← España

PS-00061-2013

1/18 Procedimiento Nº PS/00061/2013 RESOLUCIÓN: R/01858/2013 En el procedimiento sancionador PS/00061/2013, instruido por la Agencia Española de Protección de Datos a la entidad IBERDROLA, S.A., vistas las denuncias presentadas, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas 1, 2 y 14/08/2012, tuvieron entrada en esta Agencia Española de Protección de Datos escritos de los denunciantes 1 a 3, cuya identidad consta en los Anexos a este Acuerdo, en los que se ponen de manifiesto que al acceder con código de usuario y contraseña a la Facturación Electrónica de IBERDROLA, a través de la web www.iberdrola.es, obtuvieron información sobre facturación de terceros. El denunciante 1 manifiesta haber remitido correo electrónico a la compañía informando de lo sucedido. Adjunto a las denuncias, el denunciante 1 aportó impresión de pantalla en la que constan sus datos personales junto con una factura que pertenece a un tercero. A solicitud de la Inspección y con fecha 23 de agosto de 2012, otro de los denunciantes aportó impresión de una factura emitida a nombre de un tercero. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: En Acta de Inspección E/5295/2012-I/1, realizada en Iberdrola, S.A. (en lo sucesivo IBERDROLA), de fechas 12 y 29/11/2012, consta lo siguiente: 1. Tal y como consta en la web www.iberdrola.es, la entidad responsable de la misma es IBERDROLA, S.A., no obstante, los datos de los clientes a los que se accede desde la web corresponden a las compañías IBERDROLA GENERACIÓN, S.A. (en adelante IBERGEN) o/y IBERDROLA COMERCIALIZACIÓN DE ULTIMO RECURSO, S.A. (en adelante IBERCUR). Los datos de identificación de usuario para el acceso a la web forman parte de los ficheros de Clientes de cada una de las sociedades (IBERGEN e IBERCUR). 2. El alta de usuarios en la web para Gestiones On Line implica la cumplimentación de un breve formulario con nombre, apellidos, DNI, email del usuario, contrato y opcionalmente los 4 últimos dígitos de la cuenta corriente. En caso de que el contrato del usuario este domiciliado, se comprueba que el contrato y los 4 últimos dígitos de la cuenta corriente en que está domiciliado coinciden. Si es así, se envía un correo electrónico a la dirección de email indicada por el usuario con el detalle de código de usuario y contraseña para el primer acceso. En caso de pérdida u olvido de la contraseña se puede solicitar también a través de la web cumplimentando el dato de email aportado en la solicitud de alta y el DNI. En este caso se remite nuevamente las claves a través del correo. En caso de que el contrato no esté domiciliado, se comprueba que el DNI indicado por el usuario en el formulario coincide con el del titular del contrato. Si coincide, el procedimiento es similar al caso anterior. En ambos casos, se da acceso a todos los contratos de ese cliente, no sólo al contrato que ha indicado en el formulario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 3. 4. 5. 6. 7. Si no coinciden las validaciones no se procede al alta como usuario. Para realizar un cambio de clave en Gestiones On Line, en la propia web se encuentran los mecanismos para llevar a cabo la modificación. Cuando un produce la baja de un cliente de IBERDROLA, los datos como usuario de acceso a la web no se borran físicamente, únicamente se produce una baja lógica del registro, ya que si cierto tiempo después vuelve a contratar con IBERDROLA, el código de cliente sigue siendo el mismo y, por tanto, su usuario de Gestiones On Line sigue asignado a ese cliente. Además, los usuarios pueden seguir consultando sus facturas aunque ya no sean clientes de IBERDROLA. No se dan de baja los usuarios al dar de baja los contratos. Un código de usuario se vincula a un cliente y en ningún caso se reutilizan los códigos de usuarios. Respecto del acceso a datos de terceros, no se ha obtenido constancia de que se permita visualizar información de terceros en la web www.iberdrola.es, ni en el procedimiento de Facturación Electrónica. En los Sistemas de Información de Clientes se ha verificado que los denunciantes y los terceros, cuya documentación ha sido aportada en la denuncia por los afectados, son clientes de IBERGEN o de IBERCUR. En relación con la incidencia que ha permitido el acceso a través de la web a datos de terceros, IBERDROLA, S.A. ha aportado un Informe al respecto. En dicho Informe figura:  Desde la semana de 16 de julio al 23 de julio, se realizan nuevas funcionalidades, las cuales, después de las pruebas correspondientes, cuyo objetivo es verificar la navegación y el correcto funcionamiento de la web, se pasa a entorno de producción en fecha 29 de julio de 2012 a las 6:00.  