1/24
Expediente Nº: EXP202402154
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 6 de agosto de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a SERVICIOS
FINANCIEROS CARREFOUR, E.F.C., S.A (en adelante, SFC), mediante el acuerdo
que se transcribe:
<<
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: En fecha 21 de diciembre de 2023, se notificó a esta Agencia una brecha
de datos personales de SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A, con
NIF A79456232 (en adelante, S. F. CARREFOUR o SFC), relativa a un ciberincidente,
con credenciales de usuario comprometidas, con exfiltración de datos personales de
clientes entre los que se incluyen datos de medios de pago.
Los hechos que se ponen en conocimiento de esta Autoridad son:
Información temporal: La brecha se inició el 17/12/2023. Fecha de detección:
19/12/2023.
Tipología de la brecha: Confidencialidad.
Tipo de incidente: Ciberincidente: Suplantación de identidad (phishing) /
Compromiso de cuenta de usuario o administrador, Ciberincidente: Acceso no
autorizado a datos en sistema de información (corporativo o servicio en
internet).
Encargado: Ninguno implicado.
Referido específicamente a los datos afectados por la brecha de
confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o
protegidos de forma que son ininteligibles para quien haya podido tener acceso
o no se puede identificar a las personas? No
Grado el que afectará a las personas: inconvenientes importantes
Resumen del incidente: “El 19.12 a las 09:27 se detecta un volumen anormal
de peticiones (…). A las 13:15 se descubre que el atacante, utilizando 19
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/24
credenciales comprometidas (expuestas a través de una fuente ajena a SFC),
(…). Hubo (...) peticiones satisfactorias al servicio afectado que se
corresponderían con (...) clientes cuyos datos personales se vieron
comprometidos. La fuga afecta a: datos básicos, de contacto, número de DNI
económicos y financieros del cliente relativos al producto contratado, datos
incompletos sobre medios de pago, ID de cliente y núm. socio de El Club
Carrefour. Se resetean las credenciales y se notifica a los 19 clientes
afectados. A las 16:20 se implanta un parche para impedir el consumo del
servicio afectado. El día 20 se actualizan los datos del incidente, dando como
resultado un total de (...) afectados. Tras las medidas implementadas, se
confirma el bloqueo del ataque.”
Categorías de datos: (…)
Número de interesados afectados: (...)
Categorías de afectados: Clientes / Ciudadanos.
Comunicación a los afectados: No, pero serán informados a más tardar el
22/12/2023.
Implicaciones transfronterizas: No.
Brecha resuelta: Sí.
Método de detección de la brecha: Medios de detección implementados
proactivamente por el responsable o encargado de tratamiento.
Se ha puesto el incidente en conocimiento de las autoridades policiales: Sí.
SEGUNDO: Como consecuencia de los hechos conocidos, en fecha 6 de febrero de
2024, la Directora de la Agencia Española de Protección de Datos instó a la
Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas
de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales
(en adelante, LOPDGDD).
TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.
Se detallan en el informe de inspección los siguientes antecedentes que constan en
los sistemas de información:
- Reclamación 1:
o Fecha de entrada: 22 de diciembre de 2023
o Reclamante: A.A.A.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/24
o Hechos según manifestaciones de la parte reclamante:
La persona reclamante manifiesta que la entidad reclamada, a fecha
22/12/2023, le ha informado vía correo electrónico de que ha sufrido
una brecha de datos en la que se han visto expuestos sus datos
personales. En particular, la comunicación informa de que se han visto
comprometidos datos personales básicos, de contacto y número de DNI
entre otros datos.
o Documentación relevante aportada por la parte reclamante:
Correo electrónico recibido de la entidad.
Esta reclamación es la primera que se ha recibido en relación con la brecha de
seguridad.
- Reclamación 2:
o Fecha de entrada: 11 de enero de 2024
o Reclamante: B.B.B.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
o Hechos según manifestaciones de la parte reclamante:
La persona reclamante manifiesta que ha recibido a fecha 10/01/2024
una comunicación de la entidad reclamada vía correo postal ordinario,
en la que le informa de que ha sufrido una brecha de datos en la que se
han visto expuestos sus datos personales. En particular, la
comunicación informa de que se han visto comprometidos datos
personales básicos, de contacto y número de DNI entre otros datos.
o Documentación relevante aportada por la parte reclamante:
Copia de la carta que ha recibido de la entidad.
