Mobil Uygulamada Başka Kullanıcının İletişim Bilgilerinin Görüntülenmesi

1/31

 Expediente Nº: EXP202409828

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 23 de mayo de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a OCI CINE, S.L. (en
adelante, OCINE), mediante el acuerdo que se transcribe:

<<
Expediente N.º: EXP202409828

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Con fecha 5 de junio de 2024 A.A.A. (en adelante, A.A.A.) interpuso un
escrito ante la Agencia Española de Protección de Datos por una posible infracción
imputable a OCI CINE, S.L. con NIF B17070707 (en adelante, OCINE).

Los hechos que se pusieron en conocimiento de esta autoridad fueron:

A.A.A. manifiesta que el 1/6/24 abrió la aplicación de Ocine en su móvil y que su
cuenta estaba iniciada automáticamente, porque en la información de usuario estaba
su tarjeta Fidelity (Nº: ***TARJETA.1). Indica que sabía que era la suya porque los
últimos dígitos son los de su DNI. Seleccionó la película, la hora y eligió los asientos
del cine. En el siguiente paso de la compra había un campo para poner la tarjeta
Fidelity o el email. En su caso, ese campo apareció autorellenado, no prestó atención
al número suponiendo que era su tarjeta de socia, y en la siguiente pantalla (después
de saltar el paso de elegir comida) salió un resumen de la compra y datos de contacto,
pero rellenos con nombre, apellidos, email y teléfono de otra persona.

Junto al escrito, se aporta, entre otra información:

- Captura de pantalla con los datos de su cuenta Fidelity nº ***TARJETA.1.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/31

- Captura de pantalla en la que puede verse que se están comprando unas
entradas de cine y el campo “Número de tarjeta Fidelity o E-mail” aparece
completado con el siguiente dato: “***TARJETA.2”.

- Captura de pantalla con el “Resumen de las entradas” en el que puede verse
como “Datos de contacto”:
o “Nombre: B.B.B.”
o “Email: ***EMAIL.1.”
o “Teléfono móvil: ***TELÉFONO.1”

- Imagen del DNI de la denunciante, con los siguientes datos:
o “Apellidos: (…)”
o “Nombre: (…)”
o “DNI ***NIF.1”

- Captura de pantalla de un correo electrónico recibido por A.A.A. desde “info-
OCINE” con el asunto “RE: Formulari Suggeriments- A.A.A.” y el siguiente
contenido: “Buenos días,
Disculpe la espera. Sentimos enormemente lo ocurrido, pasamos
inmediatamente su incidencia al servicio informático para que lo solucionen
cuanto antes y no vuelva ocurrir. (…)
Por otro lado, necesitamos que nos adjunte la entrada o un comprobante de la
compra para poder incluir la compra en su historial. (…)
Atentamente, OCINE”.

- Captura de pantalla de un correo electrónico recibido por A.A.A. desde “info-
OCINE” con el siguiente contenido: “Hola de nuevo,
Disculpe las molestias. El equipo técnico nos comenta si puede adjuntar
capturas de los fallos que está teniendo en la web para saber en qué momento
le aparecen. (…) Saludos, OCINE”.

- Captura de pantalla de un correo electrónico recibido por A.A.A. desde “info-
OCINE” con el siguiente contenido: “Buenas.
Agradecemos su colaboración. Hemos enviado los datos al servicio técnico
para que solventen el error informático cuanto antes y no vuelva a ocurrir. (…)
Saludos, OCINE”.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicho escrito a OCINE, para que procediese a
su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas
a cabo para adecuarse a los requisitos previstos en la normativa de protección de
datos.

La notificación del traslado de tal escrito, que se practicó conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en
fecha 17/07/2024 como consta en el acuse de recibo que obra en el expediente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/31

Con fecha 12 de agosto de 2024 se recibió en esta Agencia escrito de respuesta
indicando:

1. Descripción detallada y cronológica de los hechos

A continuación, se reseñan los hechos más relevantes de los enumerados por OCINE:

- 19/03/2024: ***EMPRESA.1 con NIF ***NIF.2 (***EMPRESA.1) reportó a
OCINE que Google notificaba un error en la configuración del borrado de
cuentas, impidiendo la publicación de nuevas versiones de la aplicación y
alertando sobre posibles sanciones, como la retirada de la APP de la
plataforma. En un primer momento, OCINE no consideró que hubiera un
problema de seguridad de los datos. ***EMPRESA.1 pidió con urgencia este
formulario de eliminación de cuenta Fidelity Plus a ***EMPRESA.2 con NIF
***NIF.3 (***EMPRESA.2). El 20 y 28/03/2024 OCI CINE volvió a reclamar a
***EMPRESA.2 el citado formulario.
- 03/04/2024: ***EMPRESA.2 hizo llegar a OCINE el citado solo para Ocine
Girona (prueba) y pidió conformidad a OCINE para implementarlo de igual
manera al resto de cines.
- 04/04/2024: OCINE pidió a ***EMPRESA.2 una serie de explicaciones y no se
volvió a recibir respuesta hasta el 17/04/2024, que se volvió a reclamar este
tema.
- 07/04/2024: OCINE recibió la primera incidencia reportada por cruzamiento de
datos (caso C.C.C.). El 08/04/2024: OCINE le dio respuesta.
- 08/04/2024: ***EMPRESA.2 diagnosticó y localizó el problema, que se
producía durante la sincronización de las BBDD entre cines: clientes que se
habían registrado el mismo día en cines diferentes que coincidían en n.º de
registro podían visualizar datos que no eran los suyos, solo desde la APP.
Solamente se visualizaba nombre, apellidos, teléfono y mail. Y la incidencia era
de uno a uno. Se analizó que el potencial de alcance de la incidencia no era
muy grande, por lo tanto, se descartó el hecho de tener que informar a la AEPD
y a la BBDD de nuevos registros Fidelity Plus. Se utilizó el recurso Asesora
Brecha de la página web de la AEPD. El resultado en su momento fue que no
era necesario comunicar la violación de seguridad ya que no se afectaban a los
derechos y libertades de las personas.
- 10/04/2024: OCINE recibió una nueva incidencia idéntica a la del 8 de abril
(caso D.D.D.). Ese mismo día OCINE dio respuesta al cliente. Se analizaron
las consecuencias a nivel del tratamiento de los datos personales y se
consideró que no variaba el nivel de riesgo. ***EMPRESA.2 implementó un
sistema que invalidaba el token en los casos en que se producía el cruce de los
datos y solicitó a la empresa ***EMPRESA.1 que, siempre que se recibiera un
error 401 se tenía que repetir el llamamiento de login para poder invalidar el
token, tal y como se planteó la solución después del diagnóstico.
- 17/04/24: OCINE recibió la tercera incidencia (caso E.E.E.), en que la clienta
comentaba que una persona de Mallorca la había contactado diciéndole que le
habían aparecido todos sus datos de usuario. Por tanto, se trata de una
incidencia reportada no por la persona que ha visualizado datos de otra
persona, sino de la propia persona que ha visto sus datos vulnerados. Ese
mismo día OCINE dio respuesta al cliente. Se analizaron las consecuencias a
nivel del tratamiento de los datos personales y se consideró que no variaba el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/31

