1/27
Expediente Nº: EXP202406208
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 13 de octubre de 2025, la Presidencia de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a BANKINTER, S.A.
(en adelante, BANKINTER), mediante el acuerdo que se transcribe:
<<
Expediente N.º: EXP202406208
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: Con fecha 13 de abril de 2024, se notificó a esta Agencia una brecha de
datos personales de EVO BANCO, S.A., con NIF A70386024 (en adelante, EVO
BANCO).
En la notificación, EVO BANCO a través del formulario de presentación en su página
web, manifiesta lo siguiente:
¿Qué puede haber ocurrido?: Ciberincidente: Acceso no autorizado a datos en
sistema de información (corporativo o servicio en internet)”
“Información temporal: La brecha se inició el 23/03/2024, fecha de detección el
09/04/2024.
Tipología de la brecha: Confidencialidad.
Tipo de incidente: Ciberincidente: Acceso no autorizado a datos en sistema de
información (corporativo o servicio en internet).
Encargado: No consta.
Referido específicamente a los datos afectados por la brecha de
confidencialidad. ¿Están los datos cifrados de forma segura, anonimizados o
protegidos de forma que son ininteligibles para quien haya podido tener acceso
o no se puede identificar a las personas? No
Grado el que afectará a las personas: inconvenientes muy limitados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/27
Resumen del incidente: Que, con fecha de 8 de abril, los equipos de seguridad
de EVO BANCO fueron informados por su servicio de detección de una
publicación en la Deep Web declarando disponer de una base de datos de un
BANCO Español de 1,3 millones de clientes. Como medida de prevención,
EVO BANCO realizó una comprobación en sus sistemas con la finalidad de
identificar cualquier posible vulnerabilidad y si dicha publicación se refería a su
base de clientes. Se identificó una debilidad (…=, se detectó un número de
consultas anómalas durante un plazo de 2 días, unos 5 millones, de las cuales
se ha podido confirmar que 1,2 millones fueron exitosas. Tan pronto se
confirmó esta situación, además de haber subsanado preventivamente el error
(…), se establecieron medidas de refuerzo y correctivas, y medidas de
prevención del fraude que se detallan en la documentación anexa.
Categorías de datos: Datos básicos (Ej.: nombre, apellidos, fecha de
nacimiento), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo,
Datos de contacto
Número de interesados afectados: 1.275.049
Categorías de afectados: Clientes / Ciudadanos, Suscriptores / Potenciales
clientes
Comunicación a los afectados: No serán informados.
Implicaciones transfronterizas: No.
Brecha resuelta: Sí.
Método de detección de la brecha: Medios de detección implementados
proactivamente por el responsable o encargado de tratamiento.
Se ha puesto el incidente en conocimiento de las autoridades policiales: No.”
Junto a la notificación el responsable adjunta un informe, de fecha 12/04/2024, con
información adicional sobre la gestión de la brecha, denominado “INFORME
INCIDENTE DE SEGURIDAD EVO BANCO, S.A.” (en adelante, informe inicial), del
que en síntesis se desprende:
El responsable detecta la brecha mediante un servicio de prevención y
detección de ciberdelincuencia, prestado por terceros, al detectar la puesta a la
venta en la Deep Web, de una base de datos de clientes de la entidad.
El responsable da credibilidad al anuncio detectado, tras comprobar
coincidencias con codificaciones internas usadas (…).
El responsable detecta una vulnerabilidad generada como consecuencia de
(…)
(…) se utiliza en procesos de alta de usuarios y da acceso a una ficha de datos
limitada. Por motivos de seguridad, la consulta está limitada externamente al
usuario titular de los datos, o internamente a un gestor del Banco.
(…) se produjo un error que aparentemente afectó a la limitación establecida.
Como consecuencia de la investigación interna, el responsable identificó que
durante las fechas 23/03/2024 a 26/03/2024 se produjo un volumen de
peticiones anómalo a ese sistema de consulta. En concreto 5 MILLONES de
peticiones, de las cuales 1,2 MILLONES de peticiones fueron exitosas. El
responsable manifiesta que: “Posteriormente a lo ocurrido, se realizó un
análisis de los registros afectados. De esta forma, se pudo comprobar que las
peticiones daban la posibilidad de poder realizar consultas a un total de 1,2
millones de registros (…), si bien no se ha podido evidenciar la realización de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/27
extracción alguna de dicha información por parte de cualquier tercero ajeno a
EVO BANCO.”
El responsable indica los criterios utilizados para valorar que, no existe riesgo
alto para los interesados afectados y su decisión de no informar a los afectados
conforme al art. 34 del RGPD. Fundamenta esta decisión en las medidas
implementadas para evitar que los datos exfiltrados se puedan utilizar con fines
ilícitos en el marco de los procesos de contratación de la entidad.
El responsable también analiza y valora como bajo, el riesgo de que un tercero
los utilice con fines ilícitos en procesos de contratación externos a EVO
BANCO. Indica el responsable que tales datos sólo podrían ser utilizados para
generar la confianza del cliente de que está hablando con su entidad bancaria
y provocar que él mismo realice operaciones que comportaran salida de sus
fondos por distintos mecanismos, para lo que la entidad implementa medidas
antifraude y de concienciación.
Considera el responsable que el impacto potencial para los interesados sería
bajo.
A la vista de los hechos, el 18/04/2024 esta Agencia ordena a EVO BANCO que lleve a
cabo la comunicación de la brecha a los interesados conforme al artículo 34 del
RGPD, sin dilación indebida, y con objeto de que los afectados puedan adoptar las
medidas que consideren oportunas para evitar aquellos riesgos que pudieran afectarle
SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 18/04/2024 la
Directora de la Agencia Española de Protección de Datos instó a la Subdirección
General de Inspección de Datos (SGID) a iniciar las actuaciones previas de
investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante, LOPDGDD).
TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.