En la mañana del 30 de julio de 2012, se recibieron los primeros avisos de los clientes, vía telefónica, indicando que en la consulta del detalle de factura figuraba la factura de otro titular.  Como medida cautelar se procede a las 11:00 a deshabilitar la funcionalidad en producción.  A partir de ese momento se intenta reproducir el problema y no se consigue.  En producción y con los usuarios propios disponibles se reproduce el problema, aunque se confirma que no se daba en todos los casos. La identificación del problema era difícil ya que para reproducirlo se tenía que haber dado la circunstancia de que al menos dos usuarios concurrieran accediendo al detalle de su factura en un intervalo de escasos segundos entre petición y petición. Esta concurrencia no se dio en las pruebas previas ni posteriores al paso a producción. No obstante, aumentando la concurrencia se consiguió reproducir el problema en el acceso al detalle de factura.  Una vez detectado el posible error se realizaron acciones encaminadas a solucionarlo y con fecha 1 de agosto de 2012 a las 16:30 se cambió la configuración y se procedió a habilitar de nuevo la funcionalidad en producción. En relación con la incidencia, IBERDROLA manifestó lo siguiente:  La incidencia se produjo durante 29 horas, desde las 6:00 del domingo 29 de julio hasta las 11:00 del lunes 30 de julio.  Únicamente ha afectado a clientes que son además de usuarios de la web y usuarios de la facturación on-line.  Asimismo, para que se haya producido la incidencia ha tenido que darse la concurrencia de que dos usuarios hayan accedido a la facturación on-line en un intervalo de pocos segundos.  Desconocen el volumen de accesos a las facturas de terceros pero consideran que ha sido muy pequeño ya que no hay constancia de ninguna reclamación por escrito en relación con estos hechos y solo hay constancia de un correo electrónico de uno de los denunciantes. Asimismo, en caso de que este volumen hubiera sido elevado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 desde el propio Departamento de Atención al Cliente se hubiera detectado el problema con mucha rapidez.  Los únicos datos personales a los que se ha tenido acceso de otro cliente son los que figuran en la factura: nombre y apellidos, domicilio postal, DNI, número de cuenta bancaria truncada, número de contrato y datos de consumo del periodo facturado. 8. Se ha constatado que en el Registro de Incidencias no consta ninguna anotación en relación con la incidencia descrita. A este respecto, IBERDROLA manifestó que al tener conocimiento de la incidencia informada por los clientes se procedió a su rápida solución y debido a que era un periodo vacacional no se registró la incidencia en el Registro de Incidencias tal y como debería haberse hecho según el procedimiento establecido por IBERDROLA. No obstante, con fecha 20 de noviembre de 2012 y con motivo de la Inspección de la Agencia Española de Protección de Datos se ha procedido al registro de la incidencia y a reflejar en una nueva incidencia sobre la falta de notificación según el procedimiento establecido y recordar la obligatoriedad del registro de todas las incidencias de seguridad. 9. IBERDROLA, S.A. tiene suscrito un “Acuerdo marco para la regulación del acceso por cuenta de terceros a los datos de carácter personal en las prestaciones de servicios para las empresas del Grupo Iberdrola”, de fecha 1 de enero de 2007, que regula las condiciones relativas a los tratamientos de datos de carácter personal. Este Acuerdo Marco consta de varios Anexos, de los cuales, el Anexo I corresponde al “Compromiso de adhesión para IBERDROLA GENERACION, S.A.U” y “Compromiso de Adhesión para IBERDROLA COMERCIALIZADORA DEL ULTIMO RECURSO, S.A.U” y el Anexo IV a “Medidas de seguridad en el tratamiento de datos de carácter personal”, que obliga a IBERDROLA, como encargado del tratamiento, a adoptar las medidas que correspondan en función del nivel de seguridad asignado por el responsable del tratamiento. TERCERO: En relación con la denuncia formulada por el denunciante 1 se realizaron las siguientes comprobaciones: 1.No se ha constatado que al acceder a través de la web www.iberdrola.es. a los datos del denunciante 1, se acceda a la facturación del tercero indicado en la denuncia, D. A.A.A.. 2.Utilizando la identificación y autenticación de un responsable de Sistemas de la IBERDROLA, S.A. se accede a la web www.iberdrola.es constatándose que: • Utilizando como identificación del cliente el DNI ***DNI.1 se visualizan los datos del denunciante 1 con domicilio en ***POBLACIÓN.1 (Madrid), cliente de I BERGEN, con número de contrato ***CONTRATO.1. Se ha comprobado que se permite el acceso a las facturas correspondientes a los meses de julio, agosto y octubre de 2012 y que solo existe una única factura del mes de agosto de 2012, de fecha 7 de agosto de 2012, emitida a su nombre y que no coincide con la aportada por el denunciante. • Se ha verificado que al consultar por el número de contrato ***CONTRATO.2, que figura en la impresión de pantalla aportada por el denunciante, se visualizan los datos del tercero citado con domicilio en ***POBLACIÓN.2 (Madrid), cliente de IBERGEN y que consta la factura emitida factura emitida en fecha 3 de agosto de 2012, que coincide con la aportada por el denunciante. 