İspanya Veri Koruma Otoritesi (AEPD) — gdprhub/aepd-spain-exp202318433

1/35

 Expediente N.º: EXP202318433

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 9 de julio de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a REAL SOCIEDAD DE
FUTBOL S.A.D. (en adelante, REAL SOCIEDAD DE FUTBOL), mediante el acuerdo
que se transcribe:

<<
Expediente N.º: EXP202318433

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos
(AEPD) y en base a los siguientes

HECHOS

PRIMERO: En fecha 18 de octubre de 2023, se notificó a la AEPD una brecha de
datos personales, remitida por la REAL SOCIEDAD DE FUTBOL S.A.D., con NIF
A20424511 (en adelante, REAL SOCIEDAD DE FUTBOL), en tanto que responsable
del tratamiento.

De acuerdo con la mencionada notificación, REAL SOCIEDAD DE FUTBOL habría
sufrido una brecha de confidencialidad y disponibilidad por ciber-incidente de tipo
ransomware que afectó a datos personales de 60.000 interesados, viéndose afectados
datos biométricos, datos básicos (nombre, apellidos, fecha de nacimiento, entre otros),
imagen (fotos o vídeos), DNI, NIE, pasaporte y/o cualquier otro documento
identificativo, datos económicos o financieros (sin medios de pago), datos de
localización, datos de contacto, de salud (exclusivamente de empleados, los
imprescindibles para la relación laboral).

REAL SOCIEDAD DE FUTBOL informa que fue conscientes del ataque el 16/10/23, al
descubrir que sus sistemas habían sido encriptados.

La notificación de la brecha fue ampliada posteriormente, en fecha 20 de noviembre de
2023, en la que se adjunta documento con un Informe final del incidente, de fecha 4 de
noviembre de 2023.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/35

De dicho documento se extrae la siguiente información relevante:

 “La cliente sufrió un ataque de tipo ransomware utilizando artefactos,
herramientas y malware avanzado para conseguir el mayor impacto
posible, así como distintas técnicas y herramientas para poder borrar
las huellas y el rastro dejado durante el ataque.
 Debido a las limitaciones presentes en la recolección y acceso de la
telemetría de los dispositivos de seguridad perimetral, así como a las
tareas de recuperación iniciadas por el proveedor local en los
dispositivos impactados previas al inicio de la investigación, que han
conllevado la eliminación de evidencias. NO se han podido verificar
todas las hipótesis planteadas por el equipo DFIR ni recopilar todos los
artefactos deseados.
 Acceso inicial: Toda la actividad anómala registrada e identificada tiene
origen en el rango de IPs asociadas al pool de VPN, por lo que la
hipótesis más plausible es que este haya sido el punto de entrada. Sin
embargo, debido a las limitaciones de telemetría mencionadas
anteriormente no se puede confirmar con certeza.
 Artefactos: se ha identificado el artefacto malware utilizado para
desencadenar el cifrado y borrado de los servidores de la entidad. Sin
embargo, debido a las tareas realizadas sobre el servidor no ha sido
posible su recuperación para su análisis en profundidad.
 Impacto: el ataque ha afectado al 100% de los servidores virtualizados,
dado que el ataque fue ejecutado desde los servidores ESXI del cliente.
 Variante de ransomware: mediante el modus operandi seguido por el
atacante, así como la extensión de cifrado utilizado y la nota de rescate,
se pude confirmar que se trata de la variante más reciente de la familia
ransomware AKIRA.
 NO se han encontrado evidencias forenses que demuestren un
exfiltrado de información, en gran parte debido a limitaciones
tecnológicas del entorno. Adicionalmente no se han encontrado
menciones al ataque en el blog de la banda.
(…)

CONCLUSIONES:
 No se han encontrado indicios en las evidencias revisadas que
puedan indicar que se ha producido una exfiltración de datos.
Adicionalmente no se ha observado que el grupo atacante haya
puesto a la venta o revindicado el ataque.
 El objetivo del ataque ha sido la obtención de rédito económico
mediante el uso de un malware de tipo ransomware. La nota de
rescate utilizada y la extensión de los archivos cifrados y la
muestra obtenida confirma que se trata de ransomware de la
familia Akira.
 Los artefactos y herramientas identificadas durante el ataque
carecen de personalización por lo que tras completar la
investigación por parte del equipo DFIR, se determina que
posiblemente se trate de un ataque NO dirigido.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/35

 El protocolo de restauración proporcionado por el equipo DFIR
ha permitido que la cliente vuelva de forma controlada y segura
a producción en el menor tiempo posible.
 La falta de telemetría de los dispositivos de seguridad, así como
las tareas previas realizadas por terceros antes del inicio de la
investigación por parte del equipo DFIR han conllevado que no
sea posible esclarecer en su totalidad la cadena de ataque.
 Toda la actividad anómala y/o maliciosa detectada tiene origen
en el rango de IPs asociado al pool de la VPN por lo que se
determina como hipótesis que este ha podido ser el punto de
entrada. Sin embargo, debido a la ausencia de evidencias de
este dispositivo no se puede asegurar al 100%.
(…)

11.ISSUES

Durante la investigación, el equipo de DFIR se enfrentó a los
siguientes retos:

 Las tareas de restauración realizadas por terceros antes
del inicio de la incorporación del equipo DFIR para la
gestión del mismo han eliminado evidencias que podían
haber sido esclarecedoras para determinar la cadena de
ataque completa.
 La velocidad de extracción de evidencias y aplicación de
medidas de mitigación por parte de terceros han
ralentizado la investigación, así como la vuelta a
producción de una forma más rápida y eficiente.
 La falta de telemetría proporcionada por los sistemas de
seguridad de la cliente dificulta e imposibilita la revisión
de posibles procesos que estén relacionados con las
muestras analizadas o creación de persistencia en los
dispositivos.
 No fue posible la utilización de la herramienta de
descifrado de Avast en los archivos impactados, dado
que la versión de cifrado utilizada en el ataque no era
compatible con la herramienta indicada.

En fecha 18 de octubre de 2023, la entidad publicó en la página web del club un
comunicado informando de lo siguiente:

"La Real Sociedad comunica que ha sufrido un ciberataque que ha afectado a distintos
servidores y bases de datos del Club.
El Club ha puesto en marcha todos los recursos a su alcance para solventar el
incidente e, igualmente, los servicios técnicos del Club han adoptado todas las
medidas técnicas y organizativas necesarias para asegurar el correcto funcionamiento
de los sistemas. Los hechos han sido puestos en conocimiento de las autoridades
correspondientes".

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/35

Igualmente, se comunicó por correo electrónico a todos los posibles afectados la
filtración de la información por el ciberataque sufrido.

SEGUNDO: En fecha 19 de octubre de 2023, se interpuso reclamación ante la Agencia
Española de Protección de Datos por una posible infracción imputable a la REAL
SOCIEDAD DE FUTBOL relacionada con los hechos narrados en el antecedente
anterior.

El reclamante, abonado de la REAL SOCIEDAD DE FUTBOL, manifiesta que en fecha
18 de octubre de 2023, recibió un correo electrónico de la REAL SOCIEDAD DE
FUTBOL en el que le informaban de un ciberataque recibido en sus servidores, por el
cual se había accedido a los datos de los abonados (entre los que se encuentra). En
concreto a nombre, apellidos, nº de DNI y número de cuenta corriente. Reclama por “la
falta de seguridad de mis datos personales en los citados servidores”.

