| Resolución | PS-00445-2025 |
| Firmado | 2026-03-01T00:00:00Z |
| Enlace | 📋 |
**Resumen de la decisión:**
La empresa **Proyectos Visuales Zaragoza, SL (PROVIS)** fue sancionada por una **brecha de seguridad en la protección de datos personales**, que afectó a **803.134 personas** (incluyendo datos identificativos, de contacto y bancarios como números de IBAN). La vulneración se produjo entre **octubre de 2023 y marzo de 2024**, cuando un atacante explotó una **vulnerabilidad de inyección SQL** en el sistema, lo que permitió exfiltrar y posteriormente publicar los datos en Internet para su venta. La empresa no había implementado **medidas básicas de seguridad**, como el cifrado de datos o la detección de vulnerabilidades conocidas, a pesar de estar obligada contractualmente a hacerlo.
**Se denunció el incumplimiento del principio de *integridad y confidencialidad*** establecido en el **artículo 5.1.f del RGPD** (Reglamento General de Protección de Datos de la UE), que exige garantizar la seguridad de los datos personales para evitar accesos no autorizados, pérdidas o daños. La negligencia fue especialmente grave al no aplicar protocolos esenciales, como la comprobación de vulnerabilidades —un riesgo previsible y documentado en su sector— y al almacenar datos sin cifrar, lo que agravó las consecuencias para los afectados (riesgos de suplantación de identidad, fraudes financieros, etc.).
**La sanción impuesta fue de 30.000 euros**, tras reconocer la empresa su responsabilidad y efectuar un **pago voluntario con reducción del 40%** (aplicación de las dos bonificaciones previstas del 20% cada una al aceptar el pago y reconocer los hechos). Además, se le ordenó implementar **medidas correctivas en 3 meses**, como:
1. Detección y subsanación de vulnerabilidades en su software.
2. Cifrado de los datos personales tratados.
La decisión se basó en los criterios de graduación del RGPD y la LOPDGDD, considerando:
– **Gravedad**: Fallo en salvaguardas críticas, impacto en más de 800.000 afectados y sensibilidad de los datos (incluido el DNI).
– **Negligencia**: