1/39
Expediente N.º: EXP202318538
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 27 de noviembre de 2023, se notificó a esta Agencia una brecha
de datos personales por parte de BIZUM, S.L., con NIF B87599478 (en adelante,
BIZUM o parte reclamada).
Los hechos que se pone en conocimiento de esta autoridad son los siguientes:
Bizum, S.L., como responsable del tratamiento de los datos del Directorio Bizum, entre
los cuales se encuentran los datos afectados por el incidente, esto es, el número de
teléfono móvil y el "alias" (nombre e iniciales de los apellidos del usuario), informa a la
Agencia sobre lo siguiente:
El 24 de noviembre se detectó que en la URL (***URL.1) aparecían publicados 2.634
registros de los datos pseudoanonimizados del número de móvil y el "alias" de
determinados usuarios registrados en Bizum.
Desde la detección del incidente (afectación confidencialidad), se ha trabajado en la
eliminación de la URL, así como en la realización de las investigaciones necesarias
para detectar el origen del suceso, y confirmar que, tal y como se deriva de los análisis
preliminares, no se han visto vulneradas las medidas de seguridad de la
infraestructura del Servicio Bizum, ello en el entendido de que, tal y como se ha
trasladado a la Agencia en comunicaciones previas, el tratamiento del "alias" es
necesario para garantizar una experiencia de uso correcta, evitando supuestos de
fraude o envíos erróneos.
Junto a esta comunicación, señalan que, en atención a los datos personales que se
han visto afectados los interesados no podrán ser objeto de ningún fraude, no
viéndose afectados de forma directa y, existiendo, en todo caso, un riesgo limitado de
ser contactados a partir de esta información.
SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 12 de diciembre
de 2023 la directora de la Agencia Española de Protección de Datos instó a la
Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas
de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante, LOPDGDD).
TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/39
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.
Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:
Con fecha 27 de noviembre de 2023, el responsable del tratamiento BIZUM, S.L. (en
adelante BIZUM o entidad notificante) realiza una notificación inicial de la brecha de
datos personales- datos mencionados en el ANTECEDENTE PRIMERO de la presente
resolución-.
Con fecha 12 de diciembre de 2023 se recibe notificación adicional de la brecha de
datos personales en la que BIZUM manifiesta:
“(…).”
BIZUM añade la siguiente información:
- Informa que la fecha de inicio es el 21 de septiembre de 2022 y que la fecha de
detección es el 24 de noviembre de 2023, detectada mediante la advertencia
de un miembro de la organización del responsable o el encargado.
- Con relación al incidente, indica que ha sido intencionado, con origen externo
(ajeno al responsable y encargado del tratamiento).
- Manifiesta que se ha visto afectada la confidencialidad.
- Afirma que los datos no estaban cifrados.
- Como consecuencias del incidente, expone que las personas no se verán
afectadas o pueden encontrar algunos inconvenientes muy limitados y
reversibles que superarán sin ningún problema.
- Tipos de datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de
nacimiento), Datos de contacto
- Número de afectados: (…) e indican que no hay personas afectadas por la
brecha en otros estados miembro de la UE
- Con relación a las medidas de seguridad, indica que no se podría haber
evitado la brecha adoptando alguna medida de seguridad adicional. Sin
embargo, afirma haber adoptado tras el incidente nuevas medidas de
seguridad que podrían haber evitado la brecha: Niveles de acceso a los datos.
- Afirma que han puesto el incidente en conocimiento de autoridades policiales.
- Indica que la brecha se da por resuelta con fecha 20 de diciembre de 2023.
- BIZUM expone que las personas afectadas no serán informadas porque no
existe un riesgo alto para sus derechos y libertades.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/39
Con fecha 16 de enero de 2024 se realiza un requerimiento de información a la
entidad notificante solicitándole, entre otros puntos, información detallada y
documentación acreditativa en relación con la brecha notificada, copia del RAT, del
Análisis de Riesgos y de la Evaluación del Impacto (en adelante, EIPD), información
sobre la comunicación realizada a los afectados, etc.
La entidad notificante responde a este requerimiento de información con fecha de
registro 15 de febrero de 2024 y ofrece los siguientes ANTECEDENTES:
“el Servicio Bizum ofrece dentro de su operativa habitual y licita, la consulta en
la iniciación de cualquier operación Bizum del denominado “alias” (nombre e
iniciales de los apellidos del beneficiario) en el momento en el que el ordenante
del Bizum introduce un número de teléfono en el sistema.
El acceso a ese dato pseudoanonimizado, que es aceptado y comunicado
como parte de la ejecución del Servicio Bizum por todos los usuarios
registrados en el mismo mediante aceptación de Términos y Condiciones del
Servicio de su respectiva Entidad bancaria, ofrece a los usuarios ordenantes
de operaciones Bizum seguridad y confiabilidad en el sistema.
De este modo, si los usuarios detectan que el beneficiario/destinatario de la
operación no es el correcto, pueden no finalizar la operación sin perjuicio
económico para ninguna de las partes.”
Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar
los efectos adversos y medidas adoptadas para su resolución final
La entidad notificante manifiesta en su escrito de respuesta [Resp#1]:
• “(…)”,
En el Informe Técnico [Resp#1_Doc#3.1], en el apartado 4.1 “Detección”, se
aclara la siguiente información:
“Es preciso mencionar, que (…), siguiendo un orden ascendente y con
números faltantes dentro del rango mencionado.”
La entidad notificante continúa explicando en su escrito de respuesta [Resp#1]:
• De forma inmediata:
o se solicita al proveedor contratado al efecto la puesta en marcha
del protocolo (…);
En el apartado 4.3 del Informe Técnico [Resp#1_Doc#3.1] se describe el análisis
realizado para identificar el origen de la divulgación, (…).
La descripción del suceso se detalla en el capítulo 5 del Informe Técnico
[Resp#1_Doc#3.1]:
“5.1. Detección
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/39
• (…)
5.2. Reacción
(…)
5.3. Diagnóstico
(…)
Respecto de las causas que hicieron posible la brecha
La entidad notificante explica en su escrito de respuesta [Resp#1] que la seguridad del
servicio Bizum se estructura en un doble escalón:
(…)
La entidad notificante remite al apartado 5.3 “Diagnóstico” del Informe Técnico
[Resp#1_Doc#3.1], que ha sido tratado en el apartado anterior del presente informe.
Respecto de los datos afectados
La entidad notificante indica el número de usuarios en su escrito de respuesta
[Resp#1]:
(…) .
Con una tipología de datos:
(…)
Respecto a posibles consecuencias para los afectados
Consultada sobre posibles consecuencias para los afectados, la entidad notificante
señala la “(…)”.
La entidad notificante facilita el documento [Resp#1_Doc#3.2], “Evaluación de la
severidad de la brecha con metodología propuesta por la Agencia Europea para la
Ciberseguridad – ENISA”, de fecha 18 de diciembre de 2023 y con logotipo de
***EMPRESA.1, en el que se concluye que el grado de severidad de la brecha es
BAJO (SE=1, 31) y que no es necesario realizar comunicación a los afectados.
“cabe concluir que, tras la detección de la brecha, Bizum
(…)
Por todo lo anterior, dado que el nivel de severidad obtenido es bajo y que,
además, se cumple con las condiciones del artículo 34.3 del RGPD (e.g.
adopción de medidas técnicas y organizativas adecuadas con carácter previo y
posterior a la brecha de seguridad), cabe concluir que no es necesario que
Bizum comunique la brecha de seguridad a los afectados.”
Por otra parte, la entidad notificante indica en su escrito de respuesta [Resp#1] que no
tiene conocimiento hasta la fecha de que se haya producido la utilización de los datos
obtenidos por terceros, que la publicación fue borrada con fecha 27/11/2023 y que en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/39
las comprobaciones realizadas en los principales buscadores no se ha detectado nada
que pueda asociarse al suceso notificado por Bizum.
Respecto al borrado de la publicación, BIZUM remite el documento
[Resp#1_Doc#3.10], “Informe BIZUCO20231124 Bizum_***EMPRESA.2”: Divulgación
de datos no consentida Incidente: BIZUCO20231124-1 Bizum, elaborado por
***EMPRESA.2, la cual “ofrece un servicio de ciberseguridad antifraude a la empresa
Bizum que entre otros servicios recoge búsqueda, detección y análisis de fugas de
información corporativa, incluyendo la red indexada y la deep/dark web”.
En este documento, se detalla el historial de actuaciones realizadas por
***EMPRESA.2 desde la detección el día 24/11/23 hasta el borrado definitivo con
fecha 27/11/2023 y se especifica que “se descartó que hubiera nueva información o
réplicas expuestas en otros sitios”.
Respecto del contrato de encargado del tratamiento
La entidad notificante especifica el papel de REDSYS en su escrito de respuesta
[Resp#1]:
“El proveedor Redsys fue designado por Bizum, S.L. como tercero encargado
de realizar las funciones de Infraestructura del Servicio Bizum, la cual realiza la
explotación técnica y operación del Directorio Bizum (esto es, la base de datos
en la que se aglutinan las relaciones de información de los usuarios registrados
en el Servicio). Dicha designación se realizó una vez quedó acreditada la
capacidad y solvencia técnica y funcional de este proveedor, en virtud del
proceso de certificación correspondiente.
Con motivo de la designación anteriormente indicada, Redsys presta dichos
servicios de Infraestructura Bizum a todas y cada una de las entidades
adheridas al Servicio, ello a través de los acuerdos de prestación de servicios
correspondientes.
En lo relativo al tratamiento de datos de carácter personal, Redsys actúa como:
(i) Encargada del tratamiento de los datos del Directorio Bizum, respecto
de los cuales actúa como responsable del tratamiento Bizum, S.L.; y,
(ii) Encargada del tratamiento de los datos que se generen con motivo de
las operaciones de transferencias de fondos realizadas en el ámbito del
Servicio Bizum, respecto de los cuales actúan como responsables del
tratamiento cada una de las Entidades Adheridas al Servicio.”
Bizum facilita del documento [Resp#1_Doc#3.9], Acuerdo de Encargado del
tratamiento como evidencias de las cláusulas suscritas, en materia de protección de
datos, entre Bizum, S.L. y Redsys; y Redsys y las Entidades Adheridas al Servicio.
Analizado el documento, se comprueba que contiene dos cláusulas, tal como se ha
indicado, y que en ellas constan, entre otros aspectos:
.- CLÁUSULA (A). BIZUM, S.L. (“SPP”) – REDSYS SERVICIOS DE
PROCESAMIENTO, S.L. (“REDSYS”). Pág. 1
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/39
- El objeto del contrato es la prestación de Servicios derivados de la
designación de REDSYS como Infraestructura SVA en el ámbito del Convenio.
- En el contrato de encargo figuran las obligaciones del encargado.
- Indica que seguirá las instrucciones de BIZUM.
- Incluye un apartado específico dedicado a las Medidas de seguridad de datos
de carácter personal.
- REDSYS deberá ser autorizado de forma previa para la subcontratación total
o parcial del contenido del Contrato.
.- CLÁUSULA (B). ENTIDAD ADHERIDA AL SERVICIO (“CLIENTE”) – REDSYS
SERVICIOS DE PROCESAMIENTO, S.L. (“REDSYS”). Pág. 8
- En el contrato de encargo figuran las obligaciones del encargado.
- Indica que seguirá las instrucciones del CLIENTE.
- Incluye un apartado específico dedicado a las medidas de seguridad que se
observarán.
- El CLIENTE autoriza a REDSYS a subcontratar total o parcialmente el
tratamiento de datos.