3. Se ha acreditado que ambos clientes son usuarios de la web y que mantienen dos identificaciones de usuario. • El denunciante 1 se dio de alta con la primera identificación de usuario en fecha 02/07/2012 y el último acceso a la web con ese identificador se produjo el 10/08/2012. Y la segunda identificación de usuario se dio de alta en fecha 10/08/2012 y el último acceso se produjo el 03/11/2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18  El tercero se dio de alta con la primera identificación de usuario en fecha 15/11/2010 y el último acceso a la web con ese identificador se produjo el 23/10/2012. Y la segunda identificación de usuario se dio de alta en fecha 15/11/2010 y el último acceso se produjo el 08/08/2012, 4. En el Sistema de Información de Clientes, se ha acreditado que: • El denunciante es cliente de IBERGEN con número de contrato ***CONTRATO.1, con fecha de alta 05/07/2012. Figuran tres facturas emitidas en los meses de julio, agosto y septiembre de 2012. Ninguna de las facturas corresponde a la aportada en la denuncia, No constan contactos registrados con este cliente. • El tercero es cliente de IBERGEN con número de contrato ***CONTRATO.2, con fecha de alta 08/11/2010. Figuran diversas facturas emitidas, entre ellas la correspondiente al mes de agosto de 2012, que figura con fecha 3 de agosto de 2012, que coincide con la factura aportada por el denunciante. No constan contactos registrados con este cliente. 5. En relación con el correo electrónico remitido por el denunciante a la entidad, IBERDROLA manifiesta que: •El miércoles 8 de agosto se recibe un correo del denunciante 1 indicando que, al intentar acceder a su factura, visualiza la factura de otro cliente. Inicialmente se asoció el problema con la incidencia detectada el 30 de julio. •Se realizaron todas las pruebas posibles: se accedió como gestor para verificar la factura que el denunciante indicaba que visualizaba, se consultaron sus facturas en Gestor Documental donde se almacena toda la documentación de los clientes y se verificaron los enlaces de los pdfs de las facturas. •Se comprobó que los documentos estaban bien almacenados en gestión documental. No se consiguió reproducir el problema, las facturas almacenadas en el sistema correspondían al denunciante y en ningún momento a otro cliente. •Se contactó en varias ocasiones con el cliente solicitándole que realizara actuaciones (borrar historial de accesos, cookies,...) por si fuera un problema en local o del servidor corporativo desde el que se conectaba. El viernes 10 de agosto de 2012, en vista de que el cliente insistía en que el problema continuaba, y dada la imposibilidad de reproducir el problema, se le sugirió al cuente que se procedería a dar de baja el usuario y se le solicitó que realizase los trámites para su posterior alta. El cliente se dio nuevamente de alta en esta fecha, dándose por cerrada la incidencia. CUARTO: En relación con la denuncia formulada por el denunciante 2 se realizaron las siguientes comprobaciones: 1. No se ha constatado que al acceder a través de la web www.iberdrola.es, a los datos del denunciante 2, se acceda a datos de facturación de un tercero. 2. Utilizando la identificación y autenticación de un responsable de Sistemas de la IBERDROLA, S.A. se accede a la web www.iberdrola.es constatándose que:  Utilizando como identificación del cliente el DNI ***DNI.2 se visualizan únicamente los datos del denunciante 2 con domicilio en Toledo, cliente de IBERGEN, con número de contrato ***CONTRATO.3. 3. Se ha acreditado que el denunciante 2 es usuario de la web desde 22/10/2009, fecha que figura como fecha de alta, fecha de última conexión 02/08/2012 y fecha de baja 17/08/2012. 4. En el Sistema de Información de Clientes, se ha acreditado que:  El denunciante 2 es cliente de IBERGEN. Figura un contrato en situación de baja y un contrato activo con número de contrato ***CONTRATO.3 y fecha de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 alta 27/02/2012. Figuran emitidas cuatro facturas, las correspondientes a los meses de abril, junio, agosto y octubre de 2012. No constan contactos registrados con este cliente. 