Veri İhlalinde Sorumluluğun Kabulü ve Gönüllü Ödeme

1/31

 Expediente N.º: EXP202401683

- RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR
RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 22 de octubre de 2025, la Presidencia de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a SPRINTER
MEGACENTROS DEL DEPORTE, S.L., con CIF B53404646 (en adelante,
SPRINTER), mediante el acuerdo que se transcribe:

<<

Expediente N.º: EXP202401683

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Con fecha 31 de octubre de 2023, se notificó a esta Agencia una brecha de
datos personales de SPRINTER MEGACENTROS DEL DEPORTE, S.L. con
CIF B53404646 (en adelante, SPRINTER).

En el escrito recibido se informaba, entre otros aspectos, de lo siguiente:

- “El 27 de octubre de 2023, el Datacenter de Sprinter reveló una incidencia: una
intrusión por el ***PROGRAMA.1. Este grupo encriptó máquinas críticas,
dejando una nota de rescate. Ante esto, Sprinter activó su protocolo de
respuesta, (…).
(…). El día 28 de octubre, los analistas forenses confirmaron que había indicios
de filtración de datos por parte del atacante. (…). Expandiremos la información
sobre el incidente conforme se avance en la investigación.”

- Número aproximado de afectados: 6.200.000

- El tratamiento sobre el que se ha producido la brecha incluye datos de
personas: en más de un Estado miembro.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/31

- El incidente ha sido intencionado, para hacer daño al responsable/encargado o
a las personas afectadas.

- El origen del incidente ha sido: externo. Otros, ajenos al
responsable/encargado o a las personas afectadas.

- ¿Qué puede haber ocurrido? Ciberincidente: Dispositivo cifrado / secuestro de
información, Ciberincidente: Suplantación de identidad (phishing) / Compromiso
de cuenta de usuario o administrador, Ciberincidente: Acceso no autorizado a
datos en sistema de información (corporativo o servicio en internet).

- Como consecuencia del incidente, se ha visto afectada la: confidencialidad,
disponibilidad

- Referido específicamente a los datos por la brecha de confidencialidad. ¿Están
los datos cifrados de forma segura, anonimizados o protegidos de forma que
son ininteligibles para quien haya podido tener acceso o no se puede identificar
a las personas? No. ¿Se ha recuperado la disponibilidad de los datos
personales de forma que pueden ser tratados con normalidad? Todavía no,
pero se recuperará en breve.

- ¿Qué puede haber ocurrido? Ser víctima de campañas de phishing/spamming.
Pérdida de control sobre sus datos personales. Otras consecuencias.

- ¿En qué grado podrían afectar las consecuencias identificadas a las personas
físicas? Aún desconocido.

- Tipos de datos afectados: datos básicos (ej: nombre, apellidos, fecha de
nacimiento), imagen (Fotos o vídeos), DNI, NIE, pasaporte y/o cualquier otro
documento identificativo; datos económicos o financieros (sin medios de pago)
y datos de contacto.

- Las personas afectadas tienen los siguientes perfiles: clientes/ciudadanos,
usuarios y empleados.

- ¿Hay personas afectadas por la brecha en otros estados miembros de la UE?
Sí. Estados afectados: Francia (9.000), Italia (4.000), Países Bajos (550.000),
Portugal (800.000).

- Información temporal de la brecha indique la fecha de detección de la brecha,
entendida como la fecha en la que el responsable tiene la certeza de que se
han visto afectados datos personales: 28 de octubre de 2023.

- ¿Conoce la fecha en la que se inició la brecha? La fecha exacta.

- Indique la fecha de inicio de la brecha: 24 de octubre de 2023.

- La brecha se ha detectado mediante: medios de detección implementados
proactivamente por el responsable o encargado de tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/31

- Marque las medidas de seguridad implementadas en la organización antes del
suceso de la brecha: (…).

- ¿Se podría haber evitado la brecha adoptando alguna medida de seguridad
adicional? Sí. ¿Se ha producido el incidente por algún fallo deficiencia o
incumplimiento de medidas de seguridad implementadas? Sí.

- ¿Ha actualizado su registro de incidentes con la información de esta brecha de
datos personales? Sí. ¿Ha adoptado tras el incidente nuevas medidas de
seguridad que podrían haber evitado la brecha? Sí. ¿Ha adaptado/mejorado
sus procedimientos y políticas de seguridad? Sí. Marque exclusivamente las
nuevas medidas de seguridad y las que se hayan actualizado: (…).

- ¿Se ha comunicado la brecha a las personas afectadas en las condiciones
anteriormente descritas? Pendiente de decidir

Con fecha 30 de noviembre de 2023, esta Agencia recibió un segundo escrito de
SPRINTER con la intención de “Modificar una notificación hecha con anterioridad para
proporcionar información relevante”.

En el escrito recibido se proporcionaba información idéntica a la del escrito de fecha
31 de octubre de 2023, a excepción de:

- “ (…). Se aporta informe del DPD analizando las diferentes acciones realizadas
desde el inicio del incidente hasta la resolución del mismo. La brecha ha sido
comunicada a los afectados conforme al art. 34 del RGPD.”

- Número aproximado de afectados: 6.381.913

- ¿Qué puede haber ocurrido? Ciberincidente: dispositivo cifrado / secuestro de
información. Ciberincidente: acceso no autorizado a datos en sistema de
información (corporativo o servicio en internet).

- ¿Qué puede haber ocurrido? Usurpación de identidad. Ser víctima de
campañas de phishing/spamming. Pérdida de control sobre sus datos
personales. Otras consecuencias.

- ¿En qué grado podrían afectar las consecuencias identificadas a las personas
físicas? Las personas pueden encontrar inconvenientes importantes,
produciendo un daño limitado, que podrán superar a pesar de algunas
dificultades (costos adicionales, denegación de acceso a servicios comerciales,
miedo, falta de comprensión, estrés, dolencias físicas menores, etc).

- Tipos de datos afectados: datos básicos (ej: nombre, apellidos y fecha de
nacimiento), imagen (Fotos o vídeos), DNI, NIE, pasaporte y / o cualquier otro
documento identificativo, datos económicos o financieros (sin medios de pago),
datos de contacto, de salud (exclusivamente de empleados, los imprescindibles
para la relación laboral).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/31

- Las personas afectadas tienen los siguientes perfiles: clientes/ciudadanos,
usuarios, empleados, otros.

