Imagen generada con IA.
Cuando una empresa compra o absorbe a otra, lo habitual es fijarse en el balance, la cartera de clientes o los activos operativos. Lo que Flexicar ha aprendido por la vía difícil es que también se «hereda» algo mucho menos visible: los fallos de protección de datos que arrastraba la empresa integrada. La Agencia Española de Protección de Datos (AEPD) ha impuesto a esta compañía de compraventa de coches de segunda mano una sanción de 680.000 euros por tres infracciones del RGPD relacionadas con la brecha de seguridad que sufrió meses después de absorber a Flexicar Ibérica. El caso es una lección de manual sobre por qué la protección de datos debe formar parte de cualquier proceso de fusión o adquisición (M&A), y no un asunto que se revisa —si acaso— después de firmar.
El caso: brecha tras integrar sistemas de una sucursal adquirida
Entre el 4 y el 6 de junio de 2024, la AEPD recibió tres reclamaciones de personas que habían recibido un correo de Flexicar informándoles de que sus datos personales, facilitados a través de los formularios de contacto de la web, se habían visto comprometidos por una brecha de seguridad. El ciberataque se produjo pocos meses después de que Flexicar Internacional absorbiera a Flexicar Ibérica, integrando sus sistemas y sus bases de datos de clientes y contactos.
Una cuarta reclamación amplió el foco de la investigación de forma decisiva: una usuaria denunció que había solicitado repetidamente que la empresa eliminara sus datos personales sin obtener respuesta y que, pese a esas solicitudes, acabó recibiendo el aviso de que sus datos habían resultado afectados por el ciberataque. Esa reclamación llevó a la AEPD a analizar no solo el origen técnico de la brecha, sino también cómo la empresa resultante de la fusión gestionaba la conservación de datos y los derechos de los interesados, dos aspectos que suelen quedar en segundo plano cuando el foco de una integración está puesto en la operativa comercial.
La resolución (expediente EXP202410832) deja un mensaje claro: sufrir un ciberataque no exime de responsabilidad. La AEPD constató que Flexicar no había implantado determinadas medidas de seguridad hasta después de la brecha, medidas que, de haber existido antes, «podría haberla evitado o, al menos, haber mitigado sus efectos». Por ello, la Agencia concluyó que la empresa vulneró el principio de integridad y confidencialidad del artículo 5.1.f) del RGPD.
Información insuficiente sobre conservación de datos de leads/clientes potenciales
La segunda infracción es la que conecta directamente con cualquier operación de M&A: la falta de información clara sobre los plazos de conservación de datos. Las reclamaciones procedían de personas que habían contactado con la empresa a través de un formulario web —lo que en el sector se conoce como leads o contactos potenciales— pero que nunca habían llegado a formalizar una operación de compraventa.
La AEPD revisó la política de privacidad de Flexicar y detectó que la información sobre el plazo de conservación era demasiado genérica: no distinguía entre clientes que sí habían completado una operación y simples usuarios que solo habían dejado sus datos en un formulario, ni informaba a estos últimos de que sus datos personales podían conservarse hasta cinco años antes de ser suprimidos. Según señala la resolución, esa información es el punto de partida que permite a la persona interesada ejercer un control real sobre sus propios datos personales. Por este motivo, la Agencia apreció una infracción del artículo 13 del RGPD, valorada en 30.000 euros.
La tercera infracción, valorada en 250.000 euros por incumplir el artículo 32 del RGPD, se centró en los datos bloqueados: la Agencia comprobó que Flexicar había mezclado los datos personales bloqueados de antiguos leads con los de usuarios que sí habían autorizado el envío de comunicaciones comerciales, sin las medidas de seguridad adecuadas para un tipo de dato que, aunque bloqueado, sigue estando sujeto al RGPD.
Qué revisar en protección de datos antes de una fusión o adquisición
El caso Flexicar ilustra un riesgo que muchas empresas subestiman: cuando se integra una sucursal, una filial o una compañía adquirida, no solo se integran sus clientes y su facturación, también se hereda su histórico de cumplimiento —o incumplimiento— en materia de protección de datos. Antes de cerrar cualquier operación de fusión o adquisición conviene revisar, como mínimo, los siguientes puntos:
- Inventario real de bases de datos. Qué categorías de datos gestiona la empresa objetivo (clientes, leads, empleados, proveedores) y en qué sistemas están almacenadas, incluidos los que vayan a integrarse en la infraestructura de la empresa compradora.
- Políticas de conservación por categoría de interesado. Comprobar que la política de privacidad diferencia entre clientes con operación formalizada y simples contactos o leads, con plazos de conservación concretos y justificados para cada categoría.
- Estado de las medidas de seguridad del artículo 32 RGPD. Cifrado, control de accesos, segmentación de sistemas y, en particular, el tratamiento diferenciado de los datos bloqueados frente a los datos activos.
- Historial de incidentes y brechas de seguridad. Si la empresa objetivo ha sufrido brechas previas, cómo las gestionó y si notificó adecuadamente a la AEPD y a los interesados dentro de los plazos legales.
- Gestión de derechos de los interesados. Verificar que existe un procedimiento operativo para atender solicitudes de supresión, acceso u oposición, y que no hay solicitudes pendientes de resolver en el momento de la integración.
Detectar estos puntos débiles antes de firmar permite negociar garantías contractuales, ajustar el precio de la operación o, simplemente, planificar con tiempo la adaptación de los sistemas heredados —en lugar de descubrirlos, como le ocurrió a Flexicar, cuando ya ha habido una brecha y una reclamación ante la AEPD.
Checklist de due diligence de datos personales en operaciones de M&A
Antes de firmar la integración de cualquier empresa, sucursal o cartera de clientes, un equipo de protección de datos debería poder responder afirmativamente a estas preguntas:
- ¿Existe un inventario completo de los tratamientos de datos personales de la empresa objetivo, incluidos leads y contactos no convertidos en clientes?
- ¿Las políticas de privacidad de la empresa objetivo cumplen con el artículo 13 del RGPD, con plazos de conservación diferenciados por categoría de interesado?
- ¿Se ha auditado el nivel de medidas de seguridad técnicas y organizativas exigido por el artículo 32 del RGPD, incluida la seguridad de los datos bloqueados?
- ¿Se ha revisado si la empresa objetivo ha sufrido brechas de seguridad previas y cómo las notificó?
- ¿Existe un procedimiento operativo para atender derechos de los interesados (acceso, supresión, oposición) sin solicitudes pendientes?
- ¿Se ha previsto un plan de integración técnica de los sistemas que no mezcle datos con distintas bases legales o distintos niveles de bloqueo?
- ¿La documentación de la operación (contrato de compraventa, due diligence) recoge garantías y responsabilidades específicas en materia de protección de datos?
Si tu empresa está valorando una fusión, adquisición o integración de otra compañía, en DataIbérica podemos auditar la protección de datos de la empresa objetivo antes de cerrar la operación y ayudarte a evitar que, como en el caso de Flexicar, termines pagando por unos fallos que no cometiste tú.
Fuente principal: Confilegal — «Flexicar, sancionada con 680.000 euros por la brecha de seguridad que sufrió tras integrar su sucursal de Iberia».
