| Resolución | PS-00337-2024 |
| Firmado | 2026-02-23T00:00:00Z |
| Enlace | 📋 |
### **Resumen de la decisión**
**Denuncia o reclamación:** Se denunció que AXA Seguros Generales, S.A. permitió un acceso no autorizado a los datos personales de un cliente a través de su área privada en la web «MYAXA». El exagente de AXA, ***EMPRESA.1***, suplantó la identidad del cliente para acceder a su información y modificar su contraseña, obteniendo acceso a sus datos y pólizas. El cliente descubrió el incidente al recibir mensajes SMS y un correo electrónico no solicitados con claves de acceso provisionales.
**Infracciones imputadas:**
1. **Artículo 5.1.f) del RGPD**: Violación del principio de *integridad y confidencialidad* al no garantizar un tratamiento seguro de los datos personales.
2. **Artículo 32 del RGPD**: Incumplimiento de las *medidas técnicas y organizativas adecuadas* para garantizar la seguridad de los datos.
**Sanción:** Se impuso una **multa de 200.000 €** por la infracción del **artículo 5.1.f) del RGPD**, ya que AXA no implementó medidas suficientes para evitar el acceso no autorizado. Se archivó la imputación del **artículo 32** al considerarse que la falta de confidencialidad derivó directamente de la debilidad en el procedimiento de recuperación de contraseñas, que era responsabilidad de AXA como responsable del tratamiento.
**Razón de la sanción:**
– AXA permitió que el procedimiento de recuperación de contraseña fuera vulnerable: solo exigía datos accesibles para un exagente (número de póliza y últimos 4 dígitos de la forma de pago), lo que facilitó la suplantación.
– No acreditó la destrucción o devolución de datos personales por parte del exagente tras la rescisión contractual, aumentando el riesgo de uso indebido.
– No implementó medidas adicionales para mitigar riesgos conocidos, como la ruptura inamistosa con el exagente, a pesar de haber identificado previamente desvíos de clientes hacia otras entidades.
**Medida correctiva:** AXA debe acreditar en **6 meses** la aplicación de medidas técnicas y organizativas efectivas para garantizar la seguridad de los datos, demostrando su cumplimiento ante la autoridad y los