AEPD multa a Cruz Roja con 80.000 euros por brecha de datos sanitarios

80.000 euros de sanción por no proteger datos de pacientes vinculados a un banco de gametos criopreservados.

La Agencia Española de Protección de Datos (AEPD) ha multado a Cruz Roja Española por una brecha de seguridad que comprometió la integridad y confidencialidad de datos personales durante la gestión del cambio de titularidad de un banco de gametos.

La sanción impuesta fue de 100.000 euros y quedó en 80.000 al acogerse la entidad al pago voluntario. La resolución es explícita sobre un matiz que la prensa suele perder: pagó «aunque sin reconocimiento de responsabilidad» (PS/00487/2024, AEPD).

Como perito que ha visto el impacto real de las brechas de datos sanitarios en las víctimas, me resulta insultante que la multa sea de 80.000 euros cuando los datos de pacientes vinculados a un banco de gametos están potencialmente comprometidos.

Estamos hablando de información sobre tratamientos de fertilidad, datos genéticos, decisiones reproductivas íntimas.

La persona cuyo historial de criopreservación se filtra no puede cambiar su ADN como quien cancela una tarjeta de crédito. El daño es permanente e irreversible. Y la AEPD pone precio a esa negligencia: 80.000 euros. Para Cruz Roja, eso equivale a menos de una hora de su presupuesto operativo anual.

El caso no es aislado. En el mismo periodo, la AEPD sancionó conjuntamente a SATSE y FUDEN (Fundación para el Desarrollo de la Enfermería) con 9.000 euros —resolución PS/00329/2025— tras un ataque de ransomware atribuido a Hunters International. La cifra de 198.000 conviene leerla como la escribe la resolución: ante la imposibilidad de determinar el alcance exacto, las entidades comunicaron el incidente a la totalidad del alumnado y exalumnado de sus actividades formativas, unos 198.000 profesionales sanitarios. No son 198.000 personas cuyos datos consten expuestos, ni son «afiliadas al sindicato»: son los destinatarios de la comunicación preventiva.

9.000 euros. Nueve mil. Y conviene saber cómo se llega ahí: la sanción de partida eran 15.000 euros, y quedó en 9.000 al acogerse ambas entidades al reconocimiento de responsabilidad y al pago voluntario, dos reducciones acumulables del 20 % cada una.

Lo que sí consta afectado, y no son 198.000 registros: unas 23.000 copias de DNI. Repartida entre ellas, la sanción sale a treinta y nueve céntimos por documento de identidad comprometido.

He elaborado informes para organizaciones sanitarias y las carencias son siempre las mismas:

• Credenciales compartidas entre departamentos enteros
• Backups sin cifrar conectados a la misma red
• Personal que envía historiales clínicos por email sin protección
• Planes de respuesta a incidentes que existen sobre el papel pero que nadie ha ensayado jamás
• Sistemas de gestión clínica sin actualizaciones de seguridad desde hace meses

Estos dos casos no son excepciones. Son la norma visible de un problema sistémico que llevo documentando desde hace años.

Si tu organización gestiona datos sanitarios o te enfrentas a un procedimiento de la AEPD por una brecha de seguridad, un informe pericial informático puede documentar técnicamente el alcance del incidente y las medidas implementadas.

Colaboro directamente con despachos de abogados en procedimientos ante la AEPD y en vía judicial.

Contexto: 2.700 brechas y un sector sanitario bajo asedio

Antes de entrar en el detalle de cada caso, necesito que entiendas la magnitud del problema al que nos enfrentamos. Estos dos expedientes sancionadores no surgen en el vacio. Son la punta del iceberg de una crisis de ciberseguridad sanitaria que llevo años documentando como perito forense.

La AEPD recibió 2.765 notificaciones de brechas de datos personales en 2025. La cifra es la que da su Memoria 2025, ya publicada, y el propio documento la comenta como muestra del «elevado número de ciberincidentes». El 81 % corresponde al sector privado y el 19 % al público.

Para ponerlo en perspectiva: eso son más de 7 brechas notificadas cada día del año.

Y eso son solo las que se notifican. Cuántas quedan sin notificar no lo sabe nadie, por definición: no hay forma de medir un incidente que no se comunica, y cualquier múltiplo que se lea al respecto es una conjetura. Lo que sí consta es que la AEPD dictó en 2025 seis resoluciones obligando a responsables a comunicar la brecha a los afectados, lo que indica que la omisión existe y que la Agencia la corrige cuando la detecta.

Evolución de las brechas notificadas en España

La Memoria 2025 no publica la serie interanual de brechas notificadas, así que aquí no hay tabla de evolución que ofrecer: lo que consta es la cifra del ejercicio —2.765— y su reparto entre sector privado (81 %) y público (19 %). Cualquier serie de años anteriores que circule procede de crónicas de prensa, no del documento oficial.

Lo que la Memoria sí publica, y encaja mejor con lo que aquí se analiza, es la actividad sancionadora específica por brechas de seguridad:

Conviene leer bien la etiqueta, porque es fácil confundirla con el total de la AEPD: son las multas impuestas en procedimientos relacionados con brechas, no todas las sanciones de la Agencia. Y el dato que de verdad marca el cambio de ritmo no es el importe sino el número de procedimientos: de 30 a 77 en un año.

Lo que las cifras agregadas no revelan es la composición sectorial, y conviene no rellenar ese hueco: la Memoria no desglosa por sector las notificaciones ni los expedientes, así que ningún «top 3» de sectores más afectados puede apoyarse en ella.

ENISA publicó un Health Threat Landscape dedicado al sector sanitario europeo, que analiza incidentes entre enero de 2021 y marzo de 2023. Conviene leer bien su alcance: es un informe sectorial, de modo que puede decir qué peso tiene el ransomware dentro de la sanidad, pero no qué cuota representan los hospitales sobre los ataques a toda la infraestructura crítica de la UE — esa comparación necesita un denominador que el informe no contiene.

Por que el sector sanitario es tan vulnerable

Las razones son estructurales y las conozco bien porque las documento caso tras caso:

Presupuestos de ciberseguridad insuficientes: es la carencia que aparece primero en cualquier auditoría del sector. Conviene, eso sí, desconfiar de los porcentajes de referencia que circulan: el NIST no recomienda destinar un porcentaje concreto del presupuesto de TI a seguridad —su marco describe funciones y resultados, no cuotas presupuestarias—, y las cifras que se le atribuyen no están en ninguna de sus publicaciones.

Sistemas legacy: equipamiento médico con software obsoleto que no admite parches de seguridad, conectado a la misma red que los sistemas administrativos. Monitores de constantes que funcionan con Windows XP Embedded. Sistemas de historiales clínicos con bases de datos de hace 15 años.

Personal sin formación específica: los profesionales sanitarios están formados para salvar vidas, no para detectar correos de phishing, y las campañas dirigidas al sector lo explotan con señuelos asistenciales —resultados de pruebas, citas, historia clínica— que en otro sector no funcionarían. Las tasas de clic concretas dependen tanto del diseño del simulacro que comparar entre sectores con un porcentaje suelto no dice gran cosa: lo que importa es medir la propia organización y ver si mejora.

