Hizmet sağlayıcı kaynaklı veri ihlalinde sorumluluk

1/60

 Expediente N.º: EXP202402612

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: En fecha 5 de octubre de 2022 y 4 de noviembre de 2022, se reciben dos
notificaciones de brechas de seguridad por parte de MARKTEL GLOBAL SERVICES
S.A, (en lo sucesivo MARKTEL) con número de registro de entrada
REGAGE22e00044254458 y REGAGE22e00049917967.

Del contenido de ambas notificaciones se extrae la siguiente información relevante:

- Descripción de la brecha: “(…)”

- Datos afectados: Datos básicos (Ej.: nombre, apellidos, fecha de nacimiento),
DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos
económicos o financieros (sin medios de pago), Datos de contacto.
- Personas afectadas: 4251.
- Fecha de detección: 3 de octubre de 2022 (misma que la fecha de inicio).
- Fecha resolución incidente: 4 de noviembre de 2022.
- Se ha interpuesto denuncia ante autoridades policiales.
- Se ha informado a 4251 afectados en fecha 6 de octubre de 2022.

SEGUNDO: En fecha 29 de octubre de 2022 y registro de entrada
REGAGE22e00048731676, se recibió notificación de brecha de seguridad por parte
del responsable de tratamiento SANTANDER CONSUMER FINANCE S.A. (en lo
sucesivo SANTANDER CONSUMER o SCF) con la siguiente información asociada:

- Descripción: “(…)”

Datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE,
Pasaporte y / o cualquier otro documento identificativo, Datos de contacto.
Afectados: 28120.
Fecha detección: 28 de octubre de 2022.
Fecha de inicio: 3 de octubre de 2022.
Hay denuncia ante autoridades policiales.
Afirman que los afectados no serán informados.

TERCERO: En fechas 22 de octubre de 2022 y 21 de noviembre de 2022, se
recibieron dos notificaciones de brecha por parte de ORANGE ESPAGNE SAU (en lo
sucesivo ORANGE u ORANGE ESPAGNE), de su contenido se extrae la siguiente
información:

- Descripción: “(...)”
- Número de afectados: 742852.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/60

- Fecha detección: 20 de octubre de 2022.
- Fecha en la que se informa a los afectados: 4 de noviembre de 2022.

CUARTO: En fecha 10 de noviembre de 2022 se ordena a SANTANDER CONSUMER
que comuniqué la brecha de daros personales a los afectados y que confirmara, en el
plazo de 30 días que se ha dado cumplimiento a la orden.

QUINTO: En fecha 18 de noviembre de 2022, A.A.A. (en adelante, la parte reclamante
uno) interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra ORANGE. y MARKTEL.).

Los motivos en que basa la reclamación son los siguientes:

“El reclamante es un cliente de JAZZTEL al que la operadora comunicó que sus datos
personales (nombre, apellidos, dirección, teléfono, correo electrónico, nº de
documento de identidad, fecha de nacimiento, nacionalidad, y el código IBAN
((número de cuenta bancaria internacional)) pudieron haberse visto expuestos como
consecuencia de un incidente de seguridad que afectó a un proveedor de la
compañía. El afectado solicitó que se le concretaran los datos expuestos, recibiendo
como respuesta todos los datos enumerados anteriormente, a excepción del código
IBAN.”

Fecha en la que tuvieron lugar los hechos reclamados: 11 de noviembre de 2022.

Documentación relevante aportada por la parte reclamante:

- Se adjunta captura de pantalla del correo recibido por parte de JAZZTEL
comunicando la violación de seguridad e informando sobre la afectación de sus
datos personales, este correo tiene fecha de 11 de noviembre de 2022.
- Se adjunta captura de pantalla de la respuesta que da el usuario a JAZZTEL
tras la recepción del correo anterior, solicitando más información sobre el
incidente de seguridad y la afectación de sus datos personales.
- Se adjunta captura de pantalla de la respuesta que da JAZZTEL al correo
anterior enviado por el usuario, ofreciendo al reclamante más detalles sobre la
brecha. Este correo tiene fecha de 17 de noviembre de 2022.

SEXTO: En fecha 9 de diciembre de 2022, B.B.B. (en adelante, la parte reclamante
dos), interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra ORANGE. y MARKTEL.

Los motivos en que basa la reclamación son los siguientes:

“El reclamante es un cliente de ORANGE al que la operadora comunicó que sus datos
personales (nombre, apellidos, dirección, teléfono, correo electrónico, nº de
documento de identidad, fecha de nacimiento, nacionalidad, y el código IBAN)
pudieron haberse visto expuestos como consecuencia de un incidente de seguridad
que afectó a un proveedor de la compañía”.

Fecha en la que tuvieron lugar los hechos reclamados: 9 de diciembre de 2022.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/60

Documentación relevante aportada por la parte reclamante:

- Se adjuntan capturas de pantalla de los correos recibidos por parte de
ORANGE comunicando la filtración de sus datos personales. El contenido de este
correo electrónico lleva la firma tanto del DPD de ORANGE como de ORANGE BANK,
en el contenido se hace referencia a que ambas entidades actúan como responsables
de tratamiento, al ser ORANGE BANK responsable de la financiación de los
dispositivos adquiridos por el cliente cuyos datos personales se han visto afectados.

SÉPTIMO: Tras la orden de esta Agencia, de 10 de noviembre de 2022, de comunica-
ción a los afectados, SANTANDEER CONSUMER procedió a realizar dicha comunica-
ción en las siguientes fechas y por los siguientes medios:

- Día 07 de diciembre de 2022: 67.268 afectados informados por email.
- Día 09 de diciembre de 2022: 30.578 afectados informados por email.
- Día 12 de diciembre de 2022: 9.956 afectados informados por email.
- Día 13 de diciembre de 2022: 6.184 afectados informados por email.
- Día 15 de diciembre de 2022: 9.571 afectados informados con SMS con enlace a la
información.

Del resto de afectados (1.038) SANTANDER CONSUMER informa que no dispone de
datos de contacto válidos.

OCTAVO: En fecha 15 de diciembre de 2022, y registro de entrada
REGAGE22e00057522607, se recibió nuevo escrito de notificación de brecha de
seguridad por parte del responsable de tratamiento, SANTANDER CONSUMER, por
cambio sustancial de información de la brecha reportada el 29 de octubre de 2022, con
número de registro REGAGE22e00048731676.

Tras investigaciones posteriores, se encuentra un número mayor de afectados.

En algunos casos (105.401 casos), el fichero robado tenía los datos del código IBAN
completo.

Datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE,
Pasaporte y / o cualquier otro documento identificativo, Datos de medios de pago
(Tarje-ta bancaria, etc.…), Datos de contacto.

Afectados: 124.595

Fecha detección: 28 de octubre de 2022.

Fecha de inicio: 3 de octubre de 2022.

Nº personas informadas 123.557

NOVENO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales
(en adelante LOPDGDD), en fecha 23 de diciembre de 2022, se dio traslado de dichas
reclamaciones, por lo que aquí interesa, a ORANGE y a MARKTEL, para que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/60

procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

En el traslado de las reclamaciones se solicitaba la siguiente información:

- Descripción detallada y cronológica de los hechos.
- Causas que hicieron posible el incidente.
- Personas y categoría de datos personales afectadas.
- Posibles consecuencias para los afectados.
- Acciones tomadas para solucionar el incidente.
- Los análisis de riesgos y medidas de seguridad preventivas concluidas, así
como evaluaciones de impacto en su caso.
- Copia del Registro de Actividades de Tratamientos donde se ha producido
incidente.
- Información sobre la posible comunicación a las personas afectadas.
- Información sobre la posible notificación del incidente ante esta Agencia.

DÉCIMO: En fecha 23 de enero de 2023 y registros de entrada
REGAGE23e00004620337 y REGAGE23e00004620561 se recibe respuesta por parte
de MARKTEL al traslado de la primera reclamación, adjuntando los siguientes
documentos:

- Documento interno con el registro del incidente, de 3 de octubre de 2022.
- Documento interno con el informe técnico del incidente, con fecha 2 de
noviembre de 2022.
- Documento formato Excel con un análisis de riesgos de los tratamientos
afectados por la brecha de seguridad.
- Documento acreditativo de la certificación ISO 27001.
- Documento acreditativo de la contratación de servicio de ciberseguridad con la
empresa Sophos.

De la documentación aportada a esta AEPD se extrae la siguiente información:

El incidente es detectado el 3 de octubre de 2022 en torno a las 5:15 horas y estuvo
basado en un ataque intencionado por parte del grupo de ciberdelincuentes conocido
como Lockbit, que consiguió penetrar en los sistemas de seguridad de la compañía
llevando a cabo el cifrado de datos de la empresa y robo de contenido sensible. Se
afirma que no se ha podido concretar las causas que hicieron posible el incidente, pero
se baraja la utilización de algún servidor desactualizado, el ataque a través de
ingeniería social o correo spam como posibles causas. Se investigarán más detalles
sobre esto en nuevo requerimiento de información.

El ataque es detectado por los elementos de seguridad de la plataforma antimalware
de Sophos, siendo el malware detectado el Ransomware Lockbit 3.0. Se solicitará
acreditación de esta detección en un nuevo requerimiento de información.

Se afirma que tras el incidente se procedió a contratar los servicios de análisis forense
a través de la compañía Entelgy, recibiendo la Delegada de Protección de Datos de
MARKTEL en fecha 17 de octubre de 2022 un informe preliminar de este análisis que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/60

identificaba datos de carácter personal filtrados en la Dark Web, confirmándose que
estos datos procedían del contrato de servicios con ORANGE ESPAGNE para la
campaña de recobros de impagos.
Tras varios intentos de extorsión por parte del grupo atacante (no atendidos por
MARKTEL) se terminó publicando en fecha 27 de octubre de 2022 un mayor volumen
de datos personales de clientes operados por MARKTEL. El 30 de octubre de 2022 el
equipo de tecnología de MARKTEL obtuvo más evidencias de esta filtración y se
comunicó el alcance de la filtración al Delegado de Protección de Datos.

Se afirma que el 19 de octubre de 2022 MARKTEL notifica inicialmente el incidente a
ORANGE ESPAGNE a través de su oficina de protección de datos y posteriormente, el
día 2 de noviembre de 2022, se realizó una segunda notificación aportando
información actualizada y adjuntando el informe técnico del incidente. Se solicitará la
acreditación de ambas notificaciones en un nuevo requerimiento de información.

Se afirma que se interpuso denuncia ante policía y se comunicó al INCIBE. Se
solicitará su acreditación en nuevo requerimiento de información.

Del informe técnico del incidente adjuntado se extrae la siguiente información
relevante:
)a El ataque cifró el servidor ICS Producción que daba servicio a ORANGE
ESPAGNE y borró la máquina de Backup Nas Signology que contenía
su copia de seguridad, no obstante, se afirma se procedió a recuperar
los archivos de datos que existían en el sistema SFTP de intercambio
de ficheros y que tenían una antigüedad de 4 meses. Se solicitará en
nuevo requerimiento de información para que aclaren esta afirmación y
que confirmen si hubo pérdida de datos por no poder disponer de
copias completas recientes de los datos personales.
)b Tras detectarse el incidente se realizaron las siguientes acciones: se
pararon los entornos de producción, se aislaron de la red los elementos
afectados, se crearon nuevos entornos productivos, se subieron copias
de seguridad y se realizó un análisis del impacto general del ataque.
)c En relación con la información publicada en la Dark Web, se afirma que
tras analizar los ficheros se confirmó la afectación de los siguientes
datos:
 Se filtró la tabla “Clientes” de la base de datos que contenía
1.027.969 registros (con un total de 803.099 números de DNI
únicos) y los siguientes campos:
 DNI.
 Nombre y Apellidos.
 Teléfono.
 Email.
 Dirección (Calle, Número, Localidad, CP).
 Fecha Nacimiento.
 Números de cuenta IBAN sin ofuscar de 517.326
registros, (para el resto de los registros estaba ofuscado
o no incorporaban este dato).
)d Se afirma que hasta la fecha de noviembre de 2021 el dato IBAN se
almacenaba de forma abierta en base de datos, no obstante, a finales

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/60

de noviembre de 2021 se procedió a ofuscar este dato, motivo por el
que entre los datos filtrados existen registros con dato IBAN en claro.
)e Se afirma que tras realizar las correspondientes verificaciones de los
datos filtrados se concluye que existen datos de 742.852 afectados.
)f Se afirma que en fecha 20 de octubre de 2022 MARKTEL notificó el
incidente a ORANGE reportando la afectación de los siguientes datos
personales de clientes (se solicitará su acreditación en nuevo
requerimiento):
 Datos identificativos (nombre y apellidos, NIF/DNI/Tarjeta
Residencia/Pasaporte, dirección, correo electrónico, teléfono).
 Datos de facturas (Titular cuenta corriente/contrato, numero de
factura, importe de factura, deuda actual y total).
 Datos de características personales (fecha de nacimiento y
nacionalidad)
 Datos de Productos: Paquetes, tarifa, fecha de alta, fecha de
baja.
)g Se confirma el siguiente listado de medidas preventivas que existían
implantadas por MARKTEL (se solicitará acreditación en nuevo
requerimiento de información):
 (…)

Se confirma el listado de medidas reactivas adoptadas por MARKTEL
tras el incidente (se solicitará acreditación en nuevo requerimiento de
información):
 (…)

Se afirma que están a la espera de recibir el resultado de la auditoría
contratada con Deloitte, no obstante, por los análisis internos realizados
se piensa que el vector de ataque pudo venir provocado por un ataque
de fuerza bruta contra el servicio SSH, haciendo uso de un servidor
Command and Control, y con un posterior desplazamiento lateral. Se
solicitará la copia del informe de auditoría realizado por Deloitte en
nuevo requerimiento de información.

En la respuesta al traslado también se adjunta documento con el análisis de riesgos de
fecha de creación mayo de 2018 y actualizado el 20 de octubre de 2022, de este
documento se extrae la siguiente información relevante:

Se realiza un análisis de necesidad y proporcionalidad del tratamiento y
del ciclo de vida de los datos.
Se identifican y analizan 19 factores de riesgo a los que se asigna un
valor cuantitativo a la probabilidad e impacto, obteniéndose como
resultado un valor de riesgo inherente, concluyéndose con un listado de
medidas de control mitigadoras que dan lugar a un nuevo valor de
riesgo residual. Se especifica también un apartado con las nuevas
medidas de seguridad incluidas a raíz de la presente brecha y la
consecuente actualización del riesgo residual. Los factores de riesgo
identificados y analizados son:
 (…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/60

- Se adjunta el Registro de Actividades de Tratamiento (RAT) de MARKTEL
actuando como encargado de tratamiento de ORANGE/JAZZTEL, recogiendo
la siguiente información:

)a La finalidad de los tratamientos (Gestión extrajudicial o precontenciosa
de deudas y gestión de cobros fallidos o deudas antiguas).
)b Las categorías de datos tratados y las categorías de interesados
afectados.
)c Los plazos de supresión.
)d Las posibles transferencias internacionales.
)e Descripción de las medidas de seguridad implantadas para garantizar
los tratamientos.

- En relación con la comunicación a los afectados, se afirma que desde
MARKTEL no se realizó ninguna notificación al actuar en todo momento como
encargado de tratamiento de los datos personales afectados, se afirma que
MARKTEL se limitó a seguir las instrucciones del responsable afectado.

UNDÉCIMO: En fecha 27 de enero de 2023 y registros de entrada
REGAGE23e00005596907 y REGAGE23e00005596460 se recibe respuesta al
traslado de la primera reclamación por parte de ORANGE, del análisis de la
documentación aportada se extrae la siguiente información.

- Se acredita la notificación de la brecha recibida por parte del encargado
MARKTEL en fecha 19 de octubre de 2022.
- Se afirma que entre los datos personales afectados existen clientes de
SANTANDER CONSUMER Y/O ORANGE BANK SA (en adelante ORANGE
BANK), entidades con las que ORANGE tiene un acuerdo para financiar
terminales adquiridos por sus clientes y respecto de los cuales el propio
ORANGE actuaba como encargado de tratamiento para la gestión de las
operaciones de recobro en caso de impago, servicio para el que se tenía
subcontratada a MARKTEL. Se afirma que se procedió a notificar el incidente a
estos responsables de tratamiento afectados en fecha 25 de octubre de 2022.
Se solicitará su acreditación en un nuevo requerimiento de información.
- Se afirma que tras tener constancia del incidente se decide suspender el
servicio contratado con MARKTEL hasta que existiesen garantías de
seguridad.
- Se afirma 742.852 clientes afectados con los siguientes datos filtrados: Nombre
y apellidos, DNI, dirección, email, fecha y lugar de nacimiento, nacionalidad,
teléfono, IBAN, titular cuenta corriente, importe factura, deuda actual y total. En
relación con el dato IBAN, afirman que en fecha 23 de noviembre de 2021 se
dejó de entregar este dato al subencargado MARKTEL.
- En relación con las posibles consecuencias, se afirma que las personas
afectadas podrían encontrar inconvenientes importantes, produciendo un daño
limitado que podrán superar a pesar de algunas dificultades, no obstante, se
afirma que no se tiene constancia de la materialización de esta posible
consecuencia en ningún cliente afectado.
- Se afirma que se comunicó el incidente de seguridad a los afectados en fechas
comprendidas entre el 4 de noviembre de 2022 y 7 de noviembre de 2022. Se
solicitará su acreditación en un nuevo requerimiento de información.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/60

- Se afirma que entre los días 7 y 9 de diciembre de 2022 se hizo nueva
comunicación a los afectados identificando a SANTANDER CONSUMER Y
ORANGE BANK como responsables de tratamiento. Se solicitará acreditación
en nuevo requerimiento de información.
- En relación con las medidas adoptadas por parte de ORANGE para dar
respuesta al incidente se adjunta el siguiente listado:
(…)

- Se acredita un documento que contiene un análisis de los factores de riesgos
del tratamiento, este documento es el mismo que el aportado previamente en la
respuesta dada por el encargado MARKTEL y referenciado en puntos
anteriores.
- En relación con la comunicación a los afectados se afirma que se utilizaron las
vías SMS y Email, siendo el texto remitido distinto en función de si estaba
afectado o no el dato IBAN. Se solicitará acreditación de todas las
comunicaciones realizadas en un nuevo requerimiento de información.
- Se aporta un documento con el plan de acción incluyendo las medidas
reactivas adoptadas por MARKTEL y su fecha de implantación:
(…)

DUODÉCIMO: Se reciben asimismo las respuestas dadas por MARKTEL y ORANGE
al traslado de la segunda reclamación de las que no se obtiene información adicional
relevante a la ya analizada en los antecedentes anteriores.

