1/48 Expediente N.º: EXP202313865 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 18 de agosto de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a GASEXPRESS PATRAIX, S.L. con NIF B98667504 (en adelante, GASEXPRESS o la parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: “Esta empresa tiene varias gasolineras de servicio automatizado. En la que está situada en la ***DIRECCIÓN.1 de Valencia llevamos meses observando que se puede imprimir la última factura emitida por el sistema con tan sólo pulsar en obtener factura al llegar y, de este modo, hacerse con los datos del anterior usuario. Comunicamos por teléfono este hecho a la empresa hace meses sin que hayamos observado cambio alguno en el problema. Recientemente, previo a esta denuncia, lo volvimos a comunicar por escrito (ver correo 1), respondiendo la empresa que el sistema tiene un límite temporal de tres minutos en los que se pueden imprimir tantas facturas como se quiera (ver Respuesta Correo 1). El sistema alegado por la empresa no evita que se pueda tener acceso a los datos del anterior usuario dentro de ese margen temporal, pero realmente tampoco es cierto que el sistema tengo ese límite temporal. En el documento adjunto Facturas gasolinera se puede observar mi repostaje el día 04/08/2023 en la factura de la derecha y, en su parte inferior, la hora de confirmación 15:08 horas. A esa hora, para poder acreditar lo expuesto en el presente, imprimí las facturas de los suministros previos de los surtidores 3 y 4, dependientes de la máquina que manejaba, escogiendo la opción obtener factura. En la parte central se puede ver la factura de un suministro realizado por otro usuario que no facilitó sus datos de facturación y en su parte inferior la hora 15:07. En la parte izquierda se puede ver la factura de un suministro de otro usuario con sus datos personales y NIF y en su parte inferior la hora 15:01. En resumen, esto evidencia que a las 15:08 me pude hacer con las facturas previas de las 15:07 y las 15:01, más allá de los tres minutos indicados por la empresa. Lo deseable sería que, tras imprimir un número limitado de copias de facturas, el sistema no permitiera emitir más, con lo que el usuario podría evitar que sus datos (nombre y apellidos, NIF, dirección completa y los 4 últimos dígitos de la tarjeta bancaria) quedaran expuestos. Normalmente, en otras gasolineras con sistemas similares el servicio de copia de factura queda anulado tras imprimir tres copias.” C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 2/48 Junto a la reclamación se aporta lo siguiente: -Copia de correo electrónico enviado el 10 de agosto de 2023 por la parte reclamante a la dirección de correo ***EMAIL.1, con el asunto “Vulneración protección de datos de carácter personal” en el que indica lo siguiente: “Hace varios meses me puse en contacto telefónico con ustedes en relación con la vulneración sistemática de los datos de carácter personal de sus clientes en su estación de repostaje de la ***DIRECCIÓN.1 de Valencia, sin que hasta la fecha hayan aplicado solución alguna al problema Su sistema automático de pago y emisión de facturas permite que cualquier persona y en cualquier momento antes de hacer un nuevo repostaje pueda obtener una copia de la última factura que haya emitido un surtidor, haciéndose con todos los datos de carácter personal de un cliente anterior que constan en esa factura. Cada vez que voy a repostar, directamente pulso la opción “factura” y la máquina me emite la factura del anterior cliente. Y por más copias de mi factura que yo imprima, en la que constan nombre, apellidos, NIF, dirección, tipo de tarjeta bancaria y sus últimos 4 dígitos, cuando yo me voy de su estación de repostaje sigue quedando abierta la posibilidad de que otra persona llegue y, eligiendo la opción factura, se haga con todos esos datos de forma ilegítima. Se lo vuelvo a comunicar con carácter previo a presentar una denuncia ante la Agencia de Protección de Datos. Si en el razonable plazo de 10 días no obtengo respuesta satisfactoria con solución incluida, procederé a presentar la oportuna denuncia.” -Copia de tres facturas de fecha 4 de agosto de 2023, una de ellas a nombre de un tercero, otra no nominativa y la tercera a nombre de la parte reclamante, en las que figura como hora de impresión las 15:01, 15:07 y 15:08, respectivamente. En las dos que están personalizadas figura el DNI del cliente y en las tres figuran los cuatro últimos dígitos de la tarjeta bancaria con la que han realizado el pago y el importe. -Copia de correo electrónico recibido el 16 de agosto de 2023 por la parte reclamante desde la dirección ***EMAIL.2, en el que se indica lo siguiente: “Le pedimos disculpas por las molestias ocasionadas, el surtidor está programado con tres minutos de rigor, que es el tiempo establecido, para que el cliente pueda sacar sus facturas o las copias necesarias, está estipulado así, con la intención de facilitar el proceso al cliente, una vez pasado ese tiempo, el surtidor queda bloqueado y no es posible sacar facturas en gasexpress, cumplimos las normas establecidas por la ley, ya que para nosotros es lo más importante, lamentamos su descontento y estaremos encantados de ayudarle en lo que necesite.