5. IBERDROLA manifiesta que no se ha detectado que el cliente haya accedido a información de otro cliente. QUINTO: En relación con la denuncia formulada por el denunciante 3 se realizaron las siguientes comprobaciones: 1. No se ha constatado que al acceder a través de la web www.iberdrola.es, a los datos del denunciante 3, se acceda a la facturación del tercero indicado en la denuncia, D. B.B.B.. 2. Utilizando la identificación y autenticación de un responsable de Sistemas de la IBERDROLA se accede a la web www.iberdrola.es constatándose que:  Utilizando como identificación del cliente el DNI ***DNI.3 se visualizan los datos del denunciante 3 con domicilio en Toledo, cliente de IBERCUR, con número de contrato ***CONTRATO.4. Se verifica que se puede acceder a diversas facturas, entre ellas se encuentra una factura del mes de junio de 2012, de fecha 8 de junio de 2012, y una factura correspondiente al mes de julio de 2012, ninguna de las cuales coincide con la aportada por el denunciante.  Se comprueba que al consultar por el número de contrato ***CONTRATO.5, que figura en la factura aportada por el denunciante, se visualizan los datos del tercero citado con domicilio en Orihuela, cliente de IBERCUR y que consta una factura emitida en fecha 26 de junio de 2012 que coincide con la aportada por el denunciante. 3. Se ha acreditado que ambos clientes son usuarios de la web:  El denunciante 3 se dio de alta como usuario en fecha 06/08/2012 y el último acceso a la web con ese identificador se produjo el 02/08/2012.  El tercero se dio de alta con la como usuario en fecha 26/06/2012 y el último acceso a la web con ese identificador se produjo el 05/11/2012. 4. En el Sistema de Información de Clientes, se ha acreditado que:  El denunciante 3 es cliente de IBERCUR con número de contrato ***CONTRATO.4, con fecha de alta 30/06/2009. Figuran diversas facturas emitidas, entre ellas, la correspondiente al mes de junio de 2012 que no coincide con la aportada en la denuncia. No constan contactos registrados con este cliente.  El tercero es cliente de IBERCUR con número de contrato ***CONTRATO.5, con fecha de alta 30/06/2009. Figuran diversas facturas emitidas, entre ellas la correspondiente al mes de junio emitida a su nombre con fecha 26 de junio de 2012 que coincide con la aportada por el denunciante. SEXTO: Con fecha 21/02/2013, el Director de la Agencia de Protección de Datos acordó iniciar procedimiento sancionador a la entidad IBERDROLA por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en el artículo 93, tipificada como grave en el artículo 44.3.

  1. h)de dicha norma, pudiendo ser sancionada con multa de con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 SÉPTIMO: Notificado el citado acuerdo de inicio de procedimiento sancionador, se recibe escrito de la entidad IBERDROLA en el que solicita el archivo de las actuaciones o, subsidiariamente, la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, que admite la imposición de una sanción según la escala prevista para las infracciones que preceden en gravedad a la imputada Después de señalar que la incidencia analizada es puntual, que afectó a la Oficina Virtual de Clientes, se produce por una causa identificada y fue diligentemente subsanada, reseña nuevamente las circunstancias de hecho que ya fueron indicadas a los Servicios de Inspección. Sobre la causa de la incidencia, indica lo siguiente: “Después de revisar el código y no encontrar la explicación, se revisó la configuración del cacheo del proxy inverso, y aunque no se había modificado ningún parámetro, se detectó que cambiando la configuración del mismo el problema dejaba de producirse, (cacheo de jsps en el Proxy inverso). Parece ser que el cambio relacionado con la eliminación de las cookies con el parámetro del cacheo produjo un efecto indeseado. El día 1 de agosto, a las 16:30 horas, se cambió la configuración y se procedió a habilitar de nuevo la funcionalidad en producción, que había quedado deshabilitada desde el lunes 30 a las 11.00 horas, para que los clientes usuarios de la OVC pudiesen acceder a sus facturas con total normalidad”. La incidencia se mantuvo en el intervalo entre las 06:00 horas del domingo 29 de julio de 2012 a las 11:00 horas del lunes 30 de julio y provocó que algún cliente - que además necesariamente tenía que ser usuario de la OVC - al acceder a la opción de consultar el detalle de su factura de electricidad en el tramo horario antes indicado, visualizara la factura de otro cliente que, prácticamente al mismo tiempo, hubiera hecho