misma información que la ya aportada en las actuaciones previas
de investigación frente a STRATESYS. A continuación, se resumen los aspectos de
interés resultantes de estas actuaciones previas frente a SAREB.
SAREB relata pormenorizadamente todas las reuniones y contactos mantenidos con
STRATESYS para determinar las causas y el alcance de la brecha de datos
personales.
1. Medidas adoptadas por SAREB:
“• (…).
• (…).”
En relación con la posible publicación de los datos exfiltrados:
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/34
(…)
(…):
• (…).
Asimismo realizó lo siguiente:
(…).
(…).
(…).
(…).
(…):
- (…).
- (…).
- (…).”
1. Número de afectados y tipología de datos
SAREB informa que “(…).”
Respecto a las categorías de Datos Personales afectadas, la parte reclamada
especifica en su escrito de respuesta al traslado de la reclamación:
“(…):
(…)
(…):
• (…).
• (…).
• (…).”
(…).
2. Plazo de conservación de los datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/34
Solicitado el motivo por el cual se conservan los datos de la parte reclamante años
después de finalizar su relación contractual, la parte reclamada manifiesta en su
escrito de respuesta al requerimiento de información:
“De acuerdo con la Ley Orgánica 7/2012, de 27 de diciembre, por la que se
modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal en
materia de transparencia y lucha contra el fraude fiscal y en la Seguridad
Social y la Ley 58/2003, de 17 de diciembre, General Tributaria, el plazo de
prescripción de los delitos contra la Seguridad Social y contra la Hacienda
Pública asciende a 10 años, lo que implica la obligación de conservar los datos
utilizados para el cálculo de las cotizaciones sociales y retenciones salariales
durante dicho periodo, a fin de garantizar su disponibilidad para la acreditación
de obligaciones fiscales o sociales en caso de ser requerido por la Hacienda
Pública y por la Seguridad Social, contribuyendo así a la prevención y
detección de posibles infracciones.”
En ese mismo escrito, SAREB aclara:
“no debe confundirse entre los datos del Reclamante presentes en los sistemas
de información de SAREB (objeto del derecho de acceso ejercitado) y los datos
afectados por la brecha de datos personales del encargado, que se reducen a
aquellos a los que STRATESYS tuvo acceso por cuenta y en nombre de
SAREB, de manera necesaria, para la prestación del servicio realizado por
este proveedor. El volumen de los segundos es mucho más reducido que el de
los primeros, no habiéndose comprometido la confidencialidad de gran parte de
esta información a causa del incidente sufrido por STRATESYS.”
OCTAVO: Volumen de negocio
De acuerdo con el informe recogido de la herramienta AXESOR, la entidad SAREB es
una empresa con (…) y con un volumen de negocios de 2.118.629.000 euros en el año
2023.
FUNDAMENTOS DE DERECHO
I. Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/34
II. Procedimiento
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
III. Cuestiones previas
1. Aspectos generales del tratamiento
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/34
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.
1. Responsabilidad por las infracciones
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que SAREB
realiza, entre otros tratamientos, la recogida y conservación de datos personales de
personas físicas, entre ellos datos (…).
SAREB realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad en virtud del artículo 4.7 del
RGPD. Por su parte, STRATESYS tiene la consideración de encargado del
tratamiento, a cuyos efectos tanto dicha empresa como SAREB han aportado (…).
Tanto en las notificaciones relativas a la brecha como en sus contestaciones a los
requerimientos de información de la Inspección de esta Agencia, defiende SAREB su
ausencia de responsabilidad respecto de los hechos acontecidos en atención a dos
factores. Por una parte, (…). Por otra parte, alega que tenía celebrado el oportuno
contrato de encargo de tratamiento de datos personales con dicha empresa. En él
figurarían las instrucciones al encargado en relación con el citado tratamiento.
En el supuesto actual, conforme a la información facilitada por SAREB, las
prestaciones encomendadas al encargado del tratamiento serían las del (…).
