← España

PS-00090-2024

1/51  -Expediente N.º: EXP202207990 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 13 de junio de 2022, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS S.L.U., con NIF B39540760 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en fecha 15 de febrero de 2022, tuvo conocimiento de que la parte reclamada había realizado una contratación de servicios de gas y electricidad, con sus datos personales, sin su consentimiento, en un punto de suministro desconocido para ella, dando acceso a sus datos a un tercero titular del contrato. Tras llamar por teléfono, le confirmaron que había sido un error por un "cruce de datos", procediendo a cancelar los contratos. Señala que tras solicitar que le remitieran por escrito la cancelación de estos, recibió un correo electrónico en fecha 14 de marzo de 2022, en el que le indicaban que constaba la baja desde el 4 de marzo de

  1. Junto a la reclamación aporta correos electrónicos intercambiados con el delegado de protección de datos, en los que solicitaba conocer las medidas que se habían tomado en cuanto a la filtración sin su consentimiento de sus datos personales, recibiendo respuesta en fecha 24 de mayo de 2022, pero relativa a una información correspondiente a una petición de ejercicio del derecho de acceso a sus datos de carácter personal, que la parte reclamante indica no haber realizado. Asimismo, en la reclamación presentada en fecha 6 de julio de 2022, consta una factura de consumo de luz emitida por la parte reclamada en junio de 2022, que incluye como periodo de facturación, el periodo comprendido entre el 5 de mayo de 2022 y el 8 de junio de 2022, por un importe de ***CANTIDAD euros, relativa a un punto de suministro en ***LOCALIDAD.
  2. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/51 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 28 de julio de 2022, como consta en el certificado que obra en el expediente. En fecha 22 de agosto de 2022, se recibe en esta Agencia escrito de respuesta indicando que en fecha 13 de enero de 2022, una persona ajena a la parte reclamante solicitó realizar un cambio de titularidad de los suministros de luz y gas, modificación que se efectuó en la ficha de la parte reclamante "al existir una correspondencia casi idéntica de nombres". Una vez que la parte reclamante se puso en contacto con la parte reclamada, el equipo del delegado de Protección de Datos procedió, de forma inmediata, a analizar el incidente, considerando que no era necesario notificar la brecha de seguridad a la AEPD "dado que la brecha no entrañaba un alto riesgo para los derechos y libertades de las personas físicas". Se procedió a comunicar a la parte reclamante la decisión adoptada en el marco de un derecho de acceso. Considera que la causa que ha motivado la reclamación es un error humano puntual al realizar un cambio de titularidad a favor de una tercera persona también cliente de la entidad. Las facturas recibidas por la parte reclamante son el resultado de dicha permutación. Informa que se han adoptado una serie de medidas a fin de evitar la repetición de errores de este tipo. Asimismo, se han planificado campañas de formación a los agentes con el fin de reforzar los procedimientos de cambio de titularidad y prevenir un incidente de características similares. Por último, añade que se han llevado a cabo todas las medidas pertinentes para regularizar la titularidad de los suministros de luz y gas, suprimiendo los datos personales de la parte reclamante. TERCERO: En fecha 30 de agosto de 2022, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue notificada a la parte reclamante, en fecha 30 de agosto de 2022, según consta acreditado en el expediente. CUARTO: En fecha 7 de septiembre de 2022, la parte recurrente interpuso recurso potestativo de reposición, a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202207990, en el que mostraba su disconformidad con la resolución impugnada, aportando nueva documentación y nuevos hechos, y argumentando que la parte reclamada informó que había dos contratos dados de alta erróneamente a nombre de la parte recurrente y dados de baja (***CONTRATO.1 y ***CONTRATO.2). Pese a esto, al dar de baja el contrato de electricidad ***CONTRATO.2, dio de alta un nuevo contrato, el ***CONTRATO.3, por el cual se han continuado emitiendo facturas con posterioridad a su reclamación y cuya anulación no le consta. Por tanto, su reclamación todavía no habría sido adecuadamente atendida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/51 Adicionalmente, señala que el 24 de mayo 2022, la parte reclamada informó en respuesta al derecho de acceso que sus datos no estaban siendo tratados con ninguna finalidad, quedando bloqueados para el cumplimiento de obligaciones legales. No obstante, tras esta fecha la parte recurrente recibió facturas del contrato que continuaba dado de alta, así como una comunicación informativa de la parte reclamada recibida el 1 de julio de
  3. Por ello, considera que sus datos, frente a lo afirmado por la parte reclamada, continúan siendo objeto de tratamiento más allá de la obligación legal de bloqueo de forma contraria a la normativa. Por último, señala que la parte reclamada no ha tomado medidas para evitar el uso de los datos personales de la parte recurrente comunicados a terceros, sin que se haya solicitado de estos su eliminación. Posteriormente, en fecha 9 de septiembre de 2022, manifiesta haber recibido de la parte reclamada, un correo con una respuesta de otra entidad por un procedimiento de facturación indebida independiente, lo que considera un nuevo tratamiento incorrecto. QUINTO: En fecha 8 de marzo de 2023, se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que se ha verificado mediante escrito de respuesta de fecha 23 de marzo de
  4. SEXTO: En fecha 11 de abril de 2023, la Directora de la Agencia Española de Protección de Datos resolvió estimar el recurso de reposición interpuesto contra la resolución de esta Agencia dictada en fecha 30 de agosto de 2022, y, admitir a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. OCTAVO: En fecha 19 de enero de 2024, la Directora de la Agencia Española de Protección de Datos resolvió por un lado declarar la caducidad de las actuaciones previas de investigación toda vez que habían transcurrido más de doce meses contados desde la fecha de admisión a trámite de la reclamación, sin haberse dictado y notificado el acuerdo de inicio de procedimiento sancionador, y por otro, abrir nuevas actuaciones de investigación, incorporando la documentación que integran las actuaciones previas que se declaran caducadas. NOVENO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/51 artículo 57.1 y de los poderes otorgados en el artículo 58.1 .del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Cuando un consumidor decide contratar un suministro eléctrico y/o un suministro de gas con una empresa comercializadora de su libre elección, el comercializador solicita el acceso para ese consumidor, al distribuidor correspondiente a la red a la que se quiere conectar, facilitándole los datos necesarios para gestionar el punto de suministro, cumpliendo con la normativa de protección de datos vigente. Del mismo modo, cuando es necesario realizar alguna modificación sobre el contrato de acceso vigente, por ejemplo, un cambio de titularidad es el comercializador quien dispone de los datos del consumidor y quien tramita en su nombre la solicitud ante la distribuidora. Todos los intercambios de información entre distribuidores y comercializadores se realizan utilizando el Formato definido por la Comisión Nacional de los Mercados y la Competencia, CNMC, para cada proceso. El Formato define el flujo de comunicaciones o mensajes que se intercambian los agentes involucrados, es decir, distribuidores y comercializadores, los plazos establecidos para el envío de los mensajes, los supuestos de concurrencia con otros procesos, los motivos de rechazo e incidencias, así como, los ficheros de comunicación electrónica que deben utilizar para transmitir cada mensaje. Dicho intercambio de comunicaciones o mensajes entre comercializadores y distribuidores se realiza a través del Sistema de Comunicación de Transporte Distribución (en adelante, “SCTD”). El SCTD es, por tanto, un intercambiador cuya misión es asegurar que la comunicación se realiza siguiendo los formatos definidos por CNMC. En concreto, el formato definido para las modificaciones del contrato de acceso es el formato M1, en el caso de suministro eléctrico, y el formato A1-05, en el caso de suministro de gas. Para mayor detalle, puede consultarse el proceso de Modificación del Contrato de Acceso en la Resolución INF/DE/152/15 en el siguiente enlace: https://www.cnmc.es/expedientes/infde
  5. Respecto del Grupo Repsol REPSOL REYG y RÉGSITI, COMERCIALIZADORA REGULADA, SLU (en adelante, RÉGSITI) son dos empresas pertenecientes al Grupo Repsol. (…). (…). Se aporta captura de pantalla de los sistemas que muestra la segmentación de perfiles por sociedad, siendo “ML” las iniciales correspondientes a “Mercado Libre” (es decir, REPSOL REYG) y “TUR” “Tarifa Regulada” (es decir, RÉGSITI). Documento 5 de la entrada REGAGE23e
  6. Asimismo, REPSOL REYG añade: Por último, creemos conveniente destacar que nuestros procedimientos de contratación han sido objeto de estudio en diversas ocasiones por el área de Energía de la CNMC, no solamente con ocasión de este Expediente, sino también como parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/51 de procedimientos contra el resto de Comercializadoras del sector, donde la CNMC pone en valor la eficacia de las medidas de REPSOL REYG. Documento 5 de la entrada REGAGE23e
  7. Respecto de los hechos La parte reclamante acredita que el 15 de febrero de 2022 recibe un SMS de la compañía distribuidora de gas informándole de la fecha de la próxima inspección periódica obligatoria de la instalación de gas, y añade: “Puesto que esta inspección la habían realizado en mi domicilio a finales de octubre de 2020 y corresponde cada 5 años me puse en contacto con la distribuidora de gas para aclararlo. Me indicaron que, efectivamente, no correspondía la inspección pero que constaba que existía otro punto de suministro de gas en ***LOCALIDAD.1 asociado a mi DNI y nombre y apellidos con la compañía REPSOL y que me pusiese en contacto con ellos. Llamé al teléfono que me facilitaron de REPSOL y me informaron de que no sólo había un contrato de gas con mis datos sino también otro de electricidad en el mismo punto de suministro de ***LOCALIDAD.