Una vez iniciadas las actuaciones previas de investigación, el 14/05/2024 se recibe
escrito de EVO BANCO, confirmando el envío de la comunicación individualizada a los
interesados afectados por la brecha de datos personales e incorporando, en su escrito,
la siguiente información:
EVO BANCO manifiesta que, en fecha 15/04/2024, la Brigada de Investigación
Tecnológica de la Policía Nacional se puso en contacto con EVO BANCO para
informarle de que se había detectado en la Deep Web una publicación que
contenía datos relativos a las bases de datos de EVO BANCO.
Que, adicionalmente al post publicado en fecha 30/03/2024 (este aspecto se
detallará más adelante), el atacante, desde el 18/04/2024 hasta el 27/04/2024,
realiza diversas publicaciones en la Deep Web y contacta con varios
empleados de EVO BANCO (incluido el CISO) con el fin de extorsiónales y
amenazarles con la publicación de datos personales de las bases de datos de
EVO BANCO.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/27
Que, a raíz de estos hechos, EVO BANCO decide interponer la
correspondiente denuncia, en fecha 22/04/2024 ante la Policía Nacional en la
Comisaría General de Información en Madrid, con N.º de Referencia 3202/24.
EVO BANCO dice aportar en su escrito los siguientes documentos:
Documento 1: copia de la denuncia interpuesta por el responsable ante la
Policía Nacional.
Documento 2: capturas de pantallas de las publicaciones, amenazas y
extorsiones que realiza el atacante.
Documentos 3 y 4: evidencia del contenido de las comunicaciones de brecha
que EVO BANCO realiza a los interesados.
Sin embargo, estos documentos no se encuentran adjuntos
En fecha 17/05/2024, en el marco de las actuaciones previas de investigación, por
esta Agencia se realiza un nuevo requerimiento de información, siendo contestado
este en fecha 20/05/20204, y en el que EVO BANCO aporta los documentos 1, 2, 3 y 4
faltantes.
En fecha 28/05/2024 EVO BANCO solicita a esta Agencia ampliación del plazo para
contestar al requerimiento de información, siéndole esta concedida, de tal forma que
presenta escrito en fecha 18/06/2024 al que adjunta 10 documentos, a saber:
- Documentos nº: 1,2 y 3: informe ***EMPRESA.1
- Documento nº 4: certificado empresa envío comunicación brecha.
- Documento nº 5: RAT
- Documento nº 6: Gestión y notificación de incidentes de seguridad en materia
de datos de carácter personal (marzo 2022).
- Documento nº 7: Procedimiento gestión de cambios.
- Documento nº 8: ***EMPRESA.2 – Servicios de Seguridad
- Documento nº 9: KBA541 -Alarmas desde Appdynamics
- Documento nº 10: EVO Banca Inteligente. Informe Técnico de refinamiento y
seguridad. API.
- Documento nº 11: Denuncia ante la Policía Nacional en fecha 22/04/2024
Del análisis de los documentos anteriores, así como los obrantes en el expediente, se
concluye lo siguiente:
1. ANÁLISIS DE LA BRECHA
1.1. Detección y origen de la brecha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/27
La brecha es detectada en fecha 8/04/2024, por los sistemas de prevención y
detección de Ciber Incidentes de EVO BANCO (servicio prestado por los proveedores
externos ***EMPRESA.2 y ***EMPRESA.3), tras la publicación de un post en el foro
***FORO.1 de la Deep Web.
El post indica que el atacante dispone de una base de datos de 1,3 MILLONES de
clientes de un BANCO Español, sin especificar de qué BANCO se trata.
Este hecho lo manifiesta el EVO BANCO en el informe inicial de 12/04/2024:
“Con fecha de 8 de abril, el equipo de seguridad de EVO BANCO fue informado por su
servicio de prevención y detección de ciberdelincuencia (prestado por ***EMPRESA.2
y ***EMPRESA.3) de la existencia de un post en la Deep Web, en el que se indicaba
disponer de una “base de 1,3 millones de clientes” de un “BANCO español”.
En el mencionado informe consta captura de pantalla de la publicación en la Deep
Web, y se manifiesta que:
La publicación data del 30/03/2024.
Consta que el atacante se ha unido recientemente al foro, en el propio marzo
de 2024.
Constan únicamente dos publicaciones del atacante y su puntuación denota
que es un atacante de escasa reputación.
La publicación incluye un enlace con una muestra de 10 registros.
Asimismo, EVO BANCO manifiesta que:
“El proveedor que informó de dicha publicación también indicó que se trataba de un
hacker de baja reputación, […]
No obstante, se analiza la muestra, detectando que existían identificadores (…),
similares a los utilizados por EVO BANCO para registrar a sus clientes y potenciales
clientes en los servicios implementados (…).
Si bien las noticias sobre filtraciones, ataques o explotación de vulnerabilidades son
habituales en este tipo de entornos, siendo en su mayoría “falsas alarmas”, esta
publicación hacía un muestreo de códigos de datos relativos a 10 registros de
usuarios.
Si bien por sí mismos estos datos no tiene por qué atribuir ninguna pertenencia a una
sociedad en concreto, dentro de los datos vinculados a los registros expuestos se
incluía la codificación “(…)”, cuya correlación numérica coincidía con la codificación
interna que EVO BANCO emplea en la gestión interna de los registros de su
***SISTEMA.1”.
Ante los hallazgos expuestos, EVO BANCO, en su informe inicial, manifiesta haber
realizado las siguientes acciones de análisis, para determinar el origen de la brecha:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/27
Los equipos de seguridad de EVO BANCO realizan un análisis sobre sus
sistemas internos.
“Ante esta revelación, los equipos de seguridad comenzaron una labor de
análisis sobre los procesos de comunicación internos que se emplean en la
gestión de negocio de la entidad, con el fin de descubrir cualquier situación
anómala”.
“(…)”.
1.2. Acciones tomadas con objeto de minimizar los efectos adversos y medidas
adoptadas para su contención inicial
Tras el análisis del origen de la brecha, EVO BANCO en su informe inicial, manifiesta
haber realizado, de manera prácticamente inmediata a la detección de la brecha (es
decir, en fechas 8 y 9 de abril), las siguientes acciones para su contención:
Identificada la vulnerabilidad, se procede a corregirla de manera inmediata,
devolviéndola a su desarrollo anterior.
