| Resolución | PS-00194-2025 |
| Firmado | 2026-09-17T13:17:54Z |
| Enlace | 📋 |
Resumen de la decisión:
Se resolvió un procedimiento sancionador contra Vodafone España, S.A.U. por una brecha de seguridad que afectó datos personales de sus clientes. La brecha ocurrió el 27 de mayo de 2023 debido a un ciberataque (ransomware) en los sistemas de su encargado del tratamiento, la empresa EMPRESA.1. Como consecuencia, se vieron comprometidos datos no cifrados de 486.768 clientes particulares (MSISDN y teléfono fijo) y 14.571 clientes empresa (teléfono de contacto).
Reclamación o denuncia:
La infracción principal fue el incumplimiento del artículo 32 del RGPD, que exige a los responsables del tratamiento garantizar medidas técnicas y organizativas adecuadas para proteger los datos personales. Vodafone no supervisó correctamente a su encargado, que carecía de actualizaciones críticas en sus sistemas, lo que permitió el ataque. Además, no se aplicaron medidas básicas como el cifrado de todos los datos sensibles.
Sanción:
Se impuso una multa de 400.000 euros por:
Gravedad de la infracción: Afectó a un gran número de interesados y datos personales.
Negligencia grave: Vodafone no actuó con la diligencia debida al no supervisar al encargado, a pesar de conocerse vulnerabilidades críticas previas.
Agravantes: La empresa ya había sufrido incidentes similares con anterioridad, lo que demostraba fallos recurrentes en sus medidas de seguridad.
Atenuantes: Vodafone adoptó medidas correctivas tras el incidente, como el cifrado total de los datos afectados.
La sanción se considera proporcionada y disuasoria, ajustándose a los criterios del RGPD y la LOPDGDD, que exigen que las multas sean efectivas, proporcionadas y basadas en las circunstancias del caso.