  8. Yo no he suscrito esos contratos con REPSOL y la dirección del punto de suministro me es completamente ajena”. La parte reclamante aporta las siguientes facturas emitidas por REPSOL a su nombre y asociadas al punto de suministro de ***LOCALIDAD.1 que no reconoce: FACTURA PERÍODO Rectificativa de gas Electricidad Electricidad Rectificativa de electricidad Rectificativa de electricidad 14/01/2022 - 14/02/2022 04/03/2022 - 05/05/2022 05/05/2022 - 08/06/2022 04/03/2022 - 05/05/2022 05/05/2022 - 08/06/2022 En los datos de cliente de las facturas figuran el nombre y DNI de la parte reclamante. La parte reclamante indica que el número de cuenta bancaria que se incluye en las facturas no le pertenece y que no se ha producido ningún cargo/abono hasta la fecha en relación con dichos contratos. Por otra parte, la parte reclamante tiene suscrito un contrato de suministro de electricidad con (…) desde febrero de 2019 hasta el 28 de julio de
  9. Los contratos que la parte reclamante no reconoce están asociados a los siguientes puntos de suministro, de gas y luz respectivamente: - ***CÓDIGO.1 Se acredita que en fecha 14 de enero de 2022 REPSOL REYG remite a la distribuidora de gas una solicitud de cambio de titularidad a favor de la parte reclamante. La distribuidora activa dicha solicitud de cambio de titularidad a favor de la parte reclamante en fecha 14 de enero de
  10. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/51 Se acredita que en fecha 3 de marzo de 2022 la distribuidora recibe nueva solicitud de cambio de titularidad por parte de REPSOL REYG a favor de otra persona distinta, Cliente C, por lo que la parte reclamante, deja de constar como titular del suministro de gas cuando se activa esta nueva solicitud, el mismo 3 de marzo de
  11. - ***CÓDIGO.2 Se acredita que en fecha 14 de enero de 2022 REPSOL REYG remite a la distribuidora de luz una solicitud de modificación en el contrato de acceso, por cambio de titularidad por traspaso, a favor de la parte reclamante. La distribuidora activa dicha solicitud de cambio de titularidad a favor de la parte reclamante en fecha 16 de enero de
  12. Se acredita que en fecha 3 de marzo de 2022 la distribuidora recibe nueva solicitud de cambio de titularidad por parte de REPSOL REYG a favor de otra persona distinta, Cliente C, por lo que la parte reclamante, deja de constar como titular del suministro de gas cuando se activa esta nueva solicitud, el 5 de marzo de
  13. En el marco de las actuaciones de investigación REPSOL REYG manifiesta: En fecha 14/01/2022 se recibe una solicitud de cambio de comercializadora con cambio de titularidad por parte de una persona ajena a la denunciante (en adelante, “clienta A”) (ARCHIVO 1). Al existir una correspondencia casi idéntica de nombre y dos apellidos, la solicitud se ejecuta en la ficha de cliente de la reclamante. En este momento, se lanza la primera solicitud de cambio de titularidad a la distribuidora producto del alta de la Clienta A en RE&G. En la solicitud de fecha 14/01/2022 se facilitan a la distribuidora los datos que constan en la ficha de cliente de la parte reclamante, ya que, por la identidad de nombre y dos apellidos, se graba en su ficha los dos nuevos contratos de la Cliente A. Al ser la reclamante cliente de Repsol REYG, el origen de los datos comunicados a la distribuidora no es otro que la propia interesada. En el ARCHIVO 1 aportado, Solicitud de cambio de titularidad del contrato de electricidad/gas, Evidencias EXP202207990 de la entrada REGAGE23e00047317903, se comprueba que el nombre y apellidos que figuran en los campos DATOS DEL NUEVO TITULAR y DECLARO (B.B.B.) coinciden con el nombre y apellidos, cambiados de orden, de la parte reclamante (A.A.A.). Preguntada la parte reclamada por la documentación que acredita que la reclamante es cliente de REPSOL REYG, la parte reclamada manifiesta: Si bien no disponemos del contrato firmado por la reclamante debido a que, en el momento de la formalización de contrato en fecha 22/01/2011 los sistemas pertenecían a (…). REPSOL REYG aporta captura de pantalla de sus sistemas donde constan como fecha de inicio y fin de la relación contractual entre la parte reclamante y REPSOL REYG las fechas 22/01/2011 y 04/02/2019, respectivamente. Documento 4 de la entrada REGAGE23e
  14. REPSOL REYG aporta también captura de pantalla de la ficha de cliente de la parte reclamante. La información que contiene es: nombre, apellidos, DNI y número de teléfono móvil. En la ficha de cliente de la parte reclamante figura la alerta (…), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/51 REPSOL REYG indica que esta alerta se generó el 04/02/2019, fecha en la que finalizó el contrato con parte reclamante. En cuanto al plazo de conservación de los datos de sus clientes, REPSOL REYG traslada que ha definido un período de conservación de 6 años desde la finalización de la relación contractual, en cumplimiento de la legislación aplicable. Este plazo aplica a todos los clientes de REPSOL REYG con independencia de que provengan de sociedades posteriormente adquiridas. En consecuencia, los datos personales de la reclamante, excliente de REPSOL REYG, serán suprimidos una vez transcurra el plazo de conservación mencionado. En lo que respecta a la normativa aplicable de acuerdo con la que se han definido los plazos de conservación de los datos de clientes REPSOL REYG manifiesta que ha tomado en consideración: i. Artículo 30 del Código de Comercio, que establece un plazo de conservación y custodia de libros y documentos del empresario de seis

(6)años a partir del último asiento realizado en los libros. i. Artículos 60 y ss. de la Ley General Tributaria, que establecen un plazo de prescripción de responsabilidades de cuatro
(4)años, durante el cual la Agencia Tributaria puede solicitar cualquier tipo de documentación. ii. Artículo 1964.2 del Real Decreto de 24 de julio de 1889 por el que se publica el Código Civil, que establece un plazo de cinco
(5)años, desde que pueda exigirse el cumplimiento de la obligación. iii. Artículos 123.4 y ss. Del Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, que establece un plazo de tres
(3)años, aplicable a las contrataciones realizadas por vía telefónica o canales digitales (contratación a distancia). iv. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que establece un plazo de prescripción de responsabilidades para las infracciones muy graves derivadas del tratamiento de datos personales de tres
(3)años. v. Ley 24/2013, del sector eléctrico y Ley 34/1998, de hidrocarburos, que establece un plazo de conservación de cinco
(5)años, para los datos relativos a las transacciones de los contratos de suministro de electricidad y gas suscritos con los clientes mayoristas y los gestores de redes de transporte, así como con los gestores de almacenamientos y de redes de GNL, para ponerlos a disposición del Ministerio de Industria, Energía y Turismo, de las Comunidades Autónomas o de la CNMC. Teniendo en cuenta la diversidad de plazos establecidos por las legislaciones aplicables, se ha optado por establecer un plazo de seis
(6)años, de los cuales cinco
(5)años se corresponden con el periodo de conservación activa y un
(1)año de bloqueo, en cumplimiento de la obligación establecida en el artículo 32 LOPDGDD. De manera adicional, REPSOL REYG pone de manifiesto que está desarrollando un proyecto de mejora de la automatización del bloqueo y supresión de los datos. En relación con este proyecto señala: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/51 (…). (…). (…). En el Anexo I del DOCUMENTO 1, entrada REGAGE24e00010184889, se representa el ciclo de vida del dato y los períodos de retención. Procedimiento de REPSOL REYG para tramitar modificaciones de contratos de acceso por cambios de titularidad REPSOL REYG el Procedimiento de Cambio de Titularidad vigente en el momento de la incidencia, ARCHIVO_3 de la entrada REGAGE23e00047203945, donde el primer paso para tramitar la solicitud es identificar al cliente que contacta aplicando la Política de Seguridad, ARCHIVO_4 de la entrada REGAGE23e00047203945.  En el Procedimiento de Cambio de Titularidad aportado se recoge: 1.1.1.1 Identificación del titular Identificar al cliente que contacta con Repsol aplicando la Política de Seguridad. 1.1.1.1 Comprobaciones previas y análisis de la información Comprobar si es cliente de Repsol o no y existe ficha de cliente y verificar si existe deuda. En el caso de que el cliente haya enviado documentación, revisar si disponemos de toda la documentación para realizar la gestión correspondiente. […] Asimismo, REPSOL REYG añade: El 11 de agosto de 2022 tras el primer requerimiento de información de la AEPD, se actualiza Procedimiento de Cambio de Titularidad incluyendo una referencia explícita a la obligatoriedad de realizar búsquedas en los sistemas a través del DNI del interesado, de manera que no se produzcan errores humanos o malas praxis que den lugar a incidentes similares al acontecido.  En la Política de seguridad aportada, en el apartado Excliente, se recoge: Siempre que accedamos a la ficha de un excliente nos aparecerá una alerta. A este tipo de cliente debemos realizarles el Protocolo de Seguridad habitual salvo la última pregunta, la del banco. Se realizarán las siguientes preguntas: 1) DNI titular 1) Contacto: telf./email (al menos uno) 2) Dirección del punto de suministro REPSOL REYG acredita que la Clienta A aportó el documento Solicitud de Cambio de Titularidad, entrada REGAGE23e00047205302, e indica que adicionalmente aportó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/51 fotocopia de su DNI y las escrituras de la propiedad, como acreditación del “justo título” de los puntos de suministro ***CÓDIGO.2 de luz y ***CÓDIGO.1 de gas. Respecto de las facturas emitidas La parte reclamante figura como titular de los puntos de suministro de luz y gas, ***CÓDIGO.2 y ***CÓDIGO.1, en los períodos desde el 14/01/2022 hasta el 05/03/2022 y desde el 14/01/2022 hasta el 03/03/2022, respectivamente. A continuación, se identifican las facturas generadas por REPSOL REYG a nombre de la parte reclamante y relativas a los puntos de suministro anteriores: FACTURA PERÍODO 1 2 3 4 5 6 7 14/01/2022 - 14/02/2022 15/02/2022 - 02/03/2022 14/01/2022 - 14/02/2022 04/03/2022 - 05/05/2022 05/05/2022 - 08/06/2022 04/03/2022 - 05/05/2022 05/05/2022 - 08/06/2022 Gas Gas Rectificativa de gas Electricidad Electricidad Rectificativa de electricidad Rectificativa de electricidad En relación con la generación de estas facturas, REPSOL REYG explica: 1. Factura 1: esta factura fue emitida como consecuencia del error humano inicial del agente que tramitó el cambio de titularidad de la Clienta A en la ficha de cliente de la parte reclamante. 1. Factura 2: este período de facturación abarca el período desde que se detecta la incidencia el 15/02/2022, momento en el que la parte reclamante se pone en contacto con Atención al Cliente de REPSOL REYG para notificar el error, hasta el 28/02/2022, al enviar solicitud de cambio de titularidad a la distribuidora a favor del Cliente C, haciéndose el cambio efectivo el 03/03/2022. 2. Factura 3: Al anular el contrato que erróneamente se había generado se anularon las facturas emitidas bajo el mismo error. 3. Factura 4: como consecuencia del proceso de calidad que se llevó a cabo en fecha 17/06/2022, enfocado a subsanar las modificaciones que, de manera inusual, habían tenido lugar en los sistemas a causa de la incidencia, se emitió la factura relativa a dicho período a nombre de la reclamante, siendo ésta anulada el 12/07/2022 mediante factura rectificativa, al tratarse de una regularización interna (Factura 6). 4. Factura 5: esta factura se generó bajo las mismas circunstancias que la factura anterior, emitiéndose en la misma fecha y procediéndose a su anulación el 12/07/2022 mediante factura rectificativa (Factura 7). Respecto de las comunicaciones enviadas a la parte reclamante REPSOL REYG traslada que esta incidencia tiene un carácter excepcional y al tener la parte reclamante un elevado número de reclamaciones abiertas en el momento de la incidencia, uno de los agentes, que prestan servicio tanto a RÉGSITI como a REPSOL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/51 REYG, con el propósito de prestar su máxima colaboración para resolver la incidencia unió en una única respuesta aspectos diferentes. Como consecuencia de dicho suceso, REPSOL REYG manifiesta que ha acordado centralizar la gestión de casos de mayor complejidad en un mismo agente especializado o “Agente VIP”, para evitar errores o malas prácticas en la gestión de incidencias críticas y/o que afecten a datos de carácter personal. Documento 7 de la entrada REGAGE23e00075463486. Respecto de las medidas de seguridad En el momento en el que tuvo lugar la incidencia REPSOL REYG tenía establecidos: - Procedimiento de Cambio de Titularidad - Política de Seguridad REPSOL REYG acredita que desde el momento en que tuvo conocimiento de la incidencia de la parte reclamante, adoptó las medidas oportunas para regularizar la titularidad de los puntos de suministro de luz y gas afectados. Asimismo, REPSOL REYG traslada que: - (…). - (…). - (…). - (…). Acordó completar correctamente la información incluida en las peticiones técnicas de resolución de incidencias, considerando que pueda ser necesario aplicar retroactividad, de manera que no se lancen automáticamente solicitudes a la distribuidora cuando se realicen ciertas modificaciones internas. Archivo 8 de la entrada REGAGE23e00047149400. - Refuerza con (...) para que se compruebe en la creación o anulación de nuevos contratos que, si no deben ser facturados, permanezcan bloqueados. - El negocio de Electricidad y Gas del Grupo Repsol se encuentra diseñando un plan de mejora del cumplimiento de los plazos de conservación y bloqueo definidos en el RAT. Documento 1 de la entrada REGAGE24e00010184889. DÉCIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad REPSOL S.A. es una gran empresa, constituida en el año 1986, y con un volumen de negocios de 2.417.000.000 €, en el año 2023. UNDÉCIMO: En fecha 24 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.