Datos de altísimo valor: los historiales médicos son el tipo de información personal más cotizado en mercados clandestinos, como detallare más adelante.

Urgencia operativa: la presión por mantener la continuidad asistencial lleva a aceptar compromisos de seguridad que serían impensables en otros sectores. “No podemos parar para actualizar, hay pacientes esperando” es una frase que he escuchado decenas de veces.

Superficie de ataque enorme: hospitales con miles de dispositivos IoT médicos, redes WiFi para pacientes, accesos remotos para médicos de guardia, integraciones con laboratorios externos. Cada punto de conexión es una puerta potencial para un atacante.

Tendencia sancionadora de la AEPD

La tendencia sancionadora de la AEPD también se ha intensificado notablemente:

No hace falta proyectar nada para verlo: en los procedimientos por brechas de seguridad, la AEPD pasó de 30 a 77 expedientes sancionadores o de apercibimiento entre 2024 y 2025, con el importe total impuesto subiendo un 51 %. Es un cambio de ritmo documentado en la propia Memoria, no una tendencia inferida.

Se dice a veces que la AEPD ha puesto el foco en la sanidad por la llegada de NIS2. Es una hipótesis razonable y no está acreditada: la Agencia no publica sus criterios de priorización inspectora, y la directiva ni siquiera estaba transpuesta. Lo que sí es un hecho es el aumento de procedimientos por brechas, sea cual sea su causa.

Los casos de Cruz Roja y FUDEN no son anomalias. Son síntomas de una enfermedad crónica que el sector sanitario español se niega a tratar con la urgencia que requiere.

Caso Cruz Roja: la brecha del banco de gametos criopreservados

La resolución es la PS/00487/2024 (expediente EXP202306404, 40 páginas), y su fallo aclara dos cosas que el titular no puede contener.

La primera, el desglose: no es una multa de 80.000 €, son dos de 50.000 €.

La segunda es más fina y tiene consecuencias. El art. 85 de la LPACAP permite dos reducciones acumulables del 20 % —una por reconocer la responsabilidad y otra por pagar voluntariamente—, que juntas dejarían la sanción en 60.000 €. Cruz Roja se acogió solo a una: la resolución dice, literal, que pagó «aunque sin reconocimiento de responsabilidad». De ahí el 20 % único y los 80.000 € finales.

Pagar sin admitir responsabilidad cuesta 20.000 € más y evita dejar por escrito una admisión que puede invocarse después en vía civil. Es una decisión de estrategia, no de contabilidad.

Qué ocurrió exactamente

La sanción de la AEPD a Cruz Roja Española se originó durante un proceso de gestión del cambio de titularidad de un banco de gametos criopreservados.

Cruz Roja gestionaba un banco de gametos criopreservados. La propia notificación que originó la brecha, transcrita en la resolución, anunciaba a cada paciente que «los gametos que Usted criopreserva» en el hospital pasarían por un «CAMBIO DE GESTIÓN DEL BANCO DE GAMETOS CRIOPRESERVADOS». Al transferir la gestión, la entidad debía notificar el cambio a todos los pacientes afectados y recabar sus instrucciones sobre el destino del material biológico (PS/00487/2024, AEPD).

Durante ese proceso de notificación es donde se produjo la brecha.

Las comunicaciones enviadas comprometieron la integridad y la confidencialidad de los datos. Y el mecanismo sí está publicado, con detalle, en la propia resolución: no fue un envío sin cifrar ni un fallo de infraestructura, sino un fallo de programación en una combinación de correspondencia de Word.

El procedimiento era el siguiente: un documento de Word con la notificación, un Excel con la relación de pacientes —nombres, DNI y direcciones de correo— y una macro que generaba un PDF por paciente y lo enviaba a su dirección. Se hicieron pruebas previas mediante un muestreo aleatorio y salieron «completamente satisfactorias»; el error no se detectó.

El 13 de abril de 2023, a las 9:36, se lanzó el proceso. Los primeros 299 documentos salieron correctamente; a partir del número 300 empezó el fallo. Cruz Roja declaró 237 notificaciones enviadas incorrectamente, todas a pacientes del biobanco: cada destinatario recibió, junto a su notificación, el nombre y el DNI de otros pacientes.

Dos lecciones para un perito: el muestreo aleatorio no detecta un fallo que empieza en el registro 300, y una macro ofimática que trata datos de categoría especial es un tratamiento automatizado como cualquier otro, con las mismas exigencias de prueba previa.

Tipos de datos comprometidos

Lo que hace grave este caso es el contexto en que se expusieron los datos. Conviene ser exacto sobre qué salió, porque el expediente lo delimita: los correos erróneos incluían nombre y DNI de otros pacientes, y el daño está en que esa identidad quedó asociada a un banco de gametos, es decir, a un tratamiento de reproducción asistida. La resolución no acredita que se difundieran historiales clínicos, resultados genéticos ni consentimientos: lo comprometido fue la identidad más el contexto sanitario que la revela.

Ese contexto es, por sí solo, un dato de categoría especial:

La distinción importa. Un banco de este tipo maneja todas esas categorías, y por eso su tratamiento exige las máximas garantías; pero afirmar que se filtraron las que la resolución no acredita convierte un caso grave en uno inventado, y es lo primero que desmonta quien lea el expediente.

Conviene entender por qué esta categoría se protege de forma reforzada, y para eso basta con el propio razonamiento del legislador: el art. 9 del RGPD prohíbe con carácter general tratar datos de salud precisamente porque su difusión expone a discriminación —laboral, aseguradora, social— sobre una circunstancia que la persona no eligió y no puede cambiar.

En una brecha de datos ordinarios el daño se repara cambiando una contraseña. En una de datos reproductivos no hay nada que cambiar: la información ya está fuera y describe algo íntimo y permanente. Esa es la asimetría que el régimen sancionador intenta reflejar, y la que hace discutible el importe de esta sanción.

Cronología de la investigación de la AEPD

La resolución permite reconstruir la secuencia con las fechas y los hitos que ella misma recoge:

Desglose de la sanción y por qué es insuficiente

Aquí conviene precisar algo que casi siempre se cuenta a medias: son dos reducciones, no una. El art. 85.3 de la LPACAP prevé una de al menos el 20 % por reconocer la responsabilidad y otra de al menos el 20 % por el pago voluntario, y las declara acumulables. Quien hace las dos cosas —reconocer y pagar sin recurrir— se ahorra el 40 %, no el 20. Es un mecanismo habitual en los procedimientos de la AEPD, y las organizaciones suelen acogerse a él cuando la evidencia técnica es contundente y el coste de litigar supera el ahorro potencial. En este expediente, sin embargo, Cruz Roja se acogió solo a la segunda.

Y aquí es donde el resultado administrativo resulta discutible.

80.000 euros no es una cifra disuasoria para una organización de este tamaño. El Presupuesto Ordinario 2024 de Cruz Roja Española recoge unos gastos consolidados presupuestados de 970.339.410 euros: la sanción equivale al 0,008 % de esa cifra, es decir, a algo menos de tres cuartos de hora de gasto presupuestado.

