← España

PS-00099-2022

1/12  Expediente N.º: PS/00099/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 28 de marzo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra OES GLOBAL ENERGY S.L. con NIF B01901941 (en adelante, OES). Los motivos en que basa la reclamación son los siguientes: Indica que tiene contratos de suministro de gas y energía con la empresa FREE ENERGÍA, pero ha recibido un correo electrónico de OES, cuyo domicilio coincide con el de FREE ENERGÍA, en el que se adjuntan documentos de desistimiento de unos contratos de electricidad firmados por otros dos clientes, identificados con su nombre y DNI. Aporta, junto con su escrito de reclamación: - Impresión de correo electrónico de fecha 18 de marzo de 2021 enviado por clientes@oesenergia.com (que se indica que es del Departamento de SAC e Incidencias) a varias direcciones de correo electrónico entre las que se incluye la de la parte reclamante. En este correo, se indica que se adjunta el email de un cliente solicitando el desistimiento de contratos, y se aportan nombre y apellidos de un cliente con 10 CUPS, y nombre y apellidos de otro cliente con 2 CUPS. Los nombres de estos dos clientes son distintos al de la reclamante. - Impresión de dos páginas del anexo al anterior correo que son la última página de desistimientos con SUMINISTRADOR IBÉRICO DE ENERGÍA, S.L. – OES ENERGÍA (con NIF B67421875) y los dos clientes que aparecían en el correo. De esos dos clientes aparecen los siguientes datos: nombre, apellido, DNI, CUPS y firma manuscrita. - Impresión de correo electrónico de 26 de marzo de 2021 remitido por la reclamante a datos@oesenergia.com en el que solicita la supresión de sus datos debido a que ha recibido un correo con datos de otros clientes, y adjunta el anterior correo de fecha 18 de marzo de 2021. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 adelante LOPDGDD), se dio traslado de dicha reclamación a OES para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogido por el responsable; reiterándose el traslado en fecha 26/05/2021 por correo postal certificado, fue nuevamente devuelto por "desconocido”. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 28 de junio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se ha investigado la siguiente entidad: OES GLOBAL ENERGY S.L. con NIF B01901941 con domicilio en RAMBLA DEL GARRAF, Nº 76 - 08812 SANT PERE DE RIBES (BARCELONA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Se aporta, entre otra, la siguiente información: 1. Indicación de que el incidente descrito por la reclamante se produjo debido a un error puntual al incluir la dirección de email de la reclamante como destinatario de un correo interno de la compañía. 2. Indicación de que este incidente no fue comunicado a la AEPD en 72 horas porque, al no haberse detectado la brecha de seguridad, no se contempló la posibilidad de notificar a la AEPD ni a los afectados. 3. Indicación de que, al ser dos afectados y debido a la tipología de datos, el incidente no implica un riesgo para los derechos y libertades de los afectados. 4. Indicación de que no consta que terceros hayan accedido a los datos, aparte de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 5. Indicación de que no se detectó el correo enviado por la parte reclamante debido a un error humano; por este motivo, OES no respondió a la solicitud de supresión de la reclamante hasta que no se le envió este expediente por parte de la AEPD. 6. Impresión de correo electrónico de fecha 17 de febrero de 2022 remitido por juridico@grupovisalia.com hacia el email de la parte reclamante en el que se indica que se adjunta la respuesta a su solicitud a OES. Y se adjunta también un escrito dirigido a la reclamante con el siguiente contenido: Atendiendo a su solicitud de protección de datos, le informamos que, de conformidad con la misma, OES ENERGÍA ha procedido a tramitar la supresión de sus datos personales. Sin perjuicio de lo anterior, y de conformidad con lo establecido en el artículo 17.3 RDPG, procederemos a conservar sus datos para el cumplimiento de las obligaciones legales que puedan derivarse de su relación jurídica con la empresa, así como en su caso, dar cumplimiento a requerimientos judiciales. Por todo ello, y dado que OES ENERGÍA, quiere respetar escrupulosamente el ejercicio de sus derechos, le informamos que quedamos a su disposición para cualquier aclaración que precise. QUINTO: Con fecha 4 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, y Artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD Notificado el acuerdo de inicio, OES presento escrito de alegaciones en el que en síntesis manifestaba: -Que considera desproporcionada la propuesta de sanción económica por el presunto incumplimiento de los preceptos normativos indicados, ya que el criterio que ha seguido la AEPD a la hora de imponer sanciones por las presuntas infracciones de los preceptos recogidos en los artículos 5.1.