- Reclamación 3:
o Fecha de entrada: 26 de enero de 2024
o Reclamante: C.C.C.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
o Hechos según manifestaciones de la parte reclamante:
La persona reclamante manifiesta que la entidad reclamada, a fecha
22/12/2023, le ha informado vía correo electrónico de que ha sufrido
una brecha de datos en la que se han visto expuestos sus datos
personales. En particular, la comunicación informa de que se han visto
comprometidos datos personales básicos, de contacto y número de DNI
entre otros datos.
o Documentación relevante aportada por la parte reclamante:
Correo electrónico que ha recibido de la entidad.
- Reclamación 4:
o Fecha de entrada: 6 de febrero de 2024
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/24
o Reclamante: D.D.D.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
o Hechos según manifestaciones de la parte reclamante:
La persona reclamante manifiesta que ha recibido una comunicación de
la entidad reclamada vía correo postal ordinario, en la que le informa de
que ha sufrido una brecha de datos en la que se han visto expuestos
sus datos personales. En particular, la comunicación informa de que se
han visto comprometidos datos personales básicos, de contacto y
número de DNI entre otros datos.
o Documentación relevante aportada por la parte reclamante:
Copia de la carta que ha recibido de la entidad.
- Reclamación 5:
o Fecha de entrada: 9 de abril de 2024
o Reclamante: E.E.E.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
o Hechos según manifestaciones de la parte reclamante:
La parte reclamante manifiesta haber recibido una carta remitida por la
parte reclamada en la que se le comunica que han sufrido "un acceso
ilícito a nuestros sistemas (...) se ha accedido a datos personales
básicos, de contacto, número de DNI entre otros datos".
La parte reclamante señala que con fecha 5 de abril de 2024 ha sido
objeto de un intento de vishing (confirmado telefónicamente con la parte
reclamada). Los atacantes le facilitan "sin fallar un solo dato: mi nombre
y apellidos completos, mi dirección completa, mi n.º DNI y los cuatro
últimos dígitos de mi cuenta bancaria dónde cargan los pagos".
o Documentación relevante aportada por la parte reclamante:
Copia de la carta que ha recibido de la entidad.
Capturas de pantalla con el registro de llamadas recibidas.
- Reclamación 6:
o Fecha de entrada: 10 de mayo de 2024
o Reclamante: F.F.F.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
o Hechos según manifestaciones de la parte reclamante:
La persona reclamante manifiesta que con motivo de una brecha de
datos sufrida por la entidad reclamada ha empezado a recibir correos
electrónicos maliciosos con intentos de phishing suplantando a dicha
entidad y en los que figuran su nombre y apellidos, dirección física,
código y fecha de alta de cliente y número de tarjeta de fidelidad.
o Documentación relevante aportada por la parte reclamante:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/24
Correos electrónicos recibidos.
- Reclamación 7:
o Fecha de entrada: 10 de mayo de 2024
o Reclamante: G.G.G.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
o Hechos según manifestaciones de la parte reclamante:
La parte reclamante manifiesta haber recibido un correo electrónico de
la entidad reclamada advirtiéndole de que podía recibir un correo spam
y de que no hiciera clic en los enlaces.
La parte reclamante recibe correo electrónico malicioso con intento de
phishing suplantando a dicha entidad en el que figura su nombre y
apellidos, dirección física, código y fecha de alta de cliente y número de
tarjeta de fidelidad.
o Documentación relevante aportada por la parte reclamante:
Correo electrónico de advertencia recibido de la entidad.
Correo electrónico malicioso recibido.
- Reclamación 8:
o Fecha de entrada: 10 de mayo de 2024
o Reclamante: H.H.H.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
o Hechos según manifestaciones de la parte reclamante:
La parte reclamante manifiesta que ha empezado a recibir correos
electrónicos maliciosos con intentos de phishing suplantando a dicha
entidad y en los que figuran su nombre y apellidos, dirección física,
código y fecha de alta de cliente y número de tarjeta de fidelidad.
o Documentación relevante aportada por la parte reclamante:
Correos electrónicos recibidos.