“(…)”.
Una vez subsanada la vulnerabilidad, EVO BANCO procede a analizar los
registros afectados, comprobando que 1,2 MILLONES de consultas exitosas,
daban la posibilidad de realizar consultas a 1,2 MILLONES de registros del
***SISTEMA.1 (sistema que permite gestionar las relaciones con clientes y
que, por tanto, es susceptible de contener datos personales de los mismos).
“(…)”
- En fecha 9/04/2024 a las 21:30 h., EVO BANCO pone en conocimiento de su
Delegado de Protección de Datos los hechos acaecidos,
“Tras comprobar que el incidente puede afectar a datos de carácter personal,
se procede a poner en conocimiento del Delegado de Protección de Datos de
Evo BANCO a las 21:30 horas del mismo día 9 de abril”.
- Entre las medidas adoptadas de manera inmediata, se encuentra la
colaboración de peritos forenses para la investigación del suceso y así, el
responsable solicita, a una entidad especializada en el sector (en concreto,
***EMPRESA.1), tanto la elaboración de un informe forense sobre la brecha
acaecida, como una prueba de penetración sobre la aplicación afectada.
“Una auditoría independiente se está llevando a cabo por ***EMPRESA.1, líder
global en consultoría y auditoría, para proporcionar una verificación externa de la
integridad y la seguridad de nuestras comunicaciones en la aplicación afectada
dando fe de su resolución y mitigación con fecha 9 de abril 2024”.
1.3. Causas que hicieron posible la brecha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/27
EVO BANCO manifiesta en su informe inicial que lo que hizo posible el volumen de
llamadas anómalo (…) que permitió la brecha de datos personales (…), es una
vulnerabilidad generada en el proceso de migración (…). Las características de la
vulnerabilidad son las siguientes:
(…)
Así se hace constar en el informe inicial: “(…)”.
Con base en esta información, durante las actuaciones previas de investigación la
AEPD ahondó en la vulnerabilidad manifestada por EVO BANCO. De esta
manera, sobre la vulnerabilidad que da lugar a la brecha, con base en la
información y documentación aportada por EVO BANCO en fecha 18/06/2024
se extrae la siguiente información relevante:
La API afectada se emplea para llevar a cabo el onboarding de clientes y
potenciales clientes de EVO BANCO y se enmarca en su Portal Web de
contrataciones y en su ***SISTEMA.1 de ***EMPRESA.4.
Este hecho consta en el informe forense realizado por ***EMPRESA.1,
aportado como documento 1 por EVO BANCO en fecha 18/06/2024:
“(…)”
EVO BANCO manifiesta este hecho en el escrito de su respuesta de fecha
18/06/2024:
“[…] Centrándonos en el que ha generado la vulnerabilidad, (…).
EVO BANCO manifiesta estos hechos en el escrito de su respuesta, remitido
en fecha 18 de junio de 2024: “El 8 de febrero de 2024, a través del cambio
planificado y aprobado en el comité de cambios de EVO BANCO, (…).
1.4. Respecto de la tipología y volumen de datos afectados
1.4.1. Sobre la tipología de los datos afectados por la brecha, en la notificación
completa de brecha y en el informe inicial, EVO BANCO, manifiesta:
Que la tipología de los datos afectados son datos básicos (ej.: nombre,
apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro
documento identificativo y datos de contacto.
Que no se ha tenido acceso a saldos, números de tarjeta o medios de pago
similares ni contraseñas o credenciales.
Que no se han visto comprometidas imágenes de documentos de identidad o
medios de identificación.
Que no se tratan ni se han visto afectados datos personales que revelen el
origen étnico o racial, las opiniones políticas, las convicciones religiosas o
filosóficas, o la afiliación sindical, datos genéticos, datos biométricos, datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/27
sobre salud, relativos a la vida sexual o la orientación sexual del cliente,
conforme a lo recogido en el artículo 9.1 del RGPD.
Que el número de afectados es de 1.275.049 MILLONES.
Que las categorías de afectados son clientes/ciudadanos y
suscriptores/potenciales clientes.
Que, entre los afectados, no hay menores o miembros de colectivos
vulnerables.
Que, entre los afectados, no hay interesados en otros estados miembros de la
UE.
Esta información contrasta con lo recogido en el informe forense realizado por
***EMPRESA.1, en el cual consta lo siguiente:
“Conforme al análisis realizado, en el periodo temporal que comprende el rango entre
los días 23 de marzo y el 27 del mismo mes, se produjeron exactamente 5.473.299
peticiones, llegando a ser exitosas un total de 1.275.463 de ellas. (el subrayado es de
la AEPD)
Es decir, de los 5,4 millones de peticiones registradas en este periodo, el número de
personas afectadas por la brecha de seguridad es de 1.275.463 teniendo en
consideración para esta delimitación el conteo de los números identificativos DNI o
NIE recuperados mediante peticiones maliciosas. (el subrayado es de la AEPD)
Ahondando en la información potencialmente filtrada, identificamos los siguientes
datos devueltos por parte del servidor como respuesta a las solicitudes maliciosas en
función de los datos dados de alta en la plataforma de contratación web de EVO
(véase Anexo VII. Detalle de los campos informados en los logs adquiridos (…) para
consultar la información concreta analizada):
Identificador de ***EMPRESA.4 relacionado con cada uno de los usuarios
afectados.
Información sobre promociones utilizadas por los clientes.
Estado del usuario en relación con la documentación aportada a la entidad.
Datos socioeconómicos pertenecientes a cada uno de los usuarios afectados
como datos sobre la declaración de IVA del último ejercicio, años trabajados,
situación laboral, ingresos mensuales, etc.
Productos contratados junto con información complementaria, como el IBAN,
en caso de que hubiera sido remitido a EVO BANCO.
