Veri İhlalinde Güvenlik ve Veri İşleyen Sözleşmeleri

1/35

 Expediente N.º: EXP202404934

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 19 de septiembre de 2025, la Presidencia de la Agencia
Española de Protección de Datos acordó iniciar procedimiento sancionador a
BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS S.A.U. (en adelante,
BARCELONESA), mediante el acuerdo que se transcribe:

<<
Expediente N.º: EXP202404934

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

ÍNDICE

HECHOS....................................................................................................................... 2
PRIMERO: Notificación de brecha de datos personales............................................2
SEGUNDO: Actuación de oficio..................................................................................3
TERCERO: Actuaciones previas de investigación......................................................4
-En cuanto a las causas que hicieron posible la brecha:........................................7
-Respecto a las medidas de seguridad implantadas con anterioridad a la brecha
en los tratamientos de datos donde se ha producido:.............................................8
-Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes
como el sucedido:.................................................................................................10
-Datos afectados:..................................................................................................11
-Contratos de encargo de tratamiento con terceros:.............................................11
CUARTO: Volumen de negocio................................................................................12
FUNDAMENTOS DE DERECHO.................................................................................12
I. Competencia......................................................................................................... 12
II. Procedimiento.....................................................................................................12
III. Cuestiones previas..............................................................................................13
IV. Primera obligación incumplida. Integridad y confidencialidad. Artículo 5.1.f) del
RGPD....................................................................................................................... 13
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/35

1.Origen de la brecha. Vector de entrada.............................................................14
2.Datos afectados, duración de la brecha de datos personales y afectados.........15
3.Ausencia de medidas técnicas y organizativas para garantizar la
confidencialidad de los datos personales..............................................................15
V. Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción.............................................................................................................. 17
VI. Propuesta de sanción por el incumplimiento del artículo 5.1.f) del RGPD..........18
VII. Artículo 28.3 del RGPD. Segunda obligación incumplida. Contrato de encargo.21
VIII. Tipificación de infracción del artículo 28 RGPD y calificación a efecto..............23
IX. Propuesta de sanción por el primer incumplimiento del artículo 28.3 del RGPD.24
X. Artículo 28.3 RGPD. Tercera obligación incumplida. Contrato de encargo...........25
XI. Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de
prescripción.............................................................................................................. 27
XII. Propuesta de sanción por el segundo incumplimiento del artículo 28.3 del RGPD
................................................................................................................................. 28
XIII. Medidas correctivas..........................................................................................29
SE ACUERDA:............................................................................................................. 31
PRIMERO: Inicio de procedimiento sancionador......................................................31
SEGUNDO: Designación de instructor.....................................................................31
TERCERO: incorporación de documentación al expediente....................................31
CUARTO: Posible sanción.......................................................................................31
QUINTO: Notificación y plazo de alegaciones..........................................................31

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Notificación de brecha de datos personales

Con fecha 20 de febrero de 2024, se notificó a esta Agencia una brecha de datos
personales de BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS S.A.U.,
con NIF A08435919 (en adelante, BARCELONESA), por parte del responsable del
tratamiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/35

Los hechos que se ponen en conocimiento de esta autoridad consisten en un “Posible
robo de datos de pago de tarjetas de crédito a través de intrusión en formulario java de
página web. Formulario espejo o similar.”

En la notificación se incluye, entre otros, la siguiente información:

“ (…)
- El tratamiento sobre el que se ha producido la brecha incluye datos de personas:
únicamente en España a nivel nacional.
- El incidente ha sido: intencionado, para hacer daño al
responsable/encargado o a las personas afectadas.
- El origen del incidente ha sido: externo: otros ajeno al responsable y
encargado del tratamiento.
- ¿Qué puede haber ocurrido?: Ciberincidente: dispositivo
cifrado/secuestro de información.
- Como consecuencia del incidente se ha visto afectada la:
confidencialidad.
- Referido específicamente a los datos afectados por la brecha de
disponibilidad. ¿Están los datos cifrados de forma segura,
anonimizados o protegidos de forma que son ininteligibles para
quien haya podido tener acceso o no se puede identificar a las
personas?: No
- ¿Qué puede haber ocurrido?: Pérdidas financieras.
- ¿En qué grado podrían afectar las consecuencias identificadas a las
personas físicas?: Las personas pueden encontrar inconvenientes
importantes, produciendo un daño limitado, que podrán superar a
pesar de algunas dificultades (costos adicionales, denegación de
acceso a servicios comerciales, miedo, falta de comprensión, estrés
dolencias físicas menores, etc)
- Seleccione los tipos de datos que se han visto afectados: datos de
medios de pago (tarjeta bancaria, etc).
- Las personas afectadas tienen los siguientes perfiles:
clientes/ciudadanos.
- En total, ¿Cuántas personas han visto sus datos afectados por la
brecha de datos personales?: ***CANTIDAD.1
- Indique la fecha de detección de la brecha (…): (...)
- Conoce la fecha en que se inició la brecha:
aproximadamente/estimada.
- Indique la fecha de inicio de la brecha: (...).
- La brecha se ha detectado mediante: la advertencia de un miembro
de la organización del responsable o encargado.
- Marque las medidas de seguridad implementadas en la
organización antes del suceso de la brecha (deberá poder acreditar
las medidas marcadas ante un eventual requerimiento de la
autoridad de control).
- ¿Se podría haber evitado la brecha adoptando alguna medida de
seguridad adicional?: sí.
- ¿Se ha producido el incidente por algún fallo deficiencia o
incumplimiento de medidas de seguridad implementadas?: No.
- Indique la fecha en la que se dio por resuelta la brecha: 20/02/2024.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/35

- ¿Se ha comunicado la brecha a las personas afectadas en las
condiciones anteriormente descritas?: No serán informados.
- Las personas afectadas no serán informadas porque: no existe un
riesgo alto para sus derechos y libertades.

El 5 de marzo de 2024, BARCELONESA remite escrito a la AEPD por el que señala
que “se ha procedido a comunicar al único afectado” por vía telefónica el 27 de febrero
sobre las 12 horas. Asegura, además que “de los posibles 359 afectados no tenemos
constancia, ni evidencia alguna de que en realidad haya ningún otro afectado (…)”.

SEGUNDO: Actuación de oficio

Como consecuencia de los hechos conocidos, con fecha 21/03/2024, la Directora de la
Agencia Española de Protección de Datos instó a la Subdirección General de
Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que
se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección
de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD).

TERCERO: Actuaciones previas de investigación

La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.

Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:

- Los días 24 de mayo de 2024, 2 de enero de 2025 y 26 de marzo de
2025, la SGID remitió a BARCELONESA requerimientos de
información en el marco de las actuaciones previas de investigación.
- BARCELONESA remitió contestación los días 14 de junio de 2024,
21 de enero de 2025 y 15 de abril de 2025 aportando los siguientes
documentos:

o Junto a su escrito de contestación de 14 de junio de 2024

 Contrato de encargo con la empresa ***EMPRESA.1.
 Copia del “informe de resultados del caso
***REFERENCIA.1- BARCELONESA” de 13 de mayo
de 2024 elaborado por la propia BARCELONESA.
o Junto a su escrito de contestación de 2 de enero de 2025
 Copia del “informe tecnológico forense” de 4 de abril
de 2024, elaborado por ***EMPRESA.2.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/35

 Copia del correo electrónico de 15 de febrero de 2024
a las 12:52 horas de ***EMAIL.1 (responsable de
ciberseguridad de BARCELONESA) a A.A.A.;
B.B.B., con CC a C.C.C., con asunto (en catalán en
el original): “***ASUNTO.1” con el contenido
siguiente (traducción no oficial, en catalán en el
original):

“Hola,
Respecto a lo que hemos comentado en la llamada,
Vadequimica tiene 4 “sites” verticales en 1 (vadequimica,
vadefood, vadepiscinas y vadecultivos). Es el mismo magento y
usan el mismo método de pago “***SISTEMA.2” en las 4
páginas. Con fecha de ayer 14/02/2024 se ha sacado el método
de pago “***SISTEMA.2” y actualmente todos usan al pasarela
de pagos”.

 Copia del correo electrónico de ***EMAIL.2 para
D.D.D. en el que se indica:

“(…) el día de ayer recibimos notificación desde ***EMPRESA.4
informando respecto de una sospecha de compromiso de datos
que podría haber afectado afectado la plataforma del comercio
***REFERENCIA.1 - BARCELONESA.

Esta situación, que puede estar relacionada con la inserción de
código malicioso en sitios web para acceder a datos
confidenciales, nos lleva a solicitar su colaboración en la
realización de una investigación exhaustiva en sus sistemas. Si
bien telefónicamente nos has comentado que no estaban al
tanto de esta situación hasta que se lo informó E.E.E. y que en
principio no hay código malicioso en vuestros sistemas (además
de que ya tenían previsto quitar el ***SISTEMA.2 de la web),
requerimos su colaboración para recabar la siguiente
información crucial y el inicio de una investigación interna
detallada y medidas adoptadas:

• Fecha de detección de la brecha.
• En caso de confirmarse la intrusión, indicar ubicación o
plataforma donde se detectó el incidente. ¿Han entrado en
servidor solo con datos de clientes o también accedieron a datos
de tarjetas?
• Tipos de datos comprometidos, (números de cuenta, fechas de
caducidad, nombres de titulares de tarjetas, CVV, CVV2,
direcciones, correos electrónicos, etc.) • Confirmar si la brecha
está contenida.
• Acciones realizadas hasta la fecha, incluyendo cualquier
denuncia interpuesta ante las autoridades pertinentes.
• Recomendamos considerar la presentación de una denuncia
policial, notificación al CSIRT (Equipos de Ciberseguridad y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/35

gestión de incidentes españoles) y al DPO (Departamento de
Protección de Datos) correspondiente según los datos
comprometidos.
• El análisis y tareas llevadas a cabo, ¿Las han realizado
vuestro equipo interno o se ha consultado con expertos
externos?
• Métodos de pago utilizados en la plataforma.

Asimismo, para asegurarnos que la brecha está contenida, es
fundamental conocer el flujo de datos de tarjeta, y entender los
controles que hay implementados en cada proceso, y en los
canales entre ellos. Nos referimos puntualmente a la solución
(…)
, el concentrador al que se conectan los distintos terminales del
comercio. Quisiéramos saber si hay riesgo en esta solución, es
decir, el tipo de operativa que realiza, si tiene la capacidad de
capturar manualmente y/o almacenar datos de tarjeta. Es
esencial verificar el cumplimiento con los estándares (…) del
comercio en cuestión. Por lo que rogamos que nos aporten la
documentación (…) de dicha solución. También destacar que, a
fin de confirmar la existencia o no de la posible brecha de
seguridad, cabe la posibilidad de que deban contratar una
empresa de seguridad informática externa para que realice un
peritaje forense en sus sistemas.

Agradeceríamos que procedan con celeridad y nos remitan la
información antes del viernes 16 de febrero para cumplir con el
plazo establecido. De nuevo, gracias su pronta atención a este
asunto y cualquier detalle adicional que puedan aportar, será de
gran valor para avanzar en esta investigación. La seguridad de
sus datos y la integridad de su plataforma son nuestra prioridad
absoluta. Quedamos a la espera de su pronta respuesta y a
disposición ante cualquier consulta o asistencia que necesiten
(…)”.

o Junto a su escrito de contestación de 26 de marzo de 2025
 Copia del Developer Report – Acunetix Security Audit

De los documentos y escritos de contestación emitidos por BARCELONESA se
desprende lo siguiente:

- BARCELONESA es responsable de la página
www.barcelonesa.com. Entre otras actividades, comercializa
productos a través de su tienda online www.vadequimica.com.

- Las compras a través de la web www.vadequimica.com se
realizaban empleando el denominado “método de pago
***SISTEMA.2”, en el que los clientes proporcionaban los datos de
sus tarjetas a través de un formulario establecido en esa web (a
través del cual se produjo la brecha) y después se transmitían a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/35

entidad de pago. Como medida reactiva, tras la brecha, y tal y como
consta en el correo electrónico aportado de 15 de febrero de 2024 a
las 12:52 horas por ***EMAIL.1, BARCELONESA sustituyó ese
método por el de “pasarela de pago”, en el que los clientes
proporcionan los datos de sus tarjetas en un formulario establecido
en los sistemas de la entidad de pago.

- En cuanto a la cronología de los hechos, de acuerdo con su escrito
de contestación de 14 de junio de 2024, así como en el “informe de
resultados del caso ***REFERENCIA.1- BARCELONESA”, es el
siguiente, sin perjuicio de que se añadan dos fechas anteriores al 14
de febrero de 2024, tal y como se recoge en el Informe del incidente
elaborado por ***EMPRESA.2:

 25 de agosto de 2023 un cliente de BARCELONESA
notifica aviso de su antivirus al navegar en la web
www.vadequimica.com; posteriormente (fecha
indeterminada), BARCELONESA identifica el problema
en su plataforma de comercio ***PLATAFORMA.1,
elimina los ficheros maliciosos y da por solucionado el
incidente.