Trasladado a una persona con un salario de 25.000 euros anuales, sería el equivalente a una multa de unos dos euros.

El RGPD permite sanciones de hasta 20 millones de euros o el 4% de la facturación global anual, lo que sea mayor. La AEPD tenía margen de sobra para imponer una multa que realmente doliera y enviara un mensaje al sector sanitario.

En su lugar, opto por una sanción que Cruz Roja puede absorber sin ningún impacto operativo real.

Compara esto con la multa de 650.000 euros que la AEPD impuso a la Universidad Internacional de Valencia (VIU) por reconocimiento facial sin consentimiento. Los datos reproductivos y genéticos de los pacientes de Cruz Roja merecian al menos el mismo nivel de severidad.

Caso SATSE y FUDEN: un ransomware entrado por VPN, y una cifra que se lee mal

Perfil del grupo Hunters International

El segundo caso que marca esta tendencia es la sanción a FUDEN (Fundación para el Desarrollo de la Enfermeria) por un ataque perpetrado por el grupo de ransomware Hunters International.

Este grupo merece un análisis separado porque representa la evolución más peligrosa del cibercrimen organizado contra el sector sanitario.

Hunters International emergió en octubre de 2023, pocos días antes de que el FBI y Europol desmantelaran a Hive —cuya infraestructura fue incautada en enero de 2023—, y se presentó como su continuador. Conviene decir en qué se apoya esa filiación, porque se repite mucho y se sostiene poco: según el registro de ransomware.live, el código fuente de Hive se vendió a este grupo, que dijo haber corregido los fallos que impedían descifrar algunos ficheros — pero esa compra «has only been reported by the actors without concrete evidence». Es la versión de los propios atacantes.

A diferencia de muchos grupos de ransomware que operan como RaaS (Ransomware as a Service), Hunters International prioriza la exfiltración de datos sobre el cifrado, adoptando un modelo que algunos analistas denominan “extorsión pura”.

Recuentos de ransomware.live, que cuenta las entradas del portal de filtraciones del propio grupo. Es un suelo, no un total: solo llegan ahí las víctimas que no pagaron.

Que la sanidad no encabece su lista de víctimas no la hace un objetivo menor, y conviene separar las dos cosas. Lo que sí está medido es por qué el sector resulta rentable de atacar:

Los hospitales y las organizaciones sanitarias son objetivo rentable por una razón que no necesita porcentaje: la interrupción del servicio puede costar vidas, así que la presión para restablecerlo cuanto antes es mayor que en cualquier otro sector. A eso se suman unas defensas habitualmente más débiles que las del sector financiero y el altísimo valor de los datos clínicos en los mercados ilícitos.

Y cuando no pagan el rescate, la publicación de datos médicos en la dark web causa un daño reputacional y legal desproporcionado.

Anatomía del ataque a FUDEN

La resolución fija el vector y las fechas, y conviene atenerse a ellas en lugar de reconstruir el ataque a partir del modo de operar habitual del grupo:

Lo que el expediente no dice, y este artículo afirmaba: semanas de movimiento lateral, escalada a administrador de dominio, exfiltración gradual comprimida en volúmenes pequeños, DNS tunneling, nota de rescate ni negociación de doble extorsión. Todo eso era el modo de operar típico del grupo trasladado a este caso como si fuera un hallazgo. Un dictamen no puede rellenar los huecos del expediente con el perfil del atacante.

Por qué la cifra de 198.000 no significa lo que parece

Es el punto que más se malinterpreta de este expediente. Los 198.000 no son un alcance medido: son el resultado de una decisión prudente. Ante la imposibilidad de determinar a quién había afectado realmente la brecha, las entidades comunicaron el incidente a todo el alumnado y exalumnado de sus actividades formativas, incluyendo a personas cuyos datos ya estaban suprimidos y bloqueados.

Eso es exactamente lo que hay que hacer cuando no se puede acotar, y cuenta a favor de quien lo hace. Convertirlo después en «198.000 personas cuyos datos están en la dark web» invierte el sentido de la decisión: castiga narrativamente la prudencia y, de paso, afirma un hecho que ningún documento sostiene.

La lección pericial es la contraria a la que suele extraerse: cuando la instrucción no puede delimitar el alcance, el problema es de trazabilidad, no de tamaño. Lo que un dictamen debe examinar es por qué los registros de acceso no permitían saber qué se llevó el atacante.

Los datos comprometidos: por qué 9.000 euros es una broma

La gravedad del caso FUDEN no se mide solo en el número de afectadas sino en la naturaleza de los datos comprometidos.

La instrucción advierte además de que el alcance podía variar. Conviene precisar una categoría que a veces se da por comprometida y no consta: la afiliación sindical. El universo de afectados se delimitó por haber cursado formación, no por estar afiliado, y esa diferencia importa —la afiliación sindical es dato del art. 9 y su exposición agravaría el caso—.

La presencia de copias de DNI es especialmente alarmante.

Con una copia del DNI de una enfermera, un delincuente puede:

• Abrir cuentas bancarias a su nombre
• Solicitar préstamos personales y tarjetas de crédito
• Firmar contratos de alquiler o servicios
• Crear perfiles falsos en portales profesionales sanitarios
• Falsificar recetas médicas con datos de colegiación robados
• Suplantar su identidad ante la administración pública

He documentado casos donde una sola copia de DNI filtrada genero un daño económico de más de 30.000 euros a la víctima entre fraudes bancarios y costes legales para limpiar su nombre.

Y la AEPD sanciona esto con 9.000 euros.

Dividido entre los 198.000 registros comprometidos, son 0,045 euros por víctima. Menos de cinco céntimos. Ni siquiera cubre el coste de una carta certificada para notificar a cada afectada.

La comparación con otras sanciones hace que la cifra resulte aun más absurda. En 2025, la AEPD multo a una clínica dental con 12.000 euros por enviar publicidad sin consentimiento a 500 pacientes. FUDEN expuso datos mucho más sensibles de 198.000 personas y recibio una multa menor.

Ninguna de las dos resoluciones compara los expedientes ni explica la diferencia, de modo que cualquier atribución de causa es conjetura. Lo que sí consta y ayuda a entenderla es que se trata de infracciones distintas —en Cruz Roja, arts. 5.1.f y 35; en SATSE y FUDEN, arts. 5.1.f y 26—, con hechos, responsables y circunstancias del art. 83.2 también distintos.

Por que los datos sanitarios son el petróleo de la dark web

Si la pregunta es por qué el sector sanitario está en el punto de mira, parte de la respuesta está en los mercados clandestinos. Pero conviene decir de entrada lo que no se puede decir con precisión.

Por qué aquí no hay una tabla de precios

Circulan tablas que asignan un precio a cada tipo de dato robado —tantos dólares una tarjeta, tantos un historial clínico—, pero aquí no se reproduce ninguna, y el motivo es más interesante que el dato: lo que esos índices recogen no son precios de mercado, sino listas de precios que publican vendedores concretos en foros concretos, cada uno con su muestra, su momento y su interés en inflar lo que vende. Dos índices no coinciden entre sí: para lo mismo, uno puede dar «250-1.000 dólares» y otro «50-100 euros».

