Veri İhlali ve Etki Değerlendirmesi Eksiklikleri

1/75

 Expediente N.º: EXP202400624

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 15 de abril de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a ALKORA EBS
CORREDURIA DE SEGUROS Y REASEGUROS SAU (en adelante, ALKORA).
Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha
16 de febrero de 2026 se emitió la propuesta de resolución que a continuación se
transcribe:

Expediente N.º: EXP202400624

PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

Contenido

ANTECEDENTES..........................................................................................................3
PRIMERO: Con fecha 22 de abril de 2023, se notificó a esta Agencia una brecha de
datos personales de ALKORA EBS CORREDURIA DE SEGUROS Y
REASEGUROS SAU, con NIF A01051747 (en adelante, ALKORA)..........................3
SEGUNDO: Con fecha 27 de diciembre de 2023 se interpuso una reclamación ante
la Agencia Española de Protección de Datos relacionada con la brecha de datos
personales anteriormente notificada...........................................................................5
TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(en adelante LOPDGDD), se dio traslado de dicha reclamación a ALKORA, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa
de protección de datos...............................................................................................7
CUARTO: Con fecha 27 de marzo de 2024, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.......................................................20

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/75

QUINTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD...........................20
Origen y desarrollo de la brecha:..........................................................................21
Número de personas afectadas:...........................................................................22
Tipos de datos:.....................................................................................................23
Análisis de riesgos y evaluación de impacto (AR y EIPD):....................................28
Medidas técnicas de seguridad previas a la brecha:.............................................29
Medidas técnicas reactivas:..................................................................................33
Actividades formativas relacionadas con la protección de datos personales:.......34
Medidas organizativas posteriores a la brecha:....................................................35
SEXTO: Con fecha 15 de abril de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas
(en adelante, LPACAP), por la presunta infracción del Artículo 5.1.f) del RGPD y del
artículo 35 del RGPD, tipificadas en el artículo 83.5 del RGPD y 83.4 del RGPD,
respectivamente.......................................................................................................35
SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), el 6 de mayo de 2025 ALKORA
presentó escrito de alegaciones en el que, en síntesis, manifestaba que:...............36
OCTAVO: Con fecha 17 de octubre de 2025 tiene entrada informe pericial remitido
por ALKORA, de acuerdo con lo anunciado en su escrito de alegaciones al acuerdo
de inicio de procedimiento sancionador....................................................................36
NOVENO: De acuerdo con el informe recogido de la herramienta AXESOR en fecha
8 de febrero de 2026, la entidad ALKORA es una empresa constituida en el año
1989, y con un volumen de negocios de 24.007.236 € euros en el año 2024..........36
DÉCIMO: Se acompaña como anexo relación de documentos obrantes en el
procedimiento........................................................................................................... 36
HECHOS PROBADOS................................................................................................36
FUNDAMENTOS DE DERECHO.................................................................................46
I Competencia.......................................................................................................... 46
II Cuestiones previas................................................................................................47
III Alegaciones al acuerdo de inicio..........................................................................48
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/75

IV Obligación incumplida. Integridad y confidencialidad...........................................63
V Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción.............................................................................................................. 74
VI Propuesta de sanción por la infracción del artículo 5.1.f) del RGPD....................74
VII.....Obligación incumplida. Evaluación de impacto relativa a la protección de datos
................................................................................................................................. 78
VIII Tipificación de la infracción del artículo 35 del RGPD y calificación a efectos de
prescripción.............................................................................................................. 85
IX Propuesta de sanción por la infracción del artículo 35 del RGPD........................86
X Adopción de medidas............................................................................................89
PROPUESTA DE RESOLUCIÓN.................................................................................89
ANEXO........................................................................................................................ 91

ANTECEDENTES

PRIMERO: Con fecha 22 de abril de 2023, se notificó a esta Agencia una brecha de
datos personales de ALKORA EBS CORREDURIA DE SEGUROS Y REASEGUROS
SAU, con NIF A01051747 (en adelante, ALKORA).

Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes:

“El viernes 21 de abril al comenzar la jornada laboral se ha detectado un acceso no
autorizado que ha procedido a hackear y cifrar los servidores, bases de datos, correo
y ha infectado todos los PC de la empresa. Han dejado un documento/nota en las
carpetas de todos los usuarios por el que se comunica que se ha hackeado los
sistemas y se insta a contactar a través de un link. Se denuncia ante la policía.”

“El origen del incidente ha sido: Externo: Otros, ajenos al responsable y encargado del
tratamiento
¿Qué puede haber ocurrido? Puede seleccionar varias opciones: Ciberincidente:
Dispositivo cifrado / secuestro de información
Como consecuencia del incidente, se ha visto afectada la: Confidencialidad,
Disponibilidad
Referido específicamente a los datos afectados por la brecha de confidencialidad.
¿Están los datos cifrados de forma segura, anonimizados o protegidos de forma que
son ininteligibles para quien haya podido tener acceso o no se puede identificar a las
personas? No
Referido específicamente a los datos afectados por la brecha de disponibilidad. ¿Se
ha recuperado la disponibilidad de los datos personales de forma que pueden ser
tratados con normalidad? Todavía no, pero se recuperará en breve”

“Seleccione los tipos de datos que se han visto afectados…: Datos básicos (Ej:
nombre, apellidos, fecha de nacimiento), DNI, NIE, Pasaporte y / o cualquier otro
documento identificativo, Datos de medios de pago (Tarjeta bancaria, etc...), Datos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/75

localización, Datos de contacto, De salud (exclusivamente de empleados, los
imprescindibles para la relación laboral), Credenciales de acceso o identificación
(usuario y / o contraseña)”

“Entre las personas afectadas, hay menores: No
Entre las personas afectadas, ¿hay miembros de colectivos vulnerables como
supervivientes de violencia de género o en riesgo de exclusión social?: No
Las personas afectadas tienen los siguientes perfiles: Clientes / Ciudadanos,
Suscriptores / Potenciales clientes, Empleados
En total, ¿cuántas personas han visto sus datos afectados por la brecha de datos
personales? (Si desconoce el valor exacto, indique un valor aproximado) 25000”

“Indique la fecha de detección de la brecha, entendida como la fecha en la que el
responsable tiene la certeza de que se han visto afectados datos personales
21/04/2023
¿Conoce la fecha en la que se inició la brecha? La fecha exacta
Indique la fecha de inicio de la brecha 21/04/2023
La brecha se ha detectado mediante: La advertencia de un miembro de la
organización del responsable o el encargado”

“¿Se ha comunicado la brecha a las personas afectadas en las condiciones
anteriormente descritas? Pendiente de decidir”

“¿Tiene designado un DPD el responsable del tratamiento? No”

Con fecha 17 de mayo de 2023, se recibió en esta Agencia un segundo escrito de
ALKORA con la intención de “Modificar una notificación hecha con anterioridad para
proporcionar información relevante”, en el que la información proporcionada
inicialmente se mantenía igual que en el escrito de fecha 22 de abril de 2023, a
excepción de:

“¿Qué puede haber ocurrido? Puede seleccionar varias opciones: Documentación
perdida, robada o depositada en localización insegura, Ciberincidente: Dispositivo
cifrado / secuestro de información, Ciberincidente: Suplantación de identidad
(phishing) / Compromiso de cuenta de usuario o administrador, Ciberincidente: Acceso
no autorizado a datos en sistema de información (corporativo o servicio en internet)
Como consecuencia del incidente, se ha visto afectada la: Confidencialidad,
Disponibilidad, Integridad”

“Referido específicamente a los datos afectados por la brecha de integridad.
Seleccione la opción más apropiada: Datos alterados, pero sin constancia de uso
ilegal o incorrecto ¿Qué puede haber ocurrido? Puede seleccionar varias opciones:
Usurpación de identidad, Ser víctima de campañas de phishing / spamming, Pérdida
de control sobre sus datos personales
¿En qué grado podrían afectar las consecuencias identificadas a las personas físicas?
Las personas no se verán afectadas o pueden encontrar algunos inconvenientes muy
limitados y reversibles que superarán sin ningún problema (tiempo de reingreso de
información, molestias, irritaciones, etc.)”
“Como valora la probabilidad de que el daño anterior se materialice sobre las personas
afectadas con la severidad indicada Baja
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/75

* Introduzca una breve descripción de lo ocurrido... En la noche del jueves 20 de abril
al viernes 21 de abril de 2023,ALKORA experimenta interrupciones de servicio en su
entorno de producción local.El viernes 21 de abril,el personal técnico se encuentra con
un sistema de información encriptado.Tanto los puestos de trabajo de los empleados
como los servidores están impactados. Por lo tanto, todos los servicios informáticos
dependientes de dichos servidores no están disponibles. El día 21 de abril se procede
a presentar denuncia ante la policía nacional, siendo ampliada al día siguiente, para
incluir a las filiales de ALKORA dentro de las afectadas por el incidente de ciber-
seguridad. Se contratan los servicios de ***EMPRESA.1 el 21 de abril con el objetivo
de analizar el alcance del ataque y confirmar si se ha producido una exfiltración de
datos. Los resultados del informe pericial contratado revelan que el atacante es (...).El
cifrado de los servidores impacta directamente la integridad y la disponibilidad de los
sistemas y aplicaciones de la empresa. Por otro lado, la exfiltración de datos impacta
la confidencialidad de los documentos sensibles de la empresa, así como los datos
personales de los clientes. El informe pericial concluye que se han EXFILTRADO un
TOTAL DE 3,5/4 TB de información. Se ha procedido a comunicar a los afectados.
ALKORA se encuentra operando al 100% gracias a la recuperación de la copia de
seguridad que tenía externalizada en la nube”

“Entre las personas afectadas, hay menores: Si”

“¿Conoce la fecha en la que se inició la brecha? Aproximadamente / Estimada
Indique la fecha de inicio de la brecha 16/04/2023”

“Indique la fecha en la que se dio por resuelta la brecha 17/05/2023”

“¿Se ha comunicado la brecha a las personas afectadas en las condiciones
anteriormente descritas? Si
Fecha en la que se informó: 26/04/2023
Número de personas informadas 25000
Medio por el que se ha informado Comunicación dirigida personalmente a cada
afectado (postal, email, sms o similar)”

“¿Tiene designado un DPD el responsable del tratamiento? Si”

SEGUNDO: Con fecha 27 de diciembre de 2023 se interpuso una reclamación ante la
Agencia Española de Protección de Datos relacionada con la brecha de datos
personales anteriormente notificada.

Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes:

“… el pasado 11 de mayo 2023 me avisó mi aseguradora ALKORA que el 21 de abril
2023 había sufrido un ciber-ataque y que había interpuesto denuncia y avisado a la
Agencia Española de Protección de Datos… me informan que mis datos personales
han quedado expuestos, por lo que preocupada porque mis datos personales puedan
ser utilizados ilegalmente, me dirijo a la comisaría de policía nacional próxima a mi
domicilio y me dicen que no puedo tramitar denuncia hasta que no se cometa el delito.
Necesito que me indiquen alguna herramienta para poder romper la presunción de
que he sido yo , cuando en realidad haya sido el que tiene mis datos ilegalmente (por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/75

ejemplo para pedir un crédito a mi nombre) y que he sido víctima de sustracción de
identidad en las brechas informáticas de seguridad.”

Junto a la reclamación, se aporta:

- Copia de correo electrónico enviado el 24 de mayo de 2023 por la reclamante a
ALKORA, con el asunto “Solicitud denuncia Brecha de Seguridad” y el
siguiente contenido: “Buenos días, En relación al correo recibido el día
11/05/2023 (el cual adjunto), comunicando que habían sufrido una brecha de
seguridad, y como afectado de la misma, les quería solicitar una copia de la
denuncia que han realizado ustedes a la cual hacen referencia en el
mencionado escrito. A la espera de sus noticias, Atentamente”

Debajo puede verse un correo electrónico con el siguiente contenido: “El
pasado 21 de abril los sistemas informáticos de ALKORA fueron víctima de una
brecha de seguridad derivada de un ciber-ataque externo. Tras ser detectada
la misma, pusimos en marcha todos los mecanismos y protocolos de seguridad
establecidos, informando de inmediato a la Agencia Española de Protección de
Datos e interponiendo la correspondiente denuncia ante las autoridades para la
investigación del incidente.
Adicionalmente, informamos sobre esta circunstancia a todos aquellos clientes
a los que nos fue posible llegar, lo cual, en su caso, se vio dificultado por la
encriptación de una parte de nuestra base de datos derivada del ciberataque.
Por ello, en el momento en que hemos podido acceder a sus datos, nos
ponemos en contacto con usted para informarle de este incidente.
A fecha de hoy, en el marco de las investigaciones que se están realizando,
podemos confirmarle que, además de la encriptación de sus datos personales,
se ha producido una exfiltración de los boletines de adhesión a la póliza de
Responsabilidad Civil Profesional y por tanto se encuentran comprometidos o
al alcance de terceros no legitimados.
En este contexto, le recomendamos encarecidamente que extreme la
precaución en sus trámites y gestiones digitales del día a día: en particular,
esté atento a los intentos de phishing: tenga cuidado con los correos
electrónicos, llamadas telefónicas y mensajes sospechosos que puedan ser
intentos de hacerle revelar información personal o bancaria. También le
agradecemos que nos informe de cualquier comunicación “nuestra” – por
teléfono o correo electrónico – que no siga el formato habitual.
Por cuanto respecta al funcionamiento de ALKORA, estamos recuperando la
operatividad al 100% tras unos días de obligada desconexión de nuestros
sistemas para garantizar la seguridad de nuestros clientes y posibilitar la
investigación de la brecha de seguridad por parte de los equipos
especializados. Puede, por tanto, dirigirse a su gestor habitual con total
normalidad para cualquier trámite.
Queremos garantizarle que se están poniendo nuestros mayores esfuerzos en
resolver este incidente a la mayor brevedad, con todas garantías y priorizando
en todo momento la seguridad de nuestros clientes sin reparar en gastos ni en
recursos. Confiamos en una pronta resolución del asunto y procuraremos
mantener una comunicación fluida con usted para informarle de cualquier
novedad a este respecto. Puede también recabar, si así lo desea, información

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/75

adicional sobre este incidente a través de la siguiente dirección de correo
electrónico: [email protected]
Atentamente, SEGURIDAD ALKORA”

- Copia de correo electrónico recibido el 25 de mayo de 2023 por la reclamante
desde ALKORA, en respuesta al anterior, con el siguiente contenido: “Buenos
días, Tras los trabajos que están realizando los equipos de profesionales que
se están ocupando de este tema, podemos confirmarle que en el servidor de
documentación del que se ha producido la exfiltración no había ningún
documento suyo.
En el resto de servidores, de los que no podemos confirmar que se haya
producido exfiltración, únicamente constarían como datos personales su
nombre y apellidos, y su nº de DNI.
En cuanto a su solicitud de que le remitamos copia de la denuncia interpuesta,
indicarle que lamentamos no poder acceder a su petición, por ser un
documento de carácter confidencial de la empresa. No obstante, le facilitamos
los datos de la comisaria donde se interpuso la denuncia: ***DIRECCIÓN.1.
Atentamente, SEGURIDAD ALKORA”

TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a ALKORA, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

La notificación del traslado de la reclamación, que se practicó conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en
fecha 15 de enero de 2024 como consta en el acuse de recibo que obra en el
expediente.

Con fecha 14 de febrero de 2024 se recibió en esta Agencia escrito de respuesta
indicando:

- “(…)”

d) Se vieron afectadas unas 25.000 personas físicas, únicamente a nivel
nacional (España)”

- “Se han podido ver afectados, si bien como indicamos el cifrado de la totalidad
de los servidores por (...) ha limitado la capacidad de análisis:
1. Datos básicos de clientes persona física, clientes persona jurídica
(tomadores, asegurados, beneficiarios), potenciales clientes y personal:
Nombre, apellidos, fecha de nacimiento, DNI, NIE, Pasaporte y / o cualquier
otro documento identificativo, datos económicos o financieros (sin medios de
pago), datos de contacto, de salud (exclusivamente de empleados, los
imprescindibles para la relación laboral), credenciales de acceso o
identificación (usuario y / o contraseña).
2. Datos de salud de clientes persona física de seguros de vida y/o siniestros.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/75

- “Entre las posibles consecuencias para las personas afectadas por la
exfiltración podemos destacar el posible robo de identidad y el chantaje o la
extorsión.”

- “(…).”

- Las medidas de seguridad implementadas con anterioridad al incidente son las
siguientes:

(…)

DISPONIBILIDAD DE LA INFORMACIÓN

Se acompaña como Anexo V el Análisis de Riesgos efectuado con fecha 19 de
septiembre de 2019 del que se derivan las medidas de seguridad referidas en el
presente apartado.”