- Reclamación 9:
o Fecha de entrada: 11 de mayo de 2024
o Reclamante: I.I.I.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
o Hechos según manifestaciones de la parte reclamante:
La parte reclamante manifiesta que los días 8 y 10 de mayo ha recibido
tres correos electrónicos maliciosos con intentos de phishing
suplantando a dicha entidad y en los que figuran su nombre y apellidos,
dirección física, código y fecha de alta de cliente y número de tarjeta de
fidelidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/24
o Documentación relevante aportada por la parte reclamante:
Correos electrónicos recibidos.
- Reclamación 10:
o Fecha de entrada: 14 de mayo de 2024
o Reclamante: J.J.J.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
o Hechos según manifestaciones de la parte reclamante:
La parte reclamante manifiesta que ha recibido correo electrónico malicioso con
intento de phishing suplantando a dicha entidad y en el que figura su nombre y
apellidos, fecha de nacimiento, dirección física, código de cliente y número de
tarjeta de fidelidad.
o Documentación relevante aportada por la parte reclamante:
Correo electrónico recibido.
- Reclamación 11:
o Fecha de entrada: 16 de mayo de 2024
o Reclamante: K.K.K.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C. S.A.
o Hechos según manifestaciones de la parte reclamante:
La persona reclamante manifiesta que ha empezado a recibir correos
electrónicos maliciosos con intentos de phishing suplantando a la
entidad reclamada y en los que figuran su nombre y apellidos, dirección,
código y fecha de alta de cliente y número de tarjeta de fidelidad.
o Documentación relevante aportada por la parte reclamante:
Correo electrónico recibido.
- Reclamación 12:
o Fecha de entrada: 11 de junio de 2024
o Reclamante: L.L.L.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A.
o Hechos según manifestaciones de la parte reclamante:
La persona reclamante manifiesta que ha recibido correo electrónico
malicioso con intento de phishing suplantando a la entidad reclamada y
en el que figuran su nombre y apellidos, n.º DNI, código de cliente y
número de tarjeta de fidelidad.
o Documentación relevante aportada por la parte reclamante:
Correo electrónico recibido.
- Reclamación 13:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/24
o Fecha de entrada: 12 de junio de 2024
o Reclamante: M.M.M.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A.
o Hechos según manifestaciones de la parte reclamante:
La persona reclamante manifiesta que ha recibido correo electrónico
malicioso con intento de phishing suplantando a la entidad reclamada y
en el que figuran su nombre y apellidos, n.º DNI, código de cliente y
número de tarjeta de fidelidad.
o Documentación relevante aportada por la parte reclamante:
Correo electrónico recibido.
- Reclamación 14:
o Fecha de entrada: 8 de julio de 2024, trasladada por la Autoridad
Catalana de Protección de Datos.
o Reclamante: N.N.N.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A.
o Hechos según manifestaciones de la parte reclamante:
La persona reclamante manifiesta que ha recibido un correo electrónico
de CarrefourPASS, que entiende que ha sido remitido suplantando a
dicha entidad, en el que aparecen su nombre, apellidos, DNI, código de
cliente y número de tarjeta de fidelidad, entendiendo que sus datos
personales han sido expuestos a terceros.
o Documentación relevante aportada por la parte reclamante:
Correo electrónico recibido.
- Reclamación 15:
o Fecha de entrada: 8 de septiembre de 2024
o Reclamante: O.O.O.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A.
o Hechos según manifestaciones de la parte reclamante:
La persona reclamante manifiesta que ha recibido dos correos
electrónicos, aparentemente de ‘phising’ que utilizan la imagen de
Carrefour Pass, entidad de la que es cliente, e incluyen datos
personales suyos (nombre, apellidos, DNI, teléfono, dirección, CP, n.º de
tarjeta de fidelidad y n.º de cliente).
o Documentación relevante aportada por la parte reclamante:
Correos electrónicos recibidos, en fecha 29 de agosto y 7 de
septiembre de 2024.