 5 de febrero de 2024: Un cliente notifica a
BARCELONESA que su antivirus emitió un aviso al
realizar una compra con tarjeta a través de
www.vadequimica.com, y que tras la compra sufrió
cargos fraudulentos a través de esa tarjeta.

 14 de febrero de 2024:

o ***EMPRESA.3 (***EMPRESA.3) traslada a
BARCELONESA la notificación de
***EMPRESA.4 (en adelante, ***EMPRESA.4)
(del día anterior), sobre la sospecha de
compromiso de datos en la web de
BARCELONESA.
o BARCELONESA modificó este día 14 el
procedimiento de pago en su página.

 18 de febrero de 2024:
o Fecha en que recibe la notificación de
***EMPRESA.4.
o Fecha de detección de la brecha, entendida como
aquella en que tiene la certeza de afectación a
datos personales.

 20 de febrero de 2024: Notificación de la brecha a esta
Agencia por parte de BARCELONESA.

 27 de febrero de 2024:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/35

o Orden de la directora de la AEPD de comunicar la
brecha a los afectados y de notificación de su
cumplimiento.
o Comunicación telefónica de BARCELONESA a un
único afectado.

 5 de marzo de 2024: confirmación de BARCELONESA a
esta AEPD del cumplimiento de la comunicación.

 13 de marzo de 2024: inicio del análisis forense.

 14 de marzo de 2024: fecha del informe “***INFORME.1”

 4 de abril de 2024: fecha del informe forense de
***EMPRESA.2.

- En cuanto a las causas que hicieron posible la brecha:

BARCELONESA manifiesta que el “Posible robo de datos de pago de tarjetas de
crédito a través de intrusión en formulario java de página web. Formulario espejo o
similar.”

BARCELONESA manifiesta que el 13 de marzo de 2024 encargó informe forense a la
empresa “***EMPRESA.2” (***EMPRESA.2), y que recibió ese informe el 4 de abril.

El mencionado informe forense indica que BARCELONESA identificó “ficheros
maliciosos, y proporciona una lista de más de 140 de estos ficheros (...)), y que ese
código resulta ser “una función anónima autoejecutable […] diseñada para cargar un
script malicioso […] bajo ciertas condiciones”.

El informe forense también refleja la instalación de ***HERRAMIENTA.1, que es una
herramienta “(…)”. El informe indica que ese software estaba instalado en un lugar
poco habitual del directorio, y que es sospechoso de haber sido empleado en el
ataque.

Asimismo, en dicho informe se indica la presencia de varias “(…)”.

Y entre otras conclusiones en el informe forense se señala:

“1. La principal hipótesis que se baraja es qué los atacantes aprovecharon las
vulnerabilidades críticas de ***SISTEMA.1 para poder subir ficheros al sistema de
archivos del servidor de producción https://www.vadequimica.com/.

2. Evidencia de la subida de ficheros, son las (…) identificadas en el punto 2.3 del
presente informe.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/35

3. Los atacantes modificaron ficheros legítimos de la aplicación de comercio
electrónico Magento, con un malware que permitía la captura de los datos
relacionados con tarjetas de crédito.

4. Posteriormente estos datos eran enviados a un tercer servidor que no ha podido ser
identificado, por lo que no sabe el impacto real del incidente”.

Asimismo, se indica en su apartado 3.2 que a raíz del incidente “se ha comprometido
por completo el sitio web”.

- Respecto a las medidas de seguridad implantadas con anterioridad
a la brecha en los tratamientos de datos donde se ha producido:

BARCELONESA manifiesta, en su escrito de 14 de junio de 2024, que antes del
incidente disponía de las siguientes medidas de seguridad técnicas implementadas por
el gestor de Sistemas (***EMPRESA.1):

- (…).

No obstante, solicitada copia de los Análisis de Riesgo (AR) realizados sobre la
actividad de tratamiento que ha sufrido la brecha, BARCELONESA manifiesta en ese
mismo escrito que: “No se había llevado a cabo un análisis de riesgo específico sobre
la actividad afectada porque el sistema de cobro ***SISTEMA.2 (…) de
***EMPRESA.3 que era quien se encargaba de la gestión de cobros a través de la
entidad bancaria.”

Además, preguntado por el motivo por el que las medidas de seguridad implantadas
no han impedido el accidente, indica:

“El sistema de pago por (…) ***EMPRESA.3 no solo se ha demostrado no seguro,
sino que parece que "anima" a los ciberdelincuentes a intentar vulnerar nuestra
seguridad.”

En el mencionado informe ***INFORME.1, el análisis realizado arroja 170 alertas de
vulnerabilidad, con severidad categorizada como crítica (13), alta (60) media (72), baja
(9) e informativa (16), muchas de ellas conocidas con anterioridad a la brecha.

Los códigos CVE (Common Vulnerabilities and Exposures) y CWE (Common
Weakness Enumeration) son identificadores únicos asignados a vulnerabilidades y
exposiciones de seguridad conocidas públicamente en software y hardware. Estos
códigos permiten identificar las amenazas, facilitando la mitigación de riesgos.

Las vulnerabilidades críticas indicadas en el mencionado informe corresponden a:
(…); como indican sus códigos, con origen descubierto o registrado entre 2017 y 2020.

La mayoría de los códigos CVE de las vulnerabilidades de severidad alta
corresponden a los años 2017 a 2023, y algunos al periodo entre 2008 - 2016. Los
códigos CWE indican algunas vulnerabilidades conocidas anteriormente (…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/35

Varias de las vulnerabilidades de severidad crítica y alta indicadas permitirían, por
ejemplo, (…).

Las soluciones propuestas en el informe forense para las vulnerabilidades más
importantes identificadas son:

(…)

- Medidas técnicas y organizativas adoptadas para evitar, en lo posible,
incidentes como el sucedido:

BARCELONESA manifiesta en la primera de sus contestaciones a esta Agencia las
siguientes:

o (…)

- Datos afectados:

BARCELONESA manifiesta en la contestación de 21 de enero de 2025 de la Agencia
que la brecha afectó a los datos de tarjetas de crédito o débito (número de tarjeta,
fecha de caducidad y código CVV) que los clientes proporcionaban en el momento de
la compra, y que esos datos no se almacenaban como consecuencia del sistema de
pago ***SISTEMA.2 utilizado.

Asimismo, manifiesta en dicha contestación que el resto de datos de clientes (Nombre
y apellidos; dirección de envío; dirección de facturación; NIF/CIF/NIE; razón social;
sector de actividad; tipo de cliente (empresa o particular/autónomo); correo
electrónico), que estaban almacenados en una base de datos separada, no se vieron
afectados.