Al respecto, en el Anexo V que se acompaña al escrito de ALKORA de 14 de febrero
de 2024, se indicaba:

(…)

- En cuanto a la Copia del Registro de Actividades del Tratamiento donde se ha
producido el incidente, ALKORA indica:

o Respecto a “LABORAL Y RRHH”:

“Categorías de interesados: Empleados”

“Datos identificativos: DNI o NIF, Nombre y apellidos, Dirección postal o
electrónica, Teléfono, Firma manual, Núm. de SS o mutualidad
Datos de categorías especiales: Huella digitalizada (dato biométrico)
Otro tipo de datos Características personales, Académicos y
profesionales, Detalles de empleo, Transacciones de bienes y
servicios”.

o Respecto a “CORREDURÍA DE SEGUROS A PARTICULARES”:

“Datos identificativos: DNI o NIF, Nombre y apellidos, Dirección postal o
electrónica, Teléfono, Firma manual
Datos de categorías especiales: N/A
Otro tipo de datos: Características personales, Académicos y
profesionales, Transacciones de bienes y servicios, Circunstancias
sociales, Información comercial, Económicos, financieros y de seguro”

o Respecto a “CORREDURÍA DE SEGUROS DE VIDA Y ACCIDENTES A
PARTICULARES”:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/75

“Datos identificativos DNI o NIF, Nombre y apellidos, Dirección postal o
electrónica, Teléfono, Firma manual
Datos de categorías especiales: Salud
Otro tipo de datos: Características personales, Académicos y
profesionales, Transacciones de bienes y servicios, Circunstancias
sociales, Económicos, financieros y de seguro”

o Respecto a “SINIESTROS DE SEGUROS”:

“Datos identificativos DNI o NIF, Nombre y apellidos, Dirección postal o
electrónica, Teléfono, Firma manual, Imagen
Datos de categorías especiales Salud
Otro tipo de datos Características personales, Académicos y
profesionales, Transacciones de bienes y servicios, Circunstancias
sociales, Económicos, financieros y de seguro”

o Respecto a “FISCAL Y CONTABLE”:
“Datos identificativos DNI o NIF, Nombre y apellidos, Dirección postal o
electrónica, Teléfono
Datos de categorías especiales N/A
Otro tipo de datos N/A”

- Como consecuencia del incidente ya habían sido adoptadas las siguientes
medidas de seguridad:

 (…)

Adicionalmente, en ese momento Alkora se encontraba en proceso de
reforzar la seguridad de sus sistemas con la implantación de las siguientes
medidas de seguridad:

 (…)

Junto al escrito de respuesta al traslado, se acompaña:

- Anexo I: Denuncia ante la Policía de fecha 22 de abril de 2023
- Anexo II: Notificación de la brecha ante la AEPD, de fecha 22 de abril de 2023
- Anexo III: Ampliación de notificación de la brecha ante la AEPD, de fecha 17 de
mayo de 2023
- Anexo IV: Comunicación de la brecha a INCIBE, de fecha 18 de mayo de 2023
- Anexo V: Análisis de Riesgos de fecha 19 de septiembre de 2019 del que se
derivan las medidas de seguridad referidas en el apartado relativo a
disponibilidad de la información

El documento que se acompaña como Anexo V no está firmado, indica que es la
“Versión: 0.1”, de fecha 19 de septiembre de 2019 y en él puede verse:

- Respecto del “FICHERO 1: LABORAL Y RR HH”:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/75

o Se considera que los datos identificativos y los otros datos tipificados
objeto del tratamiento, tienen un riesgo inicial “Bajo”.
o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Muy bajo".
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”.
o En cuanto al “Acceso a categorías especiales de datos”, se indica que
“No existen categorías especiales de datos”, por lo que se le asigna un
riesgo inicial y final “Muy Bajo”.

- Respecto del “FICHERO 2: CORREDURÍA DE SEGUROS A PARTICULARES”:
o Se considera que los datos identificativos y los otros datos tipificados
objeto del tratamiento, tienen un riesgo inicial “Bajo”.
o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Muy bajo".
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”.
o En cuanto al “Acceso a categorías especiales de datos”, se indica que
“No existen categorías especiales de datos”, por lo que se le asigna un
riesgo inicial y final “Muy Bajo”.

- Respecto del “FICHERO 3: CORREDURÍA DE SEGUROS DE VIDA Y
ACCIDENTES A PARTICULARES”:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/75

o Se considera que los datos identificativos y los otros datos tipificados
objeto del tratamiento, tienen un riesgo inicial “Bajo. Pero a los datos de
salud se le asignan un riesgo inicial “Alto”.
o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Bajo”
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”.
o En cuanto a “Acceso a categorías especiales de datos” se indica que
“EXISTEN MEDIDAS adicionales de seguridad de conformidad con lo
establecido en el apartado 4.4. del presente documento”, se le asigna
un riesgo inicial “Medio” y como medidas se detalla “Se deberá llevar un
control actualizado del personal con acceso a categorías especiales de
datos. Se recomienda reforzar medidas con un doble factor de
autenticación, cifrado…”, tras lo cual se asigna un riesgo final “Muy
bajo”.

- Respecto del “FICHERO 4: SINIESTROS DE SEGUROS”:
o Se considera que los datos identificativos y los otros datos tipificados
objeto del tratamiento, tienen un riesgo inicial “Bajo. Pero a los datos de
salud se le asignan un riesgo inicial “Alto”.
o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Bajo”
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/75

o En cuanto a “Acceso a categorías especiales de datos” se indica que
“EXISTEN MEDIDAS adicionales de seguridad de conformidad con lo
establecido en el apartado 4.4. del presente documento”, se le asigna
un riesgo inicial “Medio” y como medidas se detalla “Se deberá llevar un
control actualizado del personal con acceso a categorías especiales de
datos. Se recomienda reforzar medidas con un doble factor de
autenticación, cifrado…”, tras lo cual se asigna un riesgo final “Muy
bajo”.

- Respecto del “FICHERO 5: FISCAL Y CONTABLE”:
o Se considera que los datos identificativos objeto del tratamiento, tienen
un riesgo inicial “Bajo”
o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Bajo”
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”.
o En cuanto al “Acceso a categorías especiales de datos”, se indica que
“No existen categorías especiales de datos”, por lo que se le asigna un
riesgo inicial y final “Muy Bajo”.

- En el apartado “4.4.SEGURIDAD DESDE EL DISEÑO Y POR DEFECTO” del
documento, se detallan como medidas para asegurar la disponibilidad de los
datos:
o (…)

- Se menciona como tratamiento específico “Tratamiento de datos de niños
menores de 14 años”, indicando que “SE REALIZAN tratamientos de datos de
niños menores de 14 años únicamente en casos de siniestros de colegios”, se
le asigna un riesgo inicial medio y como medidas se indica “Asegurarse de que
se adoptan medidas referidas en el apartado 4.4. a través del correspondiente
control periódico de verificación anual.”, tras lo cual se indica un riesgo final
“Bajo”.

- En su apartado relativo a “ORGANIZACIÓN” se indica que no precisa
Delegado de protección de datos, “porque la actividad principal de la empresa]
CONSISTE en tratar datos personales pero NO a GRAN ESCALA, ni regulados
en el art. 34 de la LOPDGDD”. Y se indica que no precisa realizar Evaluación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/75

de impacto (DPIA) porque “el tratamiento no comporta un alto riesgo para los
derechos y libertades de las personas físicas”.

CUARTO: Con fecha 27 de marzo de 2024, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.

Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:

Origen y desarrollo de la brecha:

ALKORA aporta en el Anexo I de su escrito de 9 de julio de 2024 de respuesta a
requerimiento de esta Agencia, el informe forense realizado por la empresa
***EMPRESA.1, Versión V 1.0 de 03/05/2023, sin firmar, en el que se indica que
debido al cifrado de la información de los servidores “El método de intrusión, así como
el punto de entrada, quedan indeterminados”.

Ese informe forense indica que “El cifrado de la totalidad de los servidores ha limitado
la capacidad de análisis impidiendo así la obtención de la prueba de la intrusión
inicial”, y que algunas deficiencias del sistema han limitado la capacidad de
investigación del análisis forense:

“Varios factores han participado a la limitación de la capacidad de investigación del
equipo ***EMPRESA.1:
 (…)

Sin embargo, el informe forense determina algunas de las acciones llevadas a cabo
por el grupo atacante tras la intrusión inicial, consistentes en:

- acceso al servidor de gestión de mensajería: “(…)”
- reconocimiento desde el mismo para recopilar información sobre los
administradores de dominio, poder elevar sus privilegios de usuario y
desplazarse por el resto del sistema: “(…)”

También indica que el cifrado de los controladores de dominio del directorio activo no
permite detallar el proceso de elevación de privilegios por parte del atacante, pero
determina que a lo largo de los siguientes tres días tuvieron lugar:

- elevación de privilegios
- acceso a la cuenta de administración local (…) ***SERVIDOR.1, con la que se
obtienen los máximos privilegios en el sistema

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/75

- instalación y ejecución del programa ***PROGRAMA.1, a pesar del bloqueo
en dos ocasiones por parte del ***PROGRAMA.2; el atacante logra camuflarse
y evitar nuevos bloqueos por parte del antivirus
- instalación del programa ***PROGRAMA.3
- exfiltración de datos
- cifrado de los servidores y de los puestos de trabajo

El informe forense también indica:

“Los atacantes han podido desplazarse libremente por la infraestructura de
ALKORA (…).”

“El ransomware es desplegado de forma manual en ***SERVIDOR.1 y de manera
automática en los puestos de trabajo (…).”

Esta Agencia desea recordar que, en su escrito de 14 de febrero de 2024 de respuesta
al traslado de la reclamación reseñada en el antecedente segundo, ALKORA
manifestó que el inicio de los trabajos de recuperación tuvo lugar el 25 de abril, la
recuperación de las bases de datos entre el 26 y el 30 de abril, y la puesta en marcha
de sus sistemas entre el 27 de abril y el 26 de mayo de 2023.

Número de personas afectadas:

En el Anexo II de su escrito de 9 de julio de 2024, de respuesta a requerimiento de
esta Agencia, ALKORA proporciona los correos electrónicos intercambiados con
INCIBE, al que comunica el 18 de mayo de 2023 la exfiltración de entre 3,5 y 4 TB de
datos, aunque no detalla qué parte de ese volumen corresponde a datos personales.

Se aporta, entre otros, copia de correo electrónico de 18 de mayo de 2023 de ALKORA
a [email protected], con el siguiente contenido: “Buenas tardes, Mediante la
presente queremos poner en conocimiento de INCIBE la brecha de seguridad
detectada en ALKORA EBS CORREDURIA DE SEGUROS Y REASEGUROS SAU (y
sus filiales SANCHEZ CASTAÑON S.L. y VERSPIEREN AGENCIA DE
SUSCRIPCION SAU) en pasado día 21 de abril. (…) … la amenaza corre a la vez
sobre la pérdida total de dichos datos, así como la venta y divulgación de estos. El
cifrado de los servidores impacta directamente la integridad y la disponibilidad de los
sistemas y aplicaciones de la empresa. Por otro lado, la exfiltración de datos impacta
la confidencialidad de los documentos sensibles de la empresa, así como los datos
personales de los clientes. En el ataque se han visto afectados la totalidad de los
servidores y sistemas de ALKORA. El informe pericial concluye que se han
EXFILTRADO un TOTAL DE ENTRE 3,5 Y 4 TB de información, es decir la totalidad
de la información que había en el servidor de gestión documental. (…) A fecha de este
escrito, ALKORA se encuentra operando al 100% gracias a la recuperación de la copia
de seguridad que tenía externalizada en la nube.”

En las notificaciones de la brecha de datos personales notificadas a esta Agencia el 22
de abril y 17 de mayo de 2023, ALKORA manifestó:
- haber sufrido una brecha de confidencialidad, disponibilidad e integridad a causa
de un ataque informático;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/75

- que en la actividad afectada se trataban datos de unas 25.000 personas, entre
las que hay menores de edad;
- que los datos no estaban cifrados.

Posteriormente, en su escrito de 9 de julio de 2024, ALKORA elevó a 40.000 el número
aproximado de afectados:

“El número total de afectados por la brecha de los que hemos tenido constancia gira
entorno a los 40.000. En un primer momento, tras el acaecimiento de la brecha se
estimó en 25.000 a los afectados, al no disponer de información de las bases de datos
por su indisponibilidad. Una vez que se han ido paulatinamente recuperando las bases
de datos, hemos podido cuantificar la cifra en un mayor número de afectados,
procediendo a comunicarse la brecha bien directamente a la persona afectada o bien
a través de los tomadores de las pólizas en caso de colectivos a través de los canales
referidos en el presente escrito.
Únicamente se tratan datos de menores en la tramitación de expedientes de siniestros
de accidente, los cuales se almacenaban en archivos pdf en carpetas Red del servidor
pero no son registrados en las bases de datos de Alkora; en los cuatro últimos años
Alkora sólo ha tramitado 75 expedientes de siniestros de accidentes, en los cuales
sólo figuran nombre, apellidos, fecha de nacimiento e información general sobre las
circunstancias del accidente del menor.”

Preguntada por el número de menores de edad afectados, ALKORA reiteró en su
escrito de 23 de diciembre de 2024, en respuesta a requerimiento de esta Agencia:

“[…] dichos expedientes se almacenaban en archivos pdf en carpetas Red del
servidor, pero no eran registrados en las bases de datos de Alkora. En los cuatro
últimos años Alkora EBS Correduría de Seguros y Reaseguros, S.A.U. sólo ha
tramitado 75 expedientes de siniestros de accidentes, lo que supone un total de
75 menores afectados por brecha […]”

Tipos de datos:

En su escrito de 14 de febrero de 2024, de respuesta al traslado de la reclamación,
ALKORA manifestó que los tipos de datos personales afectados eran:

“1. Datos básicos de clientes persona física, clientes persona jurídica (tomadores,
asegurados, beneficiarios), potenciales clientes y personal:

Nombre, apellidos, fecha de nacimiento, DNI, NIE, Pasaporte y / o cualquier otro
documento identificativo, datos económicos o financieros (sin medios de pago),
datos de contacto, de salud (exclusivamente de empleados, los imprescindibles
para la relación laboral), credenciales de acceso o identificación (usuario y / o
contraseña).

2. Datos de salud de clientes persona física de seguros de vida y/o siniestros.”

ALKORA proporcionó como Análisis de Riesgos (AR), en el Anexo V de su escrito de
14 de febrero de 2024, el documento “ANÁLISIS DE RIESGOS ALKORA EBS
CORREDURÍA DE SEGUROS, S.A.U. EN BASE AL REGLAMENTO (UE) 2016/679”,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/75

de 19 de septiembre de 2019, que incluía el RAT (Registro de Actividades de
Tratamiento), en el que se detallan cinco “ficheros”:

Núm.
Denominación Interesados Finalidades
fichero
- Recursos humanos
- Gestión de nóminas
1 LABORAL Y RRHH - Empleados
- Registro y Control de la
jornada laboral
- Servicios económico-
CORREDURÍA DE - Tomador
financieros y seguros
2 SEGUROS A - Asegurado
- Publicidad y prospección
PARTICULARES - Beneficiario
comercial
CORREDURÍA DE
- Servicios económico-
SEGUROS DE - Tomador
financieros y seguros
3 VIDA Y - Asegurado
- Publicidad y prospección
ACCIDENTES A - Beneficiario
comercial
PARTICULARES
- Tramitación y seguimiento de
SINIESTROS DE
4 - Asegurado siniestros
SEGUROS
- Gestión de asistencia social
- Clientes y
FISCAL Y - Gestión de clientes, contable,
5 usuarios
CONTABLE fiscal y administrativa
- Proveedores

Preguntada sobre los tipos de datos incluidos en las expresiones genéricas
“Características personales” y “Circunstancias sociales” empleadas en el RAT,
ALKORA los detalló en su escrito de 9 de julio de 2024:

“Aportamos tablas desglosando tipo de datos de características personales y
circunstancias sociales de cada de uno de los ficheros del RAT aportado:

LABORAL Y RRHH
Otro tipo de datos Características personales: estado civil,
familia, fecha de nacimiento, lugar de
nacimiento, edad, sexo, nacionalidad

CORREDURÍA DE SEGUROS A PARTICULARES
Otro tipo de datos Características personales: fecha de
nacimiento, edad.
Circunstancias sociales: características
de alojamiento, vivienda, propiedades y
posesiones (sólo en caso de seguros de
hogar)

CORREDURÍA DE SEGUROS DE VIDA Y ACCIDENTES A PARTICULARES
Otro tipo de datos Características personales: fecha de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/75

nacimiento, lugar de nacimiento, edad,
sexo, nacionalidad.

SINIESTROS DE SEGUROS
Otro tipo de datos Características personales: estado civil,
familia, fecha de nacimiento, lugar de
nacimiento, edad, sexo, nacionalidad.
Circunstancias sociales: características
de alojamiento, vivienda, propiedades y
posesiones (sólo en caso de seguros de
hogar)

3.2. Tratamientos que incluyen números de cuenta bancaria de clientes, potenciales
clientes y empleados

Sólo se incluye número de cuenta bancaria en los siguientes tratamientos:
 Pago de nóminas y gastos de personal: fichero “Laboral y RRHH
 Cobro a clientes: fichero “Fiscal y Contable”.

3.3. Tratamientos, en su caso, que incluyan información sobre tarjetas bancarias:

Alkora únicamente dispone de tarjetas corporativas debidamente autorizadas para el
pago de gastos de manutención, locomoción y/o viajes corporativos (fichero “Laboral y
RRHH”+). No existen más tratamientos.”