DECIMOTERCERO: En febrero de 2023 ambas reclamaciones fueron admitidas a
trámite.

DECIMOCUARTO: La Subdirección General de Inspección de Datos procedió a la
realización de actuaciones previas de investigación para el esclarecimiento de los
hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control
en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Por parte del inspector se realiza búsqueda en internet de la filtración de datos
existente, detectándose un único punto de difusión a través de la página web del grupo
atacante Lockbit en la Dark web. Se constata que el grupo realizó una primera
publicación de datos el 12 de octubre de 2022, procediendo posteriormente a la
publicación de un archivo de mayor volumen de datos (de 43 GB) en fecha 30 de
octubre de 2022. En la inspección se ha procedido a descargar en entorno seguro y
analizar la tipología de datos personales que contenía esta filtración, obteniéndose las
siguientes conclusiones:

- Tal y como se afirma en el informe técnico del incidente aportado por
MARKTEL, existe una carpeta ***REFERENCIA.1 que almacena los siguientes
archivos SQL relevantes con datos personales:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/60

)a ***REFERENCIA.2: incluye datos personales de clientes que coinciden
con la información aportada en el informe técnico del incidente de
MARKTEL.
)b ***REFERENCIA.3: con idéntica información a la que contiene el
informe técnico del incidente aportado por MARKTEL.

- Carpeta ***REFERENCIA.4 que contiene una exportación de la tabla de base
de datos con nombre ***REFERENCIA.5 que incluye los campos id_cliente,
edad, sexo, estado_civil, estado_laboral, código postal, población, provincia,
hijos, edad de los hijos, poder adquisitivo. Esta información podría no ha sido
mencionada en las notificaciones de brechas ni en la respuesta al traslado de
la reclamación por parte de MARKTEL.

Por otro lado, por parte de la inspección se detecta que esta Agencia llevó a cabo la
notificación de una orden de comunicar a los afectados por la brecha notificada por
SANTANDER CONSUMER, esta orden se notifica el 8 de noviembre de 2022
requiriéndose confirmación de su cumplimiento en un plazo de 30 días. Se da
cumplimiento a esta orden por parte de este responsable.

Teniendo en cuenta la información obtenida en este punto de la investigación, en fecha
29 de mayo de 2023, se decide realizar nuevo requerimiento de información dirigido a
MARKTEL, ORANGE ESPAGNE y SANTANDER CONSUMER, marcado por las
siguientes líneas de investigación:

- Para MARKTEL:

)a Investigar todos los posibles responsables de tratamiento afectados por
la filtración de los datos.
)b Solicitar el informe de auditoría realizado por Deloitte.
)c Investigar el vector de ataque de la brecha.
)d Solicitar la acreditación de las medidas preventivas listadas y
referenciadas.
- Para ORANGE ESPAGNE:
)a Investigar la correcta formalización de los encargos de tratamiento.
)b Investigar la posible pérdida de disponibilidad de los datos por la
brecha.
)c Investigar la correcta comunicación a los afectados.
- Para SANTANDER CONSUMER:
)a Investigar la adecuación del contrato de encargo con ORANGE
ESPAGNE.
)b Investigar la comunicación a los afectados como responsable de
tratamiento.
)c Investigar la existencia de análisis de riesgos para los derechos y
libertades de las personas afectadas.

En fecha 19 de junio de 2023 y registros de entrada REGAGE23e00039953302,
REGAGE23e00039953372, REGAGE23e00039953646, REGAGE23e00039953646,
REGAGE23e00039953771 y REGAGE23e00039953828 se recibe respuesta al
requerimiento por parte de MARKTEL, de su análisis por el inspector se extrae la
siguiente información relevante:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/60

- Se confirma que los datos personales filtrados pertenecen a los encargos
formalizados con ORANGE ESPAGNE.
- Acreditan los contratos de encargo, de su análisis por el inspector se concluye:

)a El contrato de encargo de prestación de servicios de call center con
ORANGE ESPAGNE (identificada en el contrato como OSP) sustituye al
firmado en 2018, sobre servicios de recobros, y produce efectos desde
el 1 de enero de 2022 e incorpora el objeto del encargo de tratamiento,
los datos personales afectados, las categorías de interesados, las
obligaciones asumidas por el encargado y las medidas de seguridad.

En cuanto a las medidas de seguridad se recoge en la cláusula 17 “Protección de
Datos” apartado 2.6.d) del contrato lo siguiente:

En los casos en que los datos sean tratados en los sistemas del PROVEEDOR, este
se obliga a garantizar, teniendo en cuenta el estado de la técnica, los costes de
aplicación, y la naturaleza, el alcance, el contexto, y los fines del tratamiento, así como
los riesgos de probabilidad y gravedad variables para los derechos y libertades de las
personas físicas, la aplicación de medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad al riesgo que, en su caso y entre otros, incluya:

• La seudonimización y el cifrado de datos personales;
• La capacidad de garantizar la confidencialidad, la integridad y la disponibilidad
y resiliencia permanentes de los sistemas y servicios de tratamiento;
• La capacidad de restaurar la disponibilidad y el acceso a los datos personales
de forma rápida en caso de incidente físico o técnico;
• Un proceso de verificación, evaluación y valoración regular de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

Al evaluar la adecuación del nivel de seguridad, el PROVEEDOR tendrá
particularmente en cuenta, los riesgos que presente el tratamiento de datos, en
particular, como consecuencia de la destrucción, pérdida o alteración, accidental o
ilícita, de datos personales transmitidos, conservados o tratados de otra forma, así
como la comunicación o acceso no autorizados a dichos datos. El PROVEEDOR
deberá implementar al menos, las medidas técnicas y organizativas descritas en el
Anexo de la Seguridad de la Información adjuntas al presente Contrato, así como
cualesquiera otras medidas de seguridad que ORANGE determine en cada momento y
comunique al PROVEEDOR

El Anexo III de la Seguridad de la Información adjunto al citado Contrato, establece lo
siguiente:
ANEXO III
MEDIDAS ESPECÍFICAS EN MATERIA DE SEGURIDAD DE LA INFORMACIÓN Y
CÓDIGO DE CONDUCTA DE PROVEEDORES Y CONTROL DE FRAUDE Y
REVENUE ASSURANCE

(…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/60

- Afirman que detectaron el ataque al notar, la mañana del 3 de octubre de 2022,
que algunas aplicaciones presentaban anomalías de denegación de acceso,
observándose a partir de este momento la existencia de elementos cifrados en
los servidores. Se acredita documentalmente que el sistema de protección
antimalware Sophos también detectó y alertó del ataque y posteriores
movimientos laterales en los servidores, en este momento se escaló la
incidencia al equipo de ciberseguridad.
- Se acredita la denuncia interpuesta el 7 de octubre de 2022 ante las fuerzas y
cuerpos de seguridad, en esta se incorporaron las siguientes afirmaciones
realizadas por MARKTEL:

)a “El ataque se trata de un ransomware cuyo objetivo es bloquear el
acceso al dispositivo afectado, en concreto se trata del denominado
Lockbit 3.0”.
)b “Tras el incidente se ha podido comprobar que cuatro servidores
internos se han visto afectados por el ataque, afectando a sistemas
como SAP, SAGE y herramientas internas que afectan a la empresa
para atender obligaciones ante organismos oficiales”.
)c “Las medidas y acciones para minimizar el daño consistieron en
suspender los servicios del grupo, es decir, aislarlos, como medida de
precaución y poder así frenar la propagación. Una vez identificado el
ataque, se ha procedido a realizar las tareas de limpieza.
Paralelamente, desde el equipo de ciberseguridad, se estableció un
sistema de control y monitorización permanente.”

- Afirman que no fue hasta el 17 de octubre de 2022 cuando la empresa
contratada para el análisis forense informó de la filtración de datos personales
en la Dark Web, afirman que en esta fecha se conoció con certeza la existencia
de brecha de seguridad relativa a datos del encargo con ORANGE ESPAGNE
y VODAFONE ESPAÑA.
- Se acredita las notificaciones que realiza MARKTEL como encargado de
tratamiento a los dos responsables anteriores, esta notificación se hizo el 19 de
octubre de 2022.
- En relación con la recuperación de los datos personales cifrados, se afirma que
MARKTEL trabaja con una copia de los datos personales de cada responsable,
y, por tanto, los datos seguían disponibles en todo momento por lo que no hubo
afectación a la disponibilidad.
- En relación con nuestra solicitud para que aclaren el motivo por el que existía,
entre los datos filtrados, una tabla de base de datos con nombre
***REFERENCIA.5 conteniendo un mayor número de datos personales a los
notificados en la brecha, responden que esta tabla no pertenece a MARKTEL
sino a la empresa MIA ADVANCED SYSTEMS SL ,y que se encontraba en
servidores de MARKTEL porque este presta un servicio de alojamiento de la
información en sus servidores a esta empresa, no obstante, afirman que los
datos que contiene esta tabla son anónimos y que no permiten la identificación
de personas físicas, existiendo únicamente datos agrupados por clúster de
interés y utilizados para mejorar la eficiencia de las operaciones.
- Se aporta documento con el informe de auditoría realizado por Deloitte en
fecha 1 de diciembre de 2022, en este se concluye que no se pudo determinar
el vector de entrada de la brecha, apuntando que el incidente pudo estar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/60

provocado por un ataque por medio de un servidor “Command and Control”
hacia uno de los servidores corporativos de MARKTEL a través de intentos de
inicio de sesión remoto SSH.
- Se acreditan también dos informes de las empresas Entelgy y Sophos sobre
las causas del incidente, de su análisis por el inspector se obtienen las
siguientes afirmaciones textuales:

(…)

- Se afirma que existe implantado una “política de backup doble” que realiza
copias de seguridad en los propios servidores de producción y en cuatro
servidores NAS de alta capacidad, dos de los cuales se vieron comprometidos
siendo encriptados sus discos y borrado el sistema operativo. Tras el incidente
se implementó (…).

- Se acreditan documentalmente las siguientes medidas preventivas concluidas
del análisis de riesgos:

)a (…)

- En relación con la acreditación de la comunicación de los afectados, afirman
que MARKTEL únicamente ha notificado a los responsables de tratamiento
afectados, siendo estos los que han procedido posteriormente a comunicar el
incidente a los afectados. Se acredita la notificación realizada a ORANGE
ESPAGNE y VODAFONE ESPAÑA vía email en fecha 19 de octubre de 2022.

En fecha 20 de junio de 2023 y registros de entrada REGAGE23e00040164903 y
REGAGE23e00040165559 se recibe respuesta al requerimiento por parte de
ORANGE ESPAGNE, de su análisis se extrae la siguiente información relevante:

- Se aporta copia del contrato de encargo con SANTANDER CONSUMER. de su
análisis se concluye:

En relación con el contrato de encargo con SANTANDER CONSUMER
se aporta documento formalizado en fecha de firma 7 de julio de 2015
con la siguiente información relevante:

 Objeto del encargo: prestación de servicios de facturación,
recobro, postventa, gestión de derechos ARCO y gestión de
datos de deudores en la cesión de créditos.
 Obligaciones del encargado, entre las que se hace referencia a
la necesidad de aplicar las medidas de nivel medio, a gestionar
los derechos ARCO, a realizar las comunicaciones a los
afectados, a notificar los accesos no autorizados (entre otras
obligaciones).
 Recoge como anexo la inscripción de los ficheros afectados en
el Registro General de la AEPD, siguiendo la antigua normativa
de protección de datos.
 En cuanto a la subcontratación se establece:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/60

“El ENCARGADO DEL TRATAMIENTO podrá subcontratar con un tercero los
servicios objeto del Contrato de Prestación de Servicios, siempre y cuando se
cumplan los siguientes requisitos:

-
Que el ENCARGADO DEL TRATAMIENTO comunique todos los datos
(denominación social, domicilio social, número de identificación, etc.) del
subcontratista al RESPONSABLE DEL FICHERO, de forma escrita, con anterioridad
a su contratación.
-
Que el tratamiento de los datos por parte del subcontratista se ajuste en todo caso a
las instrucciones del RESPONSABLE DEL FICHERO.
-
Que se formalice por escrito un contrato entre el ENCARGADO DEL TRATAMIENTO
y la empresa subcontratista, en los mismos términos que el presente documento, y
en el que se exprese que el subcontratista se ajustará a las instrucciones del
RESPONSABLE DEL FICHERO. Una vez firmado el contrato, el ENCARGADO DEL
TRATAMIENTO se obliga a enviar una copia del mismo al RESPONSABLE DEL
FICHERO.

El ENCARGADO DEL TRATAMIENTO controlará la calidad y nivel de cumplimiento
de las obligaciones de los proveedores con los que hubiese subcontratado con la
misma diligencia que debe observar en el cumplimiento de sus propias obligaciones,
respondiendo personalmente de ello y exonerando de toda responsabilidad derivada
de sU actuación al RESPONSABLE DEL FICHERO.”

- Se aporta copia del contrato de encargo suscrito entre ORANGE ESPAGNE y
MARKTEL, ya analizado en puntos anteriores.

- En relación con la acreditación de la notificación de la brecha a cada
responsable afectado, se aporta captura de pantalla de los correos electrónicos
enviados el 25 de octubre de 2022 dirigidos a SANTANDER CONSUMER, el
contenido es el siguiente:

“(…)”.

- Se obtienen las siguientes afirmaciones relevantes realizadas por parte de
ORANGE ESPAGNE:

)a “Entre los afectados se determinó que existían clientes de Santander
Consumer Finance y/o Orange Bank, entidades con las que Orange
tiene un acuerdo para financiar los terminales y equipos adquiridos por
parte de los clientes de Orange/Jazztel, y respecto de los cuales
Orange es, además, encargado de Tratamiento para la gestión de las
operaciones de recobro en caso de impago de los mismos por cuenta
de Santander Consumera Finance y/o Orange Bank. Respecto a estos
clientes, Orange Espagne S.A.U. asume por tanto el doble rol de
responsable y encargado de tratamiento sobre los datos. Esto queda
debidamente reflejado en el extracto del RAT adjunto, en la columna
‘identificación encargado/subencargado’ junto con el detalle del
tratamiento”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/60

)b “Respecto al número de afectados que fueron comunicados
directamente, se remitieron 85.871 comunicaciones vía SMS; y 621.741
comunicaciones vía email, en función del canal de contacto del que se
disponía. Se viene a aclarar que existían registros de los que no se
disponía de canal de contacto (email o número de contacto) o éstos no
eran correctos, por ejemplo, una dirección de email con formato
incorrecto. A estos efectos, por resultar imposible el contacto directo
con las personas afectadas, siguiendo lo dispuesto por la Guía para la
notificación de brechas de datos personales emitida por esta Agencia,
se publicó la siguiente entrada en el blog corporativo de Orange (cuyo
acceso sigue disponible a fecha de la presente. Así mismo, a fin de que
el incidente tuviera la suficiente difusión, de modo que no pasara
desapercibido para ningún cliente de Orange/Jazztel, Orange procedió
a comunicar el incidente al Instituto Nacional de Ciberseguridad para su
publicación”.
)c “Las comunicaciones se remitieron entre los días 4 de noviembre de
2022 y 7 de noviembre de 2022. Así mismo, como ya fue informado,
entre los días 7 y 9 de diciembre de 2022, se remitió comunicación en
los mismos términos, a aquellos clientes cuyos datos quedaron
afectados y, al tener una deuda derivada de la adquisición de un
terminal a plazos, sus datos eran igualmente tratados por los
responsables Orange Bank y/o Santander Consumer Finance”.

En fecha 19 de octubre de 2022 y registro de entrada REGAGE23e00039958979 se
recibe respuesta al requerimiento por parte de SANTANDER CONSUMER, de su
análisis por el inspector se extrae la siguiente información relevante:

- En relación con el encargo de tratamiento con ORANGE ESPAGNE se realiza
la siguiente afirmación:
)a “Con fecha 7 de julio de 2015, las Partes formalizaron un Contrato de
prestación de servicios que se adjunta como Documento nº 2 a la
presente, mediante el cual Orange prestaría a Santander Consumer
servicios de facturación, cobro, recobro y postventa a sus clientes y en
el cual se regula el encargo de tratamiento de Orange.”
)b “Que el 2 de enero de 2020, Santander Consumer recibe notificación de
Orange por la que indica su intención de no prorrogar el Contrato de
servicios. No obstante, se acuerda que se mantendrán por Orange los
servicios en relación a los créditos cedidos a la fecha de vencimiento
hasta la total percepción de los derechos económicos o finalización de
los servicios de Recobro de los mismos. Se adjunta dicha comunicación
como Documento nº2”. El documento nº2 adjunto contiene únicamente
un correo enviado por SANTANDER COSUMER a ORANGE ESPAGNE
dando acuse de la notificación recibida con la intención de no prorrogar
el contrato marco de compraventa de créditos, afirmando también la
voluntad del responsable de llegar a obtener “una mutua colaboración
de buena fe no solo con el fin de facilitar una resolución ordenada de
las relaciones del contrato, sino también en aras al mantenimiento por
su parte de la gestión de servicios en relación a los créditos cedidos a
la fecha de vencimiento hasta la total de los derechos económicos o la
finalización de los servicios de recobro de los mismos”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/60

- Aportan análisis de riesgos para los derechos y libertades de los tratamientos
de las actividades afectadas por la brecha, concluyendo un alto riesgo en una
de ellas y aportando la EIPD realizada en consecuencia. Del análisis de estos
documentos por el inspector se obtiene:

)a El análisis de riesgos tiene fecha de realización inicial agosto de 2020 y
posterior actualización abril 2022 y mayo de 2023.
)b Se incluye un análisis de la idoneidad, necesidad y proporcionalidad del
tratamiento.
)c Se incluye una descripción del tratamiento y del ciclo de vida de los
datos.

