La multa AEPD por brecha de seguridad impuesta a Flexicar asciende a 680.000 euros y transmite un mensaje importante para cualquier empresa que trate datos personales: sufrir un ciberataque no elimina automáticamente la responsabilidad de la organización.
La Agencia Española de Protección de Datos analizó la brecha sufrida por la compañía en 2024 y concluyó que no se habían aplicado determinadas medidas de seguridad que podrían haber evitado el incidente o reducido sus consecuencias.
La investigación no se limitó a determinar cómo se produjo el acceso no autorizado. También examinó cuánto tiempo se conservaban los datos de los clientes potenciales, qué información recibían estas personas y cómo se protegían los registros que ya habían sido bloqueados.
El resultado fue una sanción dividida en tres infracciones del Reglamento General de Protección de Datos:
- 400.000 euros por vulnerar el principio de integridad y confidencialidad.
- 250.000 euros por no aplicar medidas de seguridad adecuadas.
- 30.000 euros por informar de manera insuficiente sobre la conservación de los datos personales.
El caso demuestra que una política de privacidad genérica, un antivirus instalado o la adopción de medidas únicamente después del ataque no garantizan el cumplimiento del RGPD.
Qué ocurrió en la multa AEPD por brecha de seguridad
El procedimiento comenzó después de que varias personas recibieran una comunicación informándoles de que sus datos personales podían haberse visto afectados por una brecha de seguridad.
Estas personas habían facilitado previamente información mediante formularios de contacto de la página web, pero no todas habían llegado a convertirse en clientes.
Una reclamación adicional amplió la investigación. La persona afectada manifestó que había solicitado la eliminación de sus datos y que, pese a ello, recibió posteriormente el aviso de que esa información podía haber quedado expuesta.
Esta circunstancia llevó a la AEPD a revisar tres áreas diferentes:
- las medidas de seguridad aplicadas antes del incidente;
- los plazos de conservación de los datos de clientes potenciales;
- la gestión y protección de los datos bloqueados.
La resolución recuerda que la protección de datos no comienza cuando se detecta un ataque. Las medidas deben existir antes, mantenerse actualizadas y revisarse de forma periódica.
Una empresa atacada también puede ser responsable
Un ciberataque convierte a la empresa en víctima de una actividad delictiva, pero esto no significa que quede exenta de sus obligaciones como responsable del tratamiento.
El RGPD exige adoptar medidas técnicas y organizativas apropiadas teniendo en cuenta:
- la naturaleza de los datos tratados;
- la cantidad de personas afectadas;
- la finalidad del tratamiento;
- el impacto que tendría una exposición;
- la probabilidad de sufrir un incidente;
- el estado de la tecnología disponible;
- los costes razonables de implantación.
La ausencia de seguridad absoluta no implica que cualquier brecha genere automáticamente una sanción. Lo que debe poder demostrar la empresa es que había evaluado sus riesgos y aplicado medidas proporcionadas antes del incidente.
La AEPD considera especialmente relevante si determinadas protecciones se implantaron únicamente después de sufrir el ataque. Esa reacción puede resultar necesaria para contener el problema, pero también puede evidenciar que las medidas preventivas anteriores eran insuficientes.
Por qué la multa AEPD por brecha de seguridad afecta a otras empresas
La multa AEPD por brecha de seguridad no solo resulta relevante para grandes compañías. Sus conclusiones pueden aplicarse a cualquier organización que recoja datos mediante formularios, campañas comerciales, presupuestos, reservas o solicitudes de información.
Una pyme puede almacenar datos de:
- clientes actuales;
- antiguos clientes;
- personas que solicitaron un presupuesto;
- usuarios que rellenaron un formulario;
- proveedores y colaboradores;
- candidatos de procesos de selección;
- suscriptores de comunicaciones comerciales;
- contactos obtenidos durante eventos o campañas.
Cada grupo puede tener una finalidad y un plazo de conservación diferente. Mantener todos los registros indefinidamente dentro de la misma base de datos aumenta el riesgo y dificulta atender correctamente los derechos de las personas.
