N.º 10 | Septiembre de 2026, tercera semana

BBVA recibe duras críticas por enviar spam a un cliente que se había negado a recibirlo, mientras Grindr paga 26M£ para silenciar reclamaciones de privacidad. Reguladores actúan contra Extia, Telia y procesadores de pagos dudosos por ignorar derechos de supresión o facilitar fraudes.

BBVA Italia multada con 5,5 millones de euros por ignorar la solicitud de privacidad de un cliente

La autoridad italiana de protección de datos, Garante, ha impuesto una serie de multas a varias entidades por diversas infracciones en materia de protección de datos.

En particular, BBVA fue multado con más de 5,5 millones de euros por enviar mensajes promocionales a un cliente tras haber dicho claramente «no». Los mensajes continuaron durante siete meses debido a un problema técnico entre los sistemas del banco. El regulador señaló que no basta con registrar la negativa de un cliente, sino que el banco debe asegurarse de que dicha decisión se respete en todos sus sistemas. Además, se ordenó a BBVA que mejorara sus procedimientos técnicos y organizativos para gestionar las solicitudes de privacidad de los clientes.

El supervisor también ha multado a la Autoridad Sanitaria Universitaria del Friuli Central (ASUFC) en Udine con 24 000 € porque el personal del hospital podía acceder a los historiales médicos de los empleados sin participar en su tratamiento. El sistema carecía de controles de acceso y alertas adecuados. Se ordenó a la ASUFC que mejorara la seguridad y la supervisión.

ASIS Trento, el organismo público especial que gestiona y mantiene las instalaciones deportivas del Ayuntamiento de Trento, fue sancionado con 8.000 € por utilizar cámaras en los vestuarios para prevenir robos. Según el regulador, las cámaras infringían las normas de privacidad porque los vestuarios son áreas donde las personas tienen una alta expectación de privacidad. ASIS retiró las cámaras, mejoró los avisos y redujo el tiempo de retención de datos.

Por último, pero no menos importante, la Agencia Regional de Empleo de Emilia-Romaña fue multada con 30 000 € por publicar los nombres de personas inscritas en los centros de empleo durante un proceso de selección de personal para un hospital. La publicación podía revelar información personal sensible. La autoridad señaló que la agencia debería haber utilizado la anonimización en lugar de publicar datos personales en línea.

Grindr cierra demanda por privacidad en Reino Unido por 26 millones de libras

La aplicación de citas LGBTQ+ Grindr ha acordado pagar £26 millones (€30,3 millones) para resolver una demanda en el Reino Unido por acusaciones de que compartió información sensible de los usuarios, incluido su estado del VIH, con anunciantes.

La demanda se presentó en abril de 2024 en nombre de unos 12 000 usuarios del Reino Unido. El supuesto intercambio de datos tuvo lugar antes de 2020, cuando Grindr era propiedad de la empresa china Kunlun.

Según el acuerdo, Grindr pagará £13 millones (~€15,2 millones) a finales de diciembre de 2026 y otros £13 millones a finales de marzo de 2027.

Grindr ha negado las acusaciones y declaró que el acuerdo no implica una admisión de responsabilidad. La empresa afirmó que ha cambiado significativamente sus prácticas de privacidad desde 2020 y que mantiene su compromiso de proteger los datos de los usuarios.

Consultora tecnológica Extia multada con 300 000 € por infracciones del RGPD

La autoridad francesa de protección de datos, la Commission nationale de l’informatique et des libertés (CNIL), ha multado a la consultora de tecnología e ingeniería Extia con 300.000 euros por no gestionar adecuadamente las solicitudes de supresión de datos personales de los particulares bajo el Reglamento General de Protección de Datos (RGPD) de la Unión Europea.

La investigación de la CNIL se inició tras varias quejas presentadas en 2024 por antiguos empleados de Extia y candidatos que informaron sobre dificultades para ejercer su «derecho al olvido» en virtud del artículo 17 del RGPD.

La autoridad determinó que Extia recibió 265 solicitudes de supresión en 2024, principalmente de candidatos a empleo y ex empleados. Más de tres cuartas partes de las solicitudes no se tramitaron ni se gestionaron de forma satisfactoria, según la CNIL.

Extia argumentó que muchas solicitudes involucraban candidatos cuyos datos personales ya habían sido eliminados automáticamente. Sin embargo, la CNIL señaló que, incluso si la información se ha eliminado, la empresa sigue obligada a informar a las personas sobre el resultado de sus solicitudes.