Junto al escrito, aporta la comunicación recibida y que fue emitida por el Delegado de
Protección de Datos de Real Sociedad de Fútbol, desde la dirección de correo
electrónico ***EMAIL.1, en fecha 18/10/2023, con el siguiente texto:

“Estimado abonado/accionista/RS Fan/RS Laguna:

La Real Sociedad quiere comunicarle que los servicios informáticos del Club han
detectado un ciberataque que ha afectado a distintos servidores en los que la Real
Sociedad almacena datos identificativos y de contacto de sus abonados, accionistas,
RS Fan y RS Laguna; incluyendo nombres, apellidos, números de DNI, direcciones de
correo electrónico, direcciones de correo postal, números de teléfono y, en el caso de
los/las abonados/as, también los números de cuenta bancaria en los que se realizan
los cargos de los correspondientes abonos.
Dadas las circunstancias, y atendiendo al hecho de que la incidencia anteriormente
referida podría llegar a afectarle debido a que puede suponer la pérdida de control
sobre sus datos personales o, eventualmente, una posible suplantación de su
identidad, la Real Sociedad considera indispensable remitirle la presente
comunicación y le recomendamos tener cautela ante posibles comunicaciones
electrónicas sospechosas. Igualmente, y para su tranquilidad, queremos remarcar que
los datos bancarios expuestos únicamente incluyen el número de cuenta en el que
realizamos los cargos de sus abonos. Esto es, esta circunstancia no supondrá
afecciones que, en última instancia, pudieran desembocar en posibles pérdidas
financieras.
Desde el primer momento hemos puesto en marcha todos nuestros recursos para
solventar el incidente, adoptando todas las medidas técnicas y organizativas
necesarias. Gracias a ello hemos asegurado nuestros sistemas, garantizando su
correcto funcionamiento. De igual manera, hemos comunicado el incidente a las
autoridades correspondientes, incluida la Agencia de Protección de Datos.
En caso de que requiera alguna información adicional, puede contactar con nosotros
mediante la dirección de correo ***EMAIL.1.”

TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales
(en adelante LOPDGDD), se dio traslado de dicha reclamación a LA REAL SOCIEDAD
DE FUTBOL, para que procediese a su análisis e informase a esta Agencia en el plazo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/35

de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos
en la normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, (en adelante, LPACAP), fue notificado electrónicamente en fecha 26 de
diciembre de 2023, como consta en el justificante de recibo que obra en el expediente.

En fecha 18 de enero de 2024, se recibe en esta Agencia escrito de respuesta de la
REAL SOCIEDAD DE FUTBOL, en el que, en síntesis, manifiesta en primer lugar que,
en fecha 16 de octubre de 2023, tuvieron conocimiento de que les habían encriptado
los servidores. En concreto, señala:
“(…) Se detecta que no se tiene acceso a los servicios de red. A las 9.30 am,
(…), ven que todas las máquinas virtuales tienen la extensión “. akira”, además en
todas las carpetas hay un fichero de texto llamado “Akira_readme.text”. En ese archivo
se puede leer en inglés que nos han entrado y encriptado los servidores, y nos invitan
a conectar vía TOR a un chat privado, en el que nos darán más instrucciones para
proceder al pago del rescate, y así poder recuperar los servidores y evitar que
nuestros datos sean publicados. Las copias de seguridad diarias también han sido
encriptadas. Otros equipos que estaban encendidos durante el fin de semana y el
propio NAS de la videoteca no han sido encriptados.

A las 11.00 am de ese mismo día, el CLUB confirma en varias páginas web que es
una intrusión. (…) a las 13.00 am el equipo de K35 empieza a evaluar el plan de
restauración de servidores, ver qué copias de seguridad están intactas, ver la
posibilidad de descrifrar el encriptado de las máquinas virtuales (…). Igualmente, se
comprueba que la videoteca y otros ordenadores de la red no están afectados y
también se comprueba si hay alertas en el administrador de Sophos, que nos indique
por dónde han entrado. No hay alertas en este sentido (…)”

En lo que respecta al número de personas afectadas por la violación de la seguridad
de los datos, y tras los trabajos de investigación forenses realizados por expertos,
afirma que la REAL SOCIEDAD está en disposición de asegurar que ningún abonado,
accionista, RS Fan y RS Laguna del CLUB ha visto comprometidos sus datos.
Atendiendo a los criterios técnicos empleados durante el análisis técnico forense
llevado a cabo por la compañía (...), manifiesta que, desde la REAL SOCIEDAD DE
FUTBOL, no se tiene constancia ni evidencia forense que sugiera que los datos de
carácter personal se hayan visto comprometidos.

Expone que, una vez llevadas a cabo todas las tareas técnicas para conocer la
naturaleza, origen y alcance del ciberataque, la REAL SOCIEDAD dispone de
elementos suficientes como para considerar que los hackers aprovecharon una
vulnerabilidad de la (...), y consiguieron entrar a un ordenador personal conectado a la
red local de las instalaciones deportivas de Zubieta. Presumiblemente desde ese
equipo se conectaron a (...).

En lo que respecta a las acciones tomadas para solucionar el incidente y minimizar su
impacto sobre las personas afectadas, destaca:
 (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/35

 (…).
 (…).
 (…).
 (…).

(…):

 (…).
 (…).

(…):
 (…).
 (…).

(…).

(…).
(…).
 (…).
 (…).

Expone que, además, en el tiempo se han llevado a cabo varios experimentos de
simulación de ataques a todos los empleados de REAL SOCIEDAD DE FUTBOL y el
resultado ha sido satisfactorio. Afirma que “poca gente ha caído en la trampa”, siendo
buena señal del trabajo concienciador que se está llevando a cabo. Señala que “en
caso de ser víctima de la trampa, se propone la realización de un tutorial, pero la
realidad es que nadie de las víctimas que han caído en el cebo lo ha hecho”. Además
de todo esto, en el tiempo se ha ido impartiendo formación periódica respecto de
contenido sensibilizador y formativo de INCIBE y de la AEPD.

Entre las medidas que la REAL SOCIEDAD DE FUTBOL piensa adoptar para que no
se vuelva a producir un incidente similar en el futuro, destaca:

-(…).
-(…).
-(…).
-(…).
-(…).
-(…).
Junto al escrito adjunta notificación inicial de la brecha a la AEPD, ampliación de la
notificación, informe final de la brecha de fecha 4 de noviembre de 2023 y escrito de la
AEPDa la parte reclamada por el que se acusa recibo de la notificación.

CUARTO: En fecha 19 de enero de 2024, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.

QUINTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/35

2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.

Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:

Cronología:

14/10/2023: Acceso con máquina “(...)”, desde (…).
15/10/2023: Acceso y (…).
16/10/2023: Fallo (…); Confirmación de la intrusión. Comienzo de la restauración (…);
constatación de que las últimas copias de seguridad disponibles son del 3
de octubre.
17/10/2023: Cambio de contraseñas (...). Cierre de las VPN.
18/10/2023: Despliegue de (...). Publicación de nota en página web, y comunicación de
la brecha a los afectados, por correo electrónico. Recuperación de los
datos.
06/11/2023: Informe forense sobre la brecha

Origen de la brecha:

El informe forense de la brecha aportado por REAL SOCIEDAD DE FUTBOL indica
que “Las tareas de restauración realizadas por terceros antes del inicio de la
incorporación del equipo DFIR para la gestión del mismo han eliminado evidencias
que podían haber sido esclarecedoras para determinar la cadena de ataque completa”,
aunque indica que la brecha se produjo a causa de un ataque ransomware
reivindicado por el grupo Akira, ejecutado (…), con impacto (…); señalando como el
origen más probable (…).