nivel de riesgo. ***EMPRESA.2 respondió a OCINE que: el error está corregido
(refiriéndose al cruce de datos), pero sin gestión del error por parte de la app
(es decir, de ***EMPRESA.1), no se puede forzar a los clientes a volver hacer
login. Si no hay gestión por parte de la app, quedarán todos los clientes sin
poder utilizar la app. A todos los logins nuevos no les puede pasar, pero todos
los que ya estaban iniciados no se pueden forzar. Ahora mismo, la app no
gestiona si hay un error de autenticación del usuario, muestra un mensaje de
error y el usuario no sabe qué está pasando. Ese mismo día, OCINE reportó a
***EMPRESA.2 un nuevo caso de un cliente que no indicaba nada respecto a
la visualización de datos de otro cliente, sino que indicaba que no tenía sus
puntos de una compra reciente debidamente reflejados en su cuenta cliente
desde la APP y que desde la web sí que le salía la información correcta.
***EMPRESA.2 respondió que: La APP no gestiona los errores de
autenticación, por lo tanto, el primero que tienen que hacer todos los clientes
que tengan una incidencia con los datos es cerrar sesión y volver a entrar.
OCINE indicó al departamento de atención al cliente que, si se recibía alguna
reclamación relacionada con la visualización de datos desde la APP por parte
de alguno otro cliente, que los tenían que indicar que tenían que cerrar sesión y
volver a iniciarla. Desde ***EMPRESA.1 se informó a OCINE de que la
solución más plausible era forzar a todos los usuarios Fidelity que estaban
logados a la APP a hacer logout + login automáticamente. Haciendo esto, el
problema derivado del cruzamiento de visualización de datos incorrectos no se
volvía a producir. Como alternativa a que no se podía hacer el procedimiento
login + logout automático porque no se podían aplicar actualizaciones en Play
Store, se comentó la posibilidad de informar a los usuarios APP a través de una
notificación PUSH que tenían que hacer login + logout manualmente. No fue
una idea que gustara a OCINE y se descartó, dado que tampoco había
garantías de que todo el mundo lo hiciera y no volviera a ocurrir la visualización
de datos otros clientes, dado que mucha gente ignoraba las PUSH. Ese mismo
día, ***EMPRESA.2 pidió a OCINE información y textos para borrarse de la
BBDD de cliente Fidelity Plus.
- 18/04/24: OCINE envió las especificaciones de textos a implementar en la
página para borrarse de la BBDD de cliente Fidelity Plus. ***EMPRESA.2 les
reportó que ya estaban todos los cambios aplicados a las webs y que el
formulario para darse de baja de la BBDD Fidelity Plus de cualquier cine
también estaba implementada a ocinegirona.es. OCINE detectó unos errores y
comunicó a ***EMPRESA.1 que solo estaba aplicado a Ocine Girona y que
quizás habría que aplicarlo sobre la página de ocine.es, que en el footer de
ocine.es no estaban vinculadas las políticas y que cuando hacían el cambio de
idioma a ESP sobre la propia página del formulario, redirigía a la home.
- 24/04/24: ***EMPRESA.2 contestó a OCINE indicando que estaba aplicado a
Ocine Girona porque era la web enlazada a la ficha de la Play Store y que de
cara a Google, era suficiente. No se podía poner en ocine.es porque, igual que
las altas, las bajas se hacían en el cine. En ocine.es nunca habían estado las
políticas porque siempre se había tratado como una landing para encaminar los
usuarios hacia un cine u otro. El punto del cambio de idioma es como había
funcionado siempre en todas las páginas, el cambio de idioma lleva a la home
en el idioma que se ha escogido.
- 07/05/24: OCINE envió a ***EMPRESA.1 los enlaces para darse de baja de la
BBDD de cliente Fidelity Plus para implementar en Play Store y poder aplicar la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/31

solución pactada (logout + login automático) y dejar resuelta la incidencia para
que no volviera a ocurrir que ningún cliente pudiera ver datos de otro cliente
derivadas del cruce que se había dado previamente (dado que ya no se
estaban produciendo nuevos cruces, todas las visualizaciones de datos
cruzados venían ya dadas por el cruce anterior).
- 09/05/24: OCINE reclamó respuesta a ***EMPRESA.1, pero nunca se llegó a
recibir respuesta y OCINE lo dio por hecho, dado que dejó de recibir quejas de
clientes durante todo el mes.
- 01/06/24: OCINE recibe la cuarta incidencia (caso A.A.A.). Caso de la
denunciante. El 03/06/24 OCINE dio respuesta al cliente a través de varios
correos. Se analizaron las consecuencias a nivel del tratamiento de los datos
personales y se consideró que no variaba el nivel de riesgo. Se reportó el
cuarto caso a ***EMPRESA.2 y ***EMPRESA.1, dado que ya no tendría que
haber vuelto a pasar. Desde OCINE se pensó que o bien se ha vuelto a
producir el cruce de datos (que, según ***EMPRESA.2 ya estaba resuelto
desde el primer día que se reporta el primer caso) o bien que la solución de
login + logout a los usuarios de Android no se había efectuado cuando se
solicitó a ***EMPRESA.1. ***EMPRESA.2 reportó a OCINE que: 'Teniendo en
cuenta que no le muestra los datos, la app no se está pudiendo autentificar con
el servidor. Por lo tanto, tiene que estar usando una versión antigua de la app.
La parte de compra de entradas no dispone de validación adicional, por lo
tanto, si tiene un token antiguo, entra con datos de otro usuario. Por este
motivo era tan importante forzar a repetir el login. Si no ha actualizado la app,
le pasará lo mismo indefinidamente'.
- 17/07/24: OCINE recibió el requerimiento de la AEPD y la Dirección de OCINE
requirió un informe sobre el estado de la incidencia. ***EMPRESA.1 informó
que el ritmo de las actualizaciones era bueno pero no todos los usuarios se
habían actualizado a la última versión de la APP. Dirección insistió en que
debía de encontrarse una solución definitiva.
- 06/08/24: ***EMPRESA.2 en coordinación con ***EMPRESA.1 intervino a nivel
de software en los componentes del webservice que suministraba los datos a la
app bloqueando la posibilidad de visualizar datos a las apps no actualizadas.

Como conclusión general, indica OCINE que el 19/03/2024 detectó un problema
técnico en la implementación de su APP. Y que este problema ha sido solucionado
definitivamente y concluye también que, teniendo en cuenta el análisis realizado a
nivel de los derechos y libertades de las personas implicadas, que no ha habido
violación al respecto.

