N.º 16 | Octubre 2026, Semana 5
27 de octubre de 2026Desde una cuenta de prueba de un menor de 12 años hasta una sentencia de 25 000 millones de dólares contra Meta, los reguladores castigan a las empresas por su mala higiene de datos. Una oleada masiva de multas globales golpea a bancos, operadoras de telecomunicaciones y laboratorios genéticos por filtrar todo, desde registros de menores hasta ADN.
La ICO amonesta a dos organizaciones tras un ataque de ransomware que expuso datos de menores
- Jurisdicción
- Reino Unido
- Nombre legal del infractor
- Ogi Networks Limited; Data Cymru
- Domicilio del infractor
- Reino Unido
- Presunta infracción
- Una filtración de datos
- Medida de aplicación
- Una amonestación
- Estado del caso
- Una acción administrativa
La Oficina del Comisionado de Información (ICO) del Reino Unido ha amonestado a Ogi Networks Limited (ONL) y a Data Cymru tras un ataque de ransomware que expuso la información personal de 3.300 personas, la mayoría de las cuales eran niños.
El ataque tuvo lugar el 1 de noviembre de 2024 y cifró 182,7 GB de datos, con 42 GB robados de los sistemas de Data Cymru. La información estaba vinculada a dos proyectos de apoyo a niños y familias.
La investigación reveló que los atacantes aprovecharon una cuenta de prueba denominada «Test2», que llevaba más de 12 años en funcionamiento. La cuenta estaba protegida por la contraseña «Password1».
El organismo regulador determinó que ONL no había mantenido las medidas de seguridad adecuadas ni realizado comprobaciones periódicas de sus sistemas. También se constató que Data Cymru no había gestionado adecuadamente su relación con ONL, ni realizado revisiones periódicas de las cuentas de usuario, ni garantizado que la cuenta de prueba fuera eliminada o asegurada.
Desde entonces, ambas organizaciones han tomado medidas para mejorar su seguridad. ONL introdujo revisiones periódicas de las cuentas y controles de acceso más estrictos, incluida la autenticación multifactor. Las dos organizaciones también firmaron un contrato de tratamiento de datos conforme a la legislación vigente. Data Cymru introdujo revisiones periódicas de las cuentas y reforzó sus controles de acceso.
Frontier pagará 625 000 dólares por una filtración de datos que afectó a 59 000 residentes de Connecticut
- Jurisdicción
- Estados Unidos
- Nombre legal del infractor
- Frontier Communications
- Domicilio del infractor
- Estados Unidos
- Presunta infracción
- Una filtración de datos
- Medida de aplicación
- Una multa de $625,000
- Estado del caso
- Una acción administrativa
Frontier Communications, propiedad de Verizon, ha acordado pagar 625 000 dólares para resolver una filtración de datos que dejó al descubierto la información personal de 58 841 residentes de Connecticut en 2024.
La filtración se descubrió en abril de 2024, cuando piratas informáticos accedieron a los sistemas informáticos internos de Frontier utilizando credenciales de inicio de sesión robadas de empleados y proveedores. Una investigación reveló que los atacantes habían robado información personal sin cifrar, incluidos números de la Seguridad Social. Posteriormente, los datos se ofrecieron para su venta en la Dark Web.
Una investigación también detectó debilidades en la seguridad de Frontier, incluidos controles de acceso deficientes, supervisión limitada y problemas con el cifrado y la formación de empleados.
Como parte del acuerdo con la Fiscalía General de Connecticut, Frontier debe pagar la multa y mejorar sus medidas de seguridad, incluidas normas más estrictas sobre contraseñas, autenticación multifactorial, formación de empleados y mejores sistemas para detectar y prevenir ataques.
Por otra parte, Frontier acordó un acuerdo de 5,64 millones de dólares en una demanda colectiva relacionada en Texas. El acuerdo cubre a unas 750 000 personas en todo Estados Unidos e incluye dos años de monitoreo de crédito gratuito.