- Número de afectados:
BARCELONESA ha proporcionado un número de afectados por la brecha que varía en
sus comunicaciones a esta Agencia:

- En la notificación inicial de la brecha, incluyó número aproximado de
***CANTIDAD.1 personas afectadas, y que el tratamiento afectado se realiza
sobre aproximadamente ***CANTIDAD.2 personas.
- Cuando esta Agencia le instó a comunicar el incidente a los afectados, lo hizo a
un único afectado conocido.
- En su contestación a uno de los requerimientos, aclaró que el cálculo del dato de
***CANTIDAD.1 personas afectadas proporcionado inicialmente se realizó por
estimación del tráfico en la web.
- Por otra parte, en su contestación de 21 de enero de 2025, al segundo de los
requerimientos del inspector de esta Agencia, afirma que en sus registros
constaban, en el momento de la brecha, datos de unos ***CANTIDAD.3 clientes
particulares o empresarios autónomos, y que durante 2023 y 2024 se registraron
al menos ***CANTIDAD.4 de estos clientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/35

Por otra parte, se subraya que el informe forense señala: “No se ha podido identificar
la venta de las tarjetas de crédito que fueron robadas en el sitio web de Barcelonesa
de Drogas y Productos Químicos, S.A”.

- Contratos de encargo de tratamiento con terceros:

BARCELONESA manifiesta que “(…)”.

Solicitado los contratos suscritos para recibir la prestación de los servicios, así como
para el tratamiento de datos personales de sus clientes, correspondientes a (…) de
***EMPRESA.4”, BARCELONESA manifiesta en respuesta de 21 de enero de 2025 no
haber podido localizarlos.

Reiterado el requerimiento para que procediera a su aporte, en su contestación de 15
de abril de 2025, asegura que “se adjuntan los contratos que se han podido obtener
hasta el momento”, sin incluirlos.

CUARTO: Volumen de negocio

De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
BARCELONESA es una empresa con un volumen de negocios de 166.825.573 euros
en el ejercicio 2023.

FUNDAMENTOS DE DERECHO

I. Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

II. Procedimiento

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/35

De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).

III. Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que
BARCELONESA realiza, entre otros tratamientos, la recogida de datos personales de
personas físicas: número de tarjeta de crédito, caducidad de la misma y código CVV

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/35

BARCELONESA realiza esta actividad en su condición de responsable del tratamiento,
dado que es quien determina los fines y medios de tal actividad, en virtud del artículo
4.7 del RGPD.

IV. Primera obligación incumplida. Integridad y confidencialidad. Artículo 5.1.f) del
RGPD

La letra f) del artículo 5.1 del RGPD propugna:

"1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»)."

1. Origen de la brecha. Vector de entrada

Como se ha constatado en el informe de actuaciones previas de investigación, en la
notificación inicial de la brecha, se apuntó a un “Posible robo de datos de pago de
tarjetas de crédito (…).”

En el informe forense que consta en el expediente se indica que BARCELONESA
identificó (…)”.

El informe forense también refleja la instalación de ***HERRAMIENTA.1, que es una
herramienta (…). El informe indica que ese software estaba instalado en un lugar poco
habitual del directorio, y que es sospechoso de haber sido empleado en el ataque.

Asimismo, en dicho informe se indica la presencia de varias (…).

Y entre otras conclusiones en el informe forense: “(…)”.

El pago ***SISTEMA.2 consiste en que el formulario de pago se integra en la propia
interfaz de la tienda on line, utilizando su propio diseño web, con la presumible
finalidad de proporcionar una experiencia más visual e inclusiva al propio usuario,
otorgando mayor confianza. La principal diferencia entre el método ***SISTEMA.2 y la
pasarela de pago radica en dónde se introducen y procesan los datos de la tarjeta. En
el sistema ***SISTEMA.2, el formulario está alojado en la web del propio comercio, de
modo que los datos de tarjeta (aunque no se almacenen) pasan por sus servidores
antes de enviarse a la entidad de pago, lo que incrementa el riesgo de que sean
interceptados en caso de una intrusión. En cambio, con la pasarela de pago, el cliente
es redirigido directamente a los sistemas seguros de la entidad financiera o proveedor
de servicios de pago, de manera que los datos nunca llegan a pasar por los servidores
del comercio, reduciendo significativamente tanto la exposición a brechas de
seguridad como la responsabilidad directa del comerciante.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/35

A este respecto, los atacantes habrían tenido la oportunidad de leer los datos de las
tarjetas mientras los clientes los introducían en la página web de BARCELONESA, de
manera inadvertida, sin que dicha empresa ni los proveedores de servicios de pago
fueran consciente de ello (gracias a los programas introducidos en el sistema de
BARCELONESA aprovechando la vulnerabilidad en el módulo desarrollado para
***SISTEMA.1), tal y como se detalla en el informe forense.

1. Datos afectados, duración de la brecha de datos personales y afectados

BARCELONESA manifiesta en la contestación al segundo requerimiento de la Agencia
que la brecha de datos personales afectó a los datos de (…) que los clientes
proporcionaban en el momento de la compra debido al sistema ***SISTEMA.2
utilizado.

En cuanto a la duración de la brecha en sentido estricto, de acuerdo con la cronología
facilitada por BARCELONESA, puede afirmarse que esta se produjo desde la
instalación del (...) (desconocida). Sin embargo, consta que el día 13 de febrero de
2024, ***EMPRESA.4 informa a ***EMPRESA.3 de que se detectado un posible
compromiso de datos en la web de BARCELONESA. El 14 de febrero de 2024,
BARCELONESA sustituyó el sistema ***SISTEMA.2 por un sistema basado en una
pasarela de pago. Sin perjuicio de lo anterior, tal y como se desarrollará en el siguiente
epígrafe, no puede olvidarse que la brecha pudo materializarse por la ausencia de
medidas de seguridad desde el año 2017, tal y como se recoge en el informe forense.

Si bien el número de afectados no ha podido determinarse ni durante las actuaciones
previas de investigación, ni por la investigación realizada por la entidad
***EMPRESA.2 previa a la elaboración de su informe forense, se subraya que los
potenciales afectados serían todas aquellas personas que durante el tiempo que se
extendió la brecha (entre el 13 de febrero de 2024 y el 14 de febrero de 2024)
realizaron compras en la web de BARCELONESA. Se destaca, asimismo, que consta
que al menos uno de los afectados sufrió cargos en su cuenta bancaria.

2. Ausencia de medidas técnicas y organizativas para garantizar la
confidencialidad de los datos personales

Durante las actuaciones previas de investigación se han puesto de manifiesto muy
importantes deficiencias en las medidas incluidas en la página web de
BARCELONESA, directamente relacionada con la brecha de datos personales, que
habrían contribuido a su materialización.