Respecto de las medidas de seguridad implantadas
(…)
La entidad notificante manifiesta en su escrito de respuesta [Resp#1]:
Medidas técnicas y organizativas adoptadas para garantizar un nivel de
seguridad adecuado a los riesgos detectados […] en las que estarán
recogidas:
• (…)
Y remite al documento [Resp#1_Doc#3.8], “Políticas, normas y procedimientos
REDSYS (Infraestructura)”, donde se evidencia la existencia de dicha documentación
de uso interno de REDSYS para garantizar un nivel de seguridad adecuado a los
riesgos detectados.
Con relación a las medidas existentes en el servicio, la entidad notificante explica en el
capítulo 3 del Informe Técnico [Resp#1_Doc#3.1] las medidas externas, propias de la
Infraestructura Bizum y “ex_post”:
3.1. Medidas ex_ante, en forma de barreras externas a la Infraestructura
Bizum:
• (…)
3.2. Barreras establecidas en la propia Infraestructura del servicio Bizum:
• (…).
3.3. Controles ex_post sobre el funcionamiento del servicio:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/39
(…)
La entidad notificante continúa explicando en su escrito de respuesta [Resp#1]:
(…)
Se constata que el documento [Resp#1_Doc#3.4], “Cumplimiento Normativo de
REDSYS”, detalla las auditorias y certificaciones de REDSYS y que BIZUM está
incluida en el alcance de las auditorias y certificaciones de REDSYS siguientes :
SOC1 y SOC2, ambos de Tipo 2, fecha 3 de mayo de 2023
ISO 22301 de Continuidad de Negocio, fecha 3 de junio de 2022
ISO 27001 de Seguridad de la Información, fecha 10 de junio de 2022
ISO 20000-1 de Calidad de los Servicios TI, fecha 5 de junio de 2022
ISO 27701 de Gestión de la Información de Privacidad, fecha 12 de junio de
2022
Calificación Leet Security (con AAA), fecha 11 de mayo de 2022
-.-
(…).
La entidad notificante manifiesta en su escrito de respuesta [Resp#1]:
(…)
La entidad notificante continúa explicando en su escrito de respuesta [Resp#1] las
medidas técnicas y organizativas adoptadas para evitar incidentes como el sucedido,
especificadas también en el apartado 6 del Informe Técnico [Resp#1_Doc#3.1]:
• (…)
Se constata en el documento [Resp#1_Doc#3.7], “COM-Bizum_2023-O-
3_Validación de usuario ordenante y alias” la comunicación de BIZUM a
las entidades adheridas con relación a dicha implantación:
(…)
Se constata esta bajada de los umbrales en el documento
[Resp#1_Doc#3.11], “Evidencias_1&_2”, mediante unas gráficas
comparativas entre la actividad del 30 de noviembre y la actividad del 28
de diciembre, en la que se observa que el umbral ha disminuido.
• (…)
BIZUM presenta en el documento [Resp#1_Doc#3.11], “Evidencias_
1&_2”, un correo de CECABANK que confirma que (…) lo desplegaron
la madrugada del martes 16 de enero.
• (…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/39
Respecto de la notificación con posterioridad a las 72 horas
La entidad notificante manifiesta en su escrito de respuesta [Resp#1]:
(…)
Información sobre la recurrencia de estos hechos y número de eventos análogos
acontecidos en el tiempo
La entidad notificante indica en su escrito de respuesta [Resp#1] que (…).
Respecto de la documentación exigida por RGPD
La entidad notificante facilita el documento [Resp#1_Doc#3.5], “20240208 RAT”
Registro de Actividades de Tratamiento (RAT) con información detallada de la actividad
afectada por la brecha, en concreto:
o Actividad: “DIRECTORIO”.
o Finalidad: “Gestión de la información de titulares de cuentas de pago (IBAN)
disponible en la base de datos “Directorio de identidad digital” para la prestación de los
servicios de valor de transferencias inmediatas entre particulares C2C”.
o Datos afectados:
Datos de carácter identificativo: NIF/NIE/PASAPORTE; NOMBRE Y
APELLIDOS; ALIAS; TELÉFONO MÓVIL; EMAIL, DIRECCIÓN POSTAL;
CLAVE BIZUM.
Datos económicos, financieros y de seguros: DATOS BANCARIOS (NÚMERO
DE CUENTA DE PAGO IBAN).
o Encargados y subencargados del tratamiento:
1. Redsys Servicios de Procesamiento, S.L..
2. Cecabank, S.A.
o Volumen de datos:
***USUARIOS.1 registrados a fecha 5 de febrero de 2024
o Legitimación del tratamiento:
1. Consentimiento del usuario.
2. Ejecución del Contrato.
3. Interés legítimo.
Por otra parte, BIZUM remite el documento [Resp#1_Doc#3.3], “20240208 Análisis de
riesgos” que evidencia la existencia del documento ***DOCUMENTO.1 (documento de
uso interno con fecha 11/04/2023).
En el documento [Resp#1_Doc#3.3], se indican los niveles de riesgos residuales por
amenaza, así como los niveles de riesgos de cada amenaza tras aplicar los planes de
tratamiento, (…).
Adicionalmente, la entidad notificante facilita el documento [Resp#1_Doc#3.4],
“Cumplimiento Normativo de Redsys”, que detalla las auditorias y certificaciones de
Redsys.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/39
Se constata la inscripción del incidente en el Registro de brechas de seguridad en
materia de protección de datos de carácter personal, documento [Resp#1_Doc#3.6].
CUARTO: Con fecha 23 de mayo de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.a) del
RGPD.
QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, con
fecha 17 de junio de 2025, BIZUM presentó escrito de alegaciones en el que planteaba
esencialmente lo siguiente:
PRELIMINAR.- ACERCA DE LA INDEFENSIÓN GENERADA A BIZUM AL NO HABER
SIDO FACILITADO POR LA AEPD EL EXPEDIENTE ADMINISTRATIVO COMPLETO
En esta primera alegación, BIZUM plantea que la respuesta a la copia del expediente
requerida no se le remitió de forma completa ya no se incorporó a la misma la
respuesta suministrada al requerimiento formulado por esta AEPD en el marco de las
actuaciones de investigación desarrolladas. Y todo ello a pesar de que reconocen
expresamente que si parecen haber sido tenidos en cuenta en el Informe de
Actuaciones Previas de Investigación obrante en la documentación remitida, dada la
cita que en dicho documento se hace de lo indicado por mi representada
Por ello, entiende BIZUM que carece de la posibilidad de conocer cuál es la
fundamentación de la decisión de la AEPD de iniciar el procedimiento ni qué
documentos han conducido a tal conclusión,
PRIMERA.- ACERCA DE LOS HECHOS IMPUTADOS A BIZUM EN EL PRESENTE
PROCEDIMIENTO Y DE LA PRESCRIPCIÓN DE LA INFRACCIÓN QUE SE LE
IMPUTA
Continúa BIZUM el escrito de alegaciones considerando que el hecho de que la
publicación de los datos afectados por la brecha no se produjo hasta noviembre de
2023, no supone una detección tardía ya que no queda acreditado que la publicación
de los datos pudiera haber sido detecta con anterioridad ni, en caso de que hubiera
sido posible, esa detección tardía no supone un indicio de incumplimiento del deber de
seguridad impuesto por el RGPD.(…)
Aporta copia de pantalla del post publicado por el atacante, de fecha 22 de noviembre
de 2023 a las 0:33 horas, (…) y rechaza considerar como indicio de la insuficiencia de
las medidas adoptadas una supuesta demora en la detección de los datos.
Entiende que sólo puede considerarse que BIZUM conoció de dicha publicación en el
momento en que la misma tuvo lugar. Y si ello es así, en modo alguno cabría inferir de
este hecho la supuesta carencia de medidas de seguimiento en las redes que se le
imputa a mi representada. Pero es que, además, esa supuesta carencia en modo
alguno implicaría, incluso si pudiera haberse acreditado (quod non) que los datos
llevasen tiempo publicados en la red, un incumplimiento de lo establecido en el
artículo 32 del RGPD, que impone al responsable la adopción de medidas de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/39
seguridad, técnicas y organizativas, en el tratamiento de los datos personales que el
mismo lleva a cabo.(…)
Argumenta a continuación que la medida a la que se refiere el acuerdo de inicio no
guarda relación alguna con un tratamiento de datos que se lleve a cabo por parte de
BIZUM. Efectivamente, la publicación por un tercero de datos previamente exfiltrados
supondrá únicamente un tratamiento llevado a cabo no por la entidad víctima de la
exfiltración (y la consiguiente brecha de seguridad), sino por el autor material del
ataque, que habrá procedido a la realización de un tratamiento ilícito de datos,
consistente en su recogida y conservación ilícitas, así como una publicación,
igualmente ilícita, de los mencionados datos.(…) De este modo, el seguimiento de la
Red con la finalidad de detectar la existencia de datos vinculados al Directorio de
BIZUM podría suponer una medida proactiva desarrollada por la misma a fin de
reforzar y garantizar los derechos de sus usuarios (lo que efectivamente sucedió, tal y
como se acreditó por BIZUM al describir la cronología de los hechos, por cuanto los
datos fueron suprimidos de Internet a la mayor brevedad), pero jamás esta medida
tendría encaje en el artículo 32 del RGPD, que se supone infringido, toda vez que no
consiste en ningún tipo de medida técnica u organizativa aplicada sobre el tratamiento
que mi representada lleva a cabo de los datos de los usuarios.
Por otro lado, considera BIZUM que, en todo caso, la infracción imputada estaría
prescrita al considerar como fecha de inicio del cómputo de la infracción el 21 de
septiembre, fecha en la que se produjo la brecha de datos personales. En
consecuencia, el plazo de dos años fijado para la prescripción de dicha infracción
habría finalizado el 21 de septiembre de 2024
SEGUNDA.- ACERCA DE LA INEXISTENCIA DE VULNERACIÓN DE LO
DISPUESTO EN EL ARTÍCULO 32 DEL RGPD EN EL PRESENTE CASO
BIZUM considera que, en contra de lo indicado en el acuerdo de inicio, la imputación
que se le realiza se fundamenta no sobre la base de una supuesta carencia de
medidas adecuadas, sino por haberse producido el resultado conocido con
posterioridad: la publicación de los datos referidos al Directorio de BIZUM(…)Es decir,
la supuesta infracción de mi representada no se basa en la inadecuación de las
medidas adoptadas, sino en el resultado producido, lo que contradice completamente
la doctrina que la propia AEPD afirma seguir.
Señala a continuación que del propio funcionamiento de BIZUM se deriva que las
medidas de seguridad que resultan aplicables en el entorno de BIZUM cuentan con
varias capas diferenciadas. Teniendo esto en cuenta, considera que no se produjo en
modo alguno un acceso ilícito al servicio BIZUM ni se violentó por medio de ningún
tipo de fuerza externa al servicio. Ni siquiera se produjo un acceso malicioso
suplantando la identidad de un usuario legítimo del servicio. El acceso tuvo lugar por
un usuario legítimo que cumplía con los requisitos exigidos para poder operar con
BIZUM. Y que no se produjo fallo o carencia alguna de las medidas de control y
seguridad instauradas en el entorno de BIZUM y de las entidades adheridas para
evitar un acceso ilícito al servicio.
