Resoluciones Relevantes MARZO 2026

A raíz de una denuncia presentada ante la AEPD, y apreciándose indicios de un posible incumplimiento de la normativa de protección de datos, la Agencia acordó iniciar actuaciones de investigación frente a IMMUCURA MED, S.L., bajo el número de expediente EXP202408956. En el marco de dichas actuaciones se remitieron a la entidad dos requerimientos de información para que, en el plazo de diez días hábiles, aportara la documentación e información solicitadas por la Agencia. El primer requerimiento fue notificado por medios electrónicos sin que fuera recogida dentro del plazo de puesta a disposición, entendiéndose rechazada y válidamente practicada. Posteriormente se efectuó un segundo requerimiento mediante correo postal dirigido al domicilio social de la entidad que consta en el Registro Mercantil, el cual fue devuelto por el operador postal con la indicación de destinatario desconocido. La notificación fue puesta igualmente a disposición del interesado por medios electrónicos a través de la dirección electrónica habilitada única, siendo finalmente recogida por la entidad.

Pese a haberse practicado las notificaciones con arreglo a la normativa procedimental aplicable, la entidad no remitió respuesta alguna ni aportó la información solicitada por la Agencia en el plazo concedido. Dicha actuación supuso la obstaculización del ejercicio de las potestades de investigación atribuidas a las autoridades de control, considerándose constitutivos de una infracción imputable a la entidad por vulneración del art. 58.1 RGPD.

Por parte de A.A.A., se presenta reclamación manifestado que , tras reservar un alojamiento gestionado por SOCIEDAD ANDALUZA DE CHARTERS ATLÁNTICOS a través de una plataforma web, recibió varios correos electrónicos indicándole que debía descargar una aplicación móvil para completar el proceso de check-in. Mediante dicha aplicación se le requería escanear el documento de identidad por ambas caras, aportar una fotografía del rostro y firmar digitalmente, indicando la entidad que el procedimiento era necesario para cumplir con la normativa aplicable al registro de viajeros. La reclamación se acompañó de la transcripción de diversos correos electrónicos intercambiados entre el reclamante, la plataforma de reserva y el alojamiento, así como de la factura correspondiente a la estancia.

En su respuesta a la AEPD, la entidad señaló que el sistema de registro se realiza a través de una aplicación gestionada por una empresa encargada del tratamiento y que el procedimiento permite cumplir con las obligaciones legales derivadas de la normativa sobre registro documental de viajeros, citando el artículo 25 de la Ley Orgánica 4/2015 de protección de la seguridad ciudadana, el Real Decreto 933/2021 y la Orden INT/1922/2003. Según la entidad, el escaneo del documento de identidad y la captura de imagen permiten verificar la validez del documento mediante lectura OCR de la zona MRZ, tras lo cual únicamente se recogen los datos mínimos necesarios para remitirlos a las Fuerzas y Cuerpos de Seguridad del Estado. Asimismo, sostuvo que la información sobre el sistema de check-in autónomo figuraba en el anuncio del alojamiento y que el tratamiento de datos respetaba los principios del artículo 5 del RGPD. La AEPD señaló que la normativa de seguridad ciudadana establece la obligación de registro documental de huéspedes, desarrollada por el Real Decreto 933/2021, que precisa los datos que deben recogerse y comunicarse a las autoridades. Dichas disposiciones contemplan la obtención de determinados datos identificativos del viajero, pero no exigen la recogida de una copia completa del documento de identidad ni de una fotografía del huésped. Según la documentación obrante en el expediente y el funcionamiento de la aplicación descrito en los correos remitidos al reclamante y en el material explicativo aportado, el sistema exige la captura de imágenes del anverso y reverso del documento de identidad, la realización de un selfie, el envío de dichas imágenes, la verificación de identidad, la firma del huésped y el almacenamiento de los documentos generados. Estas operaciones constituyen tratamientos de datos personales conforme al artículo 4.2 del RGPD y se realizan con carácter previo a la eventual extracción de los datos necesarios para cumplir con la obligación de registro de viajeros.

La AEPD consideró que la solicitud y recogida de la imagen completa del documento de identidad y de la fotografía del rostro implican el tratamiento de datos personales que exceden de los estrictamente necesarios para cumplir con las obligaciones legales en materia de registro de huéspedes. El documento de identidad contiene información adicional no requerida por la normativa, como la fotografía, la fecha de caducidad, el número de soporte o datos familiares, cuya recogida carece de base jurídica en este contexto. Asimismo, la captura de un selfie para verificar la identidad supone la obtención de datos adicionales que no resultan necesarios para la finalidad perseguida. En consecuencia, la exigencia de escanear el documento de identidad completo y remitir una fotografía del huésped a través de la aplicación utilizada para el check-in constituye un tratamiento de datos personales excesivo respecto de la finalidad declarada de cumplimiento de la normativa de seguridad ciudadana, vulnerando el principio de minimización de datos.