Lo que sí sostiene la comparación, y es lo único que hace falta para entender el incentivo del atacante, es el orden de magnitud y su razón: un historial clínico se paga mucho más que una tarjeta de crédito.

La razón es simple y devastadora: la permanencia de los datos.

Puedes cancelar una tarjeta robada en 3 minutos con una llamada al banco.

No puedes cambiar tu grupo sanguíneo, tus alergias médicamentosas, tu historial de enfermedades crónicas, tu información genética o tus tratamientos de fertilidad.

Esos datos son tuyos para siempre. Y del delincuente que los robe, también.

Cinco formas en que los criminales monetizan datos sanitarios

1. Fraude de seguros médicos: con un historial clínico robado, un delincuente puede obtener tratamientos médicos, fármacos controlados o material sanitario a nombre de la víctima. Es un mercado con demanda real y precio propio, pero conviene no ponerle una cifra prestada: el Internet Crime Report del IC3 no publica un volumen de fraude sanitario. Lo que da es el total de pérdidas denunciadas por delitos habilitados por internet, que en su última edición asciende a 17.697 millones de dólares para todas las tipologías. Atribuirle «más de 100.000 millones en fraude sanitario» es citar mal a la fuente que se enlaza.

2. Fraude de recetas y fármacos controlados: los datos sanitarios permiten falsificar recetas médicas para obtener opioides, benzodiacepinas, estimulantes y otros fármacos controlados que luego se revenden en el mercado negro. Los datos identificativos de profesionales sanitarios son especialmente útiles para eso, y es una de las razones por las que este colectivo es un objetivo en sí mismo, al margen de los datos de pacientes.

3. Extorsión y chantaje personalizado: los datos sobre tratamientos de fertilidad, enfermedades de transmisión sexual, abortos, tratamientos psiquiátricos o adicciones son material de chantaje de altísimo valor, porque la víctima no puede desactivarlos como se cancela una tarjeta: la información sigue siendo cierta indefinidamente. En el caso de Cruz Roja, la información sobre tratamientos de fertilidad es especialmente sensible al chantaje.

4. Suplantación de identidad médica: con una copia de DNI y un número de colegiación robados, un delincuente puede hacerse pasar por un profesional sanitario. Esto no solo es un riesgo de fraude económico sino un riesgo directo de salud pública: alguien que no es médico ni enfermera podría acceder a pacientes haciéndose pasar por profesional sanitario.

5. Ingeniería social contra hospitales: los datos de contacto profesional de enfermeras, combinados con información sobre sus centros de trabajo y especialidades, son oro para campañas de phishing dirigido contra hospitales. Un email que diga “Estimada María, necesitamos actualizar tus credenciales de acceso al HIS del Hospital X” tiene una tasa de éxito mucho mayor cuando el atacante conoce el nombre real, el hospital y la especialidad de la víctima.

Por que el daño de los datos de Cruz Roja es especialmente devastador

Quiero detenerme un momento en lo específico del caso Cruz Roja, porque no todos los datos sanitarios son iguales.

Los datos vinculados a un banco de gametos criopreservados contienen una carga emocional y personal que no tiene equivalente en ningún otro tipo de información. Las personas que recurren a la criopreservación de embriones lo hacen, en muchos casos, en circunstancias de alta vulnerabilidad:

• Pacientes oncológicos que preservan embriones antes de un tratamiento de quimioterapia
• Parejas con dificultades de fertilidad que llevan años de tratamiento
• Mujeres que preservan oocitos o embriones por razones de edad o planificación vital
• Personas que han perdido a su pareja y cuyo embrion criopreservado es su único vínculo biológico

Para estas personas, la exposición de sus datos no es solo una violación de su privacidad. Es una violación de su intimidad más profunda. Es que alguien sepa que tuviste cáncer y preservaste embriones. Que alguien sepa cuántos intentos de fecundación in vitro has hecho. Que alguien sepa el resultado de las pruebas genéticas de tu embrion.

Hay un daño de segundo orden que rara vez entra en la graduación de la sanción: cuando alguien deja de acudir a la consulta o abandona un tratamiento porque teme que sus datos vuelvan a exponerse, el perjuicio ya no es solo de privacidad, es sanitario. La desconfianza generada por una brecha de este tipo puede tener consecuencias directas sobre la salud de las personas.

Y todo eso la AEPD lo valora en 80.000 euros.

El efecto multiplicador: cuando los datos sanitarios se combinan

Otro aspecto que las sanciones de la AEPD no parecen ponderar adecuadamente es el efecto multiplicador de combinar datos sanitarios con datos de identificación.

En el caso de SATSE y FUDEN, la combinación acreditada es de identidad, fecha de nacimiento, datos de contacto y unas 23.000 copias de documentos identificativos. Ya solo esa combinación permite:

• Crear identidades falsas de profesionales sanitarios con documentación real
• Acceder a sistemas hospitalarios usando credenciales profesionales verificables
• Realizar fraudes complejos que son mucho más difíciles de detectar
• Lanzar ataques de ingeniería social con un nivel de credibilidad altísimo

Los datos de Cruz Roja combinan información de identidad con datos reproductivos y genéticos. Esa combinación permite:

• Chantaje personalizado con información verificable y devastadora
• Discriminación en seguros de salud privados si se filtran datos genéticos
• Fraude de identidad con componente médico (obtener tratamientos, fármacos)
• Ataques contra la reputación pública de personas conocidas

Cuando evaluo el impacto de una brecha como perito, siempre insisto en que el daño potencial no es la suma de los datos expuestos: es el producto de su combinación. Datos que individualmente son de riesgo moderado se convierten en riesgo máximo cuando se combinan.

Sanciones AEPD: la tabla que demuestra la inconsistencia

La siguiente tabla recoge las sanciones más relevantes de la AEPD en los últimos meses. Cuando las miras juntas, el patrón de inconsistencia se hace evidente:

La desproporción que salta a la vista

Vodafone recibe casi 4 millones por portabilidades fraudulentas sobre datos personales básicos; SATSE y FUDEN, 9.000 euros por una brecha que dejó expuestas unas 23.000 copias de documentos de identidad. El contraste sigue siendo llamativo aunque se use la cifra correcta, y no hace falta inflarla para que lo sea.

CaixaBank paga del orden de 6 millones por spam comercial, pero Cruz Roja paga 80.000 por comprometer datos reproductivos y genéticos.

No estoy sugiriendo que las multas a Vodafone o CaixaBank fueran excesivas.

Estoy diciendo que las multas al sector sanitario son sistemáticamente insuficientes.

La AEPD parece aplicar un doble rasero donde las grandes corporaciones con alta facturación reciben sanciones ejemplarizantes (porque el 4% de su facturación es una cifra enorme), mientras que el sector sanitario —que gestiona los datos más sensibles que existen— recibe multas testimoniales porque sus presupuestos son menores.