La existencia de un encargado del tratamiento depende de una decisión adoptada por
el responsable del tratamiento, que podrá decidir realizar por sí mismo determinadas
operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un
encargado.
Es decir, que el encargado, para serlo, no ostenta ningún interés propio respecto del
resultado del tratamiento objeto de encargo, sin perjuicio de la compensación
económica que recibe por el servicio prestado y que es lo que acontece en el presente
caso. Los encargados no tienen ningún interés propio, actúan por cuenta y en nombre
del responsable, cumpliendo sus órdenes y para las finalidades de éste, y esto es lo
que determina que sean encargados desde el principio.
Ello determina que responde el responsable del tratamiento de actuaciones contrarias
al RGPD llevadas a cabo por sus encargados del tratamiento, a salvo que estos
últimos hubieran actuado como verdaderos responsables del tratamiento, decidiendo
sobre los fines y medios del tratamiento, tal y como prevé el apartado 10 del artículo
28 del RGPD, cuestión que no ha acontecido en el presente supuesto.
Analizado el contrato de encargo del tratamiento aportado por SAREB, se observa que
se limita a contener una serie de previsiones generales en relación con el mencionado
tratamiento. A modo de ejemplo, en relación con las medidas de seguridad que deben
establecerse por el encargado, en el contrato se resumen más bien una serie de
objetivos, y no de medidas concretas (garantizar la confidencialidad, adoptar medidas
técnicas y organizativas teniendo en cuenta los riesgos, adoptar todas aquellas otras
medidas técnicas, jurídicas y organizativas que le traslade el responsable, a tenor del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/34
análisis de riesgo que efectúe, que resulten necesarias para garantizar un nivel de
seguridad adecuado). Pero no figuran medidas concretas, ni por parte del responsable
del tratamiento se han aportado instrucciones que, en ejecución del contrato, haya
dirigido al encargado del tratamiento.
Por lo demás, si bien en el contrato de encargo está reflejada la posibilidad de que por
parte del responsable del tratamiento se realicen auditorías de cumplimiento del
encargado, nada se ha aportado por aquel en relación con este aspecto, con lo que los
indicios apuntan a que el responsable se limitaba a imponer formalmente las
obligaciones en el contrato, sin supervisar si realmente se cumplían.
La responsabilidad, por lo tanto, recae sobre el responsable del tratamiento, quien
determina los medios y los fines del tratamiento. En este supuesto, SAREB
IV. Obligación incumplida. Artículo 5.1.f) RGPD Integridad y
confidencialidad
1. Régimen normativo y brecha producida
La letra f) del artículo 5.1 del RGPD establece:
"1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»)."
En el presente caso, se ha producido una brecha de confidencialidad y disponibilidad
de los datos personales responsabilidad de SAREB.
Pérdida de confidencialidad
En relación con la pérdida de confidencialidad, en el informe de actuaciones previas de
investigación relativo a la actuación de STRATESYS, se recoge lo siguiente:
En relación con el acceso a los datos por el atacante:
“(…);
(…);
(…).”
En relación con la posible publicación de los datos exfiltrados:
“(…):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/34
(…).
(…).
(…).
(…)
Existen indicios, por lo tanto, de que al menos el atacante tuvo acceso a los datos
exfiltrados. En cuanto a la publicación de los mismos, si bien se afirma que el enlace
de descarga no llegó a estar habilitando en ningún momento, lo cierto es que los
técnicos de STRATESYS lograron acceder a al menos parte de la información que
estaba en poder del atacante. La confidencialidad de los datos, por lo tanto, quedó
afectada.
Pérdida de disponibilidad.
La brecha afectó a la disponibilidad de los datos tanto por el responsable como por el
encargado del tratamiento. A este respecto, en el informe de actuaciones previas de
investigación de STRATESYS se constata lo siguiente:
(…).
(…).
Cabe añadir a esto que, en ambas notificaciones de brecha, de STRATESYS y
SAREB (…).
Se produjo, por lo tanto, una brecha de confidencialidad y de disponibilidad.