La entidad investigada manifiesta que la consecuencia del ataque fue el (...), y que no
han encontrado evidencias de exfiltración de datos.

El informe señala las vulnerabilidades detectadas:

- Servicios publicados: en (…).
- Indicadores de afección IoC, o Indicadores de Compromiso (…).
- Cuentas de usuario comprometidas: (…).

Asimismo, REAL SOCIEDAD DE FUTBOL manifiesta:

“[…] la REAL SOCIEDAD dispone de elementos suficientes como para considerar
que los hackers aprovecharon (…), y consiguieron entrar a un ordenador personal
conectado a la red local de las instalaciones deportivas de Zubieta.
Presumiblemente desde ese equipo (…).”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/35

Consecuencias de la brecha:

La entidad investigada manifiesta no haber sufrido daños o pérdidas a consecuencia
de la brecha de datos personales.

En la notificación inicial de la brecha, la entidad investigada manifestaba que en la
brecha de datos personales se vieron afectados datos de aproximadamente 60.000
personas, y que resultó afectada la disponibilidad y confidencialidad de estos. En sus
respuestas posteriores manifiesta que los datos no fueron exfiltrados.

El informe forense indica que a consecuencia del cifrado de la totalidad de los
servidores virtualizados se vio afectada la disponibilidad de los datos personales,
asimismo, señala que, durante el análisis, no se encontraron evidencias de que la
brecha hubiera afectado a la confidencialidad de estos

“[…] no se han encontrado evidencias técnicas de que haya habido exfiltración de los
datos personales […] no se ha observado que los datos personales hayan sido
puestos a disposición de terceras partes interesadas, ni mencionados en ningún
medio controlado por los atacantes tales como redes sociales, dark web, etc”.

Medidas previas organizativas y técnicas de seguridad:

La entidad investigada manifiesta que tras confirmar la brecha interviene “el equipo de
K35” para la restauración de los servidores afectados.

Solicitada copia del contrato con K35, la parte reclamada aporta como ANEXO 1
contrato con K35 IT MANAGERS GROUP S.L., de 1 de octubre de 2020, para la
prestación de los servicios denominados “DIGITAL WORKPLACES” (soporte a
usuarios) e “INFRAESTRUCTURA IT” (gestión y monitorización de la infraestructura
IT).

La entidad investigada manifiesta también que antes del incidente disponía de las
siguientes medidas de seguridad:

- (…).
- (…).
- (…).
- (…).

Sobre la gestión de usuarios, manifiesta que “la entidad contaba con (…)”.

Aporta como anexos 7 a 11 los documentos sobre gestión de incidentes y violaciones
de seguridad de la información, política de conservación de los activos de información,
política de control de software, política de nombres de usuarios y contraseñas, y
política de permisos de acceso a redes y equipos, sobre las que manifiesta que “tenía
implementadas antes de la detección del incidente de seguridad” pero que, al igual
que los documentos RAT, AR y EIPD, no presentan fecha.

Preguntada por las fechas de elaboración de esos documentos, manifiesta que “esto
podría deberse a procesos internos de revisión […] orientados a la necesidad de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/35

adaptarse a las necesidades cambiantes de seguridad […] en un entorno de
amenazas en constante evolución […]”.

Tipos de datos afectados:

En la denuncia presentada el 16 de octubre de 2023 ante la Ertzaintza, REAL
SOCIEDAD DE FUTBOL manifestó que “En los servidores hackeados se encuentra
información del club, tanto financieros, económicos, datos personales de socios y de
aficionados”. El informe forense indica que se vieron afectados (…).

En la notificación, la parte reclamada indica que en la brecha se vieron afectados
datos de aproximadamente 60.000 personas, y los siguientes tipos de datos, que no
estaban cifrados:

- Biométricos
- Datos básicos (p. ej.: nombre, apellidos, fecha de nacimiento)
- Imagen (Fotos o vídeos)
- DNI, NIE, Pasaporte y / o cualquier otro documento identificativo
- Datos económicos o financieros (sin medios de pago)
- Datos de localización
- Datos de contacto
- De salud (exclusivamente de empleados, los imprescindibles para la relación
laboral).

La comunicación que REAL SOCIEDAD DE FUTBOL manifiesta haber remitido a los
afectados, y recibida por la parte reclamante, indica los siguientes tipos de datos:

- Nombre y apellidos
- DNI
- Correo electrónico
- Dirección postal
- Número de teléfono
- Número de cuenta bancaria de abonados/as.

Preguntada de nuevo por la tipología de los datos afectados en el ataque, la REAL
SOCIEDAD DE FUTBOL manifiesta que los archivos comprometidos contenían la
siguiente información, relativa a abonados, accionistas y clientes:

- Nombre
- Dirección
- Número de identificación personal
- Fecha de nacimiento
- Correo electrónico
- Número de teléfono
- Dirección postal
- Número de cuenta corriente

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/35

Aporta RAT, en el que se detallan los tipos de datos de cada una de las actividades de
tratamiento. Se extraen a continuación algunos otros, diferentes a aquellos que la
REAL SOCIEDAD DE FUTBOL manifiesta o comunica que se vieron afectados,
correspondientes a las actividades que el AR clasifica como tratamientos con riesgo
alto (ver apartado siguiente, RAT, AR y EIPD):

- ABONADOS: edad; discapacidad (seudonimizado); imágenes (fotos).
- GESTIÓN DE PERSONAL LABORAL NO DEPORTIVO: Imagen/voz; número
ss/mutualidad; firma; estado civil; datos familiares básicos; fecha de nacimiento;
lugar de nacimiento; edad; sexo; nacionalidad; profesión; puesto de trabajo;
datos no económicos de nómina; datos de deducciones impositivas e impuestos;
historial del trabajador; formación/titulaciones; experiencia profesional; ingresos;
datos económicos de nómina; datos de deducciones impositivas e impuestos;
patrimonio; usuario; contraseña; logs; datos de navegación; certificado negativo
de delitos sexuales; apto o no apto (prevención de riesgos laborales); control de
presencia; grado de discapacidad.
- GESTIÓN DE JUGADORES PROFESIONALES Y NO PROFESIONALES Y
TÉCNICOS: imagen/voz; número ss/mutualidad; firma; estado civil; datos
familiares básicos; fecha de nacimiento; lugar de nacimiento; edad; sexo;
nacionalidad; profesión; puesto de trabajo; datos no económicos de nómina;
datos de deducciones impositivas e impuestos; historial del jugador;
formación/titulaciones; experiencia profesional; ingresos; datos económicos de
nómina; datos de deducciones impositivas e impuestos; patrimonio; número
cuenta bancaria; datos de carácter médico y psicológico; datos de carácter
técnico/táctico y de rendimiento.
- GESTIÓN DE CAMPUS Y EVENTOS: imagen/voz; edad; alergias.
- SEGUNDAS OPINIONES MÉDICAS: datos e imágenes médicos;
asociación/club de procedencia.

