| Resolución | PS-00006-2025 |
| Firmado | 2026-05-10T00:00:00Z |
| Enlace | 📋 |
Resumen de la resolución:
En este procedimiento, se denunció que CERRADA, S.L., al darse de alta un cliente en su página web, enviaba un correo electrónico con la contraseña de acceso en texto plano, lo que incumplía el artículo 32 del RGPD (Reglamento General de Protección de Datos) sobre seguridad del tratamiento.
La AEPD inició un procedimiento sancionador, ya que enviar contraseñas en texto plano por correo electrónico —un medio no cifrado y vulnerable a interceptaciones— no garantiza un nivel adecuado de seguridad, exponiendo a los usuarios a riesgos como suplantación de identidad.
La empresa alegó que:
Las contraseñas estaban encriptadas en sus sistemas, pero no explicó si este cambio afectaba al envío inicial por correo.
Implementó un nuevo sistema de recuperación de contraseñas (vía enlaces temporales cifrados) tras el inicio del procedimiento.
Argumentó su condición de microempresa y la ausencia de daños demostrados, así como su colaboración rápida.
Decisión final:
Se confirmó la infracción del artículo 32 del RGPD, al comprobarse que en octubre de 2024 se enviaron credenciales en texto plano, un riesgo grave para los derechos de los usuarios.
Se sancionó con una multa de 5.000 €, pero al realizar un pago voluntario antes de la resolución definitiva, el importe se redujo a 4.000 € (20% menos, condicionado a no recurrir la sanción).
Se ordenó a la empresa cesar en el envío de contraseñas por correo, adoptando un sistema seguro de identificación (ej.: enlaces cifrados o notificaciones sin credenciales).
Criterios para la sanción:
La gravedad residía en el riesgo de suplantación (contraseñas son datos sensibles).
Aunque la empresa corrigió el problema, la infracción ya se había producido.
Se valoró su cooperación y el tamaño empresarial, pero no evitó la multa, aunque la redujo.
La resolución es firme salvo recurso contencioso-administrativo en la Audiencia Nacional en 2 meses.