El pasado 16 de septiembre de 2026, la AEPD publicó su resolución PS/00258/2025 (la «Resolución«), por la que archiva el procedimiento sancionador instruido contra Vodafone España, S.A.U. («Vodafone«) por la presunta infracción de los artículos 28, 5.1.f) y 32 del RGPD.

La AEPD concluyó que los contratos de encargo del tratamiento eran válidos, por lo que archivó las dos presuntas infracciones del artículo 28. Respecto a las medidas de seguridad, consideró que Vodafone no era responsable de su falta de adopción, al quedar acreditado que el encargado del tratamiento no había seguido las instrucciones del contrato.

Más allá del caso concreto, la Resolución es interesante por cómo aplica la jurisprudencia del TJUE sobre la responsabilidad del responsable del tratamiento por los actos de su encargado. Por ello, este post se centra en las presuntas infracciones de los artículos 5.1.f) y 32.

Hechos

El 9 de octubre de 2023, Vodafone notificó a la AEPD una brecha de datos personales. Según relató la propia compañía, el 6 de octubre detectó que un grupo atacante había publicado un anuncio afirmando disponer de datos de uno de sus distribuidores, que actuaba como encargado del tratamiento.

El 14 de octubre de 2023 los ficheros comprometidos se publicaron en la dark web, afectando potencialmente a datos de clientes empresa, autónomos y particulares: nombre, DNI, datos de contacto y, en algunos casos, cuenta bancaria.

Entre el 20 de octubre y el 24 de noviembre de 2023, Vodafone comunicó la brecha a la totalidad de los afectados por distintos canales (correo electrónico y SMS).

En junio de 2025, la AEPD acordó iniciar procedimiento sancionador contra Vodafone (el “Acuerdo de Inicio”) por dos presuntas infracciones del artículo 28 del RGPD, por supuestamente carecer de contrato de encargo del tratamiento válido con dos de sus distribuidores, que actuaban como encargados. También le imputó la presunta infracción de los artículos 5.1.f) (integridad y confidencialidad) y 32 (medidas de seguridad) del RGPD.

Infracciones de los artículos 5.1.f) y 32 del RGPD: el incumplimiento de las instrucciones por parte del encargado

El argumento central de Vodafone frente a la presunta falta de medidas de seguridad fue que los contratos de encargo con sus distribuidores sí incluían instrucciones precisas sobre las medidas técnicas y organizativas a adoptar, las mismas cuya ausencia se le imputaba en el Acuerdo de Inicio, pero que el encargado del tratamiento no las había aplicado.

Para resolver, la AEPD se apoya en la STJUE de 5 de diciembre de 2023 (Asunto C-683/21), cuyo apartado 85 transcribe.

Para entender su alcance conviene primero partir de la regla general (apartado 84) que fija el Tribunal:

“un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta”. Es decir, en principio el responsable responde por lo que haga su encargado.

A continuación, el Tribunal establece la excepción (apartado 85): “la responsabilidad del responsable del tratamiento por el comportamiento de un encargado no puede extenderse a las situaciones en las que el encargado haya tratado datos personales […] de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento […]. En efecto, de conformidad con el artículo 28, apartado 10, del RGPD, el encargado del tratamiento debe, en ese supuesto, ser considerado responsable del tratamiento con respecto a dicho tratamiento”.

La AEPD consideró acreditado que las circunstancias técnicas necesarias para haber impedido la brecha estaban comprendidas en las cláusulas del contrato de encargo: “sí existieron instrucciones precisas dirigidas al encargado donde se señalaban medidas concretas a adoptar […], instrucciones que, sin embargo, no fueron seguidas por éste”, lo que, de acuerdo con la STJUE, “implica la ausencia de responsabilidad por parte de VODAFONE en la adopción de dichas medidas, al no haber sido adoptadas por el encargado a pesar de estar expresamente previstas”. Por ello, consideró que no concurría infracción de los artículos 5.1.f) y 32 del RGPD.

Conclusión

Para estimar la alegación de Vodafone de que sus encargados no habían seguido las instrucciones de seguridad del contrato, la AEPD examinó dos elementos: en primer lugar, si el contrato de encargo contenía dichas instrucciones de forma precisa, y en segundo lugar, si su aplicación habría evitado la brecha. En este caso, la AEPD entendió que se daban ambos.

Cabe señalar que la Resolución publicada no analiza si Vodafone, como responsable, verificó mediante auditorías a sus encargados que las medidas de seguridad pactadas estaban efectivamente implementadas. El archivo se apoya principalmente en el contenido del contrato y en el incumplimiento por parte del encargado.

En la práctica, la lección para cualquier responsable que externalice servicios es que, si bien, en principio, responde por lo que haga su encargado, lo que puede situarle en la excepción es haber fijado en el contrato instrucciones de seguridad concretas, cuya aplicación habría evitado una brecha de datos personales, y que el encargado después incumpla.

Si deseas estar informado de las sanciones más relevantes por infracción del RGPD, tanto en España como en el resto de Europa, por favor no dudes en suscribirte a nuestro Blog.

______

Gonzalo Sánchez-Jara Garralda, autor de este post, es fundador y consejero delegado de Anti-Bribery and Corruption Compliance S.L. (‘abc Compliance’), empresa que facilita una base de datos con los procedimientos sancionadores de la Agencia Española de Protección de Datos (AEPD) por infracción del RGPD, para monitorizar riesgos emergentes mediante alertas automáticas y encontrar un procedimiento sancionador específico rápidamente. Para más información sobre abc Compliance, pulse aquí.