La Agencia Española de Protección de Datos (AEPD) ha impuesto 680.000 euros de multa a Flexicar, una empresa dedicada principalmente a la compraventa de coches usados y seminuevos, por tres infracciones del Reglamento General de Protección de Datos (RGPD) derivadas de la brecha de seguridad sufrida en 2024.
La resolución nº EXP202410832 va más allá del ciberataque y fija doctrina sobre la responsabilidad de la entidad por no implantar medidas suficientes para evitar dicha brecha. Además, refuerza la obligación de informar con precisión sobre la conservación de los datos.
Varias reclamaciones llegaron a la AEPD de usuarios que habían contactado previamente con Flexicar
Los hechos se remontan a cuando la AEPD recibió tres reclamaciones durante los días 4 y 6 de junio de 2024 por una posible infracción del RGPD por parte de Flexicar Internacional.
Las personas reclamantes manifestaban haber recibido una notificación de la entidad informándoles de que algunos datos personales facilitados a través de los formularios de contacto de su página web se habían visto comprometidos como consecuencia de una brecha de seguridad.
Este ciberataque se produjo unos meses después de que la empresa hubiese absorbido a Flexicar Ibérica. Posteriormente, una cuarta reclamación amplio el foco de investigación.
En este caso, una usuaria denunció que solicitó reiteradamente que la compañía borrara sus datos sin obtener respuesta y que, pese a ello, recibió el correo electrónico en el que Flexicar le comunicaba que sus datos se había visto afectados por el ciberataque.
Fue precisamente esta reclamación la que llevó a la AEPD a analizar no solo las causas de la brecha, sino también la política de conservación de datos y la gestión de los derechos de los interesados.
Ser víctima de un ciberataque no exime de responsabilidad
Tras comenzar la investigación de la empresa dedicada a la compraventa de vehículos de segunda mano y ocasión, la AEPD encuentra hasta tres infracciones del RGPD.
En primer lugar, la Agencia deja claro que el hecho de sufrir un ataque informático no exime de responsabilidad, ya que durante la investigación constató que la empresa no había implantado una serie de medidas de seguridad, que solo adoptó con posterioridad a la brecha.
Esto elemento resulta determinante en la resolución porque, en caso de haberlas adoptado previamente a l a brecha, «podría haberla evitado o, al menos, haber mitigado sus efectos».
Por ello concluye que Flexicar vulneró el principio de integridad y confidencialidad previsto en el artículo 5.1.f) del RGPD, al no garantizar un nivel adecuado de protección frente a accesos no autorizados, permitiendo que los datos personales quedaran expuestos tras el ataque.
Flexicar no ofrecía información sobre la conservación de sus datos en su política de privacidad
Como la reclamación venía de personas que habían conectado por la empresa a través de formulario, pero que no habían realizado ninguna operación con ellos —lo que se conoce como contactos leads—, la Agencia analizó si la empresa cumplía con las obligaciones de información de conservación de datos previstas en el artículo 13 del RGPD.
Dicho artículo establece que, cuando una empresa u organización obtiene datos personales directamente del interesado, debe facilitarle información clara y transparente en el mismo momento de la recogida. Esta obligación incluye los datos de contacto del responsable, los fines del uso de los datos y los derechos que tiene la persona.
Entre esa información figura, además de la identidad del responsable, la finalidad del tratamiento o los derechos que asisten al interesado, el plazo durante el cual se conservarán sus datos o los criterios utilizados para determinarlo.
Sin embargo, tras revisar la política de privacidad de Flexicar, la Agencia comprobó que la información facilitada en relación con el plazo de conservación de datos recabados era demasiado genérica.
En concreto, no diferenciaba entre clientes que habían formalizado una operación y simples usuarios que únicamente habían rellenado un formulario de contacto, ni informaba a estos últimos de que sus datos personales podrían conservarse durante cinco años antes de ser suprimidos.
«La información que se facilita al interesado en base a lo previsto en el artículo 13 del RGPD es muy relevante, ya que constituye el punto de partida a partir del cual dicho interesado puede ejercer, de forma efectiva, el control sobre sus datos de carácter personal, permitiéndole posteriormente verificar cómo está tratando FLEXICAR sus datos personales», señala la autoridad.
La AEPD subraya que esa información no es un mero requisito formal, sino un presupuesto indispensable para que los ciudadanos puedan ejercer de manera efectiva derechos como el acceso, la supresión, la oposición o la portabilidad de sus datos.
Los datos bloqueados también deben estar protegidos
La tercera infracción apreciada por la Agencia se refiere a la protección de datos bloqueados, es decir, aquellos que datos que las empresas que, aunque ya no pueden utilizarse para la finalidad inicial del tratamiento, deben conservarse temporalmente por obligación legal y únicamente pueden permanecer a disposición judicial o autoridades competentes.
La resolución recuerda que el hecho de que unos datos personales estén bloqueados no significa que dejen de estar protegidos por el RGPD. Al contrario, siguen siendo datos personales y deben mantenerse sometidos a medidas de seguridad adecuadas.
Sin embargo, la AEPD comprobó que Flexicar había mezclado los datos personales bloqueados de clientes leads con los de datos de usuarios que sí habían autorizado el envío de comunicaciones comerciales.
Y este hecho, para la Agencia, es una apreciación clara de falta de medidas de seguridad contempladas en el artículo 32 del RGPD ya que la entidad no había adoptado medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado para unos datos de carácter personal que estaban bloqueados.
Por todo ello, la AEPD impone a Flexicar una sanción total de 680.000 euros, desglosada en 400.000 euros por vulnerar el principio de integridad y confidencialidad (artículo 5.1.f del RGPD), 250.000 euros por incumplir las obligaciones de seguridad del tratamiento (artículo 32) y 30.000 euros por no facilitar una información adecuada sobre la conservación de los datos personales (artículo 13).
Además, ordena a la compañía adaptar su política de privacidad y acreditar la implantación de nuevas medidas de seguridad. La decisión de la AEPD trasciende el caso concreto de Flexicar y lanza un aviso al tejido empresarial: contar con una política de privacidad genérica o reaccionar una vez producido el incidente ya no resulta suficiente.