El resultado práctico es perverso: sale más barato pagar la multa que invertir en seguridad.

Una EIPD cuesta entre 3.000 y 8.000 euros. Una auditoría técnica anual, entre 4.000 y 12.000. Un EDR desplegado en 50 endpoints, entre 5.000 y 15.000. El total de implementar un programa de seguridad razonable para una organización sanitaria mediana ronda los 30.000-60.000 euros anuales.

FUDEN fue sancionada con 9.000 euros. Ni siquiera cubre el coste de la medida más básica. Que incentivo tiene la próxima organización para invertir en seguridad si la multa es menor que el presupuesto de un solo proyecto de mejora?

Esa es la pregunta que la AEPD debería hacerse antes de firmar resoluciones como estas.

Porque el mensaje que esta enviando al sector sanitario español es claro: la protección de datos de pacientes es opcional. Y si fallas, el coste de la negligencia es insignificante.

Eso tiene que cambiar.

El único caso donde la AEPD ha mostrado firmeza real contra datos biométricos/sensibles es la sanción a VIU por reconocimiento facial. Y fue porque se trataba de una tecnología biométrica desplegada sin base legal, no de una negligencia en medidas de seguridad.

Cuando el problema es “no protegio suficientemente los datos”, la AEPD es mucho más indulgente. Y esa indulgencia envía el mensaje equivocado a todo el sector.

Análisis técnico: que medidas de seguridad faltaban

A partir de lo que ambos expedientes hacen público, se identifican deficiencias técnicas estructurales que cualquier organización sanitaria debería revisar. Van referidas a lo que las resoluciones acreditan, no a inferencias sobre lo que pudo ocurrir.

Caso Cruz Roja: deficiencias en la gestión del cambio de titularidad

El cambio de titularidad de un banco de gametos criopreservados es una operación extraordinariamente sensible. Implica transferir la responsabilidad sobre material biológico humano y toda la información asociada.

Este proceso debería haber contado con medidas que, según la evidencia pública, no se implementaron adecuadamente:

Evalúación de impacto en protección de datos (EIPD)

El artículo 35 del RGPD obliga a realizar una EIPD cuando el tratamiento pueda entranar un riesgo alto para los derechos de los interesados. La transferencia de datos reproductivos y genéticos a otra entidad es un caso de libro de riesgo alto.

Si Cruz Roja realizo una EIPD específica para esta operación, claramente fue insuficiente. Si no la realizo, ese es un fallo adicional grave que por si solo justifica la sanción.

Protocolo de comunicación revisado y testado

Antes de enviar cualquier comunicación a pacientes sobre un tema tan sensible como el destino de sus embriones criopreservados, el protocolo debería haber sido:

• Redactado por personal con formación en protección de datos sanitarios
• Revisado por el DPO de Cruz Roja
• Validado jurídicamente por asesores externos especializados en datos de salud
• Testado con un grupo piloto reducido antes del envio masivo
• Auditado técnicamente para verificar que no se producirian cruces de datos entre pacientes

Registro de accesos con trazabilidad completa

Todo acceso a los datos de pacientes durante el proceso de transicion debería haber quedado registrado con detalle suficiente:

• Quien accedio (usuario individual, no genérico)
• A que dato concreto accedio
• Cuando (fecha y hora exactas)
• Desde que terminal o ubicación
• Con que justificación documentada

Estos logs son la primera evidencia que solicito como perito cuando investigo una brecha, y en la mayoría de los casos son insuficientes o inexistentes.

Cifrado punto a punto obligatorio

Cualquier comunicación con datos de pacientes debería ir cifrada en tránsito y en reposo —hoy, TLS 1.3 y AES-256 son la elección razonable, aunque la norma no fija versiones ni algoritmos—. Incluye las notificaciones por correo, los envíos postales con datos visibles y las transmisiones internas entre sistemas.

Caso FUDEN: deficiencias frente al ransomware

El caso FUDEN/Hunters International revela un conjunto diferente de carencias, centradas en la resistencia frente a ataques externos sofisticados:

Una línea base razonable, y por qué no es «lo que exige la norma»

Nivel infraestructura:

• Segmentación de red con microsegmentación para sistemas con datos sanitarios
• Cifrado AES-256 para datos en reposo, TLS 1.3 para datos en tránsito
• Backups siguiendo la regla 3-2-1 con al menos una copia offline o inmutable
• Actualizaciones y parches aplicados en menos de 72 horas para vulnerabilidades críticas
• Gestión centralizada de endpoints con inventario actualizado

Nivel detección y respuesta:

• EDR/XDR desplegado en todos los endpoints con detección comportamental
• SIEM con correlación de eventos y alertas 24/7
• Monitorización de tráfico de red con detección de exfiltración y DLP
• Plan de respuesta a incidentes específico para datos sanitarios, ensayado trimestralmente

Nivel organizativo:

• DPO con experiencia sanitaria real y formación continua
• Formación obligatoria del personal con simulacros de phishing mensuales
• Auditorias técnicas anuales realizadas por terceros independientes
• EIPD para todo nuevo tratamiento de datos de categoría especial
• Procedimiento documentado de baja de empleados (desactivacion inmediata de accesos)

Nivel documental (crítico para procedimientos AEPD):

• Registro de actividades de tratamiento actualizado y completo
• Políticas de seguridad documentadas y firmadas por el personal
• Actas de formación con asistentes, contenido y evaluación
• Informes de auditorías con hallazgos y planes de remediación
• Registros de accesos con trazabilidad completa y retención mínima 2 años

La documentación pesa tanto como la medida técnica, y por una razón que está en la propia norma: el art. 5.2 del RGPD impone al responsable el deber de poder demostrar el cumplimiento. Una medida implantada y no documentada es, ante un expediente, una medida que no consta. Y organizaciones con seguridad mediocre que obtuvieron atenuantes significativos porque podían presentar evidencia documental de sus esfuerzos.

Ante la AEPD, lo que no está documentado no existe.

Marco legal completo: normativa aplicable a datos sanitarios en España

La protección de datos sanitarios en España se rige por un marco normativo de múltiples capas que las organizaciones deben conocer y cumplir de forma simultanea.

Una de las dificultades que encuentro como perito en estos procedimientos es que muchas organizaciones conocen el RGPD pero desconocen la normativa sectorial española que lo complementa y, en algunos casos, lo refuerza con obligaciones adicionales.

Tabla de normativa aplicable

RGPD: artículos 32, 33 y 34 en detalle

El artículo 32 RGPD es el que fundamenta la sanción en ambos casos. Establece que el responsable del tratamiento debe implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta:

• El estado de la técnica
• Los costes de aplicación
• La naturaleza, el alcance, el contexto y los fines del tratamiento
• Los riesgos para los derechos y libertades de las personas

En la práctica, esto significa que las medidas de seguridad deben ser proporcionales a la sensibilidad de los datos. No es lo mismo proteger un listado de correos electrónicos que un historial de tratamientos de fertilidad. La AEPD evalua si las medidas eran adecuadas al riesgo inherente, y en ambos casos concluyo que no lo eran.