- En relación con la cronología y registro del incidente se afirma:

)a Que el 25 de octubre de 2022 ORANGE ESPAGNE les notifica la
brecha.
)b “En un primer análisis del incidente, el total de clientes afectados
ascendió a 28.120 y por ello el 29 de octubre de 2022 se decide
reportar el incidente por Santander Consumer a la AEPD.
Posteriormente y tras investigaciones realizadas el total de afectados
ascendió a 124.595, como así se comunicó a la AEPD en la información
con número de registro REGAGE22e00057522607. El 16 de noviembre
de 2022 Santander Consumer recibió requerimiento de la AEPD para
notificar a los interesados sobre el incidente, estableciendo un plazo de
30 días para responder a la Agencia. Entre el 7 y 16 de diciembre de
2022 y dentro del plazo estipulado, se envían las comunicaciones a los
interesados y se responde a la Agencia”.
)c Se afirma: “Que, con el objetivo de otorgar mayor transparencia y
generar un menor impacto en los afectados, la comunicación ha sido
realizada conjuntamente por Orange Espagne S.A.U. y Santander
Consumer ya que (i) los datos afectados son responsabilidad tanto de
Orange Espagne S.A.U. (por los tratamientos derivados de los servicios
de telecomunicaciones) como de Santander Consumer (por los
tratamientos derivados de la financiación del terminal), y (ii) Orange
Espagne S.A.U. es así mismo encargado de Santander Consumer
según el Acuerdo firmado por ambas partes el 7 de julio de 2015 para
los tratamientos derivados de la financiación del terminal, incluyendo las
comunicaciones con los clientes”.

- Se aporta captura de pantalla acreditando la comunicación enviada vía email a
las personas afectadas, el texto está firmado por los delegados de protección
de datos de ORANGE ESPAGNE y SANTANDER CONSUMER y hace
referencia a la actuación de ambas entidades como responsables de
tratamiento de los datos afectados.

DECIMOQUINTO: SANTANDER CONSUMER., es una entidad mercantil, cuya
empresa matriz global es el Banco Santander, S.A. siendo ésta, según la información
recogida en su propio “Informe anual 2022” del Grupo Santander, en el que consta
estructura societaria del Grupo Santander y su volumen de negocio. En este informe
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/60

consta que el volumen de negocio total anual global del Banco Santander, S.A. y
sociedades dependientes (Grupo Santander) en el ejercicio financiero anterior a la
comisión de la infracción, ejercicio 2021, fue de 52.117 millones de euros (ver página
836 del citado “Informe anual 2022”).

DECIMOSEXTO: En fecha 16 de febrero de 2024, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del artículo 5.1.f) del RGPD, tipificada
en el artículo 83.5 del RGPD.

El acuerdo de inicio fue enviado, conforme a las normas establecidas en la LPACAP,
mediante notificación electrónica, siendo recibido en fecha 21 de febrero de 2024,
como consta en el certificado que obra en el expediente

DECIMOSÉPTIMO: Habiendo solicitado la ampliación del plazo que le fue concedido
para formular alegaciones, así como copia del expediente, en virtud de lo establecido
en el artículo 32.1 de la LPACAP, en fecha 23 de febrero de 2024, se acordó ampliar
dicho plazo hasta un máximo de diez días, que debían computarse a partir del día
siguiente a aquel en el que recibiera la copia del expediente.

En fecha 20 de marzo de 2024, se remitió la copia solicitada de acuerdo con lo
dispuesto en el art. 53.1 a) de la LPACAP.

DECIMOCTAVO: Notificado el citado acuerdo de inicio conforme a las normas
establecidas en la LPACAP, la entidad investigada presentó escrito de alegaciones.

DECIMONOVENO: En fecha 20 de diciembre de 2024, se formuló propuesta de
resolución, proponiendo:

<<Que por la Directora de la Agencia Española de Protección de Datos se sancione a
SANTANDER CONSUMER FINANCE, S.A., con NIF A28122570, por la infracción del
artículo 5.1.f) del RGPD, tipificada conforme a lo dispuesto en el artículo 83.5 del
RGPD, calificada como muy grave a efectos de prescripción, en el artículo 72.1 a) de
la LOPDGDD, con una multa de 500.000 euros.

Que por la Directora de la Agencia Española de Protección de Datos se ordene a
SANTANDER CONSUMER FINANCE, S.A., con NIF A28122570, que en virtud del
artículo 58.2.d) del RGPD, en el plazo de seis meses a partir de la firmeza de la
resolución con la que finalice el presente procedimiento, acredite haber procedido a la
implantación de las medidas necesarias para garantizar la confidencialidad e
integridad de los datos por cuya cuenta se traten, así como que informe a esta
Agencia, en el mismo plazo, sobre las medidas adoptadas.>>

La citada propuesta de resolución fue enviada, conforme a las normas establecidas en
la LPACAP, mediante notificación electrónica, siendo recibida en fecha 26 de diciembre
de 2024, como consta en el certificado que obra en el expediente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/60

VIGÉSIMO: En fecha 26 de diciembre de 2024, SANTANDER CONSUMER presentó
un escrito a través del cual solicitaba la ampliación del plazo conferido para presentar
alegaciones, así como el acceso al expediente administrativo.

En fecha 30 de diciembre de 2024, el órgano instructor del procedimiento acordó la
ampliación de plazo hasta un máximo de cinco días, que debían computarse a partir
del día siguiente a aquel en el que finalizara el primer plazo de alegaciones y se
anexaba copia de los documentos añadidos al expediente, desde la respuesta a la
última solicitud de acceso, de 21 de marzo de 2024, fecha en que le fue entregada
copia íntegra por mensajería en un pen drive.

El citado acuerdo fue notificado en fecha 30 de diciembre de 2024, como consta en el
acuse de recibo que obra en el expediente.

VIGESIMOPRIMERO: En fecha 20 de enero de 2025, SANTANDER CONSUMER
presentó escrito de alegaciones a la Propuesta de Resolución, en el que, en síntesis,
manifiesta que:

PRIMERA. - VULNERACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA.

Expone que resulta claramente vulnerado dicho principio, toda vez que no consta ni
una sola actuación de investigación que permita concluir que efectivamente, el
ciberataque perpetrado, trajo causa en una ausencia de medidas por parte del
responsable del tratamiento y no en los actos vandálicos llevados a cabo por un
tercero, que tiene la consideración de grupo criminal, según reconoce el Ministerio de
Interior a través de su página web.

Indica que nos encontramos ante un grupo criminal pionero en cuanto a la explotación
de los modelos de ransomware, como servicio.

Por lo tanto, considera que la AEPD no ha entrado a analizar el supuesto de hecho
concreto, sino que simplemente se ha limitado a exigir la implementación de unas
medidas de seguridad como una obligación de resultado y no de medios, por lo que
existe una palmaria contradicción, toda vez que el criterio establecido por el Tribunal
Supremo, en su Sentencia 188/2022 de 15 de febrero de 2022, vino a fijar que la
obligación de adoptar medidas de seguridad es una obligación de medios.

En consecuencia, manifiesta que se desprende una notable privación de las facultades
de prueba y contradicción, derivándose un destacable desequilibrio en la posición que
ocupa SANTANDER CONSUMER en el procedimiento y obteniéndose como
resultado, la indefensión material, incurriéndose en el vicio de anulabilidad del art. 48.2
de la LPACAP.

Le resulta cuanto menos llamativo que la AEPD haya omitido de plano realizar
cualquier tipo de manifestación respecto al motivo que le ha llevado a apartarse de la
posición mantenida por el Tribunal Supremo, en cuanto al criterio de exclusión de la
imputación objetiva de la “prohibición de regreso”, máxime teniendo en cuenta que el
impacto de las actuaciones derivadas de la acción dolosa de un grupo organizado,
sobre la infracción que se pretende imputar, deriva de la decisión de no acceder a una
extorsión por parte del encargado del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/60

En definitiva, alega que esta Agencia basa sus alegaciones en meras hipótesis y sin
que exista un razonamiento lógico y fundado en una coherente contradicción respecto
de las alegaciones vertidas por esta parte en el escrito de alegaciones al Acuerdo de
Inicio de Procedimiento Sancionador.

SEGUNDA. - ADECUADAS MEDIDAS DE SEGURIDAD E INEXISTENCIA DE
INTENCIONALIDAD O NEGLIGENCIA MAYOR O SUPERIOR A LA DEL TIPO QUE
PUEDA TOMARSE EN CONSIDERACIÓN PARA AUMENTAR LA GRAVEDAD DEL
HECHO.

Recalca que la Compañía no puede ser considerada responsable de la infracción que
se le imputa, dado que la brecha de seguridad ocurrida en los soportes del
Subencargado del Tratamiento fue consecuencia directa de un ataque perpetrado por
un grupo criminal que empleó técnicas avanzadas de ingeniería informática para
comprometer las medidas de seguridad establecidas.

Así las cosas, considera que la Resolución no valora la influencia determinante de la
actuación de un tercero, en este caso, un grupo criminal con alcance internacional que
opera fuera del marco legal, siendo claro, como se ha establecido ut supra, que el
ataque orquestado se alinea con las características previstas en el marco penal, al
haber sido llevado a cabo mediante técnicas avanzadas que superan los estándares
de seguridad, lo que pone de manifiesto el propósito, resultando fundamental destacar
que la Compañía no puede ser considerada culpable de la infracción que se le imputa,
ya que la brecha de seguridad no fue resultado de una acción u omisión negligente de
su parte, sino de un hecho externo y extraordinario.

Tal y como reconoce la jurisprudencia, alega que, para poder determinar la sanción,
así como su cuantía, es necesario tomar en consideración la intencionalidad o
negligencia en la infracción, del mismo modo que la naturaleza, gravedad y duración
de la infracción, las categorías de los datos de carácter personal afectados, la forma
en que se tuvo conocimiento de la infracción.

Por lo tanto, considera que la AEPD -de manera unilateral- decide no aplicar los
criterios capitales que rigen entre la falta y la sanción, concluyendo en una actuación
discrecional, contraviniendo una vez más el principio de proporcionalidad.

Además, de acuerdo con el preámbulo 146 del RGPD, la imposición de sanciones,
incluidas las multas administrativas, debe estar sujeta a garantías procesales
suficientes conforme a los principios generales del Derecho de la Unión y de la Carta,
entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las
garantías.

TERCERA. - DE LAS OBLIGACIONES ASUMIDAS POR CADA UNA DE LAS PARTES
Y LAS RESPONSABILIDADES QUE SE DERIVAN DE LAS MISMAS.

Manifiesta que las actuaciones delictivas que dieron lugar a la notificación del incidente
de seguridad tuvieron su origen en los sistemas del Subencargado del Tratamiento,
razón por la cual no puede obviarse que la pérdida de confidencialidad como
consecuencia de la extracción de los datos responde a estas circunstancias. Por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/60

consiguiente, alega que era y es el encargado del tratamiento quien debía y debe velar
por que las garantías establecidas conforme al artículo 28 el RGPD se cumpliesen en
sus máximas.

Expone que claramente ORANGE, al amparo de lo establecido por el artículo 28 de la
Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, la
“LRJSP”) es la sociedad responsable del hecho supuestamente constitutivo de
infracción cometido por su Subencargado del Tratamiento y, por tanto, quien debe
soportar la multa impuesta por esta Agencia.

En todo caso, cualquier acción negligente o culpable contraria a la normativa vigente y
aplicable en materia de protección de datos, recae sobre el encargado del tratamiento,
sin que pueda considerarse que SANTANDER CONSUMER no contase con medidas
técnicas y organizativas adecuadas, conforme exige el artículo 32 del RGPD.

Así las cosas, alega que no cabe duda de que el hecho de imputar una infracción
derivada de las actuaciones que el encargado del tratamiento tenía encomendadas
deja en entredicho la debida y/o correcta aplicación de la normativa europea en
materia de protección de datos, unido a lo dispuesto en nuestra norma nacional. Todo
ello, sin olvidar las graves repercusiones que una sistemática actuación frente al
responsable del tratamiento puede acarrear, tanto a nivel reputacional como
económico, máxime si tenemos en cuenta que la Compañía actuó con la debida
diligencia y conforme lo estipulado por la ley.

CUARTA. - VULNERACIÓN DE LOS PRINCIPIOS RECTORES DEL
PROCEDIMIENTO ADMINISTRATIVO SANCIONADOR.

Alega que existe una más que evidente falta de motivación y, por tanto, no se ha
justificado debidamente el motivo por el cual esta Agencia en el presente
Procedimiento Sancionador se aparta de los criterios seguidos en otros expedientes,
véase (i) la brecha de seguridad sufrida por Facebook en 2019, que afectó a 533
millones de usuarios de la red, entre los que habría casi 11 millones de usuarios en
España, (ii) el ciberataque sufrido por Decathlon en el que quedaron expuestos más
de 123 millones de datos de sus usuarios registrados, de los cuales varios millones
eran de usuarios españoles, o (iii) el ciberataque a Iberdrola en 2022, en el que se
comprometieron datos de 1,3 millones de clientes, casualmente todos archivados.

Además, expone que junto el agravante de culpabilidad y/o negligencia- desvirtuado
en la Alegación Segunda - se ha fijado también como agravante el hecho de que la
actividad de la Compañía implica el manejo de un elevado número de datos
personales en cada una de las, sin ceñirse el órgano competente para resolver a los
hechos concretos. El hecho de que SANTANDER CONSUMER trate un gran número
de datos de carácter personal como consecuencia de su actividad, no puede ser
utilizado como un cajón de sastre para imponer una multa deriva de la acción ilícita de
terceros, a pesar de haberse adoptado medidas férreas destinadas a asegurar el
adecuado tratamiento de los datos de carácter personal.

Considera que, no obstante, para determinar la sanción a imponer por el supuesto
incumplimiento del artículo 5.1 f) RGPD, se ampara la AEPD en citar el artículo 83.5
RGPD, pero de forma interesada pretende extrapolar unos hechos que no han tenido
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/60

lugar para aplicar los criterios establecidos en el artículo 83 del RGPD, los cuales no
han sido observados en su totalidad, sino que simplemente son tenidos en cuenta para
la aplicación de agravantes, pero en ningún caso de atenuantes.

A tal efecto, manifiesta que tal y como se ha venido describiendo a lo largo del escrito
de alegaciones, en ningún caso ha existido culpabilidad o negligencia de SANTANDER
CONSUMER, ni se han reportado perjuicios o daños sufridos por sus clientes, aspecto
que resulta fundamental, puesto que las reclamaciones interpuestas y que dieron lugar
al inicio de las investigaciones, se encuentran totalmente desvinculadas de esta
entidad, así como es totalmente desacertado indicar que la infracción se comete por
no mantener en dato del IBAN ofuscado – criterio distinto de cifrado con todas las
implicaciones que esto puede acarrear-.

Entiende que la proactividad, la respuesta durante toda la fase de comunicación del
incidente y contestación a las preguntas formuladas por la AEPD, así como el hecho
de que fue esta misma parte la que informó a la Agencia sobre la brecha de seguridad
deben de ser tomadas en consideración, al igual que la falta de beneficio como
consecuencia de la supuesta infracción para cuantificar la sanción.

Así las cosas, considera que no solo es reprochable la actuación de esta Agencia por
no tomar en consideración los hechos reales – naturaleza, gravedad, duración de la
infracción, alcance, número de interesados afectados, nivel de daños o prejuicios
sufridos-, sino que, además, obvia que el mens rea se exige, por regla general, para
imponer una sanción penal y que, por lo tanto, la responsabilidad objetiva constituye
una especie de «excepción» a esta regla general, en la medida en que debe estar
justificada a la luz de los objetivos perseguidos por el Reglamento, siendo a su vez
dicha sanción incompatible con el principio de seguridad jurídica que se desprende del
artículo 25.1 de la CE ya que, una graduación ad hoc de la sanción, deja unos límites
amplios al órgano sancionador.

En virtud de lo expuesto, solicita que se acuerde el archivo de las presentes
actuaciones, dejando sin efecto el Acuerdo de Inicio. No obstante, para el caso de que
la AEPD no tenga a bien estimar la totalidad de las pretensiones esgrimidas por
SANTANDER CONSUMER, solicita a esta autoridad de control que se proceda a la
correcta cuantificación de la sanción atendiendo a la totalidad de los hechos descritos
en el escrito.

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS PROBADOS

PRIMERO: Ha quedado constatado que, en fecha 3 de octubre de 2022, el equipo de
MARKTEL detectó que algunas aplicaciones presentaban problemas de acceso,
observándose a partir de este momento, elementos cifrados en los servidores. Consta
que existía implantado un equipo de protección antimalware que llegó a detectar la
existencia de movimientos laterales en servidores, pero no fue capaz de contener el
ataque. Ha quedado también constatado que los atacantes estaban dentro de los
sistemas de MARKTEL al menos desde el 11 de septiembre de 2022, no obstante, no
fue hasta el 17 de octubre de 2022, cuando se tuvo constancia de la filtración de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/60

personales tras detectarse publicación en la página web del grupo atacante de la Dark
Web.