- Reclamación 16:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/24
o Fecha de entrada: 22 de diciembre de 2024
o Reclamante: P.P.P.
o Reclamado: SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A.
o Hechos según manifestaciones de la parte reclamante:
La parte reclamante denuncia haber sido víctima de un intento de
estafa, tras la recepción de una llamada telefónica realizada por una
presunta empleada de la parte reclamada que simulaba realizarse
desde un número de línea legítimo vinculado a ésta. En la llamada, esa
persona puso de manifiesto que conocía el nombre, apellidos, fecha de
nacimiento, email y antiguo NIE de la parte reclamante. Le insta a que
facilite un código que le llega a su dispositivo para, supuestamente,
anular una solicitud de crédito.
o Documentación relevante aportada por la parte reclamante:
Respuesta de la parte reclamada a la parte reclamante
confirmándole que se trata de un intento fraudulento de captar
datos que ya fue detectado y gestionado por la entidad.
Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de
los siguientes extremos
Respecto del servicio afectado por la brecha
SFC es un establecimiento financiero de crédito que tiene la categoría de entidad de
pago híbrida, regulada y supervisada por el Banco de España y calificada por éste
como entidad “pequeña y no compleja”. Entre los productos que comercializa se
encuentra la tarjeta Pass, así como otros productos de créditos al consumo, como son
los préstamos personales o los préstamos mercantiles (financiación de productos).
La brecha tuvo lugar en el servicio de backend denominado (…).
(…).
(…).
Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar
los efectos adversos y medidas adoptadas para su resolución final
- 19/12/2023, 09:27 horas: (…).
- 19/12/2023, 10:00 horas: Tras un primer análisis conjunto de los equipos de IT
y de Seguridad de la Información, (…).
- 19/12/2023, 10:10 horas: Los equipos de IT y de Seguridad de la Información
bloquearon (…), y continuaron con el análisis del incidente y las posibles
afecciones.
- 19/12/2023, 13:15 horas: Tras concluir el segundo análisis en profundidad, se
observaron los siguientes hechos y se llevaron a cabo las medidas correctoras
oportunas:
o (…).
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/24
o (…).
(…).
SFC desarrolló y desplegó en producción un parche a las 16:29 del
mismo día 19 de diciembre que remediaba la vulnerabilidad detectada.
(…), el volumen de llamadas al servicio volvió a estar dentro de los umbrales
normales y no se detectó que ningún otro servicio distinto de la (…) se viera
afectado por el incidente.
(…).
- 19/12/2023 19:06 horas: (…).
- 19/12/2023, 19:10 horas: (…).
- 20/12/2023, 18:32 horas: (…).
- 21/12/2023 18:05 horas: Se informó de la brecha a la AEPD.
- 21/12/2023, 18:49 horas: Se interpuso la correspondiente denuncia a la
Brigada de Delitos de la Policía Nacional.
En resumen, las medidas de seguridad inmediatas adoptadas para paralizar el ataque
fueron:
- (…).
- (…).
- (…).
Documento 5 de la entrada con n.º de registro REGAGE24e00033575481.
Respecto de las causas que hicieron posible la brecha
(…).
(…).
(…).
(…). Documento 1 de la entrada con n.º de registro REGAGE24e00063724654.
Respecto de la vulnerabilidad explotada durante la brecha
En el escrito de respuesta de la entrada con n.º de registro
REGAGE25e00018954067, SFC indica que la vulnerabilidad explotada en la brecha
no está identificada en la base de vulnerabilidades del NIST al no tratarse de una
vulnerabilidad detectada en una solución de mercado.
(…).
El proveedor de servicio de Gestión de Vulnerabilidades de SFC ((…)),
basándose en el estándar propuesto por el NIST en su cálculo de CVSS
(Common Vulnerability Score System) versión 3.1, ha obtenido un CVSS Score
de 8.5, que corresponde con una severidad alta. Se aporta como Documento 1
de la entrada con n.º de registro REGAGE25e00018954067 la documentación
justificativa del cálculo.
Se aplicaron los criterios establecidos en la Política de Seguridad en
Aplicaciones. En esta política se clasifican las aplicaciones en tres niveles
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/24
distintos: aplicaciones de sensibilidad baja, aplicaciones de sensibilidad media
y aplicaciones críticas.