De lo manifestado por ALKORA en el Anexo V (Análisis de Riesgos de 19 de
septiembre de 2019) de su escrito de 14 de febrero de 2024 y de lo manifestado en su
escrito de 9 de julio de 2024, se desprende que sus actividades de tratamiento incluían
al menos los siguientes tipos de datos:

- DNI o NIF (todos los ficheros)
- Nombre y apellidos (todos los ficheros)
- Dirección postal o electrónica (todos los ficheros)
- Teléfono (todos los ficheros)
- Imagen (fichero “SINIESTROS DE SEGUROS”)
- Firma manual (ficheros “LABORAL Y RRHH”; “CORREDURÍA DE SEGUROS
A PARTICULARES”; “CORREDURÍA DE SEGUROS DE VIDA Y
ACCIDENTES A PARTICULARES”; “SINIESTROS DE SEGUROS”)
- Núm. de SS o mutualidad (fichero “LABORAL Y RRHH”)
- Salud (ficheros “CORREDURÍA DE SEGUROS DE VIDA Y ACCIDENTES A
PARTICULARES”; “SINIESTROS DE SEGUROS”)
- Estado civil (ficheros “LABORAL Y RRHH”; “SINIESTROS DE SEGUROS”)
- Familia (ficheros “LABORAL Y RRHH”; “SINIESTROS DE SEGUROS”)
- Fecha de nacimiento (ficheros “LABORAL Y RRHH”; “CORREDURÍA DE
SEGUROS A PARTICULARES”; “CORREDURÍA DE SEGUROS DE VIDA Y
ACCIDENTES A PARTICULARES”; “SINIESTROS DE SEGUROS”)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/75

- Lugar de nacimiento (ficheros “LABORAL Y RRHH”; “CORREDURÍA DE
SEGUROS DE VIDA Y ACCIDENTES A PARTICULARES”; “SINIESTROS DE
SEGUROS”)
- Edad (ficheros “LABORAL Y RRHH”; “CORREDURÍA DE SEGUROS A
PARTICULARES”; “CORREDURÍA DE SEGUROS DE VIDA Y ACCIDENTES
A PARTICULARES”; “SINIESTROS DE SEGUROS”)
- Sexo (ficheros “LABORAL Y RRHH”; “CORREDURÍA DE SEGUROS DE VIDA
Y ACCIDENTES A PARTICULARES”; “SINIESTROS DE SEGUROS”)
- Nacionalidad (ficheros “LABORAL Y RRHH”; “CORREDURÍA DE SEGUROS
DE VIDA Y ACCIDENTES A PARTICULARES”; “SINIESTROS DE
SEGUROS”)
- Características de alojamiento, vivienda, propiedades y posesiones, en
seguros de hogar (ficheros “CORREDURÍA DE SEGUROS A
PARTICULARES”, “SINIESTROS DE SEGUROS”)
- Académicos y profesionales (ficheros “LABORAL Y RRHH”; “CORREDURÍA
DE SEGUROS A PARTICULARES”; “CORREDURÍA DE SEGUROS DE VIDA
Y ACCIDENTES A PARTICULARES”)
- Información comercial (ficheros “CORREDURÍA DE SEGUROS A
PARTICULARES”; “CORREDURÍA DE SEGUROS DE VIDA Y ACCIDENTES
A PARTICULARES”)
- Detalles de empleo (ficheros “LABORAL Y RRHH”; “CORREDURÍA DE
SEGUROS DE VIDA Y ACCIDENTES A PARTICULARES”; “SINIESTROS DE
SEGUROS”)
- Económicos, financieros y de seguro (ficheros “LABORAL Y RRHH”;
“CORREDURÍA DE SEGUROS A PARTICULARES”; “CORREDURÍA DE
SEGUROS DE VIDA Y ACCIDENTES A PARTICULARES”; “SINIESTROS DE
SEGUROS”)
- Número de cuenta bancaria (ficheros “LABORAL Y RRHH”, “FISCAL Y
CONTABLE”)
- Números de tarjetas bancarias corporativas (fichero “LABORAL Y RRHH”)

El mencionado Análisis de Riesgos indicaba que se realizaba el siguiente
“TRATAMIENTO ESPECÍFICO” (pág. 64):

- Concepto: “Tratamiento de datos de niños menores de 14 años” – Aplicación:
“Se realizan tratamientos de datos niños menores de 14 años únicamente en
caso de siniestros de colegios”

En relación con el tratamiento de datos de menores de edad, ALKORA manifestó en su
escrito de 9 de julio de 2024:

“Únicamente se tratan datos de menores en la tramitación de expedientes de
siniestros de accidente […] en los cuales sólo figuran nombre, apellidos, fecha de
nacimiento e información general sobre las circunstancias del accidente del
menor.”

En la pág. 415 del Anexo VII del escrito de 9 de julio de 2024, se acompaña copia de
la presentación de una actividad de formación formación en protección de datos y
seguridad de la información realizada en 2024 por ALKORA, en la que se incluía lo
siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/75

“¿Qué datos personales trata Grupo Alkora como “Responsable del Tratamiento”?
• Clientes persona física: DNI o NIF, nombre y apellidos, datos de contacto
(domicilio, teléfono, e-mail), firma, características personales, profesionales,
circunstancias sociales, información comercial, económicos, financieros y de
seguros, datos de saludo (seguros de vida y accidentes).”

Por su parte, en la pág. 22 del Anexo I del escrito de ALKORA de 9 de julio de 2024,
en el informe forense de 3 de mayo de 2023, se indicaba:

“El análisis de los desplazamientos laterales durante el periodo del ataque ha
demostrado que los atacantes tenían la capacidad de circular libremente por la
totalidad del sistema de información comprometiendo cuentas privilegiadas como
los administradores de dominio.”

Y en ese mismo informe, en la pág. 33:

“El cifrado de los servidores impacta directamente la integridad y la disponibilidad
de los sistemas y aplicaciones de la empresa. Por otro lado, la exfiltración de
datos impacta la confidencialidad de los documentos sensibles de la empresa, así
como los datos personales de los clientes.”

“La integridad y la disponibilidad de la totalidad de los sistemas y servicios ha sido
impactada”.

En las actividades de formación de ALKORA de 2024, pág. 415 del Anexo VII de su
escrito de 9 de julio de 2024, se mencionaba el tratamiento de datos personales:
“Clientes persona física: DNI o NIF, nombre y apellidos, datos de contacto (domicilio,
teléfono, e-mail), firma, características personales, profesionales, circunstancias
sociales, información comercial, económicos, financieros y de seguros, datos de
saludo (seguros de vida y accidentes)”.

Como se mencionó anteriormente:
- En el RAT aportado como Anexo V del escrito de 14 de febrero de 2024, de
respuesta al traslado de la reclamación, figuraban cinco “ficheros” de
tratamiento por parte de ALKORA.
- La dirección postal o electrónica y el número de teléfono aparecían en todos
los “ficheros”, 1 al 5.
- La firma aparecía en los “ficheros” 1 al 4.
- ALKORA manifestó en su escrito de 9 de julio de 2024 que el número de
cuenta corriente se incluía en el fichero 5 para el cobro a clientes.

La reclamante manifestaba en la reclamación ser cliente de ALKORA, lo que implica
que debía ser asegurada, tomadora o beneficiaria, o todo ello, de lo que se deduce
que debía estar incluida en al menos uno de los “ficheros” 2 (correduría de seguros a
particulares) o 3 (correduría de seguros de vida y accidentes a particulares), además
de estarlo en el 5 (fiscal y contable).

Del Anexo I del escrito de ALKORA de 9 de julio de 2024, con el informe forense de 3
de mayo de 2023 (págs. 22 y 33 del documento con todos los anexos), se deduce que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/75

la exfiltración afectó a los datos personales de los clientes y que los atacantes tuvieron
acceso a la totalidad de los mismos.

La reclamante proporcionó junto con la reclamación el correo electrónico enviado por
ella a ALKORA el 24 de mayo de 2023, en el que indicaba que recibió la comunicación
de la brecha el 11 de mayo y solicitaba copia de la denuncia que se menciona en la
misma. ALKORA respondió al día siguiente denegando la copia de la denuncia
(aunque proporcionó el número de atestado) y comunicó adicionalmente:

“Tras los trabajos que están realizando los equipos de profesionales que se están
ocupando de este tema, podemos confirmarle que en el servidor de
documentación del que se ha producido la exfiltración no había ningún documento
suyo.
En el resto de servidores, de los que no podemos confirmar que se haya
producido exfiltración, únicamente constarían como datos personales su nombre y
apellidos, y su nº de DNI.”

De lo extraído del Anexo V del escrito de respuesta al traslado de la reclamación y del
su escrito de 9 de julio de 2024 y sus anexos, se deduce que podrían haberse visto
afectados por la brecha el resto de tipos de datos que se incluyen tanto en el “fichero”
2 como en el 3, y al menos, entre otros, la firma, número de teléfono, dirección postal
y/o electrónica y número de cuenta corriente de la reclamante, y no únicamente su
nombre, apellidos y n.º de DNI, como ALKORA le comunicó el 25 de mayo de 2023.

Análisis de riesgos y evaluación de impacto (AR y EIPD):

Como se mencionó anteriormente, los ficheros números 3 y 4 incluían el tratamiento
de datos de salud, y los números 1 y 5 incluían el tratamiento de números de cuenta
bancaria.

En el Análisis de riesgos aportado como Anexo V del escrito de 14 de febrero de 2024,
de respuesta al traslado de la reclamación, se indican, entre otros, los siguientes
apartados dentro de “CUMPLIMIENTO NORMATIVO” (entre paréntesis el número de
fichero):

Política de seguridad (1; 2; 3; 4; 5)
- Riesgos del tratamiento: “Se ha analizado el tratamiento y no existe la
probabilidad de un alto riesgo para los derechos y libertades de los
interesados”.

Política de seguridad (3; 4)
- Evaluación de impacto: “Se ha analizado el tratamiento de conformidad
con el Informe sobre la necesidad de realizar una Evaluación de Impacto y no
existe la probabilidad de un alto riesgo para los derechos y libertades de los
interesados”.

En el apartado “ORGANIZACIÓN” del citado Análisis de riesgos se indicaba: “[No
precisa realizar una DPIA porque] el tratamiento no comporta un alto riesgo para los
derechos y libertades de las personas físicas”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/75

ALKORA también proporciona como Anexo III de su escrito de 9 de julio de 2024
(págs. 52 a 119 del documento con todos los anexos) un Análisis de Riesgos (AR) sin
firmar, versión 2.0 de 1 de noviembre de 2023, posterior a la brecha, en el que
recalifica como “Alto” los riesgos inicial y final de los ficheros 3 y 4, que incluyen el
tratamiento de datos de salud; ese AR conserva como “Medio” y “Bajo” los riesgos
inicial y final asociados a los tratamientos de los ficheros 1 y 5, que incluyen datos
bancarios.

Este nuevo AR también menciona la necesidad de realizar una EIPD para los ficheros
3 y 4. También proporciona ALKORA como Anexo IV de su escrito de 9 de julio de
2024 (págs. 120 a 130 del documento con todos los anexos), un informe, sin firmar,
versión 2.0 de 1 de noviembre de 2023, sobre la necesidad de realizar evaluaciones
de impacto, que concluye que las mismas son necesarias para los ficheros
“Correduría de Seguros Salud y Vida” y “Siniestros” debido al tratamiento de
categorías especiales de datos y datos de colectivos vulnerables:

“Conclusiones:
Se cumplen al menos 2 de los criterios establecidos en la lista de tratamientos de la
AEPD en los ficheros de “Correduría de Seguros Salud y Vida” y “Siniestros” al
tratarse de datos de colectivos vulnerables, como son los menores de edad, así como
categorías especiales de datos “datos de salud” por lo que se hace necesario llevar a
cabo una Evaluación de Impacto sobre los tratamientos referidos ya que podrían
entrañar un alto riesgo para los derechos y libertades de los interesados. Asimismo,
Alkora, llevó a cabo un informe sobre la necesidad de nombrar a un Delegado de
Protección de Datos, en el que se analizó si se lleva a cabo o no un tratamiento
masivo de datos personales, no concluyente, debido a indefinición de los criterios
establecidos por el WP 243. No obstante, al cumplirse ya al menos dos de los criterios
de la AEPD, consideramos que se hace necesario llevar a cabo una EIDP relativa al
tratamiento de datos de menores y de salud en los ficheros de referencia.”

No consta en el presente expediente que ALKORA hubiera proporcionado a esta
Agencia las referidas EIPD.

Medidas técnicas de seguridad previas a la brecha:

ALKORA aportó como Anexo V de su escrito de 9 de julio de 2024 (págs. 131 a 221
del documento con todos los anexos) un informe de auditoría interna de sus sistemas
de información, sin firmar, versión v0.04 de 20 de febrero de 2022 (anterior a la
brecha). La tabla de evaluación del riesgo de los servicios de TI de ese informe, pág.
194, indicaba un riesgo “Extremo” (marcado en color rojo) para los sistemas de
información y portales web frente a delitos informáticos.

Se desprende de ese informe que ALKORA:

- Debido a (…).
- Confiaba en la protección (…).
- No consideraba una fuente de riesgo (…).
- Consideraba suficiente (…).
- Creaba servidores virtuales (…).
- Consideraba que el antivirus instalado (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/75

- Consideraba que las soluciones adoptadas (…) eran adecuadas: “(…)”
- Consideraba que no podían aplicar mejoras significativas en (…).
- Disponía de un servicio de (…) que, según se desprende del informe forense
(Anexo I del escrito de ALKORA de 9 de julio de 2024), no fue eficaz.

En el informe de auditoría interna aportado como Anexo V del escrito de ALKORA de 9
de julio de 2024 (pág. 167 del documento con todos los anexos), se indicaba:

(…)

Sobre el antivirus, el informe forense aportado como Anexo I del escrito de ALKORA
de 9 de julio de 2024 (págs. 2 a 44 del documento con todos los anexos), indicaba que
el antivirus ***PROGRAMA.2 que estaba instalado no presentó ninguna alerta durante
el cifrado de al menos uno de los puestos de trabajo.

Las recomendaciones del citado informe forense revelaron que ALKORA podría haber
dispuesto de medidas adicionales, que se describen en las págs. 35 a 37 del
documento con todos los anexos, y cuya adopción recomienda como de prioridad
“Alta”:

- (…)

Además, el informe forense recomienda la adopción de otras veintidós medidas, que
califica como de prioridades “Media” y “Baja”.

ALKORA también proporciona como Anexo V b de su escrito de 9 de julio de 2024
(págs. 222 a 318 del documento con todos los anexos), un informe de auditoría
“pentesting” (prueba de penetración en su sistema informático), sin firmar, Versión 1.0
de 9 de julio de 2024.

La prueba de penetración, llevada a cabo por ***SISTEMA.1, reveló que: “The security
audit revealed a number of vulnerabilities and weaknesses which, when jointly
exploited, would enable the entire domain to be compromised by gaining domain
Administrator privileges, with access only to the internal network.” (traducción no
oficial: “La auditoría de seguridad reveló una serie de vulnerabilidades y debilidades
que, cuando se explotaron conjuntamente, habría permitido que todo el dominio se
viera comprometido al obtener privilegios de administrador de dominio, con acceso
únicamente a la red interna”).

El apartado 3.4 de ese Anexo V b (auditoría de las contraseñas) indicaba que (…)

La citada auditoría destacaba ocho vulnerabilidades de nivel “alto”:

- (…)

Y 10 vulnerabilidades de nivel “medio”:

- (…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/75

Medidas técnicas reactivas:

En el informe de auditoría interna aportado como Anexo V del escrito de ALKORA de 9
de julio de 2024 se destacaban algunas de las medidas reactivas adoptadas por
ALKORA tras la brecha:

- (…)

ALKORA también aportó como Anexo V c de su escrito de 9 de julio de 2024 (págs.
319 a 324 del documento con todos los anexos) un informe interno de resolución de
incidencias tras la prueba de penetración, sin firmar, de 10 de abril de 2024, en el que
manifestaba (…).

Preguntada sobre el nivel de segmentación de la red ((…)), ALKORA manifiesta en su
escrito de 23 de diciembre de 2024 que:

“(…)”

Actividades formativas relacionadas con la protección de datos personales:

ALKORA aporta un informe de auditoría interna de sus sistemas de información como
Anexo V a de su escrito de 9 de julio de 2024 (págs. 131 a 221 del documento con
todos los anexos), anterior a la brecha, que indicaba que no impartía formación sobre
ciberseguridad de modo generalizado, sino solo a los empleados que lo solicitaran, y
que lo hacía así debido a la confianza en el antivirus.

ALKORA proporciona (págs. 30 a 32 de su escrito de 9 de julio de 2024) referencia a
la documentación aportada en el Anexo VII de tal escrito, relacionada con las acciones
formativas que incluían materias sobre protección de datos personales.

Entre ellas, se aporta (págs. 327 a 389 del documento con todos los anexos) cuatro
memorias de formación continua, que ALKORA manifestó haber realizado antes de la
brecha (de 2020 a 2023), referidas a su programa de formación en seguros al que,
según indican las mismas, vienen obligados por:
- Real Decreto 764/2010, de 11 de junio, por el que se desarrolla la Ley
26/2006, de 17 de julio, de mediación de seguros y reaseguros privados en
materia de información estadístico-contable y del negocio, y de competencia
profesional.
- Resolución de 18 de febrero de 2011, de la Dirección General de Seguros y
Fondos de Pensiones, por la que se establecen los requisitos y principios
básicos de los programas de formación para los mediadores de seguros,
corredores de reaseguros y demás personas que participen directamente en la
mediación de los seguros y reaseguros privados.

Las memorias correspondientes a los años 2020 a 2022 incluían un epígrafe (en 2020,
de un programa de 20 horas para seis epígrafes, y en 2021 y 2022 de un programa de
26 horas para cinco epígrafes) correspondientes al cumplimiento normativo
relacionado con la protección de datos personales. Las memorias mencionan la
asistencia a esas actividades formativas, pero no la evaluación de las mismas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/75

Las memorias de 2020 y 2022 mencionan que “Adicionalmente a este programa,
algunos miembros del equipo también han realizado otras acciones formativas”, de las
que incluyen una lista pero no detallan el número de participantes ni su perfil
profesional.