En cuanto a las conclusiones alcanzadas en el acuerdo de inicio con relación al
aumento de peticiones fallidas, entienden que la AEPD pretende considerar irrelevante
el hecho de que, dada la naturaleza del servicio prestado por BIZUM, que implica en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/39
torno a tres millones de transferencias instantáneas diarias, el aumento producido no
podía ser calificado como especialmente significativo. De igual forma, considera que el
Acuerdo de Inicio omite una cuestión que puede considerarse relevante, la detección
tuvo lugar en menos de dos horas desde el momento en que se produjo el acceso por
el usuario a los datos, siendo detenida de forma inmediata, adoptándose de forma
inmediata las medidas encaminadas a garantizar la seguridad de los datos.
Alude a continuación a que el hecho de que el bloqueo no se lleve a cabo por parte de
mi mandante no responde ni a un inadecuado diseño del servicio ni a una supuesta
falta de medidas de seguridad ni a una finalidad comercial, sino a que la normativa de
defensa de la competencia impide que las plataformas o medios de pago puedan
establecer reglas específicas de bloqueo de un usuario por la detección de indicios de
uso fraudulento de dichas plataformas o medios de pago. En este sentido, debe
traerse a colación la Resolución del Tribunal de Defensa de la Competencia de 3 de
abril de 2002, que se aporta como DOCUMENTO NÚMERO 2, confirmada
posteriormente tanto por la Audiencia Nacional como por el Tribunal Supremo, en la
que se sancionó a tres sociedades de medios de pago y ocho entidades bancarias con
multas, según los casos de 300.000 y 600.000 euros por haber establecido de forma
concertada las reglas de exclusión de los usuarios de dichos medios de pago.
(…) la configuración del servicio de validación de usuario ordenante debe llevarse a
cabo de forma que únicamente se encuentre disponible para su utilización por parte
de las entidades adheridas a BIZUM y no por sus clientes usuarios de sus servicios,
tal y como consta en las propias normas de funcionamiento de BIZUM, toda vez que
su finalidad consiste en que la propia entidad desde la que se ordena la operación
pueda validar al usuario que lleva a cabo esa orden como registrado en BIZUM en
dicha entidad. En este sentido, las normas de funcionamiento aprobadas por BIZUM
son claras al indicar únicamente que el alias deberá incluirse en el momento de
confirmación previa a la ejecución de la operación, sin que se establezca la inclusión
de dicho dato seudonimizado con anterioridad a dicho momento.
Alegan que Redsys, como responsable de la infraestructura de BIZUM, comunicó a las
entidades adheridas el 28 de junio de 2023, cinco meses antes de tenerse
conocimiento de la publicación de los datos del Directorio, la adopción de medidas que
impedían acceder al dato del alias a menos que el usuario fuese cliente de la entidad
consultante. Igualmente, en dicho correo se recordaba que dicho servicio debía ser
“utilizado únicamente con la finalidad de comprobar la situación del cliente de la
Entidad como usuario Bizum. No debe utilizarse para consultar la situación del
receptor de la petición ni como alternativa a la consulta de agenda”.
Con relación a la medida correctiva indicada en el acuerdo de inicio, BIZUM señala
que ya ha adoptado esta medida con anterioridad. Es más, desde su creación ha
establecido que la información relativa al alias del interesado únicamente sea
accesible por los usuarios en el momento en que hayan de confirmar la realización de
la transferencia inmediata a través de BIZUM.
Y ello sin perjuicio de recordar que únicamente puede establecer las medidas de
seguridad en el tratamiento de los datos respecto de la capa de seguridad sobre la
que tiene poder de decisión, dado que, como se ha indicado, han de ser las entidades
adheridas a BIZUM las que, conforme a sus propias reglas, y siempre respetando las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/39
normas de funcionamiento del sistema, deban, en definitiva, proceder a su adecuada
implementación en sus propios sistemas y en el funcionamiento de la API de BIZUM
accesible desde sus servicios de banca on-line (tanto a través de la correspondiente
aplicación como en Internet). Y es precisamente esa inadecuada implementación la
que ha dado lugar a la brecha de seguridad acaecida en el presente caso, producida
en sede de una de las entidades adheridas, que permitía a los usuarios cliente el
acceso al dato del alias con anterioridad a la confirmación de la transferencia, aun
cuando las normas de funcionamiento clarificaban que la finalidad del servicio de
validación de usuario ordenante era simplemente el descrito en un lugar anterior de
estas alegaciones y que el acceso al mismo únicamente debía limitarse a la propia
entidad.
TERCERA.- ACERCA DE LA VULNERACIÓN DEL PRINCIPIO DE
PROPORCIONALIDAD EN LA DETERMINACIÓN DEL IMPORTE DE LA SANCIÓN
Considera BIZUM que el Acuerdo de Inicio adolece de la necesaria motivación
respecto del modo en que se calcula la sanción, limitándose a señalar las
circunstancias agravantes aplicadas
En relación con la circunstancia del artículo 83.2, letra a), del RGPD) considera que ni
la AEPD ha probado que fuera posible detectar la publicación de los datos antes de la
fecha indicada (simplemente por el hecho de que no está tampoco probada una
publicación anterior a dicha fecha), ni esa supuesta detección tardía se encontraría en
modo alguno relacionada con el cumplimiento del artículo 32 del RGPD. Asimismo,
señala que la supuesta agravante no es sino una integrante del propio tipo
sancionador, no siendo posible el recurso a la misma como agravante de la sanción,
por cuanto su concurrencia es necesaria para considerar que existe una infracción del
artículo 32 del RGPD.
Considera que de tenerse en cuenta que los datos afectados quedarían limitados
única y exclusivamente a los alias y números de teléfono móvil de los usuarios de
BIZUM. Así, Es preciso recordar en este punto que el alias de los usuarios se
conforma única y exclusivamente por el nombre de pila del usuario y las iniciales
correspondientes a sus dos apellidos, siendo así que dicho dato por sí solo no permite
identificar al usuario. (…) Y si ello es así, podría concluirse que, cuanto menos, nos
encontramos ante datos seudonimizados, que no permiten por sí solos identificar al
interesado. Considera que la propia naturaleza de la información a la que se está
haciendo referencia pone de manifiesto la existencia de un nivel de seguridad
reforzado en el tratamiento
Por otro lado, con relación a lo que BIZUM considera como agravante relacionada con
la “Intencionalidad/ Negligencia en la infracción” (artículo 83.2, letra b), del RGPD),
señala que la AEPD está utilizando como agravante una supuesta demora de BIZUM
en la detección de la publicación de los datos que en modo alguno consta acreditada.
Y entiende que la mera referencia a la concurrencia de culpabilidad en la conducta de
mi representada jamás puede implicar una circunstancia agravante, por cuanto no es
sino un requisito sine qua non para apreciar la concurrencia del elemento culpabilístico
necesario para que pueda siquiera considerarse cometida la infracción.
Por ello, entiende que, si ninguna de las mencionadas agravantes puede ser aplicable
en el presente caso, la consecuencia de tal circunstancia es que en caso de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/39
apreciarse la existencia de una infracción de la normativa de protección de datos
personales por parte de BIZUM (quod non) la cuantía de la sanción planteada en el
Acuerdo de Inicio debería ser objeto de una sustancial reducción.
SEXTO: Con fecha 30 de junio de 2025 tiene entrada escrito de BIZUM en el que
señala su discrepancia con el criterio mantenido por la AEPD en su acuerdo de inicio y
se reserva su derecho a recurrir a la jurisdicción contencioso-administrativa en caso
de que la resolución que pusiera fin al presente expediente no consista en el archivo
del mismo sin la imposición a mi representada de ninguna sanción por la supuesta
infracción de lo establecido en el Reglamento General de Protección de Datos. No
obstante lo anterior, señala que en uso de la facultad otorgada por el mencionado
artículo 85.2 de la LPACAP, BIZUM ha procedido al abono del importe del 80% de la
sanción propuesta, (…), por lo que, afirma, renuncia al ejercicio ante esa AEPD de
cualquier acción o recurso en vía administrativa contra la sanción que, eventualmente
y frente a lo sustentado por BIZUM, pudiera imponerse, tal y como prescribe el artículo
85.3 de la LPACAP, por lo que manifiesta que no interpondrá contra la resolución que
finalmente se dictase, recurso potestativo de reposición ante esa AEPD
SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
BIZUM es una empresa constituida en el año 2016, y con un volumen de negocios de
43.835.406 euros en el año 2022.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: Con fecha 21 de septiembre de 2022 se produjo un aumento- inusual,
según lo califica BIZUM- de peticiones al Directorio con datos personales del que
BIZUM es responsable por parte de un usuario legítimo de una Entidad adherida que,
en respuesta al incidente, identificó al usuario y lo bloqueó.
SEGUNDO: Con fecha 22 de noviembre de 2023 se publicó en internet un anuncio de
venta de datos procedentes de la base de datos de BIZUM. Junto con dicho anuncio,
se incluía una muestra de los datos ofrecidos, consistentes en número de teléfono,
nombre e iniciales de los dos apellidos. Dicha publicación fue conocida por BIZUM el
24 de noviembre de 2023.
Según confirma BIZUM, los teléfonos publicados (…), siguiendo un orden ascendente
y con números faltantes dentro del rango mencionado.
TERCERO: Con fecha 27 de noviembre de 2023, BIZUM notificó a la AEPD la brecha
de datos personales. La información inicialmente suministrada fue ampliada el 12 de
diciembre de 2023 y, en la misma, en referencia al conocimiento de la publicación de
los datos el 24 de noviembre, indica que (…). En dicha comunicación, BIZUM añade
la siguiente información destacable:
- La fecha de inicio es el 21 de septiembre de 2022 y que la fecha de detección
es el 24 de noviembre de 2023.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/39
- Manifiesta que se ha visto afectada la confidencialidad.
- Afirma que los datos no estaban cifrados.
- Tipos de datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de
nacimiento), Datos de contacto
- Número de afectados: ***CANTIDAD.1. No hay personas afectadas por la
brecha en otros estados miembro de la UE
- Indica que la brecha se da por resuelta con fecha 20 de diciembre de 2023.
CUARTO: De acuerdo con la información aportada por BIZUM, la brecha de 21 de
septiembre de 2022 consistió en (…).
QUINTO: Según BIZUM se trataba de (…).
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/39
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. Asimismo, de
acuerdo con el artículo 4.8) del RGPD, es encargado del tratamiento la persona física
o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por
cuenta del responsable del tratamiento.
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales por parte de BIZUM,
consistente en la recogida, conservación y puesta a disposición de las entidades
adheridas de datos personales tales como nombre, apellidos y número de teléfono
móvil. BIZUM decide sobre los fines y medios de dichos tratamientos, por lo que tiene
la condición de responsable del tratamiento de los datos del Directorio Bizum, que
incluye el número de teléfono móvil y el "alias" (nombre e iniciales de los apellidos) de
los usuarios de BIZUM.
Por otro lado, REDSYS es el proveedor responsable de la infraestructura del Servicio
Bizum que, tal y como consta en el expediente, realiza la explotación técnica y
operación del Directorio Bizum (esto es, la base de datos en la que se aglutinan las
relaciones de información de los usuarios registrados en el Servicio). En dicha
condición, y tal y como confirma BIZUM, también actúa como encargada de
tratamiento de los datos del Directorio Bizum, analizado en el presente expediente.
III
Alegaciones al acuerdo de inicio
En lo que respecta a las alegaciones referidas a la conformación del expediente
administrativo y más en concreto, de los documentos obrantes en la copia
suministrada a BIZUM cabe señalar en un primer momento que la AEPD ha tenido en
cuenta, en todo momento y con todo su alcance, los documentos aportados por la
reclamada en el curso del procedimiento y, muy especialmente, en el desarrollo de las
actuaciones previas de investigación llevadas a cabo.
