Resoluciones Relevantes MAYO 2026

El reclamante, titular de una empresa de informática, manifestó haber recibido una llamada de ASESORES DE CRECIMIENTO PROFESIONAL, S.L. en la que se le ofreció un curso de formación supuestamente financiable mediante créditos formativos de la Seguridad Social, sin coste para su empresa. Indicó que condicionó cualquier aceptación a la recepción previa de la documentación contractual, que nunca le fue remitida. Únicamente recibió claves de acceso al curso, que nunca utilizó, al considerar irregular la operativa y tras conocer, a través de la Fundación Tripartita, que la financiación propuesta podía constituir una práctica ilícita. Comunicó la cancelación de cualquier contratación mediante correo electrónico y carta certificada, formulando además reclamación de consumo y denuncia ante la Comunidad de Madrid. Pese a ello, comenzó a recibir llamadas y correos electrónicos reclamando el pago de una supuesta deuda y advirtiendo de acciones judiciales. También denunció los hechos ante la Policía Nacional por las amenazas de inclusión en ficheros de morosidad. Posteriormente tuvo conocimiento de que sus datos habían sido incluidos en ASNEF Empresas por ASESORES DE CRECIMIENTO PROFESIONAL, S.L., circunstancia que motivó la denegación de las operaciones solicitadas. El reclamante ejercitó ante EQUIFAX su derecho de oposición y cancelación, recibiendo respuesta en la que se indicaba que ASESORAMOS TU FORMACIÓN CON CALIDAD, S.L. había confirmado la existencia de la deuda, manteniéndose por ello los datos en el fichero. El reclamante sostuvo que nunca fue informado de la posible inclusión en sistemas de información crediticia y que la deuda no era cierta, vencida ni exigible.

En las actuaciones de investigación, ASNEF-EQUIFAX informó de que el reclamante ejercitó derechos de cancelación y supresión respecto de los datos incluidos en ASNEF Empresas. Respecto de la deuda comunicada por ASESORAMOS TU FORMACIÓN CON CALIDAD, S.L., la entidad confirmó inicialmente la deuda, manteniéndose los datos inscritos. Posteriormente, ante una nueva solicitud de supresión relativa a ASESORES DE CRECIMIENTO PROFESIONAL, S.L., ASNEF dio de baja cautelarmente los datos al no recibir respuesta de la entidad acreedora. ASNEF indicó asimismo que los datos del reclamante habían sido aportados tanto por ASESORES DE CRECIMIENTO PROFESIONAL, S.L. como por ASESORAMOS TU FORMACIÓN CON CALIDAD, S.L., constando dos deudas de idéntico importe. También acreditó haber remitido la notificación de inclusión en el fichero.

Quedó acreditado que no constaba relación contractual entre el reclamante y ASESORAMOS TU FORMACIÓN CON CALIDAD, S.L.; que esta entidad dio de alta en ASNEF idéntica deuda; que el reclamante solicitó la cancelación de sus datos; que ASESORAMOS y ASESORES compartían administrador único y domicilio social; y que no constaba que el afectado hubiera sido informado de la posible inclusión en sistemas de información crediticia ni de los concretos ficheros utilizados.

ASESORAMOS alegó desconocer la reclamación y sostuvo que la inclusión obedecía a un error posteriormente subsanado. La AEPD rechazó dichas alegaciones al considerar acreditada la conexión entre ASESORES y ASESORAMOS por compartir denominación similar, administrador único y domicilio social, destacando además que ambas mantuvieron simultáneamente activas deudas idénticas en el fichero. También señaló que ASESORAMOS no aportó documentación acreditativa de la existencia de la deuda ni del contrato del que derivaría, pese a corresponderle acreditar el cumplimiento de los requisitos del artículo 20 de la LOPDGDD para legitimar la inclusión en sistemas de información crediticia. Por ello se consideró que la falta de acreditación de una deuda cierta, vencida y exigible, así como la ausencia de información previa sobre la posible inclusión en ficheros de solvencia patrimonial, impedían aplicar la presunción de interés legítimo prevista en el artículo 20 LOPDGDD.

La reclamante, fundadora y presidenta de ***ASOCIACIÓN.1, manifestó que, tras ser diagnosticada de una enfermedad, presentó su renuncia al cargo ante el arzobispo de su localidad mediante WhatsApp, indicando únicamente que obedecía a motivos de salud, sin especificar la gravedad de su estado. Señaló que dicha información solo fue comunicada a familiares, amigos cercanos y presidentes rocieros de la zona centro, sin trasladarla a la Asociación, al consiliario, a la secretaria ni al resto de miembros. Posteriormente tuvo conocimiento de que la Asociación había difundido su nombre y apellidos en distintas publicaciones y remitido correos electrónicos a numerosos miembros informando de la constitución de una Junta Gestora tras su cese como presidenta “por la grave enfermedad que padece”, añadiendo además la celebración de una misa semanal por su salud, todo ello sin su consentimiento. La reclamante afirmó igualmente que en redes sociales como Facebook, Instagram y Twitter se publicaron comunicaciones relativas a su dimisión, si bien sustituyendo la referencia a la “grave enfermedad” por “motivos personales”. Aportó copia del correo remitido a alrededor de cuarenta miembros de la asociación, así como publicaciones efectuadas en internet.

En respuesta al traslado de la reclamación, la Asociación alegó que carecía de un responsable técnico formal de seguridad, aunque afirmaba aplicar los principios generales del RGPD. Sostuvo que las publicaciones en redes sociales únicamente hacían referencia a “motivos personales”, sin revelar datos de salud ni otra información sensible. Indicó además que, tras conocer la reclamación, revisó internamente el contenido difundido, consultó con asesoramiento jurídico y retiró la publicación. También manifestó haber implantado medidas correctoras consistentes en la revisión previa de comunicados, formación básica en protección de datos y consulta legal antes de futuras publicaciones. En sus alegaciones posteriores, la Asociación defendió que el correo electrónico fue remitido únicamente a miembros de la asociación con interés legítimo en conocer los cambios producidos en el órgano de gobierno y que la información comunicada era mínima, sin detallar enfermedad concreta, diagnóstico ni informes médicos. Alegó igualmente que la expresión “grave enfermedad que padece” no constituía un dato de salud en el sentido del artículo 9.1 del RGPD, invocando jurisprudencia del TJUE y criterios del CEPD. Asimismo, sostuvo que el tratamiento estaba amparado en el interés legítimo del artículo 6.1.f) RGPD y destacó la adopción posterior de medidas correctoras, incluyendo protocolos de comunicación con fórmulas neutras, formación específica y contratación de consultoría especializada en privacidad. Sin embargo, la AEPD rechazó dichas alegaciones, considerando que la información relativa al cese de la presidenta podía haberse comunicado sin hacer referencia a su estado de salud. Entendió que la mención a una “grave enfermedad” vinculada a la dimisión permitía inferir datos relativos a la salud de la reclamante, constituyendo información especialmente sensible cuya comunicación requería consentimiento expreso, inexistente en este caso. También señaló que el interés legítimo invocado no justificaba la revelación de esa información, al no resultar necesaria para informar del relevo en la presidencia de la asociación.

Asimismo, la Agencia consideró acreditado que el correo electrónico remitido a diversos miembros de la Asociación incluía un mensaje del párroco en el que se informaba de que la reclamante había dimitido de la presidencia debido a la grave enfermedad que padecía. Distinguió esta comunicación de las publicaciones posteriores en redes y blogs, donde se sustituyó dicha referencia por “motivos personales”, apreciando que estas últimas no suponían infracción. La AEPD concluyó que la difusión del correo permitió revelar información relativa al estado de salud de la reclamante sin autorización, apreciando una vulneración del principio de confidencialidad previsto en el artículo 5.1.f) del RGPD.

Los reclamantes denunciaron haber recibido un correo electrónico de DÉCIMAS, S.L.U. informando de una incidencia de seguridad que había afectado a su base de datos y provocado la exposición de datos personales, entre ellos nombre, apellidos, correo electrónico y DNI. DÉCIMAS indicó ante la AEPD que la incidencia fue sufrida por DÉCIMAS, S.L.U., siendo el entorno web gestionado por ***EMPRESA.1 en calidad de encargado del tratamiento. Según explicó, INCIBE alertó de la posible intrusión tras detectarse en internet un anuncio publicado por el un usuario ofreciendo a la venta datos presuntamente obtenidos de la base de datos de DÉCIMAS. Tras recibir el aviso, DÉCIMAS trasladó la incidencia a su encargado que contrató de inmediato un informe forense con la entidad independiente NACATA SECURITY y notificó la brecha a la AEPD. El ataque quedó solventado el mismo día y posteriormente se remitieron las IP detectadas a INCIBE.

El informe técnico aportado señaló que el ataque se produjo mediante técnicas de inyección SQL sobre determinados endpoints públicos de la web https://www.decimas.com. La vulnerabilidad derivaba de una incorrecta validación y filtrado de variables utilizadas en código SQL, lo que permitió la ejecución remota de código y la exfiltración masiva de datos personales. Durante la auditoría se reprodujo la explotación para identificar el fallo y aplicar un parche corrector. La brecha afectó, entre otros, a direcciones de correo electrónico, fechas de nacimiento, género y DNI de miles de usuarios. También se indicó que las contraseñas estaban cifradas y que no se habían filtrado direcciones postales. La AEPD constató la existencia de una pérdida de confidencialidad derivada del acceso no autorizado y publicación en internet de datos personales de clientes de DÉCIMAS. Destacó que la detección inicial del incidente no provino de mecanismos internos de supervisión, sino de la comunicación realizada por INCIBE, lo que evidenciaba la ausencia de medidas adecuadas de monitorización, alerta temprana y detección de vulnerabilidades. Subrayó igualmente que la vulnerabilidad explotada respondía a un fallo de carácter general fácilmente identificable y que fue corregida el mismo día en que se notificó la incidencia, circunstancia que evidenciaba la inexistencia de controles preventivos eficaces.