Primera infracción: integridad y confidencialidad
El artículo 5.1.f del RGPD establece que los datos personales deben tratarse garantizando una seguridad adecuada.
Esto incluye la protección frente a:
- accesos no autorizados;
- utilización ilícita;
- pérdida accidental;
- destrucción;
- alteración;
- divulgación no autorizada.
En el caso analizado, la AEPD consideró que no se había garantizado adecuadamente la confidencialidad de los datos afectados por el ataque.
La sanción por esta infracción ascendió a 400.000 euros.
Para una empresa, proteger la confidencialidad implica controlar quién puede acceder a la información y desde qué dispositivos, aplicaciones y ubicaciones.
También requiere evitar que una cuenta comprometida permita consultar o descargar toda la base de datos sin controles adicionales.
Segunda infracción: medidas de seguridad insuficientes
La segunda parte de la multa AEPD por brecha de seguridad se relaciona con el artículo 32 del RGPD.
Este artículo no impone una lista idéntica de herramientas para todas las organizaciones. Exige medidas adecuadas al riesgo y una evaluación particular de cada tratamiento.
Entre las medidas que una empresa debería valorar se encuentran:
- autenticación multifactor;
- cifrado de datos y dispositivos;
- usuarios con privilegios mínimos;
- protección endpoint o EDR;
- firewall administrado;
- segmentación de redes y servidores;
- copias de seguridad aisladas;
- actualización de sistemas y aplicaciones;
- registro de accesos y cambios;
- monitorización de eventos;
- pruebas periódicas de recuperación;
- procedimientos de respuesta ante incidentes.
No basta con implantar controles y olvidarse de ellos. El RGPD también exige verificar, evaluar y valorar regularmente su eficacia.
La sanción asociada a la falta de medidas de seguridad ascendió a 250.000 euros.
Tercera infracción: información insuficiente sobre la conservación
La tercera infracción afecta a la información que debe facilitarse cuando se recogen datos directamente de una persona.
El artículo 13 del RGPD obliga a informar, entre otros aspectos, sobre:
- la identidad del responsable;
- la finalidad del tratamiento;
- la base jurídica utilizada;
- los posibles destinatarios;
- los derechos de las personas;
- el plazo de conservación;
- los criterios utilizados para determinar ese plazo.
La AEPD consideró que la información disponible era demasiado genérica y no diferenciaba adecuadamente entre quienes habían formalizado una operación y quienes únicamente habían enviado una consulta.
La política tampoco explicaba de forma suficientemente clara que determinados datos de clientes potenciales podían conservarse durante cinco años.
La sanción por la falta de información adecuada ascendió a 30.000 euros.
Un formulario de contacto también recoge datos personales
Muchas empresas prestan especial atención a los datos de sus clientes, pero olvidan los almacenados mediante los formularios de contacto.
Un formulario puede recoger:
- nombre y apellidos;
- correo electrónico;
- número de teléfono;
- empresa;
- ubicación;
- intereses comerciales;
- contenido de una consulta;
- información incluida en documentos adjuntos.
Desde el momento en que se reciben esos datos, la empresa debe definir para qué los utiliza, quién puede acceder a ellos y cuándo deben eliminarse.
No haber formalizado una venta no convierte esa información en irrelevante ni permite conservarla sin límite.
Diferenciar clientes, contactos y clientes potenciales
Una política de conservación adecuada debe distinguir entre diferentes relaciones con la empresa.
Clientes actuales
Sus datos pueden ser necesarios para prestar el servicio, gestionar facturas, atender garantías y cumplir obligaciones legales.
Antiguos clientes
Parte de la información puede conservarse durante los plazos legales de responsabilidad, fiscalidad o defensa ante reclamaciones.
Clientes potenciales
Son personas que solicitaron información o un presupuesto, pero no contrataron el servicio. Su conservación debe estar vinculada a una finalidad concreta y a un plazo proporcionado.
Suscriptores comerciales
Sus datos pueden utilizarse para comunicaciones comerciales cuando exista una base jurídica válida, pero deben diferenciarse de otros registros.
