1. Identificación de la resolución
- Procedimiento: PS/00031/2026; expediente EXP202413656.
- Fecha: el texto no consigna fecha de firma; el acuerdo de inicio es de 27 de abril de 2026 y el pago, de 6 de mayo de 2026.
- Tipo: procedimiento sancionador terminado por reconocimiento de responsabilidad y pago voluntario.
- Responsable del tratamiento: COINSOFT 21, S.L., integrada en el grupo cuya matriz es LIDER INTEGRATED TECHNOLOGY CONSULTING, S.L. (LIDER IT).
- Sentido: se declara la comisión de una infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD.
- Sanción: 5.000,00 euros, reducida un 40% por las dos reducciones acumuladas del artículo 85 LPACAP; importe definitivo de 3.000,00 euros.
- Medidas: en el plazo de 1 mes desde que la resolución sea firme y ejecutiva, acreditar la aplicación efectiva de medidas técnicas y organizativas adecuadas para cumplir el artículo 5.1.f) del RGPD.
2. Hechos y objeto del procedimiento
El 19 de junio de 2024 COINSOFT notificó a la AEPD una brecha detectada el 17 de junio de 2024, conocida por un mensaje de chantaje recibido en la web de LIDER IT y por la alerta de un investigador en la red social X, que atribuía el ataque de ransomware al grupo RansomHub. Los atacantes afirmaban haber sustraído 300GB de información.
El 22 de agosto de 2024 un antiguo empleado presentó reclamación por la posible exposición de sus datos. La entidad había comunicado la brecha a los afectados el 19 de julio de 2024.
Según las actuaciones previas, el acceso inicial se habría producido mediante phishing al correo electrónico. El servidor atacado almacenaba documentación antigua y no se había integrado correctamente tras la adquisición por LIDER IT, por lo que carecía de las medidas de seguridad estándar: sin cifrado en reposo, sin monitorización activa y sin segundo factor de autenticación. Resultaron afectados 46 trabajadores y extrabajadores, con exposición de documentos de identidad, nóminas y datos bancarios.
3. Doctrina de la Agencia
La Agencia califica el incidente como brecha de confidencialidad, con apoyo en el artículo 4.12 del RGPD y en las Directrices 1/2021 y 9/2022 del Comité Europeo de Protección de Datos.
La pérdida de confidencialidad se presenta como manifestación de una carencia previa: la falta de medidas que garantizasen la confidencialidad, integridad y resiliencia de los sistemas. La deficiente integración del servidor no se había detectado pese a un análisis de riesgos revisado el 10 de febrero de 2024.
Siendo el vector de entrada el compromiso de credenciales mediante phishing, la ausencia de autenticación multifactorial se considera por sí sola la falta de una medida básica. El mismo carácter se atribuye al cifrado en reposo, cuya ausencia resultó determinante. La falta de monitorización explica que la entidad solo conociera el incidente por terceros, cuando los datos ya se ofrecían a la venta.
El número del DNI se trata como dato de especial sensibilidad, aun fuera de los artículos 9 y 10 del RGPD, por el riesgo de suplantación y daños patrimoniales, con apoyo en el Real Decreto 255/2025, de 1 de abril, y en los considerandos 51 y 75 del RGPD.
4. Fundamentos jurídicos relevantes
La infracción se encuadra en el artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD y calificada como muy grave a efectos de prescripción por el artículo 72.1.a) de la LOPDGDD, con un plazo de tres años.
Conforme a las Directrices 04/2022 del CEPD, se parte de un volumen de negocios de 672.000 euros en 2024, con un máximo de 26.880 euros (4%). Circunstancias valoradas:
- Artículo 83.2.a) RGPD: al menos 46 interesados expuestos a suplantación, cargos no autorizados y phishing.
- Artículo 83.2.b) RGPD: negligencia grave por un error de integración no detectado durante 5 años y por conservar datos más allá de los plazos del propio registro de actividades.
- Artículo 83.2.g) RGPD: afectación del DNI.
- Agravante del artículo 76.2.b) LOPDGDD: vinculación de la actividad con el tratamiento de datos.
- Atenuante del artículo 83.2.c) RGPD: medidas posteriores, como la supresión de información obsoleta.
La multa se fijó en 5.000,00 euros. Conforme al artículo 85 LPACAP, el pago de 3.000,00 euros implica reconocimiento de responsabilidad y las reducciones quedan condicionadas a la renuncia a recursos en vía administrativa. La medida correctiva se basa en el artículo 58.2.d) del RGPD.
5. Valoración técnica
El interés de la resolución reside en los sistemas heredados: un servidor procedente de una adquisición empresarial, mantenido solo para consulta, queda sometido a las mismas exigencias de seguridad que los sistemas en producción.
Para responsables que conservan entornos antiguos tras operaciones societarias, identifica como básicas el doble factor de autenticación, el cifrado en reposo y la monitorización, y vincula la exposición a la conservación excesiva. Muestra también el peso del DNI en la graduación y que las reducciones del artículo 85 LPACAP no eximen de cumplir las medidas ordenadas.
Referencias
- Texto íntegro (AEPD): https://www.aepd.es/documento/ps-00031-2026.pdf
- Normativa aplicada: artículos 4.1, 4.2, 4.7, 4.12, 5.1.f), 58.2.d), 83.1, 83.2 y 83.5.a) del RGPD, y considerandos 51 y 75; artículos 63.2, 64, 65, 71, 72.1.a), 76.2.b) y 50 de la LOPDGDD; artículos 64.2, 85 y 90.3.a) de la Ley 39/2015 (LPACAP); Real Decreto 255/2025, de 1 de abril; Directrices 1/2021, 9/2022 y 04/2022 del CEPD.