1. Causa de la brecha
El vector de entrada del ataque es objeto de análisis en el informe de actuaciones
previas de investigación tras el análisis de toda la documentación obrante en el
expediente. En las conclusiones que figuran en dicho informe se indica lo siguiente:
(…).
(…).
Confluyeron, por lo tanto, dos errores que posibilitaron el ciberataque. (…).
2. Tipos de datos afectados y número de personas
De acuerdo con la notificación realizada por SAREB, serían los siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/34
“(…):
(…)
(…):
• (…).
• (…).
• (…).”
(…).
3. Insuficiencia de las medidas para garantizar la confidencialidad y la
disponibilidad
La falta o quebrantamiento de medidas para garantizar estos aspectos se constata en
el informe de actuaciones previas de investigación.
(…).
Pero, además, la (…).”
Asimismo, en el citado informe se señala el establecimiento de esta medida como
posterior a la brecha:
“(…).
(…).”
(…).
(…).
(…):
“(…).”
La conjunción de ambos factores facilitó tanto el acceso por el atacante a los datos,
como el hecho de que estos pudieran ser vistos y extraídos en claro.
(…):
“(…).”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/34
(…):
“(…).”
(…).
(…).
“(…):
I. (…).
II. (…).
III. (…).
IV. (…).”
1. Conclusiones
De conformidad con las evidencias de las que se dispone en este momento de
acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a SAREB, por
vulneración del artículo 5.1.f) del RGPD transcrito anteriormente.
V. Tipificación de la infracción del artículo 5.1.f) del RGPD y
calificación a efectos de prescripción
El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;
c) las transferencias de datos personales a un destinatario en un tercer país o una
organización internacional a tenor de los artículos 44 a 49;
d) toda obligación en virtud del Derecho de los Estados miembros que se adopte con
arreglo al capítulo IX;
e) el incumplimiento de una resolución o de una limitación temporal o definitiva del
tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/34
con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del
artículo 58, apartado 1."
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:
"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679."
VI Propuesta de sanción por el incumplimiento del artículo 5.1.f)
RGPD
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/34
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de multa, además de la adopción de medidas, si
procede.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de SAREB,
que asciende a 2.118.629.000 euros en el año 2023.
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
las circunstancias siguientes, contempladas en los preceptos antes citados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/34
Con carácter previo, se estima que concurren las circunstancias siguientes:
• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD):
(…).
(…).
(…).
• Negligencia en la infracción (artículo 83.2, letra b), del RGPD). Debe
considerarse especialmente grave la negligencia cometida en la producción de la
brecha. No se trata de que el responsable debiera tener previstas medidas
adicionales a las que ya tenía, (…).
• Las categorías de los datos de carácter personal afectados por la
infracción (artículo 83.2, letra g), del RGPD). (…).
Especial referencia merece el dato del número de DNI. Se trata de un
tratamiento sobre un dato sensible, pues permite la identificación directa e
inequívoca de una persona física. Tal y como establece el Real Decreto
1553/2005, el DNI es un identificador numérico personal de carácter general, con
valor suficiente para acreditar tanto la identidad como la nacionalidad del titular,
lo que lo convierte en un elemento especialmente sensible dentro del ecosistema
de datos personales. Además, su utilización indebida conlleva un elevado riesgo
de suplantación de identidad, daños patrimoniales o afectación al derecho al
honor, riesgos expresamente contemplados en el considerando 75 del RGPD.
Por ello, una interpretación sistemática y finalista del RGPD —conforme a los
considerandos 51 y 75— permite considerar el DNI como un dato
particularmente sensible, atendiendo a su capacidad de provocar per-juicios
significativos en caso de uso no autorizado. En este sentido, De acuerdo con las
Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, a la hora de
valorar esta circunstancia, no solo debe hacerse referencia a los “tipos de datos
cubiertos por los artículos 9 y 10 del RGPD, sino también a los datos fuera del
ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades
inmediatas al interesado”. Entre estos, señala, de manera expresa los números
documentos de identidad.
Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:
• La afectación a los derechos de los menores (artículo 76.2, letra f), de la
LOPDGDD). A este respecto, (…).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/34
artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 250.000,00 euros.
VII. Obligación incumplida. Artículo 28 RGPD. Encargado del
tratamiento
Las previsiones respecto al encargado del tratamiento están recogidas en el artículo
28 del RGPD que estipula lo siguiente:
"1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes
para aplicar medidas técnicas y organizativas apropiadas, de manera que el
tratamiento sea conforme con los requisitos del presente Reglamento y garantice la
protección de los derechos del interesado.
(…)
3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con
arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado
respecto del responsable y establezca el objeto, la duración, la naturaleza y la
finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable.
En el curso de la investigación, tanto SAREB como STRATESYS han aportado una
copia del contrato de encargo para el tratamiento de datos personales, en el que
figuran la primera como responsable del tratamiento y la segunda como encargada.
(…).
En relación con este aspecto, SAREB como responsable del tratamiento ha informado
lo siguiente:
- En el documento denominado “(…):
(…).
(…).”
En contestación al requerimiento del inspector sobre esta cuestión, SAREB contesta lo
siguiente:
“De acuerdo con la Ley Orgánica 7/2012, de 27 de diciembre, por la que se
modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/34
materia de transparencia y lucha contra el fraude fiscal y en la Seguridad Social
y la Ley 58/2003, de 17 de diciembre, General Tributaria, el plazo de
prescripción de los delitos contra la Seguridad Social y contra la Hacienda
Pública asciende a 10 años, lo que implica la obligación de conservar los datos
utilizados para el cálculo de las cotizaciones sociales y retenciones salariales
durante dicho periodo, a fin de garantizar su disponibilidad para la acreditación
de obligaciones fiscales o sociales en caso de ser requerido por la Hacienda
Pública y por la Seguridad Social, contribuyendo así a la prevención y detección
de posibles infracciones.”
Por su parte, STRATESYS ha aportado en relación con este aspecto la siguiente
información:
“Conforme a la política de privacidad de Stratesys y en virtud del principio de
limitación del plazo de conservación, como regla general, los datos personales
se suprimen cuando dejan de ser necesarios para cumplir con la finalidad para la
que fueron recabados (ej. la finalización del contrato que vincula al responsable
del tratamiento con el encargado de tratamiento). Sin perjuicio de ello, de
manera excepcional, los datos personales pueden ser conservados durante un
periodo de tiempo determinado si se dieran determinadas circunstancias como
podría ser el cumplimiento de una obligación legal.”
Toda vez que STRATESYS actúa en este asunto como encargado del tratamiento,
consultado el contenido del contrato de encargo, se observa que la única previsión que
este contiene en relación con la conservación de los datos personales por parte del
encargado sería la siguiente (cláusula séptima):
“7. Obligación de destrucción de los datos finalizado el encargo.
(…).
Analizado el resto del contrato de encargo, no figura ninguna previsión adicional sobre
el plazo de conservación de datos por parte del encargado del tratamiento.
Puede comprobarse, por lo tanto, que ninguna previsión se incluye en el contrato de
encargo acerca del período de conservación de los datos por parte del propio
encargado del tratamiento. Así, parecería que, conforme la cláusula anterior, el
encargado conservaría todos los datos personales objeto de tratamiento hasta el
momento en que concluyera la vigencia del contrato, por prolongada que esta fuera.
El encargado del tratamiento trata datos por cuenta del responsable, y la relación
jurídica, que obliga a ambos, debe estar claramente determinada en el contrato de
encargo del tratamiento. Adicionalmente, el responsable debe emitir, en cuanto sea
necesario por no ser suficientemente concretas las cláusulas contractuales,
instrucciones concretas posteriores adecuadas para ejecutar el encargo.