A.A.A., B.B.B. y C.C.C. interpusieron reclamaciones ante la Agencia Española de Protección de Datos contra Hyundai Motor España S.L.U. (HMES) tras recibir una comunicación sobre una brecha de datos personales que les generó preocupación y molestias. La entidad informó de que un tercero no autorizado accedió a información de su base de datos de clientes y potenciales clientes, afectando a datos de contacto y datos de vehículos, sin compromiso de datos financieros ni documentos identificativos oficiales. La brecha, también notificada por la propia entidad, tuvo su origen en un incidente de seguridad en un sistema gestionado por su encargado del tratamiento, Hyundai AutoEver Europe GmbH (HAEE), proveedor tecnológico del grupo. El ataque permitió la exfiltración de aproximadamente 5,4 GB de datos correspondientes a 1.012.730 interesados en España, incluyendo nombre y apellidos, fecha de nacimiento, teléfono, dirección postal o electrónica, identificador de cliente y número de bastidor del vehículo. Los datos no estaban cifrados en el contexto en el que fueron comprometidos. El incidente se produjo mediante la explotación de una vulnerabilidad existente en el software que soportaba el sistema utilizado para fines de marketing y análisis, operado por HAEE. La versión instalada en el momento del ataque no era la más reciente disponible y presentaba vulnerabilidades conocidas, existiendo actualizaciones previas que corregían fallos calificados como críticos, altos y medios. Tras tener conocimiento del incidente, se procedió al aislamiento de los sistemas afectados, al bloqueo de accesos y a la aplicación de parches, sustituyéndose posteriormente la solución tecnológica comprometida. La brecha fue comunicada a los interesados por medios electrónicos y postales. La entidad manifestó que no tenía constancia de difusión pública de los datos ni de usos ilícitos, apoyándose en servicios de monitorización de filtraciones y en la ausencia de denuncias adicionales, más allá de las reclamaciones presentadas. Asimismo, sostuvo que los datos afectados eran de carácter básico, no pertenecientes a categorías especiales, y que el impacto para los interesados sería limitado y reversible, si bien algunos reclamantes asociaron el incidente a la recepción de comunicaciones no deseadas y a riesgos potenciales derivados de la pérdida de control de su información.

En relación con las medidas de seguridad, HMES afirmó disponer de políticas y controles técnicos y organizativos previos, incluyendo control de accesos, auditorías y copias de seguridad. No obstante, se constató que la vulnerabilidad explotada no había sido corregida pese a la existencia de actualizaciones disponibles, y que los datos comprometidos no se encontraban cifrados en el momento de su exposición efectiva, existiendo además inconsistencias en las manifestaciones sobre el cifrado en reposo y en tránsito. Por todo ello, se considera que a raíz de la documentación obrante que el acceso no autorizado se produjo como consecuencia de debilidades en el sistema de información gestionado por el encargado del tratamiento, lo que permitió la exfiltración de datos personales. Estos hechos pusieron de manifiesto la falta de garantía adecuada de la confidencialidad e integridad de los datos, en vulneración del artículo 5.1.f) del Reglamento (UE) 2016/679, al no haberse evitado un acceso no autorizado que podría haberse prevenido mediante la aplicación de medidas de seguridad actualizadas y eficaces.

La reclamante solicitó su inscripción en un curso subvencionado ofertado por FEMXA a través de su página web. Tras ser admitido, la entidad le requirió el envío de una copia del Documento Nacional de Identidad (DNI). El interesado remitió una versión parcialmente anonimizada del documento, ocultando determinados datos de seguridad, ante lo cual FEMXA le indicó que era necesario que todos los datos fueran plenamente legibles para continuar con la tramitación. Al considerar injustificado dicho requerimiento, el reclamante optó por desistir del curso y solicitó la supresión de sus datos personales. Consta en el expediente el intercambio de mensajes mantenido por WhatsApp, en los que FEMXA solicitaba el DNI por ambas caras y reiteraba la necesidad de que el documento fuera íntegro. FEMXA, en su condición de entidad colaboradora en programas de formación subvencionados gestionados por el Servicio Público de Empleo Estatal (SEPE), alegó actuar como encargado del tratamiento conforme a la normativa aplicable, indicando que la solicitud del DNI respondía a la necesidad de verificar la identidad de los participantes y justificar el destino de fondos públicos. Sostuvo que dicha exigencia derivaba de instrucciones del responsable del tratamiento y de la necesidad de acreditar el cumplimiento de los requisitos de acceso a la formación subvencionada. Asimismo, explicó que el proceso de inscripción incluye un registro previo en la web con datos básicos, aceptación de la política de privacidad y posterior aportación de documentación acreditativa, que puede remitirse por distintos canales, incluido WhatsApp.

En relación con la normativa aplicable, la convocatoria de subvenciones para programas de formación establece que las personas interesadas deben presentar una solicitud conforme a un modelo normalizado (Anexo I), que recoge datos identificativos, profesionales y de contacto, junto con el consentimiento para el tratamiento de datos personales. No obstante, dicha convocatoria no contempla la obligación de aportar copia del DNI. Así lo confirmó expresamente el SEPE, que indicó que los datos exigidos son los incluidos en el citado formulario, sin requerirse la reproducción del documento de identidad, ni establecerse instrucciones específicas sobre los canales de recogida de datos. Asimismo, el SEPE aclaró que el modelo de solicitud al que aludía FEMXA, disponible en la web de FUNDAE y que incluye la aportación del DNI, no resulta aplicable al procedimiento de inscripción en cursos subvencionados, sino a otros trámites distintos.

Con motivo de lo anterior, la AEPD entiende que la decisión de exigir una copia íntegra del DNI fue adoptada por FEMXA sin una instrucción expresa del SEPE, pese a que la normativa aplicable define de forma concreta los datos necesarios para la gestión de las solicitudes. En este contexto, la recogida sistemática de copias completas del documento de identidad, incluyendo datos no necesarios para la finalidad perseguida, supone un tratamiento que excede lo requerido para verificar la identidad del solicitante. La utilización de copias de documentos de identidad debe limitarse a los supuestos en que resulte estrictamente necesaria, adecuada y proporcionada. En particular, se considera que pueden emplearse medios menos intrusivos para verificar la identidad, o bien limitar la información recabada a los datos imprescindibles, permitiendo incluso la ocultación de elementos no necesarios. En el presente caso, la finalidad de comprobación de requisitos para acceder a la formación subvencionada podía alcanzarse mediante los datos previstos en el formulario oficial, sin necesidad de recabar la imagen completa del DNI. En consecuencia, el requerimiento y tratamiento de copias íntegras del documento de identidad, sin base normativa suficiente y sin atender al principio de minimización de datos, implica la recogida de información excesiva en relación con la finalidad declarada, al incluir datos no pertinentes ni necesarios para la gestión de la inscripción en los cursos subvencionados

La reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. por el tratamiento de datos personales derivado del cargo de un recibo en una cuenta distinta de aquella para la que había sido autorizado el adeudo. La reclamante, titular de dos cuentas canceladas y de una nueva cuenta abierta en la misma entidad, manifiesta que un recibo correspondiente a un seguro contratado con un tercero, previamente domiciliado en una de las cuentas canceladas, fue cargado en la nueva cuenta sin su autorización ni existencia de desvío entre cuentas, extremo acreditado mediante certificación bancaria. Asimismo, indica haber modificado la forma de pago con la entidad acreedora y cuestiona la falta de transparencia en la gestión de la documentación contractual. Por su parte, BBVA sostiene que el cargo se realizó en el marco de un mandato SEPA vigente no revocado, alegando que la domiciliación fue consentida de forma verbal o tácita y que otros recibos fueron igualmente redomiciliados sin oposición. Añade que el tratamiento estaría legitimado por la ejecución del contrato existente entre la reclamante y la entidad acreedora, así como por el interés legítimo de garantizar la continuidad de los pagos, invocando además la normativa de servicios de pago en relación con los plazos de devolución de adeudos.

Analizada la documentación, la AEPD concluye que el mandato SEPA constituye una autorización vinculada a una cuenta concreta identificada mediante IBAN, de modo que cualquier modificación de la cuenta de cargo requiere una nueva autorización del titular o su actualización por el acreedor. En el presente supuesto, el adeudo se efectuó en una cuenta distinta de la inicialmente designada, sin que conste acreditado consentimiento válido de la reclamante para tal cambio. Las manifestaciones de la entidad sobre un consentimiento verbal o tácito no cumplen las exigencias del RGPD, que requiere una manifestación de voluntad libre, específica, informada e inequívoca, susceptible de acreditación por el responsable. Tampoco se considera aplicable la base jurídica relativa a la ejecución de un contrato, al no ser la entidad financiera parte en la relación contractual principal entre la reclamante y la entidad acreedora, ni la del interés legítimo, al no haberse acreditado la realización de una ponderación adecuada ni el cumplimiento del deber de información correspondiente. La actuación de la entidad se basó en la existencia de un mandato no revocado, pero referido a una cuenta cancelada, sin que conste autorización para su extensión a la nueva cuenta ni desvío operativo entre ambas.

En consecuencia, el tratamiento de datos personales consistente en el cargo del recibo en la nueva cuenta se realizó sin base de legitimación conforme al artículo 6 del RGPD, al no concurrir consentimiento válido ni otra causa habilitante debidamente acreditada, constando además la inexistencia de desvío entre cuentas y la ausencia de prueba suficiente del consentimiento alegado por la entidad.

La reclamación se dirige contra MALAGASUITE SHOWROOM, S.L. por la presunta vulneración de la normativa de protección de datos en el contexto de la gestión de un alojamiento turístico. La reclamante expone que, tras realizar una reserva a través de una plataforma online, en el momento del registro de entrada una empleada de la entidad procedió a fotografiar los documentos de identidad de los huéspedes con un dispositivo móvil, sin haber sido informados previamente ni haber prestado consentimiento. Asimismo, señala deficiencias en la información facilitada en la página web de la entidad, al incluir referencias a normativa derogada y carecer de identificación del responsable del tratamiento y de información sobre el ejercicio de derechos.

Aportada la documentación acreditativa, se dio traslado de la reclamación a MALAGASUITE SHOWROOM, sin que inicialmente se recibiera respuesta. En el curso de las actuaciones, la Agencia verificó que la política de privacidad publicada en la web contenía referencias a normativa derogada y omitía información esencial, como la identificación del responsable del tratamiento y el plazo de conservación de los datos, si bien incluía datos de contacto.

Posteriormente, la entidad manifestó que no se realizaban copias ni fotografías de los documentos de identidad, limitándose a recoger los datos necesarios para su comunicación a las autoridades competentes conforme a la normativa sectorial aplicable, indicando que dicha recogida se efectuaba mediante una plataforma externa o, en su defecto, de forma manual. Alegó igualmente que el tratamiento de los datos se encontraba amparado en una obligación legal y que se facilitaba a los interesados la información exigida por la normativa vigente. Asimismo, identificó al responsable del tratamiento, describió las finalidades y categorías de datos tratados, y señaló la existencia de medidas de seguridad adecuadas.

No obstante, ante la insuficiencia de la información aportada, la Agencia formuló un nuevo requerimiento solicitando, entre otros extremos, evidencias del sistema de recogida de datos, copia de formularios utilizados, acreditación de la información facilitada a los interesados, detalles sobre la entrega de llaves y aclaración de los hechos denunciados relativos a la captación de imágenes de los documentos. Este requerimiento fue debidamente notificado, sin que la entidad aportara respuesta. En actuaciones posteriores, se constató que la página web había sido actualizada, incorporando referencias a la normativa vigente, identificando al responsable del tratamiento e incluyendo información adicional sobre las finalidades del tratamiento y medios de contacto. Sin embargo, no se hallaron referencias específicas al tratamiento de datos mediante la plataforma externa utilizada ni evidencias de la existencia de un contrato de encargo de tratamiento con la misma, ni de la información facilitada a los interesados en el momento de la recogida de sus datos personales, por lo que se mantiene la infracción por falta de transparencia.

Con motivo de múltiples reclamaciones de socios de Fútbol Club Barcelona, se inició procedimiento sancionador ante la AEPD. El club inició una campaña obligatoria de actualización del censo que empleaba un sistema biométrico de reconocimiento facial y, opcionalmente, de reconocimiento de voz. El procedimiento digital requería que el usuario se identificara con sus claves, escaneara su documento de identidad y se realizara una fotografía con movimiento para verificar su presencia física. Los reclamantes denunciaron que esta toma de datos biométricos se realizaba sin el consentimiento expreso necesario y que el sistema era obligatorio para completar el trámite por vía digital. El club alegó que el objetivo del tratamiento era garantizar la veracidad del censo y evitar prácticas fraudulentas, como el uso de carnés de socios fallecidos o la cesión ilícita de abonos a terceros. Defendió la licitud del proceso basándose en la ejecución de la relación contractual estatutaria y el consentimiento en el caso de la voz. Sostuvo que el sistema no trataba categorías especiales de datos, sino que realizaba una simple autenticación para verificar que el socio era quien decía ser, basándose en el criterio que la propia autoridad de protección de datos mantenía en el momento de iniciar el tratamiento. Además, argumentó que se ofrecía la alternativa de realizar el trámite presencialmente, por lo que el uso de la biometría no era estrictamente obligatorio para mantener la condición de socio.

En cuanto a las infracciones, la AEPD acordó el archivo de la imputación relativa al artículo 9 del RGPD, reconociendo que el club se guio por el criterio interpretativo que la Agencia mantenía antes de finales de noviembre de 2023, el cual distinguía entre identificación y autenticación unívoca, considerando que esta última no siempre implicaba el tratamiento de categorías especiales de datos. No obstante, se mantiene la sanción por la vulneración del artículo 35 del citado reglamento, referido a la obligación de realizar una evaluación de impacto relativa a la protección de datos.

El motivo de la sanción reside en que el tratamiento entrañaba un alto riesgo para los derechos y libertades de las personas físicas, lo que hacía imperativo el análisis previo a través de una evaluación de impacto completa y válida. La AEPD fundamenta la existencia de este riesgo por la concurrencia de múltiples factores: el uso de tecnologías biométricas, el tratamiento de datos a gran escala afectando a más de 140.000 personas, la inclusión de datos de menores de edad como sujetos vulnerables y la existencia de decisiones automatizadas que podían producir efectos jurídicos significativos, como la pérdida de la condición de socio. Los informes de riesgos presentados por el club carecían de virtualidad legal porque fueron emitidos con posterioridad a la firma de los contratos con los proveedores encargados del tratamiento, incumpliendo el requisito de ser previos al inicio del proceso. Asimismo, constata que dichos análisis adolecían de graves defectos de fondo: contenían descripciones genéricas del ciclo de vida de los datos, subestimaban los riesgos asignándoles niveles mínimos sin justificación documental y no realizaban un análisis de necesidad y proporcionalidad real frente a medios menos intrusivos.

Por parte de la AEPD se inicio de oficio procedimiento sancionador contra YOTI LTD por su aplicación de identidad digital y servicios de verificación de edad. La App Digital ID requiere que el usuario realice un escaneo facial o un vídeo para generar una plantilla biométrica que acredita que es una persona real y permite autenticarlo unívocamente en acciones posteriores, como cambios de seguridad o recuperación de cuenta. La App prohíbe el uso a menores de 14 años en España y controla la edad mediante autodeclaración y verificación facial. Durante el registro, se solicita consentimiento para el escaneo facial, se recaban datos personales como teléfono, fotos, documentos identificativos, correo, dirección física y edad estimada, y se utilizan plantillas biométricas para proteger la cuenta, verificar la identidad, detectar documentos fraudulentos y fines de I+D. Algunos consentimientos se obtienen mediante casillas premarcadas, y la retención de datos varía según tipo: plantillas biométricas mientras la cuenta está activa o hasta tres años de inactividad, videos de prueba de vida 30 días, documentos fraudulentos hasta dos años y geolocalización derivada de IP cinco años. YOTI considera que la estimación de edad por reconocimiento facial no constituye tratamiento de categorías especiales de datos y fundamenta el tratamiento en la ejecución de un contrato solicitado por el usuario.

- En relación con el tratamiento de categorías especiales de datos, según consta en el expediente, YOTI genera una plantilla biométrica facial del usuario al momento de crear la cuenta en la App Digital ID, la cual se utiliza posteriormente para verificar que la persona que realiza determinadas acciones, como el cambio de PIN o la recuperación de la cuenta, es el mismo usuario que dio de alta la cuenta originalmente. Este tratamiento tiene como finalidad identificar de manera unívoca a la persona física, por lo que se enmarca dentro de la categoría especial de datos personales y entraña un alto riesgo para los derechos y libertades de los interesados. Sin embargo, YOTI ha considerado que el tratamiento no constituye datos de categoría especial, y por tanto no ha fundamentado la legalidad del mismo en ninguna de las excepciones previstas en el artículo 9.2 RGPD.

- Respecto al consentimiento, aunque se solicita el consentimiento durante el proceso de creación de la cuenta, el mismo no hace referencia expresa a que se trata de datos biométricos de categoría especial, y para el tratamiento con fines de investigación y análisis se recaba mediante casillas premarcadas, que no constituyen un acto afirmativo claro ni reflejan una manifestación de voluntad libre y específica. Esta forma de recabar el consentimiento impide que los usuarios ejerzan un control real sobre el tratamiento de sus datos, por lo que el consentimiento obtenido no cumple los requisitos establecidos en el RGPD, resultando en una infracción del artículo 7 del RGPD.