- ¿Hay personas afectadas por la brecha en otros estados miembros de la UE?
Sí. Estados afectados: Francia (10.351), Italia (4.718), Países Bajos
(1.167.068)), Portugal (497.203).

- ¿Se ha producido el incidente por algún fallo deficiencia o incumplimiento de
medidas de seguridad implementadas? No.

- ¿Se ha comunicado la brecha a las personas afectadas en las condiciones
anteriormente descritas? Sí.

- Fecha en la que se informó: 27 de noviembre de 2023.

- Número de personas informadas: 6.381.913

- Medio por el que se ha informado: comunicación digital personalmente a cada
afectado (postal, email, sms o similar) con garantía de entrega y lectura.

SEGUNDO: El 30 de noviembre se recibieron en la AEPD cuatro reclamaciones
presentadas por afectados de la brecha de datos personales notificada por
SPRINTER.

El 1 de diciembre de 2023 uno de los reclamantes presentó un escrito por el que
ampliaba la información contenida en su reclamación inicial.

Asimismo, el 16 de diciembre de 2023 se recibió ante esta Agencia una nueva
reclamación.

En las reclamaciones se indica que el 28 de noviembre de 2023 se ha recibido una
comunicación por parte de SPRINTER (desde [email protected]) por la
que se les informa de la brecha de datos personales acaecida, de la que serían
afectados. El contenido de la comunicación es el siguiente:

“Estimado cliente/a,

Nos gustaría informarte de que hemos sufrido un incidente de ciberseguridad, y nos
gustaría disculparnos por cualquier inconveniente que hayas experimentado.
Hemos realizado una exhaustiva investigación con especialistas en ciberseguridad
para entender los hechos, contener el incidente y proteger los sistemas.

¿Qué información se ha visto expuesta?
La investigación, que continúa en curso, muestra que entre la información
comprometida se han visto afectados sistemas que incluyen datos de cuentas y
pedidos de clientes, a los que puede haber accedido un tercero no autorizado.
Según lo investigado hasta la fecha, sólo podemos tener una orientación sobre el tipo
de pedidos e información que puede estar comprometida. Esta es la información que
puede estar comprometida, que puede afectarte total o parcialmente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/31

- Número de cliente, nombre completo, dirección de envío y/o facturación, email,
teléfono, DNI/NIF, fecha de nacimiento.

Por favor, ten en cuenta que no almacenamos la numeración de tu tarjeta bancaria ni
la contraseña de tu cuenta.

Para nosotros, la seguridad de tus datos es una prioridad y por ello seguimos
monitorizando la situación. Sentimos enormemente lo ocurrido.

¿Qué puedes hacer para protegerte?
Ya hemos reportado este hecho a la policía y a las autoridades competentes.
Como medida de precaución, te recomendamos que sigas atento y atenta a los
intentos de fraude y ante cualquier correo electrónico, llamada o mensaje de texto
sospechoso. Evita también hacer clic en enlaces en correos electrónicos o mensajes
de texto sospechosos.
También te recomendamos cambiar periódicamente tu contraseña en
Sprintersports.com.
Aunque no conservemos toda tu información de pago en nuestros sistemas, te
recomendamos prestar atención a cualquier movimiento sospechoso en tus cuentas, y
lo comuniques a tu entidad bancaria si detectas cualquier actividad sospechosa.

¿A quien puedo contactar si quiero más información’
Por favor, no respondas a este email. Si quieres más información sobre lo sucedido,
por favor escríbenos a [email protected]”

TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos
digitales (en adelante LOPDGDD), el 1 de febrero de 2024 se dio traslado de
dichas reclamaciones a SPRINTER, para que procediese a su análisis e
informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo
para adecuarse a los requisitos previstos en la normativa de protección de datos.

Este traslado, que se notificó a SPRINTER conforme a las normas establecidas
LPACAP, fue recogido en fecha 1 de febrero de 2024, como consta en el acuse de
recibo que obra en el expediente.

En fecha 1 de marzo de 2024, esta Agencia recibió escrito de respuesta de SPRINTER
en el que manifestaba, en síntesis, lo siguiente:

Cronología de los hechos:

- El 27 octubre de 2023 el equipo de informática de SPRINTER identificó que
varios servicios de su Datacenter habían perdido conectividad. Tras una
investigación preliminar, se estableció que un tercero no autorizado
(***PROGRAMA.1), había accedido a la red y encriptado o apagado varias
máquinas virtuales (…). Tras esta detección se aplicaron las siguientes
medidas inmediatas de contención:

o (…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/31

Una vez contenido el incidente, (…).

Una vez identificado el incidente, SPRINTER afirma que se llevaron a cabo las
siguientes acciones para minimizar el impacto:

o (…).

- El 28 de octubre de 2023 los analistas forenses confirmaron que había indicios
de filtración de datos. También se confirmó que (…), y que el primer acceso no
autorizado por parte del atacante tuvo lugar el día 24 de octubre entre las 15:00
y las 15:10 horas.

- El 30 de octubre de 2023 SPRINTER recibió una prueba de vida en la que se
determinaba que existía exfiltración de datos que afectaba tanto a clientes
como empleados. Se desconocía el alcance real.

- El 31 de octubre de 2023 se presentó denuncia (se adjunta), en ella se
afirmaba que el cifrado tuvo lugar la madrugada del 27 de octubre de 2023.

- El 13 de noviembre de 2023, se identifica una serie de datos que
potencialmente podrían haberse visto afectados en relación con clientes,
empleados y exempleados de la compañía, gracias a pruebas de vida que
enviaban los atacantes con objetivo de extorsionar a SPRINTER. Del estudio
de las referidas pruebas de vida se identificaron como categorías de datos
afectadas las siguientes:

o Clientes: nombre, apellidos, DNI/NIF (datos identificativos). Domicilio,
teléfono, dirección de correo electrónico (datos de contacto). Fecha de
nacimiento (características personales).

o Empleados y exempleados: nombre, apellidos y DNI/Pasaporte o
cualquier documento identificativo (datos identificativos). Fecha de
nacimiento, estado civil (características personales). Domicilio, teléfono,
dirección de correo electrónico (datos de contacto). Foto. Datos
relativos al grado de discapacidad (datos de salud). Nóminas, número
de cuenta (datos económicos).