Cabe recodar a este respecto que dichas actuaciones se encuentran previstas en el
art. 67 de la LOPDGDD- como desarrollo de la previsión general contenida en el art.
55 de la LPACAP- en el siguiente sentido:
1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a
trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos
podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor
determinación de los hechos y las circunstancias que justifican la tramitación del
procedimiento.(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/39
Es decir, dichas actuaciones previas tienen por objeto una mejor delimitación de los
hechos y su calificación jurídica. Por ello, el informe derivado de dichas actuaciones
forma parte del expediente y es tenido en cuenta en las diferentes fases del
procedimiento, cuyos documentos reflejan las conclusiones alcanzadas en el mismo;
como así se demuestra en el hecho tercero del acuerdo de inicio y el antecedente
tercero de la presente resolución, en los que se detallan las actuaciones previas de
investigación desarrolladas y las respuestas dadas por BIZUM a los requerimientos
efectuados.
Cabe asimismo señalar que la respuesta al requerimiento a la que se refiere BIZUM,
con fecha de entrada el 15/02/2024 indicaba en el oficio de remisión lo siguiente:
OTROSÍ DIGO Que Bizum invoca a los efectos que procedan la confidencialidad y el
secreto empresarial de los documentos aportados junto con el presente escrito y
solicita que sean tratados en la forma que se indica, sin difusión de los elementos que
afectan a su configuración empresarial ni al secreto de su actuación comercial y sin
que los mismos sean utilizados o difundidos sin otra finalidad que la colaboración de
Bizum en la tramitación del presente procedimiento. A tal efecto, se señala
expresamente lo dispuesto en la Ley 1/2019, de 20 de febrero, de Secretos
empresariales
Esta petición motivó que el documento fuera calificado como restringido y tal
circunstancia derivó en que no se incluyera en la copia del expediente suministrada a
BIZUM. No obstante, reiteramos que dicha circunstancia i) no impidió que el
documento fuera tomado en consideración por esta AEPD, tanto en las actuaciones
previas de investigación- como demuestra el reflejo en las conclusiones de las mismas
del documento en cuestión- como en el acuerdo de inicio de procedimiento
sancionador- que refleja dichas actuaciones previas ii) no se ha provocado, por lo
tanto, indefensión a BIZUM, como, por otra parte, quedará fundamentado a lo largo de
la presente resolución.
Por otro lado, y como cuestión previa antes de analizar el detalle de las alegaciones
presentadas, debemos advertir del error en el que parece caer BIZUM al referenciar
todas sus alegaciones en el hecho de la publicación de los datos personales
exfiltrados tras el ataque de 21 de septiembre de 2022 y, más en concreto, en centrara
en ese momento su- rebatida- responsabilidad. Antes al contrario, esta AEPD quiere
aclarar que los hechos objeto del presente procedimiento sancionador y, por lo tanto,
la responsabilidad derivada de los mismos de BIZUM, reflejada en la imputación de la
infracción del art. 32 del RGPD se desvela el 21 de septiembre de 2022 y tiene en
cuenta todo lo acaecido desde entonces. Incluida pero no únicamente, la publicación
en internet de los datos personales exfiltrados.
Sentado lo anterior, en respuesta a la alegación de que el hecho de que la detección
de que los datos personales publicados se produjera en fecha 24 de noviembre de
2023 no acredita una detección tardía- aporta para ello post del atacante, de 22 de
noviembre que, a su juicio, demuestra que no fue tardía la detección por cuanto el
ataque no fue hecho público por el atacante con anterioridad- cabe señalar que la
AEPD no ha hecho sino tomar como referencia las fechas aportadas por BIZUM: 21 de
septiembre de 2022 como fecha de aumento inusual de solicitudes fallidas, que se
señalan como origen de la brecha y 27de noviembre de 2023, fecha en la que fue
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/39
notificada la brecha de datos personales a esta AEPD por parte de BIZUM y en la que
se indica que se tuvo conocimiento de la publicación el 24 de ese mismo mes.
Teniendo esto en consideración, recordemos que la infracción que se imputa a BIZUM
tiene, como uno de sus elementos, la ausencia de mecanismos para la detección y
rápida solución de situaciones en las que se vea comprometida la seguridad de los
datos personales que son objeto de tratamiento. En este sentido, la publicación de
noviembre de 2023- fecha que, a efectos de la imputación del artículo que se entiende
infringido, tiene una relevancia restringida- no hace sino confirmar que una brecha que
se produjo en fecha claramente anterior- 21 de septiembre de 2022, que, reiteramos,
se señala por el propio BIZUM como fecha de comienzo- fue detectada no gracias a
las herramientas que el responsable del tratamiento hubiera puesto en marcha, sino a
través de un hecho externo cuanto es la publicación del anuncio hecho por el presunto
atacante. Es el hecho de que el incidente fuera conocido a través de este hecho
externo- que hubiera podido no producirse si, por ejemplo, el presunto atacante no
hubiera publicado el anuncio- y no a través de los medios implementados por BIZUM,
es lo que constituye un indicio de la ausencia de medidas de seguridad adecuadas.
Pretende por otro lado BIZUM eludir su responsabilidad aludiendo a que la infracción
del artículo 32 del RGPD debiera imputarse al presunto atacante por cuanto la
publicación por un tercero de datos previamente exfiltrados supondría únicamente un
tratamiento llevado a cabo no por la entidad víctima de la exfiltración (y la consiguiente
brecha de seguridad), sino por el autor material del ataque, que habría procedido a la
realización de un tratamiento ilícito de datos, consistente en su recogida y
conservación ilícitas, así como una publicación, igualmente ilícita, de los mencionados
datos.
Llegados a este punto, y reiterando lo señalado al inicio de la contestación a las
alegaciones presentadas, recordemos que BIZUM es el responsable del tratamiento
de los datos afectados por la brecha: así se desprende de la documentación obrante
en el expediente y así es reconocido por BIZUM en la notificación de la brecha a esta
AEPD. Asimismo, recordemos que el RGPD consagra el principio de responsabilidad
proactiva de los responsables de tratamiento, tanto en el art. 5.2 -El responsable del
tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y
capaz de demostrarlo («responsabilidad proactiva»)- como en el art. 24- 1. Teniendo
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los
riesgos de diversa probabilidad y gravedad para los derechos y libertades de las
personas físicas, el responsable del tratamiento aplicará medidas técnicas y
organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es
conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán
cuando sea necesario.
Parece olvidar BIZUM que es a dicha entidad a la que, como responsable del
tratamiento, le corresponde velar por el cumplimiento de los principios aplicables a
todo tratamiento de datos personales, y en lo que aquí interesa, de la adopción de
todas las medidas necesarias para garantizar la adecuación de dichos tratamientos a
lo previsto en el RGPD. Entre estas medidas se encuentran las destinadas a
garantizar la seguridad del tratamiento, previstas en el art. 32 y cuya adopción
corresponde al responsable y, en su caso, al encargado de tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/39
Es la ausencia de medidas adecuadas para alcanzar lo previsto en el artículo 32 del
RGPD lo que se imputa a BIZUM. Y es la ausencia de estas medidas adecuadas lo
que ha producido que los datos personales afectados por la brecha hubieran sido
objeto de publicación; circunstancia que, por lo tanto, no se hubiera producido de no
haberse infringido lo dispuesto en el artículo 32. Los hechos son, por lo tanto,
responsabilidad de BIZUM como responsable del tratamiento, sin que quepa eludirla
trasladándola al supuesto atacante, que tan sólo se benefició de la situación creada
por BIZUM por la inadecuación de las medidas de seguridad adoptadas.
En lo relativo a la presunta infracción cometida, yerra BIZUM al considerar como fecha
de inicio de la infracción la fecha en la que se produjo la brecha de datos personales;
fecha que, únicamente, evidenció- aun sin que BIZUM fuera aún consciente de ello-
las falta de medidas de seguridad adecuadas atendiendo al tratamiento llevado a
cabo. A este respecto, como indica BIZUM en su escrito de alegaciones, la obligación
del artículo 32 RGPD es una obligación de medios y no de resultados, y difícilmente
puede afirmarse que se puso fin a una situación de ausencia de medios adecuados
para garantizar la seguridad del tratamiento cuando BIZUM aun no era consciente de
que la brecha se había producido, consecuencia, precisamente, de esta ausencia de
medios y, por lo tanto, no había adoptado las medidas adecuadas para poner fin a esta
situación infractora.
En este sentido, resulta adecuado mencionar la Sentencia del Tribunal Supremo de 4
de noviembre de 2013 en la que se expone lo siguiente: “En la aplicación del plazo de
prescripción hemos de decidir la fecha de inicio del cómputo del plazo aplicable de 2
años, que de conformidad con el artículo 47.2 LOPD comenzará a contarse desde el
día en que la infracción se hubiera cometido. Tal regla, similar a la establecida con
carácter general en el artículo 132 LRJPAC, es de aplicación en los casos de
infracciones instantáneas ya finalizadas, pero obliga a efectuar algunas matizaciones,
a fin de determinar cuándo se han de considerar cometidas las infracciones
continuadas y las infracciones permanentes. A la infracción continuada se refiere el
artículo 4. 6, párrafo 2°, del Reglamento de procedimiento para el ejercicio de la
potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto
(RPEPS), que establece que '... será sancionable, como infracción continuada, la
realización de una pluralidad de acciones u omisiones que infrinjan el mismo o
semejantes preceptos administrativos, en ejecución de un plan preconcebido o
aprovechando idéntica ocasión'. A diferencia de la infracción continuada que exige
pluralidad de acciones que infrinjan el mismo precepto, y por ello constituye un
concurso real de ilícitos, la infracción permanente no requiere un concurso de ilícitos,
sino una única acción de carácter duradero, cuyo contenido antijurídico se prolongue a
lo largo del tiempo, en tanto el sujeto activo no decida cesar en la ejecución de su
conducta. En el ámbito del derecho penal la diferenciación entre las distintas clases de
infracciones tiene trascendencia a los efectos de determinar la fecha inicial del
cómputo del plazo de prescripción, como resulta del artículo 132.1 del Código Penal,
que al lado de la regla general de que los plazos de prescripción se computarán desde
el día en que se haya cometido la infracción, establece reglas específicas para los
casos de delito continuado y delito permanente, en que los plazos se computarán,
respectivamente, desde el día en que se realizó la última infracción o desde que cesó
la conducta. Estas reglas y criterios procedentes del Derecho Penal han tenido
acogida en la jurisprudencia de esta Sala a la hora del cómputo de los plazos de
prescripción de las infracciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/39
En materia de protección de datos como la que nos ocupa, esta Sala ha distinguido,
en sentencias de 7 de marzo de 2006 (recurso 1728/2002) y 20 de noviembre de 2007
(recurso 170/2003), entre infracciones continuadas, en los términos que las define el
artículo 4.6 del RPEPS antes citado, y las infracciones permanentes, entendiendo
como tales 'aquellas conductas antijurídicas que persisten en el tiempo y no se agotan
con un solo acto, determinando el mantenimiento de la situación antijurídica a voluntad
del autor', y la sentencia de 23 de mayo de 2011 (recurso 912/2011), también
contempla un supuesto que califica como infracción permanente, derivada en ese
caso de mantener los datos inexactos en el fichero de morosos tras la cancelación de
la deuda, con la consecuencia de considerar que el plazo prescriptivo no empieza a
computarse mientras se mantiene la infracción." En el presente caso nos encontramos
con una de las denominadas infracciones permanentes, caracterizada porque la
conducta merecedora de reproche administrativo se mantiene durante un espacio de
tiempo prolongado, y por ello el cómputo del plazo de prescripción no llega a iniciarse
hasta tanto dicha conducta cesa o se interrumpe. Tales infracciones se cometen
mientras se mantienen los efectos lesivos de dicho eventual comportamiento infractor.
