N.º 15 | Octubre de 2026, semana 4
20 de octubre de 2026Los reguladores están endureciendo la aplicación de las normas contra el descuido en la higiene de datos, desde editoriales italianas multamos por publicar imágenes gráficas de crímenes hasta empresas sanitarias de EE. UU. que pagan 2,7 millones de dólares por la filtración de historiales de pacientes. Mientras tanto, las juntas de exámenes y las fuerzas policiales enfrentan sanciones por la pérdida de evidencia de exámenes y el compartir datos personales en plataformas no autorizadas.
La autoridad italiana de protección de datos multa a una editorial por publicar fotos de la escena del crimen
- Jurisdicción
- Italia
- Nombre legal del infractor
- Cairo Editore
- Domicilio del infractor
- Italia
- Presunta infracción
- Violación de la privacidad
- Medida de aplicación
- Una multa no divulgada
- Estado del caso
- Una acción administrativa
La Autoridad de Protección de Datos de Italia ha multado a la editorial Cairo Editore por publicar en su revista semanal imágenes gráficas del cuerpo ensangrentado de una víctima de un delito.
La resolución, dictada el 23 de septiembre de 2026, se produjo a raíz de una denuncia presentada por la familia de la víctima. La revista publicó las fotos el 26 de marzo de 2026, en las que se veía el lugar donde fue hallada muerta y su cuerpo tendido en las escaleras, con parte del rostro cubierto. La familia afirmó que las imágenes les causaron un profundo sufrimiento y vulneraron la dignidad de su hija y su memoria.
La autoridad dictaminó que las imágenes eran innecesarias para informar sobre el caso y no aportaban ninguna información nueva significativa. Afirmó que la publicación infringía la normativa sobre datos personales.
El organismo regulador también señaló que los periodistas deben respetar la dignidad de las víctimas y sus familias, incluso después de que una persona haya fallecido. Advirtió que una excesiva atención mediática puede cruzar la línea entre informar sobre las noticias y el sensacionalismo.
En una decisión separada, la autoridad también multó a un canal de YouTube por contenidos similares relacionados con el caso.
El Garante no reveló el importe de las multas impuestas en cada caso.
Ofqual multa a ABRSM con 150.000 libras por fallos en la retención de datos
- Jurisdicción
- El Reino Unido
- Nombre legal del infractor
- ABRSM
- Domicilio del infractor
- El Reino Unido
- Presunta infracción
- Fallo en la conservación de datos
- Medida de aplicación
- Una multa de £150.000
- Estado del caso
- Una acción administrativa
El regulador de titulaciones del Reino Unido, Ofqual (The Office of Qualifications and Examinations Regulation), ha multado a la Associated Board of the Royal Schools of Music (ABRSM) con £150.000 (€177.900) por no conservar adecuadamente los registros de evaluación y las pruebas. ABRSM ofrece titulaciones musicales mediante evaluaciones presenciales y digitales.
Ofqual detectó tres incidentes entre 2024 y 2025 en los que se perdieron o eliminaron registros importantes de evaluación. En el primer caso, no se conservaron 8.539 grabaciones de audio debido a un error de software, afectando a 20 alumnos que solicitaron una revisión de sus calificaciones. En otro incidente, se eliminaron por error las grabaciones y los registros de evaluación de 16 alumnos, lo que retrasó la publicación de los resultados y les dificultó cuestionar sus calificaciones.
El tercer incidente involucró un presunto caso de malpráctica vinculado a un tutor en el extranjero que presentó a 710 candidatos a evaluaciones. Sin embargo, faltaban 231 grabaciones, lo que limitó la capacidad de ABRSM para investigar el caso a fondo.
Ofqual también constató que alrededor de 72 000 certificados se habían emitido con títulos incorrectos de las cualificaciones, generando un riesgo de confusión para los estudiantes, los empleadores y los proveedores de educación. Posteriormente, ABRSM corrigió el error, informó a los estudiantes y ofreció certificados de reemplazo.
Como parte del acuerdo, ABRSM pagará la multa de £150.000, aportará £10.000 (€11.860) para cubrir los gastos de investigación de Ofqual y encargará una auditoría independiente de sus sistemas de retención de registros.
Empresas de salud pagarán 2,7 millones de dólares tras filtración que expuso información de pacientes
- Jurisdicción
- Estados Unidos
- Nombre legal del infractor
- BCHP; XTIUM
- Domicilio del infractor
- Estados Unidos
- Presunta infracción
- Falta de protección de los datos de los pacientes
- Medida de aplicación
- Una multa de 2,7 millones de dólares
- Estado del caso
- Una acción administrativa
[[[Boston Children’s Health Physicians (BCHP) y la empresa de TI XTIUM pagarán 2,7 millones de dólares tras una filtración de datos que expuso la información privada de aproximadamente 825 000 residentes de Nueva York y 62 871 de Connecticut.]]]