La Agencia apreció además carencias en las medidas destinadas a garantizar la confidencialidad de la información tratada, señalando la falta de mecanismos adecuados de protección, entre ellos medidas de cifrado suficientes. También valoró que, pese a las medidas implementadas tras el incidente, pruebas de intrusión efectuadas posteriormente seguían detectando diversas vulnerabilidades en el dominio afectado, incluidas dos calificadas de criticidad alta, lo que reflejaba deficiencias persistentes en la seguridad del sistema. A la vista de las actuaciones practicadas, la AEPD consideró que los hechos podían constituir una infracción imputable a DÉCIMAS, S.L.U. por vulneración del principio de integridad y confidencialidad del artículo 5.1.f) del RGPD, al no haber implantado medidas técnicas y organizativas apropiadas para impedir accesos no autorizados y garantizar la seguridad de los datos personales tratados.

Por la AEPD, con motivo de una denuncia recibida, se iniciaron actuaciones de investigación contra VERSON RIOJA, S.L., apreciándose indicios de un posible incumplimiento de la normativa de protección de datos. En el curso de dichas actuaciones, la AEPD remitió en dos ocasiones requerimientos de información solicitando diversa documentación y datos necesarios para el ejercicio de sus funciones inspectoras. Los requerimientos fueron notificados electrónicamente conforme a la Ley 39/2015 y constaba acreditada su recepción por VERSON. Pese a ello, la entidad no remitió contestación alguna ni aportó la información requerida dentro de los plazos concedidos.

La AEPD consideró acreditado que VERSON incumplió su obligación de facilitar la información solicitada por la autoridad de control, obstaculizando con ello las potestades de investigación reconocidas a la Agencia en el artículo 58.1.a) del RGPD, que faculta a las autoridades de control para requerir al responsable o encargado del tratamiento cualquier información necesaria para el desempeño de sus funciones. Como consecuencia de dicha conducta, la AEPD impuso una sanción de 6.000 euros, ordenando a la entidad que facilitara, en el plazo de diez días hábiles desde la firmeza de la resolución, toda la información solicitada en los requerimientos efectuados durante las actuaciones de investigación, advirtiéndole de que la falta de atención a los requerimientos de la Agencia podría constituir una nueva infracción administrativa susceptible de motivar otro procedimiento sancionador.

La AEPD inició actuaciones de investigación contra RESIDENCIAL ETXE-LAN, S.L. tras recibir una denuncia en la que se apreciaban indicios de posibles incumplimientos de la normativa de protección de datos. En el marco de dichas actuaciones, la AEPD remitió hasta en cinco ocasiones requerimientos de información solicitando diversa documentación y datos necesarios para el ejercicio de sus funciones inspectoras. Los dos primeros requerimientos fueron notificados electrónicamente conforme a la Ley 39/2015, sin ser recogidos dentro del plazo de puesta a disposición, por lo que se tuvieron por rechazados. Un tercer requerimiento remitido por correo postal al domicilio social que figuraba en el Registro Mercantil fue devuelto por Correos con la indicación de “desconocido”. Posteriormente, la AEPD remitió nuevos requerimientos a otra dirección postal facilitada en un escrito presentado ante la Inspección del Departamento de Administración Pública y Relaciones Institucionales de la Diputación de Bizkaia, constando la recepción de los dos últimos envíos por ETXE- LAN.

Pese a las reiteradas notificaciones y a la efectiva recepción de varios de los requerimientos, RESIDENCIAL ETXE-LAN, S.L. no facilitó a la Agencia la información solicitada ni remitió la documentación requerida. La AEPD consideró que dicha conducta obstaculizó las potestades de investigación atribuidas a las autoridades de control por el artículo 58.1.a) del RGPD, que faculta a requerir al responsable o encargado del tratamiento cualquier información necesaria para el desempeño de sus funciones. Por ello, estimó que los hechos podían constituir una infracción imputable a ETXE-LAN por vulneración del citado precepto, sancionándolo con 3.000 euros.

Con motivo de reclamación presentada ante la AEPD, se inician actuaciones frente a SIPHONE 2020, S.L. (SPN) por la posible instalación de un sistema de videovigilancia en su establecimiento que, según la reclamante, realiza grabación continua de imagen y sonido sin información previa a las personas trabajadoras ni consentimiento, incluyendo la captación de conversaciones privadas. La reclamación aporta material probatorio consistente en imágenes del dispositivo, su ubicación y un vídeo con audio de una conversación en el entorno laboral. Tras el traslado de la reclamación, SPN aporta respuesta en la que indica que el sistema instalado tiene finalidad de seguridad de personas e instalaciones, sin constar uso declarado de control laboral. Aporta documentos internos sin fecha denominados “nota informativa al trabajador” y fotografías en las que únicamente aparece un cartel de videovigilancia correspondiente a la empresa instaladora, sin acreditarse la existencia de cartelería propia de SPN ni información completa sobre el tratamiento de datos. No se ofrece explicación específica sobre la captación de audio pese a haber sido expresamente cuestionada por la AEPD.

- Sobre la captación de audio: se constata la existencia de un sistema de videovigilancia con capacidad de captación de sonido en el entorno laboral, sin que se haya acreditado la concurrencia de una base jurídica específica que legitime dicho tratamiento ni la proporcionalidad de la medida en relación con la finalidad declarada. La captación de voz constituye tratamiento de datos personales conforme al artículo 4.1 del RGPD, quedando sujeta a las exigencias de licitud del artículo 6 del mismo texto normativo. Asimismo, la grabación de audio en el ámbito laboral tiene carácter excepcional conforme al artículo 89 de la LOPDGDD, únicamente admitida cuando concurran riesgos relevantes para la seguridad y respetando los principios de necesidad, proporcionalidad e intervención mínima. En el presente caso, no consta acreditada la concurrencia de dichos requisitos ni la justificación específica del tratamiento de audio, lo que permite apreciar una posible ausencia de base jurídica válida para su captación y conservación. Esta circunstancia, unida a la falta de aclaración por parte de SPN sobre la operativa del sistema, determina la apreciación de una posible infracción del artículo 6 del RGPD.

- Respecto a la cartelería, la reclamante sostiene la inexistencia de información previa sobre la instalación del sistema y su finalidad. La documentación aportada por SPN se limita a un cartel genérico de videovigilancia de una empresa externa, sin acreditarse su adecuación a las exigencias del artículo 13 RGPD ni 22 LOPDGDD, pues no incluye la información requerida por la normativa, sin constar tampoco información específica sobre la captación de audio.

Como consecuencia de una reclamación presentada ante la Agencia Española de Protección de Datos contra GATIGOS, S.L. (en adelante, GATIGOS), se iniciaron actuaciones de investigación en el expediente EXP202417282 ante indicios de posible incumplimiento de la normativa de protección de datos. En el marco del procedimiento, la reclamación fue trasladada a GATIGOS conforme al artículo 65 de la LOPDGDD, mediante notificación electrónica practicada de acuerdo con la Ley 39/2015, constando su recepción. Posteriormente, la reclamación fue admitida a trámite.

Durante la fase de investigación, la AEPD remitió en dos ocasiones requerimientos de información a GATIGOS, concediéndole el plazo establecido para aportar la documentación solicitada en relación con los hechos objeto de análisis. Ambos requerimientos fueron debidamente notificados conforme a la LPACAP y constan como recibidos por la entidad.

No obstante, GATIGOS no remitió respuesta alguna ni aportó la información requerida dentro de los plazos otorgados, ni con posterioridad, sin constancia de justificación o comunicación alternativa ante la AEPD.

Ante la falta de colaboración, se acordó el inicio de procedimiento sancionador por presunta infracción del artículo 58.1 del RGPD, notificado a GATIGOS conforme a la normativa procedimental. Transcurrido el plazo concedido para la formulación de alegaciones, no consta la presentación de escrito alguno por la parte reclamada.

De conformidad con lo previsto en el artículo 64.2.f) de la Ley 39/2015, y al contener el acuerdo de inicio una descripción precisa de los hechos imputados, la infracción atribuida y la posible sanción, dicho acuerdo se considera propuesta de resolución al no haberse formulado alegaciones.

En el expediente consta acreditado que los requerimientos de información fueron correctamente notificados y que GATIGOS no dio respuesta en ninguno de los casos, impidiendo con ello la obtención de la información solicitada en el ejercicio de las potestades de investigación de la AEPD.

En consecuencia, se considera que la conducta de GATIGOS ha obstaculizado el ejercicio de las facultades de supervisión e investigación atribuidas a la autoridad de control por el artículo 58.1 del RGPD, al no atender los requerimientos de información efectuados en el marco del expediente EXP202417282, lo que constituye una infracción de dicho precepto.

Con fecha 26 de junio de 2025 se recibe en la AEPD una reclamación trasladada por la autoridad de protección de datos francesa relativa al sitio web https://www.e-retailadvertising.com/, en la que se denuncia la instalación de cookies no exceptuadas de YouTube sin consentimiento previo del usuario, así como el uso de rastreadores vinculados a Google Analytics, YouTube CDN y Google Fonts. La reclamante aporta evidencias gráficas y un vídeo en el que se captan interacciones de audio asociadas a contenidos incrustados. La AEPD dio traslado a E-Retail Advertising, S.L, que presentó escrito en el que manifiesta haber revisado integralmente su sistema de cookies, incluyendo identificación, conservación, información y mecanismos de consentimiento. Afirma haber actualizado su política de cookies para concretar finalidades y plazos, y sostiene que solo se instalan cookies no necesarias tras consentimiento expreso, indicando que, si el usuario rechaza o no acepta, estas no se descargan ni se almacenan, aportando capturas de pantalla. Señala que el banner de cookies aparece en el primer acceso, es visible, y permanece accesible mediante un enlace permanente que permite modificar el consentimiento en cualquier momento. Añade que la reclamación tendría origen en actuaciones previas de una autoridad francesa y que estaría vinculada a ejercicios de derechos (acceso y supresión) ya atendidos, no al uso de cookies.

La AEPD constató que el sitio web instala cookies no exceptuadas antes de cualquier interacción del usuario con el banner de consentimiento. En el acceso inicial se detecta la presencia de cookies asociadas a YouTube y Google, entre ellas VISITOR_INFO1_LIVE (.youtube.com), con finalidad de medición del rendimiento y análisis de interacción con vídeos; VISITOR_PRIVACY_METADATA (.youtube.com), vinculada a preferencias de privacidad del usuario; __Secure- ROLLOUT_TOKEN (.google.com), utilizada para la activación progresiva de funcionalidades y configuraciones experimentales; YSC (.youtube.com), de carácter técnico para la gestión de reproducción de vídeos incrustados; y __Secure- ENID (.google.com), asociada a identificación cifrada del navegador con fines de personalización y publicidad, incluyendo limitación de anuncios y medición de campañas. Aunque el banner ofrece opciones de aceptación, rechazo y configuración, así como acceso permanente a la gestión del consentimiento, la opción de rechazo no impide la instalación o persistencia de determinadas cookies detectadas en el primer acceso, manteniéndose el tratamiento de identificadores vinculados a servicios de terceros.