La información publicada en la Dark Web, procedía de la tabla “Clientes” de la base de
datos, con algunos datos en abierto, que contenía 1.027.969 registros (con un total de
803.099 números de DNI únicos) y los siguientes campos:

• DNI.
• Nombre y Apellidos.
• Teléfono.
• Email.
• Dirección (Calle, Número, Localidad, CP).
• Fecha Nacimiento.
• Números de cuenta IBAN sin ofuscar de 517.326 registros, (para el
resto de los registros estaba ofuscado o no incorporaban este dato).

SEGUNDO: En fecha 5 de octubre de 2022 y 4 de noviembre de 2022, se reciben dos
notificaciones de brechas de seguridad por parte de MARKTEL con número de registro
de entrada REGAGE22e00044254458 y REGAGE22e00049917967.

Del contenido de ambas notificaciones se extrae la siguiente información relevante:

- Descripción de la brecha: “(...)”

TERCERO: En fecha 29 de octubre de 2022 y registro de entrada
REGAGE22e00048731676, se recibió notificación de brecha de seguridad por parte
del responsable de tratamiento, SANTANDER CONSUMER, con la siguiente
información asociada:

Descripción: “(…)”

Datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE,
Pasaporte y / o cualquier otro documento identificativo, Datos de contacto.
Afectados: 28.120.
Fecha detección: 28 de octubre de 2022.
Fecha de inicio: 3 de octubre de 2022.
Hay denuncia ante autoridades policiales.
Afirman que los afectados no serán informados.

CUARTO: Consta en el escrito de 19 de junio de 2033, registro
EGAGE23e00039958979, de SANTANDER CONSUMER que, tras la orden de esta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/60

Agencia de comunicación a los afectados, se procedió a realizar dicha comunicación
en las siguientes fechas y medios:

Del resto de afectados (1.038) no se disponía de datos de contacto válidos.

QUINTO: En fecha 15 de diciembre de 2022, y registro de entrada
REGAGE22e00057522607, se recibió notificación de brecha de seguridad por parte
del responsable de tratamiento, SANTANDER CONSUMER, por cambio sustancial de
información de la brecha reportada el 29 de octubre de 2022, con número de registro
REGAGE22e00048731676.

Tras investigaciones posteriores, se encuentra un número mayor de afectados.

En algunos casos (105.401 casos), el fichero robado tenía los datos del código IBAN
completo.

Datos afectados: Datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE,
Pasaporte y / o cualquier otro documento identificativo, Datos de medios de pago
(Tarjeta bancaria, etc.…), Datos de contacto.

Afectados: 124.595

Fecha detección: 28 de octubre de 2022.

Fecha de inicio: 3 de octubre de 2022.

Nº personas informadas 123.557

SEXTO: Ha quedado constatado la filtración de la tabla “Clientes” de la base de datos,
con algunos datos en abierto, que contenía 1.027.969 registros, con un total de
803.099 números de DNI únicos, (siendo 124.595 personas, las afectadas del
SANDANDER CONSUMER) y los siguientes campos:

 DNI.
 Nombre y Apellidos.
 Teléfono.
 Email.
 Dirección (Calle, Número, Localidad, CP).
 Fecha Nacimiento.
 Números de cuenta IBAN sin ofuscar de 517.326
registros y relativos a SANTANDER CONSUMER

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/60

105.401 casos (para el resto de los registros estaba
ofuscado o no incorporaban este dato).

Del informe técnico del incidente, de fecha 2 de noviembre de 2022, aportado por
MARKTEL, consta que “Hasta el pasado mes de noviembre del año 2021, el número
de cuenta bancaria viajaba de forma abierta en los campos de la base de datos que se
enviaba para la producción diaria. A partir de finales de noviembre el año 2021, en
dicho campo se realizó una acción de ofuscación desde Orange y, el número de
cuenta bancaria ya no navega de forma abierta en los archivos de producción que se
nos envían.”

SÉPTIMO: En relación con la responsabilidad de los datos personales filtrados, ha
quedado constatado que MAKTEL actuaba como subencargado de tratamiento,
subcontratado por ORANGE ESPAGNE para prestar el servicio de recobro de impagos
de clientes que adquirían deudas por la compra de terminales a plazos.

ORANGE ESPAGNE actuaba con un doble rol con respecto de estos datos, por un
lado, como responsable de tratamiento de los datos personales facilitados en la
compra, y por otro como encargado de tratamiento de SANTANDER CONSUMER
FINANCE al existir una cesión de derechos de créditos de las deudas contraídas en la
venta a plazos de los terminales, y encargar SANTANDER CONSUMER y a ORANGE
ESPAGNE la gestión de las operaciones de recobro en caso de impago.

OCTAVO: Consta que en fecha 7 de julio de 2015, ORANGE ESPAGNE. y
SANTANDER CONSUMER formalizaron un Contrato de prestación de servicios,
mediante el cual Orange prestaría a Santander Consumer servicios de facturación,
cobro, recobro y postventa a sus clientes y en el cual se regula el encargo de
tratamiento de Orange.

En el contrato de encargado del tratamiento, en relación con las medidas de
seguridad, se indica que se deberán aplicar las medidas de nivel medio.

En cuanto a la subcontratación se establece:

“El ENCARGADO DEL TRATAMIENTO podrá subcontratar con un tercero los servicios
objeto del Contrato de Prestación de Servicios, siempre y cuando se cumplan los
siguientes requisitos:

- Que el ENCARGADO DEL TRATAMIENTO comunique todos los datos (denomina-
ción social, domicilio social, número de identificación, etc.) del subcontratista al RES-
PONSABLE DEL FICHERO, de forma escrita, con anterioridad a su contratación.

-Que el tratamiento de los datos por parte del subcontratista se ajuste en todo caso a
las instrucciones del RESPONSABLE DEL FICHERO.

-Que se formalice por escrito un contrato entre el ENCARGADO DEL TRATAMIENTO
y la empresa subcontratista, en los mismos términos que el presente documento, y en
el que se exprese que el subcontratista se ajustará a las instrucciones del RESPON-
SABLE DEL FICHERO. Una vez firmado el contrato, el ENCARGADO DEL

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/60

TRATAMIENTO se obliga a enviar una copia del mismo al RESPONSABLE DEL
FICHERO.

El ENCARGADO DEL TRATAMIENTO controlará la calidad y nivel de cumplimiento de
las obligaciones de los proveedores con los que hubiese subcontratado con la misma
diligencia que debe observar en el cumplimiento de sus propias obligaciones,
respondiendo personalmente de ello y exonerando de toda responsabilidad derivada
de su actuación al RESPONSABLE DEL FICHERO.”

Y en relación con su vigencia se indica que su duración queda vinculada a la ejecución
del Contrato de Prestación de servicios y que, por tanto, tendría la misma duración que
dicho contrato de servicios, el cual tenía una vigencia hasta el 1 de julio de 2017,
aunque podía prorrogarse tácitamente por periodos bienales.

NOVENO: SANTANDER CONSUMER ha informado a esta Agencia que el 2 de enero
de 2020, Santander Consumer recibió notificación de Orange por la que comunicaba
su intención de no prorrogar el Contrato de servicios. No obstante, se acordó que se
mantendrían por Orange los servicios en relación con los créditos cedidos a la fecha
de vencimiento hasta la total percepción de los derechos económicos o finalización de
los servicios de recobro de estos. Aporta Documento nº2 que contiene únicamente un
correo enviado por SANTANDER COSUMER a ORANGE ESPAGNE dando acuse de
la notificación recibida con la intención de no prorrogar el contrato marco de
compraventa de créditos, afirmando también la voluntad del responsable de llegar a
obtener “una mutua colaboración de buena fe no solo con el fin de facilitar una
resolución ordenada de las relaciones del contrato, sino también en aras al
mantenimiento por su parte de la gestión de ser-vicios en relación a los créditos
cedidos a la fecha de vencimiento hasta la total de los derechos económicos o la
finalización de los servicios de recobro de los mismos”.

DÉCIMO: ORANGE ESPAGNE firmó un contrato de encargado con MARKEL con
vigencia retroactiva a partir del 1 de enero de 2022, el cual incorpora el objeto del
encargo de tratamiento, los datos personales afectados, las categorías de interesados,
las obligaciones asumidas por el encargado y las medidas de seguridad.

En dicho contrato, la Cláusula 17 relativa a la protección de datos, establece en cuanto
a las medidas de seguridad, en el apartado 2.6.d), que:

d. En los casos en que los datos sean tratados en los sistemas del PROVEEDOR, este
se obliga a garantizar, teniendo en cuenta el estado de la técnica, los costes de
aplicación, y la naturaleza, el alcance, el contexto, y los fines del tratamiento, así como
los riesgos de probabilidad y gravedad variables para los derechos y libertades de las
personas físicas, la aplicación de medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad al riesgo que, en su caso y entre otros, incluya:

 La seudonimización y el cifrado de datos personales;
 La capacidad de garantizar la confidencialidad, la integridad y la disponibilidad
y resiliencia permanentes de los sistemas y servicios de tratamiento;
 La capacidad de restaurar la disponibilidad y el acceso a los datos personales
de forma rápida en caso de incidente físico o técnico;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/60

 Un proceso de verificación, evaluación y valoración regular de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

ANEXO III
MEDIDAS ESPECÍFICAS EN MATERIA DE SEGURIDAD DE LA INFORMACIÓN Y
CÓDIGO DE CONDUCTA DE PROVEEDORES Y CONTROL DE FRAUDE Y
REVENUE ASSURANCE

(…)

UNDÉCIMO: En relación con el cumplimiento de las obligaciones de notificación de la
brecha tanto ante esta Agencia como a los afectados ha quedado acreditado la
siguiente cronología de hechos:

- El 17 de octubre de 2022 MARKTEL tiene primer conocimiento de la filtración
de datos y notifica la brecha a sus clientes.
- El 22 de octubre de 2022 ORANGE ESPAGNE notifica la brecha a la AEPD.
- El 24 de octubre de 2022 ORANGE ESPAGNE tiene conocimiento de la
afectación de datos personales de SANTANDER CONSUMER, procediendo a
notificar la brecha a este el 25 de octubre de 2022.
- El 29 de octubre de 2022 SANTANDER CONSUMER notifica la brecha a la
AEPD.
- El 4 de noviembre de 2022 ORANGE SPAGNE remite comunicación inicial de
la brecha a los afectados, en ella no hace referencia a SANTANDER
CONSUMER como responsable de tratamiento de los datos.
- El 10 de noviembre de 2022 se envía desde esta Agencia una orden de
comunicación a los afectados sin dilación indebida dirigida al responsable
SANTANDER CONSUMER.
- Entre el 7 y el 16 de diciembre de 2022 SANTANDER CONSUMER FINANCE
comunica a los clientes afectados por la brecha, de llevar a cabo esta
comunicación se encarga ORANGE ESPAGNE como encargado de
tratamiento, no obstante, ha quedado constatado que SANTANDER
CONSUMER tuvo conocimiento de la filtración el 25 de octubre de 2022.

DECIMOSEGUNDO: Se ha constatado la implantación del siguiente listado de
medidas preventivas por parte de MARKTEL en momentos previos al incidente:

(…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/60

DECIMOTERCERO: Se ha constatado la implantación y despliegue del siguiente
listado de medidas reactivas adoptadas por MARKTEL:

- (…)

DECIMOCUARTO: En relación con los clientes afectados por la brecha cuyos datos
eran responsabilidad de SANTANDER CONSUMER (tras la cesión de los derechos de
créditos de ORANGE ESPAGNE), ha quedado acreditado que estos clientes fueron
informados de esta cesión de créditos en la propia factura de compra, incluyéndose un
texto en el pie de factura con la siguiente información:

- Que SANTANDER CONSUMER es responsable de los derechos de crédito
de la deuda contraída y de sus datos personales.
- Que SANTANDER CONSUMER había delegado la gestión del cobro al
propio ORANGE ESPAGNE.
- La existencia de los derechos de protección de datos y la forma de
ejercerlos.
- Una dirección de correo electrónico para obtener información adicional.

FUNDAMENTOS DE DERECHO

I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento, la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

SANTANDER CONSUMER es una gran empresa del sector financiero, especializada
en financiación al consumo.

Para ello trata datos de carácter personal, entendiendo por dato de carácter personal:
“toda información sobre una persona física identificada o identificable”.

Realiza esta actividad en su condición de responsable del tratamiento, dado que es
quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/60

«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y
medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros.

Se considera persona física identificable aquella cuya identidad pueda determinarse,
directa o indirectamente, en particular mediante un identificador, como por ejemplo un
nombre, un número de identificación, datos de localización, un identificador en línea o
uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona.

Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de
operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.

El artículo 4 apartado 12 del RGPD define, «violación de la seguridad de los datos
personales»: como toda violación de la seguridad que ocasione la destrucción, pérdida
o alteración accidental o ilícita de datos personales transmitidos, conservados o
tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.

En el presente caso, y a raíz de la investigación realizada como consecuencia de la
notificación de la brecha de datos personales en las circunstancias arriba indicadas, se
han detectado posibles vulneraciones en la normativa de protección de datos.

La brecha está categorizada como una brecha de confidencialidad y de disponibilidad,
al constatarse un acceso indebido a los datos personales tratados.

Marktel sufrió un ataque en el que se vieron afectados datos personales. (…)

En relación con la responsabilidad de los datos personales filtrados, ha quedado
constatado que MARKTEL actuaba como encargado de tratamiento de ORANGE
ESPAGNE al prestar el servicio de recobro de impagos de clientes que adquirían
deudas por la compra de terminales a plazos. ORANGE ESPAGNE a su vez actuaba
como encargado de tratamiento de SANTANDER CONSUMER

ORANGE ESPAGNE y SANTANDER CONSUMER firmaron una cesión de derechos
de créditos a favor de SANTANDER CONSUMER de las deudas contraídas en la
venta a plazos de los terminales, encargando SANTANDAR CONSUMER, mediante
contrato de 7 de julio de 2015, a ORANGE ESPAGNE SAU los servicios de recobro de
las deudas y, ésta, a su vez, habría subcontratado a Marktel para que realizara la
gestión de las operaciones de recobro en caso de impago.

III
Alegaciones al acuerdo de inicio

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/60

En relación con las alegaciones aducidas al acuerdo de inicio del presente
procedimiento sancionador, se procede a dar respuesta a las mismas, según el orden
expuesto:

1. DE LAS RECLAMACIONES INTERPUESTAS QUE HAN DADO LUGAR A LA
APERTURA DEL PRESENTE ACUERDO DE INICIO.

Alega SANTANDER CONSUMER que esta AEPD ha vulnerado los principios de
seguridad jurídica, buena fe y confianza legítima establecidos en el artículo 3.2 e) de la
LRJSP ya que, mediante escrito de fecha 28 de diciembre de 2022, de la División de
Innovación Tecnológica de la AEPD, se indica que “Tras el análisis de la información
adicional aportada, la brecha ha sido actualizada en el registro de notificaciones de
brechas de datos personales y, sin perjuicio del curso de otros procedimientos, no
están previstas más acciones por parte de esta División con relación a este acto de
notificación de brecha de datos personales”

Pues bien, en contra de lo que afirma SANTANDER CONSUMER, este escrito no tiene
carácter decisorio, ni por su contenido, más bien es un “acuse de recibo” de la brecha
notificada y que en modo alguno puede entenderse como si esta AEPD hubiese
valorado que no concurría responsabilidad alguna por un supuesto incumplimiento de
la normativa de protección de datos y que había procedido al archivo de unas
actuaciones -tal y como ha querido entender SANTANDER CONSUMER-, ni tampoco
por su forma, pues ni siquiera formalmente refleja una decisión, ni mucho menos una
resolución de archivo de actuación alguna que ni siquiera se había iniciado.

Dicho escrito está encaminado a poner en conocimiento de SANTANDER
CONSUMER la recepción de la notificación de la brecha acaecida y de su
incorporación al registro de notificaciones de brechas, de acuerdo con lo determinado
en el artículo 31.d) del Estatuto de la Agencia, aprobado mediante Real Decreto
389/2021, de 1 de junio, sin que pueda deducirse a la vista del mismo que la AEPD
valoró y decidió que no concurría responsabilidad alguna por un supuesto
incumplimiento de la normativa de protección de datos.

Así, el artículo 13 del Estatuto de la AEPD, se determinan las funciones de la
Presidencia:

1. Corresponde a la Presidencia de la Agencia Española de Protección de Datos:

d) Dictar las resoluciones y directrices que requiera el ejercicio de las funciones de la
Agencia, en particular las derivadas del ejercicio de las competencias previstas en el
artículo 57 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de
27 de abril de 2016, y del ejercicio de los poderes de investigación y de los poderes
correctivos dispuestos en el artículo 58 del citado Reglamento.

El artículo 57, Funciones, del RGPD en su letra h) establece que:

“1. Sin perjuicio de otras funciones en virtud del presente Reglamento, incumbirá a
cada autoridad de control, en su territorio:

(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/60

h) llevar a cabo investigaciones sobre la aplicación del presente Reglamento, en
particular basándose en información recibida de otra autoridad de control u otra
autoridad pública;

(…)

En cuanto a las funciones de la Subdirección General de Inspección de Datos de la
AEPD el artículo 27 del Estatuto de la Agencia indica, en su apartado 1, que

“La Subdirección General de Inspección de Datos es el órgano administrativo,
dependiente de la Presidencia de la Agencia Española de Protección de Datos, que
desarrolla las competencias previstas en el artículo 57.1, letras f), g), h), i) y u) del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de
2016, y realiza las funciones de inspección y de instrucción necesarias para el
ejercicio de los poderes de investigación establecidos en el artículo 58.1, letras a), b),
d), e) y f) y de los poderes correctivos dispuestos en el artículo 58.2, letras a), b), c),
d), f), g), i) y j), ambos del citado Reglamento”

Y en el apartado 2 de este artículo 27 enumera las funciones que corresponden a la
Subdirección General de Inspección de Datos de Datos, entre las que se encuentran,
por lo que aquí interesa, las siguientes:

“a) La supervisión permanente del cumplimiento del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, de la Ley Orgánica
3/2018, de 5 de diciembre, y de las disposiciones que la desarrollen, por parte de los
responsables y encargados de los tratamientos.

