Una línea de teléfono que una clienta asegura no haber contratado. Una factura enviada a un tercero. Una brecha de seguridad que habría afectado a unos 60.000 usuarios. Y una defensa empresarial que merece que cualquier administrador de una sociedad española preste atención: “el fallo fue de un proveedor externo”.
La respuesta jurídica es mucho más incómoda.
Contratar a otra empresa para que haga el trabajo no significa necesariamente trasladarle tu responsabilidad.
Y esa puede convertirse en una de las lecciones empresariales más importantes de 2026.
La Agencia Española de Protección de Datos ha impuesto a Vodafone España sanciones que, conjuntamente, alcanzan 1,8 millones de euros, según la información conocida el 26 de agosto de 2026.
Una primera sanción de 1,05 millones de euros consta oficialmente publicada en el BOE: dos multas de 150.000 euros por vulneración del artículo 6.1 del Reglamento General de Protección de Datos y otra de 750.000 euros por vulneración del artículo 32 RGPD.
A ella se suma otra sanción de 750.000 euros, conocida ahora, relacionada con una brecha de seguridad del antiguo servicio Super WiFi que, según la información publicada, habría afectado a aproximadamente 60.000 usuarios. Vodafone ha recurrido las resoluciones ante la Audiencia Nacional y sostiene, entre otros argumentos, que los incidentes fueron provocados por actuaciones o sistemas de terceros.
Por tanto, conviene hacer una precisión esencial: existen sanciones administrativas, pero la controversia jurídica no está definitivamente cerrada mientras los recursos judiciales sigan pendientes.
Y precisamente ahí empieza lo verdaderamente interesante.
El verdadero titular no es la multa a Vodafone
Podríamos quedarnos en los 1,8 millones.
Sería lo fácil.
Pero desde Sidro Capital creemos que la verdadera noticia es otra:
¿Cuántas empresas españolas están entregando cada día datos de sus clientes a proveedores externos pensando que, si ocurre algo, “será responsabilidad del proveedor”?
Gestorías.
Empresas informáticas.
Servicios cloud.
Call centers.
Plataformas de email marketing.
CRM.
Agencias de publicidad.
Proveedores de inteligencia artificial.
Empresas de ciberseguridad.
Software de recursos humanos.
Sistemas de videovigilancia.
Plataformas de comercio electrónico.
Prácticamente cualquier empresa moderna externaliza una parte de su actividad.
Y cada externalización puede crear una cadena de responsabilidades que muchos empresarios desconocen hasta que llega una reclamación, una brecha de seguridad o un expediente de la AEPD.
La frase “eso lo llevaba una empresa externa” puede ser comercialmente comprensible.
Jurídicamente puede no ser suficiente.
Problema 1: «Los datos los gestionaba mi proveedor. ¿Por qué voy a responder yo?»
Porque el RGPD no permite al responsable del tratamiento desentenderse simplemente contratando a un tercero.
El artículo 28.1 RGPD establece que, cuando un tratamiento se realice por cuenta de un responsable, este deberá elegir únicamente encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas adecuadas.
No dice simplemente “firma un contrato”.
Dice garantías suficientes.
La diferencia es enorme.
Una empresa no debería limitarse a poder demostrar:
“Tengo firmado un contrato de protección de datos con mi proveedor.”
Puede necesitar acreditar algo bastante más complejo:
“Seleccioné adecuadamente a ese proveedor, evalué sus garantías, establecí instrucciones, adopté medidas proporcionadas al riesgo y controlé razonablemente el tratamiento.”
Ahí está el salto que muchas empresas todavía no han entendido.
El RGPD ha convertido la protección de datos en una cuestión de gobierno empresarial y gestión del riesgo.
Problema 2: «Pero si un empleado externo incumple las instrucciones, ¿también puedo tener un problema?»
Ese es precisamente uno de los aspectos más interesantes del expediente conocido de Vodafone.
Según la información publicada, en uno de los incidentes un tercero habría conseguido modificar la dirección de correo electrónico asociada a una clienta y obtener un duplicado de una factura con información personal.