El activo afectado por la brecha está clasificado como crítico sobre la base de
tres criterios: la naturaleza de la información, el tipo de servicio prestado y la
exposición del activo.
A su vez dependiendo de la clasificación de las aplicaciones, se aplicarán
ciertos controles. (…).
Asimismo, cuando SFC tuvo conocimiento de la explotación de la
vulnerabilidad, implementó distintas medidas, como la activación de un
procedimiento de emergencia e implementación de un parche que se publicó
en el entorno de producción el mismo día de detección de la brecha.
Se aporta como Documento 2 la Política de Seguridad de Aplicaciones de la entrada
con n.º de registro REGAGE25e00018954067.
Respecto de las auditorías técnicas
SFC señala que realiza auditorías técnicas (pentests) de sus activos de forma
periódica y describe el criterio de selección de los activos a auditar en el escrito de
respuesta de la entrada con n.º de registro REGAGE24e00063724654:
a) (…).
b) (…).
c) (…).
d) (…).
(…).
(…).
(…).
(…).
Se aporta como Documento 2 de la entrada con n.º de registro
REGAGE24e00063724654 el último pentest realizado con carácter previo a la brecha
que se realizó entre el 9 y 17 de noviembre de 2023.
Se aporta como Documento 3 de la entrada con n.º de registro
REGAGE24e00063724654 cuadro acreditativo del estado de las vulnerabilidades en
cuestión.
(…).
Respecto de las credenciales comprometidas en la brecha
Como ya se ha descrito, el 19 de diciembre de 2023, SFC detecta un volumen anormal
de peticiones al servicio que devuelve información de cliente en los canales digitales
de aquellos clientes que disponen de una tarjeta PASS:
Los accesos se produjeron desde 19 cuentas de usuario distintas y desde 10
direcciones IP, tal y como quedó registrado en el log de accesos de (...).
[…]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/24
La mayoría de las direcciones corresponden al mismo proveedor de servicios
de internet y rango de red.
[…]
Se registraron un total de 19 identificadores de usuario distintos con los cuales
se estaría intentando lograr algún tipo de acceso no autorizado. Se ha
investigado en distintos foros especializados y a través de distintas
herramientas la posible fuga o exposición de información de dichos usuarios,
teniendo en cuenta los distintos identificadores de usuario y números de NIF
proporcionados, sin obtener ningún hallazgo relacionado.
[…]
Documento 2 de la entrada con n.º de registro REGAGE24e00033673364.
Con relación a las credenciales comprometidas, SFC indica que se trata de cuentas de
cliente cuyo proceso de alta es realizado por el propio cliente de manera autónoma
desde los canales telemáticos sin la asistencia ni intervención personal de SFC.
(…).
Respecto de los datos afectados
(…).
(…).
SFC indica que de los (...).
Tipologías de datos afectados:
- (…).
- (…).
Respecto de la comunicación enviada a los afectados
Se aporta como Documento 6 de la entrada con n.º de registro
REGAGE24e00033575481 la comunicación enviada a las personas afectadas. Se
indica que en aquellos casos en los que las personas afectadas disponían de una
dirección de correo electrónico, la comunicación se envió por correo electrónico. En el
resto de los casos, la comunicación se envió por correo postal.
Se aporta como Documento 4 de la entrada con n.º de registro
REGAGE24e00063724654 la confirmación del envío del correo electrónico (…).
De los (...), que son aquellos afectados que tienen la condición de titulares de
los productos de SFC.
En relación con la fecha del envío, tal y como acredita el Documento 4: los
correos electrónicos se enviaron el 22 de diciembre de 2023 y las
comunicaciones postales, al implicar una mayor carga logística y haber varios
festivos con motivo de la época del año, se enviaron los días 29 de diciembre
de 2023 y 2 y 3 de enero de 2024.