2. Especificación detallada de las causas que han hecho posible el incidente

Indica OCINE que la causa del problema ha sido de origen técnico:

- Al realizar un alta de un usuario se le asigna un identificador asignado por el cine
donde se da de alta.

- Cada 24 horas los datos de las altas (y además las modificaciones de datos) se
replican a un servidor central y posteriormente se replican al resto de cines, con el
objetivo de que el usuario pueda disfrutar de los beneficios de Fidelity en todos ellos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/31

- Este sistema de asignar identificadores al cliente de forma descentralizada provoca
en algunas ocasiones coincidencias de identificadores, que se resuelven en el
momento de la replicación asignando un identificador distinto al cliente que se ha
registrado más tarde.

- En la situación de reasignación de identificador, el usuario, tiene una situación
transitoria en la que:
o Si ha realizado el proceso de alta a través de la página web no tiene
incidencia.
o Si ha realizado el proceso de alta a través de la app, tiene una ventana de
tiempo marcada por el login inicial que hizo al realizar el alta hasta un nuevo
login, en la que este usuario tiene en la app, por defecto el número de usuario
inicial y no el que se le ha reasignado. De modo que cuando se conecta con la
app ve los datos relativos al otro cliente que tiene asignado este identificador.
▪ Los datos que visualiza del otro cliente son:
• Nombre y apellidos
• Mail
• Teléfono
• Número de tarjeta
▪ El resto de los datos que disponemos del cliente, no son visibles:
• Dirección
• Fecha de nacimiento
• Datos comerciales de uso

Se aporta como ANEXO: 1 un documento titulado “Especificación detallada de las
causas que han hecho posible el incidente”.

3. Número de personas afectadas por la violación de seguridad de los datos
personales

OCINE aporta una tabla en la que indica que “No existe manera de poder saber
concretamente los identificadores re-asignados. Por tanto, deberemos de hacer
estimaciones”.

Se indica como total de usuarios de Fidelity: 390.090. Y como total de usuarios de la
app (que representa el universo máximo de afectados sin la restricción de cruce de
indicadores): 26.397.

OCINE indica que como máximo existió un total de 34 afectados en el momento del
incidente (clientes dados de alta desde la fecha, que debieron entrar a la app y no
hubiesen hecho un nuevo login desde la fecha en que se detectó el incidente), lo cual
representa un 0,01% del total de usuarios de Fidelity.

4. Categoría de los datos personales involucrados

OCINE indica que las categorías de los datos y los datos personales concretos
afectados fueron los siguientes: Nombre y apellidos, teléfono y mail.

5. Posibles consecuencias para las personas afectadas

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/31

Indica OCINE que el 7/04/2024 recibió el primer caso y el 8/04/2024 se realizó un
análisis sobre las consecuencias para las personas afectadas y la conclusión fue que
el incidente no ha tenido ninguna afectación sobre sus derechos y libertades. Indica
que el incidente ha ocasionado inquietud y ciertas molestias a los usuarios, que se ha
intentado mitigar desde el departamento de atención al cliente, manteniendo una
comunicación fluida con los interesados, y dando feedback de la forma más ágil
posible.

Se adjunta una imagen de una tabla en la que puede verse como “resultados de un
posible impacto sobre los derechos y libertades de las personas” que “No hay riesgo
para los derechos y libertades”. Respecto a la extensión y alcance del tratamiento se
indica “El colectivo impactado es muy pequeño y no hay impacto en sus derechos y
libertades, solamente impacta en datos que no son de tipo especial”. En cuanto a los
“efectos colaterales del tratamiento” se menciona “Se pueden visualizar datos de la
persona que pueden permitir recibir el contacto de una persona que ha accedido a
estos datos (teléfono y correo electrónico), pudiendo suponer ello una cierta molestia.”

En el apartado “seguridad en los tratamientos” puede verse “Los hechos no están
relacionados ni con la materialización de amenazas ni de fallos en las medidas de
seguridad aplicadas”.

Como ANEXO 2 se acompaña un documento titulado “Detalle del análisis de riesgos
sobre el posible impacto sobre los derechos y libertades de las personas realizado”.

6. Descripción detallada de las acciones tomadas para solucionar el incidente y
minimizar su impacto sobre las personas afectadas

Se reitera OCINE en lo dicho en la cronología de los hechos sobre las actuaciones a
nivel de la APP realizadas por ***EMPRESA.1 y concluye:

“Por tanto, resumiendo, la actuación final que ha solucionado el problema es la
siguientes:

En las últimas versiones de la aplicación, al detectar un token inválido, se fuerza la
identificación del usuario. Además, se añaden verificaciones adicionales al proceso de
compra para evitar que usuarios de versiones obsoletas puedan identificarse como
otros clientes. Estas medidas aseguran que solo los usuarios con tokens válidos y
actualizados puedan completar transacciones, mejorando así la seguridad y la
precisión del sistema.”

7. Medidas de seguridad de los tratamientos de datos personales adoptadas con
anterioridad al incidente, así como la documentación acreditativa del análisis de
riesgos que ha conllevado la implantación de dichas medidas de seguridad y, en su
caso, copia de las evaluaciones de impacto de los tratamientos donde se ha producido
la violación de seguridad de los datos personales.

Indica OCINE que dispone de dos niveles de medidas de seguridad implantadas:
- Medidas de gobernanza
- Medidas de seguridad

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/31

En cuanto a las medidas de gobernanza, destaca que cuenta con una política de
protección de datos, que se proporciona a los interesados información sobre el
tratamiento de sus datos personales, que todo el personal firma unas cláusulas de
deber de secreto (se aporta como Anexo 3-1 la documentación que firma el personal) y
que se le comunican todas la medidas organizativas, que cuenta con contratos de
encargados del tratamiento con las empresas que gestionan datos en nombre de
OCINE (como Anexo 3-2 se aportan contratos de encargados del tratamiento), e indica
que cuenta con un procedimiento de ejercicio de derechos y con un procedimiento de
gestión de incidencias y de notificación de violaciones de seguridad.

También señala que ha realizado un análisis de riesgos, el cual aporta como ANEXO
4. Y que ha efectuado un análisis sobre la necesidad de realizar un análisis de
impacto, el cual dio como resultado que no era necesario.

En cuanto a las medidas de seguridad, indica que cuenta con medidas destinadas a
protegerse de desastres naturales e industriales, medidas destinadas a la prevención y
errores y fallos no intencionados y medidas destinadas a la protección de ataques
intencionados.