Datos sobre productos contratados, en caso de que los hubiera, incluyendo el
número IBAN de cuentas bancarias, el código del producto, identificador de la
firma y estado de consentimiento, entre otros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/27
Información personal de los usuarios: nombre y apellidos de las personas
afectadas, número de DNI o NIE, número de teléfono y régimen económico
entre otros”.
Como se puede observar, si bien el número de interesados es similar a lo señalado por
EVO BANCO en su escrito, en el informe forense de ***EMPRESA.1 se señala que,
entre los datos afectado, sí se incluyen datos de carácter económico y financiero.
1.4.2. Con respecto a la volumetría total de interesados involucrados en los
tratamientos afectados por la brecha, EVO BANCO aporta el Registro de Actividades
(RAT), de dichos tratamientos (documento nº 5), del que se desprende:
Son tres las actividades de tratamiento afectadas por la brecha, según manifiesta el
responsable:
Originación digital - Captación de nuevos clientes a través de entornos
digitales.
Originación digital - Seguimiento durante el proceso de contratación.
Operaciones, Organización y Fraude - Alta y baja de clientes.
En el RAT de cada una de estas actividades, se indica que el número de afectados
varía entre 100.001 y 500.000.
A la vista de esta información, se puede inferir que, en lo que respecta a los
tratamientos afectados por la brecha, como máximo, EVO BANCO puede manejar una
volumetría de clientes y potenciales de clientes de 1,5 MILLONES (volumetría máxima
indicada de 500.000 por cada RAT, multiplicada por las tres actividades afectadas).
Además, se ha de tener en cuenta que, muy posiblemente, esta volumetría sea algo
inferior ya que habrá clientes y potenciales clientes que sean los mismos en las
diferentes actividades afectadas por la brecha.
Por todo ello, se infiere que la brecha, habiendo afectado a más de 1,2 MILLONES de
clientes, supone la afectación de una proporción considerable del total de interesados
para los que EVO BANCO trata datos personales, estimándose, como mínimo, en más
de un 80%.
1.5. Impacto de la brecha de datos personales y exfiltración de datos personales
El impacto de la brecha según la notificación completa de brecha realizada por EVO
BANCO en fecha 13/04/2024, afecta a la confidencialidad, al haberse producido un
acceso a datos personales de clientes y potenciales clientes por terceros no
autorizados.
En relación con la exfiltración de datos personales, EVO BANCO en el informe inicial,
hace constar que:
“[…] esta publicación hacía un muestreo de códigos de datos relativos a 10 registros
de usuarios”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/27
“[…] si bien no se ha podido evidenciar la realización de extracción alguna de dicha
información por parte de cualquier tercero ajeno a EVO BANCO”.
En la información adicional que aporta el responsable en fecha 14/05/2024, sobre las
amenazas que perpetra el atacante entre el 18 y el 27 de abril de 2024 (posteriores al
primer post de fecha 30/03/2024) EVO BANCO manifiesta lo siguiente:
“Ante la negativa de EVO BANCO de atender a las exigencias del ciberdelincuente,
éste incrementó la intensidad de sus amenazas, indicando que procedería a publicar
parte de los datos a los que tuvo acceso como consecuencia del ciberataque, en lotes
de 500 registros al día. Dicha amenaza solo fue cumplida con relación a 958 clientes
afectados y a cuatro empleados de la entidad”. (el subrayado es de la AEPD).
En el informe forense realizado por ***EMPRESA.1, sobre la exfiltración de datos
personales, consta lo siguiente:
“La información filtrada en los foros de la Deep Web pertenece a datos legítimos de
EVO, lo que infiere la idea de que el actor de amenazas responsable efectuó el robo
de datos pertenecientes a clientes y no clientes de la entidad.(el subrayado es de la
AEPD)
o La tipología de los datos afectados coincide con la recogida por parte
del Portal de Contrataciones y gestionada (…)”.
“[…] Por el contrario, no se puede certificar que dicha información devuelta por el
servidor de EVO BANCO haya sido exportada por el actor de amenazas”.
Por tanto, existen evidencias de que el atacante ha accedido a dichos datos y de que,
parte de ellos, han sido exfiltrados, tanto en la muestra de 10 registros publicada en la
publicación inicial (…) de fecha 30/03/2024, como en las sucesivas amenazas que
realiza el atacante, en las que hace pública información de 958 clientes afectados.
Este hecho es manifestado por EVO BANCO en su escrito de fecha 14/05/2024:
“En virtud de lo expuesto, quedó confirmado que el atacante disponía de los datos de
carácter personal de las personas indicadas en sus dos publicaciones sin que, hasta
el momento, esta entidad disponga de más pruebas sobre el contenido del supuesto
fichero del que dispone ni pueda confirmar que se refiere al número de registros
inicialmente indicado por el atacante. Desde 27 de abril, no ha existido ninguna
publicación adicional en la Deep Web y el mismo atacante ha dado por cerrada lo que
ahora llama una incidencia”. (el subrayado es de la AEPD)
2. MEDIDAS DE SEGURIDAD
2.1. Medidas de seguridad implantadas con anterioridad a la brecha
2.1.1. Gestión de cambios en el software.
EVO BANCO manifiesta que dispone de un procedimiento específico para la gestión
de cambios. En dicha gestión de cambios, se enmarca el proceso de (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/27
Así lo hace constar EVO BANCO en el escrito de su respuesta, remitido en fecha
18/06/2024:
“Se adjunta como Documento 7 el procedimiento de gestión de cambios de la entidad
“***URL.1.”
En el caso del cambio que generó la vulnerabilidad origen de la brecha, se puede
apreciar que el mismo, se encontraba aprobado y documentado (…) con código:
***URL.2.
Así pues, EVO BANCO aporta, en fecha 18/06/2024, tanto su procedimiento de
gestión de cambios (documento 7), como una explicación detallada de cómo se ha
realizado el proceso de migración en el que se produce la vulnerabilidad (…) por el
incidente. Analizando ambos documentos, se observa que:
(…)
Este hecho pone de manifiesto que la validación funcional que EVO BANCO
realiza sólo comprueba que los datos devueltos son los que se solicitan, pero
no se valida que un usuario no autorizado (sin credenciales válidas), no pueda
acceder a los datos.