- En cuanto al plazo de conservación, YOTI mantiene datos más allá del necesario para cumplir la finalidad del tratamiento. En concreto, conserva los datos biométricos de categoría especial mientras la cuenta del usuario se encuentra activa y durante los tres años siguientes de inactividad, aunque la finalidad de verificación de la identidad del usuario se cumple de manera inmediata al comprobar que la persona es real. Asimismo, mantiene videos de prueba de vida durante treinta días, documentos identificativos fraudulentos hasta dos años, y datos de geolocalización derivados de la IP durante cinco años, excediendo todos estos plazos los estrictamente necesarios para las finalidades previstas.

El reclamante denunció ante la AEPD al Colegio Holy Mary Catholic School por el uso de herramienta Google Workspace for Education (GWE) y dispositivos Chromebook por parte de alumnos de educación primaria, quienes habrían tenido acceso a contenidos no relacionados con los estudios, como YouTube y videojuegos, indicando no haber recibido información sobre el uso de la herramienta. Por su parte el Centro confirma la utilización de GWE en diversas clases y que los alumnos cuentan con correos electrónicos de Gmail para acceder a la aplicación Chrome, aportando correos electrónicos del centro, documentación de matriculación firmada por ambos progenitores incluye datos identificativos del alumno y de contacto, así como un apartado sobre protección de datos que establece bases de legitimación según finalidad. Se incluye también política de privacidad y protección de datos dirigida a los padres, donde se explican los tipos de datos recogidos, sus fines, la toma de fotografías y vídeos, y la necesidad de consentimiento previo para usos adicionales. El Centro indica que al inicio del curso se realizan reuniones informativas con los padres sobre el uso de herramientas digitales, Chromebook y políticas TIC accesibles mediante la aplicación iSAMS, así como comunicaciones y reuniones adicionales con la reclamante. Aporta la “Política ICT” para alumnos de Nursery 1 a Year 6 y el documento “Books & Resources” que describe el uso de los dispositivos, pero no evidencia que estos documentos contengan toda la información exigida por el artículo 13 RGPD ni que hayan sido recibidos por los progenitores. Sin embargo, la información sobre transferencias internacionales y la finalidad de tratamiento de los datos generados por el uso de la plataforma no se comunica adecuadamente a los padres. Analizada toda la documentación, la AEPD observa múltiples infracciones atribuibles al Centro educativo:

- Respecto a la licitud del tratamiento, el Centro lo justifica bajo la base legal del artículo 6.1 c) RGPD, considerando que es necesario para cumplir obligaciones legales derivadas de la LOE y de la LOPDGDD, así como en su versión e) RGPD, por tratarse de una misión de interés público en el ámbito educativo. No obstante, la documentación revisada muestra que el tratamiento excede la finalidad educativa, al incluir datos de uso de la plataforma, recomendaciones, optimización del servicio y mejora de otros servicios de Google, que no se encuentran amparados por la función educativa. La base de legitimación exige que el tratamiento sea necesario, proporcional y vinculado directamente a la función educativa, lo que no se evidencia en este caso.

- En cuanto a la información y los principios de licitud, lealtad y transparencia, que exigen que los interesados conozcan de forma clara, accesible y comprensible qué datos se recogen, por quién, para qué y cómo se tratarán, así como las posibles consecuencias y transferencias internacionales. La información proporcionada por el Centro no incluye datos generados por el uso de la plataforma ni transferencias internacionales fuera del EEE, ni acredita que la política de privacidad y las comunicaciones hayan llegado efectivamente a los padres. El Centro tampoco detalla qué aplicaciones del universo GWE están habilitadas y cómo se gestionan los datos asociados.

- Por último, respecto a la EIPD, el Centro identifica únicamente datos identificativos y académicos, omitiendo datos de uso de la plataforma y transferencias internacionales. La EIPD no analiza riesgos derivados de subencargados de Google ni alternativas a la plataforma, y limita la justificación de necesidad y proporcionalidad a un criterio general de funcionamiento educativo, sin valorar los riesgos adicionales ni la mejora de servicios externos. Tampoco documenta la implementación de recomendaciones de mitigación. Por tanto, la EIPD no refleja la totalidad del tratamiento ni evalúa de forma completa su necesidad, proporcionalidad y riesgos, en contraposición a lo previsto en el artículo 35 RGPD.

La trabajadora Dª Lina prestaba servicios en MERCADONA SA en Fuerteventura. La empresa notificó a su pareja, D. Vicente, carta de despido disciplinario incluyendo, sin consentimiento de la actora, datos personales de esta: nombre completo, relación de pareja, jornada laboral y salario mensual desglosado durante más de un año, con el objeto de justificar diferencias salariales entre ambos. La comunicación detallaba cantidades percibidas indebidamente y los importes mes a mes. El responsable de la zona, D. Eulalio, señaló que la empresa cuenta con un protocolo interno para evitar la divulgación de datos a terceros fuera de la persona sancionada. Además, actualizaciones salariales se publican en los tablones informativos con cuadros comparativos según jornadas y complementos, accesibles a los sindicatos presentes en los órganos de representación. Durante el periodo septiembre 2023-diciembre 2024, las retribuciones de la trabajadora incluyeron sueldo base, pagas prorrateadas y complemento del puesto. La sentencia de instancia desestimó la demanda de tutela de derechos fundamentales planteada por Dª Lina, absolviendo a MERCADONA SA de todos los pedimentos. Frente a dicha sentencia, la actora interpuso recurso de suplicación alegando vulneración de derechos fundamentales, indebida aplicación de la regla de inversión de la carga de la prueba, del principio de responsabilidad proactiva del responsable del tratamiento, así como infracción del RGPD y de la LOPDGDD, cuestionando la licitud del tratamiento bajo la base del “interés legítimo”, la vulneración de los principios de minimización y limitación de la finalidad, y la comunicación de los datos a un tercero.