esta misma consulta. Los datos visualizados son de nivel básico, relativos a nombre y apellidos, DNI y domicilio (la cuenta bancaria de las facturas aparece incompleta por seguridad). Sobre el alcance de la incidencia destaca que no posibilitó la modificación, alteración o borrado de los datos, no se visualizaron listados de datos de varios clientes, los datos de facturación o de consumo de energía eléctrica no aportan en absoluto ninguna información en relación con el titular de la factura , la incidencia no repercutió en el suministro del servicio de electricidad contratado ni en la facturación o abono de las facturas, y tampoco se produjo una especial alarma o preocupación entre los clientes usuarios de la OVC de IBERDROLA (únicamente se ha producido reclamación de los tres clientes que presentaron denuncia ante la AEPD). IBERDROLA tiene implementadas todas las medidas de seguridad dispuestas en la normativa, que considerar que la obligación de seguridad es una obligación de medios, habida cuenta el estado de la tecnología, sin que pueda suponer la obligación de garantizar la inexistencia de incidencias o anomalías, y, en todo caso, las medidas han de ser proporcionales en función de la naturaleza de los datos protegidos. En las pruebas previas que realizó IBERDROLA no se detectó la incidencia a pesar de que se emplean medidas de seguridad más exigentes que las previstas para el Nivel Básico (nivel que aplica a los datos visualizados en la incidencia), entre las que se incluye la realización de auditorías de seguridad en materia de protección de datos, tanto internas como externas, estas últimas realizadas por empresas auditoras de reconocido prestigio. Concretamente, IBERDROLA tiene implantados mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 acceso previamente autorizado para el mismo, en función del perfil de usuario asignado, como las inspectoras de la AEPD pudieron comprobar en la inspección presencial realizada en los locales de IBERDROLA. Por lo tanto, entiende que para la correcta resolución del presente procedimiento se debe tener en cuenta que no se produjo dejación de funciones de manera voluntaria o por negligencia y la entidad actuó diligentemente en cuanto tuvo conocimiento del hecho para procurar la resolución de la incidencia realizando las actuaciones necesarias para evitar accesos por terceros, según se demostró durante la Inspección previa a la apertura de este procedimiento. Además, IBERDROLA no ha recibido ninguna otra denuncia por supuesta infracción en materia de protección de datos por comisión de infracciones de la misma naturaleza. Según lo expuesto, IBERDROLA considera que no tiene responsabilidad ni culpabilidad alguna en la supuesta infracción denunciada y solicita se proceda al archivo del procedimiento o, subsidiariamente, la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, con la imposición de una multa según la escala prevista para las infracciones leves en su cuantía mínima, por haber regularizado la situación de forma diligente y por la existencia de una disminución cualificada de la culpabilidad de IBERDROLA y de la antijuridicidad de los hechos que resulta de la concurrencia de los siguientes criterios:
  2. a)La infracción no tiene un carácter continuado, ya que se trató de una incidencia puntual que duró escasas horas ya que IBERDROLA inhabilitó la posibilidad de acceder al detalle de sus facturas a los clientes usuarios de la OVC.
  3. b)En cuanto al volumen de los tratamientos efectuados, afectó a un colectivo muy reducido de clientes, ya que, además de cumplir con la condición de ser usuarios de la OVC, debían acceder en un plazo muy limitado de tiempo con su clave de usuario.
  4. c)Considerando su objeto social, la actividad de IBERDROLA no tiene vinculación con la realización de tratamiento de datos de carácter personal.
  5. d)volumen de negocio o actividad del infractor: la aplicación del nuevo Régimen Sancionador de la LOPD debe redundar en un aumento de la seguridad jurídica para aquellas empresas con un volumen considerable de clientes y que, por lo tanto, están expuestas a padecer una incidencia totalmente involuntaria en la aplicación u observancia de los procedimientos y medidas de protección de datos de carácter personal establecidos, con mayor motivo cuando se ha tratado de un caso puntual como el denunciado.
  6. e)La supuesta infracción en materia de protección de datos denunciada no ha supuesto ningún beneficio económico.
  7. f)No existía intención de violar la normativa en materia de protección de datos personales, ya que ha acreditado que tenía implementados los procedimientos y las medidas de seguridad necesarias.
