Resoluciones Relevantes ABRIL 2026

El reclamante denuncia ante la AEPD a Orange Espagne, S.A.U. por la realización de un duplicado de tarjeta eSIM no autorizado por la titular, lo que permitió a un tercero el acceso a sus comunicaciones y la ejecución de operaciones bancarias fraudulentas. El incidente se inició con el acceso ilegítimo al área privada de clientes de la operadora, donde un tercero pudo, tras varios intentos, proceder al cambio de su dirección de correo electrónico e iniciar posteriormente una conversación con el Canal digital asistido y solicitando a través de este medio el duplicado de eSIM, fallando al no superar la validación al faltar el token y tampoco superar las preguntas aleatorias confidenciales y quedando pendiente de validación. El segundo intento se catalogó como fraudulento por usarse un DNI con la foto manipulada, insertando Jazztel una nota de aviso en sus sistemas. El tercer intento se produjo en un punto de venta de Jazztel, si bien en esa misma fecha, se realizó una solicitud telefónica de duplicado eSIM por un tercero, superando la política de seguridad.

Por tanto, pese a constar una nota de aviso en sus sistemas, el tercero pudo efectuar el cambio, siendo dicha medida insuficiente para evitar la posibilidad de obtener un duplicado después de haber identificado varios intentos fraudulentos. En tales casos, debería garantizarse de forma efectiva la imposibilidad de obtenerlo, si es preciso incluso bloqueando la posibilidad de emitir un duplicado. No es una incidencia específica ocurrida respecto a la reclamante, sino que es debilidad general de la política de seguridad de Orange. La emisión de un duplicado de la eSIM a pesar de las alertas previas reflejaría o bien una ausencia de controles efectivos o una falta de respuesta rápida y diligente tras los intentos fallidos. Ello demostraría que las medidas de seguridad no son suficientemente adecuadas al riesgo como los accesos no autorizados, comprometiendo de esta forma la protección de los datos personales de sus usuarios, vulnerando con ello el art. 32 RGPD

Por parte de Avatel Telecom, S.A. se notificó a la AEPD una brecha de datos personales tras recibir diversas quejas de clientes en una oficina física. Los afectados denunciaron la realización de duplicados de tarjetas SIM no autorizados y la posterior sustracción de fondos de sus cuentas bancarias mediante el uso fraudulento de dichas líneas. Ante estos hechos, Avatel inició un proceso de revisión técnica de los registros de su CRM y detectó que un perfil de usuario interno ejecutó las solicitudes de duplicado de forma ilegítima. En el marco de las actuaciones previas de investigación, se confirmó la contratación de servicios especializados para realizar un análisis forense de los sistemas afectados. Los hallazgos técnicos acreditaron que la brecha tuvo su origen al verse las credenciales de acceso comprometidas, lo que permitió a un atacante ejecutar código malicioso para acceder, modificar y exfiltrar información de la plataforma. Se verificó que el incidente facilitó la alteración de las direcciones de correo electrónico de los interesados para asegurar la obtención de las copias fraudulentas y evitar la detección temprana del fraude. El alcance real del incidente comprometió la confidencialidad e integridad de los datos de hasta cuarenta y siete clientes, exponiendo información identificativa y financiera. Avatel reconoció su responsabilidad y procedió al pago voluntario de la multa propuesta.

La AEPD consideró probado la quiebra del principio de integridad y confidencialidad debido a la insuficiencia de las medidas técnicas y organizativas implementadas por Avatel para garantizar una seguridad adecuada al riesgo. Los hechos acreditaron que el sistema presentó vulnerabilidades que permitieron el acceso no autorizado y la manipulación de datos personales por parte de terceros, facilitando la ejecución de operaciones fraudulentas fuera del control de la titular. Se confirmó que el uso de credenciales comprometidas y la ejecución de malware evidenciaron una falta de robustez en los mecanismos de protección contra tratamientos ilícitos. El impacto derivado de esta vulneración técnica supuso una pérdida de disposición efectiva de los interesados sobre su información y un riesgo elevado para sus activos financieros y la privacidad de sus comunicaciones, derivado de la suplantación de identidad ejecutada mediante los duplicados de las tarjetas SIM.

EVO Banco notificó a la AEPD una brecha de seguridad tras detectar un anuncio en la Deep Web donde se ofertaba la venta de una base de datos presuntamente sustraída de sus sistemas. El incidente tuvo su origen en una vulnerabilidad técnica localizada en el Portal de Contrataciones, herramienta empleada para el alta de usuarios que permitió el acceso a fichas de datos limitadas sin la debida autenticación. La investigación interna de la entidad confirmó que se registraron aproximadamente cinco millones de peticiones anómalas, de las cuales 1,2 millones resultaron exitosas, facilitando la visualización de registros personales, afectando a afectó a clientes, antiguos clientes cuyos datos continuaban bloqueados conforme al artículo 32 de la LOPDGDD, potenciales clientes, no clientes y empleados de EVO BANCO. La brecha de datos personales afectó a la confidencialidad de los datos, esto es, se produjo un acceso a los mismos por parte de un tercero no autorizado que realizó una copia de estos para, posteriormente, amenazar a EVO BANCO con su publicación en la dark web salvo que se produjera el abono de una recompensa. Consta que se produjo la publicación en la dark web de los datos de 958 clientes, así como 4 empleados de la entidad. En cuanto a la tipología de los datos personales afectados figuraba: nombre, apellidos, DNI o NIE, número de teléfono, el régimen económico, número IBAN de cuentas bancarias, firma, código de los productos contratados, declaración del IVA del último ejercicio, años trabajados, situación laboral, ingresos mensuales, así como su identificador en la plataforma, entre otros. No obstante, al haberse producido la baja de EVO BANCO, SA como entidad de crédito, no puede obviarse que la responsabilidad en el presente procedimiento ha de atribuirse a la entidad bancaria que la ha absorbido, BANKINTER.

La AEPD pone de manifiesto que carencias en las medidas técnicas y organizativas existentes en el momento de la brecha de datos personales que facilitaron la materialización de la brecha de datos personales en los términos anteriormente señalados. Así, teniendo en cuenta que el origen y causa de la brecha se encuentra en la existencia de una vulnerabilidad en la API. Además, carecía de medidas de cifrado de los datos personales, tal y como reconoció en el formulario de notificación de brecha de datos personales, lo que hubiera limitado el impacto del acceso a sus sistemas, lo que implica una vulneración del art. 5.1.f RGPD. Finalmente, Bankinter reconoció su responsabilidad por los hechos y procedió al pago voluntario de la cuantía pecuniaria propuesta.