Consta que la fecha de la siguiente revisión/caducidad del procedimiento fue el
15/06/2024; sin embargo, en el control de versiones, la última actualización
data de fecha 22/01/2024. Puesto que este documento se recibió en fecha
18/06/2024, se puede inferir que la revisión del documento, que se debería
haber realizado en fecha 15 de junio de 2024, no se llegó a hacer.
2.1.2. Sistemas de monitorización y alerta sobre eventos de seguridad.
Sobre esta medida, EVO BANCO manifiesta lo siguiente en su escrito de fecha
18/06/2024:
(…)
3.1.3. Procedimiento de gestión de brechas dedatos personales.
EVO BANCO manifiesta que dispone de un procedimiento de gestión y notificación de
incidentes de seguridad en materia de datos de carácter personal (documento nº 6).
En relación con las pruebas de penetración realizadas sobre los procesos de
desarrollo en diciembre de 2023, EVO BANCO manifiesta lo siguiente en el escrito de
fecha 18/06/2024:
“Se adjunta como Documento 8 el análisis realizado sobre los procesos de login en
diciembre “***URL.3” así como el del proceso de alta clientes “(...) - Informe
Tecnico.pdf” que usa este servicio”.
En este sentido, EVO BANCO aporta el informe de dichas pruebas de penetración
(documento nº: 8), y así, analizando dicho documento, se concluye que es un informe
realizado por ***EMPRESA.2, que revisa la seguridad sobre los formularios de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/27
autenticación de distintos aplicativos de EVO BANCO. El informe data de diciembre de
2023 y se identifica un nivel de riesgo medio, sobre la base de una serie de
vulnerabilidades para su resolución por parte de EVO BANCO.
En relación con el Plan Director de Ciberseguridad aprobado por EVO BANCO a
finales de 2023, este manifiesta:
“A finales de 2023 se presentó el plan estratégico de tecnología 2024. En dicho plan,
se incluyen las acciones relacionadas con la seguridad que se llevarían a cabo en
2024”.
Se adjunta captura de pantalla en dicho escrito, en la que se aprecian diversas
iniciativas. Estas iniciativas, según manifiesta EVO BANCO, se llevarían a cabo
durante el año 2024. . Por ello, estas medidas se describen, más adelante.
2.3. Medidas técnicas y organizativas adoptadas para evitar incidentes como el
sucedido
2.3.1. En relación con la gestión de cambios en el software, EVO BANCO manifiesta
en su escrito de 18/06/2024 que:
(…)
Como ya se ha explicado, el proceso de validación que se hizo sobre la API
afectada por el incidente no incluía la comprobación de denegación de accesos
a usuarios no autorizados, lo que impidió detectar que existía un error manual
en la configuración. Esta es una de las nuevas medidas que establece EVO
BANCO:
o (…)
2.3.2. En relación con los sistemas de monitorización y alerta, EVO BANCO destaca
en su escrito de fecha 18/06/2024, las siguientes medidas:
(…)
2.3.3. En relación con pruebas de penetración específicas para (…), EVO BANCO
manifiesta:
“g. Copia del pentesting realizado por ***EMPRESA.1. Esta parte ha adjuntado, como
Documento 3, el informe del pentest realizado por ***EMPRESA.1 inmediatamente
después del incidente, en el que se evidencia que (…) ya no es vulnerable”.
Se revisa el informe de pruebas de penetración aportado por EVO BANCO como
documento nº 3, en el que consta que, tras las pruebas, la conclusión es que el (…).
2.3.4. Otras medidas adicionales. Dentro del Plan Director de Ciberseguridad de EVO
BANCO, ya mencionado, se establecen medidas adicionales cuya fecha de
implantación se estima, tras el incidente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/27
Así, dichas medidas se describen con mayor detalle en el Anexo I del informe inicial de
fecha 12/04/2024, manifestando EVO BANCO lo siguiente:
“(…)”
3. Otros aspectos:
Tal y como se señalará en el antecedente de hecho cuarto, durante el curso de las
actuaciones previas de investigación tuvieron entrada en la AEPD diversas
reclamaciones de afectados por la brecha de datos personales.
Algunos de ellos, manifestaban que habían recibido la comunicación prevista en el
artículo 34 del RGPD aun cuando no eran clientes de la entidad en el momento de
producirse los hechos o aun cuando habían ejercitado su derecho de supresión
conforme al artículo 17 del RGPD.
En relación con esta cuestión durante las actuaciones previas de investigación se
comprueba que el ataque perpetrado afectó a datos personales que se encontraban
bloqueados en cumplimiento del artículo 32 de la LOPDGDD.
CUARTO: Entre el 27 de abril de 2024 y el 1 de abril de 2025 se recibieron en esta
Agencia diez reclamaciones de afectados por la brecha de datos personales
anteriormente mencionada.
En concreto, se recibió una reclamación el 27 de abril de 2024, dos reclamaciones el
22 de mayo de 2024, una reclamación el 23 de mayo de 2024, otra reclamación el 24
de mayo de 2024, otra reclamación el 8 de junio de 2024, otra reclamación el 17 de
junio de 2024, otra el 19 de junio de 2024, otra reclamación el 1 de agosto de 2024 y
otra reclamación el 1 de abril de 2025.
En ellas se reclama en tanto que afectados por la brecha y junto con sus
reclamaciones aportan la comunicación remitida por la entidad en cumplimiento del
artículo 34 del RGPD.
En algunas de las reclamaciones se expresa, además, que han sido afectados por la
brecha de datos personales aun cuando en el momento en que se produjo no eran
clientes de esta entidad y manifiestan una posible vulneración del derecho de
supresión que habían ejercitado ante la entidad. Las reclamaciones obvian, no
obstante, el deber de bloqueo previsto en el artículo 32 de la LOPDGG, por lo que
esos hechos no son objeto del presente procedimiento sancionador.
QUINTO: De conformidad con el artículo 65 de la LOPDGDD, las diez reclamaciones
anteriores se admitieron a trámite los días 17 de mayo de 2024, 28 de junio de 2024 (7
de ellas), 3 de octubre de 2024 y 9 de mayo de 2025.
SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
EVO BANCO fue una empresa constituida en el año 2013, cuyo estado a fecha actual
es “inactiva por extinción”.
Y ello por cuanto, se ha producido un proceso de fusión por absorción por
BANKINTER S.A., posterior a los hechos, que consta en la “Resolución de 9 de abril
de 2025, del Banco de España, por la que se publica la baja en el Registro de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/27
entidades de crédito de Evo Banco, SA”, y publicada en el BOE de fecha 18 de abril de
2025:
“Con fecha de efectos 1 de abril de 2025 ha sido inscrito en el Registro de Entidades
de crédito la baja de Evo Banco, SA, que mantenía el número de codificación 0239,
por fusión por absorción por Bankinter, SA”.
Al haberse producido la baja de EVO BANCO, SA como entidad de crédito, no puede
obviarse que la responsabilidad en el presente procedimiento ha de atribuirse a la
entidad bancaria que la ha absorbido, BANKINTER SA (en adelante, BANKINTER).
SÉPTIMO: De acuerdo con la información disponible en Bankinter.com
(https://www.bankinter.com/file_source2/webcorporativa/estaticos/pdf/accionistas-e-
inversores/informacion-nanciera/informesrimestrales/2024/t4/FY24_Bankinter_Resultados.pdf),
la cuenta de resultados de BANKINTER ESPAÑA refleja un resultado antes de
impuestos de 1.360.000.000€ para el año 2024.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.
II
Procedimiento
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometida, se inicia un procedimiento
sancionador.
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/27
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
III
Cuestiones previas
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que EVO
BANCO realizaba, entre otros tratamientos, la recogida y conservación de datos
personales de personas físicas como, por ejemplo: nombre, apellidos, fecha de
nacimiento, DNI, NIE, Pasaporte, IBAN, entre otros.
EVO BANCO realizaba esta actividad en tanto que responsable del tratamiento puesto
que determinaba fines y medios conforme al artículo 4.7 del RGPD.
No obstante, tal y como se ha señalado, debe tenerse en cuenta la publicación en el
Boletín Oficial del Estado Número 94 del viernes 18 de abril de 2025, en su apartado
III. Otras Disposiciones. BANCO DE ESPAÑA en la que se señala:
(…) 7949 Resolución de 9 de abril de 2025, del Banco de España, por la que se
publica la baja en el Registro de entidades de crédito de Evo Banco, SA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/27
En cumplimiento de lo establecido en el apartado 3 del artículo 15 de la Ley 10/2014,
de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito, se
procede a la publicación de la siguiente variación en el Registro de entidades de
crédito:
Con fecha de efectos 1 de abril de 2025 ha sido inscrito en el Registro de Entidades
de crédito la baja de Evo Banco, SA, que mantenía el número de codificación 0239,
por fusión por absorción por Bankinter, SA.
Por tanto y como se indica en la citada Resolución del Banco de España, con fecha
1/04/2025 se publicó la baja de EVO BANCO, en el Registro de Entidades de Crédito,
al haber sido absorbido por BANKINTER SA.
Sin perjuicio de que la fecha de detección de la brecha de datos personales fue el
9/04/2024 y su comunicación a esta Agencia el 13/04/2024, esto es, todo ello anterior
al proceso de absorción de EVO BANCO por BANKINTER SA, la absorción de
BANKINTER implica la extinción de la personalidad jurídica de EVO BANCO y que su
nueva razón social pasa a ser BANKINTER SA con NIF A28157360, siendo a esta a la
que debe atribuirse la responsabilidad de las presuntas infracciones cometidas.
Atendido a lo anterior, a efectos del presente procedimiento sancionador, BANKINTER
SA tiene la condición de responsable del tratamiento.
IV
Obligación incumplida. Integridad y confidencialidad
La letra f) del artículo 5.1 del RGPD propugna:
"1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»)."
El principio de confidencialidad reseñado exige, por tanto, la protección de los datos
personales contra accesos, usos y divulgaciones no autorizados y ello por cuanto el
Considerando 39 del referido RGPD señala:
“[…]Los datos personales deben tratarse de un modo que garantice una seguridad y
confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso
o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”.
En el presente caso consta la existencia de una brecha de datos personales de
confidencialidad que afectó a clientes, antiguos clientes cuyos datos continuaban
bloqueados conforme al artículo 32 de la LOPDGDD, potenciales clientes, no clientes
y empleados de EVO BANCO.
La brecha de datos personales se produjo, tal y como se recoge en el informe inicial
de 12 de abril de 2024 presentado por EVO BANCO, así como en el informe de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/27
***EMPRESA.1 aportado durante las actuaciones previas de investigación, como
consecuencia de (…)
Así, entre los días 23 de marzo horas y 27 de marzo (así se indica en el informe de
***EMPRESA.1 a diferencia de lo señalado por EVO BANCO que hablaba del 26 de
marzo) tuvo lugar según el informe inicial de EVO BANCO “(…)”. Esta información se
precisa en el informe de ***EMPRESA.1 que señala: “(…)”.
EVO BANCO no tuvo conocimiento de la brecha hasta el 9 de abril de 2024 a raíz de
que “(…)”. La publicación databa del 30 de marzo de 2024.
Así, la brecha de datos personales afectó a la confidencialidad de los datos, esto es,
se produjo un acceso a los mismos por parte de un tercero no autorizado que realizó
una copia de estos para, posteriormente, amenazar a EVO BANCO con su publicación
en la dark web salvo que se produjera el abono de una recompensa.