- Tras identificar la posible información afectada, se empieza a trabajar en la
comunicación a los afectados por la brecha, determinado un número total de
posibles afectados de 6.381.913 los cuales se desglosan de la siguiente forma:

o Empleados: 8.831

o Exempleados: 21.782

o Clientes: 6.351.300. España (4.671.960), Francia (10.351), Holanda
(1.167.068), Italia (4.718) y Portugal (497.203).

Comunicación a los afectados:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/31

SPRINTER afirma que las comunicaciones a los afectados (clientes, empleados y
exempleados) se iniciaron tras tener evidencia de la información que había sido
afectada, por las pruebas de vida aportadas por los atacantes, llevándose a cabo
estas comunicaciones entre el 27 y 28 de noviembre de 2023. Se proporcionan en
adjunto los comunicados remitidos.

Impacto del incidente y sus consecuencias para las personas afectadas:

- “El incidente ha afectado a la disponibilidad y confidencialidad de los datos
personales de clientes empleados y exempleados, en tanto que existen
evidencias constatadas de encriptación de los datos personales y publicación
de los mismos en la darkweb”

- “SPRINTER, junto con todas las partes implicadas en la resolución del
incidente, han trabajado desde el primer momento con objetivo de minimizar
las posibles consecuencias para los afectados, en especial, las consecuencias
que pudieran darse para los empleados cuyo riesgo es mayor al tener
registrados una mayor cantidad de datos personales que pueda derivar en
consecuencias graves de suplantación de identidad o daños económicos. Así
pues, en la notificación final realizada a la AEPD se identificaba como posibles
consecuencias las siguientes: Usurpación de identidad. Ser víctima de
campañas de phishing / spamming. Pérdida de control sobre sus datos
personales. Transcurrido el tiempo, se han recibido avisos de clientes y
empleados de SPRINTER que han visto materializarse dichas consecuencias,
en cuanto que han recibido tanto emails como SMS susceptibles de ser objeto
de campañas de phishing”.

Medidas de seguridad adoptadas con anterioridad al incidente:

SPRINTER afirma que lleva desde el año 2018 un proceso de mejora continua de su
sistema de gestión de seguridad de la información, consistente en:

- (…)

Medidas de seguridad adoptadas tras el incidente:

SPRINTER afirma que “En el informe forense elaborado por ***SERVICIO.1 se
enumeran las medidas que se tienen que llevar a cabo tras la resolución del incidente.
Dichas medidas se han implementado progresivamente desde el mismo. Se aporta
DOCUMENTO Nº9 en el que se detallan todas aquellas medidas, las cuáles se
encuentran ya implementadas. El resto de las medidas a implementar, están en
proceso de desarrollo en la organización, a través de un plan de acción de mejora
continua de la seguridad de la información en la entidad. Entre las medidas
implementadas destacan, en relación con el incidente:

- (…)

Junto al escrito aportó, entre otra, la siguiente documentación:

- Doc. 2 “Denuncia Policía”. Copia de la denuncia presentada el 31 de octubre
de 2023 ante la Policía Nacional (número de Atestado: ***REFERENCIA.1) por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/31

SPRINTER por los mismos hechos objeto del presente procedimiento
sancionador.

- Doc. 4 “Informe ***SERVICIO.1”. Copia del informe forense realizado el 15 de
noviembre de 2023 por el equipo ***SERVICIO.1 de ***EMPRESA.1 en el que
se recogen las siguientes afirmaciones relevantes:

o “(…)”.

- Doc. 7 “Gestión empleados” y Doc. 8 “Gestión clientes”. Copia de los
Registros de Actividades de Tratamiento para las actividades “Gestión de
Empleados” y “Gestión de Clientes”. Se adjuntan dos documentos Excel,
sin fecha ni firma, que contienen distintos apartados que incluyen: una
descripción inicial de la actividad de tratamiento, información sobre el ciclo
de vida del tratamiento, justificación de NO realizar EIPD y evaluación de
los riesgos.

Para las amenazas identificadas se listan los siguientes controles (algunos
de ellos aparecen entre las medidas de mejora recomendada por los
analistas forenses tras la brecha por lo que no se puede determinar si
fueron incluidos en el fichero antes o después del incidente):

o (…)

- Doc. 9 “Medidas de seguridad”. Se adjunta un documento Excel con las
medidas de seguridad ya implementadas, las que estaban en proceso y las
que no.

CUARTO: Con fecha 29 de febrero de 2024, de conformidad con el artículo 65 de la
LOPDGDD, se admitieron a trámite las reclamaciones mencionadas con
anterioridad.

QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y
de conformidad con lo establecido en el Título VIII, de la LOPDGDD.

Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:

1) En fecha 17 de junio de 2024, se recibió en esta Agencia escrito de respuesta de
SPRINTER al requerimiento de información de esta Agencia, del que se extrae la
siguiente información relevante:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/31

- En relación con los procedimientos implantadas para la gestión de brechas,
se aporta documento con el procedimiento para la respuesta ante
incidentes en la entidad, actualizado en fecha del 17 de enero de 2024, así
como el documento con el procedimiento de gestión de brechas de
seguridad aprobado por la entidad en marzo de 2024.

- Sobre las soluciones implantadas en la organización para la monitorización
y detección del incidente, afirman que de forma previa a la brecha (medida
preventiva), existía una solución implantada (Documento nº4) que incluía
“(…)”.

- Sobre el motivo por el cual no se atendió la alerta del ***SISTEMA.1
registrada tras acciones de los atacantes según se especifica en el propio
análisis forense (…), se proporciona la siguiente afirmación:

“(…).

- Sobre la forma en que los atacantes obtuvieron las credenciales de acceso
que originaron el incidente, afirman que no se encontraron evidencias de su
compromiso:

“(…)”.

- Sobre las medidas preventivas para garantizar la seguridad de los accesos
por parte de los empleados a los escritorios virtuales VDI, afirma:

“(…)”. Se aportan capturas de pantallas en las que puede verse:

 Una imagen con información (…)”

 Una imagen de (…).

 Una imagen de un panel que en la pestaña (…).

- Sobre las modificaciones realizadas tras el incidente en la política de
Backup, afirma:

“(…).