La reclamante interpone reclamación frente a DIARIO DE PRENSA DIGITAL, S.L., titular del sitio web https://www.eldiario.es/, por la instalación de cookies de seguimiento y publicitarias sin recabar previamente el consentimiento del usuario, aportando evidencias derivadas del análisis de la política de cookies. Tras el traslado de la reclamación, EL DIARIO niega la existencia de infracción, sostiene que su sistema de gestión del consentimiento se ajusta a la normativa y que la información facilitada es adecuada. Atribuye determinados resultados a un comportamiento no representativo del usuario durante las pruebas y a la intervención de servicios de terceros integrados en la web. Reconoce, no obstante, que algunas cookies de analítica y medición fueron previamente configuradas de forma incorrecta, indicando haberlas eliminado tras una auditoría interna.

EL DIARIO explica que ciertas cookies detectadas antes de la aceptación derivan de contenidos audiovisuales incrustados procedentes de plataformas externas, cuya instalación considera inherente al servicio. Añade que la imposibilidad técnica de eliminar cookies de terceros una vez instaladas justificaría su persistencia tras el rechazo, apoyándose en un informe técnico. Asimismo, detalla las acciones adoptadas sobre cada cookie, incluyendo la eliminación de aquellas consideradas innecesarias, y defiende que el usuario dispone de información clara y accesible, así como de un panel de configuración granular y de un mecanismo permanente para retirar el consentimiento.

Las comprobaciones técnicas realizadas por la Agencia constatan que, tras limpiar la caché y acceder por primera vez al sitio web sin interacción del usuario con el banner, se instalan automáticamente diversas cookies, incluidas cookies de análisis de Google Analytics (_ga, _ga_4RZPWREGF3 y _ga_9EZTW9DKW8), cookies de personalización y cookies publicitarias o identificativas, cuya presencia se acredita mediante capturas de la herramienta de desarrollo del navegador. Dichas cookies permiten asignar identificadores únicos, registrar la navegación del usuario y vincular sesiones, habiéndose instalado antes de cualquier acción de consentimiento. Asimismo, se observa que el banner inicial condiciona el acceso gratuito al sitio a la aceptación de cookies no necesarias, ofreciendo alternativamente una modalidad de pago sin publicidad. También se constata la existencia de un enlace permanente para la gestión de preferencias (“Mis cookies”) y de una política de cookies accesible que describe de forma general las categorías y finalidades, así como el uso de una plataforma de gestión del consentimiento.

EL DIARIO sostiene que determinadas cookies analíticas resultan imprescindibles para medir el funcionamiento del sistema de consentimiento y el tráfico del sitio web. Sin embargo, dichas cookies tienen por finalidad el análisis del comportamiento del usuario, incluyendo la medición de visitas, tiempos de permanencia y navegación entre páginas, sin que conste que cumplan los requisitos para ser consideradas estrictamente necesarias. La política de cookies no identifica de forma individualizada cada cookie ni justifica la aplicación de excepciones al régimen general de consentimiento previo, limitándose a descripciones genéricas de las finalidades y mecanismos de gestión.

Todas estas circunstancias permiten apreciar la concurrencia de evidencias suficientes de una vulneración del artículo 22.2 de la LSSI, al haberse procedido a la utilización de dispositivos de almacenamiento y recuperación de datos no necesarios en los equipos terminales de los usuarios sin haber obtenido previamente su consentimiento informado, libre y expreso, en los términos exigidos por dicho precepto.

La reclamante denuncia ante la AEPD que KVIKU SPAIN, S.L. le reclama de forma reiterada una supuesta deuda derivada de un préstamo que niega haber solicitado o contratado, mediante comunicaciones propias y a través de empresas de recobro. Indica que recibió un ingreso no autorizado en su cuenta, que devolvió junto con los intereses, y que, pese a haber solicitado la supresión de sus datos y el cese de las comunicaciones, continúan las reclamaciones. Aporta un documento de condiciones de préstamo sin firma, justificante de transferencia a favor de KVIKU y diversos correos electrónicos en los que se le exige el pago, se comunica la cesión de la deuda a terceros y se advierte de acciones judiciales, incluyendo referencias a su inclusión en ficheros de morosidad.

KVIKU sostiene que la reclamante solicitó y formalizó un préstamo online, aportando como prueba un registro interno en el que consta que un usuario prestó su consentimiento y finalizó la contratación. Afirma que la deuda no fue abonada, que el justificante presentado no permitía verificar el pago y que, ante el impago, se procedió a la cesión del crédito a entidades de recobro, posteriormente revertida tras conocer la reclamación. Indica asimismo que no procede la supresión de datos mientras subsista la deuda.

Analizada la documentación obrante en el expediente, consta que KVIKU trató los datos personales de la reclamante en relación con un supuesto contrato de préstamo, incluyendo la gestión del cobro, la cesión del crédito a terceros y el envío de comunicaciones de reclamación. La entidad invoca como base legitimadora la existencia de un contrato, si bien no aporta prueba suficiente de su válida formalización. El único documento contractual carece de firma y la evidencia presentada se limita a una anotación interna sin identificación del interviniente. Asimismo, se incorpora documentación relativa a terceros y a operaciones no coincidentes con los hechos descritos. Por tanto, no consta acreditada la identidad de la reclamante como parte en el contrato ni la concurrencia de otra base jurídica que legitime el tratamiento de sus datos personales; así como tampoco se acredita la procedencia de la cesión de datos a entidades de recobro ni el envío de comunicaciones de reclamación en ausencia de vínculo contractual válid; se considera que  los tratamientos efectuados, incluidos la utilización de datos para la reclamación de deuda, su comunicación a terceros y su conservación, se realizaron sin que conste acreditada una base de legitimación conforme al artículo 6 del RGPD.

La AEPD tuvo conocimiento, a través de una denuncia, de posibles irregularidades en el tratamiento, gestión y custodia de imágenes captadas por los sistemas de videovigilancia de Unicaja. La investigación se centró en el funcionamiento técnico de estas herramientas empleadas como elemento preventivo ante delitos y su integración con los servicios de una Central Receptora de Alarmas gestionada por una entidad externa en calidad de encargada. Los hechos confirmaron que el acceso a la información captada se realizó mediante perfiles de usuario compartidos, lo que permitió la visualización de datos sensibles sin mecanismos de trazabilidad individualizada. El alcance real del incidente afectó a la integridad de los protocolos de seguridad de Unicaja, al constatarse que el sistema operó sin identificar con precisión qué personas físicas accedieron a las grabaciones. Tras analizar las evidencias técnicas, Unicaja reconoció su responsabilidad y procedió al pago voluntario de la cuantía propuesta, lo que determinó la terminación del procedimiento y la orden de adoptar medidas para garantizar la plena adecuación de sus sistemas.