En consecuencia, la lesión al bien jurídico protegido se prolonga en el tiempo durante
todo el periodo en el que mantiene dicho comportamiento contrario al ordenamiento
jurídico.
Son varias las sentencias dictadas por el Tribunal Supremo en las que se declara que
el inicio del cómputo para la prescripción de las infracciones permanentes es la fecha
del fin de la conducta infractora, pero, por todas, se recuerdan los términos en los que
se pronuncia la STS núm. 713/2019, Sala Tercera, de lo Contencioso-administrativo,
dictada en el recurso 1857/2018 (el subrayado es nuestro)
Por otro lado, la jurisprudencia, ha contemplado las denominadas "infracciones
permanentes", aludidas en resoluciones como las SSTS de 7 de abril de 1989 y 23 de
enero de 1990 , que se caracterizan como "conductas antijurídicas que persisten en el
tiempo y no se agotan con un solo acto, determinando el mantenimiento de la
situación antijurídica a voluntad del autor, caso del desarrollo en el tiempo de
actividades sin las preceptivas autorizaciones y otros supuestos semejantes" ( STS
Sala Tercera, de lo Contencioso-administrativo, Sección 62, de 7 de marzo de 2006 ,
fundamento tercero), con la consecuencia de que el plazo de prescripción no se inicia
"al no haber cesado la situación de infracción perseguida" ( STS de 18 de febrero de
1985 ). Por decirlo en términos de una reciente resolución, "la conducta punible, en
este tipo de infracciones, es constitutiva de un único ilícito, pero se mantiene durante
un espacio prolongado de tiempo por la persistencia de la voluntad del sujeto que, en
cualquier momento, puede poner fin a la misma. (…)
Esta omisión da lugar a una infracción permanente, mientras se mantiene la inacción,
y en cuanto a los delitos permanentes ya el Tribunal Supremo, Sala de lo Penal,
establece ( Tribunal Supremo Sala 2ª, S 5-5-1999, nº 687/1999, Rec. 924/1998 ) que
la fecha de comienzo de la prescripción es la de finalización de la conducta típica y no
el de su comienzo y, en el caso de autos, hemos de concluir que solo cesa la conducta
típica cuando se cesa en la omisión sancionable. Ya el art. 132 del Código
Penal establece que, en los delitos permanentes, comienza la prescripción " desde
que se eliminó la situación ilícita ".
Señalar que BIZUM alega la aplicación del art. 30- que no el 40, como dice en otra
parte de su escrito- de la Ley 40/2025, de 1 de octubre, reguladora del régimen jurídico
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/39
del sector público, pero obvia que el párrafo primero del apartado 2 de dicho precepto,
en línea con lo indicado por el Tribunal Supremo señala que
2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en
que la infracción se hubiera cometido. En el caso de infracciones continuadas o
permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora
(…)
En lo relativo al argumento de BIZUM en el que afirma que , en realidad, se está
tratando la infracción que se le atribuye como una infracción de resultado y no de
medios, en contra de lo indicado en el propio acuerdo de inicio cabe recordar una vez
más que la infracción imputada no se fundamenta- o no lo hace únicamente- en la
constatación de que se ha producido una brecha de datos personales- conocido por
BIZUM tras la publicación de los datos afectados por la misma- sino el propio hecho de
que la brecha se produjera sin que la misma no hubiera sido evitada o mitigados sus
efectos, y ello no sólo a través de la adopción previa de medidas de seguridad
adecuadas al riesgo, al tipo de datos y al tratamiento que se estaba produciendo y del
que era responsable, que hubieran podido evitar o mitigar la afectación a los datos
personales sino también que hubieran permitido la rápida detección de que la
exfiltración se habría producido. En definitiva, el anuncio publicado, en el que BIZUM
parece hacer recaer toda la relevancia de los hechos y, más aún, en el que parece
fundamentar todo su alegato, no fue sino la consecuencia de la actuación de BIZUM,
en este caso, la no adopción de las medidas de seguridad adecuadas que hubieran
sido necesarias. En definitiva, no se imputa la infracción por el resultado producido,
porque la infracción no se fundamenta en este resultado, esto es, la publicación de los
datos afectados por la brecha, sino por la ausencia de medios tendentes a garantizar
la obligación de seguridad del tratamiento que corresponde al responsable.
Así, la finalidad del artículo 32 del RGPD es la procurar un nivel de seguridad
adecuado al riesgo del tratamiento de datos personales, a través de la aplicación de
medidas técnicas y organizativas apropiadas de seguridad, específicamente de
seguridad. Y todo ello es independiente de que se produzca una pérdida de
confidencialidad y/o de integridad, pues la ausencia de dicho nivel de seguridad
adecuado al riesgo tiene entidad por sí mismo para determinar la vulneración del
precepto.
Se configura de esta forma una obligación de medios, que se concreta en la obligación
de diseñar los medios técnicos y organizativos adecuados, siendo también necesaria
su correcta implantación y su utilización de forma apropiada, de modo que también
responderá por la falta de la diligencia en su utilización, entendida como una diligencia
razonable atendiendo a las circunstancias del caso.
Nos remitimos en este punto a las sentencias dictadas tanto por la Audiencia Nacional
como por el Tribunal Supremo respecto a que dicha obligación de adoptar medidas se
refiere a las medidas necesarias y apropiadas, y a que las mismas no sólo han de ser
diseñadas sino implantadas de forma efectiva así como que no solo debe vigilarse su
establecimiento e implantación, sino también la corrección de su uso y su correcta
aplicación.
Para que se produzca una vulneración del art. 32 del RGPD, por lo tanto, el
responsable del tratamiento no debe de haber establecido medidas de seguridad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/39
adecuadas al nivel de riesgo en relación con un tratamiento concreto, incluyendo, no
sólo supuestos de la falta de implementación de medidas sino también aquellos
supuestos en que las medidas de seguridad son superadas (quiebra de las medidas
de seguridad).
Señala BIZUM en su escrito de alegaciones que Ni siquiera se produjo un acceso
malicioso suplantando la identidad de un usuario legítimo del servicio. El acceso tuvo
lugar por un usuario legítimo que cumplía con los requisitos exigidos para poder
operar con BIZUM. Y de ello concluye que no se produjo fallo o carencia alguna de las
medidas de control y seguridad instauradas en el entorno de BIZUM y de las
entidades adheridas para evitar un acceso ilícito al servicio.
Esta alegación no puede ser acogida porque, precisamente el hecho de que el acceso
se produjera utilizando un usuario legítimo y en cumplimiento de los requisitos
establecidos no es sino un fundamento a añadir al hecho de que las medidas de
seguridad que habían sido adoptadas no eran las adecuadas. Y ello porque la brecha
utilizó un usuario legítimo y, por lo tanto, se benefició de la ausencia de medidas de
seguridad aplicables a dichos usuarios legítimos, aprovechando, por lo tanto, las
vulnerabilidades de estos usuarios. El hecho de que la brecha fuera consecuencia de
un acceso realizado a través de un perfil considerado legítimo no implica, por lo tanto,
que la misma no pudiera derivarse de una situación infractora motivada por la
ausencia de medidas de seguridad desplegadas por el responsable, sino que, antes al
contrario, esta ausencia de medidas afectó a un perfil de usuario legítimo y se
aprovechó de las vulnerabilidades del mismo.
Afirma por otro lado BIZUM la falta de relevancia del aumento de solicitudes fallidas en
relación al total de operaciones diarias e insiste en la importancia de que se adoptaron
medidas en el plazo de dos horas desde el momento en que se produjo el acceso por
el usuario a los datos. Al respecto, recordemos en este punto- sin ánimo de ser
reiterativos- que fue este aumento en el número de solicitudes fallidas el hecho que
pone BIZUM como origen de la incidencia, que no brecha de datos personales ya que
no consideró que se encontraba ante esta situación sino tras el conocimiento de la
publicación de los datos exfiltrados. Y ello a pesar de que, recordemos, el art. 4.12 del
RGPD define “violación de la seguridad de los datos personales» como toda violación
de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de
datos personales transmitidos, conservados o tratados de otra forma, o la
comunicación o acceso no autorizados a dichos datos. Un acceso que, como se
demuestra por la publicación de noviembre de 2023, se produjo en septiembre de
2022. Así, difícilmente pueden llegar a publicarse datos personales si no se ha tenido
acceso a los mismos y, dado que dichos datos se publicaron, hubo acceso a ellos, y
este acceso se produjo en septiembre de 2022. Estamos, por lo tanto, ante una
brecha de datos personales que se produjo en septiembre de 2022. Y se trata de una
brecha que tuvo consecuencias no sólo inmediatamente tras producirse sino, como
consta en el expediente, tiempo después, como demuestra el anuncio de noviembre
de 2023. Es por ello que la ausencia de medidas de seguridad adecuadas produjo
efectos que se prolongaron más allá de ese plazo de dos horas en el que afirma
BIZUM fueron adoptadas medidas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/39
Con relación al argumento de que el bloqueo del usuario en manos de la entidad
adherida se hace en cumplimiento de las reglas de defensa de la competencia, ha de
señalarse que es BIZUM la que, como responsable del tratamiento, ha de proporcionar
a las entidades adheridas al sistema y a los usuarios de las mismas que utilicen el
servicio de BIZUM, debe proporcionar una infraestructura que, en lo que a la
protección de datos personales se refiere, ha de tener las medidas de seguridad
necesaria y adecuadas al tratamiento. Y que, como responsable del tratamiento, debe
justificar la adopción y correcta implementación- incluyendo la supervisión de su
correcto funcionamiento- de dichas medidas.
Recordemos asimismo que el bloqueo del usuario es una medida a posteriori y que el
hecho de que dicho bloqueo deba realizarse por la entidad adherida de la que el
usuario sea cliente no obsta a que puedan detectarse- como es este caso- una
insuficiencia o inadecuación de medidas destinadas a evitar que se haga uso de
vulnerabilidades en los perfiles de usuarios legítimos del que se derive una brecha de
datos personales.
Como el propio BIZUM reconoce (…).
En cuanto a la comunicación el 28 de junio de 2023, cinco meses antes de tenerse
conocimiento de la publicación de los datos del Directorio a las entidades adheridas,
sobre la adopción de medidas que impedían acceder al dato del alias a menos que el
usuario fuese cliente de la entidad consultante, ha de señalarse que en dicha fecha la
brecha de datos personales ya se había producido – el 21 de septiembre de 2022- y
recordarse, de nuevo, que la publicación de los datos exfiltrados no puede identificarse
con el momento de la brecha, sino como una derivada de la misma. En este sentido, si
la medida anunciada en junio de 2023 hubiera sido adoptada con anterioridad y, sobre
todo, antes del 21 de septiembre, las consecuencias de la brecha hubieran sido
menores en términos de protección de datos personales.
Ello sin perjuicio de que, tal y como consta en el expediente, en junio de 2023 tan sólo
se produjo el anuncio de que dicha medida iba a ser adoptada y que (…). En definitiva,
la comunicación de dicha medida una vez producido el ataque y con un plazo de
implementación de ocho meses no hace sino confirmar que las medidas adoptadas
con carácter previo al mismo no eran las adecuadas. Y ello sin perjuicio de reconocer
la proactividad de BIZUM en la adopción de esta medida aun sin ser conscientes de
que la exfiltración de los datos se había producido.