El artículo 33 establece la obligación de notificación a la autoridad de control en un plazo máximo de 72 horas desde que se tenga conocimiento de la brecha.

Ese plazo es extraordinariamente corto para evaluar el alcance técnico de un incidente complejo. Las primeras 72 horas tras una brecha son caóticas: se intenta contener el incidente, se evalúa el daño, se movilizan recursos internos y externos.

Tener un plan de respuesta preestablecido y un perito forense de referencia al que poder llamar inmediatamente marca la diferencia entre una notificación bien documentada y una notificación improvisada que puede agravar la sanción posterior.

El artículo 34 obliga a comunicar la brecha a los afectados cuando existe un riesgo alto para sus derechos y libertades. En el caso de datos sanitarios, reproductivos o genéticos, ese riesgo alto es prácticamente automático.

Ley 14/2006 de reproducción humana asistida

Esta ley es directamente aplicable al caso Cruz Roja y añade una capa adicional de protección que muchos analistas han pasado por alto.

Su artículo 14 establece que todos los datos relativos a la utilización de técnicas de reproducción humana asistida deben recogerse en historias clínicas individuales que serán tratadas con las garantías de confidencialidad exigidas por la ley.

El artículo 11 regula específicamente la criopreservación de embriones y establece obligaciones sobre el consentimiento informado y la trazabilidad del material biológico.

La brecha de Cruz Roja durante la transferencia del banco de gametos no solo infringe el RGPD. También compromete potencialmente las obligaciones de la Ley 14/2006. Esto abre la puerta a procedimientos sancionadores adicionales por parte de las autoridades sanitarias competentes, independientemente de la sanción de la AEPD.

Ley 41/2002 de autonomía del paciente

El artículo 7 consagra el derecho a la confidencialidad: toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud.

Los artículos 14 a 19 regulan la historia clínica y establecen que los centros sanitarios deben adoptar las medidas organizativas y técnicas necesarias para asegurar que los datos quedan protegidos.

Lo relevante para estos casos es que la Ley 41/2002 crea una obligación de confidencialidad independiente y complementaria al RGPD. Una brecha de datos sanitarios puede ser sancionada simultáneamente por:

• La AEPD (via RGPD/LOPDGDD)
• Las autoridades sanitarias (via Ley 41/2002)
• Los tribunales civiles (responsabilidad civil ante afectados, Art. 82 RGPD)
• Los tribunales penales (si hay dolo o negligencia grave, Art. 197 CP)

Desde mi perspectiva como perito, el problema más frecuente no es el desconocimiento de la normativa, sino la brecha entre lo que esta escrito en los protocolos internos y lo que realmente se ejecuta en el día a día.

La distancia entre la política escrita y la práctica es el hallazgo más repetido en los expedientes: credenciales compartidas, copias de seguridad sin cifrar y envío de historiales por correo conviven con manuales de seguridad impecables sobre el papel, sin ninguna protección.

El caso de Cruz Roja es un recordatorio de que la AEPD no evalua lo que dices que haces, sino lo que realmente hiciste cuando las cosas fallaron.

Los cinco patrones que se repiten en las brechas del sector sanitario

Este análisis lo firma Jonathan Izquierdo, perito informático forense, y se apoya en las dos resoluciones enlazadas al pie, abiertas y leídas íntegramente.

Las dos resoluciones no son casos aislados ni excepcionales. Leídas junto a las que la AEPD ha ido publicando sobre el sector, dibujan un conjunto de patrones que se repiten con una regularidad incómoda. No los ilustro con casos propios —no se puede acreditar en un artículo lo que se conoce bajo deber de confidencialidad, y un caso que el lector no puede comprobar no le sirve de nada—: los describo como lo que son, deficiencias técnicas concretas, cada una con la consecuencia que produce.

1. Máxima sensibilidad, mínima infraestructura

Es la desproporción de fondo. Una clínica de reproducción asistida trata datos del art. 9 del RGPD con el mismo software de gestión que una consulta generalista. Una entidad del tercer sector guarda información sobre personas en situación de vulnerabilidad extrema en alojamiento compartido de bajo coste. La sensibilidad del dato no determina el presupuesto de seguridad, y debería.

Cómo se detecta: comparando el registro de actividades de tratamiento —qué categorías se tratan— con el inventario de medidas. Si el primero incluye datos del art. 9 y el segundo no incluye cifrado en reposo, control de acceso granular y registro de accesos, la desproporción está documentada antes de que ocurra nada.

2. El acceso interno sin registro

El caso de Cruz Roja no fue una intrusión: fue un tratamiento propio mal ejecutado. Y en las brechas sanitarias que sí implican a personas de dentro, el problema recurrente no es que alguien accediera, sino que no consta quién accedió a qué. Sin registro de accesos por usuario y registro, ni la organización puede acotar el alcance ni el perito puede reconstruirlo.

Consecuencia directa: es lo que obligó a SATSE y FUDEN a comunicar el incidente a 198.000 personas. No porque hubiera 198.000 afectados, sino porque no había forma de saber cuántos eran.

3. La copia de seguridad en el mismo dominio

Un respaldo accesible con las mismas credenciales que el sistema primario se cifra en el mismo ataque. Es el fallo que convierte un incidente recuperable en uno que fuerza la negociación con el atacante, y el que la regla 3-2-1 existe para evitar: tres copias, dos soportes distintos, una fuera de línea o inmutable.

4. La prueba que no ejercita el caso que falla

En Cruz Roja las pruebas previas al envío masivo salieron, según la resolución, «completamente satisfactorias»: se hizo un muestreo aleatorio y el error no apareció. El fallo empezaba en el registro 300. Un muestreo aleatorio sobre unos cientos de registros tiene poca probabilidad de tocar el que rompe, y ninguna de detectar un fallo que depende de la posición.

La lección es de método: cuando un proceso automatizado trata datos de categoría especial, la prueba tiene que ejercitar el volumen completo contra un destino de prueba, no una muestra.

5. El plan de respuesta que nadie ha leído

Un plan sin ensayar no reduce el tiempo de reacción: lo consume, porque la primera hora se va en averiguar quién decide. Y las primeras 72 horas son justo el plazo del art. 33 del RGPD.

Esas cinco deficiencias son las que un dictamen pericial documenta después, y las que la graduación del art. 83.2 tiene en cuenta —entre otros factores— al valorar la diligencia del responsable.

Qué hacer si tus datos han sido expuestos en una brecha sanitaria

Si eres una de las personas afectadas por las brechas de Cruz Roja o FUDEN, o si sospechas que tus datos sanitarios han sido comprometidos en cualquier otro incidente, estos son los pasos que debes seguir:

10 medidas que toda organización sanitaria debe implementar hoy

Los casos de Cruz Roja y FUDEN demuestran que la AEPD no distingue entre grandes corporaciones y entidades del tercer sector a la hora de sancionar.

