Bizum es sancionada en 80.000 euros por la AEPD tras una brecha que expuso los números de teléfono de más de 20.000 usuarios.
Sanción de 80.000 euros de la Agencia Española de Protección de Datos por una brecha de seguridad que expuso los números de teléfono y alias de más de 20.000 usuarios. El responsable del tratamiento alegó que las medidas eran adecuadas y la obligación del art. 32 RGPD es de medios, no de resultado. Menciona que el ataque lo realizó un tercero y la publicación es responsabilidad del atacante, no de Bizum. El acceso fue por un usuario legítimo, sin violación de sus sistemas. Señala la prescripción de la infracción, pues el incidente ocurrió en 2022. Además, menciona que el alias es un dato seudonimizado y no identificable por sí solo. Cuestionó la proporcionalidad de la sanción.
La resolución menciona que Bizum es responsable del tratamiento y, por tanto, debe garantizar la seguridad de los datos tratados por su infraestructura. La infracción no es de resultado, sino de medios: no se sanciona por el ataque, sino por no disponer de medidas adecuadas para prevenirlo o detectarlo a tiempo. Queda evidenciado que la detección fue tardía, a parte de la falta de mecanismos eficaces de monitorización. No hay un seguimiento por parte del responsable (tras el “uso inusual” de septiembre de 2022 muestra ausencia de control sobre posibles accesos indebidos). No se considera la prescripción por se tratar de una infracción permanente.
Se cita la doctrina del Tribunal Supremo (STS 15/02/2022): el art. 32 RGPD impone una obligación de medios, que exige diligencia razonable y medidas adecuadas, no infalibilidad.
Más información consulte nuestra página de servicios
