La Agencia Española de Protección de Datos (AEPD) ha impuesto a Santander, a través de Consumer, una multa de 500.000 euros por el robo de datos de clientes.
Santander, que presentó un recurso que ha sido desestimado, también deberá proceder a «la implantación de las medidas necesarias para garantizar la confidencialidad e integridad de los datos» a su cargo.
El incidente cibernético se produjo en 2022 y está ligado a un acuerdo entre el banco y Orange para la financiación de la compra de móviles.
Dentro de ese contrato, Consumer encargó a Orange los servicios de recobro de las deudas y, ésta, a su vez, los subcontrató con otro proveedor (Marktel), donde se produjo la brecha de seguridad.
Consumer ha sido sancionado en su rol de responsable del tratamiento de los datos.
La información sustraída y publicada por los piratas informáticos incluía nombre y apellidos, DNI, teléfono, dirección y fecha de nacimiento de los clientes, entre otros.
«El responsable del tratamiento debe establecer, en su relación con el encargado del tratamiento, modalidades claras para dicha asistencia y dar instrucciones precisas sobre cómo cumplirlas de forma adecuada […]. Sin embargo, las instrucciones dadas por Santander Consumer a su encargado eran a todas luces insuficientes en cuanto a garantizar una protección de los datos adecuada al riesgo», dice la resolución de la AEPD.
Santander sufrió el pasado año un ciberataque que afectó a los 200.000 empleados del grupo y a clientes en España, Chile y Uruguay.
En España y hasta el momento, no ha trascendido la imposición de sanciones. En Chile, el banco está negociando con la Autoridad de Consumo una compensación para los cuatro millones de clientes afectados en la filial.