La Agencia Española de Protección de Datos ha sancionado a Hoy Voy a Conducir S.L., empresa central de la cadena de autoescuelas Hoy-Voy, tras una brecha de seguridad que afectó a 264.435 personas. La compañía mantiene actualmente presencia en Albacete, donde dispone de un centro en la calle Octavio Cuartero.
La resolución de la AEPD, publicada el pasado 22 de septiembre, da por acreditado que la filtración comprometió información personal de clientes, usuarios y empleados de la red, entre ellos también menores de edad. Entre los datos expuestos figuraban nombres y apellidos, DNI o NIE, números de teléfono, correos electrónicos y direcciones postales.
Una base de datos llegó a ofrecerse en Internet
El expediente parte de la localización por parte de la Policía Nacional de una base de datos vinculada a la red de autoescuelas que estaba siendo ofrecida para su venta en Internet.
Parte de los registros llegaron incluso a publicarse como muestra para demostrar que la información filtrada era auténtica. La AEPD considera acreditado que el incidente afectó finalmente a 264.435 personas.
La resolución no desglosa, sin embargo, cuántos de los afectados pertenecían a cada una de las franquicias de la cadena, por lo que no puede afirmarse que clientes concretos del centro de Albacete estuvieran incluidos entre los perjudicados.
La AEPD señala una infraestructura tecnológica obsoleta
Uno de los elementos más relevantes de la resolución se encuentra en el estado de la infraestructura tecnológica utilizada por la compañía.
Según la AEPD, la empresa tenía conocimiento desde abril de 2021 de que parte de sus sistemas estaban obsoletos y necesitaban ser sustituidos. La renovación, sin embargo, no se completó hasta enero de 2025, cuando la brecha ya se había producido.
El organismo también reprocha que durante varios meses se recibieran avisos externos sobre la existencia de la base de datos, incluidos los procedentes de la Policía Nacional, sin que se activaran con suficiente rapidez los mecanismos necesarios para comprobar el alcance del incidente.
Una sanción de 50.000 euros que queda en 30.000
La Agencia Española de Protección de Datos impuso inicialmente una sanción de 50.000 euros por vulneración del artículo 32 del Reglamento General de Protección de Datos, relativo a la seguridad del tratamiento de la información personal.
Hoy-Voy reconoció su responsabilidad y realizó el pago voluntario, lo que le permitió beneficiarse de dos reducciones acumuladas del 20%.
La cuantía definitiva quedó así fijada en 30.000 euros, mientras que la AEPD declaró terminado el procedimiento. La resolución es firme en vía administrativa desde su notificación, aunque la empresa mantiene la posibilidad de acudir a la jurisdicción contencioso-administrativa.
Una red con presencia en Albacete
La resolución señala que la base de datos estaba alojada por la empresa central para dar servicio a una red que contaba entonces con 38 franquicias en España.
Entre las ciudades en las que Hoy-Voy mantiene actualmente presencia se encuentra Albacete, aunque el expediente no permite conocer cuántos de los 264.435 afectados, en caso de haberlos, estaban vinculados concretamente con el centro albaceteño.