La autoridad declaró que Extia había infringido el artículo 17 por no procesar adecuadamente las solicitudes de supresión de datos y el artículo 12 por no comunicar los resultados a los interesados.

La CNIL señaló que Extia había implementado medidas correctivas, incluida la supresión de los datos pertinentes y la notificación a las personas afectadas de la acción realizada. Pese a ello, la autoridad impuso una multa de 300.000 € por los incumplimientos previos de la empresa respecto a los requisitos del RGPD.

El operador de telecomunicaciones sueco Telia, multado en 1 millón de coronas suecas por el borrado accidental de datos

Telia, importante operador multinacional sueco de telecomunicaciones, ha sido multado con 1 millón de SEK (alrededor de €88,600) por la Agencia Sueca de Correos y Telecomunicaciones (PTS) después de que la empresa borrara inadvertidamente datos almacenados con fines de aplicación de la ley. El incidente se debió a un error de software, que provocó que los datos almacenados se borraran antes de lo previsto.

Los datos se conservaron con fines de aplicación de la ley y deberían haberse almacenado durante diez meses. Sin embargo, tras una actualización de software, algunos datos se eliminaron tras solo diez días.

Como resultado, unas 100 consultas de agencias de aplicación de la ley podrían haber recibido respuestas incorrectas. Telia pudo haber afirmado que no tenía ningún suscriptor vinculado a una dirección IP específica, aunque quizás existiera uno, señaló el regulador.

El error se descubrió unos diez meses después, y Telia notificó el incidente a la PTS. La autoridad señaló que el incidente generó un riesgo de daño, aunque no hay pruebas de que se haya producido un daño real. No obstante, la agencia decidió que Telia debía pagar una multa de 1 millón de coronas suecas.

Multan a un procesador de pays con 12M por procesar pagos fraudulentos

La Comisión Federal de Comercio de los EE. UU. (FTC) ha tomado medidas contra el procesador de pagos Humboldt Merchant Services, acusándolo de procesar a sabiendas pagos para más de 1.000 comerciantes dudosos vinculados a negocios fraudulentos.

En virtud de una orden propuesta, Humboldt deberá pagar 12 millones de dólares a título de indemnización al consumidor y quedará permanentemente inhabilitado para procesar pagos para determinados comerciantes de alto riesgo. Según la FTC, Humboldt abrió cuentas para sociedades pantalla a pesar de indicios de que se utilizaban para respaldar estafas de facturación no autorizadas y otros fraudes.

La FTC alega además que muchas de las cuentas presentaban tasas de chargeback extremadamente elevadas. En algunos cases, Humboldt habría transferido transacciones a un número de identificación bancaria de menor riesgo para aumentar las posibilidades de que se aprobaran los pagos.

La orden propuesta prohibiría a Humboldt procesar pagos para empresas pantalla, comerciantes señalados por fraude o devoluciones excesivas, empresas que hayan sido objeto de medidas policiales y determinadas empresas de comercio electrónico de alto riesgo. A la empresa también se le prohibiría ayudar a los comerciantes a proporcionar información falsa o a eludir los sistemas de monitoreo de fraude y de riesgos.

Por otra parte, la autoridad ha impuesto una multa de 4,85 millones de dólares al procesador de pagos global Nuvei por tramitar pagos para empresas implicadas en actividades fraudulentas, incluidas las estafas de soporte técnico. La orden propuesta prohíbe a Nuvei prestar servicios de pago a cualquier persona que venda productos o servicios de soporte técnico a través de telemarketing o mensajes emergentes engañosos que afirmen que un ordenador u otro dispositivo tiene problemas de seguridad o de rendimiento.

Se prohíbe también a Nuvei utilizar información falsa o engañosa para obtener cuentas de comerciante o servicios de procesamiento de pagos, así como emplear tácticas como el balanceo de carga para eludir los sistemas de detección de fraudes o monitorización de riesgos utilizados por los bancos y las redes de tarjetas de crédito.

Como parte del acuerdo, Nuvei está obligada a destinar fondos para reembolsos a consumidores y a reforzar su revisión y monitoreo de comerciantes para ayudar a prevenir que empresas fraudulentas utilicen sus servicios de pago.

Próximos pasos:

• Solicite una demostración gratuita o información sobre precios
• Regístrese en nuestros webinars y formaciones de productos
• Lea nuestro blog semanal de Investigaciones sobre ciberdelincuencia
• Síguenos en LinkedIn, X, Telegram y WhatsApp
• Suscríbase a nuestro boletín.
• Únase a nuestro Partner Program