La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción total de 680.000 euros a Flexicar Internacional S.L. mediante la resolución EXP202410832, por tres infracciones del Reglamento General de Protección de Datos (RGPD) detectadas tras una brecha de seguridad sufrida en 2024.
EN 30 SEGUNDOS
- ¿Qué ha resuelto la AEPD? Multa de 680.000 euros a Flexicar por vulnerar el RGPD: 400.000 € por falta de integridad y confidencialidad (art. 5.1.f), 250.000 € por medidas de seguridad insuficientes (art. 32) y 30.000 € por información deficiente sobre conservación de datos (art. 13).
- ¿Qué base jurídica aplica? Artículos 5.1.f, 13 y 32 del RGPD, así como la obligación de proteger los datos bloqueados.
- ¿Qué doctrina fija? Sufrir un ciberataque no exime de responsabilidad si no se implantaron previamente medidas de seguridad adecuadas; la política de privacidad debe detallar los plazos de conservación diferenciando tipos de interesados; los datos bloqueados siguen siendo datos personales protegidos.
Los hechos investigados arrancan con tres reclamaciones presentadas ante la AEPD los días 4 y 6 de junio de 2024. Los reclamantes habían recibido una notificación de Flexicar informándoles de que sus datos personales, facilitados a través de formularios de contacto de la web, se habían visto comprometidos en una brecha de seguridad. El ataque se produjo meses después de que la empresa absorbiera a Flexicar Ibérica, integración que amplió el perímetro de exposición.
Una cuarta reclamación resultó determinante. Una usuaria denunció que, pese a haber solicitado reiteradamente la supresión de sus datos, recibió la misma comunicación de brecha. Este hecho llevó a la AEPD a analizar no solo las causas del incidente, sino también la política de conservación de datos y la gestión de los derechos de los interesados.
Antecedentes del procedimiento sancionador
La Agencia constató que los datos afectados correspondían principalmente a contactos leads: personas que habían rellenado formularios sin llegar a formalizar operación. Ello activó el escrutinio sobre la transparencia informativa. Flexicar únicamente adoptó medidas de seguridad adicionales después de la brecha, y la AEPD consideró que su implantación previa «podría haber evitado o, al menos, mitigado sus efectos».
La inspección reveló la mezcla de datos personales bloqueados de antiguos contactos con datos de usuarios que sí habían consentido comunicaciones comerciales. Tal mezcla, incompatible con las exigencias del artículo 32 del RGPD, evidenció un tratamiento que no garantizaba la confidencialidad ni la integridad de los ficheros bloqueados.
Las tres infracciones del RGPD sancionadas por la AEPD
La primera infracción, y la más grave en cuantía, es la vulneración del principio de integridad y confidentiality previsto en el artículo 5.1.f del RGPD. La Agencia subrayó que el mero hecho de ser víctima de un ataque informático no exonera de responsabilidad si el responsable no había implantado medidas técnicas y organizativas apropiadas. La sanción por este concepto asciende a 400.000 euros.
En segundo lugar, la AEPD detectó que la política de privacidad de Flexicar incumplía el artículo 13 del RGPD. La información sobre los plazos de conservación de los datos era «demasiado genérica» y no distinguía entre clientes con operación formalizada y meros contactos que solo rellenaron un formulario. Tampoco se informaba de que los datos de estos últimos podrían conservarsen durante cinco años antes de ser suprimidos. Esta falta de transparencia se castiga con 30.000 euros.
La tercera infracción, que motiva una multa de 250.000 euros, afecta al artículo 32 del RGPD. Los datos bloqueados —aquellos que ya no pueden utilizarse para el fin inicial pero deben mantenerse por obligación legal— estaban indebidamente entremezclados con los de usuarios comerciales autorizados. La AEPD reitera que los datos bloqueados no pierden su condición de datos personales y, por tanto, exigen las mismas medidas de seguridad que el resto de los ficheros.
La resolución convierte en doctrina que una política de privacidad genérica no blinda frente a sanciones y que la adopción de medidas de seguridad solo a posteriori del incidente agrava la responsabilidad.
La Doctrina del Tribunal
La resolución fija tres líneas doctrinales de aplicación inmediata. La primera consiste en que el ataque informático no constituye una eximente; la evaluación de la responsabilidad pivota sobre la existencia de medidas previas adecuadas. La AEPD recuerda que el artículo 5.1.f RGPD impone un deber de confidencialidad permanente, cuyo incumplimiento se aprecia con independencia de que un tercero malicioso haya sido el causante material del acceso.
La segunda línea doctrinal afecta a la información sobre plazos de conservación. El artículo 13 RGPD exige un detalle suficiente que permita al interesado conocer durante cuánto tiempo se tratarán sus datos. Una formulación genérica, que no segregue categorías de afectados, equivale a un déficit de transparencia que lesiona el control efectivo de los derechos de acceso, supresión u oposición. La AEPD apunta que esa carencia informativa impide al ciudadano verificar si el tratamiento se ajusta a los fines declarados.
En tercer lugar, la resolución consolida el criterio de que los datos bloqueados están plenamente sometidos al RGPD. La mezcla de datos bloqueados con datos activos, sin segregación lógica ni técnica, supone un riesgo innecesario y constituye una falta de medidas de seguridad tipificada en el artículo 32. La Agencia subraya que el bloqueo no es un fin en sí mismo, sino una fase intermedia previa a la supresión definitiva o a su puesta a disposición judicial, y durante ese período los datos deben permanecer igualmente protegidos.
Además de la multa, la AEPD ordena a Flexicar que adapte su política de privacidad y acredite la implantación de las medidas correctoras. Esta exigencia eleva la trascendencia de la resolución, que funciona como una advertencia general al tejido empresarial: contar con una política de privacidad genérica o reaccionar solo después de un incidente ya no resulta suficiente para el cumplimiento normativo.
FICHA DEL CASO
- El caso: Procedimiento sancionador de la AEPD contra Flexicar Internacional S.L. por tres infracciones del RGPD relacionadas con una brecha de seguridad y la gestión de datos de contactos comerciales (leads).
- Datos importantes: Resolución EXP202410832. Sanciones: 400.000 € (art. 5.1.f), 250.000 € (art. 32), 30.000 € (art. 13). Se ordena la adaptación de la política de privacidad y la acreditación de nuevas medidas.
- Fecha de la resolución: 28 de julio de 2026 (fecha de notificación pública). La brecha de seguridad ocurrió en 2024.
- Personas acusadas y por qué: Flexicar Internacional S.L., como responsable del tratamiento; no se trata de personas físicas. Las infracciones consisten en no garantizar la confidencialidad de los datos, no informar con precisión sobre su conservación y no proteger adecuadamente los datos bloqueados.