  1. f)del RGPD, tipificada en el artículo 83.5 del RGPD y por la presunta infracción artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/51 El acuerdo de inicio fue notificado conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibido en fecha 27 de mayo de 2024, como consta en el certificado que obra en el expediente. DUODÉCIMO: En respuesta al escrito por el que solicitaba la ampliación del plazo que le fue concedido para formular alegaciones, así como copia del expediente, en fecha 29 de mayo de 2024, se remitió la copia solicitada de acuerdo con lo dispuesto en el artículo 53.1
  2. a)de la LPACAP y se acordó ampliar el plazo para formular alegaciones hasta un máximo de cinco días, que debían computarse a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones. DECIMOTERCERO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, en fecha 17 de junio de 2024, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que PRIMERA. - EN RELACION CON LA SUPUESTA INFRACCION DEL ARTÍCULO 32 DEL RGPD: VULNERACIÓN DEL PRINCIPIO DE TIPICIDAD Y, EN TODO CASO, PRESCRIPCIÓN DE LA INFRACCIÓN Considera que en el presente supuesto no es posible subsumir la conducta de la parte reclamada en el tipo infractor propuesto del artículo 32 del RGPD, en relación con el artículo 83.4 del RGPD, por cuanto se contaba con “medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En este sentido, expone que ha quedado totalmente probado a través de la documentación obrante en el expediente administrativo, así como en las contestaciones a los requerimientos efectuados por la AEPD, que tenía y tiene instauradas medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Así, a nivel compañía informa que se dispone de una Política de Protección de los Activos de Información corporativa, de alcance mundial, aplicable a todos los empleados de la compañía y a todas las sociedades del Grupo Repsol, así como a cualquier tercero que tenga acceso a cualquier información del Grupo Repsol. Esta Política viene a cubrir, entre otras, las medidas de seguridad que el artículo 32 del RGPD enuncia a título ejemplificativo: implantando medidas de clasificación y protección de la información para asegurar su confidencialidad, integridad, disponibilidad y resiliencia (apartado 3.1. Política de Protección); estableciendo la obligatoriedad y los contenidos de los Planes de Continuidad y mecanismos que permitan la recuperación de la información en caso de incidente que afecte a los activos de información (apartado 3.6. Política de Protección); obligación de realizar análisis obligatorios periódicos de riesgos sobre los diferentes activos de información de la compañía (apartado 3 Política de Protección); etc. Se adjunta la misma como Documento nº 1. Adicionalmente a lo anterior, manifiesta que Repsol Comercializadora de Electricidad y Gas tiene establecido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/51 (
  3. i)(…). (
  4. ii)(…): - (…). - (…). Por tanto, considera que las medidas estaban adoptadas y eran apropiadas (diligencia razonable) para garantizar un nivel de seguridad adecuado al riesgo, por lo que no existe infracción alguna del artículo 32 del RGPG, pues tenía establecidas medidas adecuadas para garantizar un nivel de seguridad adecuado al riesgo. Ello con independencia del resultado provocado por un error humano, fortuito, involuntario y puntual, que únicamente afectó a un único cliente, a su nombre, apellidos y DNI (ni siquiera a su cuenta bancaria); y que de manera totalmente proactiva y en busca de la excelencia, detectada la situación, se adicionaron las medidas precisas para evitar futuras situaciones similares (robusteciendo las ya existentes). Insiste nuevamente en que el origen está en un error humano, un hecho puntual, aislado y fortuito, por lo que no se puede requerir ante un riesgo absolutamente remoto (casi identidad de los nombres y apellidos de dos clientas) el establecimiento con carácter previo de otros niveles de seguridad (en contra del principio de enfoque de riesgo previsto en el apartado segundo del artículo 32 del RGPD). Riesgo cero no existe. Las medidas que se adoptaron en su momento se encuentran dentro de la diligencia razonable que se puede esperar en atención al riesgo. Lo contrario llevaría al absurdo de que el artículo 32 del RGPD sea un tipo infractor de responsabilidad absolutamente objetiva pues, aun contando con medidas técnicas y organizativas apropiadas, cualquier error mínimo e involuntario supondría, como pretende ahora la AEPD, una aplicación analógica del tipo sancionador, en contravención clara del principio de tipicidad. Y recordemos que el Tribunal Supremo estima que es una obligación de medios y no de resultado como pretende esta Administración. En consecuencia, entiende que no existiría incumplimiento alguno de la obligación establecida en la norma de aplicación, por lo que no existiría, en el presente caso, una perfecta adecuación entre la supuesta conducta de la parte reclamada y la descrita en el tipo infractor imputado, por lo que una eventual Resolución sancionadora resultaría contraria a los referidos principios de legalidad y tipicidad y, por tanto, sería nula de pleno derecho de conformidad con lo dispuesto en el artículo 47.1.
  5. a)de la Ley 39/2015. Considera que por cuanto antecede, procede el archivo y sobreseimiento de las actuaciones. Adicionalmente a lo anteriormente expuesto y a pesar de que niega la existencia de infracción del artículo 32 del RGPD, a su entender, la infracción estaría prescrita ya que, habiéndose notificado el Acuerdo de inicio con fecha 27 de mayo de 2024 y, habiendo tenido lugar los supuestos hechos infractores, tal y como se detalla del Acuerdo de inicio y en el Informe de Actuaciones Previas, el 14 de enero de 2022, es claro e indubitado que se ha superado el plazo de dos años de prescripción que marca la Ley de aplicación para las infracciones graves. Por tanto, entiende que la sanción que se pretende imponer sería nula de pleno Derecho al haber prescrito la infracción en el momento en el que se incoó y notificó el presente expediente sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/51 SEGUNDA. - EN RELACION CON LAS SUPUESTAS INFRACCIONES DE LOS ARTÍCULOS 5.1.F Y 32 DEL RGPD: VULNERACIÓN DEL PRINCIPIO DE CULPABIDAD Y, SUBSIDIARIAMENTE, DEL PRINCIPIO DE PROPORCIONALIDAD Vulneración del principio de culpabilidad Expone que, al tratarse, en su caso y a lo sumo, de un supuesto de culpa levísima, no deberían ser objeto de sanción en un sistema de responsabilidad subjetiva como el que rige en nuestro Derecho sancionador, ya que excede de los niveles máximos de diligencia que pueden exigirse a una persona el que, en ningún caso, se produzcan errores humanos (involuntarios) aislados en el ejercicio de una actividad con un tráfico tan importante como el que desarrolla la parte reclamada. Alega que, no existiendo, en modo alguno, esta voluntad consciente de infringir la norma de aplicación no puede considerarse concurrente el elemento subjetivo del tipo infractor invocado, por lo que la imposición de una sanción vulneraría el principio de responsabilidad, corolario del principio de culpabilidad, establecido en el artículo 28.1 de la Ley 40/2015, en relación con el artículo 25.1 de la CE. Vulneración del principio de proporcionalidad Subsidiariamente a lo anteriormente expuesto y para el supuesto de que no sea tenido en consideración (quod non), considera que es evidente que se ha vulnerado el principio de proporcionalidad en un doble ámbito: en primer lugar, estableciendo una multa en lugar de un apercibimiento (medida menos lesiva que tiene a su alcance la AEPD) y, en segundo lugar, estableciendo unas cuantías de multa sobradamente desproporcionadas, inidóneas e innecesarias en atención al supuesto de hecho acontecido (130.000 euros por las supuesta infracción del artículo 5.1.
  6. f)del RGPD y 1.250.000 euros respecto de la infracción del 32 del RGPD). En su opinión esta Agencia no estaría respetando el principio general de Derecho relativo a la proporcionalidad, ya que (
  7. i)no es idónea la medida sancionadora al no ser eficaz para conseguir el fin que supuestamente persigue (con carácter previo a la incoación de este expediente, como indica expresamente el Informe de Investigación Previa “adoptó diligentemente las medidas oportunas para regularizar la titularidad de los contratos asociados a los puntos de suministro de luz y gas afectados y procedió a robustecer sus procedimientos”); (
  8. ii)tampoco es necesaria (pues existen medidas menos gravosas o lesivas como el apercibimiento); y (iii) ni mucho menos es proporcional (pues es evidente que imponer una sanción de multa de 1.380.000 euros -siendo un error humano que sólo ha afectado a un único cliente y únicamente a su nombre, apellidos y DNI- es una medida totalmente desproporcionada, máxime si atendemos a la doctrina y otros casos de Resoluciones Sancionadoras de esta Agencia). Por todo lo que antecede, alega que el Acuerdo de inicio sería nulo de pleno derecho, por utilizar de forma desproporcionada la potestad sancionadora, debiendo, por tanto, decretarse la nulidad del expediente sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/51 Finalmente, y con carácter subsidiario a las anteriores alegaciones y para el hipotético supuesto de que no sean tenidas en consideración (quod non), entiende Repsol Comercializadora de Electricidad y Gas, S.L.U. que se habría producido una vulneración del principio de proporcionalidad (artículo 29 de la Ley 40/2015) al proponerse unas sanciones en cuantía superior a la mínima. De lo aquí expuesto, el Acuerdo de inicio sería contrario a Derecho por cuanto impone una sanción de multa de 130.000 euros por la supuesta infracción del artículo 5.1.
  9. f)del RGPD -deber de confidencialidad- y 1.250.000 euros respecto de la infracción del 32 del RGPD -seguridad del tratamiento-, sin que la motivación contenida al respecto resulte suficiente ni ajustada a Derecho, siendo contraria al principio de proporcionalidad (artículos 29 de la Ley 40/2015 y 35 de la Ley 39/2015, así como artículo 83.1 del RGPD). Alega que ha quedado totalmente acreditado que la causa del error está en las comprobaciones previas “al existir similitud con el nombre y apellidos de la parte reclamante (A.A.A.) y fruto de un error humano del agente, los contratos se vinculan a la parte reclamante”. Por tanto, la naturaleza es un error humano, es un caso puntual (sólo ha afectado a una única persona como bien reconoce) y la gravedad de este se circunscribe a su nombre, apellidos y DNI. Es manifiestamente contrario a derecho y no ha quedado probado por esta Administración para agravar la infracción relativa a la seguridad del tratamiento, la afirmación relativa a que “es susceptible de afectar de manera generalizada a todas las contrataciones”. Dicha afirmación subjetiva, incierta y probabilística, no tiene soporte justificativo alguno. Al margen de que no consta probada un evento incierto, probabilístico y no probado como es el hecho. Al margen de que, como se puso de manifiesto, el error se produjo en un cambio de titularidad y no en un proceso de contratación, existen muy pocas probabilidades de que haya muchos clientes que compartan casi idénticamente nombres y apellidos. Y finalmente, no ha existido ningún daño y perjuicio como reconoce la propia denunciante y recoge el Informe de Investigación Previa. En segundo lugar, respecto a la supuesta agravante de “intencionalidad o negligencia en la acción”, huelga decir a estos efectos que se ha tratado de un único caso, debido a un error humano, puntual y fortuito y con escasa o nula transcendencia. Asimismo, la propia AEPD reconoce que: “se acredita que desde que REPSOL REYG tuvo conocimiento de la incidencia de la parte reclamante, adoptó diligentemente las medidas oportunas para regularizar la titularidad de los contratos asociados a los puntos de suministro de luz y gas afectados y procedió a robustecer sus procedimientos tal y como se ha descrito a lo largo del presente informe”. Ello debería llevar no a establecer una agravante, sino, en todo caso, una atenuante, al tratarse de un suceso totalmente fortuito, unido al carácter “diligente” de las medidas de refuerzo. De acuerdo con lo expuesto, concluye que el Acuerdo de inicio vulneraría el principio de proporcionalidad previsto en el artículo 29 de la Ley 40/2015, en relación con el artículo 35 de la Ley 39/2015, así como artículo 83.1 del RGPD, debiendo, por tanto, reducirse dicha sanción a la mínima cuantía posible. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/51 En virtud de lo expuesto, solicita que, teniendo por formulado, en tiempo y forma, las alegaciones al Acuerdo de inicio dictado en el marco del procedimiento sancionador de referencia, se sirva admitirlo y, en virtud de cuanto en el mismo se expone, se dicte resolución decretando el archivo de las actuaciones y del procedimiento administrativo sancionador, en virtud de lo previsto en el artículo 47.1.