El artículo 22.2 LSSI permite el uso de cookies únicamente cuando el usuario haya prestado consentimiento informado tras recibir información clara y completa, salvo aquellas estrictamente necesarias para la prestación del servicio solicitado. La doctrina del Grupo de Trabajo del artículo 29 delimita como exceptuadas únicamente las cookies imprescindibles para la navegación, autenticación, seguridad o prestación del servicio expresamente solicitado. En el presente caso se constata la instalación previa de cookies de análisis, personalización y publicidad que no resultan estrictamente necesarias para la prestación del servicio solicitado por el usuario, al permitir la medición de comportamiento, la personalización de servicios y la elaboración de perfiles publicitarios. Dicho tratamiento se produce antes de la obtención de un consentimiento válido en los términos exigidos por el artículo 22.2 LSSI, al verificarse la activación de cookies no exceptuadas en el acceso inicial al sitio web sin acción previa del usuario.

La reclamante denunció ante la AEPD que la empresa en la que trabaja, Posada del León de Oro (PLO) había instalado una nueva cámara de videovigilancia con captación y grabación de imagen y audio, indicando que distintos empleados de recepción, responsables y dirección podían acceder en tiempo real a las imágenes y conversaciones captadas. Manifestó que ello vulneraba su intimidad durante la jornada laboral y que las cámaras podían utilizarse con fines distintos a la seguridad. Junto a la reclamación aportó fotografías de la cámara, de su ubicación y del espacio captado, así como imágenes y vídeos de la aplicación instalada en un terminal móvil desde el que se accedía a las imágenes y al audio en directo, pudiéndose observar trabajadores y opciones de configuración del dispositivo. PLO respondió indicando la existencia de dos establecimientos “La Posada del León de Oro” y “La Posada del Dragón de Oro”, situados en locales contiguos de Madrid, son gestionados conjuntamente. Explicó que años atrás se instaló un sistema de videovigilancia interior con varias cámaras orientadas a accesos y cajas registradoras, aunque aseguró que dicho sistema se encontraba en desuso. Añadió que, tras sufrir robos, se instaló en cada hotel una cámara de seguridad ubicada en la entrada y zona de recepción. Según indicó, durante el turno de noche un único recepcionista atiende ambos locales, por lo que la cámara permite supervisar remotamente el otro establecimiento y escuchar posibles ruidos o incidencias. PLO reconoció que el dispositivo disponía de funciones de grabación de audio incluidas de serie, aunque afirmó haber desactivado posteriormente dicha grabación, manteniendo únicamente la escucha en directo. Indicó además que las grabaciones se conservaban durante diez días, y que únicamente podían acceder al sistema el recepcionista nocturno y determinados responsables mediante teléfonos corporativos protegidos con código. Negó que existiera control laboral mediante las cámaras y sostuvo que el audio solo se mantenía activo en directo por motivos de seguridad nocturna. Junto a su escrito aportó fotografías del cartel informativo instalado en el establecimiento, en el que todavía se hacía referencia a la derogada Ley Orgánica 15/1999, identificando a PLO como responsable del tratamiento, así como imágenes de la ubicación de la cámara y capturas de configuración donde aparecía el micrófono activo y la grabación de audio desactivada.

- Sobre la captación de audio, la propia entidad ha confirmado que el sistema de videovigilancia instalado incluía funciones de captación, reproducción y grabación de audio, lo que potencialmente permitía captar conversaciones privadas de empleados y clientes en el interior del establecimiento. Aunque afirmó haber desactivado la grabación de sonido, no acreditó que las opciones de captación y grabación permanecieran configuradas de ese modo de forma permanente. La captación continuada de audio, y en su caso su grabación, no respetaría el principio de minimización de datos del artículo 5.1.c) del RGPD, al tratarse de un tratamiento excesivo y desproporcionado respecto de la finalidad de seguridad perseguida.

- En relación a la cartelería, se pudo observar que el cartel informativo de videovigilancia aportado por PLO no cumplía con las exigencias del artículo 13 del RGPD y del artículo 22 de la LOPDGDD, al seguir remitiendo a normativa derogada y no facilitar información sobre la segunda capa informativa relativa al tratamiento de datos personales y ejercicio de derechos.

A.A.A. denuncia ante la AEPD a ASNEF, EMPRESA.1 y su representante, EMPRESA.2, por la inclusión de sus datos en el fichero ASNEF respecto de una deuda cedida por EMPRESA.3 pese a haber obtenido el beneficio de exoneración del pasivo insatisfecho (BEPI). Aportó publicación del Registro Público Concursal acreditativa de la concesión definitiva del BEPI e informes de ASNEF sobre las anotaciones registradas. Consta que los datos de A.A.A. fueron incluidos en ASNEF en tres ocasiones, los días 02/11/2022, 09/01/2023 y 10/04/2023, todas ellas a instancia de EMPRESA.1. Las dos primeras anotaciones fueron canceladas cautelarmente tras el ejercicio del derecho de supresión por la reclamante, al no responder la acreedora a los requerimientos efectuados por ASNEF. La tercera inscripción fue eliminada posteriormente por la propia acreedora. La deuda procedía de una cesión de créditos formalizada entre EMPRESA.3 y EMPRESA.1, habiendo facilitado esta última los datos a EMPRESA.2 para la gestión y reclamación del crédito. ASNEF manifestó haber comunicado a la reclamante cada una de las inclusiones practicadas y aportó documentación acreditativa de los envíos postales. Indicó asimismo que las bajas se realizaron por ausencia de respuesta de la acreedora durante la tramitación de los derechos ejercitados. Reconoció que no existían ya datos activos asociados a la reclamante en sus ficheros. La reclamante sostuvo que el BEPI constaba inscrito en el Registro Público Concursal al menos desde el 21/11/2022, por lo que las posteriores inclusiones se produjeron cuando ya existía constancia pública de la inexigibilidad de la deuda. Por su parte, EMPRESA.2 alegó que conoció la existencia del concurso de acreedores en 2021, pero que no recibió el BEPI definitivo hasta abril de 2023, momento en el que se procedió a eliminar los datos del fichero.

La AEPD consideró acreditado que ASNEF conocía la existencia del BEPI desde el primer ejercicio del derecho de supresión formulado por A.A.A., al haberse aportado documentación procedente del Registro Público Concursal. Pese a ello, tras cancelar cautelarmente las dos primeras anotaciones, permitió nuevas inclusiones relativas a la misma deuda, identificada además con el mismo código de operación. Asimismo, la Agencia rechazó las alegaciones de ASNEF relativas a la supuesta insuficiencia probatoria de la documentación aportada. Señaló que la información extraída del Registro Público Concursal posee carácter oficial suficiente para, al menos, activar un deber reforzado de verificación. Indicó asimismo que, ante la ausencia de respuesta de la acreedora, ASNEF no podía limitarse a trasladar la solicitud de supresión y seguir acríticamente las instrucciones del cedente, sino que debía efectuar una valoración propia y resolver motivadamente el ejercicio de derechos, conforme al artículo 26.3 del RGPD y a la doctrina del Tribunal Supremo. En este sentido, recuerda que el artículo 20 de la LOPDGDD únicamente presume lícito el tratamiento de datos relativos a deudas ciertas, vencidas y exigibles. La concesión del BEPI privaba a la deuda de exigibilidad, destruyendo la presunción de interés legítimo. La AEPD consideró que ASNEF no acreditó haber realizado ninguna ponderación adicional que legitimara el tratamiento conforme al artículo 6.1.f) del RGPD. Además de la inclusión sin legitimación, también consideró que ASNEF vulneró el artículo 17 del RGPD al no atender adecuadamente las solicitudes de supresión formuladas por A.A.A. y permitir nuevas inclusiones pese a conocer la existencia del BEPI, manteniendo y reinscribiendo la información en el sistema común de información crediticia pese a la documentación aportada por la reclamante y a la ausencia de acreditación en contrario por parte de la acreedora.

La Audiencia Provincial de Barcelona resolvió el recurso de apelación interpuesto por Aronker SL, Comunal Comunicaciones SL y Celestino contra la sentencia que había estimado parcialmente la demanda presentada por Modesta por vulneración de su derecho a la propia imagen. La reclamante sostuvo que, tras finalizar su colaboración profesional con diversos locales vinculados al grupo Haima, continuaron utilizándose y difundiéndose sin consentimiento fotografías y vídeos de contenido íntimo, tanto en murales como en páginas web, Vimeo, Twitter y foros de internet. Solicitó el cese de la difusión, la retirada de las imágenes y una indemnización de 80.000 euros por daños morales y psicológicos. En primera instancia se apreció intromisión ilegítima respecto de tres hechos: el mantenimiento de murales con imágenes de la reclamante en el local; la publicación de un vídeo erótico en Vimeo; y la difusión de fotografías íntimas en la cuenta de Twitter “calipsomataro”. Se condenó solidariamente a Celestino, Aronker SL y Comunal Comunicaciones SL al pago de distintas cantidades que sumaban 25.000 euros. La Audiencia examinó separadamente cada actuación denunciada:

- Respecto de los murales instalados en el local, consideró acreditado que Modesta había consentido inicialmente el uso de las fotografías durante el tiempo en que trabajó en el establecimiento. Aunque constaba que posteriormente solicitó su retirada, el tribunal entendió que la eventual responsabilidad derivada de mantener las imágenes correspondía a la sociedad explotadora del negocio y no personalmente a Celestino, cuya intervención se limitaba a funciones de gestión del club, revocándose la condena impuesta por este concepto.

- En relación con el vídeo promocional alojado en Vimeo, la Audiencia señaló que no se acreditó quién había subido el contenido ni la vinculación entre el usuario de la plataforma y los demandados. Tampoco constaba que las webs gestionadas por Comunal Comunicaciones SL enlazaran al vídeo o asumieran su autoría. El hecho de que esta sociedad figurara como Responsable del tratamiento de datos de determinadas páginas web no permitía extender automáticamente su responsabilidad a una vulneración del derecho a la propia imagen, revocando la condena relativa a esta publicación.