Tal y como se ha señalado, el informe ***INFORME.1, alerta sobre la existencia de
170 alertas de vulnerabilidad, con severidad categorizada como crítica (13), alta (60)
media (72), baja (9) e informativa (16), muchas de ellas conocidas con anterioridad a
la brecha.

Las vulnerabilidades críticas indicadas en el mencionado informe corresponden a:
(…); como indican sus códigos, con origen descubierto o registrado entre 2017 y 2020.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/35

Varias de las vulnerabilidades de severidad crítica y alta indicadas permitirían, por
ejemplo, (…).

Adicionalmente a todo esto, debe reseñarse que tal y como reconoce la propia
BARCELONESA, “No se había llevado a cabo un análisis de riesgo específico sobre la
actividad afectada porque el sistema de cobro ***SISTEMA.2 venía avalado por las
medidas de seguridad de ***EMPRESA.3 que era quien se encargaba de la gestión de
cobros a través de la entidad bancaria.”

El principio de confidencialidad e integridad, recogido en el citado artículo 5.1 f) del
RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales
sean tratados de manera que se proteja su seguridad frente a accesos no autorizados,
usos indebidos o divulgaciones ilícitas. Este principio no se limita a evitar el
almacenamiento indebido de la información, sino que exige la implementación de
medidas técnicas y organizativos eficaces que impidan que los datos queden
expuestos en el momento mismo de su recogida y transmisión. En el presente caso, el
sistema de cobro ***SISTEMA.2 implicaba que los datos de las tarjetas pasaban por
los servidores de Barcelonesa, lo que hacía indispensable adoptar medidas que
garantizaran un entorno seguro en todas las fases del tratamiento.

La constatación de presuntas múltiples vulnerabilidades críticas y de alta severidad,
algunas de ellas conocidas desde años anteriores, revelaría que los sistemas no
contaban con un nivel de protección actualizado ni adecuado al riesgo. Estas
deficiencias técnicas habrían facilitado que los datos de pago de los clientes pudieran
ser interceptados a través del formulario comprometido, comprometiendo directamente
la confidencialidad e integridad de la información. Ello supondría una vulneración del
citado principio, en tanto que la empresa permitió que se materializara un escenario de
brecha de datos personales previsible y evitable mediante un mantenimiento adecuado
y una gestión proactiva de posibles vulnerabilidades.

A esta situación se sumaría la ausencia de un análisis de riesgos específico sobre la
actividad afectada, lo que denota una presunta falta de diligencia en la identificación y
gestión de amenazas asociadas al tratamiento de datos de tarjetas de crédito y débito.
Confiar únicamente en las medidas de seguridad declaradas por un tercero, sin
realizar verificaciones ni supervisión propia, no exonera a BARCELONESA de su
responsabilidad como responsable del tratamiento. Por el contrario, pondría de
manifiesto una deficiencia en el cumplimiento del deber de garantizar de forma efectiva
la protección de los datos tratados en su nombre y bajo su control.

En línea con lo anterior, se subraya que, de acuerdo con el informe forense, como
consecuencia del incidente “se ha comprometido por completo el sitio web”.

Por otra parte, no debe olvidarse la ausencia de medidas destinadas a detectar el
inicio de la brecha de datos personales. Así, BARCELONESA tuvo conocimiento de la
brecha de datos personales a través del aviso de un tercero.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/35

En definitiva, la combinación de vulnerabilidades no corregidas, la ausencia de un
análisis de riesgos adaptado al sistema ***SISTEMA.2 y la dependencia exclusiva de
las medidas adoptadas por un tercero, permitieron la materialización de una brecha de
datos personales, constituyendo, por tanto, una infracción del citado principio de
confidencialidad e integridad.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a BARCELONESA,
por vulneración del artículo 5.1.f) del RGPD transcrito anteriormente.

V. Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;
c) las transferencias de datos personales a un destinatario en un tercer país o una
organización internacional a tenor de los artículos 44 a 49;
d) toda obligación en virtud del Derecho de los Estados miembros que se adopte con
arreglo al capítulo IX;
e) el incumplimiento de una resolución o de una limitación temporal o definitiva del
tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control
con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del
artículo 58, apartado 1."

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679."

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/35

VI. Propuesta de sanción por el incumplimiento del artículo 5.1.f) del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/35

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de multa, además de la adopción de medidas.

Los artículos anteriores implican, de acuerdo con las Directrices 04/2022 sobre el
cálculo de las multas bajo el RGPD, que la cuantía de la multa para cada una de las
infracciones debe tener como punto de partida, tres elementos: el volumen de
negocios, la categorización de las infracciones según su propia naturaleza (es decir, si
se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la
infracción en cada caso concreto (de acuerdo con el artículo 83.2 a), b) y g)). En
cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva,
proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.

En este sentido, se considera, con carácter previo, el volumen de negocio
BARCELONESA, de 166.825.573 euros en el ejercicio 2023.

Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser
de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía
equivalente al 4% como máximo del volumen de negocio anual, optándose por la de
mayor cuantía. El 4% del volumen de negocio de BARCELONESA es de 6.673.022
euros.

Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones
habrá de estar forzosamente entre los 0 y los 20.000.000 de euros.

Asimismo, en relación con el nivel de gravedad en los términos del RGPD, se estima,
en una valoración inicial, que concurren las circunstancias siguientes:

• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD).

En relación con esta circunstancia, debe señalarse que la brecha de datos
personales derivó en que el atacante pudo conseguir los datos de las tarjetas de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/35

crédito utilizados para las compras a través de la página web, durante todo el
tiempo entre la instalación del software “espía” y el cambio que se realizó al uso
exclusivo del sistema de pasarela de pago tras la detección de la brecha.

La brecha ha supuesto una pérdida del control de los datos de los afectados.

Adicionalmente en relación con los daños sufridos se resalta que uno de los
afectados sufrió un daño, más allá de la vulneración de su derecho fundamental a
la protección de datos, ya que comunicó una pérdida patrimonial derivada del uso
irregular por un tercero de su tarjeta de crédito.

• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD):

Los hechos enjuiciados pueden considerarse como derivados de una especial
negligencia. Como se ha detallado más arriba, el análisis forense detectó un total
de 170 vulnerabilidades conocidas que contribuyeron a la materialización de la
brecha de datos personales. De ellas 13 de carácter “crítico” y 60 de gravedad
“alta”. Pero no solo eso, sino que, como se detalla en dicho informe, las críticas
provenían del período 2017 – 2020. Y las altas ya estaban detectadas algunas de
ellas desde 2008.

Aparte, unos 12 días antes de que los proveedores de servicios de pago avisaran
a BARCELONESA de la brecha, un cliente ya comunicó un incidente sufrido en
su medio de pago, sin que la empresa reaccionara.

