| Resolución | PS-00028-2026 |
| Firmado | 2026-09-14T15:21:15Z |
| Enlace | 📋 |
Resumen de la decisión:
La Federación Española de Ciclismo fue sancionada por una brecha de seguridad que expuso datos personales de 261.965 afiliados, incluyendo 14.912 menores. El incidente, detectado en agosto de 2024, permitió el acceso no autorizado a información sensible (nombres, DNI, direcciones, teléfonos, etc.) debido a un fallo en el sistema que permitía manipular URLs para consultar datos de otros usuarios.
Reclamación y fundamento:
Se denunció la vulneración del principio de confidencialidad e integridad (Art. 5.1.f del RGPD), ya que la entidad no implementó medidas básicas como autenticación multifactor ni detectó a tiempo las consultas masivas anómalas. La brecha se prolongó desde julio hasta septiembre de 2024, afectando tanto a datos actuales como históricos.
Sanción y medidas:
La infracción se consideró muy grave, agravada por la afectación a menores y la sensibilidad de los datos (DNI). La sanción inicial propuesta fue de 8.000 euros, reducida a 4.800 euros por el reconocimiento de responsabilidad y el pago voluntario (con reducciones acumulables del 40%). Además, se ordenó a la federación implementar medidas correctivas en 6 meses, como acreditar la instauración de autenticación multifactor y auditorías periódicas.
Conclusión:
La resolución destaca la negligencia en la protección de datos y la necesidad de reforzar las medidas técnicas y organizativas para evitar futuros incidentes. La sanción, aunque reducida por la colaboración de la entidad, subraya la importancia del cumplimiento normativo en materia de privacidad.