Registro de Actividades de Tratamiento, Análisis de Riesgos y Evaluación de Impacto:

Solicitados el Registro de Actividades de Tratamiento (RAT), el Análisis de Riesgos
(AR) de las actividades de tratamiento de los datos personales almacenados en los
servidores impactados, previos y posteriores al incidente y las Evaluaciones de
Impacto (EIPD) de los tratamientos donde se hubiera producido la violación de
seguridad de los datos personales, la REAL SOCIEDAD DE FUTBOL aporta los
documentos RAT, AR y EIPD solo para la actividad de tratamiento “Abonados”.
Manifiesta que estos documentos están “relacionados con los datos personales
almacenados en los servidores impactados tras el incidente de seguridad notificado”.

El Análisis de riesgos, en la pestaña “Cuestionario de riesgos”:

- Para 25 actividades considera que “Es un tratamiento que pudiera generar
situaciones de discriminación, usurpación de identidad o fraude, pérdidas
financieras, daño para la reputación, pérdida de confidencialidad de datos
sujetos al secreto profesional, reversión no autorizada de la seudonimización o
cualquier otro perjuicio económico, moral o social significativo para los
afectados”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/35

- En 10 actividades señala que “La finalidad del tratamiento implica el uso
específico de datos de personas con discapacidad o cualquier otro colectivo en
situación de especial vulnerabilidad”.
- Identifica 6 actividades con tratamiento de datos especialmente protegidos (5
actividades tratan datos relativos a la salud, y 1 actividad trata datos relativos a
la salud y a condenas y delitos penales).
- Figura que el impacto que conlleva una pérdida o alteración de la información es
alto en 6 actividades, medio en 19 actividades y bajo en 4 actividades.

Como resultado, el AR clasifica 7 actividades de tratamiento con riesgo alto, 17 con
riesgo medio y 5 con riesgo bajo. En las pestañas “Medidas Riesgo Bajo”, “Medidas
Riesgo Medio” y “Medidas de Riesgo Alto - EIPD” se indican las de protección de los
riesgos asociados a esos tratamientos.

Entre las medidas de mitigación de riesgos se mencionan (…).

En el “Resumen del Análisis”, el Análisis de riesgos indica que para 6 de las 7
actividades con riesgo alto resulta necesaria la realización de una EIPD. Corresponden
a: “Abonados”; “Gestión de Personal Laboral NO deportivo”; “Gestión de Jugadores
Profesionales y no Profesionales y Técnicos”; “Gestión de Peñas”; “Gestión de
Campus y Eventos”; “Segundas opiniones médicas”.

Solicitadas las evaluaciones de Impacto de los tratamientos (EIPD) donde se ha
producido la violación de seguridad de los datos personales, aporta en solo la EIPD
correspondiente a la actividad de tratamiento “Abonados”. Ésta incluye: descripción de
los interesados; descripción y categoría de los datos tratados; base legitimadora del
tratamiento y el juicio de ponderación; análisis de impacto sobre la privacidad (PIA);
periodos de conservación.

La pestaña “4. Identificación de amenazas” sitúa en la categoría “Errores y fallos”
(referencia de amenaza A.1) entre otras las amenazas sobre la disponibilidad,
integridad y confidencialidad de los datos y en la categoría “Ataques intencionados”
(referencia de amenaza A.2) las amenazas relacionadas con el uso de privilegios de
acceso, de información confidencial y de identidades, entre otras.

En la pestaña “5. Evaluación de riesgos" asigna a la amenaza A.1 las referencias de
riesgo R.1, R.2 y R.3 y a la amenaza A.2 a las referencias de riesgo R.8, R.9 y R.10,
que describe:

- R.1 (disponibilidad) como “Potencial borrado de información del interesado de la
Real Sociedad, por errores humanos o problemas técnicos”;
- R.2 (integridad) como “Posible utilización y/o transmisión a terceros no
autorizados de datos de interesados e información confidencial registrada en los
sistemas de información o documentos en papel” (confundiendo aparentemente
su concepto con el de confidencialidad);
- R.3 (confidencialidad) como “Posible robo de información relativa al interesado”;
- R.8 (uso de privilegios de acceso) como “Abuso de privilegios de acceso y
divulgación de información confidencial”;
- R.9 (uso de información confidencial) como “Acceso a las unidades de red y
sistemas informáticos en los que se alojan los datos del interesado”;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/35

- R.10 (uso de identidades) como “Conocimiento de los datos del interesado y uso
con fines ilícitos”.

En esa misma pestaña “5. Evaluación de riesgos", la EIPD otorga una valoración del
riesgo inherente “Medio” a R.1, R.2, R.3, R.8, R.9 y R.10. Establece respectivamente
para esos riesgos las siguientes medidas mitigantes:

- C.1 “(…)”;
- C.2 “(…)”;
- C.3 “(…)”;
- C.8 “(…)”;
- C.9 “(…)”;
- C.10 “(…)”.

Y asigna un riesgo residual “Bajo” para R.1, R.2, R.3 y R.10, y “Medio” para R.8 y R.9.

En la pestaña “6. Plan de acción” de la EIPD se indican medidas adicionales
mitigantes solo para los riesgos residuales “Altos” o “Muy Altos”, y por tanto no
establece la aplicación de esas medidas adicionales (cuyo estado es “En proceso”) a
los riesgos mencionados anteriormente.

La EIPD concluye: “En base a los niveles de riesgos residuales que se han obtenido
durante la fase gestión de riesgos se concluye que el tratamiento no entraña un alto
riesgo para los derechos y libertades de los interesados. El tratamiento se ha
confeccionado para aportar todas las garantías necesarias con el fin de proteger los
derechos y libertades de los interesados”.

Medidas reactivas:

Ya se ha hecho referencia en el apartado “Origen de la brecha” a las vulnerabilidades
detectadas en el informe forense, que también indica algunas “Áreas de mejora”. Entre
paréntesis, se indica el grado de prioridad que establece ese informe:

- Detección: (…)
- Prácticas de seguridad: (…).
- Estrategia: (…).
- Políticas internas: (…).

REAL SOCIEDAD DE FUTBOL manifiesta haber adoptado las siguientes medidas tras
la brecha:

- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/35

- (…).

Adicionalmente, manifiesta su intención de implementar las siguientes:

- (…).
- (…).
- (…).
- (…).
- (…).

Sobre la gestión de usuarios, la REAL SOCIEDAD DE FUTBOL manifiesta que “A raíz
del ataque […] la cuenta de administrador de dominio ahora es única y se utiliza
exclusivamente en situaciones que requieren una intervención específica”, y que cada
uno de los usuarios administradores de dominio “ahora opera con su usuario
individual”.

Solicitada copia del contrato con S21Sec, la REAL SOCIEDAD DE FUTBOL aporta,
como ANEXO 2 de contrato con S21Sec, de 17 de octubre de 2023, para la prestación
de un servicio DFIR (elaboración de informe forense).

Preguntada por el grado de aplicación de las medidas correctivas propuestas en el
análisis forense de la brecha, la REAL SOCIEDAD DE FUTBOL manifiesta que aporta
los documentos anexos I a VII, y señala las siguientes medidas:

- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).

Adicionalmente, REAL SOCIEDAD DE FUTBOL manifiesta que están implementando
medidas técnicas y organizativas de la norma ISO/IEC 27002, que actuó de manera
diligente en la notificación de la brecha, y que ha implementado medidas técnicas y
organizativas adicionales.

SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
REAL SOCIEDAD DE FUTBOL es una gran empresa, constituida en el año 1992, y
con un volumen de negocios de 160.546.001 € euros, en el año 2024.

FUNDAMENTOS DE DERECHO

I
Competencia

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/35

LOPDGDD, es competente para iniciar y resolver este procedimiento, la Presidencia
de la Agencia Española de Protección de Datos.