Asimismo, de acuerdo con el documento SPRINTER contaba durante el incidente con
copias de seguridad de los servidores mediante un sistema de “ ***SISTEMA.2”

- Sobre los tipos de datos personales que finalmente fueron afectados, en
concreto, sobre los datos de salud, SPRINTER afirma:

“Se ha confirmado por las investigaciones realizadas tras el incidente que
los datos contenidos en los servidores afectados por la brecha son los
siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/31

o Datos personales de clientes: Nombre, apellidos, número de
DNI/NIF. Domicilio, teléfono, dirección de correo electrónico. Fecha
de nacimiento.
o Datos personales de empleados: Nombre y apellidos. Copia de
DNI/Pasaporte o cualquier documento identificativo. Fecha de
nacimiento, estado civil. Domicilio, teléfono, dirección de correo
electrónico. Foto. Datos relativos al grado de discapacidad (En
algunos casos podría existir documentos de la Seguridad Social
acreditativos del motivo de la discapacidad). Nóminas, número de
cuenta.

No obstante, no se ha obtenido evidencia de cuáles exactamente han sido
exfiltrados. Se conoce que, dentro de los sistemas afectados, había esta
relación de datos personales, pero no se pudo determinar con exactitud la
confirmación de que tipos de datos han sido exfiltrados, entre dicho
conjunto de información. Por este motivo, la entidad, poniéndose en el
escenario de mayor riesgo decide notificar a la Autoridad de control la
totalidad de los datos alojados en los sistemas de información afectados”

- Sobre el número final de personas afectadas que fueron comunicadas,
SPRINTER afirma:

“Se remitieron los siguientes correos electrónicos entre el 27 de noviembre
de 2023 y el 28 de noviembre de 2023 a todos los afectados (clientes,
empleados y exempleados de SPRINTER):

o A empleados y exempleados: 30.613 correos electrónicos enviados.
o A clientes: 6.351.300 correos electrónicos enviados. España
(4.671.960), Francia (10.351), Holanda (1.167.068), Italia (4.718) y
Portugal (497.203).

- Sobre las actividades realizadas en SPRINTER para fomentar la formación
y concienciación a los empleados en materia de seguridad y protección de
datos, afirman que se han impartido formaciones en seguridad y protección
de datos a 581 empleados de la entidad en 2021 y a 45 empleados en 2022
(Documento nº9).

Asimismo, afirma que en continuidad con el plan formativo de SPRINTER,
se ha impartido un curso de formación en materia de protección de datos a
los interlocutores de los departamentos de la entidad en fecha del 25 de
enero de 2024.

- Sobre las medidas de seguridad listadas en la respuesta al traslado que se
encontraban implantadas antes del incidente y cuáles de ellas se
desplegaron con posterioridad al incidente para mejorar la seguridad de la
organización, aportan nuevo documento formato EXCEL (Documento nº 10)
con dos pestañas: “Estado antes del incidente” y “Estado actual y
previsión”, destacando el siguiente contenido:

(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/31

Destaca el siguiente listado de medidas con indicación del estado
actual de implantación de algunas de las medidas reactivas (“Estado
Actual y Previsión”):

(…)

- Sobre implantación del doble factor de autenticación (2FA) como medida
reactiva, SPRINTER afirma:

“(…)”.

Resto de documentación adjunta al escrito:

- Doc. 1. Copia del documento “Procedimiento para la respuesta ante
incidentes”, actualizado a 17 de enero de 2024.

- Doc. 2. Copia de del documento “Procedimiento de gestión de brechas de
seguridad en tratamiento de datos de carácter personal”, aprobado, según
indica SPRINTER, en marzo de 2024.

- Doc. 3. Copia de la oferta de servicios del equipo del ***SERVICIO.1 de
***EMPRESA.1 suscrita el 20 de mayo de 2022 por SPRINTER e
***EMPRESA.2 (…) en referencia al servicio de ***SERVICIO.1 que se
contrató para el soporte en la detección y respuesta ante incidentes de
seguridad.

SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR en fecha 16
de junio de 2025, la entidad SPRINTER es una empresa filial de grupo
constituida en el año 1999, con un volumen de ventas de 662.218.431 euros en
el año 2024 y 4.895 empleados.

SÉPTIMO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo
Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo
y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer
la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados
miembros y el intercambio de información, se transmitió la citada cuestión el día 16 de
julio de 2025. El traslado de esta cuestión a los Estados Miembros se realizó de
conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de
las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la
Libre Circulación de estos Datos (en lo sucesivo, RGPD); teniendo en cuenta su
carácter transfronterizo y que esta Agencia es competente para actuar como autoridad
de control principal, dado que SPRINTER tiene su establecimiento principal en
España. El plazo de tramitación de las actuaciones quedó suspendido
automáticamente.

Los tratamientos de datos que se llevan a cabo afectan a interesados en varios
Estados miembros. Según las informaciones incorporadas al Sistema IMI, de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/31

conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de
“autoridad de control interesada”, las autoridades de Países Bajos, Suecia y Francia.
Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen
en el territorio de estas autoridades de control se ven sustancialmente afectados o es
probable que se vean sustancialmente afectados por el tratamiento objeto del presente
procedimiento.

OCTAVO: Con fecha 13 de agosto de 2025, la Presidencia de la AEAP adoptó un
proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso
establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del
sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que
tenían cuatro semanas desde ese momento para formular objeciones pertinentes y
motivadas. El plazo de tramitación de las actuaciones quedó suspendido
automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el
artículo 64 de la LOPDGDD.

Dentro del plazo otorgado a tal efecto, la autoridad de control de Francia presentó sus
objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del
RGPD —y las cuales han sido acogidas— en el sentido de que consideraba que
también existía una infracción del artículo 34 del RGPD respecto al plazo y contenido
de la comunicación de brecha a los afectados y de que se aclarase si el volumen de
negocio empleado para determinar la multa correspondía a SPRINTER o al grupo JD
SPORTS.

NOVENO: Con fecha 2 de octubre de 2025, la Presidencia de la AEAP adoptó un
proyecto revisado de acuerdo de inicio de procedimiento sancionador. Siguiendo el
proceso establecido en el artículo 60 del RGPD, al día siguiente se transmitió a través
del sistema IMI el citado proyecto revisado y se les hizo saber a las autoridades
interesadas que tenían dos semanas desde ese momento para formular objeciones
pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido
automáticamente durante estas dos semanas, de acuerdo con lo dispuesto en el
artículo 64 de la LOPDGDD.

Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron
objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las
autoridades están de acuerdo con dicho proyecto revisado y están vinculadas por éste,
de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/31

iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

II
Procedimiento

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.

De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de la presunta infracción cometida, se inicia un procedimiento
sancionador.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).

III
Cuestiones previas

El artículo 4.1 del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

El artículo 4.7 del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/31

responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como: “la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.”