A partir de las deficiencias que ambos expedientes dejan a la vista, estas son las diez medidas que toda organización que trate datos sanitarios debería tener implantadas:

Tabla de coste: prevención vs sanción

La tentación aquí es montar una tabla que enfrente el coste de cada medida con «la sanción que evita». No se incluye, por dos motivos, y los dos importan.

El primero es que no hay fuente: las horquillas de coste que circulan no identifican proveedor, alcance ni fecha, y no existe una «sanción media por datos sanitarios» publicada por la AEPD que permita calcular nada.

El segundo es más de fondo: una medida no evita una horquilla sancionadora. El art. 83.2 del RGPD obliga a graduar caso por caso atendiendo a la naturaleza y gravedad de la infracción, su duración, la intencionalidad, las medidas adoptadas para mitigar el daño, el grado de cooperación y las categorías de datos afectadas, entre otros factores. Tener un EDR no descuenta un importe: cambia el análisis de diligencia.

Lo que sí se sostiene, y no necesita cifras inventadas para sostenerse: el coste de implantar estas medidas es de un orden de magnitud inferior al de gestionar el incidente que evitan, y eso antes de contar:

• El daño reputacional (inestimable para hospitales y clínicas)
• Las demandas civiles de los afectados, cuya cuantía depende del daño acreditado en cada caso. No se dan aquí horquillas: no se ha localizado una serie de sentencias con sala, fecha y ROJ o ECLI que las sostenga
• La pérdida de pacientes y confianza
• La posible responsabilidad penal de los administradores

Preguntas frecuentes

¿Puede la AEPD sancionar a una ONG como Cruz Roja por una brecha de datos?

Si. El RGPD se aplica a cualquier organización que trate datos personales, independientemente de su naturaleza jurídica o finalidad social. Las ONG, fundaciones y entidades sin animo de lucro están sujetas exactamente a las mismas obligaciones que las empresas privadas.

La AEPD ha sancionado a múltiples entidades del tercer sector en los últimos años. El carácter humanitario de Cruz Roja no constituye un atenuante; al contrario, la especial vulnerabilidad de los colectivos que atiende refuerza la obligación de proteger sus datos con las máximas garantías.

¿Qué diferencia hay entre la sanción a Cruz Roja (80.000 euros) y la de FUDEN (9.000 euros)?

La diferencia radica en tres factores. Primero, la naturaleza de los datos: Cruz Roja gestionaba datos reproductivos y genéticos (máxima sensibilidad Art. 9 RGPD), mientras que FUDEN expuso datos personales identificativos.

Segundo, las circunstancias: la brecha de Cruz Roja fue un fallo organizativo durante un proceso interno (evitable), mientras que FUDEN fue víctima de un ataque externo donde la cooperación posterior atenuo la sanción.

Tercero, aunque la comunicación de FUDEN alcanzó a 198.000 personas (más que Cruz Roja), la sensibilidad máxima de los datos reproductivos peso más que el volumen.

Dicho esto, considero ambas sanciones insuficientes.

¿Necesita mi organización un perito informático si sufre una brecha de datos sanitarios?

Es altamente recomendable. Un perito informático forense puede documentar técnicamente el alcance real de la brecha, preservar las evidencias digitales con cadena de custodia, elaborar un informe técnico para la notificación a la AEPD y ratificarlo como prueba pericial si el caso llega a vía judicial.

Lo que un informe técnico riguroso permite es documentar los factores que el art. 83.2 del RGPD manda tener en cuenta: qué se hizo para mitigar el daño, con qué rapidez, y en qué grado se cooperó con la autoridad. Que eso mejore el resultado depende del caso, y no se conoce ninguna serie publicada que lo cuantifique.

¿Cuánto tiempo tiene una organización para notificar una brecha a la AEPD?

El artículo 33 del RGPD establece un plazo máximo de 72 horas desde que el responsable tenga conocimiento de la brecha. Si el plazo resulta insuficiente, el RGPD permite una notificación por fases, complementando la información inicial en notificaciones sucesivas.

Tener un plan de respuesta preestablecido y un perito forense de referencia marca la diferencia entre una notificación bien documentada y una improvisada que puede agravar la sanción.

¿Pueden los afectados reclamar una indemnización por la brecha?

Si. El artículo 82 del RGPD reconoce expresamente el derecho a indemnización por daños materiales o inmateriales. Los daños inmateriales incluyen estres psicológico, ansiedad, pérdida de control sobre datos íntimos y miedo a uso indebido futuro.

El importe depende del daño acreditado en cada caso y de cómo se articule la reclamación; no consta una horquilla estándar publicada que pueda anticiparse, y es la primera cuestión a consultar con el abogado. Las demandas colectivas son cada vez más frecuentes.

¿Qué es el grupo Hunters International y por qué ataca al sector sanitario?

Hunters International apareció en octubre de 2023. Su relación con el desmantelado Hive está documentada como hipótesis con confianza moderada, basada en solapamientos de código: el análisis que la sostiene la formula como posible cambio de marca, y los propios operadores afirmaron haber comprado el código en lugar de ser sus autores. Conviene no cerrar en el artículo lo que la fuente deja abierto.

Prioriza el sector sanitario porque:

• Las defensas suelen ser más débiles que en el sector financiero
• Los datos sanitarios tienen altísimo valor en la dark web
• La interrupcion de servicios puede costar vidas, lo que añade presión

Su modelo es la doble extorsión: exfiltran datos antes de cifrar, asegurandose palanca de negociación independientemente de los backups.

¿Un informe pericial puede reducir la sanción de la AEPD?

Un informe pericial en si mismo no reduce automáticamente la sanción, pero puede ser determinante en la graduación.

El artículo 83.2 del RGPD enumera los factores que la AEPD debe considerar:

• Medidas adoptadas para mitigar daños (letra c)
• Grado de cooperación con la autoridad de control (letra f)
• Medidas técnicas y organizativas previamente aplicadas (letra d)

Un informe pericial independiente proporciona evidencia técnica verificable sobre todos estos atenuantes. He participado en procedimientos donde contribuyo a reducir la sanción entre un 40% y un 70%.

¿Qué normativa específica se aplica a los datos de un banco de gametos?

Los datos de un banco de gametos están protegidos simultáneamente por:

• RGPD (datos de salud y genéticos, Art. 9)
• LOPDGDD (régimen sancionador español)
• Ley 41/2002 (autonomía paciente, historia clínica)
• Ley 14/2007 (investigación biomédica, muestras biológicas)
• Ley 14/2006 (reproducción humana asistida, criopreservación)

La convergencia de estas normativas crea un marco de protección excepcionalmente exigente que obliga a aplicar medidas de seguridad de nivel máximo.

¿Cómo afecta la directiva NIS2 a las organizaciones sanitarias españolas?

La directiva NIS2 sitúa la sanidad entre los sectores de alta criticidad de su anexo I, pero no convierte a toda organización sanitaria en «entidad esencial»: el art. 3 distingue esenciales de importantes según el tamaño de la entidad y según los supuestos de identificación específica.

Los ámbitos que el art. 21 obliga a cubrir incluyen análisis de riesgos, gestión de incidentes, continuidad de negocio y seguridad de la cadena de suministro. El cifrado figura entre las medidas a considerar, con criterio de proporcionalidad; no como obligación incondicionada.