(…) tras ponderar los siguientes factores:
o Las más limitadas categorías de datos personales afectados en relación
con los titulares y el grado de riesgo que suponía para sus derechos y
libertades.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/24
o El hecho de que los titulares hubieran sido informados.
o Las dificultades logísticas para contactar con los cotitulares afectados
(SFC no cuenta con la dirección postal de los cotitulares y, como hemos
expuesto, la dirección de correo electrónico es un dato que el cotitular
no debe facilitar de forma obligatoria).
En el marco de las actuaciones de investigación, se solicita a SFC explicación de si la
brecha fue comunicada a los siguientes reclamantes relacionados en el presente
informe: A.A.A., B.B.B., D.D.D., E.E.E., F.F.F., G.G.G., H.H.H., I.I.I., J.J.J., K.K.K.,
L.L.L. y M.M.M.. SFC acredita haber comunicado la brecha a todos ellos excepto a
M.M.M. que no le notificó la brecha por el hecho de ser cotitular. Documento 5 de la
entrada con n.º de registro REGAGE24e00063724654.
Respecto de las medidas de seguridad implantadas
Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos
de datos donde se ha producido.
- (…)
o (…).
o (…).
o (…).
o (…).
o (…).
o (…).
o (…):
(…)
(…).
(…)
- (…)
o (…).
o (…).
(…).
o (…).
(…).
o (…).
Se aporta la última infografía enviada a empleados previa al incidente,
así como la última campaña de phishing lanzada en abril de 2023.
Documento 4 de la entrada con número de registro REGAGE24e00033575481.
Motivo por el cual las medidas de seguridad implantadas no han impedido el
incidente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/24
(…).
(…).
Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes
como el sucedido.
- Medidas de seguridad técnicas
o (…).
o (…).
- Otras medidas
o (…).
o (…).
(…).
o (…).
o (…).
o (…).
o (…).
o (…).
o (…).
Documento 5 de la entrada con n.º de registro REGAGE24e00033575481.
Información sobre la recurrencia de estos hechos y número de eventos análogos
acontecidos en el tiempo
SFC manifiesta que no ha habido recurrencia de hechos ni eventos análogos ni antes
ni después de la comunicación de la brecha.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para iniciar y resolver este procedimiento, la Presidencia de la Agencia
Española de Protección de Datos.
II
Procedimiento
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/24
De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
III
Cuestiones previas
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”.
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que S. F.
CARREFOUR realiza, entre otros tratamientos, la recogida y conservación de datos
personales de personas físicas, entre ellos datos identificativos, documentales, de
contacto, relativos a los servicios contratados y datos económicos, financieros y de
pago.
S.F. CARREFOUR realiza esta actividad en su condición de responsable del
tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud
del artículo 4.7 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/24
IV
Obligación incumplida. Artículo 5.1.f) del RGPD. Integridad y confidencialidad.
La letra f) del artículo 5.1 del RGPD propugna:
"1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»)."
El principio de confidencialidad e integridad recogido en el artículo 5.1 f) del RGPD,
obliga a los responsables del tratamiento a garantizar que los datos personales sean
tratados de manera que se garantice la confidencialidad e integridad de los datos
personales, evitando accesos no autorizados, usos indebidos o divulgación a terceros
no autorizados. Esto incluye implementar medidas técnicas y organizativas apropiadas
de todo tipo para proteger los datos frente a posibles brechas de datos personales,
tanto externas como internas. Estas medidas deben ser apropiadas para evitar que se
materialicen los riesgos en los derechos y libertades de las personas físicas que
puedan derivarse del tratamiento, y deben ser revisadas y actualizadas
periódicamente para garantizar su eficacia.
En el presente caso, consta la producción de una brecha de datos personales.
Conforme a la información de la que se dispone, incluida en la notificación a esta
AEPD por S.F. CARREFOUR de dicha brecha, así como la incluida en la información
obtenida en las actuaciones previas de investigación llevadas cabo, consta que en
fecha 19 de diciembre de 2023, a raíz de un volumen anómalo de peticiones al servicio
(…), servicio empleado por la aplicación móvil, S.F. CARREFOUR detectó la brecha de
datos personales.
