| Resolución | PS-00035-2026 |
| Firmado | 2026-09-22T16:24:45Z |
| Enlace | 📋 |
Resumen de la decisión:
La empresa Hoy Voy a Conducir, S.L. (HVAC) fue sancionada por una brecha de seguridad que expuso datos personales de 264.435 personas, incluyendo alumnos, empleados y menores de edad. Los datos filtrados incluían información sensible como nombres, apellidos, DNI/NIE, teléfonos, correos electrónicos y direcciones postales, algunos de los cuales fueron publicados en internet.
Denuncia y reclamación:
La brecha se detectó en agosto de 2024, cuando se identificó una base de datos en venta en un foro de ciberdelincuencia. Aunque HVAC recibió advertencias previas de posibles filtraciones (incluso de la Policía Nacional), no actuó con la diligencia debida, ignorando los avisos durante meses. La empresa reconoció que su infraestructura tecnológica era obsoleta desde 2021, pero no implementó mejoras hasta enero de 2025, tras la materialización de la brecha.
Sanción:
La infracción se basó en el artículo 32 del RGPD, que exige medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos. La sanción inicial propuesta fue de 50.000 euros, pero al reconocer HVAC su responsabilidad y realizar un pago voluntario, la multa se redujo a 30.000 euros (aplicando dos reducciones del 20% cada una). La resolución destaca la negligencia grave de la empresa, que mantuvo sistemas inseguros pese a conocer los riesgos, y la afectación a derechos fundamentales de los afectados. El procedimiento terminó por el pago y reconocimiento de la infracción.