  8. g)No existe reincidencia por comisión de infracciones de la misma naturaleza.
  9. h)Los perjuicios causados han sido nulos:
  10. i)Con anterioridad a los hechos constitutivos de la infracción, la entidad imputada tenía implantados procedimientos adecuados para la recogida y el tratamiento de datos de carácter personal y la supuesta infracción podría ser consecuencia de una anomalía en el funcionamiento de dichos procedimientos.
  11. j)La repercusión de la incidencia ha sido escasa, destacando la ausencia de reclamaciones, salvo las tres denuncias que tuvieron entrada en la AEPD. OCTAVO: En fecha 23/05/2013, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 interpuesta y la documentación que acompaña, así como las actuaciones previas de investigación señaladas con el número E/05295/2012, que incluyen el Acta de Inspección E/05295/2012/I-01, y las alegaciones a la apertura del procedimiento presentadas por IBERDROLA. NOVENO: Con fecha 02/07/2013, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad IBERDROLA con multa de 10.000 euros (diez mil euros), por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.h), y de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, se recibió escrito de alegaciones de la entidad IBERDROLA en el que solicita nuevamente el archivo de las actuaciones y, subsidiariamente, la aplicación de lo establecido en el artículo 45.5 de la LOPD, con la imposición de una sanción por el importe establecido para las infracciones leves en su cuantía mínima. A este respecto, detalla su objeto social para manifestar que su actividad empresarial no tiene como objeto principal el tratamiento de datos de carácter personal y, por tanto, no puede tomarse como agravante en la graduación de la sanción. Añade que los hechos analizados resultan de un caso puntual y que no existía intención de infringir la normativa en materia de protección de datos personales. HECHOS PROBADOS 1. IBERDROLA, S.A. tiene suscrito un “Acuerdo marco para la regulación del acceso por cuenta de terceros a los datos de carácter personal en las prestaciones de servicios para las empresas del Grupo Iberdrola”, de fecha 1 de enero de 2007, que regula las condiciones relativas a los tratamientos de datos de carácter personal. Este Acuerdo Marco consta de varios Anexos, de los cuales, el Anexo I corresponde al “Compromiso de adhesión para IBERDROLA GENERACION, S.A.U” y “Compromiso de Adhesión para IBERDROLA COMERCIALIZADORA DE ULTIMO RECURSO, S.A.U”, y el Anexo IV a “Medidas de seguridad en el tratamiento de datos de carácter personal”, que obliga a IBERDROLA, como encargado del tratamiento, a adoptar las medidas que correspondan en función del nivel de seguridad asignado por el responsable del tratamiento. 2. IBERDROLA es la entidad responsable de la web www.iberdrola.es, desde la que se accede a datos personales de clientes de las entidades IBERDROLA GENERACIÓN, S.A. o/y IBERDROLA COMERCIALIZACIÓN DE ULTIMO RECURSO, S.A. Los datos de identificación de usuario para el acceso a la web forman parte de los ficheros de Clientes de cada una de las sociedades (IBERGEN e IBERCUR). 3. Los clientes de aquellas entidades (IBERGEN e IBERCUR) pueden registrarse como usuarios de la web www.iberdrola.es para realizar gestiones a través de la Oficina Virtual de Clientes, que requiere la cumplimentación de un breve formulario con nombre, apellidos, DNI, email del usuario, contrato y opcionalmente los 4 últimos dígitos de la cuenta corriente. El registro como usuario permite al cliente acceder a sus contratos. 4. Con fechas 1, 2 y 14/08/2012, tuvieron entrada en esta Agencia Española de Protección de Datos escritos de los denunciantes 1 a 3, en los que ponen de manifiesto que al acceder con código de usuario y contraseña a la facturación electrónica de IBERDROLA, a través de la web www.iberdrola.es, obtuvieron información sobre facturación de terceros. Los denunciantes 1 y 3 aportaron impresión de pantalla en la que constan sus datos personales junto con una factura C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 que pertenece a un tercero. 5. Por los Servicios de Inspección de la AEPD se accedió al Sistema de Información de Clientes de IBERDROLA, comprobando que los denunciantes y los terceros a los que corresponde la documentación accedida por aquellos, según consta en el Hecho Probado Cuarto, son clientes de IBERGEN o de IBERCUR. Asimismo, se accedió a la facturación de los terceros, coincidente con la aportada por los denunciantes. 6. En relación con la incidencia que permitió a los denunciantes acceder a información de otros clientes terceros, IBERDROLA, S.A. aportó a los Servicios de Inspección de la AEPD un Informe en el que, entre otras circunstancias, consta lo siguiente:  Con fecha 29/07/2012, IBERDROLA puso en producción una actualización del sitio web www.iberdrola.es con nuevas funcionalidades.  En la mañana del 30/07/2012, la citada entidad recibió los primeros avisos de los clientes, vía telefónica, indicando que en la consulta del detalle de factura figuraba la factura de otro titular.  Como medida cautelar, procedió a las 11:00 horas a deshabilitar la funcionalidad en producción.  Una vez detectado el posible error se realizaron acciones encaminadas a solucionarlo y con fecha 01/08/2012, a las 16:30 horas, se cambió la configuración y se procedió a habilitar de nuevo la funcionalidad en producción. 7. En relación con la incidencia, IBERDROLA efectuó las siguientes manifestaciones que constan en Acta de Inspección:  La incidencia se produjo durante 29 horas, desde las 6:00 del domingo 29 de julio hasta las 11:00 del lunes 30 de julio.  