Tal y como consta en el informe de actuaciones previas de investigación y en la misma
notificación de la brecha remitida a esta Agencia:
“El 19.12 a las 09:27 se detecta un volumen anormal de peticiones (…),
principalmente, en el día 18.12. A las 10:00 se identifica que el 94% de las peticiones
provienen de 10 IPs y se confirma el ataque. A las 10:10 se bloquean las IPs. A las
13:15 se descubre que el atacante, utilizando 19 credenciales comprometidas
(expuestas a través de una fuente ajena a SFC), ha obtenido (…). Hubo (...) peticiones
satisfactorias al servicio afectado que se corresponderían con (...) clientes cuyos datos
personales se vieron comprometidos. (…).”
Conforme a información remitida a esta Agencia por S.F. CARREFOUR durante las
actuaciones de investigación, la tipología de datos que se han visto afectados es la
siguiente:
- (…).
- (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/24
Con relación a las credenciales comprometidas, SFC indica que se trata de cuentas de
cliente cuyo proceso de alta es realizado por el propio cliente de manera autónoma
desde los canales telemáticos sin la asistencia ni intervención personal de SFC.
(…).
La suma de clientes arroja un total de (...) afectados.
En el informe de actuaciones previas de investigación que consta en el expediente se
detalla cuál fue el origen de la brecha:
“(…).
(…).
(…).”
El informe de actuaciones previas de investigación constata que (…).
Pueden observarse claras deficiencias en las medidas establecidas en relación con el
acceso indebido por un tercero a las cuentas de los clientes. El informe de actuaciones
previas de investigación constata (…).
En relación con este aspecto, S.F. CARREFOUR en su contestación a la inspección de
esta Agencia, apunta que el servicio de (…).
En definitiva, las deficiencias que condujeron a que pudiera ejecutarse el ciberataque y
que este tuviera éxito fueron:
-Configuración vulnerable desde la implantación del servicio (2017): (…).
-(…).
-Falta de revisión proactiva del servicio durante años: (…).
Todos estos aspectos proporcionan suficientes evidencias para considerar que, en el
momento en que se produjo la brecha, S.F. CARREFOUR no tenía implantadas
medidas técnicas u organizativas apropiadas que garantizasen una seguridad
adecuada de los datos personales, incluida la protección contra el tratamiento no
autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la
aplicación de («integridad y confidencialidad»).
Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a S.F. CARREFOUR
por vulneración del artículo 5.1.f) del RGPD transcrito anteriormente.
V
Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción
El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/24
"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:
"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679."
VI
Propuesta de sanción por el incumplimiento del artículo 5.1.f) RGPD
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/24
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
Lo anterior implica que la cuantía de la multa debe tener como punto de partida, tres
elementos: el volumen de negocios, la categorización de las infracciones según su
propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y
el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo
83.2 a), b) y g)). En cualquier caso, la multa a imponer debe ser, en cada caso
individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el
artículo 83.1 del RGPD.
Con carácter previo, a los efectos de determinar el nivel de gravedad de la infracción
se estima que concurren las circunstancias siguientes:
• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/24
así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido (artículo 83.2, letra a), del RGPD).
En relación con la gravedad, debe tenerse en cuenta que se trata de una brecha
generalizada sufrida en el servicio (…). A este respecto, SFC indica que el número de
afectados fue (…). Asimismo, los hechos conocidos inciden directamente en el control
que los afectados tienen sobre sus datos personales. Además, el gran volumen de
datos al que los atacantes ha tenido acceso implica mayores riesgos para los
derechos y libertades de los afectados. Esta amplia afectación amplifica la gravedad
de la infracción, dado que existió para cada cliente, riesgo de phishing.
• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD):
Se considera que concurre una grave negligencia teniendo en cuenta que la conducta
del responsable pone de manifiesto una grave falta de diligencia, al no haber aplicado
controles operativos mínimos exigibles en el desarrollo de su actividad. (…).
• Las categorías de los datos de carácter personal afectados por la
infracción (artículo 83.2, letra g), del RGPD).
Se han visto involucrados datos que pueden propiciar intentos de suplantación de
identidad y la posibilidad de ejecutar acciones que supongan un perjuicio patrimonial
para los afectados: número del DNI.
