La Agencia Española de Protección de Datos (AEPD) ha impuesto recientemente una sanción de 180000 euros a una empresa española que sufrió un ataque de ransomware, enviando un mensaje inequívoco: padecer un ciberataque no libera de las obligaciones legales en materia de protección de datos personales.x
El contexto: víctimas… y responsables
En el caso resuelto por la AEPD, la empresa sufrió una intrusión en sus sistemas informáticos que terminó cifrando y, en ocasiones, exfiltrando información sensible de empleados y clientes. A pesar de que la compañía fue víctima directa de delincuentes informáticos, la resolución del organismo regulador enfatiza que ninguna organización puede escudarse en esta condición para eludir el cumplimiento con el Reglamento General de Protección de Datos (RGPD).x
Fallos identificados y criterios de la sanción
La investigación detectó graves deficiencias en las medidas de seguridad: usuarios genéricos activos, contraseñas desactualizadas, ausencia de autenticación reforzada, falta de segmentación de red y controladores de dominio sobre equipos obsoletos. Todo ello facilitó el acceso no autorizado y la propagación del ransomware. La AEPD consideró que la empresa no había implementado medidas técnicas ni organizativas adecuadas para salvaguardar los datos personales, tal y como exige el RGPD.pkf-attest
¿Por qué la sanción si hubo ataque externo?
La clave está en el “principio de responsabilidad proactiva”, que obliga al responsable del tratamiento de datos a anticiparse a posibles riesgos y a asegurarse de que dispone de recursos robustos para prevenir y mitigar incidentes. Ser víctima de ransomware no exonera per se la responsabilidad, sobre todo si se demuestra que el nivel de protección estaba por debajo de lo esperado según el tipo de datos que se manejan y el riesgo al que se exponen.pkf-attest+1
Consecuencias y recomendaciones
Este caso marca un precedente importante en el ámbito normativo español: toda entidad debe evaluar, implantar y revisar de manera continua sus políticas y herramientas de seguridad. Algunas recomendaciones básicas incluyen:
- Realizar análisis de riesgos periódicos.
- Garantizar la actualización y robustez de credenciales.
- Segmentar la red interna y limitar privilegios.
- Implantar autenticación multifactor.
- Realizar copias de seguridad cifradas y almacenadas fuera de la red principal.
- Documentar y evidenciar todas las medidas adoptadas.
No basta con reaccionar: la única defensa válida ante la AEPD es la prevención activa y probada.
Reflexión final
La resolución de la AEPD subraya una realidad ineludible para empresas y organismos: la seguridad de los datos personales es irrenunciable, incluso cuando median ataques sofisticados. La administración deja claro que la protección de los derechos de los usuarios exige un compromiso constante, anticipación ante los riesgos y la asunción de consecuencias cuando se demuestra negligencia. Así, el simple hecho de ser “víctima” ya no es sinónimo de inocencia, sino más bien una llamada a la responsabilidad.
- https://www.pkf-attest.es/noticias/sancion-brecha-datos/
- https://www.instagram.com/p/DMcc6WbsPpU/
- https://www.instagram.com/p/DOsYCyfDUIh/
- https://www.aepd.es/documento/ps-00070-2025.pdf
- https://x.com/pablofb/status/1968444601879937532
- https://www.prodat.es/blog/ransomware-y-datos-sensibles-110-000-e-de-sancion-a-un-club-de-primera-division/
- https://softwarecrm.net/multas-de-proteccion-de-datos-en-espana-en-2025/
- https://forlopd.es/multas-de-la-aepd-en-2025-que-podemos-aprender-de-los-casos-mas-relevantes/
- https://www.boe.es/diario_boe/txt.php?id=BOE-A-2025-9383
0 comentarios