Únicamente ha afectado a clientes que son además de usuarios de la web y usuarios de la facturación on-line.  Asimismo, para que se haya producido la incidencia ha tenido que darse la concurrencia de que dos usuarios hayan accedido a la facturación on-line en un intervalo de pocos segundos.  Desconocen el volumen de accesos a las facturas de terceros pero consideran que ha sido muy pequeño ya que no hay constancia de ninguna reclamación por escrito en relación con estos hechos y solo hay constancia de un correo electrónico de uno de los denunciantes. Asimismo, en caso de que este volumen hubiera sido elevado desde el propio Departamento de Atención al Cliente se hubiera detectado el problema con mucha rapidez.  Los únicos datos personales a los que se ha tenido acceso de otro cliente son los que figuran en la factura: nombre y apellidos, domicilio postal, DNI, número de cuenta bancaria truncada, número de contrato y datos de consumo del periodo facturado. 8. Por los Servicios de Inspección de la AEPD, a la vista de los accesos realizados al Sistema de Información de IBERDROLA durante la fase de investigación, informaron que no se constató que al acceder a través de la web www.iberdrola.es. a los datos de los denunciantes se accediera a la facturación de los terceros indicados en las denuncias. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  12. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
  13. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
  14. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero accedido, atendiendo a su contenido (datos de clientes de IBERGEN e IBERCUR relativos a nombre y apellidos, CIF, email y datos de facturación), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
  15. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
  16. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. IV Se imputa a la entidad IBERDROLA el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  17. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  18. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
  19. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
  20. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  21. h)de la LOPD tipifica como infracción grave “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  22. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  23. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  24. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  25. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por la entidad IBERDROLA, correspondiendo adoptar las calificadas de nivel básico, en atención al tipo de información básica que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.1 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 citado Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establece: “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
  26. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad IBERDROLA, está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, por cuanto el sistema de gestión de accesos a la Oficina Virtual de Clientes, a la que se accede a través de la web iberdrola.es, no impidió de manera fidedigna que los denunciantes pudieran acceder a datos personales de otros clientes usuarios de dicha Oficina. En concreto, consta que los denunciantes accedieron a la Oficina Virtual, mediante su usuario y contraseña, comprobando que asociados a su perfil se mostraban facturas de otros clientes con el detalle de los datos personales de los mismos relativos a nombre, apellidos, domicilio, DNI y contrato. El 29/07/2012 IBERDROLA puso en producción una actualización del sitio web que produjo la incidencia, provocada por los elevados tiempos de respuesta en la autenticación, ocasionando que cuando el cliente era definitivamente autenticado se le otorgaba la identidad de otro cliente que había intentado acceder en ese período de espera Por tanto, el mecanismo de acceso a la información contenida en el sistema no cumplió las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 identificación y autenticación de usuarios, por cuanto mostró datos personales que no pertenecían al usuario identificado. Así, los datos personales de los usuarios de la Oficina Virtual de Clientes fueron accesibles desde la zona habilitada para los mismos, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que la entidad IBERDROLA ha incurrido en la infracción grave descrita. Tales hechos quedaron acreditados por la documentación aportada por los denunciantes, que incluía el detalle de la información accedida por los mismos, que muestra los datos personales identificativos de otros clientes, y han sido reconocidos por la propia entidad imputada. V La entidad IBERDROLA ha alegado que sus sistemas de información disponen de las medidas de seguridad requeridas. Sin embargo, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. En Sentencia de 19/10/2010, la Audiencia Nacional considera conforme la resolución recurrida, en la que se graduó la multa tomando en consideración la existencia de medidas de seguridad. En dicha Sentencia se declara que “La Administración le impuso, no obstante, una sanción de… utilizando los criterios de corrección del art. 45.4 de la LOPD, al haber ponderado que la empresa tenía medidas de seguridad…”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad IBERDROLA la obligada garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. VI El artículo 44.3.