La sucesora de 23andMe se acomoda con California por $6 M
- Jurisdicción
- Estados Unidos
- Nombre legal del infractor
- Chrome Holding Co
- Domicilio del infractor
- Estados Unidos
- Presunta infracción
- Una filtración de datos
- Medida de aplicación
- Un acuerdo de 6 millones de dólares
- Estado del caso
- Una acción administrativa
Chrome Holding Co, anteriormente conocida como 23andMe, ha acordado pagar al estado de California 6 millones de dólares por acusaciones de ciberseguridad deficiente que contribuyeron a una importante filtración de datos en 2023. La filtración expuso información personal y genética sensible de casi 7 millones de personas.
El acuerdo también garantiza que los clientes afectados puedan seguir solicitando que se eliminen sus datos y se destruyan sus muestras genéticas. El acuerdo está pendiente de aprobación por parte de un tribunal de quiebras de EE. UU.
En marzo de 23andMe solicitó la quiebra y vendió los datos genéticos y las muestras de saliva de sus clientes al Instituto de Investigación TTAM, una organización sin ánimo de lucro fundada por un antiguo director ejecutivo. Las autoridades de California impugnaron la venta, argumentando que los clientes deben otorgar su consentimiento explícito antes de que su información genética sea transferida.
Meta, condenada a pagar 25 000 millones de dólares en un caso de privacidad en Nuevo México
- Jurisdicción
- Estados Unidos
- Nombre legal del infractor
- Meta
- Domicilio del infractor
- Estados Unidos
- Presunta infracción
- Violación de la privacidad de datos
- Medida de aplicación
- Multa de $25 mil millones
- Estado del caso
- Una acción administrativa
Se ha ordenado a Meta pagar una multa de 25 000 millones de dólares en Nuevo México tras un caso de privacidad de datos vinculado al escándalo de Cambridge Analytica.
Un jurado de Santa Fe declaró a la empresa responsable en septiembre de 2026 por engañar a los residentes de Nuevo México sobre cómo recopila y protege los datos personales y cómo evita la difusión de contenidos nocivos en sus plataformas.
El jurado identificó más de 43 millones de infracciones de la ley estatal sobre prácticas desleales. Cada infracción podría acarrear una sanción civil de hasta $5,000.
Según un documento judicial, se otorgaron al estado $219,5 mil millones antes de que la sanción se redujera a $25 mil millones.
Sudáfrica multa a dos organizaciones por exponer información personal
- Jurisdicción
- Sudáfrica
- Nombre legal del infractor
- Varias entidades
- Domicilio del infractor
- Sudáfrica
- Presunta infracción
- Fuga de datos
- Medida de aplicación
- Una multa de 1 millón de rands; una multa de 500 000 rands, respectivamente
- Estado del caso
- Una acción administrativa
El Organismo Regulador de la Información de Sudáfrica ha multado al First National Bank (FNB) con un millón de rands (53 750 €) por no proteger la información personal de sus clientes.
El banco tiene 30 días para pagar la multa después de que el regulador determinó que había infringido varias disposiciones de la Protection of Personal Information Act (POPIA).
La investigación se inició tras un incidente de seguridad relacionado con la plataforma digital de solicitud de préstamos hipotecarios de FNB, que expuso información personal de los clientes, incluidos números de cuentas bancarias.
El regulador detectó deficiencias en los sistemas de seguridad del banco y en su gestión de los repetidos incidentes de seguridad, así como en la protección y el almacenamiento de la información de los clientes.
Según el regulador, FNB vulneró los artículos 5, 8, 12, 14, 15 y 19 de POPIA. También se determinó que el banco cometió una infracción bajo el artículo 105 por no implementar medidas para impedir el acceso ilegal a la información personal.
En otro caso, el regulador impuso una multa de 500 000 rands (26 875 euros) a Central Johannesburg TVET College por compartir información personal con terceros sin base legal.
Aviso legal: La información de este blog procede de fuentes públicas y gubernamentales. Recordamos respetuosamente a nuestros lectores la presunción de inocencia. La información aquí contenida se proporciona únicamente con fines educativos y no constituye una opinión ni un asesoramiento jurídico.