Por otro lado, BIZUM considera que, con esta medida, ya se cumple la señalada en el
acuerdo de inicio y recuerda que, desde su creación ha establecido que la información
relativa al alias del interesado únicamente sea accesible por los usuarios en el
momento en que hayan de confirmar la realización de la transferencia inmediata a
través de BIZUM. En este punto, recodemos que los términos en los que se establecía
la medida correctiva propuesta eran los siguientes:
- Acredite la adopción de las medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo del tratamiento de datos
que realiza. Estas medidas, en particular, deberán garantizar que el acceso a
la información personal necesaria para llevar a cabo la operación de
transferencia de fondos para la que se utiliza la infraestructura de BIZUM se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/39
produzca en el momento en que sea estrictamente necesario y evitar que el
acceso a dicha información pueda ser realizado por no autorizados.
Recordemos que es a BIZUM, como responsable del tratamiento, al que le
corresponde adoptar las medidas necesarias para adecuar dichos tratamientos a la
normativa en materia de protección de datos personales. Sabe- o debe saber- los
riesgos del tratamiento- recordemos, no sólo de carácter económico sino, en lo que a
esta AEPD concierne, en el tratamiento de datos personales y ha de adoptar las
medidas adecuadas. Partiendo de un análisis de riesgos exhaustivo y riguroso. Por
ello, es difícilmente comprensible pretender argumentar que una medida correctiva,
prevista en respuesta a una vulneración de la normativa de protección de datos, pueda
entenderse resuelta con medidas adoptadas no sólo con anterioridad, sino desde el
mismo inicio de BIZUM.
Afirma BIZUM que sólo puede adoptar medidas de seguridad en el tratamiento de los
datos respecto de la capa de seguridad sobre la que tiene poder de decisión, dado
que, como se ha indicado, han de ser las entidades adheridas a BIZUM las que,
conforme a sus propias reglas, y siempre respetando las normas de funcionamiento
del sistema, deban, en definitiva, proceder a su adecuada implementación en sus
propios sistemas y en el funcionamiento de la API de BIZUM accesible desde sus
servicios de banca on-line (tanto a través de la correspondiente aplicación como en
Internet). Y es precisamente esa inadecuada implementación la que ha dado lugar a la
brecha de seguridad acaecida en el presente caso, producida en sede de una de las
entidades adheridas, que permitía a los usuarios cliente el acceso al dato del alias con
anterioridad a la confirmación de la transferencia, aun cuando las normas de
funcionamiento clarificaban que la finalidad del servicio de validación de usuario
ordenante era simplemente el descrito en un lugar anterior de estas alegaciones y que
el acceso al mismo únicamente debía limitarse a la propia entidad.
Esta alegación, de nuevo, no puede aceptarse. La responsabilidad en el tratamiento
de datos que se realice utilizando la infraestructura de BIZUM es responsabilidad de
BIZUM y, precisamente derivado de esta responsabilidad, debe evitar que, en este
caso, las entidades adheridas, puedan realizar una implementación que no asegure
las máximas garantía en cuanto a la seguridad del tratamiento de datos. El hecho de
que sea posible una implementación por parte de las entidades adheridas que, como
afirma BIZUM, no tenga en cuenta las medidas de seguridad adecuadas al tratamiento
es, de nuevo, un indicio de que el responsable de dicho tratamiento de datos
personales no ha cumplido con su responsabilidad- calificada como proactiva por el
propio RGPD- en el tratamiento de los datos personales de los que es responsable.
De conformidad con lo previsto en la SAN de 29 de octubre de 2024, rec. 1824/2021,
el responsable del tratamiento tiene la obligación de implantar todo tipo de sistemas y
medidas de seguridad y monitoreo que verifiquen y demuestren el cumplimiento del
RGPD: “tiene la obligación de controlar el tratamiento de sus colaboradores,
implantando todo tipo de sistemas y medidas de seguridad y monitoreo que verifiquen
el cumplimiento de sus instrucciones y el cumplimiento de la normativa de protección
de datos, y en virtud del principio de responsabilidad proactiva (artículo 5.2 RGPD) ser
capaz de demostrarlo”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/39
El TJUE en sentencia de 14 de diciembre de 2023, en el asunto C-340/21 se ha
pronunciado sobre “si el principio de responsabilidad del responsable del tratamiento,
enunciado en el artículo 5, apartado 2, del RGPD y desarrollado en el artículo 24 de
este, debe interpretarse en el sentido de que, … el responsable del tratamiento
soporta la carga de la prueba del carácter apropiado de las medidas de seguridad que
ha adoptado con arreglo al artículo 32 del mencionado Reglamento”, concluyendo que
“Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD
se desprende inequívocamente que la carga de la prueba de que los datos personales
se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los
artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del
tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023,
Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU: C:2023:373,
apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones
generales del servicio de una red social), C-252/21, EU:C:2023:537, apartado 95].”
(apartado 52)
Finalmente, en relación con las alegaciones relativas a las circunstancias tenidas en
cuenta para el cálculo de la multa y a la proporcionalidad de la sanción debemos
señalar, en un primer momento, que las circunstancias del art. 83.2 a) y b) no tienen la
consideración de agravantes, sino que son las circunstancias que han de tenerse en
cuenta como punto de partida para cuantificar la sanción. Es por eso que sólo el art.
82.2 k) se refiere a
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Y a que el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD, en su
apartado 2 señale De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta(…); circunstancias esta vez sí, que
tendrán la condición de agravante o de atenuante.
En cuanto a la proporcionalidad de la multa, el artículo 83.1 RGPD establece que las
multas administrativas por las infracciones del RGPD deben ser “…en cada caso
individual efectivas, proporcionadas y disuasorias”, indicando a continuación en el
apartado 2 del citado precepto, que “Las multas administrativas se impondrán en
función de las circunstancias de cada caso individual, a título adicional o sustitutivo de
las medidas contempladas…” (el subrayado es nuestro).
Por su parte, el TJUE en la sentencia dictada en el asunto C-683-21 señala que
78 La existencia de un sistema de sanciones que permita imponer, cuando las
circunstancias específicas de cada caso lo justifiquen, una multa administrativa con
arreglo al artículo 83 del RGPD crea un incentivo para que los responsables y
encargados del tratamiento cumplan el Reglamento. Con su efecto disuasorio, las
multas administrativas contribuyen a reforzar la protección de las personas físicas en
lo que respecta al tratamiento de datos personales y constituyen, por ende, un
elemento clave para garantizar el respeto de los derechos de dichas personas, de
conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de
protección de esas personas en lo que respecta al tratamiento de los datos
personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/39
En idéntico sentido, el apartado 73 de la STJUE dictada en el caso C-807/21
Para fundamentar sus pretensiones, BIZUM recalca que sólo el ALIAS (nombre e
iniciales de los dos apellidos de los clientes) se ha visto afectado. Al respecto,
recordemos que los hechos analizados en el presente procedimiento tienen una
especial gravedad, no sólo por ser BIZUM un servicio utilizado de forma masiva- como
lo demuestran los datos de transacciones que ha aportado al expediente- sino porque
se ha producido una exfiltración de datos personales que ha sido desconocida por la
entidad durante más de un año.
Por otro lado, la SAN de 19 de noviembre de 2024, Rec. 1241/2022, siguiendo la
Jurisprudencia Constitucional sobre el derecho a la protección de datos de carácter
personal, razona que “(…) el derecho fundamental a la protección de datos
consagrado en el artículo 18.4 de la Constitución Española, a diferencia del derecho a
la intimidad del art. 18.1 CE, con quien comparte el objetivo de ofrecer una eficaz
protección constitucional de la vida privada personal y familiar, excluyendo del
conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad,
persigue garantizar a esa persona un poder de control sobre sus datos personales,
sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la
dignidad y derechos del afectado.
El derecho a la protección de datos tiene, por tanto, un objeto más amplio que el del
derecho a la intimidad ya que el derecho fundamental a la protección de datos
extiende su garantía no sólo a la intimidad en su dimensión constitucionalmente
protegida por el art. 18.1 CE, sino a la esfera de los bienes de la personalidad que
pertenecen al ámbito de la vida privada, inseparablemente unidos al respeto de la
dignidad personal, como el derecho al honor, y al pleno ejercicio de los derechos de la
persona. El derecho fundamental a la protección de datos amplía la garantía
constitucional a aquellos de esos datos que sean relevantes o tengan incidencia en el
ejercicio de cualesquiera derechos de la persona, sean o no derechos.
De este modo, el objeto del derecho fundamental a la protección de datos no se
reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal,
sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus
derechos, sean o no fundamentales -como aquellos que identifiquen o permitan la
identificación de la persona, pudiendo servir para la confección de su perfil ideológico,
racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra
utilidad que en determinadas circunstancias constituya una amenaza para el individuo-
porque su objeto no es sólo la intimidad individual, protegida ya por el art. 18.1 CE,
sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos
datos personales públicos que, por el hecho de serlo, de ser accesibles al
conocimiento de cualquiera, no escapan al poder de disposición del afectado porque
así lo garantiza su derecho a la protección de datos (…)”.
Por su parte, la Sentencia del TJUE de 19 de octubre de 2016, en el asunto C-582/14,
señala que
“41 El uso por el legislador de la Unión del término «indirectamente» muestra que,
para calificar una información de dato personal, no es necesario que dicha información
permita, por sí sola, identificar al interesado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/39
42 Además, el considerando 26 de la Directiva 95/46 enuncia que, para determinar si
una persona es identificable, hay que considerar el conjunto de los medios que
puedan ser razonablemente utilizados por el responsable del tratamiento o por
cualquier otra persona para identificar a dicha persona.
43 En la medida en que el citado considerando hace referencia a los medios que
puedan ser razonablemente utilizados tanto por el responsable del tratamiento como
por «cualquier otra persona», su tenor sugiere que, para que un dato pueda ser
calificado de «dato personal», en el sentido del artículo 2, letra a), de dicha Directiva,
no es necesario que toda la información que permita identificar al interesado deba
encontrarse en poder de una sola persona.”
Por lo tanto, ha de entenderse que las circunstancias que han sido tenidas en cuenta
al objeto de cuantificar la multa impuesta han tenido en cuenta las circunstancias
acaecidas- con una brecha de datos personales tardíamente detectada-, el número de
afectados- que superan los 20.000- y el contexto en el que BIZUM desarrolla su
negocio, con un elevadísimo número de usuarios que, potencialmente, podrían verse
afectados por la falta o inadecuación de las medidas de seguridad del tratamiento
implementadas.
En definitiva, de acuerdo con los argumentos señalados, han de rechazarse las
alegaciones planteadas.
IV
Obligación incumplida. Seguridad del tratamiento
El artículo 32 del RGPD estipula lo siguiente:
"1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/39
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros."
Así, dicho precepto obliga la adopción de medidas de seguridad, que pueden ser de
índole técnica u organizativa y que deberán ser adecuadas al riesgo del tratamiento de
datos personales realizados. A sensu contrario dicho precepto se vería vulnerado si no
se adoptasen dichas medidas que, adecuadas al riesgo y con carácter general,
garantizaran la seguridad del tratamiento.
La obligación de adoptar dichas medidas de seguridad recae en el responsable del
tratamiento, como ha declarado el Tribunal de Justicia de la Unión Europea (TJUE)
que, en sentencia de 14 de diciembre de 2023, en el asunto C-340/21 concluye que
“Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD
se desprende inequívocamente que la carga de la prueba de que los datos personales
se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los
artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del
tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023,
Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU: C:2023:373,
apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones
generales del servicio de una red social), C-252/21, EU:C:2023:537, apartado 95].”
