Una multa por brecha de seguridad de datos no te la pone la AEPD por sufrir un hackeo, sino por no haber tenido antes las medidas de seguridad que exige el artículo 32 del RGPD. Lo demuestra el caso Flexicar: la Agencia le impuso 680.000 €, y la brecha la causó un ciberataque, pero la sanción llegó por no haberse preparado y por un deber de información deficiente.
Dicho de forma directa: te multan por no prepararte, no por el ataque. Esta es la diferencia que cambia por completo cómo debe leer cualquier pyme la palabra “brecha”. El ciberdelincuente entra; la AEPD sanciona lo que tú tenías (o no tenías) montado antes de que entrara. A continuación desglosamos el caso, sin alarmismo y con la cifra oficial, para que sepas dónde está el riesgo real y qué hacer con él.
El caso Flexicar: 680.000 € por una brecha, en tres partes
En junio de 2024 Flexicar sufrió un ciberataque y notificó la brecha a la AEPD, como obliga el RGPD. Casi dos años después, la resolución sancionadora (PS/00540/2025) fija una multa total de 680.000 €. Lo relevante no es solo la cifra, sino cómo se reparte, porque cada tramo señala un error distinto que una empresa con formularios y datos de clientes puede estar cometiendo ahora mismo:
- 400.000 € por vulnerar el principio de integridad y confidencialidad (artículo 5.1.f del RGPD). Es la parte más alta: la brecha supuso una pérdida de confidencialidad que unas medidas básicas previas podrían haber evitado o mitigado. No se sanciona el ataque en sí, sino la falta de protección de fondo.
- 250.000 € por falta de seguridad del tratamiento (artículo 32 del RGPD). Aquí está el núcleo del mensaje: no haber implantado medidas técnicas y organizativas suficientes.
- 30.000 € por un deber de información deficiente (artículo 13 del RGPD), en concreto sobre el plazo de conservación de los datos.
Tres infracciones, tres importes, un solo incidente. Ninguna de las tres se sanciona por “haber sido hackeado”. Las tres se sancionan por decisiones y omisiones anteriores al ataque.
La brecha la causa el ataque, la multa la causa la falta de preparación
El artículo 32 del RGPD obliga a aplicar “medidas técnicas y organizativas apropiadas” al riesgo de cada tratamiento. No es una lista cerrada de casillas, es un estándar de diligencia: cifrado cuando toca, control de accesos, copias de seguridad, capacidad de detectar y responder a incidentes.
Cuando llega un ataque, la AEPD no evalúa al atacante (de eso se ocupan otros). Evalúa si tú habías hecho los deberes. Por eso 250.000 € de la multa de Flexicar son por seguridad insuficiente: la Agencia entendió que las medidas no estaban a la altura del riesgo. La lección para una pyme es incómoda pero útil: la pregunta no es “¿me pueden hackear?” (a cualquiera pueden), sino “si me hackean mañana, ¿podré demostrar que tenía medidas razonables?”. Esa demostración es lo que separa una brecha gestionada de una brecha sancionada.
El fallo de orden que también costó caro: mezclar contactos
Dentro de esa falta de seguridad hay un problema de orden en los datos que la AEPD reprochó de forma expresa. Flexicar había mezclado datos de leads no cualificados, que debían estar bloqueados, con datos de usuarios que sí habían autorizado comunicaciones comerciales.
Esto es más común de lo que parece en cualquier negocio que capta contactos por la web. Un formulario recoge un lead que nunca cristaliza, ese contacto debería quedar bloqueado o suprimido, pero se queda mezclado en la misma base que los clientes activos y los suscriptores que sí dieron permiso. Mientras no pasa nada, nadie lo nota. El día de la brecha, esa mezcla amplía el número de afectados y delata una falta de medidas de seguridad: la AEPD la encuadró en el artículo 32, porque unos datos bloqueados no deberían estar en sistemas explotables. El desorden en los datos, que parecía inofensivo, se convierte en parte de la multa.
Y encima, el deber de información: 30.000 € por lo que pone en tus textos
El tercer tramo, 30.000 €, es por el artículo 13 del RGPD: no informar correctamente del plazo de conservación de los datos. Es la parte “de papeles”, la que muchas empresas posponen, y demuestra que la AEPD revisa también la letra pequeña de tu política de privacidad y tus formularios, no solo tus servidores.
Es, además, el tramo más fácil de evitar y el más barato de corregir. Tener bien redactados los textos legales de la web (qué datos recoges, para qué, cuánto tiempo los guardas y con qué base) no depende de tu suerte frente a los hackers. Depende solo de haberlo hecho. Aquí es donde una adaptación web al RGPD cierra un riesgo concreto por muy poco.
Qué significa esto para tu empresa (sin alarmismo)
Las brechas no son un problema de una sola empresa grande. Según la Memoria 2025 de la AEPD, ese año se notificaron 2.765 brechas de datos. La mayoría no acaba en una multa como la de Flexicar, pero el patrón que la AEPD sanciona es siempre el mismo, y es replicable en cualquier pyme con clientes y formularios:
- Medidas de seguridad por debajo del riesgo (artículo 32). Accesos sin control, sin cifrado donde toca, sin copias, sin plan de respuesta.
- Datos desordenados (artículo 32). Contactos que deberían estar bloqueados conviviendo con los que dieron permiso, en sistemas explotables.
- Textos legales incompletos (artículo 13). Información deficiente sobre conservación y finalidades.
Ninguno de los tres depende de ser víctima de un ataque. Los tres se pueden revisar y corregir antes, que es exactamente lo que la sanción de Flexicar recompensa por omisión. Si quieres entender cómo se calculan estos importes y qué modula la Agencia, lo tienes en cuánto cuesta una multa de la AEPD.
Cómo saber si estás en riesgo antes de que lo diga la AEPD
El miedo difuso al hackeo no se arregla con más miedo, se arregla con un diagnóstico. Saber qué medidas tienes, cómo están ordenados tus contactos y qué dicen tus textos legales convierte un riesgo indefinido en una lista de tareas concreta y acotada.
- Para una foto completa de tu situación, la auditoría RGPD revisa seguridad, tratamientos y contactos, y te dice qué falta y en qué orden.
- Si el punto débil es la web (formularios, cookies, plazos de conservación, textos legales), la adaptación web al RGPD cierra el flanco del artículo 13 y del 32.
- Si necesitas poner al día toda la operativa de datos, la adaptación de empresa al RGPD cubre medidas de seguridad, tratamientos y contratos con proveedores.
Puedes ver el catálogo completo en nuestros servicios de protección de datos. Y si quieres una primera foto sin coste de tu punto de partida, solicita la auditoría gratuita: te decimos por dónde conviene empezar antes de que llegue la brecha, no después.