Datos bloqueados
Ya no pueden utilizarse para la actividad ordinaria y únicamente deben conservarse para atender posibles responsabilidades legales.
Los datos bloqueados siguen necesitando protección
Bloquear un dato no significa eliminarlo ni dejarlo sin protección.
El bloqueo se aplica cuando los datos deben dejar de utilizarse para la finalidad original, pero todavía es necesario conservarlos temporalmente para atender posibles responsabilidades.
Durante ese periodo deben permanecer:
- separados del uso habitual;
- sin acceso para campañas comerciales;
- restringidos al personal autorizado;
- disponibles únicamente ante una obligación legal;
- protegidos con medidas técnicas adecuadas;
- sometidos a un plazo definitivo de eliminación.
La resolución analizada concluyó que determinados datos bloqueados estaban mezclados con registros utilizados para comunicaciones comerciales.
Esta situación puede permitir que información que ya no debería utilizarse vuelva a aparecer en campañas, consultas o exportaciones.
Bloquear, archivar y eliminar no significan lo mismo
Una empresa debe diferenciar claramente tres acciones:
Archivar datos
Los datos continúan disponibles para una finalidad legítima, aunque se utilicen con poca frecuencia.
Bloquear datos
La información se conserva temporalmente, pero queda fuera del uso ordinario y únicamente puede utilizarse para atender obligaciones o responsabilidades.
Eliminar datos
La información se suprime de forma efectiva cuando ya no existe una finalidad ni una obligación que justifique su conservación.
Confundir estos conceptos puede provocar que una solicitud de supresión no se gestione correctamente o que datos antiguos permanezcan activos durante años.
Por qué una política de privacidad genérica no es suficiente
Copiar una política de privacidad de otra página o utilizar un texto estándar sin adaptarlo puede generar una falsa sensación de cumplimiento.
La política debe reflejar el funcionamiento real de la empresa.
Debe responder claramente a preguntas como:
- ¿Qué datos recoge cada formulario?
- ¿Para qué se utilizarán?
- ¿Cuál es la base jurídica?
- ¿Durante cuánto tiempo se conservarán?
- ¿Qué ocurre si el usuario no contrata?
- ¿Se realizarán comunicaciones comerciales?
- ¿Se compartirán datos con terceros?
- ¿Cómo puede solicitarse la supresión?
- ¿Cómo se gestionarán los datos bloqueados?
Cuando la información pública no coincide con los procesos internos, la empresa puede estar incumpliendo el RGPD aunque el texto parezca completo.
La conservación de datos debe aplicarse técnicamente
Definir un plazo dentro de una política no es suficiente si los sistemas no pueden cumplirlo.
La empresa debe poder localizar, clasificar, bloquear y eliminar los datos cuando corresponda.
Esto puede requerir:
- campos que identifiquen la fecha de recogida;
- clasificación según el tipo de relación;
- automatización de plazos;
- procesos periódicos de depuración;
- separación de bases de datos comerciales;
- registro de solicitudes de derechos;
- revisión de copias de seguridad;
- control de exportaciones y archivos duplicados.
También debe contemplarse la información almacenada en el correo, hojas de cálculo, aplicaciones de gestión, copias locales y plataformas cloud.
Integrar otra empresa aumenta el riesgo
Las fusiones, absorciones o integraciones de sucursales pueden introducir sistemas, cuentas y bases de datos con configuraciones diferentes.
Antes de integrar una nueva infraestructura conviene revisar:
- servidores y aplicaciones heredadas;
- cuentas administrativas;
- versiones sin soporte;
- accesos de proveedores;
- conexiones entre redes;
- permisos sobre bases de datos;
- políticas de conservación;
- copias de seguridad;
- registros de seguridad;
- procedimientos para ejercer derechos.
No es recomendable conectar directamente dos entornos sin analizar antes sus riesgos y aplicar un plan de integración seguro.