8. Copia del registro de actividad de los tratamientos donde se ha producido el
incidente

El tratamiento donde se ha producido el incidente es el de Fidelity. Se proporciona
información sobre el registro de actividad de tal tratamiento, en la que se indica que se
tratan los siguientes datos:
- Datos identificativos: Nombre y apellidos, teléfono, dirección postal, DNI y mail.
- Características personales: Sexo y fecha de nacimiento
- Información comercial: Entradas compradas y servicio de cafetería consumidos

9. Si la violación de seguridad ha sido comunicada a las personas afectadas, indique
el canal utilizado, fecha de comunicación y detalle del mensaje enviado. En caso
negativo, indicar los motivos

Manifiesta OCINE que ha considerado desde el inicio que los incidentes eran
producidos por un problema técnico en la APP que gestionaba los clientes Fidelity, y
por tanto todas las comunicaciones que se han mantenido con ellos, han sido
gestionadas como tales y desde el departamento de atención al cliente.

Se aporta captura de imagen de un correo electrónico recibido en [email protected]
desde ***EMAIL.2 el 7 de abril de 2024 con el siguiente contenido: “Buenos días, me
he creado una cuenta nueva y al entrar hoy me han salido los datos de otra clienta
vuestra.
Mis datos son ***EMAIL.2 y mi nombre es C.C.C. (…)”

En respuesta, puede verse que desde [email protected] se respondió el 8 de abril de
2024: “Buenos días, Disculpe la demora. Sentimos comunicar que actualmente la app
es un prototipo y estamos solventando los errores que están surgiendo. Le damos las
gracias por el feedback, ya que nos permite mejorar y tener un control de los fallos.
Hemos abierto una incidencia para que revisen su caso. Sentimos desconocer cuando

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/31

puede estar solucionado, por lo que recomendamos ir a las taquillas o utilizar la web
para realizar la compra.
Le adjuntamos los datos que tenemos asociados a su tarjeta por si necesita entrar a
su zona Fidelity desde la web:

- Número de tarjeta: ***TARJETA.3
- Contraseña: (...)
- Email asociado: ***EMAIL.2. (…)”

Se aporta captura de imagen de un correo electrónico recibido en [email protected]
desde ***EMAIL.3 el 10 de abril de 2024 con el siguiente contenido: “Buenos días,
Como os comente me pude loguear ya en la app, cual es mi sorpresa cuando entro
hoy a mis datos personales por curiosidad en la app y no se corresponden con los
míos… además intento logearme en la web con mis datos y me da un error, adjunto
pantallas tanto de la app con otros datos que no son los míos y con el error al intentar
logearme” (sic)

En respuesta, puede verse que desde info@ocine se respondió el 10 de abril de 2024:
“Buenos días, Disculpe la demora. Disculpe la demora. Sentimos comunicar que
actualmente la app es un prototipo y estamos solventando los errores que están
surgiendo. Le damos las gracias por el feedback, ya que nos permite mejorar y tener
un control de los fallos. Abrimos incidencia de su cuenta para que revisen y lo
solucionen lo antes posible. Recomendamos ir a las taquillas o utilizar la web para
realizar la compra.
Sentimos las molestias ocasionadas.” (sic)

Se aporta captura de imagen de un correo electrónico recibido en [email protected]
desde ***EMAIL.4 el 17 de abril de 2024 con el siguiente contenido: “Hola buenas
noches vamos a ver, una persona de Mallorca me acaba de enviar una captura de la
targeta vuestra con mi nombre apellidos dni dirección… que pasa si ahora me vienen
a robar o algo? Que tengo hijos! Esto es muyyyy grabe!!!!!!! E.E.E. dni ***NIF.4 vamos
a ver si lo solucionamos porque vaya tela.”

En respuesta, puede verse que desde [email protected] se respondió el 17 de abril de
2024: “Buenos días, Disculpe la espera. Sentimos enormemente lo ocurrido, pasamos
inmediatamente su incidencia al servicio informático para que lo solucionen cuanto
antes y no vuelva ocurrir.
Le damos las gracias por el feedback, ya que nos permite mejorar y tener un control
de los fallos.
Una vez más, sentimos la experiencia vivida y las molestias ocasionadas.”

Se aporta otra captura de imagen de un correo electrónico enviado desde
[email protected] a ‘E.E.E.’ el 18 de abril de 2024 con el siguiente contenido: “Buenos
días, Le informamos que el incidente está en manos del equipo técnico. El usurario ya
no podrá acceder a sus datos, sino que le aparecerán los correctos.
Una vez más sentimos las molestias por el incidente informático.”

Se aporta captura de imagen de un correo electrónico recibido en [email protected]
desde web@ocine el 1 de junio de 2024 con el asunto “Formulari Suggeriments-
A.A.A.” y el siguiente contenido:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/31

Nombre y apellidos: A.A.A.
Email: ***EMAIL.4
(…) Sugerencias: Hola, quiero ponerme en contacto con atención al cliente ya que
estáis infringiendo la ley de protección de datos en la app. ¿Podéis facilitarme un mail
para poder enviar mi reclamación? Cuando he ido a comprar mis entradas me salían
datos personales de otra persona porque el número de la tarjeta que se pone
automáticamente cuando compras no es el mío. (…) si yo he podido ver los datos de
otra persona, alguien está pudiendo ver los míos. (….)”

Se aporta captura de imagen de un correo electrónico enviado desde [email protected] a
***EMAIL.4 el 3 de junio de 2024 con el siguiente contenido: “Buenos días, Disculpe la
espera. Sentimos enormemente lo ocurrido, pasamos inmediatamente su incidencia al
servicio informático para que lo solucionen cuanto antes y no vuelva ocurrir.
Le damos las gracias por el feedback, ya que nos permite mejorar y tener un control
de los fallos.
Una vez más, sentimos la experiencia vivida y las molestias ocasionadas.”

Se aporta captura de imagen de un correo electrónico enviado desde [email protected] a
***EMAIL.4 el 3 de junio de 2024 con el siguiente contenido: “Hola de nuevo, Disculpe
las molestias. El equipo técnico nos comenta, si puede adjuntar capturas de los fallos
que está teniendo en la web y saber en qué momento le aparecen. (…)”

Se aporta captura de imagen de un correo electrónico enviado desde ***EMAIL.4 a
[email protected] el 3 de junio de 2024 con el siguiente contenido: “Hola, Sí, el problema
es en la pantalla donde se autorrellena la tarjeta de Fidelity, que en vez de la mía
apareció la de otra persona, más adelante en el proceso de compra aparecieron sus
datos. Como podéis ver en mi cuenta además se han borrado mis datos. La mía es la
que acaba en ***TARJETA.1 (que es mi DNI por lo que también ese es un dato
sensible que se ha compartido de B.B.B.) y la que se autorrellenó en la compra es la
que acaba en ***TARJETA.2.
Adjunto y pondré una reclamación en la agencia de protección de datos.
Saludos”

Se aporta captura de imagen de un correo electrónico enviado desde [email protected] el
3 de junio de 2025 con el siguiente contenido: “Buenas, Agradecemos su
colaboración. Hemos enviado los datos al servicio técnico para que solventen el error
informático cuando antes y no vuelva a ocurrir. (…)
Sentimos la incidencia. Saludos”

Se aporta captura de imagen de un correo electrónico enviado desde [email protected] a
‘A.A.A.’ el 3 de junio de 2025 con el siguiente contenido: “Buenas tardes, Disculpe la
demora. (…) Le recomendamos que actualice la app o visitar la web para consultar el
historial de puntos. Un saludo”.