La controversia gira, entre otras cuestiones, alrededor de los controles de identificación utilizados y de la actuación del proveedor encargado materialmente del servicio.
Vodafone sostiene que existió una actuación fraudulenta de un tercero y un incumplimiento de sus políticas por parte del proveedor.
La AEPD, sin embargo, consideró en el expediente sancionador que existían infracciones imputables a Vodafone como responsable del tratamiento.
Aquí aparece una pregunta que cualquier empresario debería hacerse hoy:
¿Puede una persona hacerse pasar por uno de mis clientes y conseguir información simplemente llamando, enviando un correo o manipulando un procedimiento interno?
Si la respuesta es “no lo sé”, ya existe un riesgo que merece ser revisado.
Problema 3: «Tengo contraseña. ¿Eso significa que mi sistema es seguro?»
No.
Y esta es probablemente otra de las grandes lecciones del caso.
El artículo 32 RGPD obliga al responsable y al encargado a implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
Entre las medidas que contempla expresamente el Reglamento se encuentran la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, la posibilidad de restaurar los datos y la evaluación periódica de la eficacia de las medidas implantadas.
La AEPD ha insistido además en algo especialmente relevante: que un sistema funcione técnicamente como fue diseñado no significa necesariamente que el tratamiento sea seguro.
Si unas credenciales válidas permiten una suplantación que razonablemente debería haberse evitado, puede existir igualmente una brecha de seguridad.
Traducido al lenguaje de una empresa:
“El sistema funcionó correctamente” no equivale necesariamente a “el sistema era jurídicamente seguro”.
Esa diferencia puede valer cientos de miles de euros.
El problema que viene ahora: la inteligencia artificial
Aquí es donde el asunto deja de afectar solamente a las compañías telefónicas.
Miles de empresas están comenzando a introducir herramientas de inteligencia artificial en:
atención al cliente, análisis de documentos, selección de personal, elaboración de perfiles, automatización comercial, generación de contratos, análisis financiero, marketing y gestión de bases de datos.
Y muchas están haciendo exactamente esto:
contratan una aplicación, aceptan las condiciones de uso y comienzan a introducir información de clientes.
Sin preguntar suficientemente:
¿Dónde se almacenan esos datos?
¿Quién puede acceder a ellos?
¿Se utilizan para entrenar modelos?
¿Existen transferencias internacionales?
¿Qué subencargados intervienen?
¿Qué ocurre cuando terminamos el contrato?
¿Cómo se notificará una brecha de seguridad?
El problema jurídico del futuro próximo probablemente no será únicamente:
«Una empresa ha utilizado mal nuestros datos.»
Será:
«Una inteligencia artificial utilizada por uno de nuestros proveedores ha tratado incorrectamente los datos de nuestros clientes. ¿Quién responde ahora?»
Y la respuesta puede ser bastante menos sencilla de lo que muchos contratos tecnológicos hacen creer.
Tu empresa externaliza. Tu responsabilidad puede quedarse dentro.
Ésta es, en nuestra opinión, la enseñanza empresarial central que deja el caso Vodafone.
Una compañía puede externalizar prácticamente cualquier función.
Puede externalizar su informática.
Puede externalizar sus ventas.
Puede externalizar la atención al cliente.
Puede externalizar su almacenamiento de información.
Puede externalizar parte de su ciberseguridad.
Incluso puede externalizar determinadas decisiones automatizadas.
Pero no debería confundir externalización operativa con desaparición de la responsabilidad jurídica.
Porque existen dos relaciones distintas.
Una es la relación frente al cliente, usuario o interesado.
Otra es la relación interna entre la empresa y su proveedor.
Y mezclarlas puede resultar carísimo.
Problema 4: «Entonces, ¿para qué sirve que el contrato diga que responde el proveedor?»
Sirve.
Y puede ser decisivo.
Pero fundamentalmente en la relación interna entre las empresas.
Un contrato tecnológico bien diseñado debe determinar con precisión quién hace qué, qué medidas de seguridad son obligatorias, cómo debe notificarse un incidente, quién puede subcontratar, qué auditorías pueden realizarse, qué seguros deben existir y quién soportará económicamente determinadas responsabilidades.