(apartado 52)
Hay que señalar que el RGPD no establece en el citado precepto un listado de las
medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto
de tratamiento, sino que las medidas técnicas y organizativas de seguridad que se
apliquen han de ser adecuadas al riesgo que conlleve el tratamiento, teniendo en
cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance,
contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los
derechos y libertades de las personas interesadas.
Esto implica, necesariamente, un examen de cada uno de los tratamientos por parte
del responsable que, de acuerdo con el principio de responsabilidad proactiva, deberá
evaluar todos los riesgos concurrentes y determinar, por sí mismo y bajo su propia
responsabilidad, cuáles son las medidas de seguridad adecuadas al específico
tratamiento que esté realizado.
Por otro lado, el artículo 32 del RGPD se configura como una obligación de medios,
que se concreta en la obligación de diseñar los medios técnicos y organizativos
adecuados, siendo también necesaria su correcta implantación y su utilización de
forma apropiada, de modo que también responderá por la falta de la diligencia en su
utilización, entendida como una diligencia razonable atendiendo a las circunstancias
del caso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/39
La Audiencia Nacional señaló en diversas sentencias- por todas, la de13 de junio de
2002 -recurso nº. 1.517/2001 -, que la obligación que dimana de la implantación de
medidas de seguridad en lo concerniente a los datos de carácter personal se refiere a
las medidas necesarias y apropiadas, haciendo mención a su determinación e
implantación efectiva:
“no se cumple con la adopción de cualquier medida, pues deben ser las
necesarias para garantizar aquellos objetivos que marca el precepto, y por
supuesto, no basta con la aprobación formal de las medidas de seguridad, ya
que resulta exigible que aquéllas se instauren y pongan en práctica de manera
efectiva”
Por otro lado, y en relación con el alcance de las obligaciones de medios, como
precisa la STS de 15/02/2022 (rec. de casación 7359/2020)
“En las obligaciones de medios el compromiso que se adquiere es el de
adoptar los medios técnicos y organizativos, así como desplegar una actividad
diligente en su implantación y utilización que tienda a conseguir el resultado
esperado con medios que razonablemente puedan calificarse de idóneos y
suficientes para su consecución, por ello se las denomina obligaciones "de
diligencia" o "de comportamiento".
Y añade en su Fundamento tercero:
“La obligación de adoptar las medidas necesarias para garantizar la seguridad
de los datos personales no puede considerarse una obligación de resultado,
que implique que producida una filtración de datos personales a un tercero
exista responsabilidad con independencia de las medidas adoptadas y de la
actividad desplegada por el responsable del fichero o del tratamiento. En las
obligaciones de resultado existe un compromiso consistente en el cumplimiento
de un determinado objetivo, asegurando el logro o resultado propuesto, en este
caso garantizar la seguridad de los datos personales y la inexistencia de
filtraciones o quiebras de seguridad.
En las obligaciones de medios el compromiso que se adquiere es el de adoptar
los medios técnicos y organizativos, así como desplegar una actividad diligente
en su implantación y utilización que tienda a conseguir el resultado esperado
con medios que razonablemente puedan calificarse de idóneos y suficientes
para su consecución, por ello se las denomina obligaciones "de diligencia" o
"de comportamiento". La diferencia radica en la responsabilidad en uno y otro
caso, pues mientras que en la obligación de resultado se responde ante un
resultado lesivo por el fallo del sistema de seguridad, cualquiera que sea su
causa y la diligencia utilizada. En la obligación de medios basta con establecer
medidas técnicamente adecuadas e implantarlas y utilizarlas con una diligencia
razonable. En estas últimas, la suficiencia de las medidas de seguridad que el
responsable ha de establecer ha de ponerse en relación con el estado de la
tecnología en cada momento y el nivel de protección requerido en relación con
los datos personales tratados, pero no se garantiza un resultado. […] Y en el
mismo sentido se pronuncia en la actualidad el art. 31 [sic] del Reglamento de
la Unión Europea 2016/679, […] al establecer respecto a la seguridad del
tratamiento que las medidas técnicas y organizativas apropiadas lo son
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/39
«Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos
de probabilidad y gravedad variables para los derechos y libertades de las
personas físicas […]». No basta con diseñar los medios técnicos y
organizativos necesarios también es necesaria su correcta implantación y su
utilización de forma apropiada, de modo que también responderá por la falta de
la diligencia en su utilización, entendida como una diligencia razonable
atendiendo a las circunstancias del caso. Esta distinción también tiene su
reflejo tanto en el Reglamento de la Unión Europea 2016/679, […], como en la
LOPD 3/2018 de 5 de diciembre, […] al diferenciar como obligaciones e
infracciones autónomas entre la falta de adopción de aquellas medidas
técnicas y organizativas que resulten apropiadas para garantizar un nivel de
seguridad adecuado al riesgo del tratamiento (art. 73 apartados d, e y f) y la
falta de la debida diligencia en la utilización de las medidas técnicas y
organizativas implantadas (art. 73. g).” (El subrayado es nuestro).
Sentado lo anterior, según ha quedado señalado en los hechos y fue notificado por la
propia parte reclamada, en el presente caso, con fecha 21 de septiembre de 2022,
BIZUM detectó un aumento inusual de peticiones al Directorio procedentes de un
usuario legítimo de una Entidad adherida, a través del servicio de validación de
usuario ordenante de BIZUM. Dicha Entidad identificó al usuario y procedió a su
bloqueo a las 11:36 de ese día.
De acuerdo con el funcionamiento de la infraestructura de Bizum y, en concreto en lo
que respecta a su relación con las entidades adheridas, consta que la entidad afectada
(***EMPRESA.3) fue alertada por la Infraestructura Bizum a las 10:54. También es
relevante señalar, en lo que respecta al bloqueo del usuario y, por lo tanto, a la medida
que efectivamente pudo detener las peticiones de datos al Directorio que se venía
produciendo, ello se hizo por la Entidad adherida una vez fue alertada por BIZUM
puesto que Bizum no puede bloquear usuarios directamente, sino que tiene que
hacerlo cada entidad, atendiendo a sus propias políticas de seguridad y comerciales.
Ha de señalarse que este aumento de peticiones, calificado simplemente de inusual, y
tal y como consta en el expediente, habría afectado a 20.070 usuarios.
Asimismo, a pesar de que BIZUM señala que, con esa fecha- 21 de septiembre de
2022- ese aumento inusual de peticiones al Directorio fue detectado, lo cierto es que
no fue sino hasta noviembre de 2023, concretamente el día 24, cuando se tuvo
conocimiento de que en internet aparecían publicados 2.634 registros de los datos
pseudoanonimizados del número de móvil y el "alias" de determinados usuarios
registrados en Bizum.
La relación entre ambos hechos se estableció a consecuencias de la investigación
realizada a raíz de la constancia de la mencionada publicación en internet y que
permite identificar el origen de la divulgación en fecha 21 de septiembre de 2022.
Es también consecuencia de la investigación desarrollada que se puede cuantificar a
los potenciales afectados- como decimos, 20.070-, circunstancia que permitiría
alcanzar una primera conclusión, esto es que, tras producirse, no se habrían conocido
el concreto alcance del incidente producido el 21 de septiembre de 2022.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/39
Así, a pesar de que BIZUM ya consideró inusualmente alto el número de peticiones
realizadas en fecha 21 de septiembre de 2022, no fue hasta noviembre de 2023, más
de un año después, que se tuvo conocimiento de que el resultado de dichas peticiones
de información al directorio de datos personales del que es responsable fue la
exfitración de los datos a los que se tuvo acceso y la publicación de una muestra de
los datos personales obtenidos- números de teléfonos y alias (nombre e iniciales de
apellidos)- en abierto en internet.
Este hecho permitiría concluir que no existían medidas de seguimiento de las
eventuales consecuencias derivadas de un inusual número de peticiones de
información al directorio, máxime cuando el número inusual de dichas peticiones es
tan elevado, por cuanto no se tuvo conocimiento de dichas consecuencias sino hasta
un año después.
Por otro lado, BIZUM ha indicado en las actuaciones de investigación desarrolladas
por esta AEPD que las peticiones de información al Directorio se trataban (…).
Destaca, no obstante, que los hechos acaecidos se considerasen tan sólo como un
comportamiento excepcional de la actividad, teniendo en cuenta que i) afectaban a
más de 20.000 usuarios ii) que se produjeron en un corto espacio de tiempo, toda vez
que, tal y como indican el volumen anómalo de peticiones(…) fue detectado el 21 de
septiembre de 2022 a partir de las 5:47h y se recibe confirmación a las 11:36h del
bloqueo del usuario implicado iii) y que tenían carácter secuencial, tal y como BIZUM
expresamente señala; en efecto las características anteriores- volumen de peticiones
por encima del habitual y sostenido en el tiempo- cabría añadir que se trataba de
peticiones de información sobre números de teléfono secuenciales: Es preciso
mencionar, que los teléfonos objeto de la divulgación comenzaban desde el 600 000
000 y finalizaban en el 600 007 494, siguiendo un orden ascendente y con números
faltantes dentro del rango mencionado.”
Ha de indicarse también que, a pesar de que BIZUM se refiere a que es a partir de las
5:47 hrs de 21 de septiembre de 2022 que el volumen anómalo de peticiones se
detecta, cabe inferir que es en esta fecha cuando las peticiones de información, que,
además, son secuenciales como decimos, comienza. Y ello por cuanto, tal y como
informan expresamente en el marco de las actuaciones de investigación (el subrayado
es nuestro)
A las 7:41 del 21 de septiembre de 2022, los sistemas de monitorización 24x7 del
Centro de Proceso de Datos de Redsys, que presta el servicio de Infraestructura
Bizum a sus entidades bancarias, detecta un aumento del uso de peticiones al
Directorio Bizum que resultan fallidas (es decir, sin que progresen las potenciales
operaciones de transferencias de fondos). […] se trataba de un volumen ligeramente
por encima del habitual y no constante, pero que se extendía en el tiempo.
Consta también en el expediente, como información aportada por la parte reclamada
que Se trataba de un escaneo de números de teléfono partiendo del +34 600 000 000
y subiendo secuencialmente con cada petición. Se inició a las 5:47h y tuvo su origen
en las peticiones realizadas por el usuario con DNI (…) y número de teléfono asociado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/39
a Bizum (…). Una numeración no española, por lo tanto, a pesar de que sí venía
asociada a un nº de identificación español.
También señala BIZUM que (…).
Así, tanto la hora de inicio de las peticiones (5:47) como el tiempo en que las mismas
se desarrollaron, sus características (cantidad inusual, peticiones de información de
números de teléfono secuenciales, desde un número extranjero, contradiciendo la
información del Directorio ) y que no se conociera que los datos personales a los que
se tuvo acceso fueron publicados en internet, suponen indicios a tener en
consideración a la hora de determinar la inexistencia de medidas de seguridad
adecuadas que hubiesen sido adoptadas por BIZUM al objeto de poder garantizar la
seguridad de los datos personales de cuyo tratamiento es responsable.
A ello se añade que BIZUM considera que el hecho (…). Estas afirmaciones implican,
a nuestro juicio que el análisis de riesgo y, por lo tanto, las medidas de seguridad
adoptadas en aplicación del mismo parecen limitar los posibles daños o perjuicios a
los de carácter económico, y no, por ejemplo, una afectación al derecho fundamental a
la protección de los datos personales de los usuarios de BIZUM.
