| Resolución | PS-00258-2025 |
| Firmado | 2026-09-16T15:57:31Z |
| Enlace | 📋 |
Resumen de la decisión:
En este procedimiento, se denunció que Vodafone España, S.A.U. sufrió una brecha de seguridad que expuso datos personales de sus clientes (empresas, autónomos y particulares) tras un ciberataque ocurrido en octubre de 2023. Los datos comprometidos incluían nombres, DNI, información contractual y cuentas bancarias, y fueron publicados en la dark web. Además, se presentaron reclamaciones de afectados por la falta de protección adecuada de sus datos.
La investigación determinó que la brecha se produjo debido a deficiencias en las medidas de seguridad aplicadas por los encargados del tratamiento de Vodafone (GRUPO.1 y EMPRESA.7), que no cumplieron con las instrucciones contractuales establecidas para garantizar la confidencialidad e integridad de los datos. Aunque Vodafone había incluido cláusulas de seguridad en los contratos con estos encargados, estos no las implementaron correctamente, lo que facilitó el acceso no autorizado.
Inicialmente, se imputaron a Vodafone cuatro infracciones al Reglamento General de Protección de Datos (RGPD):
Artículo 5.1.f) RGPD (integridad y confidencialidad): por no garantizar la seguridad adecuada de los datos.
Artículo 32 RGPD (seguridad del tratamiento): por no adoptar medidas técnicas y organizativas suficientes.
Dos infracciones del Artículo 28 RGPD (relación con los encargados del tratamiento): por no supervisar adecuadamente el cumplimiento de las obligaciones de los encargados.
Sin embargo, tras analizar las alegaciones de Vodafone y la documentación presentada, se concluyó que la empresa había incluido instrucciones claras y precisas en los contratos con los encargados, pero estos no las cumplieron. Según el RGPD, el responsable del tratamiento (Vodafone) no es sancionable si el encargado actúa de manera contraria a las instrucciones recibidas, siempre que estas estuvieran debidamente documentadas. Por tanto, no se acreditó responsabilidad directa de Vodafone en las infracciones imputadas.
Decisión final: Se archivó el procedimiento sancionador, al no considerarse probada la responsabilidad de Vodafone en los hechos denunciados. La resolución destaca que, aunque existió una brecha de seguridad, las medidas contractuales exigidas a los encargados estaban correctamente establecidas, y su incumplimiento no puede atribuirse al responsable del tratamiento.