Además, el propio artículo 82 RGPD contempla la posibilidad de distribuir posteriormente la responsabilidad entre los diferentes responsables o encargados que hayan participado en un tratamiento.
Quien haya indemnizado un daño puede, bajo las condiciones previstas en el Reglamento, reclamar posteriormente frente a otros intervinientes la parte correspondiente a su responsabilidad.
Eso significa que una cláusula contractual puede ser extraordinariamente importante.
Pero existe una diferencia fundamental entre:
repetir posteriormente contra tu proveedor
y
evitar inicialmente toda responsabilidad frente al exterior.
No son lo mismo.
La cláusula olvidada que puede valer millones
Muchos contratos empresariales dedican páginas enteras al precio, duración del servicio y forma de pago.
Y dedican cuatro párrafos copiados de una plantilla a protección de datos.
Es exactamente al revés de como debería analizarse el riesgo cuando el proveedor tendrá acceso a miles de clientes.
Un contrato de encargado del tratamiento no debería convertirse en burocracia documental.
Debería funcionar como una auténtica arquitectura jurídica de prevención y responsabilidad.
Porque cuando todo funciona, nadie lee esa cláusula.
Cuando aparecen 60.000 afectados, todo el mundo la busca.
Problema 5: «Sufrimos un ciberataque. ¿Ser atacado significa automáticamente ser culpable?»
No.
Este matiz es fundamental.
Sufrir un ciberataque no convierte automáticamente a una empresa en infractora del RGPD.
Ningún sistema puede garantizar riesgo cero.
La cuestión jurídica será normalmente otra:
¿Las medidas que existían eran adecuadas al riesgo que asumía esa organización?
No es igual custodiar el correo electrónico de veinte clientes que gestionar millones de registros personales.
No es igual almacenar datos públicos que información especialmente sensible.
No es igual sufrir un ataque extraordinariamente sofisticado que permitir un acceso mediante controles de seguridad manifiestamente insuficientes.
La responsabilidad debe analizarse atendiendo al caso concreto.
Precisamente por eso la ciberseguridad ha dejado de ser exclusivamente un asunto del departamento informático.
También es un asunto jurídico.
Y hay otra amenaza: las reclamaciones de los afectados
Una sanción administrativa puede no ser el final del problema.
Puede ser el principio.
El artículo 82 RGPD reconoce a toda persona que haya sufrido daños materiales o inmateriales como consecuencia de una infracción el derecho a reclamar una indemnización.
Pero cuidado con los titulares fáciles.
Una filtración de datos no significa automáticamente que cada afectado tenga derecho a cobrar una indemnización.
El Tribunal de Justicia de la Unión Europea ha establecido que deben concurrir tres elementos: una infracción del RGPD, la existencia de un daño y una relación causal entre ambos.
También ha señalado que no puede exigirse que el daño moral alcance un determinado nivel mínimo de gravedad para poder ser indemnizable.
Por tanto, cada caso deberá analizarse individualmente.
Una cosa es recibir una notificación comunicando un incidente.
Otra muy distinta es poder acreditar consecuencias económicas, suplantación de identidad, pérdida de control sobre determinados datos u otros perjuicios derivados de la vulneración.
¿Qué debe hacer una empresa antes de que llegue la AEPD?
La mejor defensa no comienza cuando llega un requerimiento de la Agencia.
Empieza meses o años antes.
Empieza sabiendo exactamente qué empresas externas tienen acceso a tus datos.
Continúa identificando qué información reciben y para qué.
Exige comprobar las garantías que ofrecen.
Obliga a revisar los contratos.
Requiere analizar subcontrataciones y subencargados.
Implica documentar las medidas adoptadas.
Y obliga a disponer de un verdadero protocolo de respuesta a incidentes.
Porque, cuando se produce una brecha de seguridad que pueda generar riesgo para los derechos y libertades de las personas, el artículo 33 RGPD establece con carácter general la obligación de notificarla a la autoridad de control sin dilación indebida y, cuando sea posible, antes de que transcurran 72 horas desde que se tuvo conocimiento de ella.