(…)

b) El ejercicio de las potestades de investigación definidas en el artículo 51 de la Ley
Orgánica 3/2018, de 5 de diciembre.

(…)

d) La tramitación de los procedimientos en caso de posible vulneración de la
normativa de protección de datos conforme a lo dispuesto en el título VIII de la Ley
Orgánica 3/2018, de 5 de diciembre, incluyendo las reclamaciones de los ciudadanos
por falta de atención en sus solicitudes de ejercicio de los derechos contemplados en
los artículos 15 al 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo, de 27 de abril de 2016. Corresponde a la Subdirección General de
Inspección de Datos el deber de informar al reclamante sobre el curso y el resultado
de la reclamación presentada ante la Agencia Española de Protección de Datos, de
acuerdo con lo dispuesto en el artículo 77.2 del citado Reglamento.

(…)”

Por tanto, para proceder al archivo de unas actuaciones investigación se requiere,
primero, que se hayan iniciado (bien por haberse admitido a trámite una reclamación,
bien por iniciativa propia, lo cual en ambos casos exige una resolución expresa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/60

firmada por la Directora), lo cual no había sucedido en el momento de emitirse el
referido escrito de la División de Innovación Tecnológica y, en segundo lugar, es
necesario de nuevo una resolución expresa por parte de la Directora archivando
dichas actuaciones por entender, ahora sí, que de la información recabada en dichas
investigaciones, no se concluye la existencia de infracción en la normativa de
protección de datos, lo cual no se había producido.

En el presente caso, se presentaron dos reclamaciones por personas afectadas por la
brecha, las cuales fueron admitidas a trámite por la AEPD, en febrero de 2023, en
cumplimiento del artículo 64 LOPDGDD.

Artículo 64. Forma de iniciación del procedimiento y duración.

1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una
solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de
2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo
establecido en el artículo 65 de esta ley orgánica.

En este caso el plazo para resolver el procedimiento será de seis meses a contar
desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a
trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su
reclamación.

2. Cuando el procedimiento tenga por objeto la determinación de la posible
existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley
orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como
consecuencia de reclamación, que le será notificado al interesado.

Si el procedimiento se fundase en una reclamación formulada ante la Agencia
Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión
a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica.

Admitida a trámite la reclamación, así como en los supuestos en que la Agencia
Española de Protección de Datos actúe por propia iniciativa, con carácter previo al
acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que
se regirá por lo previsto en el artículo 67 de esta ley orgánica.

El procedimiento tendrá una duración máxima de doce meses a contar desde la
fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones.

En relación con las actuaciones previas de investigación el art. 67 de la LOPDGDD
dispone lo siguiente:
Artículo 67. Actuaciones previas de investigación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/60

1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida
a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos
podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor
determinación de los hechos y las circunstancias que justifican la tramitación del
procedimiento.

La Agencia Española de Protección de Datos actuará en todo caso cuando sea
precisa la investigación de tratamientos que implique un tráfico masivo de datos
personales.

2. Las actuaciones previas de investigación se someterán a lo dispuesto en la
sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una
duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión
a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la
Agencia Española de Protección de Datos actúe por propia iniciativa.
De dicha normativa no se infiere en modo alguno que la AEPD tenga que justificar de
la manera que exige SANTANDER CONSUMER el inicio de actuaciones previas.

SANTANDER CONSUMER argumenta que AEPD ha incluido dentro del
procedimiento, dos reclamaciones de dos interesados, sin que los mismos sean ni
siquiera clientes de SANTANDER CONSUMER o hayan referenciado en sus
reclamaciones a esa entidad y todo ello, sin llevar a cabo ningún tipo de averiguación
al efecto.

Sin embargo, contrariamente a lo manifestado, la AEPD sí realizó en este caso
actuaciones previas de investigación con la finalidad de esclarecer los hechos y las
circunstancias de lo acontecido, recabando más información al objeto de poder
determinar la existencia o no de una posible infracción de la normativa en materia de
protección de datos.

En este sentido, el inicio de investigaciones previas y su realización, potestad de la
AEPD con o sin reclamaciones, no prejuzga nada, sino que permite recabar la
información necesaria para determinar si hay indicios o no de infracción. Incluso tras
dicha investigación, puede ser que se archiven las actuaciones por entender, a la vista
de la información recabada, que no concurren los elementos necesarios para la
apertura de un procedimiento sancionador. Lo cual, en el presente caso, no ha
sucedido.

Lo que sí indica la normativa es que, tras la presentación de reclamaciones, esta
Agencia debe decidir si las admite a trámite o no. Una vez admitida a trámite la
reclamación, como indica el artículo 67.2 LOPDGDD referenciado, la AEPD puede
llevar a cabo actuaciones previas de investigación a fin de lograr una mejor
determinación de los hechos y las circunstancias, lo que aconteció en este caso. Es
una potestad que tiene atribuida la AEPD por el RGPD y por la LOPDGDD.

Asimismo, y a mayor abundamiento, incluso en el supuesto de no haber existido las
reclamaciones, el escrito de la División de Innovación Tecnológica no hubiera sido
tampoco óbice ni obstáculo para el ejercicio de las potestades de investigación que
tiene la AEPD, de conformidad con el citado artículo 64.2 que determina que “Admitida
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/60

a trámite la reclamación, así como en los supuestos en que la Agencia Española de
Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de
inicio, podrá existir una fase de actuaciones previas de investigación.”

Por tanto, el presente procedimiento sancionador no se ha iniciado por el contenido o
por alguna información nueva aportada en las dos reclamaciones presentadas en esta
AEPD, sino por la información y documentación obtenida tras el período de
actuaciones previas de investigación, al inferirse de la misma, posibles vulneraciones a
la normativa en materia de protección de datos.

A este respecto, se recuerda de nuevo que dichas reclamaciones sólo se admiten a
trámite, siendo la documentación y todo lo recopilado durante las actuaciones de
investigación lo que ha motivado, exclusivamente, el inicio del presente procedimiento
sancionador, y no las citadas reclamaciones.

Asimismo, se informa que respecto de los reclamantes no se ha realizado ninguna
actuación más allá de comunicarles (que no notificar) el inicio, en este caso, de un
procedimiento sancionador, y una vez finalizado el procedimiento únicamente serán
informados de su finalización y de la publicación de la resolución en la página web de
la AEPD.

2. OMISIÓN DE LA AEPD RESPECTO DE LA VALORACIÓN DE SANTANDER
CONSUMER COMO PARTE PERJUDICADA.

En este apartado, SANTANDER CONSUMER pone el foco en su condición de víctima
de un delito informático (ciberataque por un tercero) y de un delito de extorsión
(exigencia de pago bajo la amenaza de publicación de los datos exfiltrados), los cuales
cada vez son más sofisticados.

Expone que fue víctima del ciberataque de ransomware, sufrido por MARKTEL
denominado Lockbit 3.0, desarrollado por una organización de ciberdelitos sofisticada
que representa una amenaza importante para las empresas y organizaciones de todo
el mundo y es que solamente en 2022, año en el que se notificó la brecha, el grupo
Lockbit llevó a cabo más ciberataques con éxito que cualquier otro grupo de
ransomware, considerándose la aplicación LockBit 3.0 la versión más activa hasta la
fecha.

Dadas las características del ataque y las cifras de materialización de estos, considera
diabólico exigir a las empresas responsabilidades, solo porque sus sistemas de
seguridad (incluso siendo los mismos avanzados y robustos) no puedan repeler los
más sofisticados y dañinos ataques, cuando, de hecho, ni las propias Fuerzas y
Cuerpos de Seguridad especializados son capaces de contener su actividad delictiva.

Frente a ello, debe señalarse que la culpabilidad de la parte actora no puede
considerarse excluida ni atenuada por el hecho de que haya mediado la actuación
fraudulenta de un tercero, pues la responsabilidad de la parte actora no deriva de la
actuación de éste, sino de la suya propia.

En ningún caso se ha exigido una infalibilidad total de las medidas que se pueden
adoptar para garantizar una protección adecuada en el tratamiento de los datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/60

personales. El hecho de que se haya apreciado que el responsable de tratamiento
contara con algunas medidas de seguridad, no obsta a que en este procedimiento
sancionador se haya comprobado que, en relación con la información publicada en la
Dark Web, se filtrara la tabla “Clientes” de la base de datos, con algunos datos en
abierto, que contenía 1.027.969 registros (con un total de 803.099 números de DNI
únicos) y los siguientes campos:

 DNI.
 Nombre y Apellidos.
 Teléfono.
 Email.
 Dirección (Calle, Número, Localidad, CP).
 Fecha Nacimiento.
 Números de cuenta IBAN sin ofuscar de 517.326
registros, (para el resto de los registros estaba ofuscado
o no incorporaban este dato).

De los datos exfiltrados, según consta en la notificación de brecha de datos personales
de SANTANDDR CONSUMER, de 15 de diciembre de 2022, y registro de entrada
REGAGE22e00057522607, los afectados por la brecha fueron 124.595 clientes de la
entidad y en 105.401 casos el fichero robado tenía los datos del código IBAN completo
de los clientes de la entidad.

Los datos comprometidos serían: Datos básicos (Ej: nombre, apellidos, fecha de
nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos
de medios de pago (Tarjeta bancaria, etc.…), Datos de contacto.

Además, al estar accesibles para cualquiera y de forma irremediable, supone un riesgo
muy alto de uso fraudulento de los mismos o de que sirvan para cualquier otra utilidad
que en determinadas circunstancias constituya una amenaza para sus titulares. Pero
no solamente se pueden ver los datos del IBAN de algunos clientes, sino que también
se podía ver el resto de los datos incluidos en la tabla “Clientes”, entre ellos el DNI,
dado que no se encontraban cifrados, lo que incrementa el riesgo de que los titulares
de los datos comprometidos puedan sufrir efectos negativos y perjuicios como
consecuencia de la brecha de datos personales.

SANTANDER CONSUMER es responsable del tratamiento de estos datos y en
consecuencia responsable de que los datos tratados por su cuenta tengan las debidas
garantías de seguridad que impidan o dificulten una pérdida de confidencialidad,
integridad o disponibilidad de los datos, lo que no sucedió en este caso al encontrase
los datos sin cifrar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/60

3. SOBRE LA RESPONSABILIDAD DE ORANGE COMO ENCARGADO DEL
TRATAMIENTO DE SANTANDER CONSUMER.

Afirma SANTANDER COMNSUMER que MARKTEL era encargado del tratamiento de
ORANGE y que por tanto ninguna culpa puede asumir SANTANDER CONSUMER.

Sin embargo, olvida SANTANDER CONSUMER que el responsable del tratamiento de
los datos exfiltrados de sus clientes es ella.

SANTANDER CONSUMER es el responsable de los derechos de crédito de la deuda
contraída por los clientes y la responsable del tratamiento de sus datos personales. Y
ello con independencia de la actuación y la responsabilidad en la que hayan podido
incurrir terceros, pues la negligencia o actuación ilegal de terceros no excluye la suya
propia.

El responsable del tratamiento debe cumplir los principios relativos al tratamiento,
establecidos en el artículo 5 del RGPD, entre ellos el de confidencialidad e integridad,
y debe ser capaz de demostrar su cumplimiento, de conformidad con el principio de
responsabilidad proactiva enunciado en el apartado 2 de dicho artículo.

Entre las obligaciones que el RGPD impone a los responsables para el cumplimiento
del principio de responsabilidad proactiva se incluye la de firmar con el encargado del
tratamiento un contrato u otro acto jurídico que le vincule en el que se establezca entre
otras estipulaciones que el encargado tomará todas las medidas necesarias de
conformidad con el artículo 32.

En fecha 7 de julio de 2015, ORANGE ESPAGNE y SANTANDER CONSUMER con
motivo del contrato de prestación de servicios suscrito en dicha fecha, formalizaron un
contrato de acceso a los datos de los que es responsable SANTANDER CONSUMER
que quedó incorporado al contrato de prestación de servicios en el ANEXO 3 del
mismo, mediante el cual ORANGE prestaría a SANTANDER CONSUMER servicios de
facturación, cobro, recobro y postventa a sus clientes.

En relación con las medidas de seguridad el contrato de acceso a datos indica que se
deberán aplicar las medidas de nivel medio, lo que no cumple con los requisitos que
recoge el artículo 32 del RGPD.

Recordemos que el artículo 32 del RGPD dispone que

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/60

c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales
de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta
los riesgos que presente el tratamiento de datos, en particular como consecuencia de
la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga
acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del
responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los
Estados miembros”.

Hay que señalar que el RGPD en el citado precepto no establece un listado de las
medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto
de tratamiento. Además, el cumplimiento del art. 5.1.f) del RGPD requiere que el
responsable del tratamiento aplique medidas técnicas y organizativas, de cualquier
tipo y no sólo de seguridad, que sean adecuadas al riesgo que conlleve el tratamiento,
teniendo en cuenta los riesgos de probabilidad y gravedad para los derechos y
libertades de las personas interesadas.

Asimismo, las medidas técnicas y organizativas apropiadas de seguridad deben
resultar adecuadas y proporcionadas al riesgo detectado, señalando que la
determinación de las medidas técnicas y organizativas deberá realizarse teniendo en
cuenta: la seudonimización y el cifrado, la capacidad para garantizar la
confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la
disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no
auditoría), evaluación y valoración de la eficacia de las medidas.

En todo caso, al evaluar la adecuación del nivel de las medidas técnicas y
organizativas de seguridad se tendrán particularmente en cuenta los riesgos que
presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o
alteración accidental o ilícita de datos personales transmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos y que
pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales.

En este mismo sentido el considerando 83 del RGPD señala que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/60

“(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en
el presente Reglamento, el responsable o el encargado deben evaluar los riesgos
inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas
medidas deben garantizar un nivel de seguridad adecuado, incluida la
confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación
con respecto a los riesgos y la naturaleza de los datos personales que deban
protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben
tener en cuenta los riesgos que se derivan del tratamiento de los datos personales,
como la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales”.

Por tanto, las instrucciones dadas por SANTANDER CONSUMER a su encargado
eran a todas luces insuficientes en cuanto a garantizar una protección de los datos
adecuada al riesgo.

Las medidas de seguridad deben ser evaluadas periódicamente para aplicar medidas
eficaces adecuadas al riesgo. Sin embargo, SANTANDER CONSUMER ni siquiera
renovó el contrato de encargado del tratamiento suscrito con ORANGE ESPAÑA.

Se ha de señalar que el art. 5.1.f) del RGPD impone al responsable del tratamiento la
obligación de adoptar las medidas técnicas y organizativas apropiadas para garantizar
los derechos y libertades de los interesados, sin que esta obligación quede limitada a
implantar medidas exclusivamente de seguridad.

Una gestión adecuada del riesgo para los derechos y libertades de las personas ha de
permitir adoptar todas aquellas medidas, y no sólo de seguridad, que fueran
necesarias para garantizar que no se produzca una brecha de datos personales

En este sentido cabe destacar que la disposición transitoria quinta. “Contratos de
encargado del tratamiento” de la LOPDGDD estable que:

“Los contratos de encargado del tratamiento suscritos con anterioridad al 25 de mayo
de 2018 al amparo de lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999, de 13
de diciembre, de Protección de Datos de Carácter Personal mantendrán su vigencia
hasta a fecha de vencimiento señalada en los mismos y en caso de haberse pactado
de forma indefinida, hasta el 25 de mayo de 2022”.

Durante dichos plazos cualquiera de las partes podrá exigir a la otra la modificación
del contrato a fin de que el mismo resulte conforme a lo dispuesto en el artículo 28 del
Reglamento (UE) 2016/679 y en el Capítulo II del Título V de esta ley orgánica.

El contrato de servicios tenía una vigencia hasta el 1 de julio de 2017, aunque podía
prorrogarse tácitamente por periodos bienales. Y consta en el contrato de acceso a
datos que su duración quedaba vinculada a la ejecución del Contrato de Prestación de
servicios y que, por tanto, tendría la misma duración que dicho contrato de servicios.

En definitiva, SANTANDER CONSUMER debió haber renovado el contrato de
encargado del tratamiento o haber puesto fin al mismo, lo que no hizo prorrogándose
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/60

un contrato que debió haber finalizado el 1 de julio de 2019, tras la primera prorroga.
Ni siquiera lo dio por concluido el 25 de mayo de 2022.

De todo lo expuesto se infiere la falta de diligencia de SANTANDER CONSUMER a la
hora de aplicar medidas técnicas y organizativas para garantizar la confidencialidad e
integridad de los datos personales, pues mantuvo la vigencia de un contrato que no
recogía la necesidad de que fueran aplicadas por su encargado las medidas
adecuadas al riesgo para prevenir una brecha de datos personales o reducir el
impacto en caso de que esta se produjera.

4. UN INCIDENTE DE SEGURIDAD NO IMPLICA QUE NO HAYAN SIDO
IMPLEMENTADAS MEDIDAS DE SEGURIDAD SUFICIENTES.

A este respecto, procede señalar que el artículo 5.1.f) del RGPD no se refiere
únicamente a medidas de seguridad de la información o de ciberseguridad dirigidas a
evitar ataques informáticos, sino a la obligación de aplicar medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que
incluya, entre otros, la capacidad de garantizar la confidencialidad, integridad y
disponibilidad, para lo cual se tendrán en cuenta, los riesgos de probabilidad y
gravedad variables para los derechos y libertades de las personas físicas como exige
el artículo 24 del RGPD.