La Sala examinó los hechos probados, concluyendo que los datos de la actora son personales según el RGPD, incluyendo salario y jornada, sin ser especialmente sensibles. Su tratamiento, consistente en la comunicación a la pareja de la trabajadora en el contexto de un expediente disciplinario, constituye tratamiento de datos no consentido, siendo la empresa responsable del mismo. En este supuesto, la pareja de la trabajadora tiene la consideración de tercero destinatario de los datos. En esten sentido, el TSJ examina la licitud del tratamiento y distingue dos tipos de información. Respecto a la jornada reducida y la condición de madre de los hijos de D. Vicente, la Sala considera que su inclusión resulta inocua y supera el juicio de proporcionalidad, dado que ambos progenitores trabajaban en el mismo centro, habían pactado dicha reducción y eran plenamente conscientes de sus respectivos horarios, por lo que no se aprecia una afectación real a la intimidad.

Sin embargo, el análisis difiere en cuanto a la identificación nominal y el detalle del histórico salarial. La Sala invoca la doctrina constitucional y del Tribunal Supremo para recordar que los datos económicos pertenecen a la esfera de la intimidad protegida y que el derecho a la protección de datos alcanza a cualquier información personal, no solo a la íntima. Recuerda que la normativa sobre registros salariales no constituye una base jurídica para revelar retribuciones individualizadas, debiendo primar los principios de minimización y limitación de la finalidad. La resolución establece que la actuación empresarial no supera el juicio de necesidad, pues la potestad disciplinaria podría haberse ejercido con igual eficacia mediante datos anonimizados o referencias a puestos idénticos sin identificar a una persona concreta. El hecho de que existan tablas salariales genéricas en la empresa refuerza la tesis de que era posible realizar la comparación sin comprometer la privacidad de la actora. Por tanto, se declara producida una interpretación restrictiva del derecho fundamental a la protección de datos y se ordena el cese del tratamiento ilícito junto con la eliminación de la información de los expedientes donde figure incorporada indebidamente.

CECOTEC recibió de INCIBE el 5 de abril de 2023 un aviso de una publicación en la dark web de un post en el que indica estar en posesión de una base de datos de uan empresa española, con alrededor de 1.000.000 de registros. CECOTEC no se percata hasta que recibe una segunda notificación del INCIBE del 12/04/23, comunicando el incidente a su DPD. Tras investigarlo, considera que el ciberataque no es verosímil, detectado únicamente 6 registros reales de entre los 17 remitidos por INCIBE, comunicando a la AEPD la brecha de 6 afectados el 19 de abril. La AEPD inicia actuaciones de investigación, tras lo cual se confirma que el incidente afectó a una antigua plataforma de tienda en línea basada en un software que fue sustituida principios de 2021, pero que se mantenía parcialmente activo y con acceso a internet para operaciones de consulta y gestión de reclamaciones. La inspección técnica constata que dicha plataforma utiliza una versión obsoleta y desactualizada, fuera de soporte desde 2019 y con múltiples vulnerabilidades críticas conocidas que permiten la ejecución de código remoto o inyecciones SQL. Aunque CECOTEC minimizó inicialmente el alcance a seis personas físicas, se pudo efectuar una comparación con una muestra de mil registros que coincide plenamente con la estructura y los identificadores automáticos de la tabla de direcciones de la empresa, confirmándose el acceso ilegítimo a datos de, al menos, 933 personas físicas con DNI válido. La información comprometida incluye nombres, apellidos, domicilios, teléfonos y números de identificación fiscal, los cuales se encuentran almacenados de forma visible y legible, sin aplicación de medidas de cifrado ni seudonimización en origen.

- Sobre la confidencialidad, consta acreditado que se ha producido una filtración o usurpación de los datos personales a los que se ha hecho referencia anteriormente, accediendo un tercero ilegítimamente a los mismos, que ha podido conocer su contenido íntegro, dado que no habían sido codificados por CECOTEC, permitiendo que  el ciberatacante pueda utilizados para usos no autorizados por sus titulares (vendidos, comunicados, publicados, explotados para otros usos…etc), todo ello sin consentimiento de sus titulares.

- Respecto de las medidas de seguridad, la plataforma adolecía de múltiples deficiencias y vulnerabilidades de versión, estando desactualizada, y fuera de soporte desde 2019 y con acceso a internet (con código de usuario y contraseña). Tampoco se adoptaron medidas para garantizar la trazabilidad de la plataforma (logs, falta de monitorización y de controles de acceso), no se había efectuado análisis de riesgo alguno, ni se contaba con un protocolo de gestión de brechas de seguridad adecuado a la normativa.

- En cuanto a la notificación a la AEPD, CECOTEC no habría respetado los términos y plazos de notificación, habiendo comunicado la brecha con fecha de 19 de abril de 2023. Si bien existen diversas dudas de cuando habría iniciado la fecha de inicio de cómputo, la AEPD determina que habría comenzado el 13 de abril, fecha en la que el INCIBE aportó toda la información posible sobre la brecha.

- Falta de notificación a los interesados: Al momento de detectar la brecha, consideró que no era necesario comunicar la brecha a los 6 afectados que constaban en la muestra inicial proporcionada, debido a la falta de verosimilitud, y ausencia de probabilidad de alto riesgo. Incluso con posterioridad al haberse acreditado que el número de afectados asciende a 933 personas, sigue considerando que no existe alto riesgo. De haber realizado una correcta valoración que atendiera a todos los factores de riesgo concurrentes, hubiera concluido en que la brecha entrañaba un riesgo alto para los derechos y libertades de los afectados, lo que es especialmente claro en este supuesto, en el que los datos personales constaban a la venta en un foro de la dark web, quedando expuestos para un uso fraudulento de terceros.

