Guardia Civil: AEPD archiva caso por filtración de datos
La AEPD archiva el caso de la Guardia Civil: 50.000 agentes afectados, cero sanción
La Agencia Española de Protección de Datos (AEPD) ha archivado la investigación del ciberataque sufrido por la Guardia Civil el pasado 29 de diciembre, que comprometió datos personales de aproximadamente 50.000 miembros del cuerpo. El expediente EXP202501592 concluye que la institución actuó con la diligencia exigida por el Reglamento General de Protección de Datos (RGPD). La decisión refuerza una doctrina cada vez más consolidada: no toda brecha acaba en multa cuando la respuesta ante el incidente cumple los estándares normativos.
El archivo se fundamenta en cuatro pilares concurrentes: corrección inmediata de la infracción, implantación previa de medidas de seguridad razonables, reacción rápida ante el ataque y cumplimiento global del RGPD. La AEPD valora especialmente la coordinación interna desplegada por la Guardia Civil tras detectar el incidente en su aplicación corporativa.
Del ataque al archivo: la cronología de una respuesta ejemplar
Los hechos se produjeron el 29 de diciembre, cuando un incidente de ciberseguridad afectó la aplicación corporativa de la Guardia Civil. La institución adoptó de inmediato varias medidas operativas: análisis técnico del incidente, comunicación interna a toda la organización, información al Comité de Seguridad de la Información (COMSI), coordinación entre distintas unidades operativas e investigación exhaustiva del alcance del ciberataque.
Esta actuación permitió determinar que el riesgo para los derechos de los afectados había desaparecido y que la infracción quedó corregida en un plazo razonable. La AEPD, tras examinar la documentación aportada, concluyó que no procedía mantener abierta la vía sancionadora.
La decisión no es aislada. La propia agencia remite explícitamente a la sentencia TJUE C-768/21, dictada por el Tribunal de Justicia de la Unión Europea en Estrasburgo, que estableció un precedente clave: las autoridades de control no están obligadas a imponer sanción o medida correctora en cada brecha de seguridad detectada.
El margen de apreciación del TJUE y el artículo 58 del RGPD
La sentencia C-768/21 reconoce a las autoridades de control un margen de apreciación para decidir si sancionar o archivar, siempre atendiendo a las circunstancias del caso concreto y velando por el pleno respeto del RGPD. El artículo 58 del Reglamento otorga a estas agencias facultades sancionadoras, pero no las convierte en automáticas.
La doctrina del TJUE exige que concurran cuatro condiciones para justificar el archivo:
- Corrección efectiva: la infracción debe haber sido subsanada antes de la resolución.
- Medidas preventivas razonables: el responsable debía contar con salvaguardas técnicas y organizativas adecuadas.
- Reacción rápida: la respuesta ante el incidente debe ser inmediata y coordinada.
- Cumplimiento global del RGPD: la actuación debe ajustarse en su conjunto al estándar normativo europeo.
La Guardia Civil cumplió los cuatro requisitos en el expediente resuelto por la AEPD. La agencia destaca la rapidez de la actuación, la eficacia de las medidas adoptadas, la desaparición del riesgo y el cumplimiento integral del RGPD.
Qué cambia para responsables de compliance y DPOs
La resolución tiene implicaciones directas para los delegados de protección de datos y los equipos de ciberseguridad de empresas e instituciones. El archivo demuestra que una gestión diligente de la crisis puede neutralizar la vía sancionadora incluso cuando la afectación alcanza cifras elevadas de personas.
Te puede interesar
AEPD: Multa de 10.000 euros por llamada de spam de 46 segundos
El precedente es especialmente relevante para sectores con alta exposición a ciberataques: administraciones públicas, operadores críticos, entidades financieras y proveedores de servicios digitales. La inversión en protocolos de respuesta a incidentes, equipos de coordinación interdepartamental y canales de comunicación interna adquiere valor probatorio en una eventual actuación de la AEPD.
No obstante, la resolución no legitima la relajación de medidas preventivas. El archivo presupone que el responsable ya contaba con medidas de seguridad razonables antes del ataque. La ausencia de estas habilitaría la sanción por vulneración del principio de integridad y confidencialidad del artículo 32 del RGPD.
El precedente en cifras: brechas notificadas versus sanciones impuestas
España se mantiene entre los Estados miembros con mayor ratio de notificaciones de brechas de seguridad a la AEPD. Sin embargo, el número de sanciones por incumplimiento del RGPD no guarda proporción directa con el volumen de incidentes declarados. La agencia ha ido perfilando una práctica que distingue entre incidentes gestionados correctamente y vulneraciones estructurales de la normativa.
En 2024, la AEPD impuso sanciones por valor de varios millones de euros, pero una parte significativa de las investigaciones iniciadas por notificación de brecha acabaron en archivo o en advertencias. La tendencia refuerza la importancia de la documentación probatoria de las medidas adoptadas ante un incidente: registros de detección, actas de coordinación, informes técnicos y comunicaciones internas.
El próximo paso: la reforma de la directiva NIS y su impacto en protocolos
La transposición de la Directiva NIS 2 a derecho español, efectiva desde octubre de 2024, amplía el universo de entidades obligadas a reforzar sus medidas de ciberseguridad. La Guardia Civil, como cuerpo de seguridad del Estado, ya estaba sujeta a estándares elevados, pero la nueva normativa extiende obligaciones similares a sectores previamente al margen: proveedores de servicios postales, fabricantes de dispositivos médicos y entidades del sector espacial.
Para estas organizaciones, el archivo del expediente EXP202501592 funciona como hoja de ruta operativa: la inversión en prevención y la capacidad de respuesta coordinada son factores decisivos en la valoración de riesgos por parte de la AEPD. La pregunta que deben plantearse los responsables no es si sufrirán un ciberataque, sino si sus protocolos resistirán el escrutinio de una investigación posterior.
La AEPD no ha comunicado si derivará el caso a otras vías de control interno o si la Guardia Civil ha adoptado medidas complementarias de refuerzo tras el archivo. El expediente queda cerrado en la vía administrativa sancionadora, pero la institución mantiene abierta la obligación de mantener actualizados sus sistemas de seguridad conforme al artículo 32 del RGPD.
Preguntas frecuentes
¿Puede la AEPD reabrir el expediente si aparecen nuevos datos?
El archivo de actuaciones es una resolución administrativa firme en esa vía, pero no impide que la AEPD inicie nuevo expediente si se revelan circunstancias no conocidas que alteren los hechos probados. La prescripción del artículo 72 del RGPD permite sancionar infracciones hasta dos años después de su comisión.
¿Qué diferencia hay entre archivo y archivo con medidas correctivas?
La AEPD puede archivar sin más, o bien archivar previa imposición de medidas correctivas o advertencias. En este caso, la resolución es un archivo puro al considerar que la actuación de la Guardia Civil ya cumplió todos los requisitos del RGPD sin necesidad de actuación adicional.
¿Obliga esta resolución a otras autoridades de control europeas a archivar casos similares?
No. La AEPD vincula su decisión a la sentencia TJUE C-768/21, que es de interpretación obligatoria para todos los Estados miembros, pero cada autoridad de control conserva su margen de apreciación para valorar los casos concretos. La resolución sí sirve como referencia argumentativa en procedimientos ante otras agencias.
Información publicada originalmente por Confilegal.