Finalmente, no puede pasarse por alto que BARCELONESA declaró que no se
había llevado a cabo un análisis de riesgo específico sobre la actividad afectada,
lo que pone de manifiesto una dejadez en el cumplimiento de las obligaciones
propias del responsable.

 Las categorías de los datos de carácter personal afectados por las infracciones
(artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del Comité Europeo
de Protección de Datos, sobre el cálculo de las multas bajo el RGPD,
adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en
cuanto al requisito de tener en cuenta las categorías de los datos personales
afectados: “(…)el RGPD destaca claramente los tipos de datos que merecen
una protección especial y, por tanto, una respuesta más estricta en lo que
respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que
se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de
aplicación de estos artículos cuya difusión provoque daños y perjuicios
inmediatos al interesado (por ejemplo, datos de localización, datos sobre
comunicación privada, números de identificación nacionales o datos
financieros, como resúmenes de transacciones o números de tarjetas de
crédito”). En el presente caso, los datos personales afectados son los relativos
a las tarjetas de crédito de los clientes de BARCELONESA, por lo que se trata
de un dato sensible, toda vez que la posesión de los mismos (…) permite
normalmente realizar, sin necesidad de disponer de datos adicionales, compras
on line en la mayoría de páginas web que incluyen posibilidad de transacciones

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/35

de comercio electrónico. Esto es, carece de relevancia el hecho de que los
números de tarjeta no vayan acompañados de la identidad del titular.

Se tiene en cuenta asimismo como circunstancia agravante:

- La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales (artículo 83.2 k) del RGPD en conexión con el artículo 76.2, letra b), de la
LOPDGDD): BARCELONESA, como consecuencia de su actividad empresarial
(distribuidor de productos químicos industriales), realiza forma habitual y continua
tratamientos de datos de carácter personal de un elevado número de interesados, en
concreto de ***CANTIDAD.3 clientes particulares, ya sea en el marco de compras
online como en otros aspectos relativos a la prestación de servicios.. Así, las acciones
infractoras se producen en el marco de un tratamiento de datos personales que
habitualmente realiza BARCELONESA en su negocio y ligado a este.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de CIENTO CINCUENTA MIL EUROS (150.000,00 euros.

VII. Artículo 28.3 del RGPD. Segunda obligación incumplida. Contrato de encargo

Las previsiones respecto al encargado del tratamiento están recogidas en el artículo
28 del RGPD que estipula lo siguiente:

"1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes
para aplicar medidas técnicas y organizativas apropiadas, de manera que el
tratamiento sea conforme con los requisitos del presente Reglamento y garantice la
protección de los derechos del interesado.

2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa
por escrito, específica o general, del responsable. En este último caso, el encargado
informará al responsable de cualquier cambio previsto en la incorporación o
sustitución de otros encargados, dando así al responsable la oportunidad de oponerse
a dichos cambios.

3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con
arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado
respecto del responsable y establezca el objeto, la duración, la naturaleza y la
finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en
particular, que el encargado:
a) tratará los datos personales únicamente siguiendo instrucciones documentadas del
responsable, inclusive con respecto a las transferencias de datos personales a un
tercer país o una organización internacional, salvo que esté obligado a ello en virtud
del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en
tal caso, el encargado informará al responsable de esa exigencia legal previa al
tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés
público;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/35

b) garantizará que las personas autorizadas para tratar datos personales se hayan
comprometido a respetar la confidencialidad o estén sujetas a una obligación de
confidencialidad de naturaleza legal;
c) tomará todas las medidas necesarias de conformidad con el artículo 32;
d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro
encargado del tratamiento;
e) asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través
de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que
este pueda cumplir con su obligación de responder a las solicitudes que tengan por
objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
f) ayudará al responsable a garantizar el cumplimiento de las obligaciones
establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento
y la información a disposición del encargado;
g) a elección del responsable, suprimirá o devolverá todos los datos personales una
vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias
existentes a menos que se requiera la conservación de los datos personales en virtud
del Derecho de la Unión o de los Estados miembros;
h) pondrá a disposición del responsable toda la información necesaria para demostrar
el cumplimiento de las obligaciones establecidas en el presente artículo, así como
para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por
parte del responsable o de otro auditor autorizado por dicho responsable.
En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará
inmediatamente al responsable si, en su opinión, una instrucción infringe el presente
Reglamento u otras disposiciones en materia de protección de datos de la Unión o de
los Estados miembros.

El artículo 28 del RGPD impone la obligación de que, en caso de que una entidad vaya
a realizar operaciones de tratamiento de datos personales por cuenta de otra que
establece los medios y fines, se celebre un contrato que vincule al encargado
respecto del responsable y establezca “el objeto, la duración, la naturaleza y la
finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable”.

La finalidad es obvia, esto es, garantizar que el hecho de que materialmente el
tratamiento de datos personales sea realizado por una empresa distinta del
responsable pero por encargo o encomienda de este, esto no pueda derivar en un
menoscabo del cumplimiento de las obligaciones del RGPD. Y a este respecto es
importante señalar que esta encomienda puede afectar a derechos y obligaciones tan
importantes como el ejercicio de derechos por parte de sus titulares; la garantía de la
integridad y confidencialidad de los datos y la necesidad de establecer las oportunas
medidas de seguridad que contribuyan a garantizar tales principios, (estos últimos
aspectos particularmente implicados en este caso).

Por ello, el apartado 3 del artículo 28 impone tanto la obligación de celebrar un
contrato como el contenido mínimo que este deberá incorporar.

22/35

importante acudir a lo que prescribe el apartado 101 de las Directrices 07/2020, del
Comité Europeo de protección de datos, sobre los conceptos de «responsable del
tratamiento» y «encargado del tratamiento» en el RGPD“(101) Este acto jurídico debe
constar por escrito, permitiéndose el formato electrónico. Por tanto, los acuerdos no
formalizados por escrito (con independencia de su exhaustividad o su eficacia) no
pueden considerarse suficientes para el cumplimiento de los requisitos establecidos
en el artículo 28 del RGPD. A fin de evitar cualquier dificultad a la hora de probar la
eficacia del contrato u otro acto jurídico, el CEPD recomienda asegurarse de que se
hayan incluido las firmas necesarias en el acto jurídico siguiendo lo dispuesto en el
Derecho aplicable (p. ej., el Derecho contractual).”

En relación con el presente procedimiento, BARCELONESA contaba como encargado
del tratamiento con la plataforma ***EMPRESA.3 con la que contrató el sistema de
cobro ***SISTEMA.2.