  10. a)de la Ley 39/2015 o, en su caso, subsidiariamente, reduzca la sanción a la mínima. Y todo ello, por los motivos expuestos. DECIMOCUARTO: En fecha 24 de abril de 2025, se formuló propuesta de resolución, proponiendo: <<Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS, S.L., con NIF B39540760, - por la infracción del artículo 5.1.
  11. d)del RGPD, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el artículo 72.1
  12. a)de la LOPDGDD, con una multa de 130.000 euros. - por la infracción del artículo 32 del RGPD, tipificada conforme a lo dispuesto en el artículo 83.4 del RGPD, calificada como grave a efectos de prescripción, en el artículo 73
  13. f)de la LOPDGDD, con una multa de 1.250.000 euros.>> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibida en fecha 25 de abril de 2025, como consta en el certificado que obra en el expediente. DECIMOQUINTO: En fecha 13 de mayo de 2025, REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS, S.L., presentó escrito de alegaciones a la Propuesta de Resolución, en el que, en síntesis, se reiteran básicamente las alegaciones ya presentadas a lo largo del procedimiento sancionador, manifestando que existen argumentos fundados en Derecho para proceder al archivo y sobreseimiento del expediente sancionador. PRIMERA. - DE LA PRESCIPCION DE LA SUPUESTA INFRACCION DEL ARTÍCULO 32 DEL RGPD Y LA VULNERACION DE LOS ACTOS PROPIOS DE LA ADMINISTRACION. A juicio de Repsol Comercializadora de Electricidad y Gas, la infracción del artículo 32 del RGPD se encontraría prescrita. Considera que la infracción del artículo 32 del RGPD, no puede calificarse como permanente, sino que se agota en el momento en el que supuestamente se produce la infracción. Y ello por cuanto, la obligación supuestamente infractora es que no se han aplicado “medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”, por lo que, producido el error humano que ha llevado a dicha infracción, afirma que ese acto consume en su totalidad la supuesta infracción, no siendo necesario un cese de la conducta, por cuanto el cambio erróneo en la titularidad de los puntos de suministro se produjo el 14 de enero de 2022 y con ello, el supuesto incumplimiento, con independencia de cuándo se revierta la situación. Es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/51 decir, entiende que la seguridad de tratamiento del artículo 32 del RGPD es un tipo de infracción única (si las medidas no se consideran apropiadas) y no puede ser catalogada como infracción permanente. Para el supuesto de que se entienda que es permanente sobre la base de lo establecido en el expediente administrativo, y en el propio Acuerdo de inicio y en el Informe de Actuaciones Previas, considera que se indica expresamente que la parte reclamante figuró erróneamente como titular de los puntos de suministro de luz y gas afectados desde el 14 de enero de 2022 hasta el 3 ó 5 de marzo de 2022 (en función del contrato correspondiente). Por tanto, entiende que la cesación de la conducta de la que habla la Propuesta de resolución tuvo lugar, sin ningún género de dudas, el 3 ó 5 de marzo de 2022. Así, afirma que siendo el Acuerdo de inicio de fecha 24 de mayo de 2024 (dies ad quem) y, habiendo tenido lugar los supuestos hechos infractores, tal y como se detalla del Acuerdo de inicio y en el Informe de Actuaciones Previas, el 14 de enero de 2022 (o en su caso, cesada la conducta el 5 de marzo de 2022) -dies a quo-, considera que es claro e indubitado que se ha superado el plazo de dos años de prescripción que marca la Ley de aplicación para las infracciones graves. En conclusión, entiende que la sanción que se pretende imponer sería nula de pleno Derecho al haber prescrito la infracción grave del artículo 32 del RGPD en el momento en el que se incoó el presente expediente sancionador. SEGUNDA. - DE LA VULNERACION DEL PRINCIPIO DE TIPICIDAD: INEXISTENCIA DE INFRACCION DE LOS ARTÍCULOS 5.1.D Y 32 DEL RGPD. Alega que no resulta posible sancionar a la entidad con base en los hechos descritos en tanto que su actuación no resulta constitutiva de infracción administrativa alguna ni, en particular, de la infracción del artículo 5.1.
  14. d)ni del artículo 32 del RGPD, por lo que considera que una eventual Resolución sancionadora en el presente expediente sancionador sería nula de pleno Derecho, en virtud de lo dispuesto en el artículo 47.1.
  15. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. ▪ Supuesta infracción del artículo 5.1.
  16. d)del RGPD (principio de exactitud) Afirma que la propuesta de resolución realiza un cambio de calificación jurídica de los supuestos hechos infractores, por supuesta infracción del principio de exactitud del artículo 5.1.
  17. d)del RGPD, tipificada en el artículo 83.5.
  18. a)del RGPD y ello, en atención a que los “hechos que motivan la imputación han permanecido invariables”. Considera que no es posible subsumir los supuestos hechos (el error en el cambio de titularidad de los contratos incorporando el nombre, apellido y DNI en la ficha de otra clienta), en la obligación del artículo 5.1.
  19. d)del RGPD, pues la misma, lo que impone es la obligación de adoptar “todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/51 Es decir, entiende que la obligación supone actuar de manera razonable (suprimiendo o rectificando), sin dilación, los datos inexactos, pero no impone, como pretende la Propuesta de resolución, haciendo una interpretación extensiva (proscrita por el principio de tipicidad) que siempre que se produzca un error y haya un dato inexacto en un fichero, nos encontremos ante una vulneración del principio de exactitud del artículo 5.1.
  20. d)del RGPD. Ello es lógico, pues lo contrario afirma que llevaría al absurdo de que se tuviera que sancionar siempre que haya un dato inexacto por cualquier motivo. Finalmente, expone que el hecho de que la clienta recibiera una nueva factura en junio de 2022, no se debe a que los datos del tratamiento fueran inexactos (ya se había diligentemente establecido las medidas oportunas), sino que era una regularización interna como consecuencia del proceso de calidad, por lo que no existiría infracción del artículo 5.1.
  21. d)del RGPD, en relación con el artículo 83.5.
  22. a)del RGPD, por lo que una eventual resolución, vulneraría el principio de tipicidad. ▪ Supuesta infracción del artículo 32 del RGPD (seguridad del tratamiento) En este sentido, afirma que tenía y tiene instauradas medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Alega que las medidas que se encontraban implantadas con anterioridad por parte de Repsol Comercializadora Electricidad y Gas son fruto de la evaluación de los riesgos inherentes al tratamiento (entre otras, en atención a una posible alteración accidental como en el presente caso y como dispone el propio Considerando), para su seguridad y confidencialidad y que se adoptaron todas las medidas necesarias para evitar “ocasionar daños y perjuicios físicos, materiales o inmateriales”. Es más, afirma que ningún daño o perjuicio que es lo que se pretende evitar con las medidas del artículo 32 del RGPD (de conformidad con el Considerando 83) se ha ocasionado a la reclamante como recoge la propia Propuesta de resolución: “(…) no ha existido ningún daño y perjuicio como reconoce la propia denunciante y recoge el Informe de Investigación Previa”. Ergo, considera que las medidas implantadas han cumplido su finalidad: evitar ocasionar daños y perjuicios físicos, materiales o inmateriales. Por tanto, considera que no existe infracción alguna del artículo 32 del RGPG, pues Repsol Comercializadora de Electricidad y Gas reitera que tenía establecidas medidas adecuadas para garantizar un nivel de seguridad adecuado al riesgo. Ello con independencia del resultado provocado por un error humano, fortuito, involuntario y puntual, que únicamente afectó a un único cliente, a su nombre, apellidos y DNI (ni siquiera a su cuenta bancaria); y que de manera totalmente proactiva y en busca de la excelencia, detectada la situación, expone que se adicionaron las medidas precisas para evitar futuras situaciones similares (robusteciendo las ya existentes). Indica que el Riesgo cero no existe y que las medidas que se adoptaron en su momento se encuentran dentro de la diligencia razonable que se puede esperar en atención al riesgo. Concluye exponiendo que los hechos por los que se pretende sancionar a la parte reclamada (simple existencia de un dato inexacto) no supone la conculcación del principio de exactitud que requiere actuar de manera razonable (suprimiendo o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/51 rectificando), sin dilación, cuando existan datos inexactos (no por la mera existencia de éstos); e insiste en la existencia de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo de conformidad con la seguridad del tratamiento; por lo que considera que no existiría una perfecta adecuación de los hechos a la supuesta infracción de las obligaciones de exactitud y seguridad del tratamiento del RGPD, vulnerando con ello, el principio de legalidad y tipicidad y, por tanto, cualquier resolución sería nula de pleno derecho de conformidad con lo dispuesto en el artículo 47.1.
  23. a)de la Ley 39/2015. TERCERA. - VULNERACIÓN DEL PRINCIPIO DE CULPABIDAD. A juicio de la parte reclamada no existiría responsabilidad administrativa alguna en los supuestos hechos infractores, al tratarse de un error involuntario humano. Afirma que, al tratarse, en su caso y a lo sumo, de un supuesto de simple inobservancia, no deberían ser objeto de sanción en un sistema de responsabilidad subjetiva como el que rige en nuestro Derecho sancionador, ya que excede de los niveles máximos de diligencia que pueden exigirse a una persona el que, en ningún caso, se produzcan errores humanos (involuntarios) aislados en el ejercicio de una actividad con un tráfico tan importante como el que desarrolla la reclamada. Considera que es un hecho puntual e involuntario, fruto de un error accidental, sin trascendencia alguna para la cliente. Concluye afirmando que, no existe en modo alguno voluntad consciente de infringir la norma de aplicación por lo que no puede considerarse concurrente el elemento subjetivo del tipo infractor invocado, por lo que la imposición de una sanción vulneraría el principio de responsabilidad, corolario del principio de culpabilidad, establecido en el artículo 28.1 de la Ley 40/2015, en relación con el artículo 25.1 de la CE. CUARTA. - DE LA VULNERACION DEL PRINCIPIO DE BUENA FE, SEGURIDAD JURIDICA Y EQUIDAD. Reitera que nos encontramos ante un error puntual y que actuó de forma totalmente diligente. Considera que no se está respetando el principio universal de equidad y que ha actuado de buena fe al tratarse de un error humano, sin trascendencia para la reclamante por lo que entiende vulnerados con el presente expediente sancionador los principios de buena fe, seguridad jurídica y equidad. QUINTA. -VULNERACION DEL PRINCIPIO DE PROPORCIONALIDAD. Considera que se ha vulnerado el principio de proporcionalidad en un doble ámbito: - en primer lugar, estableciendo una multa en lugar de un apercibimiento (medida menos lesiva que tiene a su alcance la AEPD); y - en segundo lugar, estableciendo unas cuantías de multa sobradamente desproporcionadas, inidóneas e innecesarias en atención al supuesto de hecho acontecido (130.000 euros por el supuesto incumplimiento del artículo 5.1.
