| Resolución | PS-00253-2025 |
| Firmado | 2026-06-05T00:00:00Z |
| Enlace | 📋 |
Resumen de la decisión:
La resolución sanciona a Vodafone España, S.A.U. con una multa total de 400.000 euros por dos infracciones graves del Reglamento General de Protección de Datos (RGPD).
Infracción del artículo 32 del RGPD (Seguridad del tratamiento)
Denuncia: Vodafone no implementó medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales de sus clientes y potenciales clientes, lo que permitió un ciberataque de tipo ransomware que afectó a servidores de su encargado del tratamiento (EMPRESA.1). El ataque, ocurrido entre el 6 y 7 de noviembre de 2023, comprometió la disponibilidad de los datos de 98.509 personas, incluyendo información identificativa, económica y de contratación.
Causas del incumplimiento:
Falta de doble autenticación en el acceso a la VPN corporativa.
Antivirus no actualizado en todos los sistemas.
Ausencia de monitorización adecuada en firewalls y switches.
Datos cifrados, pero con vulnerabilidades que facilitaron el ataque.
Sanción: 300.000 euros
Se considera una negligencia grave, ya que Vodafone, como gran empresa del sector de telecomunicaciones, debía haber garantizado un nivel de seguridad proporcional al riesgo. Aunque no hubo exfiltración de datos, la pérdida temporal de disponibilidad afectó a los derechos de los afectados.
Infracción del artículo 28 del RGPD (Encargado del tratamiento)
Denuncia: Vodafone no formalizó un contrato de encargo de tratamiento con EMPRESA.1 hasta el 18 de enero de 2024, a pesar de que este ya procesaba datos personales de clientes en su nombre desde antes del ataque (el contrato entró en vigor el 1 de abril de 2023, pero se firmó con posterioridad).
Consecuencias:
Falta de claridad en las responsabilidades entre Vodafone (responsable) y EMPRESA.1 (encargado).
Ausencia de instrucciones documentadas sobre cómo debía tratarse la información.
Riesgo para los derechos de los interesados, ya que no había garantías contractuales de seguridad.
Sanción: 100.000 euros
El RGPD exige que el contrato de encargo esté firmado y en vigor antes de que el encargado comience a tratar datos. La retroactividad del contrato no exime de responsabilidad, ya que el tratamiento se realizó sin las garantías legales exigidas.
Motivación de las sanciones
Gravedad: Afectó a un gran número de personas (casi 100.000) y expuso datos sensibles.
Negligencia: Vodafone, como empresa con recursos y experiencia en protección de datos, no adoptó medidas básicas de seguridad.
Falta de diligencia: No supervisó adecuadamente a su encargado del tratamiento.
Atenuante: Vodafone adoptó medidas correctivas tras el incidente (implementación de doble autenticación, recuperación de datos, etc.), lo que redujo parcialmente la sanción.
La resolución destaca que Vodafone es responsable de las acciones de su encargado, ya que no cumplió con su obligación de garantizar que EMPRESA.1 aplicara las medidas de seguridad requeridas.