Respecto a las medidas de seguridad, se constató una vulneración del RGPD al no aplicarse los controles técnicos adecuados para garantizar la protección de la información personal frente a tratamientos no autorizados. Los hechos acreditaron que Unicaja mantuvo una configuración de sistema que omitió la identificación unívoca de los usuarios con acceso a las imágenes de videovigilancia, facilitando un entorno de gestión carente de la debida diligencia. La AEPD consideró que la persistencia de un usuario genérico impidió asegurar la trazabilidad de las consultas y la resiliencia de los servicios de tratamiento conforme a la responsabilidad proactiva. Se verificó que la ausencia de protocolos robustos de autenticación supuso una quiebra en la seguridad, toda vez que el diseño técnico no garantizó que el acceso a datos de carácter personal estuviera restringido y monitorizado de forma individualizada, incumpliendo la obligación de implementar medidas organizativas y tecnológicas proporcionales al riesgo del tratamiento.

El reclamante denuncia ante la AEPD una posible infracción imputable a AXA SEGUROS GENERALES, S.A. DE SEGUROS Y REASEGUROS, al manifestar que un antiguo gestor de sus pólizas, previamente agente de la entidad, contactó telefónicamente con ella para ofrecerle la contratación de seguros y, en paralelo, se produjeron accesos no autorizados a su área privada “MYAXA”. En concreto, la reclamante recibió dos SMS con una clave temporal de acceso no solicitada y, seguidamente, un correo electrónico informando de la modificación de sus credenciales. Al no haber realizado ella dicha operación, contactó con AXA, que reconoció la existencia de una incidencia vinculada a la posible suplantación de identidad, solicitando la aportación de los mensajes recibidos para proceder al bloqueo de la cuenta. AXA confirma que la reclamante mantiene pólizas de vida y automóvil gestionadas en el ámbito del grupo asegurador y que el antiguo agente había prestado servicios durante años, hasta la resolución contractual por incumplimientos, quedando extinguida la relación mercantil y siendo asumida la gestión por otra entidad colaboradora. Constan procedimientos judiciales entre AXA y dicho exagente derivados de la resolución contractual, así como indicios de conflictos posteriores en el marco de la relación finalizada.

AXA reconoce, tras investigación interna, que el día de los hechos se produjo un cambio de contraseña en el área cliente “MYAXA” y que posteriormente se registraron accesos al sistema. El procedimiento de recuperación de contraseña vigente en ese momento contemplaba el envío de claves temporales por SMS o correo electrónico y, subsidiariamente, preguntas de seguridad basadas en datos de la póliza (número de póliza y últimos cuatro dígitos de la cuenta bancaria), permitiendo finalmente el restablecimiento de credenciales.

La entidad admite la pérdida de confidencialidad derivada del acceso indebido, aunque sostiene que este pudo deberse a una actuación del antiguo agente, quien conocía datos suficientes para superar los mecanismos de verificación. Tras los hechos, AXA modificó el sistema de recuperación de contraseñas eliminando las preguntas de seguridad y redirigiendo a atención telefónica, además de reforzar medidas de control de accesos. La instrucción constata que el proceso de recuperación de credenciales permitía la suplantación de identidad mediante información que podía estar en posesión de terceros con acceso previo a los datos de pólizas, especialmente en un contexto de ruptura contractual conflictiva con un antiguo encargado. Se aprecia que el sistema combinaba elementos de autenticación insuficientemente robustos, al basarse en datos potencialmente conocidos por el exagente, lo que posibilitó el acceso no autorizado al área privada de la reclamante. AXA alega la adecuación general de sus medidas, la existencia de doble autenticación opcional y la falta de nexo causal directo, así como la posible obtención de datos por otras vías. No obstante, se constata que el acceso se produjo mediante el procedimiento de recuperación de contraseña diseñado por la entidad, sin intervención de la reclamante, y que existía un riesgo previsible derivado del conocimiento previo de datos por parte del exagente, sin que se hubieran adoptado medidas adicionales reforzadas tras la ruptura contractual. Se analiza asimismo la previsión del artículo 5.1.f) del RGPD, relativo a la integridad y confidencialidad de los datos, en relación con la obligación de implementar medidas técnicas y organizativas adecuadas al riesgo, atendiendo al estado de la técnica, naturaleza de los datos y contexto del tratamiento. En el caso concreto, el sistema de autenticación permitía la reemisión de credenciales y el restablecimiento de acceso mediante datos de póliza y cuenta bancaria, insuficientes para excluir razonablemente la posibilidad de suplantación en un contexto de conocimiento previo de información por terceros. Tras los hechos, AXA modificó el procedimiento de recuperación de contraseña y eliminó el mecanismo de preguntas de seguridad, sustituyéndolo por redirección a atención al cliente y procedimientos adicionales de verificación, así como la eliminación del usuario de la reclamante en el sistema, obligando a un nuevo registro para futuros accesos.

Se presenta reclamación frente a ARES CAPITAL, S.A. por el tratamiento de datos personales de conductores de VTC a los que se exige, para la prestación de servicios laborales, el uso de su terminal móvil personal cuando no se facilita dispositivo corporativo o cuando el trabajador opta por dicho uso, así como la instalación de diversas aplicaciones vinculadas a la gestión del servicio, geolocalización, comunicaciones y control de actividad. La reclamante afirma que dichas herramientas permiten la monitorización continua de la ubicación y otros parámetros del dispositivo personal y que no ha sido adecuadamente informada sobre el alcance del tratamiento, afectando la situación a otros conductores. e aportan capturas de instalación y funcionamiento de las aplicaciones y evidencias procedentes de las tiendas de aplicaciones y políticas de privacidad, en las que se constata que determinadas apps requieren permisos amplios, incluyendo acceso a ubicación aproximada y precisa, datos personales identificativos, contactos, información financiera, audio, imágenes y vídeo, así como otros datos asociados al dispositivo. Asimismo, se incorpora información corporativa sobre la integración de sistemas de gestión de flotas, acceso a vehículos mediante llave digital y aplicaciones de coordinación operativa.

ARES CAPITAL indica que el tratamiento se enmarca en la ejecución del contrato laboral, señalando que los datos se emplean para la gestión de la relación laboral, control de actividad, organización de turnos, seguridad de vehículos y pasajeros, evaluación del desempeño y cumplimiento de obligaciones contractuales. Afirma que el uso de aplicaciones es necesario para la operativa del servicio de VTC y que existen sistemas de geolocalización del vehículo y del dispositivo, precisando que el terminal puede configurarse para desconexión fuera de jornada. Señala igualmente que el trabajador puede elegir entre terminal corporativo o personal, con compensación económica en este último caso, y que el acceso a datos personales se limita a finalidades laborales, sin acceso a contenido privado ajeno a la plataforma. La entidad añade que los dispositivos corporativos incorporan sistemas de gestión remota (MDM) para garantizar la operativa y seguridad, y que las aplicaciones cumplen funciones específicas: gestión de servicios y comunicaciones con clientes, apertura y cierre de vehículos mediante sistema de llave digital por proximidad, y coordinación de la prestación del servicio mediante integración con plataformas de terceros. Asimismo, sostiene que ha adoptado medidas organizativas, incluyendo revisión de políticas internas, formación, refuerzo de información a empleados y previsión de provisión progresiva de dispositivos corporativos.