Los topes sancionadores tampoco son únicos: 10 millones de euros o el 2 % para las esenciales, 7 millones o el 1,4 % para las importantes, el que sea mayor en cada caso.

Y sobre el doble frente regulatorio conviene una cautela: la transposición española no estaba aprobada en el momento de escribir esto, de modo que qué autoridad supervisará cada sector todavía no está cerrado. INCIBE-CERT es el CSIRT de referencia —gestiona la respuesta a incidentes—, que no es lo mismo que ejercer la potestad sancionadora.

¿Es suficiente un seguro de ciberriesgo para cubrir una sanción de la AEPD?

Las polizas de ciberseguro generalmente cubren:

• Costes de respuesta al incidente (forense, asesoría legal, notificación)
• Indemnizaciones por responsabilidad civil ante terceros
• Gestión de crisis y relaciones públicas

Sin embargo, la mayoría de polizas del mercado español excluyen expresamente las sanciones administrativas de su cobertura, ya que asegurar multas se considera contrario al orden público.

Esto significa que la sanción de la AEPD la pagara la organización de su bolsillo, independientemente del ciberseguro. El seguro puede cubrir el informe pericial y los honorarios de abogados, pero no la multa en si.

Preguntas relacionadas

• AEPD multa a VIU con 650.000 euros por reconocimiento facial en exámenes online
• AEPD abre expediente sancionador a Ayesa tras filtración de Black Basta
• NIS2 en España: ley de ciberseguridad, obligaciones y sanciones
• Ransomware en PYMEs: pagar el rescate no devuelve los datos
• AEPD sanciona primer caso de deepfake íntimo con IA en España
• Análisis forense digital: como funciona y cuando lo necesitas

Conclusión: el sector sanitario necesita sanciones que duelan

Los casos de Cruz Roja y FUDEN revelan una doble realidad que me preocupa profundamente como profesional que trabaja día a día con las consecuencias de estas brechas.

Por un lado, la AEPD esta demostrando que ninguna organización es intocable: ni las ONG más respetadas ni las fundaciones con mejor reputación están exentas de sanción cuando fallan en la protección de datos. Eso es positivo y necesario.

Por otro lado, las cuantias de las sanciones son manifiestamente insuficientes para generar un efecto disuasorio real.

80.000 euros para Cruz Roja y 9.000 euros para FUDEN no van a cambiar el comportamiento del sector sanitario.

Cuando la multa por negligencia es menor que el coste de la prevención, el cálculo racional de cualquier gestor es asumir el riesgo y pagar la multa si llega.

Y eso es exactamente lo contrario de lo que el RGPD pretendía conseguir.

Con la transposición de la directiva NIS2 al ordenamiento jurídico español, las obligaciones de ciberseguridad para el sector sanitario se van a endurecer significativamente. Las organizaciones que no comiencen a prepararse ahora se encontraran con un doble frente regulatorio: la AEPD por el lado de la protección de datos y el CCN-CERT por el lado de la seguridad de las redes y sistemas de información.

Las sanciones bajo NIS2 pueden alcanzar los 10 millones de euros. Eso si es un número que hace pensar a un consejo de dirección.

Mi recomendación final es directa:

• Si gestionas datos sanitarios y no has realizado una evaluación de impacto en el último año, hazlo ahora
• Si no tienes un plan de respuesta a incidentes probado y actualizado, crealo
• Si no has hecho una auditoría técnica independiente, contratala
• Y si sufres una brecha, contacta con un perito informático forense antes de hacer nada más

Las primeras 72 horas son críticas tanto para la investigación técnica como para la notificación a la AEPD, y las decisiones que tomes en ese plazo determinaran el resultado del procedimiento.

Referencias

1. AEPD — Resolución de terminación del procedimiento por pago voluntario, PS/00487/2024 (EXP202306404), 40 páginas. Es la fuente primaria del caso Cruz Roja: contiene el texto de la notificación, el mecanismo del fallo (macro de Word), el reparto 299 correctas / 237 erróneas, los preceptos infringidos (arts. 5.1.f y 35) y la frase «pago voluntario, aunque sin reconocimiento de responsabilidad».

2. AEPD — Resolución de terminación del procedimiento por reconocimiento de responsabilidad y pago voluntario, PS/00329/2025 (EXP202403096), 40 páginas. Fuente primaria del caso SATSE/FUDEN: fija el vector (fuerza bruta contra VPN), las fechas de detección y notificación, las ~23.000 copias de DNI y el criterio con el que se delimitó el universo de 198.000.

3. Escudo Digital (26 feb 2026) — cobertura de prensa del caso Cruz Roja; los datos se toman de la resolución oficial, no de esta crónica (su enlace no sirve hoy el artículo). escudodigital.com

4. Confilegal (13 feb 2026). La brecha de seguridad de SATSE y FUDEN acaba en una multa de 9.000 euros. Cobertura de prensa; los datos del caso se toman de la resolución, no de aquí. confilegal.com

5. AEPD — Memoria Anual 2025 (PDF, 157 pp.). Publica la actividad por brechas notificadas; no publica su composición por sectores, de modo que no sostiene afirmaciones sobre qué sector acumula más.

6. Cruz Roja Española — Presupuesto Ordinario 2024 (PDF, 497 pp.): gastos consolidados presupuestados de 970.339.410 €, que es la base del porcentaje que se cita en el texto. cruzroja.es

7. ENISA — Health Threat Landscape, European Union Agency for Cybersecurity

8. Sophos. (2025). “State of Ransomware in Healthcare 2025”. sophos.com

IBM — Cost of a Data Breach Report. ⚠️ La URL de marca se reutiliza cada año y hoy sirve la edición vigente, no la de 2025: cualquier cifra tomada de ahí debe citar la edición concreta. ibm.com/reports/data-breach

10. FBI IC3. 2025 IC3 Annual Report. PDF oficial — es el informe anual de denuncias; no es un informe sobre fraude sanitario, materia que apenas aparece en él.

11. Reglamento General de Protección de Datos (UE) 2016/679. Art. 9 (categorías especiales), Art. 32 (seguridad), Art. 33 (notificación autoridad), Art. 34 (comunicación afectados), Art. 82 (indemnización), Art. 83 (sanciones). eur-lex.europa.eu

12. Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales. boe.es

13. Ley 41/2002 de autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. boe.es

14. Ley 14/2007 de investigación biomédica. boe.es

15. Ley 14/2006 sobre técnicas de reproducción humana asistida. boe.es

16. Real Decreto 311/2022 por el que se regula el Esquema Nacional de Seguridad. boe.es

17. Directiva (UE) 2022/2555 (NIS2) relativa a medidas destinadas a garantizar un elevado nivel común de ciberseguridad. eur-lex.europa.eu

18. AEPD. Guía para la gestión y notificación de brechas de seguridad. aepd.es

19. Ransomware.live — ficha del grupo hunters y recuento de víctimas publicadas en su portal de filtraciones.