- Distinta valoración realizó el tribunal sobre las imágenes difundidas en la cuenta de Twitter “calipsomataro”. La Audiencia consideró acreditada la relación entre dicha cuenta y Aronker SL porque la web oficial del Club Calipso incluía un enlace directo acompañado de la expresión “síguenos en Twitter”. En esa cuenta aparecían varias fotografías identificables de Modesta sin constar consentimiento para su utilización ni actuación eficaz tras las reclamaciones efectuadas para su retirada. Aunque no pudo determinarse técnicamente quién gestionaba materialmente el perfil, el tribunal entendió suficiente la vinculación existente entre la web corporativa y la cuenta de Twitter para atribuir responsabilidad a Aronker SL. No obstante, descartó nuevamente la responsabilidad personal de Celestino al no ejercitarse frente a él ninguna acción societaria ni concurrir circunstancias que justificaran el levantamiento del velo societario.Por ello, la Audiencia confirmó únicamente la condena de Aronker SL por la difusión de las imágenes en Twitter, manteniendo la indemnización de 5.000 euros al considerar acreditada la intromisión ilegítima y aplicable la presunción de daño moral del artículo 9.3 de la LO 1/1982. El tribunal valoró la difusión limitada al entorno de clientes y seguidores del club, así como la existencia de otras imágenes similares publicadas por la propia reclamante en páginas vinculadas al mismo ámbito profesional.

Eva, dependienta de Stradivarius España S.A. en Málaga, fue sorprendida en una tienda Zara intentando sustraer una prenda valorada en 29,95 euros sin abonarla, hechos por los que resultó condenada por un delito leve de hurto. Al día siguiente comunicó lo sucedido a su encargada y a la responsable de área de Stradivarius. Posteriormente, Prosegur remitió a Stradivarius la sentencia penal dictada contra la trabajadora. Ambas sociedades pertenecían al grupo Inditex y compartían política de privacidad y código de conducta aceptados por la empleada. Tras conocer los hechos, Stradivarius acordó su despido disciplinario por transgresión de la buena fe contractual. El Juzgado de lo Social desestimó la demanda de despido nulo o, subsidiariamente, improcedente, considerando ajustada a derecho la extinción y entendiendo lícita la comunicación de la sentencia penal entre empresas vinculadas al grupo. La trabajadora recurrió alegando vulneración de sus derechos fundamentales a la intimidad y protección de datos, al haberse cedido información relativa a condenas penales sin su consentimiento.

El Tribunal Superior de Justicia analizó el tratamiento de datos relativos a condenas e infracciones penales, y señaló que dichos datos cuentan con un régimen específico y más restrictivo que el previsto para otras categorías especiales de datos, de modo que su tratamiento y cesión solo pueden realizarse bajo supervisión pública o cuando exista habilitación legal expresa. Indicó que el consentimiento de la trabajadora no legitimaba la cesión de la sentencia penal, al no tratarse de un supuesto amparado por la normativa, y añadió que la política de privacidad del grupo Inditex no contenía una autorización expresa y válida para ese tratamiento. Consideró, por tanto, ilícita la remisión de la sentencia por Prosegur a Stradivarius y declaró vulnerado el derecho fundamental de la trabajadora a la protección de datos personales. No obstante, la Sala precisó que la nulidad de la prueba obtenida con vulneración de derechos fundamentales no determina automáticamente la nulidad del despido. Destacó que la empresa conoció los hechos por una fuente independiente y válida, ya que fue la propia trabajadora quien relató lo ocurrido a sus superiores al día siguiente del incidente. Esa comunicación permitía acreditar los hechos con independencia de la sentencia penal remitida por Prosegur. Por ello, el Tribunal entendió que la conducta constituía una transgresión de la buena fe contractual. Aunque los hechos ocurrieron fuera de la jornada laboral y en una sociedad distinta de la empleadora, ambas empresas integraban el grupo Inditex y estaban sometidas a un mismo código ético y de conducta conocido por la trabajadora. La Sala consideró que el intento de apropiación de mercancía en una empresa del grupo afectaba directamente a los deberes de honestidad e integridad exigibles dentro de la relación laboral, confirmando así la procedencia del despido.

Pese a ello, estimó parcialmente la acción de tutela de derechos fundamentales por la cesión ilícita de datos relativos a condenas penales y condenó a Stradivarius España S.A. al abono de una indemnización de 5.000 euros por daños morales derivados de la vulneración del derecho fundamental a la protección de datos y a la intimidad.

El Tribunal Superior de Justicia de Navarra (TSJN) ha confirmado una sentencia dictada el pasado enero por la Sección Segunda de la Audiencia Provincial, que condenó a un total de 8 años de prisión y 16.800 euros de multa a una administrativa del Centro de Salud de Alsasua que accedió sin autorización 1.329 veces al historial médico de su hija y tres nietos.

La sentencia ahora ratificada por la Sala de lo Civil y Penal del TSJN, que puede ser recurrida ante el Tribunal Supremo, impuso a la procesada 2 años de prisión y 4.200 euros de multa por cada uno de los cuatro delitos continuados de revelación de secretos, con la concurrencia de las atenuantes simples de reparación del daño y anomalía o alteración psíquica. Además, la encausada no podrá comunicarse ni aproximarse a menos de 200 metros de sus familiares víctimas durante un total de 20 años (5 por cada delito). En concepto de responsabilidad civil, indemnizará con 25.000 euros a su hija y con 10.000 a cada uno de sus tres nietos por el daño moral. De esta suma deberá descontarse la cantidad de 24.000 euros ya consignados, de modo que abonará 31.000 euros en total. Asimismo, la Audiencia le impuso 7 años de inhabilitación por cada uno de los cuatro delitos.

Desde mayo de 2021 hasta mayo de 2024, la funcionaria accedió en 677 ocasiones a la historia clínica de su hija y en 263, 275 y 114 a las de sus tres nietos (dos varones y una mujer). Y también imprimió informes en 122 ocasiones.

Según consideró probado el tribunal sentenciador, “estos accesos ininterrumpidos se llevaron a cabo por motivos ajenos a sus funciones profesionales, sin justificación asistencial y sin contar con autorización ni consentimiento” de la madre.

En el momento de los hechos, según recoge la sentencia, la procesada “estaba diagnosticada de trastorno adaptativo y trastorno de control de los impulsos, lo que afectaba a sus facultades volitivas de manera leve”.

En su sentencia, la Sala de lo Civil y Penal del TSJN desestima en su integridad el recurso presentado por la defensa: “A la vista de la prueba practicada en el acto del juicio, esta Sala, al igual que la Audiencia Provincial en su sentencia, no alberga duda alguna de que la acusada difundió datos ilegalmente obtenidos con los accesos a las historias médicas de su hija y sus nietos menores de edad”, indica la Sala.

En su recurso, la defensa planteaba la absolución de la condenada al considerar que debía estimarse la eximente completa de alteración psíquica. El Tribunal, sin embargo, rechaza el trastorno disociativo alegado. “Los motivos por los que esta Sala, al igual que el órgano sentenciador, no aprecia la concurrencia en la acusada de un trastorno disociativo que, necesariamente, caso de existir, le hubiese impedido no solo saber lo que estaba haciendo, sino incluso recordarlo después, son variados”, exponen los magistrados, que rebaten la existencia de la necesaria amnesia, puesto que fue la propia inculpada quien difundió a terceras personas datos extraídos de las historias médicas.

La AEPD inició actuaciones contra TIGER MEDIA INC. (T.M.I.), propietaria de la plataforma ***PLATAFORMA.1, una red publicitaria especializada en productos y servicios para adultos que opera como intermediaria entre anunciantes y editores mediante servicios SSP y DSP. La investigación se centró en el tratamiento de datos personales efectuado a través de cookies y tecnologías de seguimiento instaladas en páginas web asociadas a dicha plataforma. En respuesta al requerimiento de información, T.M.I. indicó que trataba datos técnicos y de uso de los usuarios finales, entre ellos direcciones IP, identificadores de cookies, información del navegador, URL visitadas, clics e impresiones publicitarias. Manifestó que la finalidad del tratamiento era la entrega y medición de publicidad, prevención del fraude y mejora del servicio, afirmando que la base legitimadora era el interés legítimo y, cuando resultara necesario, el consentimiento obtenido por los editores de las páginas web. Negó realizar perfilado o publicidad comportamental y sostuvo que no estaba obligada a designar delegado de protección de datos ni a realizar evaluación de impacto.

Las actuaciones inspectoras verificaron que la política de privacidad de ***PLATAFORMA.1 contemplaba el uso de cookies persistentes y tecnologías como balizas web para mostrar anuncios, medir rendimiento publicitario, limitar frecuencias y detectar fraude. También se constató que la plataforma utilizaba cookies asociadas al dominio ***PLATAFORMA.1 catalogadas como “Marketing” o “Segmentación”, destinadas a identificar usuarios anónimos y mejorar la pertinencia de los anuncios. Asimismo, la política de consentimiento imponía a los editores la obligación de obtener consentimiento válido de los usuarios del EEE y Reino Unido antes de instalar cookies o tratar datos con fines publicitarios.

La AEPD comprobó en diversas páginas vinculadas a la red publicitaria que se instalaban cookies persistentes asociadas a ***PLATAFORMA.1 sin recabar consentimiento previo de los usuarios. En algunos casos, las cookies se utilizaban para mostrar publicidad segmentada por idioma y país y para registrar interacciones publicitarias. También se verificó mediante herramientas de desarrollo web la realización de solicitudes HTTP y el funcionamiento efectivo de dichas cookies en sitios web españoles de contenido adulto.

La Agencia consideró que los tratamientos realizados carecían de base jurídica válida. Señaló que el artículo 22.2 LSSI exige consentimiento expreso para el almacenamiento y acceso a información mediante cookies no necesarias y que, conforme a la sentencia Planet49 del TJUE y al informe del Comité Europeo de Protección de Datos sobre banners de cookies, el interés legítimo no puede sustituir al consentimiento cuando éste resulta obligatorio. Indicó igualmente que los usuarios no tenían una expectativa razonable de que sus datos de navegación fueran utilizados con fines publicitarios por terceros sin información clara ni mecanismo de aceptación previa, por lo que el tratamiento no superaba el juicio de ponderación del artículo 6.1.f) RGPD.