Del análisis de la información aportada se constata que la utilización de dispositivos personales o corporativos conlleva la instalación de aplicaciones que permiten la recogida de datos de geolocalización, actividad del dispositivo y otros datos asociados, y que algunas de estas aplicaciones incorporan permisos extensivos que exceden la mera gestión de la prestación laboral. Se aprecia igualmente que la disponibilidad de terminal corporativo no es inmediata ni garantizada en todos los casos, condicionándose en la práctica el uso del dispositivo personal para el desempeño del trabajo. En este contexto, se considera que el tratamiento de datos no se ajusta al principio de minimización al abarcar categorías de datos no estrictamente necesarias para la ejecución del contrato laboral, en particular en lo relativo a accesos a información del dispositivo y recopilación de datos de carácter amplio como ubicación continua, audio o contenidos multimedia, lo que supone una posible vulneración del artículo 5.1.c del RGPD.

Asimismo, en relación con la base de legitimación, se aprecia que la aceptación del uso de dispositivos personales y la instalación de aplicaciones se produce en un contexto de desequilibrio propio de la relación laboral, sin que quede acreditada una prestación de consentimiento libre en los términos del RGPD, al condicionarse la prestación del servicio a la instalación de herramientas que implican tratamiento de datos personales no estrictamente necesarios. En consecuencia, se analiza la inexistencia de una base jurídica válida conforme al artículo 6.1 del RGPD para determinados tratamientos asociados a dichas aplicaciones y sistemas de control, en los términos descritos.

IBERANUNCIOS, S.L. notifica una brecha de datos personales en el portal “tucasa.com” tras recibir un aviso de un consultor de ciberseguridad alertando de la posible venta en Internet de una base de datos atribuida al servicio. A raíz de dicha comunicación se realizan verificaciones internas, concluyéndose la posible existencia de un acceso indebido, al identificarse coincidencias entre la muestra de datos difundida y registros correspondientes a la base de datos del año 2022. Se procede a la notificación de la brecha a la autoridad y al envío de comunicaciones a los usuarios potencialmente afectados, además de la adopción de medidas como el reseteo de credenciales. El número de afectados alcanza aproximadamente varios millones de usuarios, sin que consten afectados de otros Estados miembros. La tipología de datos comprometidos incluye información identificativa, de contacto y credenciales de acceso.

Se constata que la brecha se materializa mediante un ataque de inyección SQL que permite el acceso no autorizado y la exfiltración masiva de datos personales. La propia IBERANUNCIOS reconoce que la información sustraída procede de su base de datos y que posteriormente se detecta su publicación y oferta de venta en foros especializados, lo que evidencia la pérdida efectiva de confidencialidad. En consecuencia, no se trata de un riesgo potencial, sino de una vulneración consumada del principio de confidencialidad del artículo 5.1.f) del RGPD.

Del análisis de las circunstancias concurrentes se identifican diversas deficiencias en las medidas técnicas y organizativas implementadas. En particular, durante el proceso de migración tecnológica coexistían versiones antiguas del portal junto con la nueva versión, permaneciendo accesibles formularios obsoletos desde Internet. Dichas versiones utilizaban tecnologías consideradas vulnerables, como ASP 3.0 y ASP.NET, respecto de las cuales existen alertas de seguridad por posibles bypass de autenticación en determinados componentes del framework, según documentación de INCIBE relativa a vulnerabilidades graves. Asimismo, se constata que los datos personales no se encontraban cifrados en reposo, lo que permitía su lectura íntegra una vez producido el acceso ilícito.

Igualmente, no se había documentado de forma específica el riesgo derivado del mantenimiento de componentes residuales durante la migración, ni previsto adecuadamente su impacto en la seguridad del sistema. La detección del incidente no se produce mediante mecanismos proactivos de monitorización, sino a partir del aviso externo sobre la venta de datos en Internet, lo que evidencia una falta de capacidad de detección temprana del acceso no autorizado.

Aunque con posterioridad al incidente IBERANUNCIOS adopta medidas correctoras consistentes en el reseteo de credenciales, desactivación de sistemas antiguos, refuerzo del cifrado y mejora de la monitorización de seguridad, dichas actuaciones se producen una vez materializada la brecha y no eliminan la infracción ya consumada. El propio reconocimiento de que el cifrado en reposo se implementa con posterioridad refuerza la insuficiencia de las medidas existentes en el momento del incidente.

En este contexto, la combinación de factores técnicos y organizativos descritos evidencia que no se adoptaron medidas apropiadas para garantizar la confidencialidad de los datos personales tratados, especialmente teniendo en cuenta el elevado volumen de información afectada y la naturaleza del servicio prestado, lo que constituye una vulneración del artículo 5.1.f) del RGPD imputable a IBERANUNCIOS, S.L.

EMPRESA.1 y PROYECTOS VISUALES ZARAGOZA, S.L. (PROVIS) notificaron ante la AEPD una brecha de datos personales, ampliando posteriormente la información. La AEPD recibió 38 reclamaciones de afectados que habían sido informados del incidente. EMPRESA.1 actuaba como Responsable del tratamiento y PROVIS como encargado, prestando servicios de gestión y alojamiento de la aplicación utilizada para la administración de gimnasios, con bases de datos alojadas en una tercera empresa. La brecha se conoció tras la recepción de un aviso externo sobre la venta de datos en foros de internet, acompañado de muestras coincidentes con la base de datos de clientes. El incidente habría tenido lugar durante varios meses y afectó finalmente a 803.134 interesados, incluidos menores y antiguos clientes, cuyos datos permanecían en sistemas tras su baja conforme a políticas de conservación. Los datos comprometidos incluían identificativos, de contacto y, en determinados casos, IBAN, sin que conste acceso a credenciales o tarjetas bancarias. No se encontraban cifrados.

El análisis técnico determinó que el vector de ataque fue una inyección SQL, vulnerabilidad conocida, frecuente y de alto riesgo en aplicaciones web. Los informes periciales y actuaciones previas evidenciaron la ausencia de medidas básicas, en particular la falta de mecanismos para detectar vulnerabilidades conocidas y la inexistencia de cifrado de los datos en reposo. Estas medidas, además, estaban previstas contractualmente en el encargo de tratamiento suscrito entre EMPRESA.1 y PROVIS. La detección del incidente no fue proactiva, sino derivada de un aviso externo, y existían evidencias de publicación y oferta de los datos exfiltrados en internet. Algunas reclamaciones refieren intentos de fraude y suplantación posteriores, sin acreditación directa de nexo causal.