  24. d)del RGPD y 1.250.000 euros respecto de la supuesta conculcación del artículo 32 del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/51 Expone que la LOPDGDD (norma especial y posterior al RGPD, que además adapta la normativa de protección de datos al Reglamento y completa sus disposiciones prevé expresamente la posibilidad de apercibimiento y que la potestad sancionadora utilizada por esta Administración es totalmente desproporcionada. Manifiesta que la causa del error está en las comprobaciones previas al existir similitud con el nombre y apellidos de la parte reclamante y fruto de un error humano del agente, los contratos se vinculan a la parte reclamante. Por tanto, la naturaleza es un error humano, un caso totalmente puntual (sólo ha afectado a una única persona) y la supuesta gravedad de éste se circunscribe, únicamente, a su nombre, apellidos y DNI, sin que haya tenido ningún tipo de perjuicio económico. Considera que todo ello debería llevar no a establecer una agravante, sino, en todo caso, una atenuante, al tratarse de un suceso totalmente fortuito, unido al carácter “diligente” de las medidas de refuerzo. Alega que el efecto disuasorio que se pretende conseguir con una multa tan desproporcionada no cumple con la función intrínseca de esa disuasión, que nada dice la Propuesta de resolución sobre la existencia de posibles atenuantes y que son múltiples los ejemplos en los que, en situaciones similares o mucho más graves, la multa no era tan desproporcionada. Por último, concluye afirmando que la Propuesta de resolución vulneraría el principio de proporcionalidad previsto en el artículo 29 de la Ley 40/2015, en relación con el artículo 35 de la Ley 39/2015, así como artículo 83.1 del RGPD, debiendo, por tanto, anularse la Propuesta de resolución o, subsidiariamente, reducirse dicha sanción a la mínima cuantía posible. Por todo ello, solicita que se decrete la prescripción de la infracción del artículo 32 del RGPD, se dicte resolución decretando el archivo de las actuaciones y del procedimiento administrativo sancionador, en virtud de lo previsto en el artículo 47.1.
  25. a)de la Ley 39/2015, por alguno de los motivos expuestos, subsidiariamente al anterior, se reduzca la sanción a la mínima. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante ha manifestado que se puso en contacto con la entidad al recibir un SMS informándole de la fecha de la próxima inspección periódica obligatoria de la instalación de gas, y añade: “Puesto que esta inspección la habían realizado en mi domicilio a finales de octubre de 2020 y corresponde cada 5 años me puse en contacto con la distribuidora de gas para aclararlo. Me indicaron que, efectivamente, no correspondía la inspección pero que constaba que existía otro punto de suministro de gas en ***LOCALIDAD.1 asociado a mi DNI y nombre y apellidos con la compañía REPSOL y que me pusiese en contacto con ellos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/51 Llamé al teléfono que me facilitaron de REPSOL y me informaron de que no sólo había un contrato de gas con mis datos sino también otro de electricidad en el mismo punto de suministro de ***LOCALIDAD.1. Yo no he suscrito esos contratos con REPSOL y la dirección del punto de suministro me es completamente ajena”. SEGUNDO: Los contratos que la parte reclamante no reconoce están asociados a los siguientes puntos de suministro, de gas y luz respectivamente: - ***CÓDIGO.1 Se acredita que en fecha 14 de enero de 2022 REPSOL REYG remite a la distribuidora de gas una solicitud de cambio de titularidad a favor de la parte reclamante. La distribuidora activa dicha solicitud de cambio de titularidad a favor de la parte reclamante en fecha 14 de enero de 2022. Se acredita que en fecha 3 de marzo de 2022 la distribuidora recibe nueva solicitud de cambio de titularidad por parte de REPSOL REYG a favor de otra persona distinta, Cliente C, por lo que la parte reclamante, deja de constar como titular del suministro de gas cuando se activa esta nueva solicitud, el mismo 3 de marzo de 2022. - ***CÓDIGO.2 Se acredita que en fecha 14 de enero de 2022 REPSOL REYG remite a la distribuidora de luz una solicitud de modificación en el contrato de acceso, por cambio de titularidad por traspaso, a favor de la parte reclamante. La distribuidora activa dicha solicitud de cambio de titularidad a favor de la parte reclamante en fecha 16 de enero de 2022. Se acredita que en fecha 3 de marzo de 2022 la distribuidora recibe nueva solicitud de cambio de titularidad por parte de REPSOL REYG a favor de otra persona distinta, Cliente C, por lo que la parte reclamante, deja de constar como titular del suministro de gas cuando se activa esta nueva solicitud, el 5 de marzo de 2022. En el marco de las actuaciones de investigación REPSOL REYG manifiesta: En fecha 14/01/2022 se recibe una solicitud de cambio de comercializadora con cambio de titularidad por parte de una persona ajena a la denunciante (en adelante, “clienta A”) (ARCHIVO 1). Al existir una correspondencia casi idéntica de nombre y dos apellidos, la solicitud se ejecuta en la ficha de cliente de la reclamante. En este momento, se lanza la primera solicitud de cambio de titularidad a la distribuidora producto del alta de la Clienta A en RE&G. En la solicitud de fecha 14/01/2022 se facilitan a la distribuidora los datos que constan en la ficha de cliente de la parte reclamante, ya que, por la identidad de nombre y dos apellidos, se graba en su ficha los dos nuevos contratos de la Cliente A. Al ser la reclamante cliente de Repsol REYG, el origen de los datos comunicados a la distribuidora no es otro que la propia interesada. TERCERO: El nombre y apellidos que figuran en los campos DATOS DEL NUEVO TITULAR y DECLARO (B.B.B.) coinciden con el nombre y apellidos, cambiados de orden, de la parte reclamante (A.A.A.). No coinciden otros datos como el DNI o la cuenta bancaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/51 CUARTO: Constan como fecha de inicio y fin de la relación contractual entre la parte reclamante y REPSOL REYG las fechas 22/01/2011 y 04/02/2019, respectivamente. La ficha de cliente de la parte reclamante contiene los siguientes datos: nombre, apellidos, DNI y número de teléfono móvil. En la ficha de cliente de la parte reclamante figura la alerta EXCLIENTE-ML, REPSOL REYG indica que esta alerta se generó el 04/02/2019, fecha en la que finalizó el contrato con parte reclamante. QUINTO: Respecto de las facturas emitidas, la parte reclamante figura como titular de los puntos de suministro de luz y gas, ***CÓDIGO.2 y ***CÓDIGO.1, mencionados en el Hecho Probado Segundo. Constan las siguientes facturas generadas por REPSOL REYG a nombre de la parte reclamante y relativas a los puntos de suministro anteriores: FACTURA PERÍODO 1 2 3 4 5 6 7 14/01/2022 - 14/02/2022 15/02/2022 - 02/03/2022 14/01/2022 - 14/02/2022 04/03/2022 - 05/05/2022 05/05/2022 - 08/06/2022 04/03/2022 - 05/05/2022 05/05/2022 - 08/06/2022 Gas Gas Rectificativa de gas Electricidad Electricidad Rectificativa de electricidad Rectificativa de electricidad En relación con la generación de estas facturas, REPSOL REYG explica: 1. Factura 1: esta factura fue emitida como consecuencia del error humano inicial del agente que tramitó el cambio de titularidad de la Clienta A en la ficha de cliente de la parte reclamante. 2. Factura 2: este período de facturación abarca el período desde que se detecta la incidencia el 15/02/2022, momento en el que la parte reclamante se pone en contacto con Atención al Cliente de REPSOL REYG para notificar el error, hasta el 28/02/2022, al enviar solicitud de cambio de titularidad a la distribuidora a favor del Cliente C, haciéndose el cambio efectivo el 03/03/2022. 3. Factura 3: Al anular el contrato que erróneamente se había generado se anularon las facturas emitidas bajo el mismo error. 4. Factura 4: como consecuencia del proceso de calidad que se llevó a cabo en fecha 17/06/2022, enfocado a subsanar las modificaciones que, de manera inusual, habían tenido lugar en los sistemas a causa de la incidencia, se emitió la factura relativa a dicho período a nombre de la reclamante, siendo ésta anulada el 12/07/2022 mediante factura rectificativa, al tratarse de una regularización interna (Factura 6). 5. Factura 5: esta factura se generó bajo las mismas circunstancias que la factura anterior, emitiéndose en la misma fecha y procediéndose a su anulación el 12/07/2022 mediante factura rectificativa (Factura 7). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/51 SEXTO: REPSOL REYG, en su escrito de fecha de entrada de 12/07/2023 y número, REGAGE23e00047203945, manifestó que dejó de tratar los datos personales de la reclamante en el momento en que dio de baja su contrato el 28/07/2022, conservándose los datos personales únicamente a los solos efectos de cumplir obligaciones legales y/o atender requerimientos de las Autoridades Competentes. SÉPTIMO: Asimismo en el escrito de fecha de entrada de 12/07/2023 y número, REGAGE23e00047203945 REPSOL REYG manifiesta lo siguiente: “En cuanto a las medidas implantadas, se procedió a la adopción de las siguientes: (…). (
  26. ii)(…). (iii) (…). (
  27. iv)(…). (
  28. v)(…). (
  29. vi)(…)”. OCTAVO: El citado ARCHIVO 3 contiene un documento Word en el que se detalla un procedimiento sin fecha, ni firma. NOVENO: El citado ARCHIVO 4 contiene un documento pptx, denominado “protocolo de seguridad” que se encuentra sin fechar y sin especificar la fecha de las modificaciones realizadas. Entre la información que contiene se detalla un protocolo de seguridad para exclientes, en el que consta que “(…) …” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/51 II Alegaciones al acuerdo de inicio En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se dio respuesta a las mismas en la Propuesta de resolución, desestimando lo alegado por la parte reclamada. No obstante, y en aras a una mayor claridad, se procede a recoger a continuación las principales argumentaciones dadas: PRIMERA. - EN RELACION CON LA SUPUESTA INFRACCION DEL ARTÍCULO 32 DEL RGPD: VULNERACIÓN DEL PRINCIPIO DE TIPICIDAD Y, EN TODO CASO, PRESCRIPCIÓN DE LA INFRACCIÓN En primer lugar, alega REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS S.L.U., que no existiría la pretendida infracción del artículo 32 del RGPD en relación con el artículo 83.4 del RGPD y calificada como grave a efectos de prescripción, en el artículo 73
  30. f)de la LOPDGDD, pues de los hechos expuestos ha quedado acreditado la existencia de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, por lo que no existiría una perfecta adecuación de los hechos al tipo infractor propuesto y, en todo caso, cabe entender que la infracción estaría prescrita en el momento de la incoación del presente expediente sancionador, al haber transcurrido más de dos años desde que ocurrieron los supuestos hechos infractores. En el presente caso, procede recordar que durante las actuaciones de investigación resaltan una inadecuación o insuficiencia de las medidas existentes. Alega REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS S.L.U., que la AEPD ha vinculado el supuesto incumplimiento del artículo 32 con la producción del resultado que se produjo como consecuencia de un error humano, fortuito, involuntario y puntual, que únicamente afectó a un único cliente, a su nombre, apellidos y DNI (ni siquiera a su cuenta bancaria); y que de manera totalmente proactiva y en busca de la excelencia, detectada la situación, se adicionaron las medidas precisas para evitar futuras situaciones similares (robusteciendo las ya existentes). Concluye por ello que la AEPD está imponiendo, en lo que respecta a la adopción de medidas de seguridad, una obligación de resultado, pero que sin embargo es una obligación de medios. A este respecto, trae a colación lo manifestado por el Tribunal Supremo en su sentencia de 15 de febrero de 2022 (recurso de casación 7359/2020), que señala de forma clara que la obligación impuesta por la normativa de protección de datos personales, de adoptar medidas técnicas y organizativas encaminadas a garantizar la confidencialidad, disponibilidad e integridad de la información, es una obligación de medios y no de resultado. A este respecto, procede señalar que la citada Sentencia efectivamente indica, sobre las medidas de seguridad en materia de protección de datos, que “… la obligación que recae sobre el responsable y sobre el encargado del tratamiento respecto a la adopción de medidas necesarias para garantizar la seguridad de los datos de carácter personal no es una obligación de resultado sino de medios, sin que sea exigible la infalibilidad de las medidas adoptadas. Tan solo resulta exigible la adopción e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/51 implantación de medidas técnicas y organizativas, que conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado.” (el subrayado es nuestro). Continúa la Sentencia indicando, en el caso concreto que se analiza en la misma, que “…el programa utilizado para la recogida de los datos de los clientes no contenía ninguna medida de seguridad que permitiese comprobar si la dirección de correo electrónico introducida era real o ficticia y si realmente pertenecía a la persona cuyos datos estaban siendo tratados y prestaba el consentimiento para ello. El estado de la técnica en el momento en el que se produjeron estos hechos permitía establecer medidas destinadas a comprobar la veracidad de la dirección de email, condicionando la continuación del proceso a que el usuario recibiese el contrato en la dirección proporcionada y solo desde ella prestase el consentimiento necesario para su recogida y tratamiento. Medidas que no se adoptaron en este caso. (…) De modo que, en el momento en que se produjeron estos hechos, existían medidas técnicas referidas al proceso de registro, que hubiesen evitado la filtración de datos personales producida. Ello implica que las medidas técnicas adoptadas incumplían las condiciones de seguridad en los términos exigidos en el art. 9.1 de la LO 15/1999, incurriéndose por tanto en la infracción prevista en el art. 44.3.