Es decir, el RGPD establece la obligación de que se traten los datos personales de tal
forma que se garantice la confidencialidad, integridad y disponibilidad de estos y, para
ello, resulta necesario evaluar los riesgos y, en función de ellos, adoptar las medidas
adecuadas para evitarlos o mitigar su impacto sobre los derechos y libertades de las
personas físicas.

En el presente caso, como se ha señalado anteriormente, MARKTEL sufrió un ataque
de ransomware, causando una brecha de seguridad consistente en una brecha de
confidencialidad y de disponibilidad, al constatarse un acceso indebido a los datos
personales tratados que fueron además cifrados por el atacante.

Por tanto, considerando que los ataques son previsibles (y no todos inevitables), debe
disponerse de mecanismos que permitan garantizar la confidencialidad de los datos.
Por ello, debe partirse de la conciencia de que los mecanismos de prevención
difícilmente garantizan totalmente la seguridad de los datos ante determinados
ataques sofisticados y, en consecuencia, deben basarse en la valoración de medidas
que puedan mitigar el impacto y permitir una adecuada respuesta en caso de
materialización del riesgo.

La pérdida de confidencialidad se constató consecuencia de la exfiltración de los
datos. No debe olvidarse, en este sentido, que existen medidas dirigidas
específicamente a garantizar la confidencialidad de los datos personales, como el
cifrado de los mismos o la aplicación sobre ellos de técnicas de seudonimización o
anonimización, medidas que, en caso de haberse aplicado, habrían evitado el acceso
por un tercero no autorizado a los datos personales y posteriormente, la publicación
ulterior de los mismos, pues los delincuentes se hubiesen llevado una información
ininteligible.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/60

5. DE LAS CONSECUENCIAS QUE SE DERIVAN DE CUALQUIER ATAQUE DE
SEGURIDAD EFECTUADO POR UNA BANDA ORGANIZADA.

Alega aquí SANTANDER CONSUMER que en ningún caso puede imputársele la
responsabilidad de la publicación posterior por el delincuente en la Deep Web,
entendiendo que esta pérdida de control de los datos personales por los afectados es
una pérdida de confidencialidad que deriva de una intervención dolosa de un tercero y
no en una falta de diligencia o en un incumplimiento normativo por parte de
SANTANDER CONSUMER.

A este respecto, se significa que la vulneración de la confidencialidad que se imputa a
es la que le corresponde, es decir, por incumplir la obligación impuesta en el artículo
5.1.f) de tratar los datos de tal manera que se garantice una seguridad adecuada de
los mismos, incluida la protección contra el tratamiento no autorizado o ilícito,
mediante la aplicación de medidas técnicas u organizativas apropiadas. La pérdida de
control sobre los propios datos personales se produce desde el momento en que se
materializa la brecha de datos personales, es decir, desde que se produce ese acceso
por parte de un tercero no autorizado a los datos personales. Esta es la pérdida de
confidencialidad que se le imputa.

Como se ha mencionado anteriormente, existen medidas dirigidas específicamente a
garantizar la confidencialidad de los datos personales, como por ejemplo el cifrado de
los mismos o la aplicación sobre ellos de técnicas de seudonimización o
anonimización, medidas que, en caso de haberse aplicado, no se hubiera producido
un acceso por un tercero no autorizado a los datos personales ni, en consecuencia, la
publicación ulterior de los mismos.

A este respecto, procede traer a colación la Sentencia de 22 de junio de 2021- Rec.
1210/2018, y la Sentencia de 5 de noviembre de 2011 -Rec. 1796/2019 en la cual la
Sala valorando el elemento subjetivo o culpabilístico “…insistiendo en que la
culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el
hecho de que haya mediado la posible actuación fraudulenta de un tercero, pues la
responsabilidad de la parte actora no deriva de la actuación de éste, sino de la suya
propia”.

En cuanto a que ha habido otras entidades que han sufrido ataques similares, y por
tanto no es congruente, ni proporcionado, ni siquiera mantiene coherencia con cómo
ha interpretado hasta el momento esta Agencia este tipo de casos, que en supuestos
semejantes de brechas de seguridad por ransomware que, objetivamente, supusieron
la materialización de un riesgo superior para los afectados, la Agencia optara por el
archivo de las actuaciones, mientras que en el Acuerdo de Inicio proponga una
sanción que asciende quinientos mil euros (500.000 €), se significa que, además de
poner de manifiesto que este tipo de ataques están a la orden del día y por tanto
previsibles en gran medida, cada ataque es diferente pues, incluso aunque el ataque
fuese similar, en cada uno las empresas que lo sufren son distintas, con tratamientos
de datos personales diferentes y particulares y en cada caso hay que analizar las
medidas técnicas y organizativas existentes (si existían, si eran adecuadas para
garantizar un nivel de seguridad apropiado al riesgo concreto en cada caso, si fueron
eficientes, si se observaron, etc.)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/60

6. INEXISTENCIA DE INTENCIONALIDAD O NEGLIGENCIA POR PARTE DE
SANTANDER CONSUMER QUE PERMITA LA IMPOSICIÓN DE UNA MULTA
ADMINISTRATIVA.

En cuanto a la condición de SANTANDER CONSUMER de haber sido víctima de un
delito, se insiste en que la culpabilidad de la parte actora no puede considerarse
excluida ni atenuada por el hecho de que haya mediado la actuación fraudulenta de un
tercero, pues la responsabilidad de la parte actora no deriva de la actuación de éste,
sino de la suya propia.

Entiende SANTANDER CONSUMER que no queda acreditada la concurrencia de una
actuación culpable, intencionada o negligente por su parte, no pudiendo, por tanto
identificar en su conducta una infracción de la normativa de protección de datos
personales por el mero hecho de haber sido víctima de un ciberataque y,
consecuentemente, no siendo procedente la imposición ningún tipo de sanción, todo
ello teniendo en consideración la reciente jurisprudencia del Tribunal de Justicia de la
Unión Europea (TJUE) relativas a los asuntos C-683/21 (Nacionalinis
visuomenėssveikatos centras) y C-807/21 (Deutsche Wohnen)

Frente a ello, se significa que, en relación con la información publicada en la Dark
Web, se filtró la tabla “Clientes” de la base de datos, con algunos datos en abierto, que
contenía 1.027.969 registros (con un total de 803.099 números de DNI únicos) y los
siguientes campos:

En relación con los clientes de SANTANDER CONSUMER la brecha afectó a 124.595
clientes de la entidad y en 105.401 casos el fichero robado tenía los datos del código
IBAN completo de los clientes de la entidad.

Los datos comprometidos serían: Datos básicos (Ej: nombre, apellidos, fecha de naci-
miento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, Datos de
medios de pago (Tarjeta bancaria, etc.…), Datos de contacto.

Hasta la fecha de noviembre de 2021, el dato IBAN se almacenaba de forma abierta
en base de datos, no obstante, a finales de noviembre de 2021 se procedió a ofuscar
este dato, motivo por el que entre los datos filtrados existían registros con el dato del
IBAN en claro, por lo que cualquier atacante en cualquier parte del mundo que
accediera a los sistemas podía, sin consentimiento de sus titulares, tener acceso al
mismo, lo que ocurrió en este caso y lo que supone que el riesgo de la pérdida de
confidencialidad se ha materializado, conllevando una pérdida total y absoluta de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/60

control por sus titulares sobre sus datos. Además, al no estar cifrados y conservarse
en claro, se posibilita que sean accesibles para cualquier atacante no autorizado. La
no aplicación de medidas de cifrado supone un riesgo muy alto de uso fraudulento de
los mismos o de que sirvan para cualquier otra utilidad que en determinadas
circunstancias constituya una amenaza para sus titulares. Pero no solamente se
podían ver los datos del IBAN de algunos clientes, sino que también se podía ver el
resto de los datos incluidos en la tabla “Clientes”, entre los cuales se encontraba el
DNI de los interesados, dado que no se encontraban cifrados.

Ello refleja una negligencia por parte de SANTANDER CONSUMER, incurriendo por
tanto en la infracción imputada. Negligencia que es la que exige la sentencia referida
para poder sancionar por incumplimiento de las obligaciones que establece el RGPD a
los responsables de tratamientos de datos personales.

7. VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD RESPECTO DE LA
SANCIÓN ECONÓMICA PROPUESTA.

Debe señalarse que no se ha exigido una infalibilidad total de las medidas que se
pueden adoptar para garantizar una protección adecuada en el tratamiento de los
datos personales. Sin embargo, una vez producido el ataque, debe evaluarse la
diligencia de responsables y encargados en la aplicación de las medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
teniéndose en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el
alcance, el contexto y los fines del tratamiento. En el presente caso, la pérdida de
confidencialidad se constató consecuencia de la exfiltración de los datos.

A este respecto, procede señalar, por un lado, que en materia de protección de datos
las medidas técnicas y organizativas de seguridad a adoptar por los responsables del
tratamiento y demás obligaciones a cumplir exigidas por el RGPD, deben ser las
adecuadas en relación con los concretos riesgos que suponen los específicos
tratamientos que realice cada responsable. Por tanto, al analizar la diligencia de unos
y otros en el cumplimiento de la normativa, ha de estarse a las circunstancias de cada
caso concreto, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines de
cada tratamiento, no existiendo, por tanto, casos idénticos.

En el presente caso, se han tenido en cuenta las circunstancias del caso: la gravedad
de la infracción, las consecuencias de la misma, la falta de diligencia mostrada, los
concretos tratamientos que realiza, la tipología de datos personales y el número de
personas afectadas, las circunstancias de la empresa (tamaño, volumen de negocio,
etc.), circunstancias todas ellas puestas de manifiesto y motivadas en el Acuerdo de
Inicio del presente procedimiento sancionador y que se reproducen en la presente
propuesta, las cuales permiten concluir que se ha respetado el principio de
proporcionalidad a la hora de determinar la cuantía de la multa finalmente impuesta.

En consecuencia, las alegaciones deben ser desestimadas, significándose que las
argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones
que se declaran cometidas ni suponen causa de justificación o exculpación suficiente.

IV
Alegaciones a la Propuesta de Resolución
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/60

En relación con las alegaciones aducidas a la Propuesta de Resolución del presente
procedimiento sancionador, se procede a dar respuesta a las mismas, según el orden
expuesto:

PRIMERA. - VULNERACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA.

SANTANDER CONSUMER vuelve de nuevo a reiterar esta alegación que ya esgrimió
frente al Acuerdo de Inicio, cuya respuesta fue debidamente argumentada en la
Propuesta de Resolución y que aparece transcrita en el Fundamento de Derecho III de
la presente Resolución, a la que, en aras de economía procesal, procede remitirse. En
dicha argumentación, ya se indicó la existencia de negligencia en la actuación de la
Compañía.

Así, se indicó que la vulneración de la confidencialidad que se imputa a SANTANDER
CONSUMER es por incumplir la obligación impuesta en el artículo 5.1.f de tratar los
datos de tal manera que se garantice una seguridad adecuada de los mismos, incluida
la protección contra el tratamiento no autorizado o ilícito, mediante la aplicación de
medidas técnicas u organizativas apropiadas.

No debe olvidarse, en este sentido, que existen medidas dirigidas específicamente a
garantizar la confidencialidad de los datos personales, como el cifrado de los mismos.

Sin embargo, tal y como se ha indicado en los Hechos Probados, en el momento de
producirse el incidente de seguridad, el mismo ha conllevado una brecha de datos
personales que ha afectado a la confidencialidad de éstos por cuanto la Compañía no
había implementado medidas que en caso de haberse aplicado, no se hubiera
producido un acceso ni una exfiltración de los datos personales, ni una publicación de
los mismos como finalmente sucedió.

Por tanto, en el supuesto examinado, tal y como consta en los hechos probados, hay
una clara pérdida de confidencialidad pues se ha producido el acceso por un tercero
no autorizado a los datos personales tratados por SANTANDER CONSUMER, siendo
ello un resultado objetivo, que no una responsabilidad objetiva.

No hay que olvidar que el TS en su sentencia 188/2022, Fundamento de Derecho
Cuarto, afirma en relación con la responsabilidad de las personas jurídicas que: “El
hecho de que fuese la actuación negligente de una empleada no le exime de su
responsabilidad en cuanto encargado de la correcta utilización de las medidas de
seguridad que deberían haber garantizado la adecuada utilización del sistema de
registro de datos diseñado. Como ya sostuvimos en la STS nº 196/2020, de 15 de
febrero de 2021 (rec. 1916/2020) el encargado del tratamiento responde también por
la actuación de sus empleados y no puede excusarse en su actuación diligente,
separadamente de la actuación de sus empleados, sino que es la actuación "culpable"
de éstos, consecuencia de la violación de las medidas de seguridad existentes la que
fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos
"propios" de sus empleados o cargos, no de terceros.”

Y en este mismo sentido se pronuncia el TJUE, en su sentencia de 5 de diciembre de
2023, dictada en el asunto C-807/21,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/60

24 En efecto, según el mencionado órgano jurisdiccional, esta jurisprudencia, al
igual que la mayoría de la doctrina nacional, concede especial importancia al
concepto de «empresa», en el sentido de los artículos 101 TFUE y 102 TFUE,
y, por tanto, a la idea de que la responsabilidad se imputa a la entidad
económica en la que se ha adoptado el comportamiento indeseable, por
ejemplo, un comportamiento contrario a la competencia. A su entender,
conforme a esta concepción «funcional», todos los actos de todos los
empleados autorizados a actuar en nombre de una empresa son imputables a
la empresa, también en el marco de un procedimiento administrativo.

44 Por lo que respecta a las personas jurídicas, esto implica, por una parte,
como ha señalado, en esencia, el Abogado General en los puntos 57 a 59 de
sus conclusiones, que estas son responsables no solo de las infracciones
cometidas por sus representantes, directores o gestores, sino también por
cualquier otra persona que actúe en el ámbito de la actividad empresarial de
esas personas jurídicas y en su nombre. Por otra parte, las multas
administrativas previstas en el artículo 83 del RGPD en caso de que se
produzcan tales infracciones deben poder imponerse directamente a personas
jurídicas cuando estas puedan ser calificadas de responsables del tratamiento
en cuestión.

Y según la STJUE, de 5 de diciembre de 2023, dictada en el asunto C-683/21:

83 Por lo que respecta, en segundo lugar, a la cuestión de si puede imponerse
una multa administrativa con arreglo al artículo 83 del RGPD a un responsable
del tratamiento en relación con las operaciones de tratamiento efectuadas por
un encargado, es preciso recordar que, según la definición que figura en el
artículo 4, punto 8, del RGPD, se entiende por encargado del tratamiento «la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate
datos personales por cuenta del responsable del tratamiento».

84 Dado que, como se ha indicado en el apartado 36 de la presente sentencia,
un responsable del tratamiento es responsable no solo por todo tratamiento de
datos personales que efectúe él mismo, sino también por los tratamientos
realizados por su cuenta, puede imponerse a ese responsable una multa
administrativa con arreglo al artículo 83 del RGPD en una situación en la que
los datos personales son objeto de un tratamiento ilícito y en la que no es él,
sino un encargado al que ha recurrido, quien ha efectuado el tratamiento por
cuenta suya.

Por tanto, queda refutada esta alegación.

En cuanto a la alegación relativa a que la normativa aplicable no establece una
obligación de resultado respecto de las medidas de seguridad, sino sólo de medios,
trayendo para ello a colación la Sentencia del Tribunal Supremo STS 188/2022 de 15
de febrero de 2022, se significa que esta sentencia declara

“La obligación de adoptar las medidas necesarias para garantizar la seguridad
de los datos personales no puede considerarse una obligación de resultado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/60

(…) En las obligaciones de medios el compromiso que se adquiere es el de
adoptar los medios técnicos y organizativos, así como desplegar una actividad
diligente en su implantación y utilización que tienda a conseguir el resultado
esperado con medios que razonablemente puedan calificarse de idóneos y
suficientes para su consecución, por ello se las denomina obligaciones "de
diligencia " o "de comportamiento" (…) no basta con diseñar los medios
técnicos y organizativos necesarios también es necesaria su correcta
implantación y su utilización de forma apropiada, de modo que también
responderá por la falta de la diligencia en su utilización, entendida como una
diligencia razonable atendiendo a las circunstancias del caso.”

Pues bien, la nueva regulación prevista en el RGPD amplía notablemente las
obligaciones del responsable del tratamiento y su ámbito de acción y responsabilidad,
extendiéndose ahora de manera clara a las actuaciones realizadas por sus
encargados del tratamiento, que quedan dentro de su ámbito de responsabilidad.

Al respecto, esta Agencia desea señalar que de ninguna manera considera que la
obligación de implementación de medidas impuesta por la normativa de protección de
datos tenga una naturaleza de obligación de resultado y no de medios.

Pero no es menos cierto que la Compañía no contaba, antes de que se produjera el
incidente, con medidas que “conforme al estado de la tecnología y en relación con la
naturaleza del tratamiento realizado y los datos personales en cuestión, permitan
razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado”,
pues no hay que olvidar que los datos no se encontraban cifrados o sometidos a
cualquier otra técnica para impedir el acceso a la información.

SEGUNDA. - ADECUADAS MEDIDAS DE SEGURIDAD E INEXISTENCIA DE
INTENCIONALIDAD O NEGLIGENCIA MAYOR O SUPERIOR A LA DEL TIPO QUE
PUEDA TOMARSE EN CONSIDERACIÓN PARA AUMENTAR LA GRAVEDAD DEL
HECHO.

El hecho de que SANTANDER CONSUMER sea una gran empresa para cuya
actividad realiza un constante y abundante manejo de datos personales supone la
exigencia de una diligencia mayor en el tratamiento de los datos personales que la que
se pueda exigir a una pequeña empresa que realice tratamientos esporádicos o
accesorios.

A este respecto, procede recordar la existencia de negligencia en el cumplimiento y
observancia de las medidas adecuadas para garantizar la seguridad necesaria para la
protección de los datos personales, concretamente para garantizar la confidencialidad
de los datos personales, por cuanto no adoptó medidas dirigidas a ello, en especial las
consistentes en adoptar medidas de cifrado, seudonimización o anonimización.

