Casos reales
Ciberseguridad, prueba digital y peritaje: casos verificados.
Análisis de incidentes reales de ciberseguridad, sanciones regulatorias y jurisprudencia sobre prueba digital en España. Cada caso se verifica con al menos dos fuentes independientes y su cronología completa.
2 julio 2026·RGPD · Sanciones
Amadeus: 14,4 millones de euros de multa por un fallo estructural
La Agencia Española de Protección de Datos sancionó a Amadeus IT Group, la tecnológica española de reservas de viajes, en un procedimiento cuya multa inicial de 18 millones de euros quedó en 14,4 millones tras el reconocimiento de responsabilidad y el pago voluntario. El caso no responde a un ciberataque espectacular, sino a un incumplimiento de base: el uso de datos de viajeros para elaborar perfiles sin una base legal válida.
Qué falló exactamente
El núcleo de la sanción es el artículo 6 del RGPD: todo tratamiento de datos personales necesita una base legal que lo respalde, y reutilizar datos obtenidos para una finalidad en otra distinta —como perfilar a los viajeros— exige justificarlo. No hubo brecha de seguridad: es un fallo de gobernanza documental, del tipo que puede tener cualquier empresa que no revise periódicamente para qué usa los datos que ya tiene.
Por qué importa a cualquier pyme
Las sanciones de la AEPD no se limitan a grandes corporaciones: pymes y autónomos reciben expedientes por los mismos incumplimientos de base. La diferencia entre Amadeus y una pyme no es el tipo de infracción — es la capacidad de absorber la multa. Una auditoría de bases de tratamiento cuesta una fracción de lo que cuesta una sanción por no tenerla.
Fuente: resolución de la Agencia Española de Protección de Datos (2026), publicada en el BOE.
6 julio 2026·Prueba digital · Jurisprudencia
Puerto de Valencia: cuando la prueba digital cambia el desenlace de un juicio
En enero de 2026, catorce personas acusadas de introducir cocaína por el Puerto de Valencia fueron absueltas. El motivo: la prueba electrónica del caso, obtenida a través de la red de mensajería cifrada SKY ECC, carecía de hash y firma digital que garantizaran su integridad. Sin esa garantía técnica, el tribunal consideró que no podía sostenerse la condena.
La revisión del TSJCV
El Tribunal Superior de Justicia de la Comunitat Valenciana anuló esa absolución en abril de 2026 y ordenó a la Audiencia de Valencia dictar una nueva resolución, valorando el conjunto de la prueba disponible, no solo el defecto formal de la evidencia electrónica. El 30 de junio de 2026, la Audiencia condenó a los catorce acusados a penas de entre 7 y 16 años de prisión, considerando que la prueba de SKY ECC, aunque técnicamente imperfecta, era valorable junto al resto de indicios del caso.
La lección técnica
Una prueba digital sin metadatos verificables, sin hash y sin cadena de custodia documentada no es necesariamente falsa — pero es frágil. Su validez puede depender de cómo la interprete cada tribunal en cada instancia, y ese margen de interpretación es exactamente lo que una cadena de custodia bien documentada elimina. Catorce personas estuvieron a punto de quedar libres no por ser inocentes, sino por un defecto en cómo se recogió la prueba.
Fuente: resoluciones judiciales del TSJCV y la Audiencia Provincial de Valencia (2026).
9 julio 2026·RGPD · Brechas de seguridad
Cecotec: la multa no fue por el ciberataque, fue por lo que decidió después
La AEPD sancionó a Cecotec, la tecnológica valenciana de electrodomésticos, con más de un millón de euros tras una brecha de seguridad. El caso empezó cuando INCIBE detectó una base de datos de la empresa a la venta en un foro de la dark web y se lo comunicó. Cecotec revisó el incidente, concluyó que solo seis registros correspondían a personas reales y decidió que la brecha no alcanzaba el umbral de riesgo que obliga a notificar a los afectados.
Lo que encontró la AEPD
La investigación reveló que una plataforma de comercio electrónico que la empresa consideraba cerrada desde 2021 seguía accesible desde internet. Los datos personales expuestos — nombres, direcciones, teléfonos, documentos identificativos — no estaban cifrados. No existían logs suficientes para reconstruir el incidente con precisión, y la notificación a la Agencia llegó fuera del plazo de 72 horas que exige el artículo 33 del RGPD. En total, 933 personas reales vieron sus datos expuestos sin ser informadas.
La decisión que costó la multa
No fue el ciberataque en sí lo que motivó la sanción — fue la decisión de minimizar su alcance sin base suficiente para hacerlo. La AEPD fue clara: esa valoración de "bajo riesgo" no se sostiene cuando los datos no están cifrados y ya están publicados en un foro accesible. La responsabilidad recae en quien toma esa decisión, no en el atacante.
Fuente: resolución de la Agencia Española de Protección de Datos (2026).
5 julio 2026·Prueba digital · Derecho penal
Acceder al móvil de tu pareja sin permiso: lo que dice el Tribunal Supremo
El Tribunal Supremo confirmó en 2025, en su sentencia 516/2025, que acceder al teléfono móvil de la pareja sin su consentimiento constituye un delito de descubrimiento y revelación de secretos, tipificado en el artículo 197 del Código Penal. Si además esas conversaciones se difunden a terceros, la pena se agrava.
La relación de pareja no da consentimiento tácito
El Supremo ya había fijado esta doctrina en 2015, con la sentencia 545/2015, y la ha reiterado ahora: el vínculo sentimental no equivale a autorización para acceder a los dispositivos del otro. Un caso resuelto por el Juzgado de lo Penal nº3 de Jaén ilustra el alcance real de esta doctrina — una mujer fue condenada a un año de prisión y 1.080 euros de multa por acceder al móvil de su marido y leer sus conversaciones con una tercera persona. La persona que había sido infiel no enfrentó ninguna consecuencia penal; quien accedió al dispositivo, sí.
La prueba obtenida así se anula también en lo civil
Más allá de la exposición penal, existe una consecuencia práctica que suele pasar desapercibida: una prueba obtenida accediendo sin consentimiento al dispositivo de otra persona puede ser anulada también en un procedimiento de divorcio o separación. Quien accede al móvil para "obtener pruebas" corre el riesgo de perder simultáneamente la vía penal y la prueba que buscaba usar.
Cómo se obtiene prueba digital de forma lícita
La vía correcta pasa por mensajes de los que la propia persona es parte directa, capturas realizadas ante notario, o un análisis técnico que documente la cadena de custodia sin vulnerar la intimidad de terceros.
Fuente: STS 516/2025 y STS 545/2015 (Tribunal Supremo); resolución del Juzgado de lo Penal nº3 de Jaén.