TL;DR
Por resolución de 28 de julio de 2026, publicada por el CEPD el 8 de octubre, la autoridad griega de protección de datos multó con 200.000 euros al Ministerio de Cohesión Social y Familia (responsable) y con 150.000 euros a E.E.T.A.A. S.A., la agencia de desarrollo local que gestionaba sus sistemas (encargado). El Ministerio había notificado la brecha e informado a los afectados correctamente; la multa se refiere a la seguridad y a la relación responsable-encargado. Artículos: 25, 28, 32, 33 y 34 RGPD.
Qué ocurrió
Un ciberataque a gran escala afectó a los sistemas de E.E.T.A.A., usados para ejecutar los programas del Ministerio. Las bases de datos contenían datos de muchísimas personas: identificativos y de contacto, financieros y de salud.
Qué constató la autoridad
- NOTIFICACIÓN CORRECTA. El Ministerio, como responsable, cumplió sus obligaciones de notificar a la autoridad e informar a los afectados (arts. 33 y 34).
- SISTEMAS SUPERADOS. El éxito del ataque se debió a que E.E.T.A.A. seguía usando sistemas obsoletos y medidas de seguridad inadecuadas, pese a conocer los riesgos (art. 32).
- RELACIÓN NO REGULADA. Deficiencias respecto al art. 28: la relación entre responsable y encargado no estaba regulada como exige el RGPD.
- MULTA A AMBOS. 200.000 euros al Ministerio y 150.000 a E.E.T.A.A., con la orden de firmar un contrato del art. 28 y completar las medidas de seguridad previstas.
Notificar bien no salva al responsable
La gestión de la brecha fue correcta y aun así el responsable paga. La razón está antes: el art. 28 exige elegir solo encargados con garantías suficientes y regular la relación por escrito. Un proveedor con sistemas obsoletos y sin contrato que lo obligue es un riesgo del responsable antes que del proveedor.
Qué significa para el DPD
Cuatro controles
Uno: para cada proveedor que trate datos por cuenta del cliente, un contrato del art. 28 firmado, también si es un ente público o una empresa pública. Dos: en el contrato, medidas mínimas de seguridad y el derecho a verificarlas, incluida la actualización de sistemas. Tres: una revisión periódica documentada de los proveedores con datos de salud o financieros. Cuatro: si el proveedor conoce un riesgo y no lo resuelve, el responsable debe saberlo y decidir: es el momento de un dictamen escrito del DPD.
El caso es útil también por otro motivo: muestra que las autoridades multan directamente al encargado cuando la causa de la brecha es suya. El encargado no está «cubierto» por el responsable: tiene obligaciones de seguridad propias y responde de ellas.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