La AEPD apreció indicios de infracción del artículo 6.1 RGPD por ausencia de base legitimadora para el tratamiento derivado de las cookies publicitarias. Además, constató que T.M.I., entidad establecida fuera de la Unión Europea, carecía de representante válido en un Estado miembro, al reconocer que el representante designado se encontraba en Irlanda del Norte y que estaba tramitando su sustitución, apreciándose también indicios de infracción de la obligación prevista para responsables no establecidos en la UE.

EMPRESA.1 y EMPRESA.2 notificaron a la AEPD una brecha de seguridad de confidencialidad derivada de un ciberataque sufrido entre el 5 y el 7 de mayo de 2024, detectado el 7 de mayo y comunicado posteriormente a los afectados. El incidente afectó a datos identificativos y de contacto de clientes, incluyendo nombre, apellidos, número de DNI, NIE o pasaporte y datos de contacto. Diversos reclamantes denunciaron ante la AEPD haber recibido comunicaciones de ambas compañías informando del acceso no autorizado a sus datos personales. Uno de ellos denunció además no haber recibido respuesta a una solicitud de información relativa a si sus datos habían resultado comprometidos. Las comunicaciones remitidas a los afectados indicaban que uno de los proveedores de las compañías había sufrido un ciberataque que permitió el acceso parcial a datos de clientes y recomendaban adoptar medidas preventivas frente a posibles intentos de fraude, phishing o usurpación de identidad.

EMPRESA.1 identificó como encargado del tratamiento a KONECTA BTO, S.L.U., empresa encargada de prestar servicios multicanal de contact center para las compañías del GRUPO.1, incluyendo atención telefónica, recobro y comercialización de servicios, para lo cual debía acceder remotamente al CRM corporativo PLATAFORMA.1 y al aplicativo APLICACIÓN.1. KONECTA tenía autorizada la subcontratación parcial del servicio con la sociedad chilena EMPRESA.15, integrada en el mismo grupo empresarial. Ambas entidades formalizaron contratos de encargado y subencargado del tratamiento que incluían obligaciones específicas de ciberseguridad y protección de datos, así como medidas de acceso remoto y autenticación.

Según manifestó EMPRESA.1, el incidente fue detectado por su Centro de Operaciones de Seguridad al advertirse un volumen anómalo de consultas sobre datos de clientes procedente de usuarios asociados a KONECTA. Tras bloquear cautelarmente un primer usuario comprometido y comprobar que la actividad persistía desde un segundo usuario, se bloqueó el tráfico procedente del rango de red afectado, cesando los accesos no autorizados. Los usuarios comprometidos correspondían a empleados de EMPRESA.15 y habían sido dados de baja el mismo día de la detección de la brecha.

Los informes periciales incorporados al expediente, elaborados por EMPRESA.10 y EMPRESA.11, concluyeron que la intrusión se vio favorecida por incumplimientos contractuales y deficiencias en las medidas de seguridad exigidas a KONECTA. Entre los puntos señalados figuraban la ausencia de doble factor de autenticación para determinados accesos remotos, deficiencias en la gestión y supervisión de accesos y falta de implementación de medidas correctoras ya identificadas en una auditoría realizada en 2022 por EMPRESA.9. Dich auditoría ya había detectado carencias de seguridad imputables al proveedor y recomendado mejoras específicas que, según la documentación obrante, no habrían sido completamente implantadas.

KONECTA sostuvo que disponía de políticas internas de seguridad, controles de acceso, campañas de concienciación y mecanismos de monitorización activos, así como de políticas de contraseñas y compromisos de confidencialidad suscritos por los empleados implicados. Alegó igualmente que el tráfico detectado provenía del entorno del cliente y que no podía inspeccionarlo íntegramente por limitaciones de autorización. No obstante, reconoció no poder descartar un fallo puntual en la aplicación de sus sistemas de seguridad y afirmó haber reforzado posteriormente sus protocolos internos y medidas de diligencia.

Las actuaciones de investigación reflejan que el acceso no autorizado permitió consultas masivas y exfiltración de datos personales de clientes de ambas compañías. Aunque EMPRESA.1 y EMPRESA.2 indicaron no haber constatado usos ilícitos posteriores de la información obtenida, los riesgos identificados incluían campañas de phishing, spam y posibles intentos de suplantación de identidad.

La AEPD considera provisionalmente que KONECTA, como encargado del tratamiento y responsable de la organización de los accesos remotos utilizados para la prestación del servicio, incumplió las instrucciones y obligaciones de seguridad establecidas contractualmente por EMPRESA.1 y EMPRESA.2, así como las exigencias derivadas del artículo 32 del RGPD. Asimismo, entiende que tales incumplimientos se extendieron al subencargado EMPRESA.15, respecto del cual KONECTA mantenía capacidad de supervisión y control. En aplicación del artículo 28.10 RGPD, la Agencia aprecia indicios de que KONECTA habría actuado fuera del marco de instrucciones del responsable, asumiendo la condición de responsable del tratamiento respecto de la infracción investigada por vulneración del artículo 5.1.f) RGPD relativo al principio de integridad y confidencialidad.

AUDIOVISUAL ESPAÑOLA 2000 publicó en la edición digital de prensa una noticia acompañada de un vídeo en el que aparecían, sin anonimización ni técnicas que impidieran su identificación, tanto la víctima de una agresión —una persona indigente en situación de vulnerabilidad— como el agresor, menor de edad. El vídeo, difundido también a través del perfil de la red social X del medio, permitía reconocer a ambos afectados y permaneció accesible públicamente en Internet. La SGID verificó la existencia y contenido de la publicación. La entidad figuraba como responsable del tratamiento conforme a la política de privacidad publicada en su portal web. Tras requerimiento cautelar de la AEPD, AUDIOVISUAL ESPAÑOLA 2000 retiró el vídeo tanto de la web como de la red social y reconoció expresamente que difundió datos personales sin recabar el consentimiento de los afectados. En sus alegaciones, la reclamada sostuvo que la publicación obedeció a un error humano sin intención de vulnerar la normativa, que actuó sin ánimo de lucro, que retiró el contenido de forma inmediata y que revisó sus protocolos internos para evitar incidentes similares. También alegó que se trataba de un hecho aislado y solicitó la aplicación de diversas atenuantes, entre ellas la colaboración con la AEPD, la ausencia de beneficio económico y la inexistencia de perjuicio efectivo para los afectados. La Agencia rechazó dichas alegaciones al considerar que el RGPD impone al responsable un deber de diligencia cuyo incumplimiento puede apreciarse incluso por mera negligencia. Recordó que la responsabilidad administrativa exige culpa o falta de cuidado, bastando la inobservancia de obligaciones legales, especialmente en entidades cuya actividad implica tratamiento continuado de datos personales. Destacó asimismo el principio de responsabilidad proactiva del artículo 5.2 RGPD, que obliga no solo a cumplir la normativa, sino también a poder acreditar dicho cumplimiento mediante medidas técnicas y organizativas adecuadas.

La AEPD consideró acreditado que la publicación del vídeo constituía un tratamiento de datos personales innecesario y desproporcionado respecto de la finalidad informativa perseguida, al no haberse aplicado medidas técnicas que impidieran identificar a la víctima y al menor agresor. Señaló que la tecnología disponible permite difundir contenidos audiovisuales preservando la identidad de los afectados mediante difuminados u otros mecanismos de anonimización, sin menoscabar el derecho a la información. Valoró especialmente la gravedad derivada de la difusión masiva en Internet, la posibilidad de reenvío o reproducción indefinida del vídeo y la pérdida de control de los afectados sobre sus datos personales, máxime tratándose de un menor y de una persona vulnerable.

La Agencia también destacó que los medios de comunicación deben extremar la diligencia en el tratamiento de datos personales y realizar análisis de riesgos previos, especialmente en el actual contexto tecnológico marcado por el desarrollo de herramientas de inteligencia artificial capaces de identificar personas a partir de imágenes o fragmentos audiovisuales. Consideró que AUDIOVISUAL ESPAÑOLA 2000 no acreditó haber valorado alternativas menos intrusivas ni haber ponderado adecuadamente el equilibrio entre el derecho a la información y el derecho fundamental a la protección de datos. En consecuencia, la AEPD apreció indicios suficientes de infracción del artículo 5.1.c) RGPD, relativo al principio de minimización de datos, al considerar que la difusión íntegra del vídeo permitiendo la identificación de la víctima y del menor agresor resultaba innecesaria, desproporcionada y contraria a la normativa de protección de datos.

A.A.A. presentó reclamación contra MAQUINARIA TALLERES NÚÑEZ, S.L. por la falta de atención del derecho de acceso ejercitado respecto de los datos personales de su padre fallecido. Indicó que remitió a la sociedad un burofax electrónico solicitando acceso y copia de documentación relativa a la relación mantenida por el causante con la empresa, incluyendo contratos, nóminas, certificados de retenciones, documentación societaria y cualquier otro documento con datos personales del fallecido. Junto a la solicitud aportó copia de su DNI, certificado de defunción, Libro de Familia y testamento. Manifestó que la solicitud fue entregada correctamente y no obtuvo respuesta dentro del plazo legal. Tras el traslado de la reclamación por parte de la AEPD, la sociedad remitió respuesta extemporánea a la interesada, indicando que el fallecido había actuado como socio y administrador, por lo que no existían contratos laborales tradicionales ni nóminas en sentido habitual, aunque sí determinada documentación societaria y administrativa vinculada a su actividad. Posteriormente alegó que había facilitado toda la documentación disponible, que parte de la información anterior a 2020 había sido destruida conforme a los plazos de conservación del artículo 30 del Código de Comercio y que ciertos documentos no podían entregarse íntegramente por contener datos de terceros. También sostuvo que la relación del causante con la empresa era de naturaleza societaria y no laboral, señalando que cotizaba como autónomo y que únicamente se confeccionaban recibos de retribuciones. A.A.A. manifestó que la respuesta era incompleta y carente de motivación suficiente, señalando contradicciones entre la información facilitada y diversa documentación obrante en su poder. Indicó que disponía de recibos mensuales y extractos bancarios emitidos por la propia empresa que no habían sido aportados, así como documentación que evidenciaba la existencia de tratamientos de datos vinculados a cotizaciones, retribuciones y regularizaciones económicas. También cuestionó la alegada inexistencia de documentación laboral, aportando informe de vida laboral del causante en alta en el Régimen General vinculado a la empresa. Añadió que parte de la documentación remitida era ilegible o carecía de contenido útil y solicitó una respuesta estructurada, verificable y motivada, con identificación expresa de la documentación omitida o destruida y de los sistemas consultados.