  2. f)y 32 RGPD en otros expedientes, diverge del establecido en el presente Procedimiento Sancionador, sufriendo OES un agravio comparativo. Añade OES que no acaba de entender cuál es el motivo por el que la propuesta de sanción del presente Procedimiento Sancionador es tan elevada, máxime teniendo en cuenta que la actividad sancionadora de la Administración está sujeta al principio de proporcionalidad, y que entiende que la cuantía de las sanciones impuestas no se ha visto adecuadamente modulada. -A este respecto esta Agencia señala que, si bien la sanción inicialmente fijada se encuentra dentro del marco establecido por los artículos 83.5 y 83.4 del RGPD, para la infracción a los artículos 5.1.
  3. f)RGPD y 32 RGPD, respectivamente, no es menos cierto que son varios los factores que han de considerarse a la hora de fijar la sanción para que ésta sea proporcional y adecuada a la infracción que se analiza en cada supuesto. Tomando, pues, en consideración todos los factores, estudiadas las alegaciones efectuadas por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 OES a este respecto, cabe concluir que resultaría adecuado estimar parcialmente las mismas en el sentido de reducir la cuantía de las multas inicialmente propuestas. -Que uno de los principios que rige el derecho administrativo sancionador es el principio “non bis in idem”, que implica que no se pueden imponer dos o más sanciones sobre los mismos hechos, y que el hecho que propicia este Procedimiento Sancionador es el envío, debido a un error humano y puntual, de un correo interno a un cliente al cual se puso por equivocación como destinatario del mismo. Entiende OES que este hecho es sancionado por la AEPD dos veces, una por infracción del artículo 5.1.
  4. f)RGPD en relación con la no observancia del principio de confidencialidad e integridad, y otra por el incumplimiento del artículo 32 RGPD en cuanto a la falta de adopción de medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, debiendo ser sancionado por una única infracción. -A este respecto hay que señalar que la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) recoge el principio NON BIS IN IDEM, al establecer en su artículo 31.1: “No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento”. En el presente procedimiento sancionador no se dan los presupuestos necesarios, puesto que se imputan hechos diferentes, cada uno de ellos, asimismo, tipificados en diferentes artículos del RGPD. El supuesto tipificado en el artículo 5.1.
  5. f)del RGPD se refiere al hecho de que los datos personales de dos clientes de OES fueron expuestos a un tercero. El supuesto tipificado en el artículo 32 hace referencia a que tanto el responsable como el encargado del tratamiento deben adoptar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad apropiado al riesgo, concluyendo que dichas medidas no habían sido adoptadas en el presente caso. -Que los hechos que han propiciado la incoación del Procedimiento Sancionador no obedecen, en ningún caso, a un ánimo de quebrantar la confidencialidad de los datos de los clientes de OES, ni a cualquier otro tipo de intencionalidad de OES de incumplir con sus obligaciones en materia de protección de datos, no concurriendo la necesaria exigencia de culpabilidad para poder imponer una sanción administrativa ya que está asentado el criterio jurisprudencial de que debe descartarse toda sanción al margen de una conducta culposa o negligente (principio de culpabilidad en materia sancionadora); por lo que quieren poner de manifiesto que, en ningún caso, OES ha buscado un resultado de revelación de los datos personales de sus clientes y que tan solo se ha producido una reclamación por estos hechos, siendo, como se ha comentado anteriormente, debidos a un error humano y puntual. -A este respecto esta agencia cita las Sentencias del Tribunal Supremo de 12 (rec. 388/1994) y 19 de mayo de 1998, Sección Sexta, que afirman que «en el ámbito de la responsabilidad administrativa no basta con que la conducta sea C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción u omisión imputable a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable (...)” En el presente caso se aprecia que OES es responsable y, por tanto, culpable, en el sentido apuntado por las citadas sentencias, de las infracciones imputadas, sin que quepa exculparse en la falta de intencionalidad, pues no cabe duda de que su conducta ha sido cuando menos imprudente, al enviar por correo electrónico a un cliente los contratos correspondientes a otras dos personas, contratos en los que figuran datos personales. -Que, desde el momento en que ha tenido conocimiento de la brecha de seguridad que ha originado en un primer momento el Requerimiento Inicial y, posteriormente, el Procedimiento Sancionador, ha aplicado las siguientes medidas técnicas y organizativas (además de las indicadas en la contestación al Requerimiento Inicial): • Implementar cursos de formación a los empleados • Configuración del correo electrónico de todo el personal eliminando el predictivo de autocompletar el correo. • Estudio de la viabilidad de desvío de correo electrónico a un servidor de correo externo para realizar filtrados de destinatarios. -A este respecto esta Agencia no tiene nada que objetar ni añadir a las medidas implementadas. SEXTO: Con fecha 1 de junio de 2022 se formuló propuesta de resolución, proponiendo Que por la Directora de la Agencia Española de Protección de Datos se sancione a OES GLOBAL ENERGY S.L., con NIF B01901941: -por una infracción del Artículo 5.1.