Precisamente por el elevado número de tratamientos que realiza y clientes que han
resultado afectados, SANTANDER CONSUMER está obligada a actuar con la especial
diligencia que debe exigirse a una entidad de estas características, que realiza
numerosos tratamientos de datos personales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/60

Dicho esto, no puede obviarse el número considerable de afectados. Las actuaciones
de investigación desarrolladas han permitido constatar que el número de afectados
que han visto comprometida la integridad y/o confidencialidad de sus datos personales
fue de 1.027.969 registros (con un total de 803.099 números de DNI únicos) toda vez
que se produjo un acceso ilegítimo a datos personales por un tercero no autorizado, lo
que supuso la pérdida de confidencialidad y de control de numerosos datos personales
y que afectó a todos aquellos cuyos datos fueron conocidos.

Es cierto que SANTANDER CONSUMER sufrió el ataque de un tercero, pero se
observa falta de diligencia en el cumplimiento de las obligaciones que le impone la
normativa de protección de datos, al posibilitar el acceso por ciber-delincuentes a los
datos de carácter personal vulnerando su confidencialidad; en este sentido puede
citarse la SAN de 17/10/2007, que si bien fue dictada antes de la vigencia del RGPD
su pronunciamiento es perfectamente extrapolable al supuesto que analizamos.

La sentencia, después de aludir a que las entidades en las que el desarrollo de su
actividad conlleva un continuo tratamiento de datos de clientes y terceros han de
observar un adecuado nivel de diligencia, precisaba que “(...) el Tribunal Supremo
viene entendiendo que existe imprudencia siempre que se desatiende un deber legal
de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en
la valoración del grado de diligencia ha de ponderarse especialmente la
profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado,
cuando la actividad de la recurrente es de constante y abundante manejo de datos de
carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
prevenciones legales al respecto” (artículo 83.2, b) del RGPD).

En el caso que nos ocupa, el tipo de datos que trata y que fueron afectados por la
brecha de datos personales y que SANTANDER CONSUMER parece desdeñar,
supone un riesgo alto, en caso de vulnerarse su confidencialidad, de ser usados de
modo fraudulento: suplantación de la identidad phishing, fraude financiero, etc.

Además, la falta de diligencia demostrada en la conducta infractora de la que se le
responsabiliza debe calificarse de muy grave; SANTANDER CONSUMER está
obligada en virtud del artículo 5.2 del RGPD a desplegar la actividad adecuada para
cumplir los principios de protección de datos, por lo que aquí interesa, el de
confidencialidad, y a estar en condiciones de demostrar su cumplimiento.
En este sentido el TJUE, en su sentencia de 14 de diciembre de 2023, asunto C-
340/21 (VB), recuera que “el artículo 5, apartado 2, del RGPD establece un principio
de responsabilidad en virtud del cual el responsable del tratamiento es responsable del
respeto de los principios relativos al tratamiento de datos personales enunciados en el
apartado 1 de ese artículo y estipula que este responsable debe ser capaz de
demostrar la conformidad del tratamiento con dichos principios” (párrafo 49).
TERCERA. - DE LAS OBLIGACIONES ASUMIDAS POR CADA UNA DE LAS PARTES
Y LAS RESPONSABILIDADES QUE SE DERIVAN DE LAS MISMAS.

Manifiesta que las actuaciones delictivas que dieron lugar a la notificación del incidente
de seguridad tuvieron su origen en los sistemas del subencargado del tratamiento,
razón por la cual no puede obviarse que la pérdida de confidencialidad como
consecuencia de la extracción de los datos responde a estas circunstancias. Por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/60

consiguiente, era y es el encargado del tratamiento quien debía y debe velar por que
las garantías establecidas conforme al artículo 28 el RGPD se cumpliesen en sus
máximas.

Recordemos que en fecha 7 de julio de 2015, ORANGE ESPAGNE y SANTANDER
CONSUMER con motivo del contrato de prestación de servicios suscrito en dicha
fecha, formalizaron un contrato de acceso a los datos de los que es responsable
SANTANDER CONSUMER que quedó incorporado al contrato de prestación de
servicios en el ANEXO 3 del mismo, mediante el cual ORANGE prestaría a
SANTANDER CONSUMER servicios de facturación, cobro, recobro y postventa a sus
clientes.

En relación con las medidas de seguridad, el contrato de acceso a datos indica que se
deberán aplicar las medidas de nivel medio, lo que no cumple con los requisitos que
recoge el artículo 5.1.f) del RGPD.

Ello es responsabilidad de SANTANDER CONSUMER por cuanto, es la responsable
del tratamiento y es quien tiene la obligación de integrar y desplegar la protección de
datos dentro de todo lo que constituya su organización, en todos sus ámbitos de
actuación, ya afecten a sus empleados o a sus encargados del tratamiento. Se debe
tener muy presente que en última instancia la finalidad determinante es la de
garantizar la protección del interesado, pues el foco está los riesgos en los derechos y
libertades de los interesados derivados del tratamiento de datos personales que
realiza el responsable del tratamiento.

Por consiguiente, el responsable del tratamiento debe llevar a cabo una evaluación de
los riesgos para los derechos y libertades de las personas físicas en los tratamientos
de datos, implantando las medidas técnicas y organizativas apropiadas para aplicar los
principios de protección de datos e integrar las garantías necesarias en el tratamiento,
a fin de cumplir los requisitos del RGPD, debiendo poder demostrar que el tratamiento
es conforme con lo previsto en la citada norma. Y a la luz del principio de
responsabilidad proactiva (art 5.2 RGPD), el responsable del tratamiento debe poder
demostrar que ha tomado en cuenta todos los elementos previstos en el RGPD.

El sistema previsto en la LOPD era un sistema de cumplimiento y en la actualidad, se
ha pasado de un sistema con medidas de seguridad estándar y estáticas para
cualquier responsable, a medidas de seguridad propias para cada organización
(adaptadas a sus características e idiosincrasia), que considera los riesgos específicos
de la entidad de que se trate; además, ahora, son dinámicas, de tal forma que no se
agota con la implementación de las medidas adecuadas al riesgo al inicio de los
tratamientos, sino que deben ir adaptándose a los riesgos que vayan apareciendo.
Establecer el cumplimiento de medidas de nivel medio no supone haber dado
cumplimiento a esta obligación la cual exige la implementación de las medidas que en
cada caso sean necesarias.

Por tanto, todo ello no hace sino reflejar una falta de diligencia por parte de la entidad
investigada a la hora de garantizar una seguridad adecuada al riesgo de los
tratamientos de datos que lleva a cabo. En este sentido, no debe olvidarse que en la
base de datos afectada se encuentran almacenados datos personales de miles de
clientes, lo cual supone un tratamiento a gran escala, lo que exige medidas técnicas y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/60

organizativas apropiadas de todo tipo, incluidas las de seguridad, y dirigidas
especialmente a garantizar que no se produzca un acceso ilegítimo a dichos datos
personales.

Tal y como se ha venido demostrando y argumentando a lo largo del presente
procedimiento sancionador, se considera que no había implantadas unas medidas, en
este caso, apropiadas para garantizar la seguridad de los datos personales de los
clientes, lo que determinó en este supuesto un acceso ilegítimo a los datos personales
de los clientes de SANTANDER CONSUMER. Por tanto, no se está exigiendo una
responsabilidad objetiva como consecuencia exclusiva de un resultado provocado por
un ciberataque.

Es mucho más, es una falta de cumplimiento de las obligaciones impuestas por el
RGPD. Por tanto, se insiste, en que el responsable del tratamiento debe establecer, en
su relación con el encargado del tratamiento, modalidades claras para dicha asistencia
y dar instrucciones precisas al encargado del tratamiento sobre cómo cumplirlas de
forma adecuada y documentarlo previamente a través de un contrato o bien en otro
acuerdo (vinculante) y también posteriormente durante la vigencia del mismo y
comprobar en todo momento del desarrollo del contrato su cumplimiento en la forma
establecida en el mismo.

Sin embargo, las instrucciones dadas por SANTANDER CONSUMER a su encargado
eran a todas luces insuficientes en cuanto a garantizar una protección de los datos
adecuada al riesgo.

Basta con traer a colación el contenido de la STS 1562/2020, de 15 de junio de 2020,
rec. 601/2019, que señala lo siguiente:

“En tal sentido, ya la Sentencia del Tribunal Supremo de 5 de junio de 2004,
que confirma, en casación para Unificación de Doctrina, la de esta AN de 16 de
octubre de 2003, haciéndose eco de lo argumentado por esta Sala refiere la
diferenciación de dos responsables en función de que el poder decisión vaya
dirigido al fichero o al propio tratamiento de datos. Así, el responsable del
fichero es quien decide la creación del fichero y su aplicación, y también su
finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la
totalidad de los datos registrados en dicho fichero. El responsable del
tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre
las concretas actividades de un determinado tratamiento de datos, esto es,
sobre una aplicación específica. Se trataría de todos aquellos supuestos en los
que el poder de decisión debe diferenciarse de la realización material de la
actividad que integra el tratamiento. Con ello, como asimismo argumenta la
STS de 26 de abril de 2005 (casación para unificación de doctrina 217/2004),
el legislador español pretende adaptarse a las exigencias de la Directiva
95/46/CE, que tiene como objetivo dar respuesta legal al fenómeno, que cada
vez es más frecuente, de la llamada externalización de los servicios
informáticos, donde actúan múltiples operadores, muchos de ellos insolventes,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/60

creados con el objetivo de buscar la impunidad o irresponsabilidad de los que
le siguen en los eslabones siguientes de la cadena. En la actualidad, el nuevo
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de
abril de 2016, relativo a la protección de las personas físicas en lo que respecta
al tratamiento de datos personales (por el que se deroga la Directiva 95/46/CE,
y de aplicación directa a partir del 25 de mayo de 2018) distingue asimismo
entre las figuras del responsable y del encargado del tratamiento. La primera
se define en el apartado 7) del artículo 4 como " persona física o jurídica (...)
que determine los fines y medios del tratamiento”. Y el encargado de
tratamiento en el apartado 8) del mismo artículo 4 como aquel que "trate datos
personales por cuenta del responsable del tratamiento".

Ello en relación con los Artículos 24 y 28 del mismo Reglamento Europeo de
Protección de Datos. Responsable y encargado del tratamiento de datos que,
sin lugar a duda, resultan asimismo responsables de las infracciones en
materia de protección de datos, en tal nuevo marco normativo, de conformidad
con lo previsto en el artículo 82.2 del repetido Reglamento (UE) 2016/679 a
cuyo tenor: Cualquier responsable que participe en la operación de tratamiento
responderá de los daños y perjuicios causados en caso de que dicha operación
no cumpla lo dispuesto por el presente Reglamento. Un encargado únicamente
responderá de los daños y perjuicios causados por el tratamiento cuando no
haya cumplido con las obligaciones del presente Reglamento dirigidas
específicamente a los encargados o haya actuado al margen o en contra de las
instrucciones legales del responsable. Se desprende de todo lo anterior que la
concurrencia, en el presente supuesto, de un encargado del tratamiento ZZZZ
en absoluto exime de responsabilidad a la entidad XXXX ahora recurrente, y
ello a pesar de la contundencia de las cláusulas que figuran en el contrato y
anexo al mismo firmados por ambas compañías (hechos probados 9 y 10) en
cuanto los datos personales tratados lo fueron con la finalidad de llevar a cabo
una campaña publicitaria respecto de seguros de coche y moto que
comercializaba la (XXXX), en definitiva en beneficio de dicha XXXX, siendo tal
entidad actora la que, en último término, determina los fines y medios del
repetido tratamiento de datos, por lo que la misma no puede ser exonerada de
responsabilidad”.

Continua la STS, en relación con la posible exoneración de responsabilidad alegada
en cuanto a lo suscrito en el contrato de «encargado del tratamiento», lo siguiente:

“La conducta sancionada de obstaculización o impedimento por XXXX del
ejercicio por su cliente del derecho de oposición al tratamiento de sus datos, se
manifiesta en que dicha sociedad no adoptó ninguna clase de medida o de
cautela para evitar el envío de publicidad a las direcciones de correo
electrónico de su cliente por parte de aquellas empresas a las que encomendó
la realización de las campañas publicitarias.

La adopción de las medidas o cautelas necesarias para asegurar la efectividad
del derecho de oposición al tratamiento de sus datos por parte de XXXX, como
responsable del fichero, subsisten aunque las campañas publicitarias no se
realicen a partir de los datos de sus propios ficheros, sino con bases de datos
de otras compañías contratadas por XXXX, y en este caso quedó acreditado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/60

que la recurrente no comunicó a las empresas con las que contrató la
realización de servicios de publicidad la oposición del denunciante a recibir
publicidad de la Mutua, ni en definitiva adoptó previsión alguna para asegurar
la exclusión de su cliente de los envíos publicitarios contratados con terceras
entidades.”

En consecuencia, las alegaciones deben ser desestimadas toda vez que la entidad
investigada ha infringido las obligaciones impuestas en el RGPD en calidad de
responsable de los tratamientos llevados a cabo en su nombre y por su cuenta, en
relación con las responsabilidades que exige a todo responsable del tratamiento el
artículo 5.1.f) del RGPD.

CUARTA. - VULNERACIÓN DE LOS PRINCIPIOS RECTORES DEL
PROCEDIMIENTO ADMINISTRATIVO SANCIONADOR.

Frente a ello, indicar que esta Agencia no tiene un criterio de archivo en el supuesto de
ciberataques, del tipo que sea, ni tampoco, por tanto, respecto de aquellos afectados
por un ransomware, sino que, en materia de protección de datos, las medidas técnicas
y organizativas a adoptar por los responsables del tratamiento y demás obligaciones a
cumplir exigidas por el RGPD, deben ser las adecuadas en relación con los concretos
riesgos que suponen los específicos tratamientos que realice cada responsable.

Por tanto, al analizar la diligencia de unos y otros en el cumplimiento de la normativa,
ha de estarse a las circunstancias de cada caso, teniendo en cuenta la naturaleza, el
alcance, el contexto y los fines de cada tratamiento, no existiendo casos idénticos. Así,
un ataque realizado con el mismo ransomware en el mismo momento y en distintas
empresas tendría resultados dispares, pues las circunstancias son diferentes. Incluso
este mismo ataque contra la misma empresa en momentos distintos podría determinar
una situación diferente.

De los tres casos que cita SANTANDER CONSUMER, (la brecha de datos personales
sufrida por Facebook, el ciberataque sufrido por Decathlon y el ciberataque a
Iberdrola), dos se refieren a tratamientos transfronterizos en los que no habría
correspondido a la AEPD actuar en calidad de autoridad principal y el tercero sería un
caso local.

Pues bien, en cuanto a la empresa con establecimiento principal en España, conviene
precisar que en las Resoluciones publicadas en la web de la Agencia se omite todo lo
relacionado con las medidas concretas que resultan confidenciales en aras de
proteger la seguridad de las entidades, por lo que si SANTANDER CONSUMER ha
obtenido la información sobre el archivo de las actuaciones que menciona, no le habrá
resultado posible obtener las circunstancias tenidas en cuenta en cada caso.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/60

Es más, SANTANDER CONSUMER no justifica que, en los tres casos que menciona,
las actuaciones se hubieran archivado, ni siquiera indica la fuente de la que ha
obtenido esta información.

Las decisiones que toman las autoridades de control en cada caso no son susceptibles
de comparación, pues se refieren a distintas organizaciones que pueden ser muy
diferentes, bien por su tamaño, por los tratamientos que realizan, la tipología de los
datos, los datos personales involucrados, los riesgos existentes, los sistemas
afectados y por el momento tecnológico en el que opera cada ciber incidente.

Por lo expuesto, no existe en esta Agencia un criterio de archivo en casos de ataques
con ransomware, ni tampoco de imponer los mismos importes concretos de multas en
caso de ciberataques, pues en el caso de ciberataques, ya sean estos de tipo
ransomware o de otro tipo, se ha de estar al caso concreto y especialmente, a las
medidas previas de seguridad existentes y a las adoptadas para tratar el incidente.

Hay que señalar que el artículo 83.1 del RGPD previene que “Cada autoridad de
control garantizará que la imposición de las multas administrativas con arreglo al
presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y
disuasoria”.
Las multas por tanto según se deduce del precepto invocado han de ser efectivas,
proporcionadas y disuasorias para la consecución de la finalidad pretendida por el
RGPD.
Es cierto, que para que dicho sistema funcione con todas sus garantías es necesario
que varios elementos se desplieguen de forma íntegra y completa. La aplicación de
reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los
Estados miembros aplicando su derecho nacional, ya sea por circunstancias
agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso
español al permitirlo el propio RGPD-, restaría efectividad al sistema que perdería su
sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas
impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y
disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía
efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se
disminuirían los mecanismos de protección de los derechos y las libertades de los
ciudadanos y sería contrario con el espíritu del RGPD.
El RGPD está dotado de su propio principio de proporcionalidad que ha de ser
aplicado en sus estrictos términos.
En cuanto al principio de proporcionalidad de las sanciones, la Audiencia Nacional en
numerosas sentencias ha señalado que el principio de proporcionalidad no puede
sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la
Administración en la imposición de sanciones dentro de los límites legalmente
previstos, debe ser desarrollado ponderando en todo caso, las circunstancias
concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos
imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en
congruencia con la entidad de la infracción cometida y según un criterio de
proporcionalidad en relación con las circunstancias del hecho. De modo que la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/60

proporcionalidad constituye un principio normativo que se impone a la Administración y
que reduce el ámbito de sus potestades sancionadoras.
Pues bien, de conformidad con las circunstancias que concurren en el presente caso,
las cuales han sido evaluadas meticulosa y convenientemente, la presente resolución
no vulnera el principio de proporcionalidad en la determinación de la sanción impuesta,
resultando ponderada y proporcionada a la gravedad de la infracción cometida, la
importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar
la sanción, sin que se aprecien razones que justifiquen aún más la minoración
efectuada, sobre todo teniendo en cuenta la cuantía a la que pueden ascender dichas
sanciones de conformidad con el art. 83.5 del RGDP, que prevé para la infracción del
artículo 5.1.f) del RGDP, “con multas administrativas de 20.000.000€ como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía”.
En el presente caso, SANTANDER CONSUMER., es una entidad mercantil, cuya
empresa matriz global es el Banco Santander, S.A. siendo ésta, según la información
recogida en su propio “Informe anual 2022” del Grupo Santander, en el que consta
estructura societaria del Grupo Santander y su volumen de negocio. En este informe
consta que el volumen de negocio total anual global del Banco Santander, S.A. y
sociedades dependientes (Grupo Santander) en el ejercicio financiero anterior a la
comisión de la infracción, ejercicio 2021, fue de 52.117 millones de euros (ver página
836 del citado “Informe anual 2022”), resultando que la multa impuesta por la
infracción del artículo 5.1.f) del RGPD asciende a la cantidad de 500.000 euros que
estaría en el tramo inferior de la posible multa administrativa que pudiera imponerse al
responsable del tratamiento y muy lejos del 4% como máximo del volumen de negocio
total anual global del ejercicio financiero anterior teniendo en consideración el volumen
de negocio.