II
Procedimiento

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.

De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la LPACAP.

III
Cuestiones previas

La REAL SOCIEDAD DE FUTBOL es una gran empresa que tiene como objeto social
la promoción, participación, explotación y comercialización de espectáculos deportivos.

Para ello trata datos de carácter personal, entendiendo por dato de carácter
personal: “toda información sobre una persona física identificada o identificable”.

Realiza esta actividad en su condición de responsable del tratamiento, dado que es
quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD:
«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y
medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros.

Se considera persona física identificable aquella cuya identidad pueda determinarse,
directa o indirectamente, en particular mediante un identificador, como por ejemplo un
nombre, un número de identificación, datos de localización, un identificador en línea o
uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/35

Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de
operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.

El artículo 4 apartado 12 del RGPD define, «violación de la seguridad de los datos
personales»: como toda violación de la seguridad que ocasione la destrucción, pérdida
o alteración accidental o ilícita de datos personales transmitidos, conservados o
tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.

En el presente caso, consta una notificación inicial de brecha de datos personales
presentada, en fecha 18 de octubre de 2023, ante esta Agencia por parte de la REAL
SOCIEDAD DE FUTBOL y una notificación posterior, efectuada en fecha 20 de
noviembre de 2023. Se trata de una brecha de datos personales que afectó a la
disponibilidad de los datos personales almacenados en todos los servidores
virtualizados de la entidad, mediante el acceso a sus sistemas e instalación de
ransomware.

REAL SOCIEDAD DE FUTBOL manifiesta que los datos personales afectados por la
brecha no estaban cifrados y que tras la brecha se inició la recuperación de la
disponibilidad de los datos a partir del último backup disponible.

IV
Obligación incumplida. Principio de integridad y de confidencialidad.

Establece el artículo 5.1.f) del RGPD lo siguiente:

“Artículo 5 Principios relativos al tratamiento:

1. Los datos personales serán:

(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).”

En relación con este principio, el Considerando 39 del referido RGPD señala que:

“[…]Los datos personales deben tratarse de un modo que garantice una seguridad y
confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso
o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”.

Según las Directrices 9/2022, sobre la notificación de las violaciones de la seguridad
de los datos personales en el marco del RGPD, se produce una «brecha de
confidencialidad de datos confidencialidad» cuando se produce una revelación no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/35

autorizada o accidental de los datos personales, o el acceso a los mismos por terceros
no autorizados; una «brecha de integridad de datos personales»: cuando se produce
una alteración no autorizada o accidental de los datos personales; y una «brecha de
disponibilidad de datos personales»: cuando se produce una pérdida de acceso
accidental o no autorizada a los datos personales, o la destrucción de los mismos .

El principio de integridad y confidencialidad, dentro del marco del RGPD, implica la
obligación de garantizar que los datos personales se mantengan protegidos y
disponibles, sin perjuicio de que únicamente puedan ser accesibles o modificados por
aquellos que tienen autorización para su tratamiento, con el fin legítimo previsto por el
responsable del tratamiento.

En el caso que nos ocupa, de las actuaciones de investigación realizadas por la
presente autoridad, se desprende una presunta vulneración del citado principio de
integridad y confidencialidad. Así pues, consta una notificación inicial de brecha de
datos personales presentada en fecha 18 de octubre de 2023, ante esta Agencia, por
parte de la REAL SOCIEDAD DE FUTBOL y una notificación posterior, efectuada en
fecha 20 de noviembre. Se trata de una brecha de datos personales que afectó a la
confidencialidad y disponibilidad de los datos personales almacenados en todos los
servidores virtualizados de la entidad, mediante el acceso a sus sistemas e instalación
de ransomware.

Así, en la notificación inicial de la brecha, la REAL SOCIEDAD DE FUTBOL manifiesta
que se vieron afectados datos de aproximadamente 60.000 personas, resultando
afectado la disponibilidad y confidencialidad de estos. Asimismo, el informe forense
aportado indica que, a consecuencia del cifrado de la totalidad de los servidores
virtualizados, se vio afectada la disponibilidad de los datos personales.

El hecho de que los hackers aprovecharan (…), y consiguieran entrar a un ordenador
personal conectado a la red local de las instalaciones deportivas de Zubieta y que
presumiblemente desde ese equipo se conectaran a (…) a través de un ramsomware,
constituye ya una manifestación de la vulneración del principio de integridad y
confidencialidad, establecido en el citado artículo 5.1.f) del RGPD.

Las vulnerabilidades de la VPN en los que se encuentra el origen de la brecha de
disponibilidad de los datos personales consistían, de acuerdo con el informe forense
remitido por REAL SOCIEDAD DE FUTBOL, en la (…).

Asimismo, ha de subrayarse, que tal y como señalaba REAL SOCIEDAD DE FUTBOL
en su escrito de 18 de enero de 2024, sus copias de seguridad también fueron
encriptadas, lo que significa que se encontraban en el mismo servidor, careciendo de
utilidad práctica.

En línea con lo anterior, que el hecho de que el ramsomware a través del cual se
encriptaron los servidores, pudiera expandir a todos los servidores en red
virtualizados, pone de manifiesto la ausencia de medidas destinadas a la
segmentación de la red.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/35

Estas carencias, ponen de manifiesto una ausencia de medidas técnicas y
organizativas íntimamente relacionadas con la brecha de disponibilidad exigidas por el
artículo 5.1 f) del RGPD.

Por otra parte, tal y como se ha subrayado, la brecha de disponibilidad de los datos
personales afectó a la totalidad de los servidores virtualizados, tal y como ha
reconocido REAL SOCIEDAD DE FUTBOL y se recoge en el informe del incidente
aportado.

Este hecho debe ponerse en relación con la tipología y categoría de los datos
personales afectados, especialmente teniendo en cuenta que, según el RAT y tal y
como se ha puesto de manifiesto durante las actuaciones previas de investigación,
existen tratamientos de los siguientes tipos de datos personales, incluidos de categoría
especial, que presumiblemente habrían de encontrarse en los servidores
comprometidos (especialmente teniendo en cuenta que se trató del 100% de los
servidores de red): datos de categoría especial (discapacidad, datos de carácter
médico y psicológico de jugadores y segundas opiniones médicas, alergias, datos de
riesgos laborales, certificados de delitos sexuales), así como imagen/voz, número de
la seguridad social, mutualidad, firma, estado civil; datos familiares básicos; fecha de
nacimiento; lugar de nacimiento; sexo edad; sexo; nacionalidad; profesión; puesto de
trabajo; datos no económicos de nómina; datos de deducciones impositivas e
impuestos; historial del trabajador; formación/titulaciones; experiencia profesional;
ingresos; datos económicos de nómina; datos de deducciones impositivas e
impuestos; patrimonio; usuario; contraseña; profesión; puesto de trabajo; datos no
económicos de nómina; datos de deducciones impositivas e impuestos; historial del
jugador; formación/titulaciones; experiencia profesional; ingresos; datos económicos
de nómina; datos de deducciones impositivas e impuestos; patrimonio; número cuenta
bancaria; datos de carácter técnico/táctico y de rendimiento.

A este respecto (sobre la tipología y categoría de los datos afectados), REAL
SOCIEDAD DE FUTBOL ha realizado múltiples afirmaciones de diversa índole.