La reclamante ejercitó su derecho de acceso ante MERCADONA respecto de las grabaciones obtenidas por el sistema de videovigilancia en el acceso de vehículos de un establecimiento, solicitando copia de las imágenes en las que pudiera aparecer su vehículo y su propia imagen. Aportó documentación acreditativa de su identidad y de la titularidad del vehículo, así como copia de las solicitudes formuladas y de las respuestas recibidas. La entidad respondió inicialmente indicando que se había procedido al bloqueo de las imágenes solicitadas, sin facilitar acceso ni ofrecer mayor justificación.

Tras la interposición de reclamación ante la autoridad de control, MERCADONA reiteró que las imágenes se encontraban bloqueadas y añadió que no procedía facilitar copia al constatar la presencia de terceros en las grabaciones. Posteriormente, en una nueva comunicación, informó sobre las horas de entrada y salida del vehículo, indicando que las cámaras existentes se limitaban a captar accesos mediante lectura de matrículas y que no se producía tratamiento de datos personales de personas físicas identificadas o identificables. En el curso del procedimiento, MERCADONA sostuvo haber atendido adecuadamente el derecho de acceso mediante dichas comunicaciones, aportando copia de las respuestas remitidas. Asimismo, afirmó que el tratamiento se limitaba a datos relativos al vehículo, conforme a los principios de minimización y limitación de la finalidad.

Por su parte, la reclamante alegó que el derecho de acceso había sido ejercitado de forma clara, reiterada e individualizada, diferenciándolo de otras solicitudes previas realizadas en representación de terceros. Señaló que MERCADONA había reconocido la existencia de datos tratados —incluyendo matrícula y registros horarios—, pero había denegado de forma reiterada el acceso a las imágenes, limitándose a comunicar su bloqueo. Asimismo, destacó que el bloqueo no sustituye ni extingue el derecho de acceso, sino que constituye una medida de conservación de los datos.

Examinada las actuaciones, en relación con la invocación de la presencia de terceros como causa de denegación, la reclamante sostuvo que dicha circunstancia no justifica una negativa absoluta, debiendo el responsable aplicar medidas técnicas como el pixelado o la anonimización. Añadió que resulta contradictorio afirmar simultáneamente que no se captan imágenes de personas y, a la vez, fundamentar la denegación en la existencia de terceros en las grabaciones.

Del análisis de las respuestas facilitadas se desprende que la entidad no proporcionó acceso efectivo a los datos solicitados ni una respuesta completa en los términos exigidos por el derecho de acceso, que comprende la confirmación del tratamiento, el acceso a los datos y la información sobre las condiciones del mismo. Asimismo, la mera referencia al bloqueo de los datos o el hecho de que aparezcan terceros no es motivo suficiente para denegar el acceso, debiendo MERCADONA proceder a pixelar o difuminar a otras personas cuyos datos personales se vean afectados o, incluso, permitir el visionado in situ sin facilitar copia si no es técnicamente posible editar.

Los reclamantes denunciaron ante la AEPD que, tras publicar reseñas negativas sobre el restaurante PINKGREEN en Google Maps, la entidad respondió en ambos casos revelando datos personales propios y de terceros. La reclamante 1 indicó que su perfil de Google mostraba únicamente su nombre, sin apellidos ni foto, y que la contestación de PINKGREEN incluyó su nombre completo, universidad, orientación sexual, nombre de su pareja y otros datos que permiten identificar a esta, así como los nombres de dos acompañantes. La reclamante 2 señaló que, tras publicar su reseña, la contestación de PINKGREEN la retaba a mostrar su foto y divulgaba datos identificativos de su persona y de su pareja, incluyendo acusaciones falsas sobre la autoría de las reseñas. Ambas reclamaciones se acompañaron de capturas de pantalla que evidenciaban la publicación de los datos y la respuesta de PINKGREEN.

Por su parte, PINKGREEN alegó indefensión, argumentando que no había recibido notificaciones previas, y afirmó que los datos ya estaban disponibles en los perfiles públicos de Facebook de los reclamantes o que se derivaban de relaciones personales, aportando capturas de estas páginas, solicitando el archivo del expediente. Sobre la alegación de indefensión, se precisó que las actuaciones de traslado previas eran potestativas y no impedían la apertura del procedimiento sancionador, el cual fue notificado válidamente mediante acuerdo de inicio en el que se imputaban presuntas infracciones de los artículos 6 y 9 del RGPD. PINKGREEN tuvo oportunidad de solicitar pruebas y presentar alegaciones, por lo que no se apreció indefensión.

Analizado los hechos, se considera probado que en las respuestas a las reseñas, PINKGREEN divulgó el nombre y apellidos de las partes reclamantes, los datos de su pareja y de una cuarta persona, así como otros elementos identificativos, sin mediar consentimiento ni otra base legitimadora. Del mismo modo, se trató información de categoría especial sobre orientación sexual sin concurrir circunstancias que permitan su tratamiento. El hecho de que algunos datos puedan estar visibles en redes sociales de los interesados no legitima la publicación por terceros sin consentimiento ni otra base jurídica. De otra parte, los datos de orientación sexual y la identidad de la pareja de la reclamante 1 son datos de categoría especial sujetos a la prohibición general del artículo 9 del RGPD, sin que se aplicable ninguna de las excepciones previstas artículo 9.2 RGPD. Al contrario de lo alegado por PINKGREEN, no figura entre la información que se facilitaba el perfil de Facebook la relativa a la orientación sexual.