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que SPRINTER
realiza, entre otros tratamientos, la recogida y conservación de datos personales de
personas físicas (clientes, empleados y exempleados): datos identificativos y de
contacto (nombre, apellidos, DNI/pasaporte, domicilio, teléfono, dirección de correo
electrónico, fecha de nacimiento), imagen, datos de salud (datos relativos al grado de
discapacidad) y datos económicos.

SPRINTER realiza esta actividad en su condición de responsable del tratamiento,
dado que es quien determina los fines y medios de tal actividad, en virtud del artículo
4.7 del RGPD.

Además, se trata de un tratamiento transfronterizo, dado que SPRINTER está
establecida en España, si bien presta servicio a otros países de la Unión Europea.

El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos,
previstos en su artículo 4.23), en relación con la competencia de la autoridad de
control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de
control del establecimiento principal o del único establecimiento del responsable o del
encargado del tratamiento será competente para actuar como autoridad de control
principal para el tratamiento transfronterizo realizado por parte de dicho responsable o
encargado con arreglo al procedimiento establecido en el artículo 60. En el caso
examinado, como se ha expuesto, SPRINTER tiene su establecimiento principal en
España, por lo que la Agencia Española de Protección de Datos es la competente para
actuar como autoridad de control principal.

IV
Obligación incumplida. Integridad y confidencialidad

La letra f) del artículo 5.1 del RGPD propugna:

"1. Los datos personales serán:

(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»)."

El principio de integridad y confidencialidad recogido en el citado artículo 5.1 f) del
RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales
sean tratados de forma que se garantice la confidencialidad de los datos personales,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/31

evitando accesos no autorizados, usos indebidos o divulgación a terceros no
autorizados. Ello exige implementar medidas técnicas y organizativas apropiadas de
todo tipo para proteger los datos frente a posibles brechas de datos personales, tanto
externas como internas. Dichas medidas deben ser adecuadas para evitar que se
materialicen los riesgos en los derechos y libertades de las personas físicas que
puedan derivarse del tratamiento, y deben ser revisadas y actualizadas
periódicamente para garantizar su eficacia.

En el presente caso, el 31 de octubre y 30 de noviembre de 2023 SPRINTER notificó
ante esta Agencia una brecha de datos personales que tuvo inicio el 24 de octubre de
2023 y fue detectada el 27 de octubre de 2023 por su equipo informático tras
identificar varios servicios sin conectividad. SPRINTER señaló que la brecha afectaba
tanto a la confidencialidad como a la disponibilidad de datos identificativos, de
contacto, económicos o financieros, de salud (exclusivamente de empleados y
exempleados) e imagen; pertenecientes a millones de clientes, usuarios, empleados y
otros, en distintos países de la Unión Europea: España, Francia, Italia, Países Bajos y
Portugal.

De acuerdo con el informe de análisis de la brecha realizado por el equipo
***SERVICIO.1 de ***EMPRESA.1 el 15 de noviembre de 2023, y que aportó
SPRINTER como Documento nº4 en su escrito de respuesta al traslado, el vector de
entrada fue (…). El primer acceso ilegítimo (…) fue el 24 de octubre de 2023.

Una vez dentro del sistema, durante los días 24 a 27 de octubre de 2023, el atacante
(…) y procedió (i) al exfiltrado de un total de (...) de datos comprimidos y (ii) al
despliegue del ***PROGRAMA.1 que cifró los propios discos virtuales de los sistemas
arrancados el 27 de octubre de 2023.

SPRINTER manifestó en su escrito de respuesta al requerimiento de información de
17 de junio de 2024, desconocer cómo (…).”

Asimismo, SPRINTER —en escrito de respuesta al traslado de 1 de marzo de 2024 y
en escrito de respuesta al requerimiento de información de 17 de junio de 2024—
reconoció la exfiltración de datos y, por tanto, la afectación a la confidencialidad de
estos. El volumen de afectados ascendía a 6.381.913 personas, siendo informadas vía
email en fechas comprendidas entre el 27 y 28 de noviembre de 2023. Se desglosan
de la siguiente manera:

- Clientes: 6.351.300 (España: 4.671.960, Francia: 10.351, Países Bajos:
1.167.068, Italia: 4.718 y Portugal: 497.203).

- Empleados: 8.831

- Exempleados: 21.782

Y, con la siguiente tipología de datos afectados por la exfiltración:

- Para clientes: datos identificativos y de contacto (nombre y apellidos,
DNI/NIF, domicilio, teléfono, dirección de correo electrónico y fecha de
nacimiento).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/31

- Para empleados y exempleados: datos identificativos y de contacto
(nombre y apellidos, DNI/Pasaporte o documento identificativo, fecha de
nacimiento, estado civil, domicilio, teléfono, dirección de correo electrónico),
imagen, datos de salud (datos relativos al grado de discapacidad) y datos
económicos o financieros (nóminas y número de cuenta).

En cuanto a la afectación de la disponibilidad de los datos, existen contradicciones en
las manifestaciones realizadas por SPRINTER ya que, en un primer momento, en las
notificaciones de brecha de octubre y noviembre de 2023, la entidad afirmó que la
disponibilidad de los datos también estaba afectada y que todavía no había podido
recuperarla. Sin embargo, en escrito de respuesta al requerimiento de información de
17 de junio de 2024, SPRINTER señaló que “finalmente no afectó a la disponibilidad
de los datos personales de los afectados debido a la redundancia de datos y el
mantenimiento de bases de datos que impidieron la indisponibilidad”. Acredita estas
afirmaciones mediante documentación que pondría de manifiesto la existencia de
copias de seguridad en otros servidores distintos a los encriptados que habrían evitado
la pérdida de disponibilidad de los datos personales.

En cualquier caso, es indubitada la existencia de una brecha de datos personales que
afectó a la confidencialidad de los mismos.

Llegados a este punto, esta Agencia desea señalar que la documentación obrante en
el expediente administrativo pone de manifiesto que las medidas técnicas y
organizativas existentes en el momento de la brecha de datos no eran adecuadas para
el posible riesgo de que un incidente como el que es objeto del presente procedimiento
tuviera lugar, lo cual permitió la vulneración de la confidencialidad de los datos
personales objeto de tratamiento por parte de SPRINTER. La propia entidad en el
formulario de la primera notificación de brecha de 31 de octubre de 2023 a las
preguntas “¿Se podría haber evitado la brecha adoptando alguna medida de
seguridad adicional?” y “¿Se ha producido el incidente por algún fallo deficiencia o
incumplimiento de medidas de seguridad implementadas?”, señaló que “Sí”;
reconociendo así la inadecuación de sus medidas. Si bien, en el segundo escrito de 30
de noviembre de 2023, se contradijo.