La fuga de datos se produjo en agosto de 2024, cuando unos piratas informáticos accedieron a los sistemas de XTIUM y robaron información de 18 clientes, entre ellos BCHP.
Los datos sustraídos incluían información personal, médica y financiera. Más de 170 000 residentes de Nueva York tuvieron expuestos sus números de Social Security y de licencia de conducir. La investigación reveló que BCHP no implementó medidas de seguridad básicas, a pesar de estar consciente de los problemas detectados en una auditoría de 2023. La empresa también dejó un archivo sin cifrar, mayormente desprotegido, que contenía más de un millón de registros de facturación de pacientes.
También se determinó que XTIUM presentaba controles de seguridad débiles y un monitoreo insuficiente para detectar actividades sospechosas. En virtud del acuerdo, las empresas pagarán $2.1 millones a Nueva York y $540,000 a Connecticut. Además, se les exige que fortalezcan sus sistemas de ciberseguridad, mejoren el monitoreo y desarrollen mejores planes para responder a futuras amenazas.
Rumanía impone una multa de 6.000 € a Myconnector Platform tras un ciberataque
- Jurisdicción
- Rumanía
- Nombre legal del infractor
- Myconnector
Platform SRL - Domicilio del infractor
- Rumanía
- Presunta infracción
- Infracción del RGPD
- Medida de aplicación
- Una multa de 31.451 lei
- Estado del caso
- Una acción administrativa
La Autoridad Nacional de Supervisión del Tratamiento de Datos Personales de Rumanía ha multado a la plataforma tecnológica y de gestión de eventos Myconnector Platform SRL con 31 451 lei (6 000 €) por infringir el artículo 32.1.b) y el artículo 32.2 del Reglamento General de Protección de Datos (RGPD), Reglamento (UE) 2016/679.
La investigación se inició después de que la empresa notificara una brecha de datos personales con arreglo al artículo 33 del RGPD. Las autoridades determinaron que un ciberataque al servidor de pruebas de la empresa permitió que un tercero no autorizado accediera a los datos personales de los usuarios.
La información expuesta incluía direcciones de correo electrónico, números de teléfono, nombres completos, códigos numéricos personales y datos de documentos de identidad. La investigación también reveló que la empresa utilizó datos personales reales en lugar de datos ficticios al realizar pruebas de su aplicación «MyConnector Platform».
Según la autoridad, el incidente se debió a la falta de aplicación de medidas de seguridad técnicas y organizativas adecuadas para proteger los datos personales y garantizar la confidencialidad e integridad de sus sistemas, tal y como exige el artículo 32 del RGPD.
Además de la multa, la autoridad ordenó a la empresa, en virtud del artículo 58, apartado 2, letra d) del GDPR, que utilizara únicamente datos ficticios en los entornos de desarrollo y pruebas.
El ICO amonesta a la Policía Metropolitana por el intercambio ilícito de datos personales
- Jurisdicción
- El Reino Unido
- Nombre legal del infractor
- MPS
- Domicilio del infractor
- El Reino Unido
- Presunta infracción
- Violación de la protección de datos personales
- Medida de aplicación
- Acción regulatoria — sin multa anunciada
- Estado del caso
- Una acción administrativa
La Oficina del Comisionado de Información (ICO) del Reino Unido ha emitido una amonestación y una notificación de aplicación al Servicio de Policía Metropolitana (MPS) tras conocerse que agentes y empleados compartieron información personal a través de una plataforma de inteligencia criminal no aprobada.
La ICO constató que la plataforma se utilizó entre marzo de 2023 y septiembre de 2024 sin garantías adecuadas de protección de datos ni supervisión. Se crearon alrededor de 500 cuentas, de las cuales 375 se utilizaron activamente para actividades policiales.
Entre enero y septiembre de 2024, se subieron datos personales relativos a 179 personas, incluidas tres menores de 18 años, para ayudar a identificar a presuntos ladrones de tiendas. La información incluía nombres, fechas de nacimiento y, en un número reducido de casos, domicilios.
La investigación concluyó que la fuerza policial había compartido datos personales de manera ilegal, no realizó la evaluación de protección de datos obligatoria y no contaba con medidas adecuadas para controlar el uso de tecnología de terceros.
El MPS suspendió la plataforma en septiembre de 2024 y la reintrodujo en enero de 2026 tras realizar cambios, incluida una mayor supervisión, la formación del personal y controles contractuales más estrictos.
No obstante, la ICO señaló que se requería acción adicional para abordar las preocupaciones más amplias sobre la forma en que la fuerza policial aprueba y gestiona la tecnología de terceros.
Aviso legal: La información de este blog procede de fuentes públicas y gubernamentales. Recordamos respetuosamente a nuestros lectores la presunción de inocencia. La información aquí contenida se proporciona únicamente con fines educativos y no constituye una opinión ni un asesoramiento jurídico.