10. Indique si la violación de seguridad ha sido notificada a esta autoridad de control.
En cado contrario, indique los motivos por los que la violación de seguridad no ha sido
comunicada antes del transcurso de 72 horas

Indica OCINE que en el momento que se recibió a primera incidencia el 7 de abril de
2024 se realizó un análisis de la misma desde diferentes puntos de vista y se concluyó
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/31

“que no estábamos frente a una violación de seguridad; sí ante un problema técnico de
software.”

Se aporta una captura de imagen de un análisis de riesgos respecto al tratamiento
Fidelity, donde se concluyó que no existían riesgos para los derechos y libertades de
las personas o que estos riesgos habían sido mitigados.

Señala OCINE que el 8 de abril de 2024 utilizó el recurso Asesora Brecha de la página
web de la AEPD y que el resultado en su momento fue “NO ES NECESARIO
NOTIFICAR LA BRECHA DE DATOS PERSONALES A LA AEPD”. Se aporta como
ANEXO 5 la consulta a tal herramienta.

Indica OCINE que realizó también un análisis la afectación sobre los derechos y
libertades de los afectados, concluyendo que no había afectación al respecto.

11. Medidas que piensa tomar para que no se vuelva a producir un incidente similar en
el futuro

MEDIDA 1:
Manifiesta OCINE que, debido a que la causa raíz del problema residía en el
desarrollo de software y en su aplicación precipitada a producción, la Dirección decidió
implantar buenas prácticas de desarrollo de software adicionales, inspiradas en la
norma ISO 27002: 2022 Seguridad de la información, ciberseguridad y protección de la
privacidad. Y concretamente los controles 8.30 relativo a la externalización del
desarrollo y 8,31 separación de los entornos de desarrollo, prueba y producción.

Entre otras recomendaciones de la norma para dichos controles menciona:

- 8.30 relativo a la externalización del desarrollo
Cuando se subcontrata el desarrollo del sistema, la organización debería comunicar y
acordar los requisitos y expectativas, y monitorizar y revisar continuamente si la
entrega del trabajo subcontratado cumple con estas expectativas. Indica que se
deberían considerar en toda la cadena de suministro externa de la organización, entre
otros, la provisión de evidencias de que se han establecido niveles mínimos
aceptables de seguridad y de privacidad (por ejemplo, informes de aseguramiento), la
provisión de evidencias de que se han realizado pruebas suficientes para protegerse
frente a la presencia de vulnerabilidades conocidas, la toma en consideración de la
legislación aplicable (por ejemplo, sobre protección de datos personales).

- 8.31 separación de los entornos de desarrollo, prueba y producción
Debería identificarse e implementarse el nivel necesario de separación entre los
entornos de producción, prueba y desarrollo para evitar problemas en producción.
Indica que se deberían considerar, entre otros, separar adecuadamente los sistemas
de desarrollo y de producción y operarlos en diferentes dominios (por ejemplo, en
entornos físicos o virtuales separados), probar los cambios a los sistemas y las
aplicaciones en producción en un entorno de pruebas o de ensayo antes de aplicarlos
a los sistemas de producción (véase 8.29), no realizar pruebas en entornos de
producción excepto en circunstancias que hayan sido definidas y aprobadas,

MEDIDA 2:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/31

La Dirección también decidió que durante este 2024 se nombrara a un Delegado de
Protección de Datos para todo el Grupo OCINE con el objecto de mejorar el
cumplimiento de la normativa de protección de datos y coordinar todas las acciones
entre las distintas empresas del grupo.

MEDIDA 3:
Realizar una auditoría interna extraordinaria para revisar el grado de cumplimiento y
detectar mejoras que serían la base del plan de trabajo para posteriores fechas.

TERCERO: Con fecha 5 de septiembre de 2024, de conformidad con el artículo 65 de
la LOPDGDD, se admitió a trámite la reclamación.

CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR el 8 de
mayo de 2025, la entidad OCINE es una empresa constituida en el año 1983, y con un
volumen de negocios de 5.216.496 euros en el año 2023.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

II
Procedimiento

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.

De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/31

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).

III
Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que OCINE
realiza, entre otros tratamientos, la recogida y conservación de datos personales de
personas físicas: nombre y apellidos, teléfono, dirección postal, número de DNI y
correo electrónico.

OCINE realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.

IV
Obligación incumplida. Exactitud

La letra d) del artículo 5.1 del RGPD propugna:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/31

"1. Los datos personales serán:
(…)
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan («exactitud»);"

Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones
indica que: “(39) (…) para garantizar que los datos personales no se conservan más
tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su
supresión o revisión periódica. Deben tomarse todas las medidas razonables para
garantizar que se rectifiquen o supriman los datos personales que sean inexactos”.

Y el considerando 71 del RGPD: “ (...) a fin de garantizar un tratamiento leal y
transparente respecto del interesado, teniendo en cuenta las circunstancias y contexto
específicos en los que se tratan los datos personales, el responsable del tratamiento
debe utilizar procedimientos matemáticos o estadísticos adecuados para la
elaboración de perfiles, aplicar medidas técnicas y organizativas apropiadas para
garantizar, en particular, que se corrigen los factores que introducen inexactitudes en
los datos personales y se reduce al máximo el riesgo de error, asegurar los datos
personales de forma que se tengan en cuenta los posibles riesgos para los intereses y
derechos del interesado e impedir, entre otras cosas, efectos discriminatorios en las
personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o
creencias, afiliación sindical, condición genética o estado de salud u orientación
sexual, o tratamiento que dé lugar a medidas que produzcan tal efecto".

Por tanto, se consagra en estos preceptos el principio de “exactitud”, que impone al
responsable del tratamiento que verifique la exactitud de los datos del interesado a
través de la implementación de medidas adecuadas.

En el presente caso, se produjo un problema técnico en la app de OCINE para la
compra de entradas, que causó que al menos en cuatro ocasiones se cruzaran los
datos personales entre dos clientes Fidelity.