El contrato de encargo establecía la obligación de PROVIS de tratar los datos conforme a las instrucciones de EMPRESA.1, implementar medidas de seguridad adecuadas y notificar brechas sin dilación. Asimismo, contemplaba la posibilidad de subencargo para servicios de alojamiento, formalizado con la empresa tercera. No obstante, la explotación de una vulnerabilidad básica, unida a la falta de cifrado y de controles de seguridad adecuados, pone de manifiesto un incumplimiento de las medidas exigibles y de las instrucciones contractuales, determinando que PROVIS asuma la condición de responsable a efectos de la infracción. Consta la efectiva pérdida de confidencialidad por acceso no autorizado y difusión de los datos personales.

A.A.A. y B.B.B. interpusieron reclamación por la publicación en una web titularidad de dicha entidad, sus datos personales —nombre y apellidos de ambos y la imagen de A.A.A.— junto con manifestaciones que les atribuían la ocupación de un inmueble y el impago del alquiler. Aportaron capturas que acreditaban la difusión de dichos contenidos, constatándose posteriormente por la Agencia que la publicación permanecía accesible. Inicialmente, se dirigió contra ***EMPRESA.1, quien negó ser titular del dominio ni responsable de los contenidos, apoyándose en consultas “Whois”, gestiones infructuosas con el proveedor de alojamiento y la coincidencia de un número telefónico en distintas páginas web, aportando documentación societaria para diferenciar entidades.

De las actuaciones practicadas se comprobó que la web incluía un apartado de contacto con el número ***TELÉFONO.1 y un aviso legal que identificaba a HIGHCLIFFE ESTATES MARBELLA, S.L., con domicilio en ***DIRECCIÓN.1, como entidad responsable a efectos del ejercicio de derechos. Asimismo, se verificó que la publicación había sido retirada con posterioridad. La tramitación del procedimiento sancionador continuó contra HIGHCLIFFE ESTATES MARBELLA, sin que la misma formulara alegaciones ni frente al acuerdo de inicio ni a la propuesta de resolución.

De la documentación obrante se acredita que los datos personales de A.A.A. y B.B.B. fueron difundidos en la web ***WEB.1 sin concurrir base jurídica que legitimase el tratamiento. No consta el consentimiento de los afectados, quienes lo niegan, ni la necesidad del tratamiento para la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales o el ejercicio de poderes públicos. Tampoco se aprecia interés legítimo que supere la necesaria ponderación con los derechos y libertades de los afectados. En consecuencia, se imputa a HIGHCLIFFE ESTATES MARBELLA la realización de un tratamiento de datos personales sin base de licitud conforme al artículo 6.1 del RGPD.

La reclamante denunció ante la AEPD a CUMACA MOTOR S.L. por exigir copia del DNI al reclamante al retirar su vehículo reparado, alegando que era un requisito de la aseguradora ***ASEGURADORA.1. El reclamante verificó con dicha entidad que no exigía tal documentación, indicándosele además que el propio taller había manifestado que la solicitud obedecía a una política interna. El reclamante solicitó la supresión de la copia y denunció la práctica ante la Agencia.

Tras el traslado de la reclamación, CUMACA MOTOR confirmó haber solicitado la copia del DNI y señaló que ello respondía a la necesidad de acreditar la identidad del cliente para la tramitación del siniestro y cobro de la reparación, indicando que dicha copia se sellaba para limitar su uso. Asimismo, manifestó que procedería a su destrucción a petición del interesado. Posteriormente, alegó que la recogida del DNI podía obedecer a exigencias de aseguradoras en determinados supuestos, aportando documentación genérica de otras entidades, y defendió la existencia de base legitimadora en la ejecución contractual. Consta, no obstante, que en el caso concreto la aseguradora ***ASEGURADORA.1 no exigía dicha copia, y que la propia CUMACA había indicado previamente que se trataba de una práctica interna. Tampoco aportó documentación específica que acreditase tal exigencia en relación con el reclamante. La finalidad alegada —verificación de identidad— no requiere la conservación de una copia íntegra del DNI, que contiene datos adicionales (domicilio, filiación, lugar de nacimiento, fechas de expedición y caducidad, entre otros) no necesarios para dicha finalidad. Existen medios menos intrusivos, como la mera exhibición del documento y anotación de los datos imprescindibles.

Se constató que la exigencia de copia completa del DNI implicaba un tratamiento excesivo de datos personales, no adecuado ni limitado a lo necesario en relación con la finalidad perseguida. Asimismo, se comprobó que la práctica no venía impuesta por la aseguradora en el caso analizado.

CUMACA MOTOR acreditó la adopción de medidas posteriores, consistentes en el cese de la solicitud de copias de documentos de identidad, su sustitución por la mera exhibición y anotación de datos mínimos, y el inicio de un plan de supresión de copias almacenadas. En el caso analizado, la recogida y conservación de copia íntegra del DNI del reclamante para la verificación de su identidad determinó un tratamiento de datos personales contrario al principio de minimización, al exceder de lo necesario para la finalidad pretendida.

Se puso en conocimiento de la AEPD un caso de ciberacoso sufridos por Menor_1, consistentes en la toma de una fotografía en el aula durante horario escolar, su posterior edición en forma de meme y la difusión de ambas imágenes a través de distintos grupos de WhatsApp. La reclamación atribuye los hechos a A.A.A. y a otro alumno, solicitando la retirada de las imágenes y su no reutilización. Se aportaron capturas de conversaciones, denuncias ante la Policía Nacional, acta de reunión del centro educativo y parte de lesiones.

De las actuaciones se desprende que A.A.A. tomó la fotografía de Menor_1 en clase con su teléfono móvil y la remitió inicialmente a un grupo reducido en el que participaba el propio afectado, quien solicitó su eliminación. Posteriormente, la imagen fue difundida en otros grupos de alumnos y transformada en un meme mediante la incorporación de texto, siendo nuevamente distribuida. La documentación incorpora capturas de distintos chats en los que constan dichas publicaciones y su propagación en fechas posteriores. Asimismo, consta que el centro educativo tuvo conocimiento de los hechos, activó actuaciones internas y comunicó a las familias la necesidad de supervisión del uso de dispositivos y redes sociales por los menores.

La reclamante aportó evidencias de que las imágenes continuaban circulando tras su solicitud de retirada, así como denuncias policiales reiterando dicha circunstancia. En el curso del procedimiento, la Agencia ordenó la retirada de los contenidos a los titulares de las líneas desde las que se difundieron las imágenes. La madre de A.A.A. comunicó la eliminación de los archivos del terminal bajo su responsabilidad y del grupo en el que habían sido publicados, aportando capturas que reflejan la supresión del contenido, así como la petición de eliminación realizada por el entorno del menor afectado. El padre del otro menor implicado informó igualmente de la retirada de los contenidos de su dispositivo.

Los hechos descritos implican la captación y difusión de la imagen de Menor_1 sin su consentimiento, mediante el uso de un dispositivo móvil y aplicaciones de mensajería, determinando A.A.A. los fines y medios del tratamiento, lo que lo sitúa en la posición de responsable a efectos del RGPD. Consta la participación de A.A.A. en la obtención de la imagen y en su difusión posterior, así como en la creación del contenido derivado.