Qué medidas debería revisar una empresa
La multa AEPD por brecha de seguridad puede utilizarse como referencia para revisar la situación de cualquier organización.
La dirección debería poder responder a estas preguntas:
- ¿Sabemos qué datos personales almacenamos?
- ¿Conocemos su ubicación y finalidad?
- ¿Tenemos plazos de conservación definidos?
- ¿Los plazos se aplican realmente?
- ¿Los datos bloqueados están separados?
- ¿Las solicitudes de supresión quedan registradas?
- ¿Utilizamos MFA en los sistemas críticos?
- ¿Las cuentas administrativas están controladas?
- ¿Los servidores y aplicaciones están actualizados?
- ¿Monitorizamos accesos y comportamientos anómalos?
- ¿Podemos detectar una extracción masiva de datos?
- ¿Hemos probado el procedimiento de respuesta?
Las respuestas deben estar respaldadas por documentos, configuraciones, registros y evidencias. No es suficiente afirmar que una medida existe.
Monitorización para proteger datos personales
Las empresas necesitan visibilidad sobre lo que ocurre en sus equipos, servidores, aplicaciones y servicios cloud.
Una plataforma SIEM puede centralizar eventos relacionados con:
- inicios de sesión anómalos;
- creación de cuentas administrativas;
- acceso masivo a bases de datos;
- descarga de grandes volúmenes de información;
- desactivación del antivirus;
- cambios en reglas de correo;
- conexiones desde países no habituales;
- modificación de permisos;
- alertas del firewall y del endpoint.
En GHM Soluciones Informáticas implantamos SIEM Wazuh para empresas con alertas y correlaciones adaptadas a cada infraestructura.
La monitorización no evita por sí sola todos los incidentes, pero permite detectar antes comportamientos sospechosos, investigar su alcance y conservar evidencias.
Endpoint, firewall y control de accesos
La protección de datos personales requiere varias capas de seguridad.
El endpoint supervisa procesos, archivos y comportamientos dentro de los equipos. El firewall controla las comunicaciones entre redes y servicios externos. La autenticación multifactor protege las cuentas frente al robo de contraseñas.
Estas medidas deben complementarse con:
- usuarios sin privilegios administrativos;
- cifrado de dispositivos;
- accesos remotos seguros;
- segmentación de la infraestructura;
- copias de seguridad protegidas;
- actualizaciones gestionadas;
- revisión periódica de alertas.
Puede consultar nuestras soluciones de protección endpoint y firewall para empresas.
Cómo actuar ante una brecha de datos personales
Cuando una empresa detecta una posible brecha debe actuar con rapidez, pero sin eliminar evidencias necesarias para la investigación.
Las primeras actuaciones deberían incluir:
- Contener el incidente.
- Aislar los sistemas afectados.
- Conservar registros y evidencias.
- Determinar qué datos pudieron verse comprometidos.
- Identificar a las personas afectadas.
- Evaluar el riesgo para sus derechos y libertades.
- Aplicar medidas para evitar nuevos accesos.
- Documentar todas las decisiones adoptadas.
- Valorar la notificación a la AEPD.
- Valorar la comunicación a las personas afectadas.
Cuando sea probable que la brecha suponga un riesgo para las personas, debe notificarse a la autoridad de control sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a tener constancia.
Puede consultarse la información oficial de la AEPD sobre notificación de brechas de datos personales.
La notificación no sustituye a la prevención
Comunicar una brecha a la AEPD forma parte de las obligaciones del responsable, pero no demuestra por sí mismo que se hayan cumplido todas las medidas de seguridad.
La empresa también deberá poder explicar:
- qué riesgos había identificado;
- qué medidas existían antes del ataque;
- cuándo se revisaron por última vez;
- qué alertas se generaron;
- cuánto se tardó en detectar el incidente;
- cómo se contuvo;
- qué datos quedaron expuestos;
- qué cambios se realizaron después.
La responsabilidad proactiva consiste en prevenir, documentar y demostrar, no solo en reaccionar.
Auditoría RGPD y auditoría de ciberseguridad
El cumplimiento legal y la protección técnica deben revisarse conjuntamente.