Del informe forense de 15 de noviembre de 2023 realizado por el servicio
***SERVICIO.1 de ***EMPRESA.1 también se desprende que las medidas técnicas y
organizativas de SPRINTER no eran suficientes para garantizar un adecuado nivel de
seguridad de los datos personales, toda vez que en el informe se recomienda un
listado de medidas a fin de evitar que se vuelva a producir una brecha de datos
personales con características similares y que SPRINTER mejore, con carácter
general, sus estándares de seguridad. En este sentido, la entidad afirmó que muchas
de esas recomendaciones ya se habían implantado o que estaban en proceso de
implantación, tal y como clasifica en el Documento nº10 adjunto a su escrito de
respuesta al requerimiento de información de 17 de junio de 2024.

Entre las insuficiencias relacionadas con el origen de la brecha, se encuentra que
SPRINTER (…).

La propia entidad reconoció que la medida referente (…)”. Y, en escrito de respuesta
al requerimiento de información de 17 de junio de 2024, añadió que (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/31

Al respecto, esta Agencia desea indicar que (…).

Además, cabe señalar que, una vez dentro del sistema, los atacantes aprovecharon
otras carencias para desplegar el ***PROGRAMA.1. Tal y como se recoge en el
informe forense realizado por el servicio ***SERVICIO.1 de ***EMPRESA.1, los
atacantes (…). Ello evidenciaría una deficiencia significativa en las medidas aplicadas
por la organización antes del incidente que facilitó la materialización de la brecha. La
rapidez con la que los atacantes consiguieron realizar sus desplazamientos muestra
vulnerabilidades en la infraestructura más allá de (…).

En este sentido, conviene resaltar, que SPRINTER ha implementado con posterioridad
al incidente una serie de medidas reactivas, de acuerdo con las manifestaciones de su
escrito de respuesta al traslado de 1 de marzo de 2024. Destacan:

- (…).

Todo lo expuesto demuestra, como se ha indicado anteriormente, que las medidas
técnicas y organizativas con las que contaba SPRINTER antes del incidente en
cuestión no eran las apropiadas para garantizar un nivel de seguridad adecuado al
riesgo respecto de los datos personales que trataba de sus clientes, empleados y
exempleados.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de
la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una
infracción, imputable a SPRINTER, por vulneración del artículo 5.1.f) del RGPD.

V
Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos
de prescripción

De confirmarse, la citada infracción del artículo 5.1.f) del RGPD podría suponer la
comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo
la rúbrica “Condiciones generales para la imposición de multas administrativas”
dispone:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/31

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679; (…)”

VI
Propuesta de sanción por la infracción del artículo 5.1.f) del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/31

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado”.

Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las
multas bajo el RGPD, que la cuantía de la multa debe tener como punto de partida,
tres elementos: el volumen de negocios, la categorización de la infracción según su
propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y
el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo
83.2 a), b) y g)). En cualquier caso, la multa a imponer debe ser, en cada caso
individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el
artículo 83.1 del RGPD.

En este sentido, se considera, con carácter previo, el volumen de negocio de
SPRINTER de 662.218.431 euros.

Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.5 del RGPD, la sanción que se imponga podrá ser de 20.000.000 de euros como
máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/31

del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen
de negocio de SPRINTER es de 26.488.737 euros.

Conforme a lo anterior, la sanción que se imponga habrá de estar forzosamente entre
los 0 y 26.488.737 de euros.

Asimismo, en relación con el nivel de gravedad en los términos del RGPD, sin perjuicio
de lo que resulte de la instrucción, se estima que concurren las circunstancias
siguientes:

La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(artículo 83.2, letra a), del RGPD): los hechos conocidos inciden directamente en el
control que los afectados tienen sobre sus datos personales. Asimismo, excede las
expectativas razonables que los interesados puede prever sobre el tratamiento de sus
datos personales. Así, los afectados confían en la entidad para el manejo seguro de su
información personal, habiéndose erosionado la confianza y expectativas razonables
de los afectados respecto al tratamiento de sus datos personales.

Por otra parte, los hechos conocidos ponen de manifiesto una ausencia de medidas
técnicas y organizativas de todo tipo que ha redundado en una brecha con un número
muy considerable de afectados, en concreto:

o Clientes: 6.351.300 (España: 4.671.960, Francia: 10.351, Países
Bajos: 1.167.068, Italia: 4.718 y Portugal: 497.203).

o Empleados: 8.831

o Exempleados: 21.782

Asimismo, debe subrayarse el elevado número de datos personales por cada afectado
que se vieron comprometidos. Conviene señalar que la vulneración del principio de
confidencialidad en el presente caso involucra un conjunto de datos personales cuya
naturaleza amplifica las implicaciones de la brecha de datos personales. Ello se
desprende en la circunstancia de que se hayan visto afectados un elevado número de
datos personales. En concreto:

o Para clientes: datos identificativos y de contacto (nombre y
apellidos, DNI/NIF, domicilio, teléfono, dirección de correo
electrónico y fecha de nacimiento).

o Para empleados y exempleados: datos identificativos y de contacto
(nombre y apellidos, DNI/Pasaporte o documento identificativo,
fecha de nacimiento, estado civil, domicilio, teléfono, dirección de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/31

correo electrónico), imagen, datos de salud (datos relativos al grado
de discapacidad) y datos económicos o financieros (nóminas y
número de cuenta).

La combinación de este tipo de datos personales eleva significativamente el
nivel de riesgo para los derechos y libertades de sus titulares y las
implicaciones de la vulneración de la confidencialidad. Esto se debe a la
circunstancia de que dicha combinación no solo aumenta la cantidad de
información disponible para un actor malicioso, sino que también amplía el
espectro de posibles abusos. Dado que no se trata de datos aislados o piezas
individuales de información, sino de la exposición de un conjunto integrado de
datos personales que cuando se combinan, pueden ser utilizados para
construir un perfil completo y detallado de un individuo, lo cual puede permitir a
un atacante realizar operaciones de fraude y suplantación de identidad con una
mayor tasa de éxito.