Las actuaciones practicadas permitieron la retirada de los contenidos y la intervención del entorno familiar y educativo, quedando reflejada la participación de A.A.A. en los hechos investigados y las medidas adoptadas en relación con los mismos.

Se verificó que la acción careció de cobertura legal, si bien el archivo de las actuaciones se fundamentó en que el procedimiento alcanzó una finalidad análoga a la de los poderes correctivos al concienciar al interviniente sobre las implicaciones normativas de sus actos.

Se interpuso reclamación ante la AEPD contra MAXAMCORP INTERNATIONAL, S.L. por la implantación de un sistema de registro de jornada basado en huella dactilar en su centro de trabajo de Páramo de Masa (Burgos), alegándose falta de habilitación jurídica para el tratamiento de datos biométricos, ausencia de excepción conforme al artículo 9.2 del RGPD y deficiencias en la evaluación de impacto en protección de datos (EIPD). El sistema sustituyó un mecanismo previo de tarjetas magnéticas y fue implantado tras comunicación a la representación legal de los trabajadores, recogiéndose previamente las huellas dactilares de 137 empleados. El sistema, basado en el software ***PROGRAMA.1, captaba fragmentos de huella dactilar, generaba una plantilla biométrica única mediante algoritmos de procesamiento y cifrado, y permitía la identificación unívoca de los trabajadores mediante verificación automatizada 1:N en terminales de control de presencia. Dicha plantilla se almacenaba junto a identificadores asociados al empleado y se utilizaba para el registro de inicio y fin de jornada. MAXAMCORP sostuvo reiteradamente que no existía tratamiento de datos personales, al considerar que las huellas eran fragmentadas y transformadas en datos irreversibles mediante cifrado de extremo a extremo, afirmando que no se trataban datos biométricos en sentido jurídico. Esta posición fue reflejada tanto en su EIPD como en el registro de actividades de tratamiento, donde se descartaba la aplicación del artículo 9 del RGPD. Sin embargo, la documentación técnica evidenció la existencia de un patrón biométrico asociado a cada trabajador que permitía su identificación automatizada, lo que encaja en la definición de datos biométricos del artículo 4.14 del RGPD, con independencia de que no se almacene la imagen completa de la huella. En consecuencia, el tratamiento realizado constituye tratamiento de datos de categoría especial sujeto a la prohibición del artículo 9.1 del RGPD, sin que MAXAMCORP acreditara la concurrencia de ninguna de las excepciones del artículo 9.2. Durante la tramitación, la entidad no invocó inicialmente ninguna excepción habilitante, limitándose a justificar la licitud del tratamiento en el artículo 6 del RGPD. Posteriormente, reconoció la necesidad de una excepción sin acreditar su existencia efectiva. Asimismo, la negación de la existencia de tratamiento de datos personales se reflejó en comunicaciones internas y en la propia EIPD, pese a que el sistema implicaba la generación y uso de identificadores biométricos. El tratamiento, activo durante el periodo de funcionamiento del sistema, fue posteriormente suspendido y sustituido por otro mecanismo de control horario. Durante su vigencia no constó base jurídica válida conforme al artículo 9.2 del RGPD. En cuanto a la evaluación de impacto, MAXAMCORP elaboró una EIPD previa al inicio del tratamiento, exigible por tratarse de un sistema de alto riesgo basado en tecnologías biométricas. No obstante, dicha evaluación presentaba deficiencias sustanciales conforme al artículo 35.7 del RGPD. No describía de forma coherente las operaciones de tratamiento ni sus finalidades, incurría en contradicciones sobre la existencia misma de datos personales y no identificaba adecuadamente los riesgos para los derechos y libertades de los interesados. El análisis de necesidad y proporcionalidad no justificaba el uso de datos biométricos frente a alternativas menos intrusivas, ni evaluaba adecuadamente las circunstancias organizativas del tratamiento. Las opciones tecnológicas se presentaban de forma genérica sin una decisión motivada sobre su adopción o descarte. Asimismo, la EIPD no incorporaba un análisis estructurado de riesgos inherentes o residuales ni aplicaba una metodología de evaluación conforme a estándares consolidados. Las medidas previstas eran genéricas, no vinculadas a riesgos concretos y centradas en aspectos de seguridad, sin contemplar adecuadamente la reducción del impacto sobre los derechos de los afectados ni la protección de datos desde el diseño.

En consecuencia, el sistema de fichaje mediante huella dactilar implicó el tratamiento de datos biométricos con fines de identificación unívoca sin habilitación conforme al artículo 9.2 del RGPD y con una EIPD que no cumplía los requisitos exigidos por el artículo 35 del RGPD, manteniéndose operativo hasta su posterior sustitución.

El Sindicato CCOO de Asturias interpuso una demanda de tutela de derechos fundamentales contra Mantequerías Arias, S.A. tras la implantación unilateral de un sistema de videovigilancia en su centro de trabajo. CCOO solicitó la declaración de vulneración de los derechos a la intimidad y propia imagen de la plantilla, además del incumplimiento de los derechos de información y consulta de los representantes legales. El conflicto se originó cuando la empresa colocó dispositivos de grabación en los pasillos que conducen a los vestuarios de hombres y mujeres, así como en la entrada al comedor laboral, sin realizar una comunicación previa ni negociar la medida. Mantequerías Arias se opuso a la reclamación y justificó su actuación en la existencia de hurtos previos dentro de los vestuarios, por lo que buscó proteger el patrimonio de los empleados con un fin disuasorio. Sostuvo que las cámaras captaron exclusivamente zonas de tránsito común y no el interior de los recintos privados, defendiendo la proporcionalidad de la medida ante la falta de alternativas eficaces para garantizar la seguridad. La Inspección de Trabajo emitió un requerimiento previo para la retirada de los equipos al apreciar un riesgo para la privacidad, pero la empresa mantuvo los dispositivos al discrepar del criterio inspector.

El Tribunal de Instancia examinó la adecuación de la videovigilancia al RGPD y a la LOPDGDD, y determinó que la ubicación de las cámaras vulneró el derecho a la intimidad del personal. La prohibición legal de instalar sistemas de grabación en lugares destinados al descanso o esparcimiento, como vestuarios y comedores, se extiende también a sus accesos inmediatos, pues captan el ingreso de la plantilla a sus espacios de mayor privacidad. En consecuencia, la actuación de Mantequerías Arias, S.A. resultó desproporcionada, ya que no probó la continuidad de los ilícitos patrimoniales ni aportó denuncias objetivas que justificasen una intrusión de tal calibre en la esfera personal de los trabajadores.