No obstante, no consta contrato de encargo en el que se contenga la relación jurídica
entre el responsable y el encargado del tratamiento.

Así, en su contestación a esta AEPD en el marco de las actuaciones previas de
investigación de 21 de enero de 2025, BARCELONESA, como responsable del
tratamiento, ha contestado : “Este contrato no se ha podido localizar en el momento de
enviar esta respuesta pero se aportará posteriormente”

Ante la reiteración por parte de esta Agencia para su aporte el 26 de marzo de 2025, el
15 de abril de 2024, BARCELONESA ha señalado: “Se adjuntan los contratos que se
han podido obtener hasta el momento.” Sin embargo, no consta contrato encargo
alguna con la empresa anteriormente mencionada.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a BARCELONESA,
por vulneración del mencionado artículo 28.3 del RGPD, transcrito anteriormente por
carecer de contrato de encargo con ***EMPRESA.3.

VIII. Tipificación de infracción del artículo 28 RGPD y calificación a efecto

El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25
a 39, 42 y 43;

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/35

A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece
lo siguiente:

"En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

k) Encargar el tratamiento de datos a un tercero sin la previa formalización de un
contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del
Reglamento (UE) 2016/679."

IX. Propuesta de sanción por el primer incumplimiento del artículo 28.3 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, así como en el artículo 76
LOPDGDD, ya reproducidos en el Fundamento sexto de este acuerdo de inicio.

En este sentido, se considera, con carácter previo, el volumen de negocio de
BARCELONESA de 166.825.573 euros en el año 2023.

Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.4 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser
de 10.000.000 de euros como máximo, o tratándose de una empresa, una cuantía
equivalente al 2% como máximo del volumen de negocio anual, optándose por la de
mayor cuantía. El 2% del volumen de negocio de BARCELONESA es de 3.336.511,46
euros.

Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones
habrá de estar forzosamente entre los 0 y los 10.000.000 de euros.

Con carácter previo, se estima que concurren las circunstancias siguientes:

En este caso cabe tener en consideración el número de afectados. Hay que tener
en cuenta que la falta de contrato de encargo impide un verdadero control del
cumplimiento por el encargado de las obligaciones de protección de datos y con
ello la protección de los derechos y libertades de sus titulares. Conforme a lo
declarado por BARCELONESA en la realización de las actuaciones previas de
investigación, esta empresa dispone de ***CANTIDAD.3 clientes particulares o

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/35

empresarios autónomos, y que durante 2023 y 2024 se registraron al menos
***CANTIDAD.4 de estos clientes

• Las categorías de los datos de carácter personal afectados por la infracción
(artículo 83.2, letra g), del RGPD). A la hora de enjuiciar la ausencia de contrato
de encargo, reviste especial gravedad la tipología de datos afectados (…) toda
vez que estos son el tipo de tratos tratados por ***EMPRESA.3 siguiendo las
instrucciones de BARCELONESA.

Asimismo, se considera el siguiente factor de graduación en calidad de agravante:

Se tiene en cuenta asimismo como circunstancia agravante:

• La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 83.2 k) del RGPD en conexión con el artículo 76.2, letra
b), de la LOPDGDD): BARCELONESA, como consecuencia de su actividad
empresarial (distribuidor de productos químicos industriales), realiza forma habitual
y continua tratamientos de datos de carácter personal de un elevado número de
interesados, en concreto de ***CANTIDAD.3 clientes particulares, ya sea en el
marco de compras online como en otros aspectos relativos a la prestación de
servicios.. Así, las acciones infractoras se producen en el marco de un tratamiento
de datos personales que habitualmente realiza BARCELONESA en su negocio y
ligado a este.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 28.3 del RGPD, permite fijar inicialmente una sanción de multa administrativa
de OCHENTA MIL EUROS (80.000,00 euros).

X. Artículo 28.3 RGPD. Tercera obligación incumplida. Contrato de encargo.

Las previsiones respecto al encargado del tratamiento están recogidas en el artículo
28 del RGPD que estipula lo siguiente:

3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con
arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/35

respecto del responsable y establezca el objeto, la duración, la naturaleza y la
finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en
particular, que el encargado:
a) tratará los datos personales únicamente siguiendo instrucciones documentadas del
responsable, inclusive con respecto a las transferencias de datos personales a un
tercer país o una organización internacional, salvo que esté obligado a ello en virtud
del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en
tal caso, el encargado informará al responsable de esa exigencia legal previa al
tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés
público;
b) garantizará que las personas autorizadas para tratar datos personales se hayan
comprometido a respetar la confidencialidad o estén sujetas a una obligación de
confidencialidad de naturaleza legal;
c) tomará todas las medidas necesarias de conformidad con el artículo 32;
d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro
encargado del tratamiento;
e) asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través
de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que
este pueda cumplir con su obligación de responder a las solicitudes que tengan por
objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
f) ayudará al responsable a garantizar el cumplimiento de las obligaciones
establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento
y la información a disposición del encargado;
g) a elección del responsable, suprimirá o devolverá todos los datos personales una
vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias
existentes a menos que se requiera la conservación de los datos personales en virtud
del Derecho de la Unión o de los Estados miembros;
h) pondrá a disposición del responsable toda la información necesaria para demostrar
el cumplimiento de las obligaciones establecidas en el presente artículo, así como
para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por
parte del responsable o de otro auditor autorizado por dicho responsable.
En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará
inmediatamente al responsable si, en su opinión, una instrucción infringe el presente
Reglamento u otras disposiciones en materia de protección de datos de la Unión o de
los Estados miembros.

26/35

importantes como el ejercicio de derechos por parte de sus titulares; la garantía de la
integridad y confidencialidad de los datos y la necesidad de establecer las oportunas
medidas de seguridad que contribuyan a garantizar tales principios, (estos últimos
aspectos particularmente implicados en este caso).

Por ello, el apartado 3 del artículo 28 impone tanto la obligación de celebrar un
contrato como el contenido mínimo que este deberá incorporar.

En relación con lo anterior, y también conforme al principio de responsabilidad
proactiva determinado por el artículo 5.2 del RGPD, desarrollado por el artículo 24 del
RGPD, el artículo 28 en su apartado 9 exige que el contrato conste por escrito,
inclusive en formato electrónico. En relación con la celebración de formalidades del
contrato es importante acudir a lo que prescribe el apartado 101 de las Directrices
07/2020, del Comité Europeo de protección de datos, sobre los conceptos de
«responsable del tratamiento» y «encargado del tratamiento» en el RGPD:

“(101) Este acto jurídico debe constar por escrito, permitiéndose el formato
electrónico. Por tanto, los acuerdos no formalizados por escrito (con independencia de
su exhaustividad o su eficacia) no pueden considerarse suficientes para el
cumplimiento de los requisitos establecidos en el artículo 28 del RGPD. A fin de evitar
cualquier dificultad a la hora de probar la eficacia del contrato u otro acto jurídico, el
CEPD recomienda asegurarse de que se hayan incluido las firmas necesarias en el
acto jurídico siguiendo lo dispuesto en el Derecho aplicable (p. ej., el Derecho
contractual).”