La memoria del año 2023 describe un programa de formación seguido por 20
personas y superado por 15 de ellas, con carga lectiva total de 25 horas para el
personal de nivel II (15 horas para personal del nivel III) que incluye un módulo
(número 3) denominado “Normativa de protección de datos” y otro (número 7)
denominado “Seguridad en la red”, de un total de siete módulos.

ALKORA también proporciona, como Anexo VII e de su escrito de 9 de julio de 2024
(págs. 390 a 405 del documento con todos los anexos), un informe de enero de 2024
relativo a una actividad formativa sobre protección de datos personales, de 2 horas de
duración, que incluye los resultados de una prueba de evaluación realizada por 139
asistentes, y cuyo contenido proporciona ALKORA como presentación PPT (Anexo VII
f, págs. 406 a 430 del documento con todos los anexos).

Adicionalmente, ALKORA proporciona desde el Anexo VII g hasta el Anexo VII r de su
escrito de 9 de julio de 2024 (págs. 431 a 465 del documento con todos los anexos),
copia de varios correos, que manifiesta fueron difundidos por el departamento de IT al
personal de ALKORA, con contenido de concienciación en ciber-seguridad, incluyendo
uno de aviso de intento de phishing detectados en la entidad en las semanas
anteriores a la brecha.

Medidas organizativas posteriores a la brecha:

En sus anexos al escrito de 9 de julio de 2024, ALKORA proporciona documentación
sobre la adopción o modificación de medidas organizativas tras la brecha:

- Se aporta como Anexo VII s (págs. 466 a 473 del documento con todos los
anexos), un documento titulado “Política de protección de datos”, versión 1.0
de 7 de noviembre de 2023, sin firmar.
- Se aporta como Anexo VII t (págs. 474 a 589 del documento con todos los
anexos), un documento titulado “Política de seguridad de los sistemas de
información”, versión 1.0 de 7 de noviembre de 2023, sin firmar.
- Se aporta como Anexo VII u (págs. 590 a 595 del documento con todos los
anexos), un documento titulado “Anexo al protocolo de buenas prácticas en
materia de protección de datos personales y seguridad de la información”,
versión v.1 de 1 de marzo de 2024, sin firmar.
- Se aporta como Anexo VII v (págs. 596 a 600 del documento con todos los
anexos), un documento titulado “Procedimiento de protección de ficheros con
datos personales con contraseña", versión v2 de mayo de 2024, sin firmar.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/75

SEXTO: Con fecha 15 de abril de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 5.1.f) del RGPD y del
artículo 35 del RGPD, tipificadas en el artículo 83.5 del RGPD y 83.4 del RGPD,
respectivamente.

SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), el 6 de mayo de 2025 ALKORA
presentó escrito de alegaciones en el que, en síntesis, manifestaba que:

- No había existido infracción del artículo 5.1.f) del RGPD
- No era exigible la evaluación de impacto (art. 35 RGPD)
- No había existido culpabilidad y debía aplicarse el principio de
proporcionalidad

También se indicaba que había solicitado la emisión de un informe técnico pericial que
probara la suficiencia de las medidas de seguridad implementadas por la correduría al
momento de producirse la brecha de seguridad, el cual sería aportado en cuanto sea
emitido por el experto externo al que se le había solicitado.

Junto a las alegaciones se aportaba un informe jurídico externo para analizar la
decisión adoptada por la entidad de no llevar a cabo una Evaluación de Impacto en
Protección de Datos (EIPD).

OCTAVO: Con fecha 17 de octubre de 2025 tiene entrada informe pericial remitido por
ALKORA, de acuerdo con lo anunciado en su escrito de alegaciones al acuerdo de
inicio de procedimiento sancionador.

NOVENO: De acuerdo con el informe recogido de la herramienta AXESOR en fecha 8
de febrero de 2026, la entidad ALKORA es una empresa constituida en el año 1989, y
con un volumen de negocios de 24.007.236 € euros en el año 2024.

DÉCIMO: Se acompaña como anexo relación de documentos obrantes en el
procedimiento.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: ALKORA fue víctima de un ataque por ramsomware cuyo desarrollo, según
informa, fue el siguiente:

(…)

En cuanto a los detalles del ataque, según informa ALKORA:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/75

 (…)

Según informa ALKORA:

- (…)

SEGUNDO: El informe forense aportado por ALKORA en el que se analiza la brecha
sufrida determina algunas de las acciones llevadas a cabo por el grupo atacante tras la
intrusión inicial, consistentes en:

También indica que a lo largo de los siguientes tres días tuvieron lugar:

- elevación de privilegios
- acceso a la cuenta de administración local (…) ***SERVIDOR.1, con la que se
obtienen los máximos privilegios en el sistema
- instalación y ejecución del programa ***PROGRAMA.1, a pesar del bloqueo
en dos ocasiones por parte del ***PROGRAMA.2; el atacante logra camuflarse
y evitar nuevos bloqueos por parte del antivirus
- instalación del programa ***PROGRAMA.3
- exfiltración de datos
- cifrado de los servidores y de los puestos de trabajo

El informe forense también indica:

“Los atacantes han podido desplazarse libremente por la infraestructura de
ALKORA (…).”

“El ransomware es desplegado de forma manual en ***SERVIDOR.1 y de manera
automática en los puestos de trabajo (…)”

Según dicho informe forense:

TERCERO: En cuanto a las circunstancias previas al ataque y que pudieron estar
relacionadas con el éxito del mismo, ALKORA señala lo siguiente:
- “(…)”

Se trata de medidas que, por lo tanto, no existían antes del incidente, sino que, antes
al contrario, fueron adoptadas como reacción al mismo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/75

CUARTO: De acuerdo con la información aportada por ALKORA y que consta en el
expediente algunas deficiencias del sistema han afectado la propia investigación del
ataque:

“Varios factores han participado a la limitación de la capacidad de investigación del
equipo ***EMPRESA.1:
 (…)

QUINTO: En las notificaciones de la brecha de datos personales notificadas a esta
Agencia el 22 de abril y 17 de mayo de 2023, ALKORA manifestó:
- haber sufrido una brecha de confidencialidad, disponibilidad e integridad a causa
de un ataque informático;
- que en la actividad afectada se trataban datos de unas 25.000 personas, entre
las que hay menores de edad;
- que los datos no estaban cifrados.

Posteriormente, en su escrito de 9 de julio de 2024, ALKORA elevó a 40.000 el número
aproximado de afectados.

Según el informe forense aportado por ALKORA:

“La integridad y la disponibilidad de la totalidad de los sistemas y servicios ha sido
impactada”.

SEXTO: En cuanto a los tipos de datos, en su escrito de 14 de febrero de 2024, de
respuesta al traslado de la reclamación, ALKORA manifestó que los tipos de datos
personales afectados eran:

“1. Datos básicos de clientes persona física, clientes persona jurídica (tomadores,
asegurados, beneficiarios), potenciales clientes y personal:

2. Datos de salud de clientes persona física de seguros de vida y/o siniestros.”

Por su parte, en la pág. 22 del Anexo I del escrito de ALKORA de 9 de julio de 2024,
en el informe forense de 3 de mayo de 2023, se indicaba:

“El análisis de los desplazamientos laterales durante el periodo del ataque ha
demostrado que los atacantes tenían la capacidad de circular libremente por la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/75

totalidad del sistema de información comprometiendo cuentas privilegiadas como
los administradores de dominio.”

SÉPTIMO: ALKORA también proporciona como Anexo V b de su escrito de 9 de julio
de 2024 (págs. 222 a 318 del documento con todos los anexos), un informe de
auditoría “pentesting” (prueba de penetración en su sistema informático), sin firmar,
Versión 1.0 de 9 de julio de 2024.

El apartado 3.4 de ese Anexo V b (auditoría de las contraseñas) indicaba que (…).

La citada auditoría destacaba ocho vulnerabilidades de nivel “alto”:

- (…)

Y 10 vulnerabilidades de nivel “medio”:

- (…)

OCTAVO: Preguntada sobre el nivel de segmentación de la red ((...)), ALKORA
manifiesta en su escrito de 23 de diciembre de 2024 que:

(…)

NOVENO: En el Análisis de Riesgos efectuado por ALKORA con fecha 19 de
septiembre de 2019, versión 0.1, aportado como Anexo V del escrito de ALKORA de
fecha 14 de febrero de 2024 de respuesta al traslado de la reclamación, se reseñan
cinco ficheros: “LABORAL Y RRHH”, “CORREDURÍA DE SEGUROS A
PARTICULARES”, “CORREDURÍA DE SEGUROS DE VIDA Y ACCIDENTES A
PARTICULARES”, “SINIESTROS DE SEGUROS” y “FISCAL Y CONTABLE”.

Respecto al fichero “LABORAL Y RRHH” se indica:

“Categorías de interesados: Empleados”

29/75

Respecto a “CORREDURÍA DE SEGUROS A PARTICULARES”:

Respecto a “CORREDURÍA DE SEGUROS DE VIDA Y ACCIDENTES A
PARTICULARES”:

Respecto a “SINIESTROS DE SEGUROS”:

Respecto a “FISCAL Y CONTABLE”:
“Datos identificativos DNI o NIF, Nombre y apellidos, Dirección postal o
electrónica, Teléfono
Datos de categorías especiales N/A
Otro tipo de datos N/A”

En cuanto a los riesgos asociados a cada fichero en el citado Análisis de Riesgos
consta:

30/75

31/75

o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”.
o En cuanto a “Acceso a categorías especiales de datos” se indica que
“EXISTEN MEDIDAS adicionales de seguridad de conformidad con lo
establecido en el apartado 4.4. del presente documento”, se le asigna
un riesgo inicial “Medio” y como medidas se detalla “Se deberá llevar un
control actualizado del personal con acceso a categorías especiales de
datos. Se recomienda reforzar medidas con un doble factor de
autenticación, cifrado…”, tras lo cual se asigna un riesgo final “Muy
bajo”.

- Respecto del “FICHERO 4: SINIESTROS DE SEGUROS”:
o Se considera que los datos identificativos y los otros datos tipificados
objeto del tratamiento, tienen un riesgo inicial “Bajo. Pero a los datos de
salud se le asignan un riesgo inicial “Alto”.
o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Bajo”
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”
o En cuanto a “Acceso a categorías especiales de datos” se indica que
“EXISTEN MEDIDAS adicionales de seguridad de conformidad con lo
establecido en el apartado 4.4. del presente documento”, se le asigna
un riesgo inicial “Medio” y como medidas se detalla “Se deberá llevar un
control actualizado del personal con acceso a categorías especiales de
datos. Se recomienda reforzar medidas con un doble factor de
autenticación, cifrado…”, tras lo cual se asigna un riesgo final “Muy
bajo”.

- Respecto del “FICHERO 5: FISCAL Y CONTABLE”:
o Se considera que los datos identificativos objeto del tratamiento, tienen
un riesgo inicial “Bajo”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/75

o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Bajo”
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”.
o En cuanto al “Acceso a categorías especiales de datos”, se indica que
“No existen categorías especiales de datos”, por lo que se le asigna un
riesgo inicial y final “Muy Bajo”.

En este documento también constan los siguientes apartados dentro de
“CUMPLIMIENTO NORMATIVO” (entre paréntesis el número de fichero):

Política de seguridad (1; 2; 3; 4; 5)
- Riesgos del tratamiento: “Se ha analizado el tratamiento y no existe la
probabilidad de un alto riesgo para los derechos y libertades de los
interesados”.

DÉCIMO: En el Análisis de Riesgos aportado por ALKORA sin firmar, versión 2.0 de 1
de noviembre de 2023, proporcionado como Anexo III de su escrito de 9 de julio de
2024, se recalifica como “Alto” los riesgos inicial y final de los ficheros 3 y 4, que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/75

incluyen el tratamiento de datos de salud; ese AR conserva como “Medio” y “Bajo” los
riesgos inicial y final asociados a los tratamientos de los ficheros 1 y 5, que incluyen
datos bancarios.

Este nuevo análisis de riesgos menciona la necesidad de realizar una EIPD para los
ficheros 3 y 4.

DÉCIMO PRIMERO: En el informe de ALKORA, sin firmar, versión 2.0 de 1 de
noviembre de 2023, sobre la necesidad de realizar evaluaciones de impacto, que
proporciona ALKORA como Anexo IV de su escrito de 9 de julio de 2024, se concluye
que las EIPD son necesarias para los ficheros “Correduría de Seguros Salud y Vida” y
“Siniestros” debido al tratamiento de categorías especiales de datos y datos de
colectivos vulnerables:

DÉCIMO SEGUNDO: De acuerdo con la información contenida en el expediente y la
suministrada por ALKORA, no consta que haya realizado una Evaluación de Impacto
de Protección de Datos Personales.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/75

reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.

II
Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que ALKORA
realiza, entre otros tratamientos, la recogida y conservación de datos personales de
personas físicas: número de DNI o NIF, nombre y apellidos, dirección postal o
electrónica, teléfono, imagen, firma manual, número de la seguridad social o
mutualidad, datos de salud, estado civil, familia, fecha y lugar de nacimiento, edad,
sexo, nacionalidad, datos de vivienda y posesiones, datos académicos y profesionales,
información comercial, datos de empleo, datos económicos, financieros y de seguro, y
número de cuenta bancaria.

ALKORA realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/75

III
Alegaciones al acuerdo de inicio

En relación con las alegaciones aducidas al acuerdo de inicio del presente
procedimiento sancionador, se procede a dar respuesta a las mismas según el orden
expuesto por ALKORA.

PRIMERA. Sobre la inexistencia de infracción del artículo 5.1.f) del RGPD

Alega ALKORA que la mera existencia de vulnerabilidades no constituye, por sí
misma, prueba de una infracción del artículo 5.1.f) en relación con el 32 del RGPD. Y
que el artículo 32 del RGPD exige que el responsable del tratamiento adopte “medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo”, sin que pueda exigirse una seguridad absoluta, ni que ello constituya una
obligación de resultado. No existe, por otra parte, un listado de medidas obligatorias,
sino que se deja al criterio del responsable la elección de medidas adecuadas y
razonables.

Entiende ALKORA que los informes técnicos aportados evidencian, precisamente, la
existencia de una política activa de revisión, detección y subsanación de
vulnerabilidades, lo que demuestra la diligencia de la entidad en la gestión de la
seguridad de los datos personales tratados. El hecho de que las vulnerabilidades
fueran identificadas y posteriormente corregidas refuerza, y no debilita, el
cumplimiento del principio de responsabilidad activa previsto en el artículo 5.2 del
RGPD. Fue un informe reactivo ante una violación de seguridad. Con ello se trata de
ver posibles mejoras, pero hasta entonces había un nivel de seguridad más que
aceptable.

Y que solo cabe concluir la existencia de una infracción cuando se acredite que las
medidas adoptadas eran manifiestamente insuficientes respecto al riesgo real y
previsible, lo que debe evaluarse con carácter ex post, pero aplicando criterios ex ante,
esto es, los razonables en el momento del tratamiento.

Alega ALKORA que, en el acuerdo de inicio del sancionador, la Agencia se limita a
transcribir varios informes técnicos aportados que supuestamente, vendrían a
evidenciar que las medidas adoptadas antes de la brecha eran insuficientes, pero la
Agencia no dice por qué eran insuficientes ni en qué medida. No realiza juicio
valorativo alguno, lo que constituye una evidente ausencia de motivación. Ni siquiera
argumenta si las hipotéticas vulnerabilidades mencionadas en el acuerdo de inicio del
sancionador tienen o no vinculación con la brecha en cuestión o si su implementación
adecuada la podría haber evitado.

La Agencia no dice en qué medida afectaron esas hipotéticas vulnerabilidades a la
brecha o si tras su implantación, esta se podría haber evitado.

Alega ALKORA que, en el presente caso, la correduría de seguros diseñó y ejecutó,
previamente a la materialización del incidente de seguridad, un análisis de riesgos
estructurado, adaptado a la naturaleza de los tratamientos realizados, al tipo de datos
tratados — fundamentalmente datos identificativos, de contacto y contractuales— y al
volumen y perfil de los interesados. Este análisis de riesgos, desarrollado conforme a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/75

metodologías aceptadas en el ámbito de la ciberseguridad y la protección de datos,
permitió a la entidad identificar posibles amenazas, establecer escenarios de impacto y
adoptar medidas de seguridad proporcionadas y ajustadas al entorno operativo.

Señala que gracias a este análisis previo, la correduría contaba con mecanismos de
control de acceso, segmentación de redes, políticas de contraseñas robustas,
protocolos de monitorización de accesos y un plan de contingencia activado de forma
inmediata tras la detección del incidente. Todo ello permitió que la brecha de seguridad
fuese detectada y contenida con rapidez.

En consecuencia, no puede considerarse que haya existido infracción del artículo
5.1.f) del RGPD por el solo hecho de haberse producido una brecha o de que unos
informes técnicos emitidos por expertos externos a instancia de ALKORA pongan de
manifiesto algunas mejoras (este es el objetivo de estos informes y todos detectan
márgenes de mejora – pero a esto no lo podemos llamar negligencia, sino
responsabilidad activa y evaluación continua del riesgo.

En este caso, la entidad ha aplicado con rigor el principio de responsabilidad activa en
todas las fases del tratamiento. Ha documentado sus tratamientos en el registro
previsto en el artículo 30, ha realizado análisis de riesgos conforme a metodologías
reconocidas, ha implantado políticas de seguridad, ha formado a su personal, y ha
designado un delegado de Protección de Datos conforme al artículo 37 del RGPD.