El contenido obligatorio del contrato que se prevé en el artículo 28.3 RGPD implica
una obligación tanto formal como material que recae principalmente en el responsable
del tratamiento. Así, el mencionado contrato no puede limitarse a reproducir de manera
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/34
genérica la redacción de dicho precepto, ya que de ese modo no se cumple
verdaderamente con la obligación prescrita en el RGPD.
En el supuesto aquí analizado, puede considerarse que SAREB no ha dado debido
cumplimiento al artículo 28 del RGPD, puesto que los plazos de conservación de los
datos personales deben ser aplicados con independencia de por quién se realice
materialmente el tratamiento, sea este el responsable o el encargado. El contrato de
encargo tiene que incorporar y estar adaptado a los plazos de conservación del
tratamiento. A este respecto, carece de sentido que el responsable suprima los datos
cuando procede en aplicación del principio del artículo 5.1.d) del RGPD mientras que
el encargado los mantuviera indefinidamente hasta la finalización del contrato (que
podría tener una duración superior a la de la conservación de los datos)
La previsión contractual que indica que, a elección del responsable, el encargado
suprimirá o devolverá todos los datos personales una vez finalice la prestación de los
servicios de tratamiento en nada altera este incumplimiento, toda vez que, como se ha
dicho, resultaría de aplicación únicamente al finalizar la vigencia del contrato.
Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a SAREB, por
vulneración del artículo 28 del RGPD transcrito anteriormente.
VIII. Tipificación de la infracción del artículo 28 del RGPD y
calificación a efectos de prescripción
El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25
a 39, 42 y 43;
b) las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
c) las obligaciones de la autoridad de control a tenor del artículo 41, apartado 4."
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece
lo siguiente:
"En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/34
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
k) Encargar el tratamiento de datos a un tercero sin la previa formalización de un
contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del
Reglamento (UE) 2016/679."
IX. Propuesta de sanción por el incumplimiento del artículo 28
RGPD
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, así como del artículo 76 de la
LOPDGDD, ya reproducidas en el fundamento jurídico sexto de este acuerdo de inicio.
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de multa, además de la adopción de medidas, si
procede.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de SAREB
de 2.118.629.000 euros en el año 2023.
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
las circunstancias siguientes, contempladas en los preceptos antes citados.
Con carácter previo, se estima que concurren las circunstancias siguientes:
• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD).
(…)
• Negligencia en la infracción (artículo 83.2, letra b), del RGPD). Debe
considerarse la negligencia como grave. El mantenimiento de los datos durante
períodos muy prolongados de tiempo (recordemos que los más antiguos de los
afectados por la brecha databan de diciembre de 2013) creaba una situación de
riesgo innecesaria para datos que podrían haber sido suprimidos de haber estado
determinados los plazos. De este modo, es perfectamente posible que muchos
de los datos en poder del encargado no habrían sido afectados por el ciberataque
de haberse implementado una política clara y eficaz de supresión de los datos
tras el transcurso de los plazos. Y a este respecto debe recordarse que, si bien el
encargado del tratamiento podría estar sujeto a cumplimento de obligaciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/34
legales a que hace referencia en sus contestaciones, más dudoso parece que lo
esté el encargado del tratamiento, que no establece los medios y los fines.
• Las categorías de los datos de carácter personal afectados por la
infracción (artículo 83.2, letra g), del RGPD). (…).
• La afectación a los derechos de los menores (artículo 76.2, letra f), de la
LOPDGDD): (…).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 28 del RGPD, permite fijar inicialmente una sanción de multa administrativa de
50.000,00 euros.
X. Medidas correctivas
De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del Artículo 28 del
RGPD y Artículo 5.1.f) del RGPD, de acuerdo con lo establecido en el citado artículo
58.2.d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado.”
Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.
En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.