Una auditoría RGPD puede comprobar:
- la información de los formularios;
- las bases jurídicas;
- los plazos de conservación;
- la gestión de derechos;
- los contratos con encargados;
- el registro de actividades;
- el bloqueo y eliminación de datos.
Una auditoría de ciberseguridad puede revisar:
- cuentas y permisos;
- servidores expuestos;
- protección endpoint;
- firewalls y segmentación;
- copias de seguridad;
- actualizaciones;
- monitorización y alertas;
- capacidad de respuesta.
En GHM Soluciones Informáticas realizamos auditorías RGPD y auditorías de ciberseguridad para empresas.
También ofrecemos servicios de Delegado de Protección de Datos para ayudar a las organizaciones a mantener y supervisar su cumplimiento.
Conclusiones de la multa AEPD por brecha de seguridad
La multa AEPD por brecha de seguridad impuesta a Flexicar muestra que el RGPD no se limita a publicar una política de privacidad o comunicar un incidente después de que ocurra.
La empresa debe demostrar que:
- evaluó previamente sus riesgos;
- aplicó medidas de seguridad proporcionadas;
- revisó periódicamente su eficacia;
- informó claramente sobre la conservación;
- diferenció clientes y clientes potenciales;
- atendió las solicitudes de derechos;
- protegió también los datos bloqueados;
- documentó sus decisiones.
La principal enseñanza es que las medidas posteriores al ataque pueden reducir el riesgo futuro, pero no sustituyen a las que deberían haber existido antes.
En GHM Soluciones Informáticas ayudamos a las empresas a coordinar protección de datos y ciberseguridad mediante auditorías, adecuación RGPD, protección endpoint, firewall, monitorización SIEM y procedimientos de respuesta.
Solicita una revisión desde nuestra página de contacto y comprueba si tu empresa puede demostrar que protege adecuadamente los datos personales que almacena.
Preguntas frecuentes sobre la multa AEPD por brecha de seguridad
¿De cuánto es la multa impuesta a Flexicar?
La sanción total asciende a 680.000 euros, dividida entre tres infracciones relacionadas con confidencialidad, seguridad del tratamiento e información sobre conservación.
¿Sufrir un ciberataque implica siempre una sanción?
No. La AEPD analiza las circunstancias del incidente y si la organización había implantado medidas técnicas y organizativas adecuadas al riesgo.
¿Qué exige el artículo 32 del RGPD?
Exige medidas de seguridad apropiadas, capacidad de mantener la confidencialidad, integridad, disponibilidad y resiliencia, además de procesos periódicos de evaluación.
¿Es obligatorio informar del plazo de conservación?
Sí. La empresa debe indicar el plazo o los criterios utilizados para determinarlo cuando recoge los datos personales.
¿Se pueden conservar indefinidamente los datos de un formulario?
No. Debe existir una finalidad, una base jurídica y un plazo proporcionado. Cuando dejen de ser necesarios deben eliminarse o bloquearse cuando corresponda.
¿Qué son los datos bloqueados?
Son datos que ya no pueden utilizarse para la finalidad original, pero que se conservan temporalmente para atender posibles responsabilidades legales.
¿Los datos bloqueados siguen protegidos por el RGPD?
Sí. Deben permanecer separados del uso habitual, con acceso restringido y medidas de seguridad adecuadas.
¿Cuándo debe notificarse una brecha a la AEPD?
Cuando sea probable que suponga un riesgo para los derechos y libertades de las personas. La notificación debe realizarse, cuando sea posible, dentro de las 72 horas desde que se tiene constancia.
¿Una política de privacidad estándar es suficiente?
No. Debe reflejar los tratamientos reales, las finalidades, los plazos, las bases jurídicas y los procedimientos utilizados por la empresa.
¿GHM Soluciones Informáticas puede revisar el cumplimiento?
Sí. GHM realiza auditorías RGPD y de ciberseguridad, servicios de DPO, implantación de medidas técnicas y monitorización para empresas.