La AEPD recordó que el artículo 3 de la LOPDGDD legitima a herederos y familiares para acceder a los datos personales de personas fallecidas, aplicándose al ejercicio de este derecho el mismo régimen previsto con carácter general para el derecho de acceso del artículo 15 del RGPD. Citó asimismo la sentencia del Tribunal Supremo de 4 de marzo de 2024 y las Directrices 1/2022 del Comité Europeo de Protección de Datos sobre el derecho de acceso, recordando que la solicitud no requiere formalidades específicas y que el derecho puede incluir la obtención de copia de documentos que contengan datos personales. La Agencia señaló que el procedimiento de tutela de derechos únicamente tenía por objeto valorar la atención del derecho de acceso y no pronunciarse sobre la corrección de los plazos de conservación aplicados por la empresa ni sobre la trazabilidad documental. Consideró acreditado que la solicitante ejercitó válidamente el derecho de acceso respecto de los datos de su padre fallecido y que la empresa respondió fuera de plazo, facilitando diversa documentación e información. También concluyó que la solicitud no podía considerarse excesiva ni repetitiva, por lo que no procedía exigir canon alguno. Finalmente, la AEPD estimó la reclamación por motivos formales al haberse atendido el derecho de acceso de forma extemporánea, sin requerir actuaciones adicionales a la empresa ni la emisión de una nueva respuesta.

La Sala de lo Civil y Penal del Tribunal Superior de Justicia de Madrid desestimó el recurso de apelación interpuesto por Aurelio contra la sentencia dictada por la Sección 3.ª de la Audiencia Provincial de Madrid que le condenó como autor de un delito de descubrimiento y revelación de secretos. Los hechos probados declaraban que Aurelio, facultativo especialista de Farmacia Hospitalaria del Hospital Universitario Severo Ochoa, accedió en varias ocasiones a la historia clínica de su compañera Gregoria, paciente oncológica, utilizando sus credenciales profesionales y sin consentimiento ni justificación asistencial. La sentencia de instancia le impuso pena de prisión de un año y seis meses, multa, inhabilitación absoluta y obligación de indemnizar a Gregoria con 6.000 euros.

En el recurso, Aurelio alegó vulneración de la presunción de inocencia y error en la valoración de la prueba, sosteniendo que sus accesos obedecían a motivos de ética profesional y control de posibles interacciones farmacológicas en pacientes dados de alta. Indicó que tenía autorización general para acceder al sistema y que la enfermedad de Gregoria era conocida en el servicio. También negó la existencia de dolo y de perjuicio, invocando jurisprudencia del Tribunal Supremo relativa a supuestos absolutorios.

El TSJ rechazó dichos argumentos al considerar plenamente acreditado que Aurelio solo tenía asignadas las áreas de Dermatología y Farmacocinética, careciendo de autorización para acceder a historiales de pacientes oncológicos. La Sala destacó que Gregoria ya no seguía tratamiento hospitalario susceptible de validación farmacéutica y que tanto la jefa de Oncología como el jefe del Servicio de Farmacia confirmaron la inexistencia de causa asistencial que justificara los accesos. Asimismo, señaló que no constaba anotación profesional alguna derivada de las supuestas comprobaciones realizadas por el acusado.

La resolución recordó la doctrina consolidada sobre el delito del artículo 197 CP, señalando que la autorización de acceso a sistemas sanitarios únicamente ampara las consultas realizadas dentro de las funciones encomendadas. Añadió que el tipo penal se consuma con el mero acceso inconsentido a datos reservados y que, tratándose de datos de salud, el perjuicio exigido por el artículo 197.2 CP es inherente al propio acceso, dada la especial sensibilidad de la información sanitaria y su pertenencia al núcleo más estricto de la intimidad.

La Sala descartó igualmente la inexistencia de dolo. Consideró acreditado que Aurelio era consciente de acceder sin autorización a información sanitaria reservada de una compañera de trabajo y que ello bastaba para integrar el elemento subjetivo del delito, con independencia de la finalidad ulterior alegada. También rechazó que el conocimiento previo de la enfermedad por parte de compañeros desvirtuara el carácter secreto de la historia clínica, recordando que esta contiene información clínica detallada no accesible de forma indiscriminada.

El TSJ examinó además la jurisprudencia citada por la defensa y concluyó que no era aplicable al caso, al referirse a accesos sobre datos no sensibles o a información ya conocida íntegramente por el acusado. Frente a ello, destacó que en este supuesto los accesos recayeron sobre datos de salud especialmente protegidos, cuyo mero conocimiento inconsentido integra el perjuicio típico exigido por el artículo 197 CP. En consecuencia, confirmó íntegramente la condena impuesta por la Audiencia Provincial de Madrid y declaró de oficio las costas de la apelación.

ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. notificó a la AEPD una brecha de datos personales originada por un ataque ransomware detectado el 24 de abril de 2024. Según la entidad, los atacantes habrían accedido a la red interna mediante la vulneración de credenciales VPN y certificados digitales, aprovechando vulnerabilidades no corregidas. Tras obtener acceso remoto, realizaron movimientos laterales, ejecutaron scripts vía SMB, desinstalaron herramientas de seguridad y alteraron configuraciones críticas, afectando inicialmente a 31 servidores y comprometiendo la confidencialidad y disponibilidad de los datos. La brecha afectó a empleados, clientes y terceros de varios países de la UE, incluidos Irlanda, Italia, Polonia y Portugal.

ALÍA GESTIÓN informó inicialmente de unos 12.500 afectados y posteriormente amplió y actualizó la información remitida a la AEPD, aportando denuncias ante la Policía Nacional, informes técnicos y comunicaciones complementarias. Finalmente se constató la afectación de, al menos, 77.027 personas: 32.178 correspondientes a tratamientos respecto de los que ALÍA GESTIÓN actuaba como responsable y 44.849 vinculadas a tratamientos realizados como encargado para distintas sociedades del Grupo AYESA y otras entidades. Entre los afectados figuraban empleados, menores y colectivos vulnerables. Los datos comprometidos incluían identificativos, documentos de identidad, datos de contacto, económicos, financieros, profesionales, académicos, familiares y de salud, así como credenciales de acceso. La brecha dio lugar a múltiples notificaciones y reclamaciones. RED.ES comunicó la posible afectación de hasta 500.000 usuarios de servicios públicos gestionados por ***EMPRESA.1 como encargada del tratamiento. FUNDACIÓN AYESA notificó la exfiltración de datos de 200 empleados. ADIF-ALTA VELOCIDAD y ADMINISTRADOR DE INFRAESTRUCTURAS FERROVIARIAS comunicaron igualmente afectaciones derivadas del mismo incidente, relacionadas con expedientes y servicios gestionados por encargados vinculados al entorno de ALÍA GESTIÓN. La AEPD recibió además reclamaciones de empleados y exempleados afectados.

Las actuaciones previas determinaron que el incidente se produjo entre el 19 y el 24 de abril de 2024 y que ALÍA GESTIÓN tenía conocimiento previo, desde enero de 2024, de determinadas deficiencias de seguridad que no habían sido corregidas. La AEPD consideró acreditado que las medidas técnicas y organizativas implantadas no eran adecuadas al riesgo del tratamiento, permitiendo el acceso no autorizado, la exfiltración de información y el cifrado de sistemas. También valoró que la rápida propagación del ataque evidenciaba vulnerabilidades relevantes en la infraestructura y controles insuficientes. Asimismo, en este caso ALÍA GESTIÓN actuaba tanto como responsable como encargado del tratamiento y que determinadas decisiones relativas a la seguridad afectaban globalmente a todos los tratamientos gestionados, por lo que debía responder administrativamente conforme al artículo 28.10 RGPD. La AEPD apreció indicios de infracción de la confidencialidad, valorando como agravantes la gravedad de la brecha, el elevado número de afectados, la afectación a interesados de varios Estados miembros, la naturaleza de los datos comprometidos —incluidos datos de salud y documentos identificativos—, la vinculación profesional de ALÍA GESTIÓN con tratamientos masivos de datos y la afectación a menores. También consideró la existencia de negligencia grave por no haber corregido vulnerabilidades previamente conocidas. Como circunstancia atenuante se tuvo en cuenta la adopción posterior de medidas de mitigación y refuerzo de seguridad.

La AEPD tuvo conocimiento, mediante denuncia anónima, de un posible uso indebido de datos personales por parte de AMADEUS IT GROUP, S.A. en relación con tratamientos de perfilado efectuados a través de su sistema GDS (Sistema de Distribución Global), utilizado para reservas de viajes y billetes aéreos. La denuncia sostenía que AMADEUS habría consolidado datos de viajeros procedentes de múltiples agencias y aerolíneas mediante los sistemas de una empresa y el proyecto piloto de una plataforma, elaborando perfiles a partir del historial de viajes de millones de personas, sin solicitar consentimiento ni informar a los interesados cuando actuaba como responsable del tratamiento. AMADEUS confirmó ante la AEPD que su actividad GDS tiene carácter transfronterizo y afecta a interesados de diversos Estados miembros, actuando la AEPD como autoridad principal en el procedimiento coordinado a través del sistema IMI. Durante la investigación se analizaron, entre otros extremos, el funcionamiento del GDS, los contratos suscritos con aerolíneas, agencias y cadenas hoteleras, el Registro de Actividades de Tratamiento, las evaluaciones de impacto y la política de privacidad del servicio.

La investigación constató que AMADEUS actuaba en determinados tratamientos como Responsable y en otros como Encargado, dependiendo del tipo de servicio y del origen de los datos. Respecto de la plataforma piloto, la AEPD concluyó que AMADEUS trató datos procedentes de Registro de Nombres de Pasajeros (PNR) del GDS con la finalidad de desarrollar y probar nuevos productos comerciales basándose en su interés legítimo.