No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a SAREB
para que, en el plazo de TRES MESES a contar desde la fecha de ejecutividad de la
resolución finalizadora de este procedimiento, adopte las medidas siguientes:
- Acreditar la aplicación efectiva de las medidas técnicas y organizativas
adecuadas, tanto para garantizar el cumplimiento de los principios de
integridad y confidencialidad, así como la implementación de las medidas de
seguridad del tratamiento adecuadas a los riesgos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/34
- Acreditar la celebración y vigencia del correspondiente contrato de encargo del
tratamiento con quien en el momento actual desarrolle, en su caso, las
funciones encomendadas por SAREB objeto de este expediente, con el
contenido adaptado al artículo 28 del RGPD.
La imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos,
SE ACUERDA:
PRIMERO: Inicio de procedimiento sancionador
INICIAR PROCEDIMIENTO SANCIONADOR a la SOCIEDAD DE GESTIÓN DE
ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A., con
NIF A86602158,
- Por la presunta infracción del artículo 5.1.f) del RGPD, tipificada en el artículo
83.5 del mismo Reglamento
- Por la presunta infracción del artículo 28 del RGPD, tipificada en el artículo
83.4 del mismo Reglamento
SEGUNDO: Designación de instructor
NOMBRAR como instructor a A.A.A. y, como secretaria, a B.B.B., indicando que
podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24
de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/34
TERCERO: Incorporación de documentación al expediente
INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la
parte reclamante y su documentación, así como, así como los documentos obtenidos y
generados por la Subdirección General de Inspección de Datos en las actuaciones
previas al inicio del presente procedimiento sancionador.
CUARTO: Posible sanción
QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que
pudiera corresponder sería de
- Multa administrativa de 250.000 euros, por la infracción del artículo 5.1.f) del
RGPD
- Multa administrativa de 50.000 euros por la infracción del artículo 28 del RGPD
Ello hace un total de TRESCIENTOS MIL EUROS (300.000€).
Todo ello sin perjuicio de lo que resulte de la instrucción.
QUINTO: Notificación y plazo de alegaciones
NOTIFICAR el presente acuerdo a SOCIEDAD DE GESTIÓN DE ACTIVOS
PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A., otorgándole un
plazo de audiencia de diez días hábiles para que formule las alegaciones y presente
las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar
su NIF y el número de procedimiento que figura en el encabezamiento de este
documento.
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 240.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 240.000,00 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/34
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 180.000,00 euros.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (240.000,00 euros o 180.000,00 euros), deberá hacerlo
efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo
sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma
electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.es) y
de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará
constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el
procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de
correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y
que la falta de práctica de este aviso no impedirá que la notificación sea considerada
plenamente válida.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
1479-110425
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 30 de julio de 2025, SAREB ha procedido al pago de la sanción
en la cuantía de 180.000,00 euros haciendo uso de las dos reducciones previstas en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/34
el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y
su calificación jurídica.
TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el acuerdo de inicio.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/34
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
III
Pago voluntario y reconocimiento de responsabilidad
De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 180.000,00 euros y su pago
implicaría la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.
Tras la notificación del citado acuerdo de inicio, SAREB ha procedido al
reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose
a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85
LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.
Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.
La suma de las citadas cuantías arroja una cantidad total 300.000,00 euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/34
Tras haber procedido SOCIEDAD DE GESTIÓN DE ACTIVOS PROCEDENTES DE
LA REESTRUCTURACIÓN BANCARIA, S.A. al pronto pago y reconocimiento de
responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de
un 40% del total mencionado, lo cual supone la cantidad definitiva de 180.000,00
euros.
La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.
SEGUNDO: DECLARAR la terminación del procedimiento EXP202318311, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
TERCERO: ORDENAR a SOCIEDAD DE GESTIÓN DE ACTIVOS PROCEDENTES
DE LA REESTRUCTURACIÓN BANCARIA, S.A. para que en el plazo de 3 meses
desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho del
acuerdo de inicio transcrito en la presente resolución.
CUARTO: NOTIFICAR la presente resolución a SOCIEDAD DE GESTIÓN DE
ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA, S.A..
QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución
será firme en vía administrativa y plenamente ejecutiva a partir de su notificación.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución sea firme
en vía administrativa.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/34
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
1259-180725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es