La propia OCINE ha reconocido en su escrito de 12 de agosto de 2024 que:

 El 7 de abril de 2024 OCINE recibió la primera incidencia reportada por
cruzamiento de datos (C.C.C.), en la que indicaba “Buenos días, me he creado
una cuenta nueva y al entrar hoy me han salido los datos de otra clienta
vuestra”

 El 10 de abril de 2024 OCINE recibió la segunda incidencia reportada por
cruzamientos de datos (D.D.D.), en la que indicaba: “Buenos días, Como os
comenté me pude loguear ya en la app, cual es mi sorpresa cuando entro hoy
a mis datos personales por curiosidad en la app y no se corresponden con los
míos… además intento logearme en la web con mis datos y me da un error,
adjunto pantallas tanto de la app con otros datos que no son los míos y con el
error al intentar logearme”

 El 17 de abril de 2024 OCINE recibió la tercera incidencia reportada por
cruzamientos de datos (E.E.E.), en la que indicaba “Hola buenas noches
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/31

vamos a ver, una persona de Mallorca me acaba de enviar una captura de la
targeta vuestra con mi nombre apellidos dni dirección (…)”

 El 1 de junio de 2024 OCINE recibió la cuarta incidencia (A.A.A.), en la que
indicaba “Hola buenas noches vamos a ver, una persona de Mallorca me
acaba de enviar una captura de la targeta vuestra con mi nombre apellidos dni
dirección” y “el problema es en la pantalla donde se autorrellena la tarjeta de
Fidelity, que en vez de la mía apareció la de otra persona, más adelante en el
proceso de compra aparecieron sus datos. Como podéis ver en mi cuenta
además se han borrado mis datos. La mía es la que acaba en ***TARJETA.1
(que es mi DNI por lo que también ese es un dato sensible que se ha
compartido de B.B.B.) y la que se autorrellenó en la compra es la que acaba
en ***TARJETA.2”.

En su escrito de 12 de agosto de 2024 OCINE indicó que las categorías de los datos y
los datos personales concretos afectados fueron los siguientes: Nombre y apellidos,
teléfono y mail. No obstante, también se vio afectado por el incidente el número de
tarjeta Fidelity de los afectados dado que tal número de cliente de OCINE contiene el
número de DNI de los afectados.

Es decir, que al menos los datos mostrados por OCINE afectados por el incidente en
cuestión, de al menos 8 afectados (dos personas por cruce reportado) no eran
exactos.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a OCINE, por
vulneración del artículo 5.1.d) del RGPD.

V
Tipificación de la infracción del artículo 5.1.d) del RGPD y calificación a efectos de
prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/31

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679."

VI
Propuesta de sanción por la infracción del art. 5.1.d) del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/31

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

En el presente caso, considerando la gravedad de las posibles infracciones,
atendiendo especialmente a las consecuencias que su comisión provoca en los
afectados, correspondería la imposición de multa.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de OCINE
(5.216.496 euros en el año 2023).

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
las circunstancias siguientes, contempladas en los preceptos antes citados.

Con carácter previo, se estima que concurren las circunstancias siguientes:

18/31

abril de 2024 a 6 de agosto de 2024. El factor combinado de todos esos distintos
tipos de datos personales hace que las posibles consecuencias, el impacto de la
materialización del riesgo para los interesados, sean de mayor consideración, lo
cual también se tiene en cuenta a la hora de graduar la posible sanción.
• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD): el accionar de OCINE fue gravemente negligente toda vez que recibió
cuatro reportes de incidencias y no fue hasta que esta Agencia le envió un
requerimiento de información sobre esta cuestión que adoptaron las medidas
necesarias para poner fin al problema técnico de origen.
• Las categorías de los datos de carácter personal afectados por la
infracción (artículo 83.2, letra g), del RGPD): en el presente caso se ha difundido
indebidamente el número del DNI, entre otros datos.

El identificador numérico del DNI junto con el carácter de verificación
correspondiente al número de identificación fiscal identifica a una persona física
de modo indubitado. Esta cualidad lo convierte en un dato particularmente
sensible pues, en la medida en que su tratamiento no vaya acompañado de las
medidas técnicas y organizativas necesarias para garantizar que quien se
identifica con él es realmente su titular, un tercero puede suplantar la identidad de
una persona física con total facilidad, o, con otras palabras, puede provocar un
fraude de identidad, con los riesgos que ello comporta para la privacidad, el
honor y el patrimonio del suplantado.

Por lo que se tiene en cuenta estas circunstancias a la hora de graduar la
sanción a imponer.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

• La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD):
OCINE es una empresa creada en el año 1983 que se dedica a la venta de
entradas de cine, para lo cual trata continuamente datos personales de sus
clientes.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.d) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 4.000,00 euros.

VII
Obligación incumplida. Seguridad del tratamiento

El artículo 32 del RGPD estipula lo siguiente:

"1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/31

organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros."

El RGPD, en su artículo 32, exige a los responsables del tratamiento la adopción de
las correspondientes medidas de seguridad de índole técnica y organizativa
necesarias que garanticen que el tratamiento es conforme a la normativa vigente, así
como garantizar que cualquier persona que actúe bajo la autoridad del responsable o
del encargado y tenga acceso a datos personales solo los pueda tratar siguiendo
instrucciones del responsable.

Resulta necesario señalar que el citado precepto no establece un listado de medidas
de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que
establece la obligación de que el responsable y el encargado del tratamiento apliquen
medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el
tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad
y gravedad para los derechos y libertades de las personas interesadas.

Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al
riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas
teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la
confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la
disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no
auditoría), evaluación y valoración de la eficacia de las medidas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/31

En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.

Por otra parte, el Considerando (74) del RGPD indica que: “Debe quedar establecida
la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como, el riesgo para los derechos y
libertades de las personas físicas.”

Por tanto, este principio aplicado al tratamiento de los datos de un cliente que resulte
necesario para la actividad exige que dicho tratamiento deba realizarse con métodos
técnicos y organizativos que garanticen la seguridad y confidencialidad de los datos
personales.

En el presente caso, tal y como ha reconocido OCINE en su escrito de 12 de agosto
de 2024, al menos desde el día 7 de abril de 2024 a 6 de agosto de 2024, al realizar
un alta de un usuario se le asignaba un identificador asignado por el cine donde se
daba de alta. Y cada 24 horas los datos de las altas (y además las modificaciones de
datos) se replicaban a un servidor central y posteriormente se replicaban al resto de
cines, con el objetivo de que el usuario pudiera disfrutar de los beneficios de Fidelity
en todos ellos.

Este sistema de asignar identificadores al cliente de forma descentralizada provocaba
en algunas ocasiones coincidencias de identificadores, que se resolvían en el
momento de la replicación asignando un identificador distinto al cliente que se ha
registrado más tarde.