  6. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 25.000 € (veinticinco mil euros). -por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, con una multa de 10.000€ (diez mil euros). SEPTIMO: Notificada la propuesta de resolución, OES presenta nuevo escrito de alegaciones en fecha 04/08/2022, en el que da por reproducidas todas las alegaciones realizadas en los escritos previos, y añade que: - En relación con el razonamiento expuesto por la AEPD en respuesta a la alegación tercera en la propuesta de resolución, no comparte dicha argumentación por los siguientes motivos: 1º. La AEPD por un lado indica que OES no puede quedar exonerada de su falta de intencionalidad, pero justifica la misma en la existencia de una conducta que “ha sido cuando menos imprudente”. Entiende esta parte que intencionalidad (dolo) e imprudencia son términos opuestos no pudiendo ser una conducta dolosa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 consecuencia de una conducta imprudente o, dicho de otra manera, no se le puede atribuir a OES el haber actuado intencionadamente cuando la conducta que supuestamente origina el dolo en la actuación es calificada como culposa por la propia AEPD. 2º. En cualquier caso, la conducta supuestamente infractora que indica la AEPD y que imputa a OES como “imprudente”, entiende esta parte que solamente podría ser achacable a una supuesta infracción de OES del artículo 32 RGPD en relación con las medidas técnicas y organizativas aplicadas al tratamiento de datos personales ya que, en su caso, sí correspondería al responsable del tratamiento el diseñar e implementar aquellas que fuesen necesarias para salvaguardar la seguridad de los datos personales tratados. No obstante, el hecho de que en el ámbito de la actividad ordinaria de la empresa, un trabajador, de manera imprudente, haya puesto en copia a la reclamante en un correo electrónico cuyos destinatarios deberían haber sido únicamente personal interno de la compañía, constituye una circunstancia que, más allá de las posibles medidas técnicas y/o organizativas que OES pudiese haber implementado en su momento, escapa al control efectivo de la empresa en cuanto es un error humano y puntual que ha consistido en no revisar los destinatarios de un correo electrónico interno previo a su envío. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditado que la parte reclamante tenía firmados contratos de suministro de gas y de energía con la empresa FREE ENERGÍA. SEGUNDO: Consta acreditado que la parte reclamante recibió un correo electrónico de OES, cuyo domicilio coincide con el de FREE ENERGÍA, en el que se adjuntan documentos de desistimiento de unos contratos de electricidad firmados por otros dos clientes, identificados con su nombre y DNI. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 II En relación a las alegaciones presentadas a la propuesta de resolución, OES da por reproducidas las ya presentadas anteriormente y añade que: 1-En relación con el razonamiento expuesto por la AEPD en respuesta a la alegación tercera en la propuesta de resolución, no comparte dicha argumentación puesto que la AEPD por un lado indica que OES no puede quedar exonerada de su falta de intencionalidad, pero justifica la misma en la existencia de una conducta que “ha sido cuando menos imprudente”, y entienden que intencionalidad (dolo) e imprudencia son términos opuestos no pudiendo ser una conducta dolosa consecuencia de una conducta imprudente o, dicho de otra manera, no se le puede atribuir a OES el haber actuado intencionadamente cuando la conducta que supuestamente origina el dolo en la actuación es calificada como culposa por la propia AEPD. -A este respecto, esta Agencia aclara que en ningún momento se ha atribuido a OES intencionalidad en la acción, pero si responsabilidad, en el sentido dado por las sentencias citadas, Sentencias del Tribunal Supremo de 12 (rec. 388/1994) y 19 de mayo de 1998, Sección Sexta, que afirman que «en el ámbito de la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción u omisión imputable a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable (...)” 