En cuanto a la duración de la infracción, esta se prolongó, como mínimo desde el 24
de octubre de 2023 hasta el 28 de octubre de 2023.

Por otra parte, el incumplimiento del principio de integridad y confidencialidad implica
el incumplimiento del principio de responsabilidad proactiva previsto en el artículo 5.2
RGPD y desarrollado en el artículo 24, por el que los responsables del tratamiento no
solo han de cumplir con lo previsto en el RGPD, sino que deben ser capaces de
demostrarlo con un nuevo enfoque de adopción e implementación de medidas
adecuadas al riesgo.

Las categorías de los datos de carácter personal afectados por la infracción (artículo
83.2, letra g), del RGPD): Las Directrices 04/2022 del Comité Europeo de Protección
de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de
2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta
las categorías de los datos personales afectados: “(…) el RGPD destaca claramente
los tipos de datos que merecen una protección especial y, por tanto, una respuesta
más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos
de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito
de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos
al interesado (por ejemplo, datos de localización, datos sobre comunicación privada,
números de identificación nacionales o datos financieros, como resúmenes de
transacciones o números de tarjetas de crédito”). En el presente caso, el número de
DNI de millones de clientes se ha visto afectado por la brecha. Se trata de un
tratamiento sobre un dato sensible, pues dicho dato permite la identificación directa e
inequívoca de una persona física.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/31

De conformidad con el Real Decreto 255/2025, de 1 de abril por el que se regula el
Documento Nacional de Identidad, el número de DNI es un identificador numérico
personal de carácter general, con valor suficiente para acreditar tanto la identidad
como la nacionalidad del titular. Esta cualidad lo convierte en un dato personal
particularmente sensible pues, en la medida en que su tratamiento no vaya
acompañado de las medidas técnicas y organizativas necesarias para garantizar que
quien se identifica con él es realmente su titular, un tercero puede suplantar la
identidad de una persona física con total facilidad, o, con otras palabras, puede
provocar un fraude de identidad, con los riesgos que ello comporta para la privacidad,
el honor y el patrimonio del suplantado.

Además, ha de hacerse referencia a que entre los datos comprometidos se
encuentran datos de salud (exclusivamente de empleados) y datos
financieros de empleados y exempleados.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales (artículo 76.2, letra b), de la LOPDGDD): SPRINTER
se dedica a la venta de artículos deportivos tanto en tienda física como de
manera online. Como consecuencia de su actividad empresarial realiza de
forma habitual y continua tratamientos de datos de carácter personal de un
elevado número de interesados, lo que supone forzosamente operaciones
de tratamiento de datos personales de las personas físicas (clientes,
empleados y exempleados).

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 2.600.000 € (dos millones seiscientos mil euros).

VII
Obligación incumplida. Comunicación de una violación de la seguridad de los datos
personales al interesado.

El artículo 34 “Comunicación de una violación de la seguridad de los datos personales
al interesado” propugna:

“1. Cuando sea probable que la violación de la seguridad de los datos personales
entrañe un alto riesgo para los derechos y libertades de las personas físicas, el
responsable del tratamiento la comunicará al interesado sin dilación indebida.

2. La comunicación al interesado contemplada en el apartado 1 del presente artículo
describirá en un lenguaje claro y sencillo la naturaleza de la violación de la
seguridad de los datos personales y contendrá como mínimo la información y las
medidas a que se refiere el artículo 33, apartado 3, letras b), c) y d).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/31

3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se
cumple alguna de las condiciones siguientes:

a) el responsable del tratamiento ha adoptado medidas de protección técnicas y
organizativas apropiadas y estas medidas se han aplicado a los datos
personales afectados por la violación de la seguridad de los datos personales,
en particular aquellas que hagan ininteligibles los datos personales para
cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;
b) el responsable del tratamiento ha tomado medidas ulteriores que garanticen
que ya no exista la probabilidad de que se concretice el alto riesgo para los
derechos y libertades del interesado a que se refiere el apartado 1;
c) suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar
por una comunicación pública o una medida semejante por la que se informe
de manera igualmente efectiva a los interesados.

4. Cuando el responsable todavía no haya comunicado al interesado la violación de la
seguridad de los datos personales, la autoridad de control, una vez considerada
la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo
haga o podrá decidir que se cumple alguna de las condiciones mencionadas en
el apartado 3.”

En el presente caso, SPRINTER indicó en su notificación de brecha de 31 de octubre
de 2023 que “¿Se ha comunicado la brecha a las personas afectadas en las
condiciones anteriormente descritas? Pendiente de decidir”. Sin embargo, en su
notificación de brecha de 30 de noviembre de 2023 señaló que el 27 de
noviembre de 2023 se informó sobre la brecha a los 6.381.913 afectados
mediante comunicaciones personales (postal, email, sms o similar) con garantía
de entrega y lectura. Esto último quedaría acreditado con la documentación
aportada por los reclamantes referente a la comunicación de brecha que
recibieron de parte de SPRINTER ([email protected]) el 28 de
noviembre de 2023.

Si bien la normativa de protección de datos de carácter personal no fija un plazo
explícito para realizar estas comunicaciones, debe subrayarse que sí incide en la
obligación de comunicar lo sucedido a los afectados “sin demora indebida”. En
este sentido, el apartado 83 de las Directrices 9/2022, sobre la notificación de las
violaciones de la seguridad de los datos personales en el marco del RGPD, de
28 de marzo de 2023, señala que: “El RGPD establece que la comunicación de
una violación a las personas debe hacerse «sin dilación indebida», lo cual
significa lo antes posible. El objetivo principal de la notificación a las personas es
proporcionarles información específica sobre las medidas que deben adoptar
para protegerse. Como ya se ha señalado, dependiendo de la naturaleza de la
violación y del riesgo que entrañe, una comunicación rápida ayudará a las
personas a adoptar medidas para protegerse de sus consecuencias negativas”.
Así, pese a que SPRINTER remitió comunicaciones informando a los afectados
de los acontecimientos, no fue hasta el 27 y 28 de noviembre de 2023, un mes
después de haber tenido conocimiento de la brecha, cuando se remitieron.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/31

Por otra parte, el contenido de la comunicación remitida por SPRINTER fue incompleta
en tanto en cuanto no hizo ninguna mención a las medidas que adoptó para
combatir la brecha de seguridad (entre otras, (…)). Simplemente informó de que
“hemos realizado una exhaustiva investigación con especialistas en
ciberseguridad para entender los hechos, contener el incidente y proteger los
sistemas”.