  31. h)consistente en "Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen [...]". Por tanto, si bien se infiere de la Sentencia que las obligaciones que establece el artículo 32 del RGPD son de medios, también deja claro que, si en el momento de producirse el incidente existían medidas técnicas adecuadas para evitar o mitigar los efectos del mismo y no fueron aplicadas, ello supone un incumplimiento de la citada obligación impuesta por el RGPD y, por ende, una infracción al mismo. Cabe recordar que, a pesar de que la reclamada insiste en ello, la coincidencia en los datos de nombre y apellidos no es total entre las dos clientes involucradas, ya que el nombre de pila no es totalmente coincidente- B.B.B. frente a A.A.A.- y, si bien los apellidos coinciden, no así su orden – B.B.B. frente a A.A.A.- por lo que no puede aceptarse esa presunta total coincidencia de los datos. Y ello sin perjuicio de que datos que también hubieran detectado que el cambio de titularidad que se estaba produciendo era incorrecto como el DNI o la cuenta bancaria, tampoco coincidentes, no fueron comprobados. En el presente caso, como se ha señalado, existía una vulnerabilidad derivada de una mala configuración del procedimiento de cambio de titularidad, que ha sido detectada a través de la investigación realizada. Recordemos que la finalidad del artículo 32 del RGPD es la de procurar un nivel de seguridad adecuado al riesgo del tratamiento de datos personales, a través de la aplicación de medidas técnicas y organizativas apropiadas de seguridad, específicamente de seguridad, La ausencia de dicho nivel de seguridad adecuado al riesgo implica la vulneración del precepto. Se configura de esta forma una obligación de medios, que se concreta en la obligación de diseñar los medios técnicos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/51 organizativos adecuados, siendo también necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso. La Audiencia Nacional señaló en diversas sentencias- por todas, la de13 de junio de 2002 -recurso nº. 1.517/2001 -, que la obligación que dimana de la implantación de medidas de seguridad en lo concerniente a los datos de carácter personal se refiere a las medidas necesarias y apropiadas, haciendo mención a su determinación e implantación efectiva: “no se cumple con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto, y por supuesto, no basta con la aprobación formal de las medidas de seguridad, ya que resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva.” Recordemos también lo señalado por el Tribunal de Justicia de la Unión Europea (TJUE) la STJUE 14/12/2023, dictada en asunto C-340/2021 30 Así, del tenor de los artículos 24 y 32 del RGPD se desprende que estas disposiciones se limitan a obligar al responsable del tratamiento a adoptar medidas técnicas y organizativas destinadas a evitar, en la medida de lo posible, cualquier violación de la seguridad de los datos personales. El carácter apropiado de tales medidas debe evaluarse en cada caso concreto, examinando si el responsable ha adoptado esas medidas teniendo en cuenta los diferentes criterios establecidos en los mencionados artículos y las necesidades de protección de datos específicamente inherentes al tratamiento de que se trate y a los riesgos que conlleva. 37 Por otra parte, del artículo 82, apartados 2 y 3, del RGPD se desprende que, si bien un responsable del tratamiento es responsable del daño causado por un tratamiento que constituya una infracción de dicho Reglamento, queda exonerado de responsabilidad si demuestra que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios. 42 Del citado artículo 32, apartados 1 y 2, se desprende que el carácter apropiado de tales medidas técnicas y organizativas debe apreciarse de manera escalonada. Por una parte, es preciso identificar los riesgos de violación de la seguridad de los datos personales que entrañe el tratamiento y sus posibles consecuencias para los derechos y libertades de las personas físicas. Esta apreciación debe llevarse a cabo en cada caso concreto, tomando en consideración cuál es la probabilidad de los riesgos identificados y la gravedad de estos. Seguidamente, debe comprobarse si las medidas adoptadas por el responsable del tratamiento se adaptan a estos riesgos, teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento. 46 Un examen de este tipo requiere que se proceda a un análisis concreto tanto de la naturaleza como del contenido de las medidas que han sido adoptadas por el responsable del tratamiento, de la forma en la que se han C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/51 aplicado dichas medidas y de sus efectos prácticos en el nivel de seguridad que este estaba obligado a garantizar, habida cuenta de los riesgos inherentes a ese tratamiento. 69 De estas disposiciones se desprenden, por un lado, que el responsable del tratamiento debe, en principio, indemnizar los daños y perjuicios causados por una infracción del citado Reglamento relacionada con ese tratamiento y, por otro lado, que solo puede quedar exonerado de responsabilidad si aporta la prueba de que en modo alguno es responsable de esos daños y perjuicios. 71 Cuando, como en el presente asunto, la violación de la seguridad de los datos personales, en el sentido del artículo 4, punto 12, del RGPD, ha sido cometida por cibercriminales y, por tanto, por «terceros», en el sentido del artículo 4, punto 10, de este, esa violación no puede imputarse al responsable del tratamiento, salvo que este último la hubiera hecho posible por incumplir alguna obligación establecida en el RGPD y, en particular, la obligación de protección de datos a la que está sujeto en virtud de los artículos 5, apartado 1, letra f), 24 y 32 del mismo Reglamento. En cuanto a la prescripción, erra la parte reclamada al sostener que la infracción estaría prescrita toda vez que en el presente caso nos encontramos con una de las denominadas infracciones permanentes, caracterizada porque la conducta merecedora de reproche administrativo se mantiene durante un espacio de tiempo prolongado, y por ello el cómputo del plazo de prescripción no llega a iniciarse hasta que dicha conducta cese o se interrumpa. Tales infracciones se cometen mientras se mantienen los efectos lesivos de dicho eventual comportamiento infractor. En consecuencia, la lesión al bien jurídico protegido se prolonga en el tiempo, durante todo el periodo en el que mantiene dicho comportamiento contrario al ordenamiento jurídico. En el caso concreto que se examina, teniendo en cuenta la naturaleza permanente de dicha infracción, el plazo de prescripción no puede, como sostiene la parte reclamada, computarse desde el 14 de enero de 2022, sino que el plazo de prescripción comenzará a computarse únicamente cuando la conducta infractora haya cesado. En este sentido consta acreditado en el expediente, la recepción por parte de la reclamante de una última factura de consumo emitida por la parte reclamada en julio de 2022, relativa a un punto de suministro desconocido para ella, que incluye como periodo de facturación, el periodo comprendido entre el 5 de mayo de 2022 y el 8 de junio de 2022, por lo que entre la comisión de la infracción imputada, acaecida en julio de 2022 y la fecha de la notificación del acuerdo de inicio del procedimiento sancionador a la parte reclamada, esto es, el 27 de mayo de 2024, no han transcurrido los dos años previstos en el artículo 73
  32. f)de la LOPDGDD, por lo que, por las razones expuestas, la prescripción de la infracción que se invoca debe ser rechazada. SEGUNDA. - EN RELACION CON LAS SUPUESTAS INFRACCIONES DE LOS ARTÍCULOS 5.1.F Y 32 DEL RGPD: VULNERACIÓN DEL PRINCIPIO DE CULPABIDAD Y, SUBSIDIARIAMENTE, DEL PRINCIPIO DE PROPORCIONALIDAD Vulneración del principio de culpabilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/51 Se recuerda que, ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.” A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". A mayor abundamiento, no podemos hablar tan sólo de un error humano, puntual desde el momento en que ha sido necesario robustecer el Procedimiento de Cambio de titularidad de los Agentes de ATC, de modo que las búsquedas en sus sistemas se realicen única y exclusivamente mediante DNI, evitando errores de identificación así como la necesidad de robustecer la Política de Seguridad para verificar todos los datos del cliente con carácter previo a la contratación o cualquier gestión de carácter contractual y centralizar la gestión de los casos con mayor complejidad en un mismo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/51 agente especializado, evitando realizar varias acciones en paralelo que pueden producir equívocos, errores y confusión al cliente. Vulneración del principio de proporcionalidad En primer lugar, cabe recordar que las medidas correctivas de las que se dota a las Autoridades de Control se configuran en el RGPD como “poderes” esto es, como potestades de actuación que, lógicamente, se aplicarán en atención a las circunstancias presentes en cada caso concreto. Por otro lado, esta Agencia desea señalar lo que el Considerando 148 del RGPD indica sobre la posibilidad de imponer un apercibimiento: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En atención a los términos en los que se pronuncia, el RGPD insta con carácter general a la imposición de multas y prevé que el apercibimiento sea la medida utilizada cuando la infracción sea leve- circunstancia que no sucede en este caso- o implique una carga desproporcionada cuando la infracción haya sido cometida por una persona física. En el presente caso, esta Agencia ha evaluado y motivado todas las circunstancias agravantes o atenuantes a que hace referencia el citado considerando 148 del RPGD (que no son otras que las del artículo 83.2 del RGPD) y toda vez que las infracciones en cuestión no son leves a efectos del RGPD, se considera conforme a Derecho imponer una multa en vez de dirigir un apercibimiento. Razón por la que se desestima la presente alegación. En cuanto al principio de proporcionalidad, la STS, Sala 3ª, de 16 de diciembre de 2003 (Rec. 4996/98) ya señalaba que el principio de proporcionalidad de las sanciones exige que "la discrecionalidad que se otorga a la Administración para la aplicación de la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la debida proporcionalidad entre los hechos imputados y la responsabilidad exigida". Principio de proporcionalidad que no se entiende vulnerado, considerándose proporcionada la sanción propuesta a la entidad, por los hechos probados y ponderadas las circunstancias concurrentes, que se detallan más adelante. Esta Agencia desea señalar que el RGPD no obliga a que deban existir graves daños y/o perjuicios de la parte reclamante para constatar la existencia de infracción, como en el presente caso. La naturaleza de la infracción, número de afectados, la existencia o no de daños y perjuicios, son todas cuestiones que se han tenido en cuenta y han sido debidamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/51 motivadas a la hora de graduar la sanción a COMERCIALIZADORA DE ELECTRICIDAD Y GAS S.L.U. imponer a REPSOL Ahora bien, frente a lo alegado, procede señalar varias cosas: En primer lugar, el artículo 83.1 RGPD establece que las multas administrativas por las infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las multas administrativas se impondrán en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas…” (el subrayado es nuestro). Estableciendo a continuación determinadas circunstancias a tener en cuenta. Así, el cálculo del importe de las multas queda a decisión de la autoridad de control, con sujeción a las normas previstas en el RGPD. En este contexto, el RGPD exige, como se ha señalado, que el importe de la multa sea en cada caso efectivo, proporcionado y disuasorio (artículo 83, apartado 1, del RGPD). Además, al fijar el importe de la multa, las autoridades de control tendrán debidamente en cuenta una lista de circunstancias que se refieren a las características de la infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD). Por último, el importe de la multa no excederá de los importes máximos previstos en el artículo 83, apartado 4, apartados 5 y 6, del RGPD. Por lo tanto, la cuantificación del importe de la multa se basa en una evaluación específica realizada en cada caso, dentro de los parámetros previstos por el RGPD. Además, debe tenerse en cuenta que el cálculo de una multa no es un mero ejercicio matemático, siendo las circunstancias del caso específico los factores determinantes que conducen a la cantidad final, que puede ser, en todos los casos y para cada infracción, una cantidad distinta hasta el máximo legal. Como consideración general y final, procede señalar que ninguna de las sanciones aplicadas vulnera el principio de proporcionalidad. Así, debe recordarse que los artículos 83.4 y 83.5 del RGPD, donde se encuentran tipificadas respectivamente la infracción del artículo 32 y la del artículo 5.1.f), establecen unos límites en las cuantías de las multas que se pueden imponer muy alejados de las que finalmente se han establecido. Por tanto, no puede decirse que las sanciones finalmente impuestas vulneren el principio de proporcionalidad, teniendo en cuenta que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” (el subrayado es nuestro) Recordemos en este punto lo manifestado por el TJUE en la sentencia dictada en el asunto C-683-21. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/51 78 La existencia de un sistema de sanciones que permita imponer, cuando las circunstancias específicas de cada caso lo justifiquen, una multa administrativa con arreglo al artículo 83 del RGPD crea un incentivo para que los responsables y encargados del tratamiento cumplan el Reglamento. Con su efecto disuasorio, las multas administrativas contribuyen a reforzar la protección de las personas físicas en lo que respecta al tratamiento de datos personales y constituyen, por ende, un elemento clave para garantizar el respeto de los derechos de dichas personas, de conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de protección de esas personas en lo que respecta al tratamiento de los datos personales. Asimismo, la reciente STJUE de 13 de febrero de 2025, en el asunto C-383/23, dispone que la imposición de una multa exige en el examen de cada caso particular de una serie de elementos previstos en el artículo 83 del RGPD, del que el volumen de negocios es un elemento más (ni el único ni el determinante), para imponer una multa que sea proporcional, disuasoria y efectiva y se refuerce, de esta forma, la protección de las personas físicas. 25 Así, en virtud del artículo 83, apartado 1, del RGPD, cada autoridad de control tiene que garantizar que las multas administrativas con arreglo al referido artículo 83 por las infracciones del RGPD indicadas en sus apartados 4 a 6 sean, en cada caso individual, efectivas, proporcionadas y disuasorias. 26 Más allá del cumplimiento de estos tres requisitos, el apartado 2 de dicho artículo 83 exige, para decidir la imposición de una multa administrativa y su importe, que la autoridad de control competente tenga debidamente en cuenta, en cada caso individual, una serie de elementos. 27 De conformidad con esta última disposición, entre esos elementos figuran, en particular, la naturaleza, gravedad y duración de la infracción, el número de interesados afectados y el nivel de los daños y perjuicios sufridos, la intencionalidad o negligencia en la infracción, las medidas adoptadas por el responsable o el encargado del tratamiento para paliar los daños y perjuicios sufridos, el grado de responsabilidad del responsable o del encargado del tratamiento y las categorías de datos personales afectados por la infracción. 28 Los citados elementos se refieren, bien al comportamiento de ese responsable o encargado, acusado de infringir determinadas disposiciones del RGPD, bien a las propias infracciones. Así pues, sirven para garantizar que cada una de dichas infracciones se aprecie sobre la base de todas las circunstancias individuales pertinentes y que se alcancen los objetivos perseguidos por el régimen sancionador contemplado en el RGPD. 29 Aunque estos elementos no hacen referencia al concepto de empresa, en el sentido de los artículos 101 TFUE y 102 TFUE, el Tribunal de Justicia ya ha declarado que solamente una multa que tenga en cuenta no solo todos los elementos que caractericen las infracciones del RGPD constatadas, sino también, en su caso, la capacidad económica real o material de su destinatario, reúne los tres requisitos establecidos en el artículo 83, apartado 1, del RGPD, a saber, ser a la vez efectiva, proporcionada y disuasoria. Pues bien, para apreciar estos requisitos, debe tenerse en cuenta si ese destinatario forma parte de una empresa en el sentido de los artículos 101 TFUE y 102 TFUE (véase, en este sentido, la sentencia de 5 de diciembre de 2023, Deutsche Wohnen, C 807/21, EU:C:2023:950, apartado 58). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/51 III Alegaciones a la Propuesta de Resolución En relación con las alegaciones aducidas a la Propuesta de Resolución, que reproducen básicamente las formuladas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas pormenorizadamente y desestimadas en los Fundamentos de Derecho de la Propuesta de Resolución, que aparece transcrita en el Fundamento de Derecho II de la presente Resolución, a la que, en aras de economía procesal, procede remitirse. En cuanto al resto de alegaciones, se procede a dar respuesta a las mismas, según el orden expuesto: PRIMERA. - DE LA PRESCIPCION DE LA SUPUESTA INFRACCION DEL ARTÍCULO 32 DEL RGPD Y LA VULNERACION DE LOS ACTOS PROPIOS DE LA ADMINISTRACION. A este respecto, procede recordar que el artículo 30.2 de la Ley 40/2015 establece que “el plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora.” Erra la parte reclamada al sostener que la infracción estaría prescrita toda vez que en el presente caso nos encontramos con una de las denominadas infracciones permanentes, caracterizada porque la conducta merecedora de reproche administrativo se mantiene durante un espacio de tiempo prolongado, y por ello el cómputo del plazo de prescripción no llega a iniciarse hasta que dicha conducta cese o se interrumpa. Tales infracciones se cometen mientras se mantienen los efectos lesivos de dicho eventual comportamiento infractor. En consecuencia, la lesión al bien jurídico protegido se prolonga en el tiempo, durante todo el periodo en el que mantiene dicho comportamiento contrario al ordenamiento jurídico. Debe aclararse que a raíz de la investigación realizada se detectaron indicios de dos infracciones, siendo una de ellas de carácter estructural y asociada a los procedimientos que tiene implantada la parte reclamada. A este respecto, hay que indicar que dicha infracción continuará existiendo mientras no se cambie el procedimiento. En el caso concreto que se examina, teniendo en cuenta la naturaleza de dicha infracción, el plazo de prescripción no puede, como sostiene la parte reclamada, computarse desde el 14 de enero de 2022, sino que el plazo de prescripción comenzará a computarse únicamente cuando la conducta infractora haya cesado. Puede mencionarse a tal efecto la reciente STS, de 17 de diciembre de 2020, Nº de Recurso: 4442/2019, que declara lo siguiente: “El cómputo del plazo de prescripción comienza cuando se comete la infracción y, tratándose de una infracción continuada, el dies a quo, no viene determinado por la fecha en que comienza a perpetrarse la infracción sino por la fecha en la que se realizó la última infracción o cesó la conducta.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/51 En este sentido consta acreditado en el expediente, la recepción por parte de la reclamante de una última factura de consumo emitida por la parte reclamada en julio de 2022, relativa a un punto de suministro desconocido para ella, que incluye como periodo de facturación, el periodo comprendido entre el 5 de mayo de 2022 y el 8 de junio de 2022, por lo que entre la comisión de la infracción imputada, acaecida en julio de 2022 y la fecha de la notificación del acuerdo de inicio del procedimiento sancionador a la parte reclamada, esto es, el 27 de mayo de 2024, no han transcurrido los dos años previstos en el artículo 73
  33. f)de la LOPDGDD, por lo que, por las razones expuestas, la prescripción de la infracción que se invoca debe ser rechazada. SEGUNDA. - DE LA VULNERACION DEL PRINCIPIO DE TIPICIDAD: INEXISTENCIA DE INFRACCION DE LOS ARTÍCULOS 5.1.D Y 32 DEL RGPD. Sobre la procedencia de cambiar en fase de propuesta de resolución la calificación jurídica de los hechos que el acuerdo de Inicio calificó como una infracción del artículo 5.1.
  34. f)del RGPD y sobre la incidencia que tal cambio pudiera tener en el derecho de defensa de la parte reclamada, se hizo constar en la propuesta de resolución que no existía ningún impedimento jurídico para tal cambio, siempre y cuando, como acontecía en este caso, permanecieran invariables los hechos en los que se fundaba la nueva imputación. Por lo expuesto, la propuesta de resolución consideró plenamente ajustado a Derecho el cambio de calificación jurídica efectuado en ese trámite, habida cuenta de que los hechos que se subsumieron en la infracción imputada a la parte reclamada en la propuesta de resolución -artículo 5.1.
  35. d)del RGPD- estaban recogidos en el acuerdo de inicio si bien subsumidos en la infracción del artículo 5.1.
  36. f)del RGPD, por lo que la nueva calificación jurídica no implicó una alteración en los hechos inicialmente apreciados sino que éstos permanecieron invariables. Además, hay que señalar que la fase de instrucción es precisamente para analizar más en profundidad y, a la vista de la evolución del procedimiento, ajustar más las posibles infracciones asociadas a las vulneraciones de la normativa detectadas, todo ello dentro de un marco de garantías suficientes y adecuadas para el responsable del tratamiento. En este caso, se expusieron claramente cuales fueron las infracciones que se proponía imputar a la reclamada y se le dio trámite de audiencia para que pudiera presentar las alegaciones que en su derecho considerara. La documentación que obra en el expediente evidencia que la parte reclamada vulneró el principio de exactitud pues trató un dato inexacto al llevar a cabo un cambio de titularidad, en un contrato de suministro de luz y en un contrato de suministro de gas, a favor de la parte reclamante en vez de a favor de Clienta A, que es quien solicitó el cambio de titularidad. Procede recordar que todo tratamiento de datos personales tiene que respetar los principios que lo presiden, recogidos en el artículo 5 del RGPD, entre ellos el de exactitud. El artículo 5.1.
  37. d)del RGPD dispone que los datos personales serán “
  38. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»)”. (El subrayado es nuestro). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/51 Conforme al RGPD, el responsable del tratamiento estará obligado a adoptar en todo momento las medidas que sean razonables para garantizar que sean exactos los datos personales que recoja o trate de cualquier otra forma. La actividad o las medidas que el responsable del tratamiento debe desplegar o adoptar a fin de garantizar la exactitud de los datos no pueden traducirse en exigencias desproporcionadas, pero sí son exigibles medidas “razonables”, lo que hace preciso valorar la finalidad y el contexto del tratamiento. En ese sentido, mientras el considerando 39 del RGPD alude a las “medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos” el artículo 5.1.
  39. d)del RGPD conecta la exactitud de los datos con los fines para los cuales son objeto de tratamiento. La Audiencia Nacional señalaba en su Sentencia de 27/02/2008, (Recurso 210/2007) que “El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento no sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado.” (El subrayado es nuestro). A mayor abundamiento el artículo 5.2. del RGPD incorpora el principio de responsabilidad proactiva en virtud del cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1, por lo que ahora interesa, en el apartado
  40. d)y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación, no solo de observar los principios que presiden el tratamiento, también la de poder demostrar dicho cumplimiento. Cabe mencionar el Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173-, emitido durante la vigencia de la Directiva 95/46/CEE derogada por el RGPD, pero cuyas reflexiones son aplicables en la actualidad, que entiende que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas que regulan el derecho fundamental a la protección de datos de carácter personal. Llegados a este punto nos remitimos a las facturas emitidas a la parte reclamante, resultado de no verificar todos los datos del cliente con carácter previo a la contratación utilizados por la parte reclamada en los procedimientos de cambio de titularidad de suministro. Así, la parte reclamante tuvo también acceso a través de las facturas recibidas, al número de CUPS que va asociado a la vivienda, al número de contrato y tipo, dirección de suministro, comercializadora, datos de facturación (datos bancarios, fecha y número de factura, importe, fecha de cargo, localizador de pago) e información del consumo de la persona que suscribió el contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/51 A tenor de las consideraciones expuestas a lo largo del procedimiento sancionador y de la documentación que obra en el expediente se estima que la parte reclamada vulneró el artículo 5.1.