- Sobre el deber de información, aunque la política de privacidad del GDS de AMADEUS fue modificada durante la investigación, pasando a incluir referencias más detalladas a finalidades analíticas, desarrollo de productos y anonimización de datos; la AEPD consideró insuficiente dicha información, al entender que los usuarios finales no tenían una relación directa con AMADEUS ni expectativas razonables de que sus datos fueran reutilizados posteriormente para fines distintos de la gestión de reservas. La información facilitada se limitaba esencialmente a referencias genéricas en políticas de privacidad accesibles mediante enlaces de IATA y del propio GDS. Por ello, se consideró una posible vulneración del artículo 14 RGPD por no haber informado adecuadamente a los interesados sobre el tratamiento ulterior de sus datos en el proyecto piloto. Consideró especialmente relevante que AMADEUS no obtenía los datos directamente de los viajeros y que el tratamiento ulterior se realizaba años después de efectuadas las reservas, sin que hubiera quedado acreditado que los interesados conocieran la existencia del tratamiento ni la identidad de AMADEUS como responsable.

- Respecto al interés legítimo: la AEPD entendió que AMADEUS carecía de base jurídica válida conforme al artículo 6 RGPD para utilizar los PNR con fines de desarrollo de la plataforma piloto. Aunque AMADEUS invocó el interés legítimo y aportó una evaluación específica, la Agencia destacó que la propia documentación interna de la propia compañía cuestionaba la utilización de dicha base legitimadora para este tratamiento. La AEPD consideró que los interesados no podían prever razonablemente que una entidad ajena a la contratación directa reutilizara sus datos de viaje para fines de perfilado y desarrollo comercial. También recalca que, de conformidad con el Reglamento (CE) 80/2009, respecto al plazo de conservación de los PNR, dicha información deben ser inaccesible en línea tras 72 horas y destruida en un máximo de tres años. Sin embargo, AMADEUS reconoció haber utilizado datos históricos de PNR de 2019 para la plataforma piloto, años después de su recopilación. Resulta igualmente llamativo que algunas aerolíneas manifestaron no tener conocimiento del proyecto ni haber autorizado reutilizaciones de datos para fines distintos de la prestación de servicios informáticos contratados. AMADEUS afirmó finalmente que la plataforma piloto nunca llegó a comercializarse y que el fue descartada, entre otras razones, por cuestiones de protección de datos.

La AEPD recibió una reclamación contra A.A.A., youtuber titular de dos canales, por utilizar la imagen del reclamante como portada de un vídeo publicado en YouTube sobre la negativa judicial a admitir una solicitud de cambio de identidad sexual. El reclamante manifestó que la fotografía había sido tomada y publicada previamente en prensa, aportando denuncia y ampliación de denuncia ante la Policía Nacional, así como el enlace del vídeo, e información identificativa del denunciado. La Agencia comprobó que en la URL, correspondiente al un perfil con 156.000 suscriptores, figuraba un vídeo cuya portada mostraba la imagen del reclamante junto al logotipo de su otro canal, con un rótulo y una flecha señalándole. El vídeo acumulaba 1.500 “me gusta”.

La reclamación fue trasladada a A.A.A. para que formulase alegaciones y acreditase las medidas adoptadas, sin que conste respuesta. Posteriormente, GOOGLE IRELAND LIMITED facilitó la dirección IP utilizada para crear el perfil de YouTube responsable de la publicación. TELEFÓNICA DE ESPAÑA, S.A.U. informó de que no conservaba datos asociados a dicha IP por haber transcurrido el plazo legal de conservación. Un nuevo requerimiento a GOOGLE IRELAND LIMITED permitió obtener información adicional sobre la IP utilizada para la publicación del vídeo. Mediante consulta WHOIS se verificó que la IP pertenecía a ORANGE ESPAGNE, SAU, que confirmó que figuraba contratada a nombre de A.A.A., junto con los datos necesarios para su localización.

La AEPD acordó iniciar procedimiento sancionador contra A.A.A. por vulneración del artículo 6.1 del RGPD. En los hechos probados se consideró acreditado que el vídeo publicado en uno de sus canales utilizaba como imagen de portada la fotografía del reclamante, acompañada de un texto y elementos gráficos identificativos, sin consentimiento del afectado. También quedó acreditado que la IP utilizada para la publicación correspondía a A.A.A. y que la imagen continuaba visible en la portada del vídeo en marzo de 2026. La Agencia recordó que el artículo 6.1 del RGPD exige la concurrencia de una base jurídica que legitime cualquier tratamiento de datos personales, incluida la imagen, recordando la STC 292/2000, que recogía el derecho de disposición y control sobre los datos personales y la facultad de oponerse a su utilización por terceros. En este caso, consideró que no constaba consentimiento del afectado, relación contractual, obligación legal ni interés legítimo prevalente que justificase la utilización de su imagen en la publicación difundida a través de YouTube, apreciando indicios de vulneración del artículo 6 del RGPD por tratamiento ilícito de datos personales.

A.A.A. presentó reclamación ante la AEPD contra el AYUNTAMIENTO DE TARANCÓN por no haber atendido correctamente su derecho de acceso. La reclamante expuso que, mediante formulario dirigido al DPD municipal, solicitó información sobre el uso continuado de su antiguo NIE en distintos procedimientos administrativos pese a disponer ya de DNI español, indicando además la posible existencia de perfiles administrativos duplicados y la reactivación de expedientes sin su conocimiento. Ejercitó expresamente el derecho de acceso solicitando confirmación sobre el tratamiento de sus datos personales, copia o relación detallada de dichos datos, base jurídica, finalidades, destinatarios e identificación de las unidades o funcionarios que hubieran accedido a la información y fechas de acceso. Asimismo, pidió la conservación íntegra de los expedientes afectados mientras se esclarecían los hechos. El Ayuntamiento respondió requiriendo subsanación de la solicitud al considerar que no concretaba con claridad los hechos, razones y petición formulada, señalando que mezclaba cuestiones diversas y afirmaciones sin soporte documental. Posteriormente declaró desistida la solicitud por no atenderse dicho requerimiento.

Durante la tramitación ante la AEPD, el Ayuntamiento alegó que la petición era incongruente entre el formulario oficial y el escrito adjunto, indicando que no quedaba claro el alcance exacto de las actuaciones cuya información se solicitaba. Sostuvo que actuó conforme al artículo 68 de la Ley 39/2015 al requerir subsanación y que la reclamante podía haber recurrido la declaración de desistimiento. La reclamante manifestó que su solicitud cumplía los requisitos legales exigidos, identificaba claramente el derecho ejercido y detallaba de forma suficiente los tratamientos sobre los que solicitaba información. Añadió que el requerimiento de subsanación constituyó un obstáculo injustificado al ejercicio de un derecho fundamental y que, ante ello, acudió a la tutela de la AEPD.

La Agencia recordó que el procedimiento únicamente debía valorar la correcta atención del derecho de acceso regulado en el artículo 15 del RGPD, sin entrar en otras cuestiones administrativas planteadas por las partes. Destacó igualmente las Directrices 1/2022 del Comité Europeo de Protección de Datos, conforme a las cuales no existen requisitos formales estrictos para el ejercicio del derecho de acceso y basta con que el interesado manifieste que desea conocer qué datos personales trata el responsable. Asimismo, señaló que el responsable no puede rechazar una solicitud alegando falta de precisión cuando el alcance del acceso resulta identificable.

La AEPD consideró acreditado que la reclamante solicitó acceso a sus datos personales indicando expresamente la información requerida y que el Ayuntamiento no facilitó dicho acceso, limitándose a requerir una subsanación que impedía el ejercicio efectivo del derecho, estimando la reclamación.

A.A.A. presentó reclamación ante la AEPD contra A.A.A. por la presunta creación de perfiles en redes sociales en los que se suplantaba su identidad y se difundían imágenes íntimas sin su consentimiento. La reclamante expuso que, tras denunciar a su expareja por malos tratos en el ámbito familiar, recibió un correo electrónico supuestamente remitido desde un juzgado en el que se adjuntaba un documento PDF alertando de la existencia de imágenes pornográficas asociadas a una cuenta de Instagram. Posteriormente localizó mediante una búsqueda en Google un perfil de Facebook, accesible a través de una URL, en el que aparecían las mismas imágenes íntimas y conversaciones de contenido sexual atribuidas falsamente a ella.

La reclamante sostuvo que únicamente A.A.A. podía disponer de dichas imágenes, por lo que presumía que había creado el perfil suplantador. Aportó copia de denuncias formuladas ante Guardia Civil y Policía Nacional, capturas del correo electrónico recibido, del documento adjunto con imágenes y conversaciones de contenido pornográfico, así como una respuesta de Facebook indicando que no podía confirmar la ilicitud del contenido denunciado.

La AEPD inició actuaciones de investigación para determinar la autoría del perfil y la licitud del tratamiento de los datos personales e imágenes difundidas. La Agencia recordó que la publicación y difusión de imágenes identificativas constituye un tratamiento de datos personales sujeto al artículo 6 del RGPD, siendo necesario contar con una base legitimadora válida, como el consentimiento del afectado. No obstante, las actuaciones practicadas no permitieron acreditar que A.A.A. fuera titular de la dirección IP utilizada para crear el perfil falso ni que hubiera intervenido efectivamente en la difusión de las imágenes reclamadas. La Agencia señaló que en el ámbito sancionador resultan plenamente aplicables los principios de presunción de inocencia e “in dubio pro reo”, por lo que la imposición de una sanción exige pruebas de cargo suficientes y no meras sospechas o conjeturas.

La resolución recordó la doctrina constitucional y jurisprudencial sobre la prueba indiciaria, indicando que los indicios deben partir de hechos plenamente acreditados y permitir una deducción racional de la autoría. En el presente caso, la única base de imputación consistía en la sospecha de la reclamante derivada del acceso previo de A.A.A. a las imágenes íntimas, sin que existieran elementos objetivos adicionales que permitieran atribuirle la creación o gestión de los perfiles denunciados. Ante la ausencia de pruebas suficientes sobre la participación de A.A.A. en los hechos investigados, la AEPD acordó el archivo de las actuaciones.