Así, mientras que en la denuncia presentada ante la Ertzaintza aseguran que “en los
servidores hackeados se encuentra información del club, tanto financieros,
económicos, datos personales de socios y de aficionados”.

En las notificaciones de la brecha a la AEPD conforme al artículo 33 del RGPD, los
días 18 de octubre de 2023 y 20 de noviembre de 2023, se aseguraba que los datos
afectados fueron: datos biométricos, datos básicos (nombre, apellidos, fecha de
nacimiento, entre otros), imagen (fotos o vídeos), DNI, NIE, pasaporte y/o cualquier
otro documento identificativo, datos económicos o financieros (sin medios de pago),
datos de localización, datos de contacto, de salud (exclusivamente de empleados, los
imprescindibles para la relación laboral).

Por otra parte, en su comunicación a la parte reclamante de 18 de octubre de 2023
aseguraba que los datos afectados eran: nombre y apellidos, DNI, dirección de correo
electrónico, dirección postal, número de teléfono, dirección postal y número de cuenta
corriente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/35

En su respuesta de 13 de mayo de 2024, asegura que los datos personales
comprometidos fueron para abonados, accionistas y clientes: nombre y apellidos,
dirección, números de identificación personal, fechas de nacimiento, correo
electrónico, número de teléfono, dirección postal, número de cuenta corriente.

Solicitada aclaración sobre la tipología de los datos afectados ante la diversidad de
respuestas aportadas, la REAL SOCIEDAD DE FUTBOL asegura en su escrito de 7 de
noviembre de 2024, que “eventualmente podría inferirse que el incidente afectó
únicamente a los datos mencionados en la respuesta a los requerimientos de
información realizados a la AEPD”. De la respuesta anterior, no queda acreditado, por
tanto, que los datos personales afectados no fueran la totalidad de los datos
personales presentes en los servidores y que se detallan en el RAT, a los que se ha
hecho referencia previamente. Debe tenerse en cuenta que la brecha de disponibilidad
afectó a la totalidad de los servidores red, sin que pueda acreditarse que no afectara a
todos los datos personales incluidos en los mismos: datos de categoría especial
(discapacidad, datos de carácter médico y psicológico de jugadores y segundas
opiniones médicas, alergias, datos de riesgos laborales, certificados de delitos
sexuales), así como imagen/voz, número de la seguridad social, mutualidad, firma,
estado civil; datos familiares básicos; fecha de nacimiento; lugar de nacimiento; sexo
edad; sexo; nacionalidad; profesión; puesto de trabajo; datos no económicos de
nómina; datos de deducciones impositivas e impuestos; historial del trabajador;
formación/titulaciones; experiencia profesional; ingresos; datos económicos de
nómina; datos de deducciones impositivas e impuestos; patrimonio; usuario;
contraseña; profesión; puesto de trabajo; datos no económicos de nómina; datos de
deducciones impositivas e impuestos; historial del jugador; formación/titulaciones;
experiencia profesional; ingresos; datos económicos de nómina; datos de deducciones
impositivas e impuestos; patrimonio; número cuenta bancaria; datos de carácter
técnico/táctico y de rendimiento.

Conviene resaltar que el número de datos afectados en este caso para cada uno de
los 60.000 afectados.

En cuanto a la duración de la brecha de datos personales, se subraya que esta
comenzó, de acuerdo con el informe forense aportado por REAL SOCIEDAD DE
FUTBOL, el 14 de octubre de 2023 (aun cuando no fuera detectada) y se prolongó en
el tiempo hasta, como mínimo hasta el 6 de noviembre de 2023, fecha de emisión del
informe forense.

Por tanto, de conformidad con las evidencias de las que se dispone en el presente
momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que
resulte de la instrucción, se considera que los hechos conocidos podrían ser
constitutivos de una infracción, imputable a REAL SOCIEDAD DE FUTBOL, por
vulneración del artículo 5.1.f) del RGPD.
V
Tipificación y calificación de la infracción

De confirmarse, la citada infracción del artículo 5.1.f) del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/35

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

VI
Propuesta de sanción

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/35

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida; i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/35

supuestos en los que existan controversias entre aquellos y cualquier
interesado.”

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por
infracción del artículo 5.1 f) del RGPD, procede cuantificar la sanción que se propone,
considerando para ello que la multa que se imponga deberá ser, en cada caso
individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el
artículo 83.1 del RGPD.

Se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como
del artículo 76.2 de la LOPDGDD anteriormente reproducidos.

Lo anterior implica de acuerdo con las Directrices 04/2022 sobre el cálculo de las
multas bajo el RGPD que la cuantía de la multa debe tener como punto de partida, tres
elementos: el volumen de negocios, la categorización de las infracciones según su
propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y
el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo
83.2 a), b) y g) y, en aquellos casos en los que el infractor sea una empresa, el
volumen de negocios. En cualquier caso, la multa a imponer debe ser, en cada caso
individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el
artículo 83.1 del RGPD.

En este sentido, se considera, con carácter previo, el volumen de negocio de la REAL
SOCIEDAD DE FUTBOL, que en el ejercicio 2024, ascendió a 160.546.001 € euros.

Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.5 del RGPD, la sanción que se imponga por la infracción podrá ser de 20.000.000
de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4%
como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El
4% del volumen de negocio de REAL SOCIEDAD DE FUTBOL es de 6.421.840 euros.

En consecuencia, teniendo en cuenta el volumen de negocio de la REAL SOCIEDAD
DE FUTBOL, el importe de la multa que procede imponer estará necesariamente
situado entre 0,00 euros y 20.000.000 euros.

Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción
se estima que concurren las circunstancias siguientes:

La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(artículo 83.2, letra a), del RGPD): los hechos conocidos inciden directamente en el
control que los afectados tienen sobre sus datos personales. Asimismo, excede las
expectativas razonables que los interesados puede prever sobre el tratamiento de sus
datos personales. Así, los afectados confían en la entidad para el manejo seguro de su
información personal, habiéndose erosionado la confianza y expectativas razonables
de los afectados respecto al tratamiento de sus datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/35

Por otra parte, sin perjuicio de que el procedimiento sancionador se tramite a
raíz de una reclamación, los hechos conocidos ponen de manifiesto una
ausencia de medidas técnicas y organizativas de todo tipo que ha redundado
en una brecha con un número muy considerable de afectados, en concreto
60.000.

Asimismo, debe subrayarse el elevado número de datos personales por cada afectado
que se vieron comprometidos. La combinación de este tipo de datos personales eleva
significativamente el nivel de riesgo para los derechos y libertades de sus titulares en
la medida en que se produce una pérdida de control y disposición de los interesados
respectos a todos y cada uno de sus datos personales. De esta manera, el servicio
desempeñado o las funciones realizadas por REAL SOCIEDAD DE FUTBOL en favor
de los titulares de los datos personales afectados, no pudo llevarse a cabo mientras
tuvo lugar la brecha de datos personales, en la medida en que los datos personales no
estaban disponibles en los servidores ni en las copias de seguridad.

En cuanto a la duración de la infracción, esta se prolongó, como mínimo desde el 14
de octubre de 2023 hasta el 6 de noviembre de 2023.

Por otra parte, el incumplimiento del principio de integridad y confidencialidad implica
el incumplimiento del principio de responsabilidad proactiva previsto en el artículo 5.2
RGPD y desarrollado en el artículo 24, por el que los responsables del tratamiento no
solo han de cumplir con lo previsto en el RGPD, sino que deben ser capaces de
demostrarlo con un nuevo enfoque de adopción e implementación de medidas
adecuadas al riesgo.