En total el número de afectados fue de 1.275.049 personas. Asimismo, de esos
1.275.049 afectados, se produjo la publicación en la dark web de los datos de 958
clientes, así como 4 empleados de la entidad, de acuerdo con la información adicional
aportada por EVO BANCO el 14 de mayo de 2024 a esta Agencia.
En cuanto a la tipología de los datos personales afectados, tal y como consta en el
informe de ***EMPRESA.1 figuraba: nombre, apellidos, DNI o NIE, número de
teléfono, el régimen económico, número IBAN de cuentas bancarias, firma, código de
los productos contratados, declaración del IVA del último ejercicio, años trabajados,
situación laboral, ingresos mensuales, así como su identificador en la plataforma, entre
otros.
En cuanto a la duración de la brecha de datos personales, debe subrayarse que esta
se inició el 23 de marzo de 2024 -sin perjuicio de que la deficiencia de las medidas que
la provocaron date de 8 de marzo de 2024- . En cuanto a la finalización de la misma,
se remarca que el 9 de abril de 2024, al tener conocimiento de la misma, EVO BANCO
restauró la antigua versión del (…). Asimismo, una vez que “(…)”.
Llegados a este punto, esta Agencia desea señalar que la documentación obrante en
el expediente administrativo pone de manifiesto que carencias en las medidas técnicas
y organizativas existentes en el momento de la brecha de datos personales que
facilitaron la materialización de la brecha de datos personales en los términos
anteriormente señalados. Así, teniendo en cuenta que el origen y causa de la brecha
se encuentra en la existencia de una vulnerabilidad en la API, se destacan los
siguientes aspectos:
(…)
- Por otra parte, se subraya que EVO BANCO carecía de medidas de cifrado de
los datos personales, tal y como reconoció en el formulario de notificación de
brecha de datos personales, lo que hubiera limitado el impacto del acceso a
sus sistemas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/27
Sin perjuicio de lo anterior, se subraya que, tal y como fue acreditado a través del
informe de ***EMPRESA.1 presentado por EVO BANCO, todas estas cuestiones
fueron solventadas por parte de la entidad con posterioridad.
(…)
En definitiva, de acuerdo con las evidencias de las que se dispone en el presente
momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que
resulte de la instrucción, se considera que EVO BANCO no habría adoptado medidas
técnicas y organizativas de todo tipo, que garantizaran el principio de integridad y
confidencialidad previsto por el artículo 5.1 f) del RGPD.
Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a BANKINTER por
vulneración del artículo 5.1 f) del RGPD transcrito anteriormente.
V
Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción
El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;
c) las transferencias de datos personales a un destinatario en un tercer país o una
organización internacional a tenor de los artículos 44 a 49;
d) toda obligación en virtud del Derecho de los Estados miembros que se adopte con
arreglo al capítulo IX;
e) el incumplimiento de una resolución o de una limitación temporal o definitiva del
tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control
con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del
artículo 58, apartado 1."
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:
"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/27
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679."
VI
Propuesta de sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo, por las infracciones del presente
Reglamento, indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la de la naturaleza, gravedad y duración infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/27
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las
multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones
debe tener como punto de partida, tres elementos: el volumen de negocios, la
categorización de las infracciones según su propia naturaleza (es decir, si se trata de
una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en
cada caso concreto (de acuerdo con el artículo 83.2 a), b) y g)). En cualquier caso, la
multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y
disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.
En este sentido, se considera, con carácter previo, la cifra de 1.360.000.000€ euros de
resultados antes de impuestos de BANKINTER ESPAÑA para 2024.
Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser
de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía
equivalente al 4% como máximo del volumen de negocio anual, optándose por la de
mayor cuantía. El 4% del volumen de negocio de BANKINTER (1.360.000.000 euros
antes de impuestos en 2024) es de 54.400.000€ euros.
Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones
habrá de estar forzosamente entre los 0 y los 54.400.000 euros
Asimismo, en relación con el nivel de gravedad en los términos del RGPD, sin perjuicio
de lo que resulte de la instrucción, se estima que concurren las circunstancias
siguientes:
Con carácter previo, se estima que concurren las circunstancias siguientes:
La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): los hechos
conocidos inciden directamente en el control que los afectados tienen sobre
sus datos personales. Asimismo, excede las expectativas razonables que los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/27
interesados puede prever sobre el tratamiento de sus datos personales. Así,
los afectados confían en la entidad para el manejo seguro de su información
personal, habiéndose erosionado la confianza y expectativas razonables de los
afectados respecto al tratamiento de sus datos personales.
En relación con el número de afectados, se subraya que la brecha de
confidencialidad ha afectado a 1.275.049 personas. Además, consta que se
publicaron en la Deep web al menos los datos de 958 personas.
Asimismo, debe subrayarse el elevado número de datos personales por cada
afectado que se vieron comprometidos. Conviene señalar que la vulneración
del principio de confidencialidad en el presente caso involucra un conjunto de
datos personales cuya naturaleza amplifica las implicaciones de la brecha de
datos personales. Ello se desprende en la circunstancia de que se hayan visto
afectados un elevado número de datos personales. En concreto: nombre,
apellidos, DNI o NIE, número de teléfono, el régimen económico, número IBAN
de cuentas bancarias, firma, código de los productos contratados, declaración
del IVA del último ejercicio, años trabajados, situación laboral, ingresos
mensuales, así como su identificador en la plataforma, entre otros,
dependiendo de si se trataba de clientes o no clientes.
La combinación de este tipo de datos personales eleva significativamente el
nivel de riesgo para los derechos y libertades de sus titulares y las
implicaciones de la vulneración de la confidencialidad. Esto se debe a la
circunstancia de que dicha combinación no solo aumenta la cantidad de
información disponible para un actor malicioso, sino que también amplía el
espectro de posibles abusos. Dado que no se trata de datos aislados o piezas
individuales de información, sino de la exposición de un conjunto integrado de
datos personales que cuando se combinan, pueden ser utilizados para
construir un perfil completo y detallado de un individuo, lo cual puede permitir a
un atacante realizar operaciones de fraude y suplantación de identidad con una
mayor tasa de éxito.