No obstante, en la situación de reasignación de identificador, el usuario, tenía una
situación transitoria en la que, si había realizado el proceso de alta a través de la app,
tenía una ventana de tiempo marcada por el login inicial que había hecho al realizar el
alta hasta un nuevo login, en la que este usuario tenía en la app, por defecto, el
número de usuario inicial y no el que se le había reasignado. De modo que cuando se
conectaba con la app veía los datos relativos al otro cliente que tenía asignado este
identificador: nombre y apellidos, correo electrónico, teléfono, número de tarjeta
Fidelity.

OCINE tenía contratados como proveedores a ***EMPRESA.1 con NIF ***NIF.2
(***EMPRESA.1) y a ***EMPRESA.2 con NIF ***NIF.3 (***EMPRESA.2).

El 19 de marzo de 2024 ***EMPRESA.1 reportó a OCINE que Google notificaba un
error en la configuración del borrado de cuentas. Ese mismo día ***EMPRESA.1 pidió
con urgencia a ***EMPRESA.2 un formulario de eliminación de cuenta Fidelity Plus y
lo volvió a reclamar el 20 y 28 de marzo de 2023.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/31

El 3 de abril de 2024 ***EMPRESA.2 hizo llegar a OCINE una prueba del citado
formulario, a lo cual el 4 de abril de 2024 OCINE pidió a ***EMPRESA.2 una serie de
explicaciones, sin recibir respuesta.

El 7 de abril de 2024 OCINE recibió la primera incidencia reportada por cruzamiento
de datos (C.C.C.).

El 8 de abril de 2024 ***EMPRESA.2 diagnosticó y localizó el problema. OCINE
analizó el incidente y se concluyó que no había riesgos para los derechos y libertades
de los afectados.

El 10 de abril de 2024 OCINE recibió la segunda incidencia reportada por
cruzamientos de datos (D.D.D.). Se analizaron las consecuencias a nivel del
tratamiento de los datos personales y se consideró que no variaba el nivel de riesgo.
***EMPRESA.2 implementó un sistema que invalidaba el token en los casos en que se
producía el cruce de los datos y solicitó a la empresa ***EMPRESA.1 que, siempre
que se recibiera un error 401 se tenía que repetir el llamamiento de login para poder
invalidar el token.

El 17 de abril de 2024 OCINE recibió la tercera incidencia reportada por cruzamientos
de datos (E.E.E.). Se analizaron las consecuencias a nivel del tratamiento de los datos
personales y se consideró que no variaba el nivel de riesgo. ***EMPRESA.2 respondió
a OCINE que se había corregido el error respecto al cruce de datos, pero que
necesitaban que ***EMPRESA.1 gestionara el error por parte de la app para forzar a
los clientes a volver a hacer login. E indican que en ese momento si había un error de
autenticación del usuario, se mostraba un mensaje de error y el usuario no sabía qué
está pasando. Ese mismo día, OCINE reportó a ***EMPRESA.2 un nuevo caso de un
cliente que no indicaba nada respecto a la visualización de datos de otro cliente, sino
que indicaba que no tenía sus puntos de una compra reciente debidamente reflejados
en su cuenta cliente desde la APP y que desde la web sí que le salía la información
correcta. ***EMPRESA.2 respondió que lo primero que tienen que hacer todos los
clientes que tengan una incidencia con los datos es cerrar sesión y volver a entrar. Por
lo que OCINE indicó al departamento de atención al cliente que, si se recibía alguna
reclamación relacionada con la visualización de datos desde la APP por parte de
alguno otro cliente, que los tenían que indicar que tenían que cerrar sesión y volver a
iniciarla. Desde ***EMPRESA.1 se informó a OCINE de que la solución más plausible
era forzar a todos los usuarios Fidelity que estaban logados a la APP a hacer logout +
login automáticamente. Ese mismo día, ***EMPRESA.2 pidió a OCINE información y
textos para borrarse de la BBDD de cliente Fidelity Plus.

El 18 de abril de 2024 OCINE envió las especificaciones de textos a implementar en la
página para borrarse de la BBDD de cliente Fidelity Plus. ***EMPRESA.2 les reportó
que ya estaban todos los cambios aplicados a las webs y que el formulario para darse
de baja de la BBDD Fidelity Plus de cualquier cine también estaba implementada.

El 7 de mayo de 2025 OCINE envió a ***EMPRESA.1 los enlaces para darse de baja
de la BBDD de cliente Fidelity Plus para implementar en Play Store y poder aplicar la
solución pactada (logout + login automático) y dejar resuelta la incidencia para que no
volviera a ocurrir que ningún cliente pudiera ver datos de otro cliente derivadas del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/31

cruce que se había dado previamente (dado que ya no se estaban produciendo
nuevos cruces, todas las visualizaciones de datos cruzados venían ya dadas por el
cruce anterior).

El 9 de mayo de 2024 OCINE reclamó respuesta a ***EMPRESA.1, pero nunca se
llegó a recibir respuesta y OCINE lo dio por hecho, dado que dejó de recibir quejas de
clientes durante todo el mes.

El 1 de junio de 2024 OCINE recibió la cuarta incidencia (A.A.A.). Se analizaron las
consecuencias a nivel del tratamiento de los datos personales y se consideró que no
variaba el nivel de riesgo. OCINE reportó el cuarto caso a ***EMPRESA.2 y
***EMPRESA.1, dado que ya no tendría que haber vuelto a pasar. ***EMPRESA.2
reportó a OCINE que: 'Teniendo en cuenta que no le muestra los datos, la app no se
está pudiendo autentificar con el servidor. Por lo tanto, tiene que estar usando una
versión antigua de la app. La parte de compra de entradas no dispone de validación
adicional, por lo tanto, si tiene un token antiguo, entra con datos de otro usuario. Por
este motivo era tan importante forzar a repetir el login. Si no ha actualizado la app, le
pasará lo mismo indefinidamente'.

El 17 de julio de 2024 OCINE recibió el requerimiento de la AEPD y requirió un informe
sobre el estado de la incidencia. ***EMPRESA.1 informó que el ritmo de las
actualizaciones era bueno, pero no todos los usuarios se habían actualizado a la
última versión de la APP. Dirección insistió en que debía de encontrarse una solución
definitiva.

El 6 de agosto de 2024 ***EMPRESA.2 en coordinación con ***EMPRESA.1 intervino
a nivel de software en los componentes del webservice que suministraba los datos a la
app bloqueando la posibilidad de visualizar datos a las apps no actualizadas.

Es decir, que el 19 de marzo de 2024 OCINE era conocedora de que existía un
problema con la app y pidió a su proveedor un determinado formulario, el cual le
enviaron el 3 de abril de 2024. Pidió explicaciones al día siguiente, pero no recibió
respuesta al respecto.

El 7 de abril de 2024 OCINE recibió la primera incidencia reportada, siendo
conocedora de que había existido una vulneración de la confidencialidad de los datos
personales de uno de sus clientes. Pero consideró que no existía riesgo alguno para
los derechos y libertades de los titulares de los datos.