2- La conducta supuestamente infractora que indica la AEPD y que imputa a OES como “imprudente”, entienden que solamente podría ser achacable a una supuesta infracción de OES del artículo 32 RGPD en relación con las medidas técnicas y organizativas aplicadas al tratamiento de datos personales ya que, en su caso, sí correspondería al responsable del tratamiento el diseñar e implementar aquellas que fuesen necesarias para salvaguardar la seguridad de los datos personales tratados. No obstante, el hecho de que en el ámbito de la actividad ordinaria de la empresa, un trabajador, de manera imprudente, haya puesto en copia a la reclamante en un correo electrónico cuyos destinatarios deberían haber sido únicamente personal interno de la compañía, constituye una circunstancia que, más allá de las posibles medidas técnicas y/o organizativas que OES pudiese haber implementado en su momento, escapa al control efectivo de la empresa en cuanto es un error humano y puntual que ha consistido en no revisar los destinatarios de un correo electrónico interno previo a su envío. -A este respecto, esta Agencia cita la Sentencia 188/2022 de la Sección Tercera Sala de lo Contencioso Administrativo del Tribunal Supremo, de fecha 15/02/2022, que en su fundamento de Derecho Tercero indica: (…) Por último, resulta oportuno recordar que las personas jurídicas responden por la actuación de sus empleados o trabajadores. No se establece por ello una responsabilidad objetiva, pero si es trasladable a la persona jurídica la falta de diligencia de sus empleados, en tal sentido STC 246/1991, de 19 de diciembre f.j 2. (…) III El artículo 5.1.
  7. f)“Principios relativos al tratamiento” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 “1. Los datos personales serán: (…)
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que hubo una indebida exposición de datos personales de clientes, obrantes en la base de datos de OES, puesto que se enviaron por correo electrónico documentos firmados y en los que constaban datos personales como nombre, apellidos y DNI, a una tercera persona ajena. IV El artículo 83.5 del RGPD bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  9. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como atenuantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 -El incidente afectó únicamente a tres personas, sin que a fecha actual se haya constatado que sufrieran algún perjuicio derivado del mismo. (Artículo 83.2.
  11. a)Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, pues tratándose de una empresa suministradora de energía, con numerosos clientes con los que se suscriben contratos, tratan un elevado número de datos personales. (Artículo 76.2.
  12. b)El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  13. f)del RGPD, una vez examinadas, asimismo, las alegaciones de OES, permiten fijar una sanción de 25.000 € (VEINTICINCO MIL EUROS). VI El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a)la seudonimización y el cifrado de datos personales; b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha, OES no adopto un mínimo de medidas tendentes a evitar que, junto con las direcciones de correo electrónico de personas pertenecientes a su propia organización, a quienes iban destinados los documentos de desistimiento de varios CUPS de dos clientes, se incluyera la dirección de correo de la parte reclamante, motivo por el que ésta acabó recibiendo documentos no destinados a ella en un principio, con datos personales de otras personas. VII El artículo 83.4 del RGPD bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  14. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  15. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…) VIII A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que la infracción en cuestión es grave a los efectos del RGPD y que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como atenuantes: -El incidente afectó únicamente a tres personas, sin que a fecha actual se haya constatado que sufrieran algún perjuicio derivado del mismo. (Artículo 83.2.
  16. a)Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, pues tratándose de una empresa suministradora de energía, con numerosos clientes con los que se suscriben contratos, tratan un elevado número de datos personales. (Artículo 76.2.
  17. b)El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, una vez analizadas, asimismo, las alegaciones presentadas por OES, permiten fijar una sanción de 10.000 € (DIEZ MIL EUROS). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a OES GLOBAL ENERGY S.L., con NIF B01901941, por una infracción del Artículo 5.1.
  18. f)del RGPD tipificada en el Artículo 83.5 del RGPD, una multa de 25.000 € (VEINTICINCO MIL EUROS) IMPONER a OES GLOBAL ENERGY S.L., con NIF B01901941, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa DE 10.000 € (DIEZ MIL EUROS) SEGUNDO: NOTIFICAR la presente resolución a OES GLOBAL ENERGY S.L. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  19. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  20. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.