En lo que respecta a la vía por la que se produjeron las peticiones de información
BIZUM señala que su origen está en el uso del servicio de “validación de usuario
ordenante” de la Infraestructura Bizum por parte de una Entidad adherida a través de
su Procesador, valorándose ya, posteriormente, que podría tratarse de un potencial
uso abusivo por parte de usuarios en los canales de dicha entidad.
Siguiendo con la descripción de los hechos, dichas (…), - por parte, recordemos, de un
usuario legítimo de una entidad adherida- se están realizando desde las 5:47h y no
desencadenan transferencias de fondos, como si se estuviese haciendo un barrido de
todos los posibles números de teléfono consecutivos para preguntar por ellos en el
Directorio Bizum, indicando que, al no estar la mayoría registrados con la Entidad que
consumía el servicio, se considera una petición que no finaliza OK. (El subrayado es
de esta AEPD)
BIZUM explica el proceso en el que se enmarca las peticiones de información al
directorio en los siguientes términos
(…)
Tal y como confirma, las peticiones inusuales de información al directorio se
produjeron en el primero de los pasos señalados: (…).
Como también señala, La investigación posterior permite concretar la causa de este
uso abusivo identificado en la utilización no prevista por parte de un usuario de la
entidad adherida de un servicio de la Infraestructura Bizum (“Validación de Usuario
Ordenante”) especificado para ser empleado solo por las entidades a la hora de
verificar el estado en Bizum de sus propios clientes.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/39
Destaca, por lo tanto, que la obtención de los datos personales consistente en el
número de teléfono, nombre e iniciales de los apellidos (estos último englobados en el
concepto de alias) se produce, por parte de un usuario legítimo de Bizum, utilizando un
servicio destinado sólo a verificar por parte de las entidades adheridas a situación de
sus propios clientes- al objeto de comprobar, por lo tanto, si pueden realizar la
operación- y antes del propio inicio de la operación de transferencia de fondos.
Así, de los hechos descritos se desprende que, por parte de un usuario calificado de
legítimo, fue posible realizar peticiones de información, inusualmente altas, de
números secuenciales y sostenidas en el tiempo, haciendo uso de un servicio
destinado a ser empleado únicamente por las entidades adheridas a BIZUM y al objeto
de verificar el estado de sus propios clientes.
En este punto, debemos recordar que BIZUM ya notificó una brecha de datos
personales con fecha 4 de mayo de 2021 y que, a raíz de la misma, se implementaron
medidas adicionales (informadas en su momento a la Agencia), que consisten en:
• Monitorización en servicio de vigilancia digital de los números de teléfono origen del
uso abusivo de la “validación del usuario beneficiario” que permite el inicio de una
operación.
• Controles de generación de alarma por detección de alto volumen de inicio de
operaciones por el que cada 5 minutos se bloquean los usuarios que realizan más de
30 inicios de operación.
• Restricción del uso de operativa múltiple, esto es, del envío o solicitud de dinero a
varios usuarios.
No obstante, y según se desprenden de los hechos, dichas medidas no contemplaban
evitar que se utilizaran servicios destinados a las entidades adheridas para verificar el
estado en BIZUM de sus clientes por parte de usuarios y las alarmas por detección de
elevados volúmenes de actuaciones venían referidos sólo a inicio de operaciones, a
pesar de que ya en el paso previo, el de validación de clientes, se tiene acceso a datos
personales.
Posteriormente, y a consecuencias del incidente de septiembre de 2022- hecho que ha
de tenerse en cuenta al objeto de calificar como insuficientes las medidas adoptadas
en ese momento-, BIZUM informa de la adopción de las siguientes medidas reactivas:
• Implantación en la Infraestructura Bizum de una mejora que limita el alcance del
servicio “Validación de Usuario Ordenante”, de forma que solo devuelva el “alias” del
usuario si éste es de la entidad que realiza la consulta. Dado su posible impacto
operativo en las entidades, se ha fijado para todas ellas el 31 de marzo de 2024 como
fecha límite para adaptarse a este nuevo comportamiento.
• Comunicación de Bizum a todas sus entidades recordando el uso previsto del
servicio “Validación de Usuario Ordenante” (solo por las entidades, no accesible a los
usuarios, y solo para validar sus propios clientes), así como que en la experiencia de
usuario solo debe mostrarse el alias del beneficiario/destinatario exclusivamente en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/39
paso inmediatamente anterior, o coincidente, a la confirmación de la operación de
transferencia de fondos
Estas medidas, de haber sido adoptadas con anterioridad, habrían limitado el alcance
de los datos personales afectados- al haber venido referidos sólo a usuarios de
***EMPRESA.3- cuando no evitado en su totalidad- al tratarse los hechos analizados
de un acceso por parte de un usuario a información que estaría limitada a las
entidades adheridas y en el paso anterior a la operación de transferencia de fondos
propiamente dicha.
Como medidas adoptadas por terceros, entre ellos el proveedor de la infraestructura y
encargado de tratamiento bajo la responsabilidad de BIZUM, se informa de las
siguientes:
• Mientras tanto, Redsys, como Infraestructura Bizum, ha particularizado (a la baja) los
umbrales de alerta de la monitorización existente para el servicio de “Validación de
Usuario Ordenante”, así como habilitado un procedimiento específico de seguimiento
•Asimismo, el Procesador Cecabank ha establecido un límite inferior a 10 para el
número de consultas que puede realizar un usuario en una misma sesión desde las
apps de las entidades a las que presta servicio.
Cabe recordar que Cecabank está vinculada a la entidad ***EMPRESA.3, a la que
pertenecía el usuario con el que se realizaron las peticiones de información al
directorio BIZUM objeto de este procedimiento.
No consta que se hayan adoptado medidas dirigidas a evitar que los servicios puestos
a disposición de las entidades adheridas no puedan ser utilizados por otros usuarios, o
mecanismos para garantizar el seguimiento de incidentes vinculados con peticiones
anómalas de información al directorio del que es responsable BIZUM.
Por tanto, de conformidad, existen evidencias de que los hechos conocidos son
constitutivos de una infracción, imputable a BIZUM, por vulneración del artículo 32 del
RGPD.
V
Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de
prescripción
El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del
artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas
administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25
a 39, 42 y 43;"
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/39
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece
lo siguiente:
"En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
f) La falta de adopción de aquellas medidas técnicas y organizativas que resulten
apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento,
en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679."
VI
Sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
35/39
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa, además de la adopción de medidas.
La multa debe ser, en cada caso, individual, efectiva, proporcionada y disuasoria,
conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos
principios, se considera, con carácter previo, el volumen de negocio de BIZUM de
43.835.406 euros en el año 2022.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con las
circunstancias siguientes, contempladas en los preceptos antes citados.
• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido (artículo 83.2, letra a), del RGPD): tal y como ha quedado
señalado en los hechos probados, el incidente que provocó la publicación de
datos personales de los usuarios de bizum en foros de internet se produjo el 21
de septiembre de 2022 mientras que la detección de la publicación se produjo
más de un año después, el 24 de noviembre de 2023. Tan sólo tras la detección
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
36/39
fueron adoptadas medidas adicionales de seguridad del tratamiento de datos
personales que se estaba realizando.
• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD): El amplio decalaje de tiempo transcurrido entre que se produjo el
incidente que provocó el acceso a datos personales y la detección de su
publicación, más de un año, denota una falta de diligencia de BIZUM en cuanto a
la adopción de mecanismos de seguimiento tras hechos en los que se haya
detectado un acceso no justificado a datos personales de los que es responsable.
• La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD):
BIZUM es responsable de un elevado número de tratamientos de datos
personales- cuantifica en ***USUARIOS.2 los usuarios de BIZUM en el momento
en que se llevaron a cabo las actuaciones de investigación-, que son utilizados
para realizar operaciones de transferencias inmediatas para las que se utiliza el
directorio que es objeto del presente procedimiento.
A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a
la parte reclamada por la vulneración del artículo 32 del RGPD tipificada en el artículo
83.4.a) del RGPD de multa administrativa por un importe de 100.000,00 euros.
VII
Adopción de medidas
Al haberse confirmado las infracciones, procede imponer al responsable la adopción
de medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “d) ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado”.
En concreto, como se requiere a BIZUM para que, en el plazo máximo de seis meses,
a contar desde la fecha de ejecutividad de la resolución finalizadora de este
procedimiento,
- Acredite la adopción de las medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo del tratamiento de datos
que realiza. Estas medidas, en particular, deberán garantizar que el acceso a la
información personal necesaria para llevar a cabo la operación de transferencia
de fondos para la que se utiliza la infraestructura de BIZUM se produzca en el
momento en que sea estrictamente necesario y evitar que el acceso a dicha
información pueda ser realizado por no autorizados.
Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución sancionadora podrá ser considerado como una infracción
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
37/39
administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su
artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior
procedimiento administrativo sancionador.
VIII
Terminación del procedimiento por pago voluntario
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer
una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio se le permitía llevar a cabo el pago voluntario de la sanción propuesta. Así, la
parte reclamada ha hecho uso de la facultad contemplada en el artículo 85.2 LPACAP,
pero sin reconocimiento de responsabilidad, lo que supone la reducción de un 20% de
su importe. Con la aplicación de esta reducción, la sanción queda establecida en
80.000 euros y su pago implica la terminación del procedimiento, sin perjuicio de la
imposición de las medidas correspondientes.
Al respecto, ha de señalarse que, de acuerdo con el apartado 3 del artículo 85
LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o
renuncia de cualquier acción o recurso en vía administrativa contra la sanción.
Por otro lado, debe tenerse en cuenta que, de acuerdo con los preceptos de la
LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el pago
voluntario por el presunto responsable no exime a la Administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
38/39
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la comisión por parte de BIZUM S.L., con NIF B87599478 de
la infracción del artículo 32 del RGPD y CONFIRMAR a los efectos previstos en el
artículo 64.2 b) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, la sanción indicada en el acuerdo de inicio
del presente procedimiento sancionador por la comisión de la citada infracción:
100.000, 00 euros
Tras haber procedido la parte reclamada al pago voluntario, aunque sin
reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP,
a la reducción de un 20 % del total mencionado, lo cual supone la cantidad definitiva
de 80.000,00 euros.
SEGUNDO: DECLARAR la terminación del procedimiento por el pronto pago realizado
por BIZUM S.L., con NIF B87599478, en virtud de lo dispuesto en el artículo 85 de la
LPACAP.
TERCERO: ORDENAR a BIZUM, S.L., con NIF B87599478, que en virtud del artículo
58.2.d) del RGPD, en el plazo máximo de SEIS MESES desde que la presente
resolución sea firme y ejecutiva,
- Acredite la adopción de las medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo del tratamiento de datos
que realiza. Estas medidas, en particular, deberán garantizar que el acceso a la
información personal necesaria para llevar a cabo la operación de transferencia
de fondos para la que se utiliza la infraestructura de BIZUM se produzca en el
momento en que sea estrictamente necesario y evitar que el acceso a dicha
información pueda ser realizado por no autorizados.
CUARTO: NOTIFICAR la presente resolución a BIZUM, S.L..
QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, por parte de la presente autoridad se acepta la renuncia
expresamente manifestada por la parte reclamada, no cabiendo en consecuencia la
interposición de recurso potestativo de reposición frente a la presente resolución, todo
ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contencioso-
administrativa
En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP,
dado que no cabe ningún recurso en vía administrativa al haber renunciado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
39/39
expresamente, la presente resolución será plenamente ejecutiva a partir de la
notificación de la misma.
No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá sus-
pender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
resolución se hará pública una vez haya sido notificada a los interesados.
938-080725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es