En relación con el presente procedimiento, BARCELONESA contaba como encargado
del tratamiento con la plataforma ***EMPRESA.4 con la que contrató el sistema de
cobro mediante pasarela de pago.

No obstante, no consta contrato de encargo en el que se contenga la relación jurídica
entre el responsable y el encargado del tratamiento.

Así, en su contestación a esta AEPD en el marco de las actuaciones previas de
investigación de 21 de enero de 2024, BARCELONESA, como responsable del
tratamiento, ha contestado : “Este contrato no se ha podido localizar en el momento de
enviar esta respuesta pero se aportará posteriormente”

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a BARCELONESA,
por vulneración del mencionado artículo 28.3 del RGPD, transcrito anteriormente por
carecer de contrato de encargo con ***EMPRESA.4.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/35

XI. Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de
prescripción

"a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25
a 39, 42 y 43;

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece
lo siguiente:

XII. Propuesta de sanción por el segundo incumplimiento del artículo 28.3 del RGPD

En este sentido, se considera, con carácter previo, el volumen de negocio de
BARCELONESA de 166.825.573 euros en el año 2023.

Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones
habrá de estar forzosamente entre los 0 y los 10.000.000 de euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/35

Con carácter previo, se estima que concurren las circunstancias siguientes:

Asimismo, se considera el siguiente factor de graduación en calidad de agravante:

Se tiene en cuenta asimismo como circunstancia agravante:

XIII. Medidas correctivas

De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del Artículo 5.1.f) del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/35

RGPD, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a
BARCELONESA para que, en el plazo máximo de SEIS MESES a contar desde la
fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las
medidas siguientes:

- Acreditar la aplicación efectiva de las medidas técnicas y organizativas
adecuadas, no solo para cumplir con la normativa, sino para demostrar su
cumplimiento antes las autoridades de control e interesados, en particular:
o Cambio de las contraseñas de administración utilizadas en el sitio web
afectado.
o Nuevo despliegue del sitio https://www.vadequimica.com/ respecto a
Magento, ***SISTEMA.1, Plugins utilizados.
o Bloqueo de IPs que no sean del alcance del negocio de
BARCELONESA.
o Actualización regular de todos los componentes del sitio web afectado.

- Acreditar la celebración de los correspondientes contratos de encargo de
tratamiento con los dos encargados a que se hace referencia en los
fundamentos jurídicos, en caso de que se mantenga la relación contractual con
ambos. En caso contrario, acreditar el fin de la mencionada relación
contractual.

La imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/35

tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos,

SE ACUERDA:

PRIMERO: Inicio de procedimiento sancionador

INICIAR PROCEDIMIENTO SANCIONADOR a BARCELONESA DE DROGAS Y
PRODUCTOS QUÍMICOS S.A.U., con NIF A08435919, por la presunta infracción del/
del artículo 5.1.f) del RGPD, y por dos infracciones del artículo 28 del RGPD
tipificadas, respectivamente] en el/ artículo 83.5 del RGPD (la primera) y en el artículo
83.4 del RGPD (las dos últimas)

SEGUNDO: Designación de instructor

NOMBRAR como instructor a S.S.S. y, como secretaria, a R.R.R. , indicando que
podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24
de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP).

TERCERO: incorporación de documentación al expediente

INCORPORAR al expediente, a efectos probatorios, la notificación de la violación de la
seguridad de los datos personales, así como, así como los documentos obtenidos y
generados por la Subdirección General de Inspección de Datos en las actuaciones
previas al inicio del presente procedimiento sancionador.

CUARTO: Posible sanción

QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, las sanciones
que pudieran corresponder serían las siguientes:

- Multa administrativa de 150.000 euros, por la infracción del artículo 5.1.f) del
RGPD
- Multa administrativa de 80.000 euros por la infracción del artículo 28 del RGPD,
en relación con el encargado del tratamiento ***EMPRESA.3
- Multa administrativa de 80.000 euros por la infracción del artículo 28 del RGPD,
en relación con el encargado del tratamiento ***EMPRESA.4
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/35

Ello hace un total de TRESCIENTOS DIEZ MIL EUROS (310.000 €), sin perjuicio de
lo que resulte de la instrucción.

QUINTO: Notificación y plazo de alegaciones

NOTIFICAR el presente acuerdo a BARCELONESA DE DROGAS Y PRODUCTOS
QUÍMICOS S.A.U., otorgándole un plazo de audiencia de diez días hábiles para que
formule las alegaciones y presente las pruebas que considere convenientes. En su
escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura
en el encabezamiento de este documento.

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 248.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 248.000,00 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 186.000,00 euros.

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (248.000 euros o 186.000 euros), deberá hacerlo efectivo
mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/35

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y si el importe
de la sanción impuesta es superior a un millón de euros, será objeto de publicación en
el Boletín Oficial del Estado la información que identifique al infractor, la infracción
cometida y el importe de la sanción impuesta.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.

1479-010725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

SEGUNDO: En fecha 2 de octubre de 2025, BARCELONESA ha procedido al pago de
la sanción en la cuantía de 186.000,00 euros haciendo uso de las dos reducciones
previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el
acuerdo de inicio y su calificación jurídica.

TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el acuerdo de inicio.

FUNDAMENTOS DE DERECHO

I
Competencia

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/35

resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario y reconocimiento de responsabilidad

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 186.000,00 euros y su pago
implicaría la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.

Tras la notificación del citado acuerdo de inicio, BARCELONESA ha procedido al
reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose
a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/35

LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.

La suma de las citadas cuantías arroja una cantidad total de 310.000,00 euros.

Tras haber procedido BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS
S.A.U. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del
artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual
supone la cantidad definitiva de 186.000,00 euros.

La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202404934, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS
S.A.U. para que en el plazo de 6 meses desde que la presente resolución sea firme y
ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los
fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución.

CUARTO: NOTIFICAR la presente resolución a BARCELONESA DE DROGAS Y
PRODUCTOS QUÍMICOS S.A.U..

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución
será firme en vía administrativa y plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución haya sido
notificada a los interesados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/35

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

1259-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

Veri İhlalinde Güvenlik ve Veri İşleyen Sözleşmeleri

Türkçe özet

Hukuki mesele

Sonuç

Karar metni