| Resolución | PS-00540-2025 |
| Firmado | 2026-05-10T00:00:00Z |
| Enlace | 📋 |
Resumen de la resolución sancionadora (300 palabras):
La resolución sanciona a FLEXICAR INTERNACIONAL, S.L. por tres vulneraciones graves del Reglamento General de Protección de Datos (RGPD), derivadas de una brecha de datos personales ocurrida el 3 de junio de 2024, que expuso información sensible de clientes (tanto cualificados como potenciales).
Hechos denunciados:
Pérdida de confidencialidad: Un ciberataque permitió a terceros no autorizados acceder a datos personales almacenados por la empresa. Entre los afectados figuraban DNI, correos electrónicos, números de teléfono y otros datos de contacto, lo que expuso a los interesados a riesgos como suplantación de identidad o estafas.
Falta de transparencia: La empresa incumplió el artículo 13 del RGPD, ya que su política de privacidad no informaba adecuadamente a los usuarios sobre el plazo de conservación de sus datos. Según la resolución, los clientes potenciales («leads») no fueron informados de que sus datos se conservarían durante 5 años ni de los criterios para su supresión.
Deficiencia en medidas de seguridad: Se constató que FLEXICAR no implementó medidas técnicas y organizativas suficientes para garantizar la seguridad de los datos (artículo 32 del RGPD). Además, los datos de clientes potenciales bloqueados seguían almacenados sin protección adecuada, incumpliendo el principio de integridad y confidencialidad.
Sanciones y su justificación:
La empresa fue multada con:
400.000 € por vulnerar el artículo 5.1.f (integridad y confidencialidad). La sanción se justifica por la gravedad del incidente, el volumen de datos afectados (incluyendo información especialmente sensible como el DNI) y la negligencia demostrada.
30.000 € por incumplir el artículo 13 (deber de informar), ya que la falta de claridad en la política de privacidad obstaculizó el ejercicio de derechos por parte de los afectados.
250.000 € por incumplir el artículo 32 (seguridad del tratamiento), derivado de la ausencia de medidas técnicas adecuadas para proteger datos bloqueados pero accesibles.
Además, se le ordena adoptar medidas correctivas en plazos específicos, como mejorar su política de privacidad y reforzar la seguridad de los datos bloqueados.