Con relación a ello, con anterioridad al acaecimiento de la brecha, indica que en la
entidad se habían implementado las siguientes medidas técnicas:

- (…)

Asimismo, ante la ocurrencia de una brecha, activó los protocolos de notificación,
evaluó su impacto, comunicó a la AEPD en el plazo legal y adoptó medidas
correctoras inmediatas.

Entre dichas medidas, solicitó un informe técnico que precisamente tenía por objeto la
detección de posibles riesgos y la determinación de las posibles mejoras que se
pudieran implantar en la entidad. Este informe es el que ha servicio de único
argumento a esta Agencia para imponer una sanción a ALKORA, lo cual le resulta
sorprendente porque ese informe se solicitó en defensa del principio de
responsabilidad activa, al objeto, precisamente, de detectar vulnerabilidades y con ello
poder mejorar. Indica que todos los sistemas tienen vulnerabilidades y todos son
susceptibles de mejora, pero eso no puede suponer que no fueran suficientes habida
cuenta de la naturaleza de los datos tratados. Pretender argumentar que por el solo
hecho de que una brecha se produzca ello evidencia la insuficiencia de las medidas de
seguridad implementadas por la entidad que la sufra es tanto como exigirle una
responsabilidad objetiva en un aspecto en el que, como es sabido, resultaría en una
obligación de imposible cumplimiento.

Al respecto, en primer lugar, esta Agencia desea señalar que el presente
procedimiento sancionador tiene como objeto determinar la responsabilidad de
ALKORA por una posible infracción del artículo 5.1.f) del RGPD y del artículo 35 del
RGPD, únicamente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/75

El principio recogido en el artículo 5.1 f) atribuye al responsable de cualquier
tratamiento de datos personales la obligación, la garantía, de impedir tratamientos no
autorizados o ilícitos de estos datos, su pérdida o destrucción. Dicho de otro modo, un
responsable del tratamiento no debe tratar datos personales si no está en disposición
de garantizar la confidencialidad e integridad de estos e impedir que un tercero acceda
a datos que no le conciernen, así como evitar su pérdida o destrucción. En este
sentido, los responsables han de garantizar la integridad y confidencialidad de los
datos personales objeto de tratamiento a través de medidas técnicas y organizativas
de todo tipo.

El cumplimiento de dicho precepto se constataría, por lo tanto, mediante i) la adopción
y cumplimiento de medidas técnicas y organizativas de todo tipo cuyo objetivo sea
garantizar la confidencialidad y la integridad de los datos personales objeto de
tratamiento ii) la ausencia de situaciones de pérdida de confidencialidad o integridad
de los datos personales tratados. Su incumplimiento, por el contrario, devendría de la
ausencia de medidas o incumplimiento de las adoptadas y de una pérdida de
confidencialidad de los datos objeto de tratamiento.

Cuando se produce una quiebra de la confidencialidad, el acceso no autorizado a
datos personales por un tercero supone que éstos puedan ser utilizados para usos no
conocidos, incluso fraudulentos, conllevando una pérdida total y absoluta de control
sobre los mismos. Esta pérdida de control sobre los propios datos personales se
traduce en una vulneración del derecho fundamental a la protección de datos
reconocido en el artículo 18. 4 de la Constitución Española, pues tal y como ha
indicado el Tribunal Constitucional (Sentencia 292/2000, de 30 de noviembre de 2000):
“el derecho fundamental a la protección de datos persigue garantizar a la persona un
poder de control sobre sus datos personales, sobre su uso y destino, con el propósito
de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado (…).

La garantía impuesta por el ordenamiento jurídico se logrará a través de la aplicación
de medidas técnicas u organizativas apropiadas, de todo tipo. No son
estrictamente o sólo medidas de seguridad. Diversas y múltiples son las medidas
técnicas y organizativas que no son de seguridad y que puede implementar el
responsable del tratamiento como cauce para garantizar este principio. En este
sentido, la Guía de la AEPD sobre “Gestión del riesgo y evaluación de impacto en
tratamientos de datos personales”, dispone que, “(…), hay que subrayar que abordar
los riesgos que pudiera entrañar un tratamiento de datos para los derechos y
libertades de las personas no puede limitarse a aplicar exclusivamente medidas de
seguridad. Por lo tanto, la gestión de los riesgos de seguridad es una más de las
actividades para la gestión de los riesgos para los derechos y libertades y se tiene que
supeditar a esta última. Además, desde el punto de vista del RGPD, las medidas de
mitigación han de estar orientadas a reducir el impacto y la probabilidad de que las
brechas de datos personales afecten al interesado”.

Si sólo se tuvieran en consideración en relación con el art. 5.1.f) del RGPD las
medidas de seguridad, sería tanto como simplificar la esencia del RGPD cuyo
cumplimiento no se limita a la implantación de medidas técnicas y organizativas de
seguridad; significaría, en nuestro caso, reducir la garantía exigida mediante el
principio de integridad y confidencialidad a su logro únicamente con medidas de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/75

seguridad. Por supuesto que las medidas técnicas u organizativas adecuadas a las
que hace mención el art. 5.1.f) del RGPD pueden ser medidas de seguridad, pero no
únicamente. Se puede producir una vulneración de este precepto, una pérdida de
confidencialidad o integridad, sin ausencia o deficiencia de las medidas de seguridad.

Esta exigencia legal configura una obligación de resultado, cuyo incumplimiento
determina una infracción de resultado. En tal sentido se pronuncia la SAN de 13 de
mayo de 2024, dictada en el Recurso 0002336/2021 (el subrayado es nuestro).

En base a ello se considera a tal entidad actora, en cuanto responsable del
tratamiento de datos, responsable de la comisión de la infracción del deber de
confidencialidad e integridad del artículo 5.1.f) del RGPD, habida cuenta del
resultado de dichas nueve reclamaciones, de las que se desprende que no
había garantizado una seguridad adecuada en tal tratamiento de los datos
personales, como se acredita a través del resultado que produjo la
suplantación de identidad. Y, en definitiva, que un tercero consiguió acceder a
los datos personales de los titulares de las líneas sin que las medidas de
seguridad que existían hubieran podido impedirlo. Constituyendo en definitiva
otra prueba de que las medidas de seguridad en el momento en que se
produjeron los hechos no eran las adecuadas, el hecho acreditado de que se
produjo un cambio en dichas medidas, tal y como se resalta en el hecho
probado décimo quinto en la resolución impugnada, conforme al cual: “VDF ha
llevado a cabo, posteriormente, medidas y desarrollado planes de acción para
prevenir el fraude de los duplicados de tarjeta SIM, que centra en cuatro líneas
de actuación (…)”. Por lo que Vodafone, en cuanto responsable de garantizar
la integridad y confidencialidad de los datos personales tratados, y constando
en definitiva, en los supuestos de los nueve casos denunciados, unas medidas
de seguridad insuficientes, ha de ser considerada responsable de la infracción
del artículo 5.1.f) del Reglamento (UE) 2016/679 que se le imputa.

El art. 5.1.f) del RGPD exige taxativamente que se garantice la confidencialidad y la
integridad, y requiere para su aplicación una pérdida de confidencialidad y/o de
integridad, esto es, un resultado.

En el presente caso, la ausencia de unas concretas medidas de seguridad que van
dirigidas específicamente a garantizar la confidencialidad, a saber, el cifrado y la
pseudonimización (o la anonimización) es lo que ha traído como consecuencia la
existencia de la brecha de confidencialidad de los datos personales. Si los datos
hubieran estado cifrados, anonimizados o pseudonimizados, los delincuentes sólo se
hubieran llevado información ininteligible.

Al contrario, se trata de que las medidas adoptadas debían tener en cuenta el riesgo,
en palabras de ALKORA “real y previsible” para los derechos y libertades de los
interesados al momento del tratamiento, y en este caso, las medidas implementadas
por ALKORA no eran adecuadas al riesgo para los derechos y libertades de los
interesados, lo cual desembocó en una pérdida de confidencialidad de tales datos.

El enfoque del RGPD es un enfoque proactivo, en el que se exige a los responsables
del tratamiento el análisis de los riesgos que entraña y a los que está expuesto el
tratamiento de datos personales que se realiza, a fin de implantar las medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/75

adecuadas en función de tales riesgos. También obliga a la evaluación continua de
tales riesgos, para poder supervisar y actualizar las medidas implantadas.

Ello implica que no se trata de evaluar únicamente las medidas a implantarse en un
determinado momento, ya sea previo o no a que dicho tratamiento tenga lugar, en
relación con el riesgo real y previsible para los derechos y libertades de los
interesados. Sino que se trata además de revisar continuamente esos riesgos, a fin de
adecuar en cada momento del tratamiento esas medidas.

El RGPD no establece un listado de las medidas que sean de aplicación de acuerdo
con los datos que son objeto de tratamiento, sino que establece que el responsable y
el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean
adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la
técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del
tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de
las personas interesadas.

En este sentido el considerando 83 del RGPD señala que:

“(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en
el presente Reglamento, el responsable o el encargado deben evaluar los riesgos
inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas
medidas deben garantizar un nivel de seguridad adecuado, incluida la
confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación
con respecto a los riesgos y la naturaleza de los datos personales que deban
protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben
tener en cuenta los riesgos que se derivan del tratamiento de los datos personales,
como la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales”.

De acuerdo con lo expresado en el Considerando 74 del RGPD, al responsable del
tratamiento corresponde poder demostrar que las medidas adoptadas son eficaces:

“Debe quedar establecida la responsabilidad del responsable del tratamiento por
cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En
particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y
ha de poder demostrar la conformidad de las actividades de tratamiento con el
presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el
riesgo para los derechos y libertades de las personas físicas”.

Estas medidas técnicas y organizativas se incluyen como parte del principio de
responsabilidad activa, que exige una previa valoración por el responsable el
tratamiento del riesgo que pudiera generar el tratamiento de los datos personales, a
partir de la cual se adoptarán las medidas que procedan.

Con el RGPD se busca la anticipación a la infracción o lesión de derechos para
evitarla. Este enfoque proactivo en la “implementación permanente” de las medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/75

implantadas implica que las mismas no son estáticas, sino dinámicas,
correspondiendo al responsable de tratamiento determinar en cada momento cuáles
son las medidas necesarias para garantizar la confidencialidad, la integridad y la
disponibilidad de los datos personales y mitigar o eliminar los riesgos para los
derechos de las personas. El primer paso es llevar a cabo un “análisis de riesgos” para
evaluar las amenazas.

Es el responsable o encargado del tratamiento el que deberá acreditar dicha diligencia
con un sistema de control interno sólido y eficaz. Por ello, no será suficiente la mera
demostración formal de cumplimiento, sino que este principio exige una actitud previa,
consciente, diligente y proactiva por parte de las organizaciones frente a todos los
tratamientos de datos personales que lleven a cabo.

La adopción de estas medidas, o el modo en que se apliquen, dependerá de factores
que habrá que tener en cuenta en cada caso, como el tipo de tratamiento y el riesgo
que dicho tratamiento implica para los derechos y libertades de los interesados. En
consecuencia, la diligencia debida debe adecuarse al nivel de riesgos en la protección
de los datos y las características de la organización.

Se puede definir el concepto de diligencia debida como “la medida de prudencia,
actividad o asiduidad que cabe razonablemente esperar, y con la que normalmente
actúa, una organización prudente y razonablemente en unas circunstancias
determinadas; no se mide por una norma absoluta, sino dependiendo de los hechos
relativos del caso en cuestión”. Por ello, la diligencia debida es un proceso en continua
observación y prevención de los efectos negativos de las actividades de las entidades
sobre la protección de datos.

En el presente caso, al momento de la firma del acuerdo de inicio del presente
procedimiento sancionador, no constaba que ALKORA hubiera actuado teniendo en
cuenta una actitud proactiva frente a los posibles riesgos y libertades del tratamiento
para los interesados.

El 17 de octubre de 2025 presentó ALKORA ante esta Agencia un informe pericial de
fecha 15 de octubre de 2025, en el que, luego de analizar el estado de los sistemas
previo al incidente y el informe de auditoría tras el incidente, concluye con la idoneidad
de las medidas adoptadas con carácter previo al incidente.

A este respecto, destaca que ALKORA, mediante un informe de parte y meses
después de haberse producido el incidente pretenda desmontar la información
aportada por ella misma, tanto en las notificaciones de la brecha realizadas a la AEPD
como en los diversos informes técnicos aportados en el curso de las actuaciones
previas de investigación desarrolladas. Llama la atención, asimismo, que, en escrito de
alegaciones presentados al acuerdo de inicio, ALKORA indique que contaba con
mecanismos de control de acceso, segmentación de redes, políticas de contraseñas
robustas, protocolos de monitorización de accesos y un plan de contingencia activado
de forma inmediata tras la detección del incidente. Todo ello permitió que la brecha de
seguridad fuese detectada y contenida con rapidez.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/75

Con relación a este argumento, recordemos la información aportada por ALKORA, que
consta en el expediente y que figura en los Hechos Probados de la presente
Propuesta de Resolución:
- Sobre el comienzo de la brecha y su detección:

(…)

 Posteriormente, se inician las acciones de reconocimiento para
recopilar información sobre los administradores de dominio, poder
elevar sus privilegios de usuario y desplazarse por el resto del sistema:
“(…)".

También indica que a lo largo de los siguientes tres días tuvieron lugar:

- elevación de privilegios
- acceso a la cuenta de administración local (…)
***SERVIDOR.1, con la que se obtienen los máximos privilegios
en el sistema
- instalación y ejecución del programa ***PROGRAMA.1,
a pesar del bloqueo en dos ocasiones por parte del
***PROGRAMA.2; el atacante logra camuflarse y evitar nuevos
bloqueos por parte del antivirus
- instalación del programa ***PROGRAMA.3
- exfiltración de datos
- cifrado de los servidores y de los puestos de trabajo

En definitiva, la brecha comienza el 16 de abril, con el acceso al servidor y realiza
durante tres días acciones de reconocimiento, de elevación de privilegios, de acceso a
la cuenta de administración local- con los máximos privilegios- la instalación del
programa maliciosos- ***PROGRAMA.1- evita los bloqueos del antivirus, instala el
programa ***PROGRAMA.3, exflitra datos y los cifra. Todo ello, sin que ALKORA
detecte esta actividad maliciosa hasta el día 21 de abril, 5 días después.

- Sobre la segmentación de redes, recordar que el informe forense también
indica:

“Los atacantes han podido desplazarse libremente por la infraestructura de
ALKORA (…).”

“El ransomware es desplegado de forma manual en ***SERVIDOR.1 y de
manera automática en los puestos de trabajo (…)”

Según dicho informe forense:

“El análisis de los desplazamientos laterales durante el periodo del ataque
ha demostrado que los atacantes tenían la capacidad de circular
libremente por la totalidad del sistema de información comprometiendo
cuentas privilegiadas como los administradores de dominio.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/75

Asimismo, ALKORA, preguntada sobre el nivel de segmentación de la red
((...)), manifiesta en su escrito de 23 de diciembre de 2024 que:

(…)

- Sobre la política de contraseñas, que ALKORA califica de robustas
recordemos que ALKORA también proporciona como Anexo V b de su escrito
de 9 de julio de 2024 un informe de auditoría “pentesting” (prueba de
penetración en su sistema informático), Versión 1.0 de 9 de julio de 2024
según el cual:

“La auditoría de seguridad reveló una serie de vulnerabilidades y debilidades
que, cuando se explotaron conjuntamente, habría permitido que todo el
dominio se viera comprometido al obtener privilegios de administrador de
dominio, con acceso únicamente a la red interna”).

El apartado 3.4 de ese Anexo V b (auditoría de las contraseñas) indicaba que
(…).

- Sobre la monitorización de los accesos, recordemos que, en cuanto a las
circunstancias previas al ataque y que pudieron estar relacionadas con el éxito
del mismo, ALKORA señala lo siguiente:

 (…)

Es decir, medidas básicas como autenticación multifactor, protección de los
controles de acceso o actualización de los antivirus, fueron medidas que se
realizaron con posterioridad al ataque.

Finalmente, en cuanto a la materialización de la pérdida de confidencialidad,
simplemente recordar que en las notificaciones de la brecha de datos personales
notificadas a esta Agencia el 22 de abril y 17 de mayo de 2023, ALKORA manifestó:

- haber sufrido una brecha de confidencialidad, disponibilidad e integridad a causa
de un ataque informático;
- que en la actividad afectada se trataban datos de unas 25.000 personas, entre
las que hay menores de edad;
- que los datos no estaban cifrados.

Posteriormente, en su escrito de 9 de julio de 2024, ALKORA elevó a 40.000 el número
aproximado de afectados.

Es relevante también destacar que, según el informe forense aportado por ALKORA:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/75

“La integridad y la disponibilidad de la totalidad de los sistemas y servicios ha sido
impactada”.

A ello cabe añadir que, en el informe de auditoría “pentesting” (prueba de penetración
en su sistema informático), de 9 de julio de 2024, es decir, posterior a la brecha, se
destacan ocho vulnerabilidades de nivel “alto”:

- (…)

Y 10 vulnerabilidades de nivel “medio”:

- (…)

Por último, indica ALKORA que hasta la fecha no se ha producido un daño efectivo a
los derechos y libertades de los interesados y la mejor prueba de ello es que en la
única reclamación recibida ni se prueba, ni siquiera se alega haber sufrido daño
alguno como consecuencia de la brecha de seguridad.

Al respecto, esta Agencia desea señalar que el hecho de que ALKORA desconozca si
se produjo un daño efectivo a los derechos y libertades de los interesados no es
sinónimo de que no se hubiera producido daño alguno. En cualquier caso, el hecho de
que no se tuviera constancia de que se hubiese producido daño alguno es una de las
circunstancias que esta autoridad ha tenido en cuenta a la hora de graduar la sanción
propuesta, en virtud de los dispuesto por el artículo 83.2 del RGPD.

Asimismo, no cabe más que recordar lo señalado por el Tribunal Constitucional en su
STC 292/2000 en el sentido de que “el derecho fundamental a la protección de datos
persigue garantizar a esa persona un poder de control sobre sus datos personales,
sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la
dignidad y derecho del afectado.(…) El derecho a la protección de datos garantiza a
los individuos un poder de disposición sobre esos datos así como que el contenido del
derecho fundamental a la protección de datos consiste en un poder de disposición y
de control sobre los datos personales que faculta a la persona para decidir cuáles de
esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede
este tercero recabar, y que también permite al individuo saber quién posee esos datos
personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de
disposición y control sobre los datos personales, que constituyen parte del contenido
del derecho fundamental a la protección de datos se concretan jurídicamente en la
facultad de consentir la recogida, la obtención y el acceso a los datos personales, su
posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un
tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el
tratamiento, informático o no, de los datos personales, requiere como complementos
indispensables, por un lado, la facultad de saber en todo momento quién dispone de
esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder
oponerse a esa posesión y usos.(…)

Así, este poder de control respecto de los propios datos desparece cuando la
confidencialidad de los datos objeto de tratamiento se ve vulnerada, como ha ocurrido
en este caso.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/75

Destacable es también la STJUE de 4 de septiembre de 2023, dictada en el asunto C-
655/23, que determina que "60 En particular, el Tribunal de Justicia ha subrayado que
de la lista ilustrativa de los «daños» o los «perjuicios» que pueden sufrir los
interesados que figura en el considerando 85, primera frase, del RGPD se desprende
que el legislador de la Unión quiso incluir en estos dos conceptos, en particular, la
mera «pérdida de control» sobre los propios datos personales de esos interesados
como consecuencia de una infracción de dicho Reglamento, aun cuando no se haya
producido concretamente un uso indebido de los datos en cuestión. Tal pérdida de
control puede bastar para causar «daños y perjuicios inmateriales», en el sentido del
artículo 82, apartado 1, de dicho Reglamento, siempre que ese interesado demuestre
que ha sufrido efectivamente tales daños y perjuicios, por mínimos que sean, sin que
ese concepto de «daños y perjuicios inmateriales» requiera la demostración de la
existencia de consecuencias negativas tangibles adicionales (véase, en este sentido,
la sentencia de 4 de octubre de 2024, Agentsia po vpisvaniyata, C 200/23,
EU:C:2024:827, apartados 145, 150 y 156 y jurisprudencia citada)". (el subrayado es
nuestro).

Por lo tanto, de lo anterior se desprende que el perjuicio a los interesados en su
derecho a la protección de datos personales reside en la propia pérdida de control
respecto de esos datos; una pérdida de control que, de forma indefectible se da
cuando se produce una pérdida de confidencialidad de sus datos personales a través
del acceso a los mismos por parte de terceros no autorizados.

Por todo lo anterior, se desestima la alegación aducida.

SEGUNDA. Sobre la no exigibilidad de evaluación de impacto (art. 35 RGPD)

ALKORA adjunta como Documento nº 1 de su escrito de alegaciones al acuerdo de
inicio del presente procedimiento, el informe emitido por ***EMPRESA.2, de fecha 11
de diciembre de 2023 en cuyas conclusiones se indicaba que:

- “Tras una valoración completa de los factores concurrentes en las actividades de
tratamiento de Alkora, se concluye que no concurren en este caso los supuestos que
hacen obligatoria la realización de una Evaluación de Impacto en Protección de
Datos.”

Indica que a esa conclusión se llegó por el hecho de que el mero tratamiento de todos
esos datos no activa automáticamente la obligación de EIPD cuando, como sucedía en
este caso, se trataba de un tratamiento residual y vinculado a finalidades muy
determinadas que por sí mismas no constituían un riesgo alto para los intereses y
derechos de los afectados.

Al respecto, esta Agencia desea expresar su desacuerdo con la anterior afirmación. En
el presente caso, no se trata de que ALKORA debiera realizar una EIPD por un
tratamiento residual vinculado a finalidades muy determinadas, sino que esta Agencia
considera que, debido a su actividad habitual, ALKORA realizaba un tratamiento que,
en su conjunto, supone un alto riesgo para los derechos y libertades de los
interesados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/75

Señala ALKORA que la decisión de no adoptar una EIPD se basó en las siguientes
consideraciones:

- El tratamiento de datos de salud y datos de menores en el contexto de la gestión de
siniestros por parte de ALKORA es residual, accesorio y limitado a situaciones muy
concretas, en las que dicha información es necesaria para tramitar una reclamación en
interés del asegurado o beneficiario. No se trata de un tratamiento masivo, sistemático,
ni central al núcleo de actividad empresarial de la entidad, que no realiza tratamiento
alguno a gran escala de dichos datos, ni lleva a cabo una monitorización sistemática
de interesados, ni desarrolla procesos de elaboración de perfiles o toma de decisiones
automatizadas que afecten a los derechos y libertades de las personas físicas. El
tratamiento no responde a un enfoque intensivo, ni masivo, ni persistente, sino que
está estrictamente limitado a los supuestos en los que el propio interesado ha sufrido
un daño personal o se ha visto afectado un menor, y se requiere dicha información
para reclamar la indemnización correspondiente ante la entidad aseguradora. En este
sentido, la actividad de la correduría se enmarca en la función de mediación de
seguros, sin que el tratamiento de datos sensibles forme parte del núcleo de su
actividad empresarial, tal y como exige el Comité Europeo de Protección de Datos
(CEPD) para considerar que concurre un supuesto de alto riesgo que obligue a realizar
una EIPD.

Al respecto, esta Agencia desea señalar que el artículo 35 del RGPD no exige que
deba adoptarse una EIPD únicamente en los casos en que exista un tratamiento
masivo ni monitorización sistemática, ni perfilado ni decisiones automatizadas, ni nada
por el estilo. Tampoco esta Agencia considera que ALKORA realice estos tratamientos.

No obstante, esta Agencia desea recordar que el artículo 35 RGPD obliga a adoptar
una EIPD cuando el tratamiento de datos personales pueda entrañar un alto riesgo
para los derechos y libertades de los interesados, como en el presente caso, en que
se tratan datos de menores afectados por un siniestro, datos biométricos de los
empleados y datos de salud, económicos, financieros y número de cuenta bancaria de
clientes, entre otros, incluidos datos que no se pueden cambiar (como el número de
DNI o NIF, fecha de nacimiento) o muy difíciles de cambiar (domicilio), todos ellos
datos que, combinados, pueden implicar un alto riesgo para los interesados si se
vieran comprometidos.

- Indica ALKORA que, de acuerdo con las Directrices del Grupo de Trabajo del Artículo
29 (ahora CEPD) sobre Evaluaciones de Impacto (WP248 rev.01), la obligatoriedad de
una EIPD surge cuando concurren varios factores de riesgo de forma acumulativa: no
basta con que se traten categorías especiales de datos si este tratamiento no se hace
a gran escala ni de forma sistemática. La residualidad y excepcionalidad del
tratamiento en este caso excluye la concurrencia de un “alto riesgo” para los derechos
y libertades de los interesados.

Al respecto, esta Agencia se reitera en que el artículo 35 del RGPD no exige que deba
adoptarse una EIPD únicamente en los casos en que exista un tratamiento masivo ni
monitorización sistemática, ni perfilado ni decisiones automatizadas, ni nada por el
estilo. Ni tampoco considera que ALKORA realice estos tratamientos. Tampoco se trata
de que ALKORA debiera realizar una EIPD por un tratamiento residual vinculado a
finalidades muy determinadas, sino que esta Agencia considera que, debido a su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/75

actividad habitual, ALKORA realizaba un tratamiento que, en su conjunto, supone un
alto riesgo para los derechos y libertades de los interesados.

El artículo 35 RGPD obliga a adoptar una EIPD cuando el tratamiento de datos
personales pueda entrañar un alto riesgo para los derechos y libertades de los
interesados, como en el presente caso, en que se tratan datos de menores afectados
por un siniestro, datos biométricos de los empleados y datos de salud, económicos,
financieros y número de cuenta bancaria de clientes, entre otros, incluidos datos que
no se pueden cambiar (como el número de DNI o NIF, fecha de nacimiento) o muy
difíciles de cambiar (domicilio), todos ellos datos que, combinados, pueden implicar un
alto riesgo para los interesados si se vieran comprometidos.

En concreto, alega ALKORA que el citado WP248 enumera nueve criterios “Con el fin
de ofrecer un conjunto más concreto de operaciones de tratamiento que requieran una
EIPD debido a su inherente alto riesgo, teniendo en cuenta los elementos particulares
del artículo 35, apartado 1, y del artículo 35, apartado 3, letras a) a c), la lista que debe
adoptarse a nivel nacional en virtud del artículo 35, apartado 4, y los considerandos
71, 75 y 91, y otras referencias del RGPD a operaciones de tratamiento que
«probablemente entrañen un alto riesgo»”, ninguno de los cuales resultan aplicables al
caso de ALKORA.

Al respecto, esta Agencia desea señalar que el citado listado hace referencia a
actividades que probablemente entrañen un alto riesgo, pero de ninguna manera se
trata de un listado cerrado.

Además, entre las circunstancias listadas se encuentran “4. Datos sensibles o datos
muy personales: esto incluye las categorías especiales de datos personales definidas
en el artículo 9 (por ejemplo, información sobre las opiniones políticas de las
personas), así como datos personales relativos a condenas e infracciones penales
según la definición del artículo 10” y “ 6. Asociación o combinación de conjuntos de
datos, por ejemplo, procedentes de dos o más operaciones de tratamiento de datos
realizadas para distintos fines o por responsables del tratamiento distintos de una
manera que exceda las expectativas razonables del interesado”, circunstancias ambas
que tienen lugar en el presente caso, como se ha expuesto.

En cualquier caso, el artículo 35 RGPD obliga a adoptar una EIPD cuando el
tratamiento de datos personales pueda entrañar un alto riesgo para los derechos y
libertades de los interesados, como en el presente caso, en que se tratan datos de
menores afectados por un siniestro, datos biométricos de los empleados y datos de
salud, económicos, financieros y número de cuenta bancaria de clientes, entre otros,
incluidos datos que no se pueden cambiar (como el número de DNI o NIF, fecha de
nacimiento) o muy difíciles de cambiar (domicilio), todos ellos datos que, combinados,
pueden implicar un alto riesgo para los interesados si se vieran comprometidos.

- Señala ALKORA que trata los datos de los asegurados y de los beneficiarios de las
pólizas de acuerdo con las obligaciones que le son legal y contractualmente exigibles
como intermediario de los seguros. No los utiliza para ninguna finalidad distinta al
estricto cumplimiento de las obligaciones que tiene legalmente atribuidas como
distribuidor de seguros. Y que no es casual que, al contrario de lo que sucede con las
compañías de seguros, las corredurías no tengan obligación de designar un DPO.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/75

Esto tiene que ver con la evidente limitación de la finalidad de los tratamientos que
llevan a cabo.

Al respecto, esta Agencia desea señalar que no considera que ALKORA no trate los
datos personales para una finalidad distinta a la prestación de servicios como
compañía de seguros, pero sí considera que el hecho de que no se imponga a tales
empresas la obligación de designar un DPO nada tiene que ver con la posibilidad de
que el tratamiento de datos llevado a cabo por ALKORA no presente un alto riesgo
para los derechos y libertades de los interesados, lo cual debe ser analizado para cada
caso concreto en virtud del artículo 35 del RGPD.

- Alega ALKORA que se han adoptado medidas técnicas y organizativas adecuadas,
proporcionales al riesgo, incluyendo:
o (…)

Y que estas medidas reducen significativamente el nivel de riesgo potencial que podría
derivarse del tratamiento, hasta un umbral en el que no resulta exigible la realización
de una EIPD conforme al artículo 35 del RGPD.

Esta Agencia valora positivamente la adopción de tales medidas, pero considera que
aun contando con estas medidas, el riesgo para los derechos y libertades de los
interesados sigue siendo alto, teniendo en cuenta que ALKORA realiza el tratamiento
de datos de menores afectados por un siniestro, datos biométricos de los empleados y
datos de salud, económicos, financieros y número de cuenta bancaria de clientes,
entre otros, incluidos datos que no se pueden cambiar (como el número de DNI o NIF,
fecha de nacimiento) o muy difíciles de cambiar (domicilio), todos ellos datos que,
combinados, pueden implicar un alto riesgo para los interesados si se vieran
comprometidos.

- Cita ALKORA la lista que publicó la AEPD de tratamientos que requieren una EIPD. E
indica que el tratamiento descrito no se encuentra incluido en dicha lista, ni en la lista
positiva ni negativa del CEPD, lo que refuerza la conclusión de que no existe una
obligación legal per se de realizar la evaluación.

Al respecto, esta Agencia desea señalar que tal listado no es un listado cerrado ni
taxativo. Y se reitera en que el artículo 35 RGPD obliga a adoptar una EIPD cuando el
tratamiento de datos personales pueda entrañar un alto riesgo para los derechos y
libertades de los interesados, como en el presente caso, en que se tratan datos de
menores afectados por un siniestro, datos biométricos de los empleados y datos de
salud, económicos, financieros y número de cuenta bancaria de clientes, entre otros,
incluidos datos que no se pueden cambiar (como el número de DNI o NIF, fecha de
nacimiento) o muy difíciles de cambiar (domicilio), todos ellos datos que, combinados,
pueden implicar un alto riesgo para los interesados si se vieran comprometidos

Por último, alega ALKORA que, aunque finalmente y de manera motivada se optase
por no realizar una evaluación de impacto a las actividades de tratamiento, sí que se
realizó un análisis de los principales riesgos que de dichas actividades de tratamiento
se podían derivar. Y que, si bien se valoró inicialmente la conveniencia de realizar una
EIPD, el análisis exhaustivo del contexto, naturaleza y alcance del tratamiento condujo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/75

a determinar que no concurrían las condiciones exigidas por el artículo 35 del RGPD
para su obligatoriedad.

Al respecto, esta Agencia desea señalar que, si bien la empresa realizó un análisis de
los posibles riesgos, considera que dicho análisis no ha sido adecuado, toda vez que
en el presente caso se tratan datos de menores afectados por un siniestro, datos
biométricos de los empleados y datos de salud, económicos, financieros y número de
cuenta bancaria de clientes, entre otros, incluidos datos que no se pueden cambiar
(como el número de DNI o NIF, fecha de nacimiento) o muy difíciles de cambiar
(domicilio), todos ellos datos que, combinados, pueden implicar un alto riesgo para los
interesados si se vieran comprometidos.

Por todo lo expuesto, se desestima la presente alegación.

TERCERA. Sobre la inexistencia de culpabilidad y aplicación del principio de
proporcionalidad.

Alega ALKORA que aun en el hipotético caso de que se considerara que ha existido
una deficiencia formal en las medidas de seguridad o en la evaluación de riesgos, ello
no podría considerarse como una infracción grave, sino, en su caso, como una
actuación que debe reconducirse a través de medidas de mejora o apercibimiento, en
línea con el principio de proporcionalidad y con base en el artículo 58.2 b) del RGPD. Y
que ha demostrado en todo momento cooperación activa con esta Agencia y voluntad
de mejora continua en materia de protección de datos.

Al respecto, esta Agencia desea señalar que no contar con medidas adecuadas al
riesgo que garanticen la confidencialidad de los datos objeto de tratamiento así como
con una evaluación de impacto cuando el tratamiento que se realiza puede entrañar un
alto riesgo para los derechos y libertades de los interesados, es una infracción grave a
efectos del RGPD, por lo que corresponde la imposición de una multa, en su caso. Por
lo que se desestima la presente alegación.

IV
Obligación incumplida. Integridad y confidencialidad

La letra f) del artículo 5.1 del RGPD propugna:

"1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»)."

El principio de confidencialidad recogido en citado artículo 5.1 f) del RGPD, obliga a
los responsables del tratamiento a garantizar que los datos personales sean tratados
de forma que se garantice la confidencialidad de los datos personales, evitando
accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Ello
exige implementar medidas técnicas y organizativas apropiadas de todo tipo para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/75

proteger los datos frente a posibles brechas de datos personales, tanto externas como
internas. Dichas medidas deben ser adecuadas para evitar que se materialicen los
riesgos en los derechos y libertades de las personas físicas que puedan derivarse del
tratamiento, y deben ser revisadas y actualizadas periódicamente para garantizar su
eficacia.

En el presente caso, como Anexo I de su escrito de 9 de julio de 2024 de respuesta a
requerimiento de esta Agencia, ALKORA aportó el informe forense realizado por la
empresa ***EMPRESA.1, Versión V 1.0 de 03/05/2023, sin firmar, en el que se
indicaba que debido al cifrado de la información de los servidores “El método de
intrusión, así como el punto de entrada, quedan indeterminados”, que “El cifrado de la
totalidad de los servidores ha limitado la capacidad de análisis impidiendo así la
obtención de la prueba de la intrusión inicial”, y que algunas deficiencias del sistema
han limitado la capacidad de investigación del análisis forense:

“Varios factores han participado a la limitación de la capacidad de investigación del
equipo ***EMPRESA.1:
 (…)

No obstante, con ocasión de la investigación realizada por esta Agencia a raíz de la
citada brecha sufrida por ALKORA en abril de 2023, se tuvo conocimiento de las
medidas de seguridad que la empresa tenía adoptadas antes y después de la brecha.