Genaro prestaba servicios para AKASMADAI S.L. como conductor de camión grúa, con categoría profesional de conductor y sometido al Convenio Provincial de la Construcción de Santa Cruz de Tenerife. El contrato suscrito incluía cláusula informativa sobre la utilización de cámaras de videovigilancia, tanto en instalaciones internas como externas, con finalidades de seguridad, control del rendimiento laboral y verificación del cumplimiento de obligaciones laborales. AKASMADAI S.L. comunicó despido disciplinario por varias conductas calificadas como faltas muy graves,como la rotura del faro delantero de un montacargas durante labores de carga, el accidente sufrido por un camión que recorrió sin conductor unos 20 metros hasta colisionar contra una retroexcavadora y la rotura intencionada de un indicador luminoso del montacargas. La sentencia de instancia declaró probado que Genaro utilizó el camión y lo dejó estacionado al finalizar la jornada del sábado. Dos días después, al iniciar la actividad laboral, manipuló el vehículo, retiró o dejó incorrectamente accionado el freno de mano y abandonó el camión sin asegurar su inmovilización. Aproximadamente minuto y medio después, el sistema neumático liberó los frenos y el vehículo descendió sin conductor por el vial de acceso, impactando violentamente contra maquinaria de obra. La grabación reproducida en sala y las declaraciones testificales acreditaron los hechos y el funcionamiento habitual del sistema de frenado de este tipo de vehículos. El accidente ocasionó daños de consideración en el frontal del camión, dejándolo fuera de servicio. También se tuvo por acreditado que Genaro golpeó con la mano el indicador luminoso del montacargas hasta arrancarlo, manifestando que, de no hacerlo así, lo rompería durante la carga. El Juzgado declaró procedente la extinción disciplinaria, sentencia que fue recurrida por alegando incongruencia omisiva, defectuosa valoración de la prueba y vulneración de derechos fundamentales por utilización ilícita de las grabaciones de videovigilancia. Sostuvo que la sentencia no se había pronunciado adecuadamente sobre uno de los hechos imputados y que las cámaras carecían de una información válida y actualizada conforme al RGPD y la LOPDGDD.

La Sala rechazó la nulidad solicitada al considerar que la sentencia sí valoró los hechos relativos a la rotura del indicador luminoso, aunque lo hiciera en la fundamentación jurídica y no en los hechos probados. Asimismo, recordó que la valoración de la prueba corresponde al órgano de instancia y que no cabía revisar los hechos probados basándose exclusivamente en prueba testifical ya valorada conjuntamente con las grabaciones.

Respecto a la videovigilancia, el Tribunal señaló que el contrato informaba expresamente del uso de cámaras con fines de control laboral y disciplinario, considerándose cumplido el deber de información. Añadió que el trabajador no formuló oposición a la reproducción de las grabaciones durante el juicio y que no se produjo indefensión. La Sala aplicó la doctrina constitucional y del Tribunal Supremo sobre utilización de sistemas de videovigilancia en el ámbito laboral, destacando que no es necesario el consentimiento expreso del trabajador cuando existe información previa suficiente. En relación con el fondo del despido, el Tribunal consideró acreditadas dos conductas graves y próximas en el tiempo: la negligencia en la manipulación del camión, que generó un grave riesgo para personas y maquinaria, y la destrucción voluntaria del dispositivo luminoso del montacargas. La Sala entendió que ambas conductas encajaban en las faltas muy graves previstas en el convenio colectivo por imprudencia o negligencia grave y causación de desperfectos materiales. Aplicando la doctrina gradualista y el principio de proporcionalidad, concluyó que la sanción de despido resultaba adecuada dada la reiteración de conductas y el riesgo generado, desestimando íntegramente el recurso y confirmando la procedencia del despido disciplinario.

Por el Juzgado de Primera Instancia de Jérez de la Frontera se estimó parcialmente la demanda interpuesta contra ABC, declarando la intromisión ilegítima en los derechos a la intimidad de los demandantes. La resolución de instancia había considerado acreditado que ABC fue el primer medio en difundir la noticia de la cancelación del enlace, aunque no el primero en revelar el nombre e imagen de Dª. Manuela. También declaró probado que ambos demandantes eran personas anónimas y que D. Armando resultaba perfectamente reconocible en un vídeo difundido por el periódico, sin constar consentimiento alguno para la captación o publicación de su imagen. El juzgado entendió que la noticia de la cancelación del enlace podía considerarse un hecho noticiable por la relativa notoriedad de D. Jesús en el ámbito taurino, pero consideró que el seguimiento posterior efectuado por ABC excedió los límites constitucionalmente protegidos de la libertad de información, lo que motivó el recurso por parte de ABC frente a dicha resolución.

Sin embargo, la Audiencia confirmó este criterio y concluyó que las publicaciones posteriores incorporaban datos íntimos irrelevantes para el interés informativo, rumores no contrastados y especulaciones sobre la relación sentimental, la convivencia de la pareja, las relaciones familiares o las supuestas causas de la ruptura, todo ello respecto de personas sin proyección pública. La Sala destacó que Dª. Manuela nunca había buscado exposición mediática y que la publicación de su identidad e imágenes, obtenidas además de redes sociales, contribuyó decisivamente a la pérdida de su anonimato. Consideró igualmente que la difusión de fotografías y vídeos no era necesaria para informar sobre el hecho noticiable y que no concurrían los presupuestos del reportaje neutral, al haberse reelaborado y amplificado informaciones previas mediante comentarios, valoraciones y referencias a fuentes no identificadas. Respecto de D. Armando, la Audiencia entendió que carecía de cualquier relevancia pública y que la difusión de un vídeo en el que aparecía caminando por la vía pública, acompañado de referencias al “suegro” de D. Jesús, permitía su identificación pese a no citarse su nombre completo. Consideró irrelevante que las imágenes procedieran de Europa Press o que otros medios las hubieran difundido previamente, al corresponder a ABC decidir sobre su publicación y asumir las consecuencias derivadas de ello.

ABC alegó en apelación que la cancelación de la boda constituía un acontecimiento de interés general, que la identidad de Dª. Manuela ya era pública cuando comenzó a publicarla y que las informaciones difundidas formaban parte legítima de la crónica social. También sostuvo que la aparición de D. Armando era meramente accesoria y que el vídeo difundido dificultaba su identificación. La Sala rechazó estos argumentos y afirmó que el interés suscitado por la ruptura obedecía más al morbo generado tras la suspensión del enlace que a una verdadera relevancia pública de los afectados, subrayando que D. Jesús tenía una notoriedad limitada al ámbito taurino y que ni Dª. Manuela ni su padre habían realizado actos que justificaran la exposición mediática sufrida. La Audiencia reiteró que la libertad de información no ampara la difusión de rumores, conjeturas o contenidos carentes de contraste periodístico, ni permite publicar imágenes innecesarias de personas privadas. Destacó además que el hecho de que otros medios hubieran difundido previamente determinados datos o fotografías no eliminaba la responsabilidad de ABC por su propia actuación, especialmente teniendo en cuenta la reiteración de publicaciones, la amplia difusión nacional del periódico y la permanencia temporal de los contenidos.

A.A.A. reclamó ante la AEPD tras recibir por correo electrónico una respuesta del Servicio de Atención al Cliente (SAC) de CaixaBank relativa a una reclamación no formulada por él y dirigida a B.B.B., que incluía información sobre un contrato de tarjeta de crédito y datos personales de A.A.A. (nombre, apellidos y DNI). Tras solicitar explicaciones y ejercer el derecho de acceso, obtuvo respuestas limitadas a disculpas sin aclaraciones suficientes. La investigación acreditó que dos reclamaciones distintas se asociaron erróneamente al mismo cliente durante su alta en el sistema por un gestor, lo que provocó el envío a A.A.A. de la respuesta correspondiente a otro cliente y, a su vez, la remisión de ese mismo documento al representante de este, revelándole también los datos de A.A.A. El incidente se detectó únicamente tras la advertencia del propio afectado, atribuyéndolo CaixaBank a un error humano puntual y sostuvo inicialmente que el único afectado era el tercero receptor de la información. Posteriormente, otro afectado, C.C.C. presentó reclamación tras recibir documentación de terceros durante la tramitación de una solicitud, indicando que el SAC le envió por error un escrito correspondiente a D.D.D., con datos identificativos, información sobre descubiertos, importes adeudados y datos parciales de una cuenta. Posteriormente, una gestora de oficina remitió a C.C.C. un documento destinado a E.E.E., que incluía sus datos identificativos y referencias a medidas de protección para deudores hipotecarios. CaixaBank calificó ambos hechos como errores humanos aislados y consideró inicialmente afectado únicamente a D.D.D., pese a que también se revelaban datos de E.E.E. En este caso, la detección también se produjo por la advertencia del receptor.

Habida cuenta las reclamaciones, la AEPD procedió al inicio de actuaciones previas de investigación para el esclarecimiento de los hechos. Durante la instrucción se constató la existencia de múltiples incidentes análogos, consistentes en el envío de respuestas o documentación a destinatarios equivocados, incluyendo escrituras hipotecarias, contratos de préstamo o información financiera, con datos identificativos, económicos, patrimoniales y contractuales. Una parte significativa de estas brechas fue detectada por clientes, organismos externos o receptores accidentales, y no por mecanismos internos de CaixaBank, apreciándose además retrasos en su comunicación interna que dificultaban la evaluación del riesgo y la adopción de medidas. También se observaron deficiencias en la identificación de los datos comprometidos y de las personas afectadas, al omitirse en registros internos información efectivamente revelada y no reconocerse inicialmente a todos los interesados implicados.

CaixaBank alegó que el SAC operaba con procedimientos documentados, auditorías y controles derivados de la normativa bancaria, y que las incidencias respondían exclusivamente a errores humanos, sin haberse acreditado perjuicios. La AEPD rechaza que el contexto regulatorio bancario exima del cumplimiento del RGPD y recuerda su carácter autónomo y transversal. Considera acreditado que las incidencias no obedecen solo a errores puntuales, sino a deficiencias organizativas y de diseño en los tratamientos, que favorecen este tipo de fallos, afectando a los principios de confidencialidad, minimización y exactitud. Por ello, si bien al inicio del procedimiento la AEPD valoró la infracción de la confidencialidad, consideró que en el caso concreto era la falta de medidas técnicas y organizativas desde el diseño ni, en determinados aspectos, por defecto, archivando la imputación basada en el artículo 5.1.f) y apreciando infracción del artículo 25 RGPD. Asimismo, destaca que la formación acreditada se impartió con posterioridad a varios hechos y que la pérdida de control sobre los datos constituye por sí misma un riesgo relevante, agravado por la falta de información adecuada a los interesados en algunos casos. Por ello, además de la sanción económica, obliga a que adopte medidas especificas para mejorar la detección de brechas, así como proceda a la revisión del funcionamiento del SAC, informando de las medidas a implementar para dar cumplimiento al art. 25 RGPD.