No toda brecha de seguridad tiene que finalizar en multa. Así lo ha plasmado la Agencia Española de Protección de Datos (AEPD) en su expediente nºEXP202501592, que ha archivado la investigación abierta el ataque a la ciberseguridad sufrido por la Guardia Civil que comprometió datos personales de unas 50.000 miembros del cuerpo de seguridad público.
¿El motivo? La AEPD considera que la institución actuó con la diligencia exigida por el Reglamento General de Protección de Datos (RGPD) y reconoce que al no haber existido riesgo para los derechos afectados y la infracción fue corregido rápidamente.
La Guardia Civil sufrió un incidente de seguridad en su aplicación corporativa
Los hechos se remontan a 29 de diciembre, cuando el cuerpo de la Guardia Civil sufrió un incidente de ciberseguridad en su aplicación corporativa. Este hecho comprometió los datos personales de aproximadamente 50.000 personas.
Tras detectar el ataque, la autoridad de control del cuerpo de seguridad pública adoptó diversas medidas como análisis técnico del incidente, comunicación interna a la organización, información al Comité de Seguridad de la Información (COMSI); coordinación entre distintas unidades y una investigación del alcance del ciberataque.
La AEPD aplica por primera vez la doctrina del TJUE
Estos hechos llegarían a la AEPD, quien tras iniciar la investigación, la actuación de la Guardia Civil guarda mucha similitud con la sentencia del Tribunal de Justicia de la Unión Europea (TJUE) C-768/21.
En dicha resolución el tribunal de Estrasburgo establece que una autoridad de protección de datos no está obligada a imponer una sanción o una medida correctora cada vez que detecta una brecha de seguridad.
Este archivo dependerá de que se cumpla las siguientes condiciones: la infracción ya ha sido corregida, el responsable había implantado medidas de seguridad razonables, se haya reaccionado con rapidez y la actuación cumpla con el RGPD.
Es decir, el TJUE reconoce el margen de apreciación que tienen las autoridades de control para sancionar tal y como establece el artículo 58 del RDPG, siempre atendiendo a las causas del caso concreto y velando por el pleno respecto de dicho Reglamento.
En este caso, la Guardia Civil cumplió con todas las condiciones y la AEPD valora su rápida actuación, la eficacia de las medidas, la desaparición del riesgo y el cumplimiento del RGPD.
En resumen, no toda brecha de datos termina necesariamente en sanción ya que lo decisivo es demostrar una gestión diligente de la crisis.
Por todo ello, la AEPD procede al archivo de actuaciones a a pesar de haber afectado a 50.000 personas este ataque.