  27. h)de la LOPD, considera infracción “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que IBERDROLA ha incurrido en la infracción grave descrita. VII La Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de fecha 25/02/2010, en relación con un caso en el que se examina un posible fallo de seguridad en los sistemas de información, señala lo siguiente: “…la recurrente no realizó actividad alguna, pese a que era consciente del riesgo de una posible revelación o publicidad del fichero…”. “… un comportamiento adecuado y activo de la misma pudo impedir o, al menos, minimizar el riesgo real de revelación de los datos personales de los usuarios. Es decir, su comportamiento omisivo (no advirtiendo de la fuga a los usuarios, no presentando denuncia, no cambiando la contraseña etc.) facilitó o, al menos, no obstaculizó la revelación de los datos…”. “La recurrente, como garante de los datos personales de terceros que figuraban en sus ficheros, no tuvo la diligencia exigible sino que propició la revelación como cooperador necesario por omisión. Siendo ello así, la Sala entiende cometida, como también recoge la resolución impugnada, la infracción del artículo 10 de la LOPD, tipificada en el artículo 44.3.
  28. g)de la citada norma, es decir la vulneración del deber de guardar secreto…”. Los criterios contenidos en la Sentencia citada se han tenido en cuenta para no imputar a IBERDROLA una infracción de lo dispuesto en el artículo 10 de la LOPD, por incumplimiento del deber de secreto en relación con los datos personales de sus clientes y usuarios de la Oficina virtual, considerando la actuación desarrollada por la misma con posterioridad al incidente para regularizar la situación y minimizar los riesgos, que consta detallada en los hechos probados. VIII El artículo 45.1, 2, 4 y 5 LOPD, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  29. a)El carácter continuado de la infracción.
  30. b)El volumen de los tratamientos efectuados.
  31. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  32. d)El volumen de negocio o actividad del infractor.
  33. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  34. f)El grado de intencionalidad.
  35. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  36. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  37. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  38. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  39. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  40. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  41. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  42. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  43. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad IBERDROLA, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. IBERDROLA ha solicitado la aplicación de este precepto considerando que regularizó la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 situación de forma diligente y por la concurrencia significativa de los criterios establecidos en el artículo 45.4. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Asimismo, se considera que IBERDROLA, por su volumen y actividad, es una empresa que tiene vinculación con el tratamiento de datos de carácter personal, siendo exigible por ello una especial diligencia, especialmente, teniendo en cuenta los servicios que pretende prestar a través de su web. IBERDROLA es la entidad responsable de la web www.iberdrola.es, en la que pueden registrarse como usuarios los clientes de las entidades IBERGEN e IBERCUR. Además, IBERDROLA acede a las bases de datos de estos clientes, en su condición de encargado del tratamiento y para las prestaciones de servicios convenidas con las entidades del grupo. No obstante, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves por la concurrencia de varios de los criterios enunciados en el artículo 45.4 de la LOPD, considerando la ausencia de intencionalidad que se aprecia en la conducta de la entidad IBERDROLA, por cuanto el fallo de seguridad no resulta de la inexistencia, en general, de medidas de seguridad y realizó, a su propia iniciativa y de forma inmediata, las actuaciones necesarias para restringir los accesos indebidos a la información de sus clientes y para la implementación de las mejoras necesarias para que no se reproduzca la incidencia, según el detalle que consta en el Antecedente Segundo. Por otra parte, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, por un lado, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, que supone un nivel de exigencia mayor, así como la concurrencia de tres infracciones de datos expuestos acreditadas por los denunciantes; y por otro, el escaso tiempo de respuesta empleado por IBERDROLA para regularizar la incidencia, que minimizó claramente los riesgos; procede la imposición de una multa por importe de 20.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IBERDROLA, S.A., por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  44. h)de dicha norma, una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente Resolución y el Anexo 0 a IBERDROLA, S.A. TERCERO: NOTIFICAR a cada uno de los denunciantes la presente Resolución y exclusivamente el Anexo que les corresponda, en el que se incluye su identificación. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.