  41. d)del RGPD que recoge un principio básico del derecho a la protección de datos de carácter personal conforme al cual los datos deben ser exactos y, si fuera necesario, actualizados (“principio de exactitud”). En cuanto a la infracción del artículo 32 del RGPD, esta Agencia vuelve a incidir en que esta infracción se debe a la falta de medidas o a la falta de aplicación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo en el procedimiento establecido para la contratación, así como al del cambio de titular. Afirma la parte reclamada que tenía y tiene instauradas medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Frente a ello, procede señalar que, de los hechos acaecidos, se deduce lo contrario. Repsol, a la hora de evaluar los riesgos de probabilidad y gravedad variables, debió tener en cuenta el riesgo para los derechos y libertades de las personas físicas y aplicar medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Se imputa a la parte reclamada la infracción del citado artículo 32, porque la conducta reprochable y que vulnera dicho precepto es la falta o inadecuación de las medidas de seguridad adecuadas al riesgo. En el presente caso, como se ha señalado, existía una vulnerabilidad derivada de una mala configuración del procedimiento de contratación y del cambio de titularidad. Un procedimiento que sólo contemplaba la identificación del titular a través de su nombre. A lo largo del procedimiento se ha comprobado que no existían medidas de carácter muy básico asociadas a riesgos que podrían considerarse frecuentes, como son los errores que se pueden cometer al identificar erróneamente a un titular por su nombre únicamente o su DNI. No se trata de un caso aislado, sino que la parte reclamada no tenía un procedimiento adecuado al nivel de riesgo existente, lo que impacta de forma importante en la operativa de la empresa. Una medida de comprobación muy sencilla hubiera sido, por ejemplo, establecer la obligación de comprobar los dos campos, nombre y DNI, de manera secuencial. Así, con el fin de prevenir errores humanos en el manejo de datos personales, como ocurre en el presente caso, la entidad debería haber adoptado diversas medidas efectivas. Entre las cuales, parece claro que el establecimiento, por ejemplo, de una medida consistente en identificar también a los clientes por otro campo, como por ejemplo su DNI, en los procesos de contratación, hubiese impedido que clientes con el nombre y apellidos iguales o muy similares pudieran sufrir contrataciones erróneas. Entre las medidas reactivas de la parte reclamada se encuentra la de acceder a los datos de los clientes por su DNI en lugar de por su nombre. Esta forma de contratación evitaría que pudieran existir errores con clientes que tuvieran nombres parecidos, pero no impediría que hubiera un error al introducir un número de DNI lo que no solucionaría el problema. Las organizaciones tienen que realizar un análisis adecuado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/51 a los riesgos existentes para evitar implantar procedimientos que suponen altos riesgos para los derechos y libertades de sus clientes. Como ya se ha indicado el principio de responsabilidad proactiva que debe tener el responsable del tratamiento de estar presente en sus actuaciones. Por otro lado, es esencial considerar la naturaleza de las operaciones de la entidad reclamada y su impacto en el cumplimiento de las obligaciones de protección de datos, teniendo en cuenta que la misma trata de forma periódica una cantidad considerable de datos personales. Esta perspectiva resulta relevante debido a la escala y regularidad del tratamiento de datos personales, lo que incrementa el riesgo y, en consecuencia, las expectativas de cumplimiento de la normativa de protección de datos por la entidad responsable. La regularidad con la que la empresa trata datos personales requiere un sistema robusto y actualizado de protección de datos, puesto que cualquier fallo puede tener efectos repetidos o prolongados y ello con independencia de que el fallo sea de origen humano o de cualquier otra naturaleza, por cuanto la falta de medidas técnicas y organizativas posibilitan los errores humanos. En este caso, a través de la investigación realizada se ha comprobado esa falta de medidas de seguridad. Pero no sólo se ha comprobado esa falta de medidas de seguridad, sino que también se ha comprobado la inexistencia de controles posteriores para detectar esos fallos a pesar de que la parte reclamada indica que los tiene implantados. manifiesta una carencia significativa en sus mecanismos de prevención, supervisión y auditoría interna, lo cual refuerza la necesidad de implementar sistemas detectivos, de revisión y control continuo, no solo para prevenir errores, sino también para detectarlos y rectificarlos de manera oportuna, asegurando así el cumplimiento del RGPD. Esto demuestra la incapacidad de la parte reclamada para identificar y abordar proactivamente el error por sí misma, incluso aun después de tener conocimiento del incidente en la que decide identificar al cliente por el DNI en lugar de por el nombre, lo que a juicio de esta Agencia no resulta un procedimiento apropiado para garantizar un nivel de seguridad adecuado al riesgo. Ello pone de manifiesto claramente un incumplimiento del artículo 32 del RGPD, por cuanto exige medidas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, y todo ello teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento. Todo ello no hace sino reflejar una falta de diligencia por parte de REPSOL a la hora de garantizar una seguridad adecuada al riesgo de los tratamientos de datos que lleva a cabo, que todavía no ha corregido. En este sentido, no debe olvidarse que en la base de datos afectada se encuentran almacenados datos personales de miles de clientes, lo que exige medidas de seguridad adecuadas para ello y dirigidas especialmente a garantizar que no se produzca un acceso ilegítimo a dichos datos personales. TERCERA. - VULNERACIÓN DEL PRINCIPIO DE CULPABIDAD. A juicio de la parte reclamada no existiría responsabilidad administrativa alguna en los supuestos hechos infractores, al tratarse de un error involuntario humano. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/51 Sin embargo, no podemos hablar tan sólo de un error humano, puntual desde el momento en que estamos ante dos infracciones diferenciadas y una de ellas está vinculada a un procedimiento que no cumple con lo establecido en el artículo 32 del RGPD como se ha indicado anteriormente. Tal y como se ha señalado a lo largo del procedimiento sancionador, se reitera que, ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.” A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por lo que el planteamiento que la parte reclamada realiza sobre esta cuestión en sus alegaciones no se ajusta a Derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/51 CUARTA. - DE LA VULNERACION DEL PRINCIPIO DE BUENA FE, SEGURIDAD JURIDICA Y EQUIDAD. Reitera que nos encontramos ante un error puntual y que actuó de forma totalmente diligente. Considera que no se está respetando el principio universal de equidad y que ha actuado de buena fe al tratarse de un error humano, sin trascendencia para la reclamante por lo que entiende vulnerados con el presente expediente sancionador los principios de buena fe, seguridad jurídica y equidad. Tal afirmación no puede ser acogida, por cuanto en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la entidad reclamada es de constante y abundante manejo de datos de carácter personal, ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]. Nos remitimos a lo indicado anteriormente en sobre que una de las infracciones es de carácter estructural y debido a un procedimiento no adecuado al riesgo de evitar identificar erróneamente a un cliente. QUINTA. -VULNERACION DEL PRINCIPIO DE PROPORCIONALIDAD. En primer lugar, tal y como se expuso en la propuesta de resolución, las medidas correctivas de las que se dota a las Autoridades de Control se configuran en el RGPD como “poderes” esto es, como potestades de actuación que, lógicamente, serán de aplicación en atención a las circunstancias presentes en cada caso concreto. Por otro lado, esta Agencia desea señalar lo que el Considerando 148 del RGPD indica sobre la posibilidad de imponer un apercibimiento: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En atención a los términos en los que se pronuncia, el RGPD insta con carácter general a la imposición de multas y prevé que el apercibimiento sea la medida utilizada cuando la infracción sea leve- circunstancia que no sucede en este caso- o implique una carga desproporcionada cuando la infracción haya sido cometida por una persona física. En el presente caso, esta Agencia ha evaluado y motivado todas las circunstancias agravantes o atenuantes a que hace referencia el citado considerando 148 del RPGD (que no son otras que las del artículo 83.2 del RGPD) y toda vez que las infracciones en cuestión no son leves a efectos del RGPD, se considera conforme a Derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/51 imponer una multa en vez de dirigir un apercibimiento. Razón por la que se desestima la presente alegación. En cuanto al principio de proporcionalidad, la STS, Sala 3ª, de 16 de diciembre de 2003 (Rec. 4996/98) ya señalaba que el principio de proporcionalidad de las sanciones exige que "la discrecionalidad que se otorga a la Administración para la aplicación de la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la debida proporcionalidad entre los hechos imputados y la responsabilidad exigida". Principio de proporcionalidad que no se entiende vulnerado, considerándose proporcionada la sanción propuesta a la entidad, por los hechos probados y ponderadas las circunstancias concurrentes, que se detallan más adelante. Esta Agencia desea señalar que el RGPD no obliga a que deban existir graves daños y/o perjuicios de la parte reclamante para constatar la existencia de infracción, como en el presente caso. La naturaleza de la infracción, número de afectados, la existencia o no de daños y perjuicios, son todas cuestiones que se han tenido en cuenta y han sido debidamente motivadas a la hora de graduar la sanción a imponer a REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS S.L.U. Ahora bien, frente a lo alegado, procede señalar varias cosas: En primer lugar, el artículo 83.1 RGPD establece que las multas administrativas por las infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las multas administrativas se impondrán en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas…” (el subrayado es nuestro). Estableciendo a continuación determinadas circunstancias a tener en cuenta. Así, el cálculo del importe de las multas queda a decisión de la autoridad de control, con sujeción a las normas previstas en el RGPD. En este contexto, el RGPD exige, como se ha señalado, que el importe de la multa sea en cada caso efectivo, proporcionado y disuasorio (artículo 83, apartado 1, del RGPD). Además, al fijar el importe de la multa, las autoridades de control tendrán debidamente en cuenta una lista de circunstancias que se refieren a las características de la infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD). Por último, el importe de la multa no excederá de los importes máximos previstos en el artículo 83, apartado 4, apartados 5 y 6, del RGPD. Por lo tanto, la cuantificación del importe de la multa se basa en una evaluación específica realizada en cada caso, dentro de los parámetros previstos por el RGPD. Además, debe tenerse en cuenta que el cálculo de una multa no es un mero ejercicio matemático, siendo las circunstancias del caso específico los factores determinantes que conducen a la cantidad final, que puede ser, en todos los casos y para cada infracción, una cantidad distinta hasta el máximo legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/51 Como consideración general y final, procede señalar que ninguna de las sanciones aplicadas vulnera el principio de proporcionalidad. Así, debe recordarse que los artículos 83.4 y 83.5 del RGPD, donde se encuentran tipificadas respectivamente la infracción del artículo 32 y la del artículo 5.1.d), establecen unos límites en las cuantías de las multas que se pueden imponer muy alejados de las que finalmente se han establecido. Por tanto, no puede decirse que las sanciones finalmente impuestas vulneren el principio de proporcionalidad, teniendo en cuenta que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias” (el subrayado es nuestro) En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones que se declaran cometidas ni suponen causa de justificación o exculpación suficiente. IV Obligación incumplida. Infracción del artículo 5.1.
  42. d)del RGPD. Establece el artículo 5.1.
  43. d)del RGPD lo siguiente: “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
  44. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);” En relación con este principio, el Considerando 39 del referido RGPD señala que: “(…) para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos”. Y el considerando 71: “
(71)(...) a fin de garantizar un tratamiento leal y transparente respecto del interesado, teniendo en cuenta las circunstancias y contexto específicos en los que se tratan los datos personales, el responsable del tratamiento debe utilizar procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles, aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que se corrigen los factores que introducen inexactitudes en los datos personales y se reduce al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/51 condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar a medidas que produzcan tal efecto". En el presente caso, de las actuaciones de

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.