Las categorías de los datos de carácter personal afectados por la infracción
(artículo 83.2, letra g), del RGPD): Las Directrices 04/2022 del Comité Europeo
de Protección de Datos, sobre el cálculo de las multas bajo el RGPD,
adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en
cuanto al requisito de tener en cuenta las categorías de los datos personales
afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen
una protección especial y, por tanto, una respuesta más estricta en lo que
respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que
se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de
aplicación de estos artículos cuya difusión provoque daños y perjuicios
inmediatos al interesado (por ejemplo, datos de localización, datos sobre
comunicación privada, números de identificación nacionales o datos
financieros, como resúmenes de transacciones o números de tarjetas de
crédito”). En el presente caso entre los datos personales objeto de la brecha
para cada uno de los afectados, se incluye el número del DNI/pasaporte o NIE,
así como cuentas bancarias. Por otra parte, entre los datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/35

presentes en los servidores a los que se privó el acceso, se encontraban datos
de salud, datos relativos a condenas o posibles delitos sexuales, datos
relativos al rendimiento laboral, entre otros.

Asimismo, se consideran los siguientes factores en calidad de agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 76.2, letra b), de la LOPDGDD): REAL SOCIEDAD DE
FUTBOL, como consecuencia de su actividad empresarial realiza de forma habitual
y continua tratamientos de datos de carácter personal de un elevado número de
interesados (abonados, accionistas, jugadores y clientes). La realización de su
actividad principal, en tanto que club deportivo, implica forzosamente operaciones
de tratamiento de datos personales. Así, la infracción se produce en el marco de
un tratamiento de datos personales que habitualmente realiza el responsable en su
negocio y que se encuentra estrechamente vinculado a este.

Considerando los factores expuestos, la valoración inicial que alcanza la cuantía de la
multa es de 60.000 euros por infracción del artículo 5.1 f) del RGPD.

VII
Obligación incumplida. Seguridad del tratamiento.

Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente:

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/35

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.

El Considerando 74 del RGPD, anteriormente reproducido, establece:

“Debe quedar establecida la responsabilidad del responsable del tratamiento por
cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En
particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y
ha de poder demostrar la conformidad de las actividades de tratamiento con el
presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el
riesgo para los derechos y libertades de las personas físicas.”

Hay que señalar que el RGPD en el citado precepto no establece un listado de
medidas, tampoco de las medidas de seguridad que sean de aplicación de acuerdo
con los datos que son objeto de tratamiento, sino que establece que el responsable y
el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean
adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la
técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del
tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de
las personas interesadas.

Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al
riesgo detectado, señalando que la determinación de las medidas técnicas y
organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la
capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la
capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso
de verificación (que no auditoría), evaluación y valoración de la eficacia de las
medidas.

En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.

En este mismo sentido el considerando 83 del RGPD señala que:

“(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo
dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar
los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el
cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la
confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación
con respecto a los riesgos y la naturaleza de los datos personales que deban
protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/35

tener en cuenta los riesgos que se derivan del tratamiento de los datos personales,
como la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales”.

La responsabilidad de REAL SOCIEDAD DE FUTBOL vendría determinada por la falta
de medidas de seguridad adecuadas al riesgo e independientes de la brecha de datos
personales ya que es responsable de tomar decisiones destinadas a implementar de
manera efectiva las medidas técnicas y organizativas apropiadas para garantizar un
nivel de seguridad adecuado al riesgo.

De las actuaciones de investigación desarrolladas por la presente autoridad, se
desprende una posible insuficiencia de medidas de seguridad existentes,
independientes de la brecha de disponibilidad producida.

En el informe forense aportado se incluyen una serie de recomendaciones “con el
objetivo de alcanzar un mayor nivel de madurez ante las ciberamenazas”
identificándose cuatro “Áreas de mejora”. Algunas de las medidas señaladas son
medidas estrechamente vinculadas a la brecha o que ya han sido adoptadas por REAL
SOCIEDAD de FUTBOL como las relativas a políticas internas, o la necesidad de (…)
o (…).

No obstante, otras son medidas de seguridad, independientes de la brecha de
disponibilidad producida, de las que carecía REAL SOCIEDAD de FUTBOL a fecha del
informe y cuya implementación no ha sido acreditada. En este sentido destaca la (…).

Por otra parte, conviene destacar que los datos personales cuya disponibilidad se vio
afectada por la brecha de disponibilidad, no se encontraban cifrados, lo que pone de
manifiesto, de nuevo, una ausencia de medidas de seguridad adecuadas al riesgo,
especialmente relevante si se atiende al elevado volumen de datos objeto de
tratamiento por parte de REAL SOCIEDAD DE FUTBOL, así como a las categorías de
datos tratados. Así, entre los datos personales presentes en los servidores destacan:
datos de categoría especial (discapacidad, datos de carácter médico y psicológico de
jugadores y segundas opiniones médicas, alergias, datos de riesgos laborales,
certificados de delitos sexuales); imagen/voz; número de la seguridad social;
mutualidad; firma; estado civil; datos familiares básicos; fecha de nacimiento; lugar de
nacimiento; sexo edad; sexo; nacionalidad; profesión; puesto de trabajo; datos no
económicos de nómina; datos de deducciones impositivas e impuestos; historial del
trabajador; formación/titulaciones; experiencia profesional; ingresos; datos económicos
de nómina; datos de deducciones impositivas e impuestos; patrimonio; usuario;
contraseña; profesión; puesto de trabajo; datos no económicos de nómina; datos de
deducciones impositivas e impuestos; historial del jugador; formación/titulaciones;
experiencia profesional; ingresos; datos económicos de nómina; datos de deducciones
impositivas e impuestos; patrimonio; número cuenta bancaria; datos de carácter
técnico/táctico y de rendimiento.

En su respuesta de 18 de enero de 2024, REAL SOCIEDAD DE FUTBOL asegura
haber adoptado medidas de “(…)”. Sin embargo, también señala estas mismas
medidas como pendientes de adopción. Además de esta contradicción manifiesta,
REAL SOCIEDAD DE FUTBOL no justifica las razones que le llevarían al cifrado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/35

exclusivo de estos datos y no de otros, en especial, datos de categoría especial.
Tampoco indica respecto a qué sujetos (clientes, abonados, empleados, jugadores) se
ha realizado o pretende realizar y por qué.

Por tanto, de lo que antecede se desprende que, al menos, desde el 14 de octubre de
2023 hasta la actualidad REAL SOCIEDAD DE FUTBOL carece de las medidas de
seguridad adecuadas al riesgo anteriormente señaladas.

En consecuencia, se considera que los hechos acreditados son constitutivos de una
infracción, imputable a REAL SOCIEDAD DE FUTBOL, por vulneración del artículo 32
RGPD.
VIII
Tipificación y calificación de la infracción

La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al
riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del
Reglamento (UE) 2016/679.”
IX
Propuesta de sanción

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por
infracción del artículo 32 del RGPD, Se han de observar las previsiones de los
artículos 83.1 y 83.2 del RGPD, así como del artículo 76.2 de la LOPDGDD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/35

anteriormente reproducidos.

En este sentido, se considera, con carácter previo, el volumen de negocio de la REAL
SOCIEDAD DE FUTBOL, que en el ejercicio 2024 ascendió a 160.546.001 € euros, en
el año 2024.

Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.4 del RGPD, la sanción que se imponga por la infracción podrá ser de 10.000.000
de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 2%
como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El
2% del volumen de negocio de REAL SOCIEDAD DE FUTBOL es de 3.210.920 euros.

En consecuencia, teniendo en cuenta el volumen de negocio de la REAL SOCIEDAD
DE FUTBOL, el importe de la multa que procede imponer estará necesariamente
situado entre 0,00 euros y 10.000.000 euros.

Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción
se estima que concurren las circunstancias siguientes:

La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(artículo 83.2, letra a), del RGPD): los hechos conocidos inciden directamente en el
control que los afectados tienen sobre sus datos personales puesto que supone una
ausencia de medidas de seguridad adecuadas al riesgo que, además, puede
desembocar potencialmente en una brecha de datos personales de confidencialidad,
integridad o disponibilidad. Asimismo, excede las expectativas razonables que los
interesados puede prever sobre la manera en que se tratarán sus datos personales, en
la medida en que los afectados confían en la entidad para el manejo seguro de sus
datos personales.

Por otra parte, sin perjuicio de que el procedimiento sancionador se tramite a
raíz de una reclamación, los hechos conocidos ponen de manifiesto una
ausencia de medidas técnicas y organizativas de seguridad adecuadas al
riesgo con número potencial de afectados de 60.000 personas, así como a un
elevado número de datos personales por potencial afectado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/35

En cuanto a la duración de la infracción, esta se ha prolongado en el tiempo, al menos,
desde el 14 de octubre de 2023 hasta la actualidad.

Por otra parte, el incumplimiento del artículo 32 del RGPD implica el incumplimiento
del principio de responsabilidad proactiva previsto en el artículo 5.2 RGPD y
desarrollado en el artículo 24, por el que los responsables del tratamiento no solo han
de cumplir con lo previsto en el RGPD, sino que deben ser capaces de demostrarlo
con un nuevo enfoque de adopción e implementación de medidas adecuadas al
riesgo.

- Las categorías de los datos de carácter personal afectados por la infracción
(artículo 83.2, letra g), del RGPD): Las Directrices 04/2022 del Comité Europeo
de Protección de Datos, sobre el cálculo de las multas bajo el RGPD,
adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en
cuanto al requisito de tener en cuenta las categorías de los datos personales
afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen
una protección especial y, por tanto, una respuesta más estricta en lo que
respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que
se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de
aplicación de estos artículos cuya difusión provoque daños y perjuicios
inmediatos al interesado (por ejemplo, datos de localización, datos sobre
comunicación privada, números de identificación nacionales o datos
financieros, como resúmenes de transacciones o números de tarjetas de
crédito”). En el presente caso entre los datos personales objeto de tratamiento
destacan el número del DNI/pasaporte o NIE, cuentas bancarias, datos de
salud, datos relativos a condenas o posibles delitos sexuales, datos relativos al
rendimiento laboral, entre otros.

En relación con los números de identificación nacionales, ya sean para
ciudadanos nacionales o extranjeros, son datos sensibles que permiten la
identificación directa e inequívoca de una persona física. Así, por ejemplo, tal y
como establece el Real Decreto 1553/2005, el DNI es un identificador numérico
personal de carácter general, con valor suficiente para acreditar tanto la
identidad como la nacionalidad del titular, lo que lo convierte en un elemento
especialmente sensible dentro del ecosistema de datos personales. Además,
su utilización indebida conlleva un elevado riesgo de suplantación de identidad,
daños patrimoniales o afectación al derecho al honor, riesgos expresamente
contemplados en el considerando 75 del RGPD.

Asimismo, se consideran los siguientes factores en calidad de agravantes:

29/35

interesados (abonados, accionistas, jugadores y clientes). La realización de su
actividad principal, en tanto que club deportivo, implica forzosamente operaciones
de tratamiento de datos personales. Así, la infracción se produce en el marco de
un tratamiento de datos personales que habitualmente realiza el responsable en su
negocio y que se encuentra estrechamente vinculado a este.

Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa
es de 50.000 euros por infracción del artículo 32 del RGPD.

X
Medidas correctivas

De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del artículo 32 del
RGPD, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a la
REAL SOCIEDAD DE FUTBOL para que, en el plazo de 3 meses a contar desde la
fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las
medidas siguientes:

Acreditar la aplicación efectiva de medidas de seguridad adecuadas al riesgo, en
particular: (…).

La imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/35

tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos, SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a REAL SOCIEDAD DE
FUTBOL S.A.D., con NIF A20424511,

- por la presunta infracción del artículo 5.1.f) del RGPD, tipificada conforme a lo
dispuesto en el artículo 83.5 del RGPD.
- por la presunta infracción del artículo 32 del RGPD, tipificada conforme a lo dispuesto
en el artículo 83.4 del RGPD.

SEGUNDO: NOMBRAR instructora a A.A.A. y, como secretaria, a B.B.B., indicando
que podrán ser recusadas, en su caso, conforme a lo establecido en los artículos 23 y
24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público
(LRJSP).

TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación
interpuesta por la parte reclamante y su documentación, la documentación aportada
por REAL SOCIEDAD DE FUTBOL S.A.D., con NIF A20424511, así como, así como
los documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la
instrucción:

- Por la supuesta infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5
de dicha norma, multa administrativa de cuantía: 60.000,00 euros.
- Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de
dicha norma, multa administrativa de cuantía: 50.000,00 euros, lo que hace un total
inicial de 110.000,00 euros.

QUINTO: NOTIFICAR el presente acuerdo a REAL SOCIEDAD DE FUTBOL S.A.D.,
con NIF A20424511, otorgándole un plazo de audiencia de diez días hábiles para que
formule las alegaciones y presente las pruebas que considere convenientes. En su
escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura
en el encabezamiento de este documento.

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/35

presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 88.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 88.000,00 euros y su pago implicará la terminación
del procedimiento, sin perjuicio de la imposición de las medidas correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 66.000,00 euros.

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (88.000,00 euros o 66.000,00 euros), deberá hacerlo
efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
1479-110425

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

SEGUNDO: En fecha 16 de julio de 2025, REAL SOCIEDAD DE FUTBOL ha
procedido al pago de la sanción en la cuantía de 66.000,00 euros haciendo uso de las
dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que
implica el reconocimiento de la responsabilidad en relación con los hechos a los que
se refiere el acuerdo de inicio y su calificación jurídica.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/35

TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el acuerdo de inicio.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/35

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario y reconocimiento de responsabilidad

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 66.000,00 euros y su pago implicaría
la terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.

Tras la notificación del citado acuerdo de inicio, REAL SOCIEDAD DE FUTBOL ha
procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción,
acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del
artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.

La suma de las citadas cuantías arroja una cantidad total 110.000,00 euros.

Tras haber procedido REAL SOCIEDAD DE FUTBOL S.A.D. al pronto pago y
reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/35

a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de
66.000,00 euros.

La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202318433, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a REAL SOCIEDAD DE FUTBOL S.A.D. para que en el plazo
de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la
Agencia la adopción de las medidas que se describen en los fundamentos de derecho
del acuerdo de inicio transcrito en la presente resolución.

CUARTO: NOTIFICAR la presente resolución a REAL SOCIEDAD DE FUTBOL
S.A.D..

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución
será firme en vía administrativa y plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución sea firme
en vía administrativa.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

1259-180725
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/35

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

AEPD (Spain) - EXP202318433

Karar metni