En cuanto a la duración de la infracción, esta se prolongó, como mínimo entre
el 23 de marzo de 2024 y el 9 de abril de 2024.
Por otra parte, el incumplimiento del principio de integridad y confidencialidad
implica el incumplimiento del principio de responsabilidad proactiva previsto en
el artículo 5.2 RGPD y desarrollado en el artículo 24, por el que los
responsables del tratamiento no solo han de cumplir con lo previsto en el
RGPD, sino que deben ser capaces de demostrarlo con un nuevo enfoque de
adopción e implementación de medidas adecuadas al riesgo
- Las categorías de los datos de carácter personal afectados por la infracción
(artículo 83.2, letra g), del RGP: Las Directrices 04/2022 del Comité Europeo
de Protección de Datos, sobre el cálculo de las multas bajo el RGPD,
adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en
cuanto al requisito de tener en cuenta las categorías de los datos personales
afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen
una protección especial y, por tanto, una respuesta más estricta en lo que
respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que
se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/27
aplicación de estos artículos cuya difusión provoque daños y perjuicios
inmediatos al interesado (por ejemplo, datos de localización, datos sobre
comunicación privada, números de identificación nacionales o datos
financieros, como resúmenes de transacciones o números de tarjetas de
crédito”). En el presente caso, el número de DNI de millones de afectados se
ha visto afectado por la brecha. Se trata de un tratamiento sobre un dato
sensible, pues dicho dato permite la identificación directa e inequívoca de una
persona física.
De conformidad con el Real Decreto 255/2025, de 1 de abril por el que se
regula el Documento Nacional de Identidad, el número de DNI es un
identificador numérico personal de carácter general, con valor suficiente para
acreditar tanto la identidad como la nacionalidad del titular. Esta cualidad lo
convierte en un dato personal particularmente sensible pues, en la medida en
que su tratamiento no vaya acompañado de las medidas técnicas y
organizativas necesarias para garantizar que quien se identifica con él es
realmente su titular, un tercero puede suplantar la identidad de una persona
física con total facilidad, o, con otras palabras, puede provocar un fraude de
identidad, con los riesgos que ello comporta para la privacidad, el honor y el
patrimonio del suplantado.
Además, ha de hacerse referencia a que entre los datos comprometidos se
encuentran datos de índole financiera: IBAN, declaraciones e IVA, salarios,
entre otros.
Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:
• La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): el
conjunto de operaciones que una entidad financiera realiza con la información de
sus clientes (o/y potenciales clientes), al abrir cuentas, conceder créditos,
ejecutar pagos…etc., supone la recopilación de datos de identificación personal
(nombre, DNI/Pasaporte, dirección, teléfono…), datos financieros (cuentas
bancarias, movimientos, tarjetas…), datos laborales y fiscales (ingresos, situación
laboral, declaraciones…), entre otros. Todo ello supone un tratamiento continuo y
masivo de datos personales.
Por otra parte, se considera en calidad de atenuante:
• La existencia de un proceso de fusión por absorción posterior a la
comisión de la infracción, que no puede imputarse a la entidad absorbente
(artículo 76.2, letra e), de la LOPDGDD): como ya indicó en las cuestiones
previas de este documento, consta en el expediente la publicación en el BOE
(18/04/2025), la Resolución del Banco de España de fecha 9/04/2025, por la que
se publica la baja de EVO BANCO, con fecha de efectos 01/04/2025, en el
Registro de Entidades de Crédito, al haber sido absorbido por BANKINTER SA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/27
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 400.000 (CUATROCIENTOS MIL EUROS).
Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos,
SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a BANKINTER, S.A., con
NIF A28157360 por la presunta infracción del artículo 5.1.f) del RGPD, tipificado en el
artículo 83.5 del RGPD.
SEGUNDO: NOMBRAR como instructor/a R.R.R. y, como secretario/a, a S.S.S.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).
TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la
violación de la seguridad de los datos personales, así como, los documentos obtenidos
y generados por la Subdirección General de Inspección de Datos en las actuaciones
previas al inicio del presente procedimiento sancionador.
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción,
sería de multa administrativa:
- Por la supuesta infracción del artículo 5.1.f) del RGPD, tipificada en el artículo
83.5 de dicha norma, multa administrativa de cuantía 400.000€.
QUINTO: NOTIFICAR el presente acuerdo a BANKINTER, S.A., con NIF A28157360,
otorgándole un plazo de audiencia de diez días hábiles para que formule las
alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el
encabezamiento de este documento.
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 320.00€ EUROS, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 320.000 EUROS y su pago implicará la terminación
del procedimiento, sin perjuicio de la imposición de las medidas correspondientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/27
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 240.000 EUROS.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (320.000€ o 240.000€ deberá hacerlo efectivo mediante su
ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de
referencia del procedimiento que figura en el encabezamiento de este documento y la
causa de reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
1479-010725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 6 de noviembre de 2025, BANKINTER ha procedido al pago de
la sanción en la cuantía de 240.000,00 euros haciendo uso de las dos reducciones
previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el
acuerdo de inicio y su calificación jurídica.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/27
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/27
III
Pago voluntario y reconocimiento de responsabilidad
De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 240.000,00 euros y su pago
implicaría la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.
Tras la notificación del citado acuerdo de inicio, BANKINTER ha procedido al
reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose
a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85
LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.
Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.
La suma de las citadas cuantías arroja una cantidad total 400.000,00 euros.
Tras haber procedido BANKINTER, S.A. al pronto pago y reconocimiento de
responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de
un 40% del total mencionado, lo cual supone la cantidad definitiva de 240.000,00
euros.
La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.
SEGUNDO: DECLARAR la terminación del procedimiento EXP202406208, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
TERCERO: NOTIFICAR la presente resolución a BANKINTER, S.A..
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/27
CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona
la reducción por pago voluntario y reconocimiento de la responsabilidad al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la
presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de
su notificación.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución haya sido
notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaeps.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
936-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es