En relación con el número de DNI, se trata de un tratamiento sobre un dato sensible,
pues permite la identificación directa e inequívoca de una persona física. Tal y como
establece el Real Decreto 255/2025, de 1 de abril, por el que se regula el Documento
Nacional de Identidad, el DNI es un identificador numérico personal de carácter
general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del
titular, lo que lo convierte en un elemento especialmente sensible dentro del
ecosistema de datos personales. Además, su utilización indebida conlleva un elevado
riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al
honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Por ello,
una interpretación sistemática y finalista del RGPD —conforme a los considerandos 51
y 75— permite considerar el DNI como un dato particularmente sensible, atendiendo a
su capacidad de provocar perjuicios significativos en caso de uso no autorizado. En
este sentido, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas
bajo el RGPD, a la hora de valorar esta circunstancia, no solo debe hacerse referencia
a los “tipos de datos cubiertos por los artículos 9 y 10 del RGPD, sino también a los
datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o
dificultades inmediatas al interesado”. Entre estos, señala, de manera expresa los
números documentos de identidad.
Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:
• La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD.
Por una parte, la actividad principal del infractor implica la oferta de servicios al público
en general y la captación de un gran número de clientes que son personas físicas. Por
lo tanto, forma parte esencial de su actividad el tratamiento continuo de datos
personales de sus clientes. Por otra, los sistemas objeto del ataque de este expediente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/24
son relativos a la comercialización de los servicios que ofrece la entidad, por lo que
específicamente también están vinculados con el tratamiento habitual de datos
personales.
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 2.500.000,00 euros, sin perjuicio de lo que resulte de la instrucción.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos,
SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SERVICIOS
FINANCIEROS CARREFOUR, E.F.C., S.A, con NIF A79456232,
- por la presunta infracción del artículo 5.1.f) del RGPD, tipificada conforme a lo
dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a efectos de
prescripción, en el artículo 72.1 a) de la LOPDGDD.
SEGUNDO: NOMBRAR instructora a P.P.P. y, como secretaria, a R.R.R., indicando
que podrán ser recusadas, en su caso, conforme a lo establecido en los artículos 23 y
24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público
(LRJSP).
TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la
violación de la seguridad de los datos personales, así como los documentos obtenidos
y generados por la Subdirección General de Inspección de Datos en las actuaciones
previas al inicio del presente procedimiento sancionador.
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería de multa administrativa de 2.500.000,00
euros, sin perjuicio de lo que resulte de la instrucción.
QUINTO: NOTIFICAR el presente acuerdo a SERVICIOS FINANCIEROS
CARREFOUR, E.F.C., S.A, con NIF A79456232, otorgándole un plazo de audiencia de
diez días hábiles para que formule las alegaciones y presente las pruebas que
considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el
número de procedimiento que figura en el encabezamiento de este documento.
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 2.000.000,00 euros el procedimiento
con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/24
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 2.000.000,00 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 1.500.000,00 euros.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (2.000.000,00 euros o 1.500.000,00 euros) deberá hacerlo
efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno”.
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos>>
SEGUNDO: En fecha 27 de agosto de 2025, SFC ha procedido al pago de la sanción
en la cuantía de 1.500.000,00 euros haciendo uso de las dos reducciones previstas en
el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y
su calificación jurídica. (…).
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/24
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
III
Pago voluntario y reconocimiento de responsabilidad
De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 1.500.000,00 euros y su pago
implicaría la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.
Tras la notificación del citado acuerdo de inicio, SFC ha procedido al reconocimiento
de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos
reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/24
efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia
de cualquier acción o recurso en vía administrativa contra la sanción.
Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.
La suma de las citadas cuantías arroja una cantidad total 2.500.000,00 euros.
Tras haber procedido SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A al
pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85
de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la
cantidad definitiva de 1.500.000,00 euros.
La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.
SEGUNDO: DECLARAR la terminación del procedimiento EXP202402154, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
TERCERO: NOTIFICAR la presente resolución a SERVICIOS FINANCIEROS
CARREFOUR, E.F.C., S.A.
CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona
la reducción por pago voluntario y reconocimiento de la responsabilidad al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la
presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de
su notificación.
De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución sea firme
en vía administrativa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/24
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaeps.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
936-180725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es