El apartado 86 de las citadas Directrices, en relación con el artículo 34.2 del RGPD,
enumera la información mínima que ha de contener la comunicación de brecha,
en concreto: “una descripción de la naturaleza de la violación, el nombre y los
datos de contacto del delegado de protección de datos o de otro punto de
contacto, una descripción de las posibles consecuencias de la violación; y una
descripción de las medidas adoptadas o propuestas por el responsable del
tratamiento para poner remedio a la violación de la seguridad de los datos
personales, incluyendo, si procede, las medidas adoptadas para mitigar los
posibles efectos negativos” (el subrayado es de esta Agencia). Respecto a esta
última cuestión, el apartado 87 señala: “Como ejemplo de las medidas
adoptadas para subsanar la violación y mitigar sus posibles efectos adversos, el
responsable del tratamiento podría indicar que, tras haberla notificado a la
autoridad de control pertinente, ha recibido asesoramiento sobre el modo de
gestionarla y de reducir su impacto. El responsable del tratamiento también
debe, cuando proceda, asesorar de manera específica a las personas para que
se protejan de las posibles consecuencias adversas de la violación, como
establecer nuevas contraseñas si sus credenciales de acceso se han visto
comprometidas. De nuevo, un responsable del tratamiento puede decidir
proporcionar más información de la que se requiere aquí”.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que
resulte de la instrucción, se considera que los hechos conocidos podrían ser
constitutivos de una infracción, imputable a SPRINTER, por vulneración del
artículo 34 del RGPD.

VIII
Tipificación de la infracción del artículo 34 del RGPD y calificación a efectos de
prescripción

De confirmarse, la citada infracción del artículo 34 del RGPD podría suponer la
comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que
bajo la rúbrica “Condiciones generales para la imposición de multas
administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose
por la de mayor cuantía:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/31

a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11,
25 a 39, 42 y 43; (…)”

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 74 de la LOPDGDD establece
lo siguiente:

“Se consideran leves y prescribirán al año las restantes infracciones de carácter
meramente formal de los artículos mencionados en los apartados 4 y 5 del
artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:

(…)

ñ) El incumplimiento del deber de comunicación al afectado de una violación de la
seguridad de los datos que entrañe un alto riesgo para los derechos y libertades
de los afectados, conforme a lo exigido por el artículo 34 del Reglamento (UE)
2016/679, salvo que resulte de aplicación lo previsto en el artículo 73 s) de esta
ley orgánica."

En el presente caso, tal como ha quedado expuesto, la infracción del artículo 34 del
RGPD prescribió al año, por lo que tal infracción estaría prescrita en la
actualidad.

IX
Medidas correctivas

De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del artículo 5.1.f) del
RGPD, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la entidad reclamada, pues es el responsable del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/31

tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a la
SPRINTER para que, en el plazo de 6 MESES a contar desde la fecha de ejecutividad
de la resolución finalizadora de este procedimiento, adopte las medidas siguientes:

- Acreditar la implementación y aplicación efectiva de las medidas
organizativas y técnicas, de seguridad, en particular las relativas a: (…)

La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el artículo 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos,
SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SPRINTER
MEGACENTROS DEL DEPORTE, S.L., con NIF B53404646, por la presunta
infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD.

SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).

TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la
violación de la seguridad de los datos personales y reclamaciones interpuesta por los
reclamantes y su documentación, así como los documentos obtenidos y generados por
la Subdirección General de Inspección de Datos en las actuaciones previas al inicio
del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el artículo 64.2 b) de la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), la sanción que pudiera corresponder sería de multa administrativa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/31

de 2.600.000€ (dos millones seiscientos mil euros), sin perjuicio de lo que resulte
de la instrucción.

QUINTO: NOTIFICAR el presente acuerdo a SPRINTER MEGACENTROS DEL
DEPORTE, S.L., con NIF B53404646, otorgándole un plazo de audiencia de diez días
hábiles para que formule las alegaciones y presente las pruebas que considere
convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de
procedimiento que figura en el encabezamiento de este documento.

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 2.080.000€ (dos millones ochenta mil
euros), resolviéndose el procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 2.080.000€ (dos millones ochenta mil euros) y
su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de
las medidas correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, ***SISTEMA.1pre que este
reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo
concedido para formular alegaciones a la apertura del procedimiento. El pago
voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier
momento anterior a la resolución. En este caso, si procediera aplicar ambas
reducciones, el importe de la sanción quedaría establecido en 1.560.000€ (un millón
quinientos sesenta mil euros).

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (2.080.000€ o 1.560.000€), deberá hacerlo efectivo mediante
su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código
SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de
Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número
de referencia del procedimiento que figura en el encabezamiento de este documento y
la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y si el importe
de la sanción impuesta es superior a un millón de euros, será objeto de publicación en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/31

el Boletín Oficial del Estado la información que identifique al infractor, la infracción
cometida y el importe de la sanción impuesta.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.

1479-021025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

>>

SEGUNDO: En fecha 5 de noviembre de 2025, SPRINTER ha procedido al pago de la
sanción en la cuantía de 1.560.000,00 euros haciendo uso de las dos reducciones
previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el
acuerdo de inicio y su calificación jurídica.

TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el acuerdo de inicio.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/31

reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario y reconocimiento de responsabilidad

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 1.560.000,00 euros y su pago
implicaría la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.

Tras la notificación del citado acuerdo de inicio, SPRINTER ha procedido al
reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose
a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85
LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/31

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.
La suma de las citadas cuantías arroja una cantidad total de 2.600.000,00 euros.

Tras haber procedido SPRINTER MEGACENTROS DEL DEPORTE, S.L., con CIF
B53404646, al pronto pago y reconocimiento de responsabilidad, se procede, en virtud
del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual
supone la cantidad definitiva de 1.560.000,00 euros.

La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202401683, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a SPRINTER MEGACENTROS DEL DEPORTE, S.L., con CIF
B53404646, para que en el plazo de 6 meses desde que la presente resolución sea
firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen
en los fundamentos de derecho del acuerdo de inicio transcrito en la presente
resolución.

CUARTO: NOTIFICAR la presente resolución a SPRINTER MEGACENTROS DEL
DEPORTE, S.L., con CIF B53404646.

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución
será firme en vía administrativa y plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución haya sido
notificada a los interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/31

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

1259-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es