Asimismo, la empresa no comunicó al comité ni a los afectados de forma previa, expresa y concisa la puesta en marcha de estas cámaras específicas, tildando de insuficiente la información genérica facilitada años antes sobre otros sistemas de seguridad, así como los avisos exteriores que no advirtieron de la vigilancia concreta en los pasillos de vestuarios. La falta de transparencia sobre quién fue el encargado del tratamiento o el periodo de conservación de las imágenes privó a los trabajadores del control sobre su propia información personal, lo que motivó la nulidad de la actuación empresarial.

Valeriano, vigilante de seguridad empleado por Securitas Seguridad España SA en el centro de trabajo de Zona Franca en Vigo, interpone demanda frente a la empresa solicitando la tutela de derechos fundamentales, alegando vulneración del derecho a la desconexión digital y del derecho a la protección de datos personales. El Juzgado de lo Social desestima la demanda al considerar que las comunicaciones remitidas no exigían respuesta fuera del horario laboral y que no se había producido cesión ilícita de datos al haberse utilizado copia oculta en los correos electrónicos. Frente a dicha resolución, Valeriano interpone recurso de suplicación. Alega que, pese a haber comunicado expresamente a la empresa su voluntad de no recibir comunicaciones laborales fuera de su jornada, continuó recibiendo correos electrónicos y mensajes relacionados con formación, organización del servicio, recordatorios de citas médicas laborales y comunicaciones internas, algunos de ellos remitidos fuera del horario de trabajo y a través de su correo electrónico y teléfono personal. Asimismo, sostiene que determinadas comunicaciones de terceros vinculados a la actividad laboral implicaron tratamiento y uso de sus datos personales sin consentimiento. Del relato fáctico se desprende que Securitas Seguridad España SA y entidades vinculadas remitieron al trabajador diversas comunicaciones relativas a cursos de formación obligatoria, cuadrantes de servicio, avisos de seguridad operativa y gestión de reconocimientos médicos, así como mensajes de una academia de formación externa y de un servicio de prevención ajeno. Parte de estas comunicaciones se efectuaron fuera del horario laboral y en algunos casos a través de canales personales del trabajador. No consta acreditado consentimiento específico del trabajador para la cesión de sus datos a terceros ni para el uso de medios personales con fines laborales fuera del tiempo de trabajo.

El órgano judicial de suplicación analiza el alcance del derecho a la desconexión digital previsto en el artículo 20 bis del Estatuto de los Trabajadores y en la normativa de protección de datos, así como en el convenio colectivo aplicable, que establece el deber empresarial de abstenerse de realizar comunicaciones laborales fuera de jornada salvo supuestos de urgencia. Concluye que, aunque algunas comunicaciones podrían encuadrarse en la gestión ordinaria del servicio, otras remitidas fuera del horario laboral no se justifican por causa de urgencia ni necesidad organizativa, apreciándose una vulneración del derecho a la desconexión digital en su vertiente de deber empresarial de abstención.

En materia de protección de datos, se analiza la ausencia de acreditación del consentimiento del trabajador para la cesión de su dirección de correo electrónico y número de teléfono a entidades externas colaboradoras, así como la falta de información suficiente sobre dichos tratamientos conforme a la normativa aplicable. Se concluye la existencia de vulneración del derecho fundamental a la protección de datos al no haberse justificado adecuadamente la legitimación ni el cumplimiento de los deberes de información.

La reclamante manifiesta que en las instalaciones de la empresa RAMÓN GRAU en la que trabaja gestionadas mediante un sistema de videovigilancia instalado por ***EMPRESA.1, existen cámaras en oficina, almacén y fábrica, ubicadas en zonas de paso y trabajo continuo. Asegura que dichos dispositivos registran imagen y sonido, sin que los trabajadores hayan sido informados de la captación de audio ni mediante cartelería ni mediante la documentación de protección de datos entregada. Añade que una cámara instalada en la oficina, de tipo doméstico, estaría situada junto a su puesto de trabajo y permitiría la grabación y escucha de conversaciones, refiriendo además que el responsable habría aludido a conversaciones privadas captadas por dichas cámaras. Aporta fotografías de los dispositivos y documentación técnica del fabricante en la que se indica la existencia de “audio bidireccional de alta calidad”, así como copia de la “Carta informativa y de confidencialidad para los trabajadores”, donde únicamente se informa de la existencia de un sistema de videovigilancia destinado a la seguridad de las instalaciones. RAMÓN GRAU informa de la existencia de cuatro cámaras, aporta imágenes de su ubicación y del sistema de visualización, y sostiene que las grabaciones se limitan a las instalaciones, sin captar espacios ajenos ni zonas prohibidas. Indica que el acceso a imágenes está restringido a personal autorizado mediante credenciales y que las grabaciones se conservan durante un máximo de un mes. Asimismo, aporta carteles informativos de videovigilancia y contrato con la empresa instaladora. En relación con el control laboral, afirma que, en caso de utilizar las cámaras con dicha finalidad, los trabajadores habrían sido informados, aunque no aporta evidencia específica distinta de la cláusula general de videovigilancia incluida en la “Carta informativa y de confidencialidad”, que únicamente menciona la vigilancia de instalaciones. No se aporta información ni respuesta concreta sobre la captación de sonido ni documentación acreditativa de su tratamiento o de su base jurídica.

De la documentación obrante se desprende que el sistema de videovigilancia está bajo responsabilidad de RAMÓN GRAU, con finalidades de seguridad y posible control laboral. Sin embargo, no consta acreditada información específica a los trabajadores sobre dicha finalidad de control laboral ni sobre la eventual captación de audio. Tampoco consta respuesta a los requerimientos de la AEPD sobre la captación de sonido. El análisis normativo parte de la licitud del tratamiento en el ámbito laboral conforme al artículo 20.3 del Estatuto de los Trabajadores y al artículo 89.3 de la LOPDGDD, que permite la videovigilancia con fines de control laboral bajo criterios de proporcionalidad e intervención mínima, estableciendo restricciones específicas para la grabación de sonidos, que solo resulta admisible cuando sea necesaria y proporcionada. La doctrina constitucional limita además la grabación de conversaciones en el entorno laboral cuando no resulte estrictamente justificada por la finalidad perseguida. En el presente caso, no se acredita la información previa a los trabajadores sobre el uso de las cámaras para control laboral ni sobre la captación de audio, ni consta habilitación específica que justifique dicha captación. Asimismo, la documentación aportada no menciona la grabación de sonido, pese a los indicios técnicos del equipamiento utilizado. Por ello, la AEPD considera que los hechos son constitutivos de infracción del artículo 13 del RGPD por deficiencias en el deber de información, así como del artículo 6.1 del RGPD en relación con la eventual falta de base jurídica para el tratamiento de datos mediante captación de sonido en el entorno laboral.

