La Agencia Española de Protección de Datos ha sancionado a Flexicar con 680.000 euros por una brecha de 2024 en la que se comprometieron datos facilitados por clientes en los formularios de contacto de su web. La resolución, del 28 de julio, desglosa tres infracciones: 400.000 euros por la falta de integridad y confidencialidad de los datos, 250.000 por medidas de seguridad insuficientes y 30.000 por informar de forma deficiente sobre la conservación de los datos.
El matiz que importa a cualquier empresa: la AEPD no sanciona por haber sufrido el ataque. Sanciona porque las medidas que había antes del ataque no eran proporcionales al riesgo, y porque la información que se dio después no estaba a la altura. Sufrir una brecha no es una infracción; no haberse preparado para ella, sí.
Y hay una segunda lección: cuando roban datos, contener el incidente no lo cierra. Queda la conversación con los clientes y con el regulador, y esa conversación tiene precio. Cómo se lee un incidente de principio a fin, con lo que exige a quien lo revisa, lo contamos en La brecha de Hugging Face.