La reclamante denuncia que el Ayuntamiento de Madrid difundió a terceros sus datos personales vinculados a expedientes urbanísticos relativos a su vivienda habitual, incluyendo identificación completa, datos de contacto, información catastral, características del inmueble, documentación técnica y datos económicos. Asimismo, se habrían divulgado documentos íntegros como declaraciones responsables, autoliquidaciones, presupuestos, informes técnicos, planos y resoluciones administrativas. Parte de esta información fue publicada por diversos medios de comunicación, que aportaron detalles sobre las obras, la tramitación administrativa y la situación económica de la vivienda, indicando en algunos casos que las fuentes procedían de bases de datos municipales.

Por parte del Ayuntamiento, alega que las resoluciones administrativas objeto de publicación entre las fechas (…) se obtuvieron a través del acceso a la aplicación ***APLICACIÓN.1; mientras que el acceso a las resoluciones administrativas objeto de publicación a partir del día ***FECHA.9 se llevó a cabo a través de la aplicación ***APLICACIÓN.2”. La primera aplicación es de acceso público, que permitía la consulta libre de expedientes urbanísticos, y otra interna, restringida al personal autorizado. La primera contenía documentación completa de los expedientes, incluyendo datos personales aportados por los interesados, accesibles sin restricciones. La segunda permitía la gestión y consulta interna mediante perfiles de usuario vinculados a entornos y dependencias administrativas, con registros de actividad.

Respecto a la segunda aplicación, se observó que A.A.A., en su calidad de concejal del Ayuntamiento de Madrid, accedió a datos personales del reclamante mediante credenciales vinculadas a su anterior cargo, sin que contara con habilitación vigente en el momento de los accesos. Si bien la reclamación incluye documentación que acredita el acceso y la difusión de información en diversos medios, la infracción se centra en el acceso irregular y no en la divulgación posterior. La documentación de estos sistemas contiene datos personales y económicos relacionados con los expedientes. Durante el período objeto de investigación, se registraron 122 accesos al expediente, de los cuales 56 (46%) fueron realizados por A.A.A., empleando permisos vinculados a su anterior cargo, que ya no ejercía. Dichos permisos no fueron actualizados ni cancelados hasta que fueron retirados por el Ayuntamiento.

A.A.A. alegó carecer de condición de responsable del tratamiento y desconocer la situación de sus credenciales, atribuyendo el elevado número de accesos a problemas técnicos y horarios flexibles. Sin embargo, los registros de actividad de ***APP.2 acreditan que los accesos fueron reiterados, dirigidos a expedientes específicos del distrito correspondiente a sus credenciales previas, incluidos días y horarios no habituales, y que A.A.A. era consciente de que su situación había cambiado y que los permisos debían ser actualizados. La legitimidad de su derecho de acceso como concejal se condiciona al uso de los cauces habilitados y a la información necesaria para la función representativa, con la obligación de mantener reserva y confidencialidad. El acceso mediante credenciales no vigentes constituye un tratamiento sin base jurídica conforme al artículo 6.1 del RGPD, incluso si la información consultada habría sido accesible por otros medios habilitados para su cargo actual.

Por parte de la entidad DAVISER SERVICIOS se impugna la resolución de la AEPD que sancionó con multa de 20.000 euros por vulneración del principio de minimización de datos al implantar un sistema de control de accesos mediante huella dactilar en vestuarios y aseos. La reclamación fue promovida por representantes sindicales en nombre de una trabajadora, denunciando la instalación de lectores biométricos en distintos accesos, incluidos espacios destinados a necesidades fisiológicas, así como la existencia de cámaras en las inmediaciones. Se puso de manifiesto, además, el mal funcionamiento del sistema, que impedía en ocasiones el acceso, y la falta de información previa adecuada sobre el tratamiento de datos.

La AEPD consideró acreditado que el sistema implicaba tratamiento de datos biométricos, categoría especial de datos cuya utilización está, con carácter general, prohibida, salvo concurrencia de excepciones que deben interpretarse restrictivamente. Subrayó que, aunque los datos se transformen en plantillas o algoritmos, siguen permitiendo la identificación unívoca de la persona. Asimismo, destacó los riesgos inherentes a esta tecnología, como la imposibilidad de revocación, la eventual suplantación de identidad o los errores de reconocimiento. Desde la perspectiva del principio de minimización, se concluyó que el tratamiento no era ni necesario ni proporcionado para la finalidad alegada de control de acceso y seguridad. DAVISER no acreditó la existencia de riesgos reales que justificaran el uso de un sistema tan intrusivo, ni la inexistencia de alternativas menos invasivas, como llaves, tarjetas o códigos. Además, el uso reiterado de la huella para acceder a vestuarios y aseos suponía una injerencia continua en la privacidad de los trabajadores, especialmente tratándose de espacios vinculados a su intimidad. También se observó que el sistema generaba registros de accesos que no resultaban necesarios para la gestión de la jornada laboral. La resolución valoró la falta de diligencia del responsable al no incorporar garantías suficientes ni justificar adecuadamente la necesidad del tratamiento, así como el carácter continuado de la infracción y la afectación a datos especialmente protegidos. Como circunstancia atenuante se tuvo en cuenta que la actividad de la empresa no se centra en el tratamiento de datos.

En vía judicial, la Sala confirmó la existencia de la infracción al considerar que el uso de datos biométricos para controlar el acceso a vestuarios y aseos no superaba el juicio de idoneidad, necesidad y proporcionalidad, al existir medidas alternativas menos intrusivas igualmente eficaces. No obstante, apreció que la modificación de la sanción desde apercibimiento a multa no resultaba plenamente justificada. Consideró que no concurrían de forma suficiente los factores agravantes invocados, cuestionando especialmente el número de afectados y la valoración de la gravedad, así como el hecho de que la empresa hubiera atendido las indicaciones de la Inspección de Trabajo y cesado el tratamiento. En consecuencia, estimó parcialmente el recurso y sustituyó la multa por un apercibimiento.