MEDIOS DE PREVENCIÓN EXTERNOS SUR, S.L. (MPE SUR) notificó ante la AEPD una quiebra de seguridad de gran alcance tras sufrir un ciberataque de tipo ransomware que comprometió la confidencialidad y disponibilidad de sus sistemas. El incidente se originó mediante el acceso ilícito de un tercero a la infraestructura corporativa a través de credenciales robadas, lo que permitió un escalado de privilegios y el control total de la red. La entidad, encargada de realizar revisiones médicas para diversas instituciones, gestionó información de miles de personas que incluyó categorías especiales de datos. La reclamante y otros afectados interpusieron reclamaciones tras recibir comunicaciones en las que se informó sobre la posible exposición de registros sensibles, tales como resultados de reconocimientos médicos, certificados de aptitud y documentos de identidad. Las actuaciones de investigación y el informe forense confirmaron que el atacante utilizó herramientas de exfiltración durante varios días, circunstancia que se verificó meses después con la publicación efectiva de la información en internet. Los hallazgos técnicos acreditaron deficiencias estructurales críticas, destacando que el acceso a la VPN careció de mecanismos de autenticación reforzada y que la organización no dispuso de registros de tráfico suficientes para auditar la extracción de datos. Finalmente, MPE_SUR reconoció su responsabilidad administrativa y procedió al pago voluntario de la sanción pecuniaria, aceptando la orden de adoptar medidas técnicas para garantizar la resiliencia de sus sistemas.

La AEPD considera que se produjo una vulneración del RGPD al no garantizarse una seguridad técnica adecuada frente al riesgo del tratamiento masivo de datos de salud. Los hechos acreditaron que MPE_SUR mantuvo una VPN SSL expuesta a internet protegida únicamente por usuario y contraseña, omitiendo la implementación de la autenticación multifactor como medida básica de protección. La AEPD consideró que la actuación vulneró la normativa porque el responsable no aplicó controles organizativos y tecnológicos proporcionales a la sensibilidad de la información custodiada, facilitando una brecha que derivó en la pérdida de disponibilidad y la posterior difusión ilícita de registros médicos. Se verificó que la falta de diligencia en la protección de cuentas privilegiadas y la carencia de monitorización del tráfico permitieron al atacante operar de forma indistinguible a un usuario legítimo, contraviniendo la obligación de asegurar la reserva y protección de los datos personales frente a tratamientos no autorizados.

Vidal, un funcionario del Centro Penitenciario de Lanzarote, no asistió a su puesto de trabajo y justificó su ausencia mediante justificantes médicos que acreditaron su indisposición y asistencia a consulta. Pese a ello, la dirección del centro le requirió formalmente la aportación del diagnóstico y el tratamiento médico específico. Vidal se negó al considerar que dicha información pertenecía a su esfera íntima, lo que motivó que la Administración le comunicara la deducción de los días de ausencia en su nómina. La AEPD sancionó a la Secretaría General de Instituciones Penitenciarias con un apercibimiento al apreciar un incumplimiento del principio de minimización. La Administración impugnó la resolución y la Audiencia Nacional anuló la sanción, al razonar que, ante la negativa del afectado a entregar los datos, no se produjo una recogida efectiva ni, por ende, tratamiento alguno. Disconforme, la AEPD interpuso recurso de casación ante el Tribunal Supremo, sosteniendo que la solicitud de información forma parte de una actividad organizada que obliga al responsable a evaluar la licitud y proporcionalidad de la medida antes de obtener el dato. Por su parte, el Abogado del Estado defendió que el tratamiento comienza con la recogida física del dato y que la petición resultó pertinente para combatir el absentismo laboral.

El Tribunal Supremo casó la sentencia de instancia y determinó que el concepto de tratamiento de datos personales debe interpretarse de forma amplia, abarcando incluso el solo requerimiento de información. El Alto Tribunal razonó que las obligaciones del responsable del tratamiento, en especial el principio de minimización y la protección desde el diseño, resultaron exigibles con carácter previo a la recepción física de la información. Condicionar la protección al éxito del acceso a los datos generaría inseguridad jurídica y desprotegería el derecho fundamental a la intimidad, pues la autoridad debió examinar la adecuación y pertinencia de los datos solicitados antes de su obtención para evitar riesgos innecesarios.

En este caso, el requerimiento del diagnóstico y tratamiento médico resultó innecesario y desproporcionado para los fines de control de absentismo. Constató que Vidal aportó justificantes de indisposición que permitieron a la Administración verificar el motivo de su ausencia, sin que se acreditara la utilidad de acceder a información clínica especialmente protegida. La normativa vigente excluye el diagnóstico incluso en los partes de baja laboral comunicados al centro de trabajo, por lo que la actuación del centro penitenciario excedió lo necesario para la gestión del personal y vulneró el principio de minimización al solicitar datos de salud sin una base legal habilitante o el consentimiento del interesado.

La reclamante, integrante del comité de supervisión de un fondo de inversión, interpuso una reclamación ante la AEPD contra GESCONSULT tras detectar el uso inconsulto de una grabación audiovisual. El incidente ocurrió después de una reunión celebrada mediante videollamada, cuya captación de imagen y voz contó inicialmente con el consentimiento de los asistentes para fines de gestión interna y soporte en la elaboración del acta escrita. Sin embargo, GESCONSULT facilitó la grabación íntegra a entidades ajenas al comité, amparándose en su condición de partícipes del fondo y en la supuesta naturaleza de la grabación como acta oficial del encuentro. Durante la fase de investigación, la autoridad de control constató que el reglamento del fondo preveía la redacción de actas, sin que constara una habilitación técnica ni jurídica para sustituir dicho documento por el archivo multimedia sin el permiso expreso de los afectados. Los hallazgos fácticos acreditaron que el responsable remitió el vídeo a terceros sin anonimizar los datos de los intervinientes ni recabar una autorización específica para dicho tratamiento ulterior. El alcance real del incidente supuso una pérdida de control sobre la información personal de los miembros del comité, exponiendo su identidad visual y sonora en un contexto de confidencialidad financiera. Finalmente, GESCONSULT reconoció su responsabilidad administrativa y procedió al pago voluntario de la cuantía pecuniaria establecida.

En cuanto a la legitimación, se verificó una vulneración del RGPD al tratarse datos personales sin una base jurídica válida que amparara la comunicación a terceros. Los hechos acreditaron que GESCONSULT careció del consentimiento informado de la reclamante para difundir su imagen y voz fuera del ámbito estricto del comité de supervisión. La AEPD consideró que la actuación vulneró la normativa porque la aceptación inicial de la grabación para fines auxiliares de redacción no facultó al responsable para considerar el archivo audiovisual como un acta pública ni para su posterior entrega a otros partícipes. Se determinó que la entidad operó sin un título habilitante, toda vez que el tratamiento excedió la finalidad original comunicada a los interesados, quebrando el principio de licitud al procesar registros personales de imagen y sonido sin una justificación operativa o legal que prevaleciera sobre la privacidad de los participantes.