Setenta y dos horas.
No cuando termine la investigación interna.
No cuando vuelva el director general de vacaciones.
No cuando el proveedor explique finalmente qué ocurrió.
El reloj jurídico puede haber empezado a correr mucho antes.
El test de los cinco minutos que todo administrador debería hacer hoy
Abre la lista de proveedores de tu empresa.
Busca aquellos que puedan acceder a información de trabajadores, clientes o proveedores.
Ahora pregúntate:
¿Sé exactamente qué datos tiene cada uno?
¿Tengo un contrato adecuado con todos ellos?
¿Sé dónde almacenan la información?
¿Sé qué otras empresas subcontratan?
¿Puedo acreditar que ofrecen garantías suficientes?
¿Existe un procedimiento real para detectar y comunicar una brecha?
¿Mi contrato establece quién soportará económicamente las consecuencias de un incumplimiento?
Si alguna respuesta es “no sé”, probablemente el verdadero riesgo no esté todavía en tu ordenador.
Está en tu contrato.
La multa de Vodafone deja una advertencia para miles de empresas
Vodafone tiene estructura jurídica.
Tiene departamentos especializados.
Tiene capacidad tecnológica.
Tiene proveedores internacionales.
Tiene recursos para recurrir ante la Audiencia Nacional.
Y aun así se encuentra discutiendo sanciones por 1,8 millones de euros.
Ahora pensemos en una empresa de cincuenta trabajadores.
O de diez.
O en un autónomo que posee una base de datos con miles de clientes y ha conectado su CRM con cinco aplicaciones distintas sin saber realmente dónde termina la información.
Ese es el punto que debería preocuparnos.
El RGPD no está reservado a multinacionales.
Y los ciberdelincuentes tampoco.
Desde Sidro Capital: el contrato tecnológico ya no puede tratarse como un documento accesorio
Durante años muchas empresas han firmado contratos tecnológicos mirando fundamentalmente tres cosas:
precio, duración y servicio.
Eso ya no basta.
Cuando un proveedor tiene acceso a datos, sistemas críticos o procesos empresariales, el contrato debe analizar también responsabilidad, protección de datos, ciberseguridad, confidencialidad, subcontratación, auditoría, indemnidad, seguros, continuidad de negocio y respuesta frente a incidentes.
La tecnología avanza mucho más rápido que los contratos que la regulan.
Y ahí aparece uno de los mayores riesgos jurídicos de la empresa moderna:
utilizar tecnología del siglo XXI con contratos redactados como si siguiéramos en 2005.
La sanción a Vodafone debería servir como advertencia.
No porque todas las empresas vayan a ser sancionadas.
Sino porque pone encima de la mesa una pregunta que ningún administrador debería ignorar:
Si mañana los datos de mis clientes aparecen donde nunca deberían haber aparecido, ¿puedo demostrar hoy que hice jurídicamente todo lo que debía hacer?
Si la respuesta requiere pensárselo demasiado, quizá ya tengamos la respuesta.
¿Tu empresa trabaja con proveedores tecnológicos, IA, CRM, cloud o plataformas que acceden a datos?
En Sidro Capital analizamos el riesgo jurídico empresarial desde una perspectiva preventiva y contenciosa: quién responde, qué dicen los contratos, dónde están los riesgos y qué posición tendría la empresa si mañana aparece una reclamación o un procedimiento administrativo.
Porque revisar un contrato cuando todo funciona es prevención.
Leerlo por primera vez después de una brecha de seguridad ya es defensa.
Y normalmente resulta mucho más cara.
SIDRO CAPITAL
Abogados · Derecho empresarial · Responsabilidad · Tecnología
📞 624 030 916
Actuación en toda España.
Artículo elaborado a partir de la información disponible a 26 de agosto de 2026. Las sanciones mencionadas han sido recurridas por Vodafone ante la Audiencia Nacional, por lo que el análisis debe entenderse sin prejuzgar el resultado de dichos recursos. Este contenido tiene carácter informativo y no sustituye el estudio jurídico individualizado de cada supuesto.