El 8 de abril de 2024 ya se había diagnosticado y localizado el problema y aun así
OCINE concluyó que no había riesgos para los derechos y libertades de los afectados.

El 10 de abril de 2024 OCINE recibió la segunda incidencia reportada, pero seguía
considerando que no había riesgo alguno para los derechos y libertades de los
titulares de los datos.

El 17 de abril de 2024 OCINE recibió la tercera incidencia reportada, en la que se
especificaba que se había vulnerado la confidencialidad de los datos de una cliente:
nombre, apellidos, número de DNI, dirección. Pero seguía considerando que no había
riesgos para los derechos y libertades de los afectados. Ese mismo día OCINE fue
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/31

informada de que la solución más plausible era forzar a todos los usuarios Fidelity que
estaban logados a la APP a hacer logout + login automáticamente.

El 9 de mayo de 2024 OCINE reclamó respuesta a ***EMPRESA.1, pero nunca se
llegó a recibir respuesta y OCINE lo dio por hecho, dado que dejó de recibir quejas de
clientes durante todo el mes. Pero no confirmó en ningún momento con su proveedor
ni por su cuenta que tal solución se había implementado.

El 1 de junio de 2024 OCINE recibió la cuarta incidencia reportada (A.A.A.). Se
analizaron las consecuencias a nivel del tratamiento de los datos personales y se
consideró que no variaba el nivel de riesgo. OCINE reportó el cuarto caso a
***EMPRESA.2 y ***EMPRESA.1 y OCINE es conocedora (a través de
***EMPRESA.2) de que no se forzó a los usuarios a actualizar la app y forzar a repetir
el login.

Y no fue hasta el 6 de agosto de 2024 en que ***EMPRESA.2 en coordinación con
***EMPRESA.1 intervino a nivel de software en los componentes del webservice que
suministraba los datos a la app bloqueando la posibilidad de visualizar datos a las
apps no actualizadas.

Por tanto, desde la primera incidencia reportada (el 7 de abril de 2024) en la que
OCINE ya era conocedora de que la confidencialidad de los datos personales de sus
clientes no había sido garantizada hasta que el incidente se solucionó definitivamente
(6 de agosto de 2024) transcurrieron cuatro meses. Fueron cuatro meses en los cuales
se tiene constancia de que no estaba garantizada la seguridad de los datos personales
de los 26.397 clientes de la app de OCINE.

Además, en el presente caso no se ha garantizado la seguridad de los siguientes
datos: nombre, apellidos, número de DNI, teléfono y correo electrónico de sus clientes
Fidelity. No solo se trata de que el número de DNI es un dato especialmente sensible,
sino que el factor combinado de todos esos distintos tipos de datos personales hace
que las posibles consecuencias, el impacto de la materialización del riesgo para los
interesados, sean de mayor consideración.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/31

VIII
Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de
prescripción

El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25
a 39, 42 y 43;”

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece
lo siguiente:

"En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
f) La falta de adopción de aquellas medidas técnicas y organizativas que resulten
apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento,
en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679."

IX
Propuesta de sanción por la infracción del artículo 32 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

25/31

b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/31

Con carácter previo, se estima que concurren las circunstancias siguientes:

• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD): por no haber garantizado la
seguridad de los datos de nombre, apellidos, número de DNI, teléfono y correo
electrónico de sus 26.397 clientes de la app de OCINE, al menos desde el día 7
de abril de 2024 a 6 de agosto de 2024. El factor combinado de todos esos
distintos tipos de datos personales hace que las posibles consecuencias, el
impacto de la materialización del riesgo para los interesados, sean de mayor
consideración, lo cual también se tiene en cuenta a la hora de graduar la posible
sanción.

• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD): el accionar de OCINE fue gravemente negligente toda vez que realizó
cuatro análisis (uno por cada reporte de incidencias) sobre la afectación de datos
personales en el presente caso y en ninguno de éstos fue capaz de identificar
debidamente los riesgos para los derechos y libertades de los interesados.

• Las categorías de los datos de carácter personal afectados por la
infracción (artículo 83.2, letra g), del RGPD): en el presente caso se ha difundido
indebidamente el número del DNI, entre otros datos.

Por lo que se tiene en cuenta estas circunstancias a la hora de graduar la
sanción a imponer.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/31

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 32 del RGPD, permite fijar inicialmente una sanción de multa administrativa de
26.000,00 euros.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos,
SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a OCI CINE, S.L., con NIF
B17070707, por la presunta infracción del artículo 5.1.d) y artículo 32 del RGPD,
tipificadas, respectivamente, en el artículo 83.5 y 83.4 del RGPD.

SEGUNDO: NOMBRAR como instructora a F.F.F. y, como secretaria, a G.G.G.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).

TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación
interpuesta por la parte reclamante y su documentación, así como, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las fases previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería de multa administrativa de 4.000,00 euros y
26.000,00 euros, sin perjuicio de lo que resulte de la instrucción. Lo que resultaría en
un total de 30.000,00 euros.

QUINTO: NOTIFICAR el presente acuerdo a OCI CINE, S.L., con NIF B17070707,
otorgándole un plazo de audiencia de diez días hábiles para que formule las
alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el
encabezamiento de este documento.

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/31

reducción, la sanción quedaría establecida en 24.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 24.000,00 euros y su pago implicará la terminación
del procedimiento, sin perjuicio de la imposición de las medidas correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 18.000,00 euros.

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (24.000,00 euros o 18.000,00 euros), deberá hacerlo
efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.

1479-110425
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/31

SEGUNDO: En fecha 2 de junio de 2025, OCINE ha procedido al pago de la sanción
en la cuantía de 18.000,00 euros haciendo uso de las dos reducciones previstas en el
acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y
su calificación jurídica.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/31

del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario y reconocimiento de responsabilidad

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 18.000,00 euros y su pago implicaría
la terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.

Tras la notificación del citado acuerdo de inicio, OCINE ha procedido al reconocimiento
de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos
reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la
efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia
de cualquier acción o recurso en vía administrativa contra la sanción.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.

La suma de las citadas cuantías arroja una cantidad total 30.000,00 euros.

Tras haber procedido OCI CINE, S.L. al pronto pago y reconocimiento de
responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de
un 40% del total mencionado, lo cual supone la cantidad definitiva de 18.000,00 euros.

La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/31

SEGUNDO: DECLARAR la terminación del procedimiento EXP202409828, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: NOTIFICAR la presente resolución a OCI CINE, S.L..

CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona
la reducción por pago voluntario y reconocimiento de la responsabilidad al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la
presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de
su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaeps.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

936-200325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

Mobil Uygulamada Başka Kullanıcının İletişim Bilgilerinin Görüntülenmesi

Türkçe özet

Hukuki mesele

Sonuç

Karar metni