Lo que se trata de poner en evidencia es que la infracción del artículo 5.1.f) afecta a
uno de los principios básicos en los que se basa la normativa en materia de protección
de datos de carácter personal, la confidencialidad, y esa vulneración se halla
acrecentada y agravada por el número de afectados por el incidente, los daños y
perjuicios provocados (pérdida irreversible de poder y control de los datos personales
por los clientes) y su duración, pues hasta la fecha de noviembre de 2021, el dato
IBAN se almacenaba de forma abierta en base de datos, no obstante, a finales de
noviembre de 2021, se procedió a ofuscar este dato, motivo por el que entre los datos
filtrados existen registros con el dato del IBAN en claro.

Teniendo en cuenta que en la conducta concurre el elemento de culpabilidad, que es
indispensable para poder exigir responsabilidad sancionadora, en este caso se
concreta, además, en una muy grave falta de diligencia en el cumplimiento del
principio de confidencialidad de los datos de carácter personal como se ha puesto de
manifiesto a lo largo del procedimiento.
Además, la falta de diligencia demostrada en la conducta infractora de la que se le
responsabiliza debe calificarse de muy grave, SANTANDER CONSUMER está
obligada en virtud del artículo 5.2 del RGPD a desplegar la actividad adecuada para
cumplir los principios de protección de datos, por lo que aquí interesa, el de
confidencialidad, y a estar en condiciones de demostrar su cumplimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/60

Considera que tener en consideración su actividad bancaria como agravante es una
suerte de agravante objetiva; en primer término, no es una cuestión referida a la
actividad concreta que desarrolla una determinada entidad, sino que la agravante
prevista en el art. 76.2.b) de la LOPDGDD opera cuando se vincule la actividad del
infractor en la que ha tenido lugar la infracción con la realización de tratamientos de
datos personales y, es obvio que, en relación con el presente responsable del
tratamiento, la infracción se produjo en el contexto de su actividad bancaria, y que esta
está claramente vinculada, de manera directa, con múltiples tratamientos de datos
personales que afectan a miles de clientes.
En este sentido, la Audiencia Nacional ha considerado que es correcto apreciar la
agravante prevista en el art. 76.2.b) de la LOPDGDD siempre que exista la vinculación
antedicha y así lo ha considerado en numerosas sentencias, entre otras la fecha
04/07/2024, (rec. 382/2022) señala con relación a la citada circunstancia que:
“Como también, cabe apreciar la agravante del carácter continuado de la
infracción, recogida en el art. 76.2.a) de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales, remitiéndonos
para ello cuando analizamos la aplicación del RGPD a la infracción que nos ocupa.
Como igualmente, la apreciación de la vinculación de la actividad del infractor
con la realización de tratamientos de datos personales ( art. 72.2.b) la Ley Orgánica
3/2018, de 5 de diciembre), debido a que la actividad de la parte recurrente está
vinculada con el tratamiento de datos tanto de clientes como de terceros; es conocida
la citada vinculación ya que la entidad por su actividad está en permanente contacto
con clientes y terceros tratando un gran volumen de datos, lo que le impone un mayor
deber de diligencia” (el subrayado es nuestro).
Por último, considera que la AEPD para modular su responsabilidad no ha tenido en
cuenta elementos para atenuar la misma, como la proactividad, la respuesta durante
toda la fase de comunicación del incidente y contestación a las preguntas formuladas
por la AEPD, así como el hecho de haber notificado a la AEPD la brecha de seguridad.
A este respecto, procede señalar, en primer lugar, que el notificar a las autoridades de
control y comunicar a los afectados la violación de la seguridad de los datos
personales son obligaciones impuestas al responsable del tratamiento por el RGPD
(artículos 33 y 34 respectivamente), es decir, su observancia viene impuesta por
imperativo legal, se trata de un mandato que ha de ser cumplido, por lo que su
incumplimiento por el responsable, de conformidad con lo requerido en dichos
preceptos, puede suponer una infracción del RGPD.
En segundo lugar, los requerimientos de la AEPD son de obligado cumplimiento.
Por tanto, en este caso, el grado de cooperación con la Agencia no puede ser
apreciado y no procede aplicar la atenuante, por cuanto la consideración de la
cooperación con la Agencia como atenuante, tal y como pretende la entidad, no está
ligada a ninguno de los supuestos en los que se encuentre prevista legalmente una
colaboración o cooperación o dar respuesta a un requerimiento por mor de un
mandato legal.
Por tanto, cuando las actuaciones son debidas y obligadas por la Ley, como en el caso
que nos ocupa, no procede su aplicación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/60

Por último, en cuanto a la ausencia de beneficio como consecuencia de la presunta
infracción procede señalar que, sobre este criterio, el artículo 76.2 de la LOPDGDD, en
su letra c), incluye entre los criterios que deben sopesarse a la hora de fijar la cuantía
de la sanción “los beneficios obtenidos como consecuencia de la comisión de la
infracción” y no la ausencia de estos beneficios.
La Sentencia de la Audiencia Nacional, de 05/05/2021, se refiere a la necesidad de
que concurra el “presupuesto” de hecho contemplado en la norma para que pueda
aplicarse un determinado criterio de graduación, y, como se ha dicho, la ausencia de
beneficios no está entre las circunstancias reguladas en el artículo citado.
Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto
en el artículo 83.2.k) del RGPD, según el cual las multas administrativas se impondrán
teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las
circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas
evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar
una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios.

Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas,
proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD,
admitir la ausencia de beneficios como una atenuante, no solo es contrario a los
presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a
lo establecido en el artículo 83.2.k) del RGPD y a los principios señalados.

Así, valorar la ausencia de beneficios como una atenuante anularía el efecto
disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que
inciden efectivamente en su cuantificación, reportando al responsable un beneficio al
que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede
llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo
que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho
infractor. En todo caso, las multas administrativas establecidas en el RGPD, conforme
a lo establecido en su artículo 83.2, se imponen en función de las circunstancias de
cada caso individual y, en el presente, no se estima que la ausencia de beneficios sea
un factor de graduación adecuado y determinante para valorar la gravedad de la
conducta infractora.

En consecuencia, las alegaciones deben ser desestimadas, significándose que las
argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que
imputa ni suponen causa de justificación o exculpación suficiente.
V
Integridad y confidencialidad

El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:

“1. Los datos personales serán:
(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o
ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/60

de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»).”

En ese mismo sentido, el Considerado 39 RGPD dispone que: “Los datos personales
deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas
de los datos personales, inclusive para impedir el acceso o uso no autorizados de
dichos datos y del equipo utilizado en el tratamiento.”

El principio de integridad y confidencialidad de los datos exige una garantía de
seguridad en la aplicación de medidas técnicas u organizativas que eviten la alteración
de los datos personales, su pérdida, tratamiento o acceso no autorizado o ilícito. No es
posible la existencia de este derecho fundamental si no se garantizan la
confidencialidad, la integridad y la disponibilidad de estos.

De ahí que la integridad y la confidencialidad de los datos personales se consideren
esenciales para evitar que los interesados sufran efectos negativos. Por ello, deben
tratarse de un modo que se garantice una integridad y confidencialidad adecuadas de
los datos personales, especialmente para impedir el acceso tratamiento o uso no
autorizados de dichos datos.

En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las
garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de
responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo
tiempo que respeta el derecho fundamental a la protección de datos.

A este respecto, debe recordarse que la confidencialidad de los datos personales se
regula en el artículo 5 del RGPD siendo, por tanto, uno de los principios relativos al
tratamiento. Los principios relativos al tratamiento son, por un lado, el punto de partida
y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo
verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro
lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento
susceptibles de ser infringidas.

Por tanto, el principio de confidencialidad debe informar todos los aspectos, derechos
y obligaciones que conlleva el tratamiento de datos personales. Ello es así, porque la
vulneración de la confidencialidad conlleva para sus titulares la pérdida de control
sobre los mismos, lo que puede suponer graves riesgos para sus derechos y
libertades.

El artículo 5.1.f) del RGPD establece una obligación clara de cumplimiento consistente
en impedir tratamientos no autorizados o ilícitos implementando medidas de técnicas y
organizativas adecuadas. En consecuencia, los responsables del tratamiento deben
estar en disposición de garantizar la confidencialidad de los datos personales para
impedir que un tercero acceda a datos que no son de su titularidad, pues precisamente
les compete tratar los datos personales conforme al RGPD y LOPDGDD. Por esta
razón, es una actividad en donde la diligencia prestada por éstos es fundamental para
evitar este tipo de accesos no autorizados.

En el presente caso, se ha vulnerado el principio de confidencialidad pues consta que
tras sufrir un ataque informático por ransomware, se produjo un acceso ilegítimo a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/60

datos personales, lo que supuso la pérdida de confidencialidad y de control sobre los
mismos.

El hecho de que se haya apreciado que el responsable de tratamiento contara con
algunas medidas de seguridad, no obsta a que en este procedimiento sancionador se
haya comprobado que, en relación con la información publicada en la Dark Web, se
filtrara la tabla “Clientes” de la base de datos, con algunos datos en abierto, que
contenía 1.027.969 registros (con un total de 803.099 números de DNI únicos) y los
siguientes campos en claro:

 DNI.
 Nombre y Apellidos.
 Teléfono.
 Email.
 Dirección (Calle, Número, Localidad, CP).
 Fecha Nacimiento. Números de cuenta IBAN sin ofuscar
de 517.326 registros, (para el resto de los registros
estaba ofuscado o no incorporaban este dato). Números
de cuenta IBAN sin ofuscar de 517326 registros, (para el
resto de los registros estaba ofuscado o no incorporaban
este dato).

La brecha afectó a 124.595 clientes de SANTANDER CONSUMER y en 105.401
casos el fichero robado tenía los datos del código IBAN completo de los clientes de la
entidad.

Se afirma que hasta la fecha de noviembre de 2021, el dato IBAN se almacenaba de
forma abierta en base de datos, no obstante, a finales de noviembre de 2021 se
procedió a ofuscar este dato, motivo por el que entre los datos filtrados existen
registros con el dato del IBAN en claro, por lo que cualquier persona en cualquier parte
del mundo y sin consentimiento de sus titulares podría tener acceso al mismo, lo que
supone que el riesgo de la pérdida de confidencialidad se ha materializado,
conllevando una pérdida total y absoluta de control sobre dichos datos. Además, al
estar accesibles para cualquier atacante y de forma irremediable, supone un riesgo
muy alto de uso fraudulento de los mismos o de que sirvan para cualquier otra utilidad
que en determinadas circunstancias constituya una amenaza para sus titulares. Pero
no solamente se pueden ver los datos del IBAN de algunos clientes, sino que también
se podía ver el resto de los datos incluidos en la tabla “Clientes” dado que no se
encontraban cifrados.

Esta pérdida de control sobre los propios datos personales, se traduce en una
vulneración del derecho fundamental a la protección de datos reconocido en el artículo
18 de la Constitución Española pues tal y como ha indicado el Tribunal Constitucional
(Sentencia 292/2000, de 30 de noviembre de 2000) “el derecho fundamental a la
protección de datos persigue garantizar a la persona un poder de control sobre sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/60

datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y
lesivo para la dignidad y derecho del afectado (…) El derecho a la protección de datos
garantiza a los individuos un poder de disposición sobre esos datos”.

En este mismo sentido, y tal y como ya se ha puesto de manifiesto, existen medidas
dirigidas específicamente a garantizar la confidencialidad de los datos personales,
como puede ser el cifrado de los mismos o la aplicación sobre ellos de técnicas de
seudonimización o anonimización, medidas que, en caso de haberse aplicado, habría
cuanto menos dificultado el acceso por un tercero no autorizado a los datos
personales y, en consecuencia, la publicación ulterior de los mismos. Y ello porque la
pérdida de confidencialidad se constató consecuencia de la exfiltración de los datos;
pérdida de confidencialidad, producida por el acceso de un tercero no autorizado a los
datos personales, que no se hubiera producido si estos hubieran estado cifrados o
seudonimizados o anonimizados, pues los delincuentes se hubieran llevado una
información ininteligible.

En consecuencia, se considera que los hechos acreditados son constitutivos de una
infracción, imputable a la entidad investigada, por vulneración del artículo 5.1.f) del
RGPD.
VI

Tipificación de la infracción del artículo 5.1.f) del RGPD

La citada infracción del artículo 5.1.f) del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/60

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

VII
Sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida; i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/60

2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”

Sanción por la infracción del artículo 5.1.f) del RGPD

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por
infracción del artículo 5.1 f) del RGPD, procede graduar la multa teniendo en cuenta:

Como agravantes:

- Artículo 83.2.a) RGPD: Naturaleza, gravedad y duración de la infracción.

Se considera que la naturaleza de la infracción es grave puesto que acarrea una
pérdida de confidencialidad y, por tanto, de disposición y control irremediable sobre los
datos personales.

- Número de interesados afectados: se filtró la tabla “Clientes” de la base de datos que
contenía 1.027.969 registros de los cuales, 124.595 eran clientes de SANTANDER
CONSUMER.

- Nivel de los daños y perjuicios sufridos: Alto. Fueron sustraídos numerosos datos
personales de clientes de SANTANDER CONSUMER:

 DNI,
 Nombre y Apellidos,
 Teléfono,
 Email,
 Dirección (Calle, Número, Localidad, CP),
 Fecha Nacimiento
 105.401 registros Números de cuenta IBAN sin ofuscar (para el resto de los
registros estaba ofuscado o no incorporaban este dato).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/60

- Duración de la infracción: Se afirma que, hasta la fecha de noviembre de 2021, el
dato IBAN se almacenaba de forma abierta en base de datos, no obstante, a finales de
noviembre de 2021, se procedió a ofuscar este dato, motivo por el que entre los datos
filtrados existen registros con el dato del IBAN en claro.

- Artículo 83.2.b) RGPD. Intencionalidad o negligencia en la infracción: En este caso se
trata de negligencia grave.

El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la entidad investigada es de constante y
abundante manejo de datos de carácter personal, ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de
la Audiencia Nacional de 17/10/2007 (rec. 63/2006)].

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:

Como agravantes:

- Artículo 76.2.b) LOPDGDD. Vinculación de la actividad del infractor con la realización
de tratamientos de datos de carácter personal:

Consta conocido que la entidad investigada es una entidad que lleva a cabo el
tratamiento de un gran volumen de datos de carácter personal de sus clientes, y que
son tratados de forma sistemática en el ejercicio de su actividad bancaria que es la
que se ha visto afectada por la brecha de datos personales.

En consecuencia y a efectos del cumplimiento de los requisitos legalmente
establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y
aplicación de la normativa vigente en materia de protección de datos personales.

Esta circunstancia determina un mayor grado de exigencia y profesionalidad y,
consiguientemente, de responsabilidad de la entidad, en relación con el tratamiento de
los datos personales.

Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa
es de 500.000 € (quinientos mil euros), por infracción del artículo 5.1.f) del RGPD.

VIII
Adopción de medidas

En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y
los hechos que han dado lugar a la vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/60

tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

Por tanto, se considera procedente ordenar al responsable que, en el plazo de seis
meses, a partir de la firmeza de la resolución con la que finalice el presente
procedimiento, adopte las medidas necesarias para garantizar la confidencialidad de
los datos sujetos a su tratamiento y lo comunique a este organismo.

Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución sancionadora podrá ser considerado como una infracción
administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su
artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior
procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a SANTANDER CONSUMER FINANCE, S.A., con NIF
A28122570,

- por la infracción del artículo 5.1.f) del RGPD, tipificada conforme a lo dispuesto en el
artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el
artículo 72.1 a) de la LOPDGDD, con una multa de 500.000 euros.

SEGUNDO: ORDENAR a SANTANDER CONSUMER FINANCE, S.A., con NIF
A28122570, que en virtud del artículo 58.2.d) del RGPD, en el plazo de 6 meses desde
que la presente resolución sea firme y ejecutiva, acredite haber procedido a la
implantación de las medidas necesarias para garantizar la confidencialidad e
integridad de los datos por cuya cuenta se traten, así como que informe a esta
Agencia, en el mismo plazo, sobre las medidas adoptadas.

TERCERO: NOTIFICAR la presente resolución a SANTANDER CONSUMER
FINANCE, S.A. con NIF A28122570.

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.

Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/60

la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-101224

Olga Pérez Sanjuán
La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2
LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Hizmet sağlayıcı kaynaklı veri ihlalinde sorumluluk

Türkçe özet

Hukuki mesele

Sonuç

Karar metni