En su escrito de 14 de febrero de 2024, de respuesta al traslado de la reclamación,
ALKORA señaló una serie de medidas de seguridad implementadas con anterioridad
al incidente, para proteger la confidencialidad, integridad y disponibilidad de los datos
personales de su titularidad. También en ese escrito indicó que, como consecuencia
del incidente, habían sido adoptadas otras medidas de seguridad y que se encontraba
en proceso de reforzar la seguridad de sus sistemas con la implantación de medidas
de seguridad adicionales.

Como Anexo V de su escrito de 9 de julio de 2024 (págs. 131 a 221 del documento
con todos los anexos), ALKORA aportó un informe de auditoría interna de sus
sistemas de información, sin firmar, versión v0.04 de 20 de febrero de 2022 (anterior a
la brecha). La tabla de evaluación del riesgo de los servicios de TI de ese informe,
pág. 194, indicaba un riesgo “Extremo” (marcado en color rojo) para los sistemas de
información y portales web frente a delitos informáticos. Es decir, ALKORA era
consciente de que el riesgo de sufrir un ataque informático era extremo.

No obstante, se desprende de ese informe que ALKORA:

- Debido a (…).
- Confiaba en la protección (…).
- No consideraba una fuente de riesgo (…).
- Consideraba suficiente (…).
- Creaba servidores virtuales (…).
- Consideraba que el antivirus instalado (…).
- Consideraba que las soluciones adoptadas (…) eran adecuadas: “(…)”
- Consideraba que no podían aplicar mejoras significativas en (…).”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/75

- Disponía de un servicio de (…) que, según se desprende del informe forense
(Anexo I del escrito de ALKORA de 9 de julio de 2024), no fue eficaz.

En el informe de auditoría interna de febrero de 2022, aportado como Anexo V del
escrito de ALKORA de 9 de julio de 2024 (pág. 167 del documento con todos los
anexos), se indicaba:

(…)

Además, el informe forense recomendaba la adopción de otras veintidós medidas, que
califica como de prioridades “Media” y “Baja”.

El apartado 3.4 de ese Anexo V b (auditoría de las contraseñas) indicaba que (...)

La citada auditoría destacaba ocho vulnerabilidades de nivel “alto”:

- (…)

Y 10 vulnerabilidades de nivel “medio”:

- (…)

En el informe de auditoría interna aportado como Anexo V b del escrito de ALKORA de
9 de julio de 2024 se destacaban algunas de las medidas reactivas adoptadas por
ALKORA tras la brecha:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/75

- (…)

ALKORA también aportó como Anexo V c de su escrito de 9 de julio de 2024 (págs.
319 a 324 del documento con todos los anexos) un informe interno de resolución de
incidencias tras la prueba de penetración, sin firmar, Versión 1.0 de 9 de julio de 2024,
en el que manifestaba (…).

En cuanto a las actividades de formación, ALKORA aporta un informe de auditoría
interna de sus sistemas de información como Anexo V a de su escrito de 9 de julio de
2024 (págs. 131 a 221 del documento con todos los anexos), anterior a la brecha, que
indicaba que no impartía formación sobre ciberseguridad de modo generalizado, sino
solo a los empleados que lo solicitaran, y que lo hacía así debido a la confianza en el
antivirus. Si bien ALKORA ha proporcionado (págs. 30 a 32 de su escrito de 9 de julio
de 2024) referencia a la documentación aportada en el Anexo VII de tal escrito,
relacionada con las acciones formativas que incluían materias sobre protección de
datos personales.

Adicionalmente, ALKORA proporcionó, desde el Anexo VII g hasta el Anexo VII r de su
escrito de 9 de julio de 2024 (págs. 431 a 465 del documento con todos los anexos),
copia de varios correos, que manifiesta fueron difundidos por el departamento de IT al
personal de ALKORA, con contenido de concienciación en ciber-seguridad, incluyendo
uno de aviso de intento de phishing detectados en la entidad en las semanas
anteriores a la brecha.

Por último, en sus anexos al escrito de 9 de julio de 2024, ALKORA proporcionó
documentación sobre la adopción o modificación de medidas organizativas tras la
brecha:

De todo lo expuesto, se extrae que con anterioridad a la brecha en cuestión ALKORA
contaba con una serie de medidas que en su auditoría interna de 2022 se consideró
eran suficientes, pese a que se ha demostrado que no lo eran y así se ha reflejado en
los informes externos que se han realizado con posterioridad al incidente en cuestión,
todo lo cual ha provocado una pérdida de confidencialidad y disponibilidad de los datos
personales que ALKORA trataba como responsable del tratamiento.

Lo anterior no queda desvirtuado por la información que aporta ahora ALKORA
mediante informe con registro de entrada el 17 de octubre de 2025, una vez iniciado el
presente procedimiento sancionador:

- Contraseñas.
o Durante las actuaciones previas de investigación se ha obtenido la
siguiente información: “ALKORA también proporciona (…) un informe
de auditoría “pentesting” (prueba de penetración en su sistema
informático), de abril de 2024. La prueba de penetración, llevada a cabo
por ***SISTEMA.1, revela la existencia de vulnerabilidades previas, la
mayoría de ellas con origen en la configuración por defecto, que
explotadas conjuntamente permitirían que todo el dominio se viera
comprometido al obtener privilegios de administrador, así como un bajo
nivel de seguridad interna.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/75

El apartado 3.4 de ese Anexo V b (auditoría de las contraseñas) indica
que la empresa auditora logró desvelar el 54% de las contraseñas de
cuentas activas, entre las que destacan 2 cuentas de administrador de
dominio. Muchas de las contraseñas desveladas eran básicas y fáciles
de adivinar, presentando algunos usuarios contraseñas similares o
incluso idénticas”

Así como que: “La auditoría destacaba 8 vulnerabilidades de nivel
“alto”: (…) (…).

El informe ahora aportado señala lo siguiente: “Dentro de la estrategia
de seguridad, el sistema a fecha de noviembre de 2022 presenta los
siguientes puntos: Contraseñas seguras. Se establecen contraseñas
seguras de usuario dentro del dominio. Estas contraseñas actualmente
se encuentran establecidas a 8 caracteres con un número y un carácter
especial. Si bien la longitud de la clave puede parecer no ser la idónea,
el obligar a añadir un número y carácter especial y tenerlas vinculadas
dentro del dominio hacen que la seguridad sea correcta”.

Ello no desvirtúa los hechos conocidos durante las actuaciones previas.

- Equipos siempre actualizados.
o De acuerdo con las actuaciones previas de investigación: “Medidas
técnicas de seguridad previas a la brecha: ALKORA aporta (…) un
informe de auditoría interna de sus sistemas de información, de
noviembre de 2022 (anterior a la brecha). La tabla de evaluación del
riesgo de los servicios de TI de ese informe, pág. 194 de [10], indica un
riesgo “Extremo” (marcado en color rojo) para los sistemas de
información y portales web frente a delitos informáticos. (…) No
consideraba una fuente de riesgo (…).

Según el informe ahora aportado por ALKORA: “Los equipos se
mantienen constantemente actualizados gracias al ***SERVIDOR.2 de
la infraestructura de Alkora. Es clave la seguridad de los sistemas.
***SERVIDOR.2 (…). Es lo exigible para todas las empresas, pero esto
afecta única y exclusivamente a sistemas ***SISTEMA.2 (que además
permitan actualizar sus sistemas). Es una gran medida de seguridad.”

Ello no refuta lo constatado en las actuaciones desarrolladas. Aunque la
auditoría de 2022 sostenga la constante actualización de los equipos
“gracias al ***SERVIDOR.2”, ALKORA no justifica la existencia de
equipos con sistemas operativos anticuados, ni la existencia de
servidores virtuales sin restricciones de seguridad (…), máxime cuando
el riesgo de compromiso de las credenciales era alto.

- Antivirus:
o Según las actuaciones previas de investigación: “Medidas técnicas de
seguridad previas a la brecha: (…) Se desprende de ese informe (…)
Debido a (…) (…)”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

53/75

También. “ese informe de auditoría interna (…) indica: (…) (…).

Así como: “el informe forense realizado por la empresa ***EMPRESA.1
(…) (…).

En el informe ahora aportado solamente se dice: “Se cuenta con un
potente antivirus (…) Es algo deseable y necesario en todas las
empresas, pero que lamentablemente no interfiere para detectar
ataques como el sufrido.”

De nuevo, ALKORA no proporciona justificación a la deficiencia de esta
medida de seguridad en el momento de la brecha, tan básica como las
anteriores.

- Firewall perimetral:
o Según las actuaciones previas de investigación, de acuerdo con el
informe que aporta: “Alkora (…) Confiaba en la protección (…) y no
disponían de (…).”
o De acuerdo con el informe forense ahora aportado: “Se cuenta con un
firewall perimetral (…) una de las partes más importantes y la mejor
medida de seguridad a adoptar por la empresa”
o Pero no se proporciona ninguna información sobre ese software.
¿Fecha de instalación? ¿Proveedor? ¿Características técnicas? ¿Es
propio, o sigue siendo un servicio de terceros (igual sigue en manos de
su ISP, como anteriormente)? No es información que pueda
considerarse que desvirtúa lo constatado.

- Encriptación de datos:
o Según el informe aportado: “Las bbdd de todas las aplicaciones
cuentan con todas las contraseñas de acceso encriptadas para impedir
el acceso indeseado por terceros (…).”

Que se afirme que las contraseñas de las aplicaciones están
encriptadas ahora no acredita que lo estuvieran en su momento pero,
sobre todo, no acredita que la información de las bases de datos
estuviera cifrada.

o Y ello sin perjuicio de que en las notificaciones de la brecha ALKORA
indicó inicialmente que los datos no estaban cifrados. También en
informe de ALKORA: “El cifrado de los servidores impacta directamente
la integridad y la disponibilidad de los sistemas y aplicaciones de la
empresa. Por otro lado, la exfiltración de datos impacta la
confidencialidad de los documentos sensibles de la empresa, así como
los datos personales de los clientes. (…) La integridad y la
disponibilidad de la totalidad de los sistemas y servicios ha sido
impactada”.

ALKORA no acredita de ningún modo, ni proporciona detalle, sobre la
encriptación de la información en el momento de la brecha, que
contradiga lo acreditado en las actuaciones previas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

54/75

Es decir, ALKORA no acredita en ningún momento que los datos
estuvieran cifrados, y por tanto no acredita que los atacantes no
tuvieran acceso a los mismos.

El informe aportado en octubre de 2025 se refiere a una auditoría posterior de abril de
2024 (test de penetración) respecto de lo que dice lo siguiente:

- “Se externaliza una prueba de penetración en abril de 2024 para comprobar
que los sistemas son estables y se ha mejorado la seguridad. En este caso
aparecen 7 vulnerabilidades críticas, pero el sistema NO PRESENTA
NINGUNA VULNERABILIDAD CRÍTICA ante externos” y basa toda la
argumentación subsiguiente en que las vulnerabilidades son internas, y no
externas.

Así como que: “Lo anterior es importante. Es habitual que INTERNAMENTE al
existir un departamento TIC confiable puedan existir vulnerabilidades al ser
varios los usuarios que tienen acceso y credenciales altas (Dpto TIC), pero lo
importante es que se ha conseguido CERO vulnerabilidades críticas desde
ataques externos.”

No obstante, cabe señalar que, una vez que se ha entrado en el sistema, las
vulnerabilidades a tener en cuenta ya no son las externas sino las internas, que
como indicaban el informe forense y la prueba de penetración, eran
abundantes. Y no se acredita la protección externa ya que siguen con la misma
política de contraseñas débiles, equipos con SO obsoletos, firewall en manos
de su ISP, etc. De hecho, el informe forense indicaba que una vez dentro del
sistema los atacantes pudieron realizar movimientos laterales, cambiar
contraseñas, dar de alta usuarios, cifrar equipos, pasar desapercibidos al
antivirus, etc.

Precisamente, la ingeniería social facilita mucho la elusión de las medidas
externas, tras lo cual los atacantes experimentados se mueven a sus anchas
dentro del sistema gracias a las vulnerabilidades internas (7 altas y 10 medias),
que es precisamente lo que ocurrió en la brecha.

En definitiva, lo presentado ahora por ALKORA no invalida nada de lo constatado en
las actuaciones previas de investigación desarrolladas y que constituyen la base del
inicio del presente procedimiento sancionador, basado en la documentación aportada
por ellos mismos. Las medidas de seguridad eran claramente insuficientes y queda
constancia de que los atacantes tuvieron acceso a los datos personales objeto de
tratamiento ya que consiguieron cifrar los ficheros.

Por tanto, de conformidad con los hechos probados de los que se dispone en este
momento de propuesta de resolución de procedimiento sancionador, se considera que
los hechos conocidos son constitutivos de una infracción, imputable a ALKORA, por
vulneración del artículo 5.1.f) del RGPD del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

55/75

V
Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679."

VI
Propuesta de sanción por la infracción del artículo 5.1.f) del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

56/75

c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

En el presente caso, considerando la gravedad de las posibles infracciones,
atendiendo especialmente a las consecuencias que su comisión provoca en los
afectados, correspondería la imposición de multa.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

57/75

estos principios, se considera, con carácter previo, el volumen de negocio de ALKORA
(24.007.236 € euros en el año 2024).

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con los hechos probados de que se dispone en el presente momento de
propuesta de resolución de procedimiento sancionador, se considera que procede
graduar la sanción a imponer de acuerdo con las circunstancias siguientes,
contempladas en los preceptos antes citados.

Con carácter previo, se estima que concurren las circunstancias siguientes:

• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD): por no tener implantadas las
medidas de seguridad apropiadas al riesgo de que se produjera una brecha de
datos personales como la que ha tenido lugar en el presente caso, que involucró
datos personales como número de DNI o NIF, nombre y apellidos, dirección
postal o electrónica, teléfono, imagen, firma manual, número de la seguridad
social o mutualidad, datos de salud, estado civil, familia, fecha y lugar de
nacimiento, edad, sexo, nacionalidad, datos de vivienda y posesiones, datos
académicos y profesionales, información comercial, datos de empleo, datos
económicos, financieros y de seguro, y número de cuenta bancaria, de 40.000
personas (entre empleados, clientes y usuarios, proveedores y tomador,
asegurado y beneficiario de sus seguros).

También se tiene en cuenta a la hora de graduar la sanción el hecho de que se
tratan distintos datos personales de los interesados. El factor combinado de todos
esos distintos tipos de datos personales hace que las posibles consecuencias, el
impacto de la materialización del riesgo para los interesados, sean de mayor
consideración.

Y que al contar con tantos datos, algunos de los cuales no se pueden cambiar
(como número de DNI o NIF y fecha de nacimiento) o no tan fácilmente (como la
dirección postal), el riesgo para los derechos y libertades de los afectados y el
posible impacto que pueda haber sea aún mayor para ellos, amén de que una
posible pérdida de disposición y control de sus datos personales sea irreversible.

• La intencionalidad o negligencia en la infracción (artículo 83.2 b) del
RGPD): No se aprecia una especial negligencia o intencionalidad que sea
reseñable y que lleve a apreciar esta circunstancia de forma distinta a la neutra
conforme a lo señalado en las Directrices 04/2022.

• Las categorías de los datos de carácter personal afectados por la
infracción (artículo 83.2, letra g), del RGPD): en el presente caso, ALKORA trata
datos de salud del tomador, asegurado y beneficiario de sus seguros y datos
biométricos de sus empleados (huella). También trata datos económicos,
financieros y número de cuenta bancaria del tomador, asegurado y beneficiario
de sus seguros, todo lo cual, sin unas medidas de seguridad adecuadas
implicaba un mayor riesgo para los derechos y libertades del titular de los datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

58/75

Por último, ALKORA trata también el número de DNI o NIF. El identificador
numérico del DNI junto con el carácter de verificación correspondiente al número
de identificación fiscal identifica a una persona física de modo indubitado. Esta
cualidad lo convierte en un dato particularmente sensible pues, en la medida en
que su tratamiento no vaya acompañado de las medidas técnicas y organizativas
necesarias para garantizar que quien se identifica con él es realmente su titular,
un tercero puede suplantar la identidad de una persona física con total facilidad,
o, con otras palabras, puede provocar un fraude de identidad, con los riesgos que
ello comporta para la privacidad, el honor y el patrimonio del suplantado.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

• La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD):
ALKORA es una correduría de seguros con miles de clientes que, para
desempeñar su actividad, requiere un tratamiento continuo de datos personales.

• La afectación a los derechos de los menores (artículo 76.2, letra f), de la
LOPDGDD): según ha manifestado en su escrito de 9 de julio de 2024, ALKORA
trata datos de menores en la tramitación de expedientes de siniestros de
accidente en los que figuran nombre, apellidos, fecha de nacimiento e
información general sobre las circunstancias del accidente del menor. Y que en
los últimos cuatro años ALKORA había tramitado 75 de estos expedientes.

Igualmente, se consideran los siguientes factores de graduación en calidad de
atenuantes:

• Cualquier otro factor agravante o atenuante aplicable a las circunstancias
del caso, como los beneficios financieros obtenidos o las pérdidas evitadas,
directa o indirectamente, a través de la infracción” (artículo 83.2.k) del RGPD: la
valoración del comportamiento de ALKORA, en este caso, exige considerar las
acciones llevadas a cabo por dicha entidad dirigidas al cumplimiento de lo
establecido en el RGPD y LOPDGDD, en consideración al principio de mejora
continua.

Sin obviar que esa mejora continua es una obligación exigible a los responsables
del tratamiento, se estima oportuno considerar la actitud mostrada por ALKORA
que, a lo largo de las actuaciones, ha informado de la implantación de diversas
medidas destinadas al cumplimiento de la normativa de protección de datos.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f) del RGPD, permite proponer una sanción de multa administrativa de
150.000,00 euros

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

59/75

VII
Obligación incumplida. Evaluación de impacto relativa a la protección de datos

La evaluación de impacto relativa a la protección de datos se regula en el artículo 35
del RGPD en los siguientes términos:

"1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas
tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para
los derechos y libertades de las personas físicas, el responsable del tratamiento
realizará, antes del tratamiento, una evaluación del impacto de las operaciones de
tratamiento en la protección de datos personales. Una única evaluación podrá abordar
una serie de operaciones de tratamiento similares que entrañen altos riesgos
similares.

2. El responsable del tratamiento recabará el asesoramiento del delegado de
protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa
a la protección de datos.

3. La evaluación de impacto relativa a la protección de los datos a que se refiere el
apartado 1 se requerirá en particular en caso de:
a) evaluación sistemática y exhaustiva de aspectos personales de personas físicas
que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre
cuya base se tomen decisiones que produzcan efectos jurídicos para las personas
físicas o que les afecten significativamente de modo similar;
b) tratamiento a gran escala de las categorías especiales de datos a que se refiere el
artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones
penales a que se refiere el artículo 10, o
c) observación sistemática a gran escala de una zona de acceso público.

4. La autoridad de control establecerá y publicará una lista de los tipos de operaciones
de tratamiento que requieran una evaluación de impacto relativa a la protección de
datos de conformidad con el apartado 1. La autoridad de control comunicará esas
listas al Comité a que se refiere el artículo 68.

5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de
tratamiento que no requieren evaluaciones de impacto relativas a la protección de
datos. La autoridad de control comunicará esas listas al Comité.

6. Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de
control competente aplicará el mecanismo de coherencia contemplado en el artículo
63 si esas listas incluyen actividades de tratamiento que guarden relación con la oferta
de bienes o servicios a interesados o con la observación del comportamiento de estos
en varios Estados miembros, o actividades de tratamiento que puedan afectar
sustancialmente a la libre circulación de datos personales en la Unión.

7. La evaluación deberá incluir como mínimo:
a) una descripción sistemática de las operaciones de tratamiento previstas y de los
fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el
responsable del tratamiento;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

60/75

b) una evaluación de la necesidad y la proporcionalidad de las operaciones de
tratamiento con respecto a su finalidad;
c) una evaluación de los riesgos para los derechos y libertades de los interesados a
que se refiere el apartado 1, y
d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de
seguridad y mecanismos que garanticen la protección de datos personales, y a
demostrar la conformidad con el presente Reglamento, teniendo en cuenta los
derechos e intereses legítimos de los interesados y de otras personas afectadas.

8. El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo
40 por los responsables o encargados correspondientes se tendrá debidamente en
cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por
dichos responsables o encargados, en particular a efectos de la evaluación de impacto
relativa a la protección de datos.

9. Cuando proceda, el responsable recabará la opinión de los interesados o de sus
representantes en relación con el tratamiento previsto, sin perjuicio de la protección de
intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento.

10. Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras c) o e),
tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro
que se aplique al responsable del tratamiento, tal Derecho regule la operación
específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya
realizado una evaluación de impacto relativa a la protección de datos como parte de
una evaluación de impacto general en el contexto de la adopción de dicha base
jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros
consideran necesario proceder a dicha evaluación previa a las actividades de
tratamiento.

11. En caso necesario, el responsable examinará si el tratamiento es conforme con la
evaluación de impacto relativa a la protección de datos, al menos cuando exista un
cambio del riesgo que representen las operaciones de tratamiento."

La necesidad de implantar una evaluación de impacto en la protección de datos (EIPD)
es consecuencia del principio de responsabilidad proactiva prevista en el propio
RGPD, y es una herramienta fundamental para garantizar que entidades que
presenten determinadas características en su tratamiento gestionen y traten datos
personales de manera responsable, segura y conforme a la normativa en dicha
materia, protegiendo de esta forma los derechos de sus titulares y fortaleciendo la
confianza en sus operaciones.

La finalidad de la EIPD, como se establece en el citado artículo 35 del RGPD, es
múltiple y se centra en asegurar la protección de los datos personales de las personas
físicas.

Entre dichas finalidades cabe destacar:
- Identificar y evaluar los riesgos potenciales para los derechos y libertades de
las personas que podrían surgir como resultado del tratamiento de datos
personales. Ello es especialmente importante cuando se utilizan nuevas
tecnologías o se realizan tratamientos de datos masivos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

61/75

- Ayudar a las organizaciones a cumplir con el RGPD, pues permite asegurar
que se respetan los requisitos normativos relacionados con la protección de
datos desde el diseño y por defecto.
- Implementar medidas de mitigación de los riesgos. Basándose en los riesgos
identificados, la EIPD guía a las entidades en la implementación de las
medidas adecuadas para mitigar esos riesgos. Esto puede incluir ajustes en la
forma en que se recopilan, almacenan, procesan o comparten los datos
personales.
- Prevenir posibles daños y/o violaciones de datos, pues mediante la
identificación proactiva y la mitigación de riesgos, la EIPD ayuda a prevenir
violaciones de datos y otros daños que podrían resultar del tratamiento
inadecuado de los datos personales, lo que puede conllevar consecuencias
legales.

En el presente caso, con fecha 14 de febrero de 2024 se recibió en esta Agencia
escrito de respuesta al traslado de la reclamación, al que se acompañaba como Anexo
V el Análisis de Riesgos efectuado con fecha 19 de septiembre de 2019, versión 0.1.

En este documento se reseñan cinco ficheros: “LABORAL Y RRHH”, “CORREDURÍA
DE SEGUROS A PARTICULARES”, “CORREDURÍA DE SEGUROS DE VIDA Y
ACCIDENTES A PARTICULARES”, “SINIESTROS DE SEGUROS” y “FISCAL Y
CONTABLE”.

Respecto al fichero “LABORAL Y RRHH” se indica:

“Categorías de interesados: Empleados”

Respecto a “CORREDURÍA DE SEGUROS A PARTICULARES”:

Respecto a “CORREDURÍA DE SEGUROS DE VIDA Y ACCIDENTES A
PARTICULARES”:

“Datos identificativos DNI o NIF, Nombre y apellidos, Dirección postal o
electrónica, Teléfono, Firma manual
Datos de categorías especiales: Salud

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

62/75

Otro tipo de datos: Características personales, Académicos y
profesionales, Transacciones de bienes y servicios, Circunstancias
sociales, Económicos, financieros y de seguro”

Respecto a “SINIESTROS DE SEGUROS”:

Respecto a “FISCAL Y CONTABLE”:
“Datos identificativos DNI o NIF, Nombre y apellidos, Dirección postal o
electrónica, Teléfono
Datos de categorías especiales N/A
Otro tipo de datos N/A”

En cuanto a los riesgos asociados a cada fichero en el citado Análisis de Riesgos
consta:

- Respecto del “FICHERO 1: LABORAL Y RR HH”:
o Se considera que los datos identificativos y los otros datos tipificados
objeto del tratamiento, tienen un riesgo inicial “Bajo”.
o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Muy bajo".
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”.
o En cuanto al “Acceso a categorías especiales de datos”, se indica que
“No existen categorías especiales de datos”, por lo que se le asigna un
riesgo inicial y final “Muy Bajo”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

63/75

o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Muy bajo".
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”.
o En cuanto al “Acceso a categorías especiales de datos”, se indica que
“No existen categorías especiales de datos”, por lo que se le asigna un
riesgo inicial y final “Muy Bajo”.

- Respecto del “FICHERO 3: CORREDURÍA DE SEGUROS DE VIDA Y
ACCIDENTES A PARTICULARES”:
o Se considera que los datos identificativos y los otros datos tipificados
objeto del tratamiento, tienen un riesgo inicial “Bajo. Pero a los datos de
salud se le asignan un riesgo inicial “Alto”.
o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Bajo”
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”.
o En cuanto a “Acceso a categorías especiales de datos” se indica que
“EXISTEN MEDIDAS adicionales de seguridad de conformidad con lo
establecido en el apartado 4.4. del presente documento”, se le asigna
un riesgo inicial “Medio” y como medidas se detalla “Se deberá llevar un
control actualizado del personal con acceso a categorías especiales de
datos. Se recomienda reforzar medidas con un doble factor de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

64/75

autenticación, cifrado…”, tras lo cual se asigna un riesgo final “Muy
bajo”.

- Respecto del “FICHERO 4: SINIESTROS DE SEGUROS”:
o Se considera que los datos identificativos y los otros datos tipificados
objeto del tratamiento, tienen un riesgo inicial “Bajo. Pero a los datos de
salud se le asignan un riesgo inicial “Alto”.
o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Bajo”
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”
o En cuanto a “Acceso a categorías especiales de datos” se indica que
“EXISTEN MEDIDAS adicionales de seguridad de conformidad con lo
establecido en el apartado 4.4. del presente documento”, se le asigna
un riesgo inicial “Medio” y como medidas se detalla “Se deberá llevar un
control actualizado del personal con acceso a categorías especiales de
datos. Se recomienda reforzar medidas con un doble factor de
autenticación, cifrado…”, tras lo cual se asigna un riesgo final “Muy
bajo”.

- Respecto del “FICHERO 5: FISCAL Y CONTABLE”:
o Se considera que los datos identificativos objeto del tratamiento, tienen
un riesgo inicial “Bajo”
o En cuanto a la “Protección de datos (integridad y confidencialidad)” se
indica que “EXISTEN MEDIDAS adecuadas para proteger los datos
contra tratamientos no autorizados y pérdidas o destrucción de
conformidad con lo establecido en el punto del presente documento”, se
le asigna un riesgo inicial “Medio” y como medidas se detalla
“Asegurarse que se han implementado medidas técnicas y
organizativas adecuadas para proteger los datos a través del
correspondiente control periódico de verificación anual”, tras lo cual se
asigna un riesgo final “Bajo”
o En cuanto a los “Riesgos del tratamiento” se indica que “SE HA
ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO
RIESGO para los derechos y libertades de los interesados”, se le
asigna un riesgo inicial “Medio” y como medidas se detalla “Se ha
comprobado que el análisis de riesgos efectuado no determina la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

65/75

existencia de amenazas con la probabilidad de un alto riesgo para los
derechos y libertades de los interesados”, tras lo cual se asigna un
riesgo final “Bajo”.
o En cuanto al “Acceso a categorías especiales de datos”, se indica que
“No existen categorías especiales de datos”, por lo que se le asigna un
riesgo inicial y final “Muy Bajo”.

Es decir, que pese a que ALKORA trataba datos de salud de sus clientes y biométricos
de sus empleados, así como datos económicos, financieros y número de cuenta
bancaria de sus clientes, todo lo cual, sin unas medidas de seguridad adecuadas
implicaba un mayor riesgo para los derechos y libertades del titular de los datos, no se
había planteado que pudiera haber un alto riesgo para los interesados. Ni siquiera se
había tenido en cuenta que se trataban distintos datos personales de los interesados
que combinados haría que las posibles consecuencias, el impacto de la
materialización del riesgo para los interesados, fueran de mayor consideración. Y que
algunos de estos datos no se podían cambiar (como número de DNI o NIF y fecha de
nacimiento) o no tan fácilmente (como la dirección postal), por lo cual el riesgo para los
derechos y libertades de los afectados y el posible impacto que pueda haber sea aún
mayor para ellos, amén de que una posible pérdida de disposición y control de sus
datos personales sea irreversible.

En el citado Análisis de riesgos aportado como Anexo V del escrito de 14 de febrero de
2024, de respuesta al traslado de la reclamación, se indicaban, entre otros, los
siguientes apartados dentro de “CUMPLIMIENTO NORMATIVO” (entre paréntesis el
número de fichero):

Política de seguridad (1; 2; 3; 4; 5)
- Riesgos del tratamiento: “Se ha analizado el tratamiento y no existe la
probabilidad de un alto riesgo para los derechos y libertades de los
interesados”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

66/75

ALKORA también proporcionó como Anexo III de su escrito de 9 de julio de 2024
(págs. 52 a 119 del documento con todos los anexos) un Análisis de Riesgos (AR) sin
firmar, versión 2.0 de 1 de noviembre de 2023, posterior a la brecha, en el que
recalifica como “Alto” los riesgos inicial y final de los ficheros 3 y 4, que incluyen el
tratamiento de datos de salud; ese AR conserva como “Medio” y “Bajo” los riesgos
inicial y final asociados a los tratamientos de los ficheros 1 y 5, que incluyen datos
bancarios.

Este nuevo análisis de riesgos también menciona la necesidad de realizar una EIPD
para los ficheros 3 y 4. También proporciona ALKORA como Anexo IV de su escrito de
9 de julio de 2024 (págs. 120 a 130 del documento con todos los anexos), un informe,
sin firmar, versión 2.0 de 1 de noviembre de 2023, sobre la necesidad de realizar
evaluaciones de impacto, que concluye que las mismas son necesarias para los
ficheros “Correduría de Seguros Salud y Vida” y “Siniestros” debido al tratamiento de
categorías especiales de datos y datos de colectivos vulnerables:

No obstante, no consta en el presente expediente que ALKORA hubiera proporcionado
a esta Agencia las referidas EIPD.

VIII
Tipificación de la infracción del artículo 35 del RGPD y calificación a efectos de
prescripción

El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

67/75

"a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25
a 39, 42 y 43”.

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece
lo siguiente:

"En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
t) El tratamiento de datos personales sin haber llevado a cabo la evaluación del
impacto de las operaciones de tratamiento en la protección de datos personales en los
supuestos en que la misma sea exigible."

IX
Propuesta de sanción por la infracción del artículo 35 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

68/75

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de ALKORA
(24.007.236 € euros en el año 2024).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

69/75

Con carácter previo, se estima que concurren las circunstancias siguientes:

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

70/75

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 35 del RGPD, permite proponer una sanción de multa administrativa de
100.000,00 euros.

X
Adopción de medidas

De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Así, se propone que en la resolución que se adopte, se requiera a ALKORA para que,
en el plazo de 3 meses, a contar desde la fecha de ejecutividad de la resolución
finalizadora de este procedimiento, adopte las medidas siguientes:

-Acreditar la elaboración de la preceptiva evaluación de impacto relativa a la
protección de datos a que obliga el artículo 35 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

A la vista de lo expuesto se procede a emitir la siguiente

PROPUESTA DE RESOLUCIÓN

Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
ALKORA EBS CORREDURIA DE SEGUROS Y REASEGUROS SAU, con NIF
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

71/75

A01051747, por una infracción del artículo 5.1.f) del RGPD, tipificada en el artículo
83.5 del RGPD, con una multa de 150.000,00 (ciento cincuenta mil euros) y por una
infracción del artículo 35 del RGPD, tipificada en el artículo 83.4, con una multa de
100.000,00 € (cien mil euros).

Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a
ALKORA EBS CORREDURIA DE SEGUROS Y REASEGUROS SAU, con NIF
A01051747, que en virtud del artículo 58.2.d) del RGPD, en el plazo máximo de 3
meses, acredite haber procedido al cumplimiento de la elaboración de la preceptiva
evaluación de impacto relativa a la protección de datos a que obliga el artículo 35 del
RGPD.

Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 200.000,00 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.

En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.

En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.
926-250625

R.R.R.
INSPECTORA/INSTRUCTORA

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

72/75

ANEXO

Índice del expediente EXP202400624
(…)
>>

SEGUNDO: En fecha 18 de febrero de 2026, ALKORA ha procedido al pago de la
sanción en la cuantía de 200.000,00 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.

TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera
al responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

FUNDAMENTOS DE DERECHO

I
Competencia

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

73/75

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 200.000,00 euros y
su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de
las medidas correspondientes.

Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, ALKORA, en fecha 18 de febrero de 2026, procedió a realizar el
pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado
3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva de la propuesta de resolución transcrita en la
presente resolución.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

74/75

La suma de las citadas cuantías arroja una cantidad total de 250.000,00 euros.

Tras haber procedido ALKORA EBS CORREDURIA DE SEGUROS Y
REASEGUROS SAU al pago voluntario, aunque sin reconocimiento de
responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de
un 20% del total mencionado, lo cual supone la cantidad definitiva de 200.000,00
euros.

La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202400624, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a ALKORA EBS CORREDURIA DE SEGUROS Y
REASEGUROS SAU para que en el plazo de 3 meses desde que la presente
resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que
se describen en los fundamentos de derecho de la propuesta de resolución transcrita
en la presente resolución.

CUARTO: NOTIFICAR la presente resolución a ALKORA EBS CORREDURIA DE
SEGUROS Y REASEGUROS SAU.

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, la presente resolución será firme en vía administrativa y
plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución haya sido
notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

75/75

que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

1331-101025

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

Veri İhlali ve Etki Değerlendirmesi Eksiklikleri

Türkçe özet

Hukuki mesele

Sonuç

Karar metni