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a GASEXPRESS para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 3/48 fecha 11 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 8 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando los siguientes extremos: “Nuestra gasolinera automatizada tiene un tiempo de cortesía de cara a nuestros clientes que van a repostar a nuestra gasolinera. Esta estimación de tiempo en base a un criterio de repostaje fue de 3 minutos, en lo que nuestros clientes deben de poder gestionar desde la llegada a la estación de servicio, repostaje, introducir datos de factura, ticket y tarjeta de fidelización de puntos. En el caso de que un cliente pudiera realizar este proceso en un menor tiempo y cliente que viniera a repostar a continuación dentro de ese plazo de 3 minutos podría ver los datos del anterior repostaje” Con el escrito de respuesta aporta la siguiente documentación: -Copia del formulario interno para el registro y notificación de brechas de seguridad (sin fecha), en el que registra la información sobre la brecha de seguridad de fecha 4 de agosto de 2023 detectada por mediación del cliente que hace la reclamación. Indican los siguiente: “No éramos conscientes de la anomalía, ya que no hemos tenido ninguna reclamación por parte de ningún cliente, el tiempo de estimación previsto son de 3 minutos que es un tiempo de cortesía, para que el cliente pueda hacer todo en el tiempo de gestión necesario, ya que es una estación automatizada.” Las medidas tomadas para solucionar la brecha de seguridad y minimizar el impacto ante los afectados, según indica la parte reclamada son las siguientes: “Se corrige la estimación de tiempo a 2 min entendiendo que puede perjudicar a otros clientes y activamos como medida correctora poder realizar únicamente 1 impresión.” -Contrato de prestación de servicios de gestión y administración de empresas entre la parte reclamada y una sociedad de gestión y administración de empresas (***EMPRESA.1) -Informe del servicio de atención al cliente de ***EMPRESA.2 de fecha 8/11/23 en el que indica lo siguiente: “A fecha 08/11/23, el servicio de atención al cliente de ***EMPRESA.2, ha realizado la configuración en los equipos desatendidos de la estación (…) que sita en (***DIRECCIÓN.1) de tal forma que los terminales desatendidos solo emitan una copia de los justificantes de venta realizados en ellos. El tiempo configurado para que el cliente pueda sacar dicha copia, es de 2 minutos aproximadamente tras la finalización del suministro. Durante estos 2 minutos solo podrá sacar una copia del justificante, una vez pasado los dos minutos ya no será posible sacar ninguna copia, aunque este no haya sido impreso previamente. De esta forma, salvo que la configuración sea C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 4/48 modificada nuevamente, así que es como se comportará el sistema a partir de la fecha indicada anteriormente.” TERCERO: Con fecha 18 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad GASEXPRESS PATRAIX, S.L. es una empresa constituida en el año 2.014, y con un volumen de negocios de 7.653.492 euros en el año 2024 QUINTO: Con fecha 5 de febrero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Con fecha 13 de febrero de 2025 GASEXPRESS presentó escrito solicitando ampliación de plazo para presentar alegaciones, concediéndose por el instructor del procedimiento, en fecha 19 de febrero de 2025, la ampliación del plazo instada hasta un máximo de 5 días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notificó a GASEXPRESS en fecha 19 de febrero de 2025, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en fecha 28 de febrero de 2025, en el que, en síntesis, manifestaba que: Alegación Primera: Resolución de la AEPD por la que se inicia el expediente sancionador. Alegación Segunda: Actividad desarrollada por GASEXPRESS PATRAIX, S.L. Alegación Tercera: Mejoras implementadas en el sistema. Alegación Cuarta: Cumplimiento de los principios de integridad y de confidencialidad de los datos personales. Alegación Quinta: Actividad probatoria desplegada por el reclamante. Alegación Sexta: Principio de culpabilidad. Alegación Séptima: Prueba ilícita. Alegación Octava: Principio de proporcionalidad. OCTAVO: Con fecha 03 de diciembre de 2025 se acuerda por esta Agencia nombrar Instructora del citado procedimiento a R.R.R., en sustitución de S.S.S., indicando que podrá ser recusado, en su caso, en cualquier momento de la tramitación del procedimiento, conforme a lo establecido en el artículo 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, LRJSP). C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 5/48 El citado acuerdo se notificó a GASEXPRESS en fecha 11 de diciembre de 2025, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 15 de diciembre de 2025, el órgano instructor del presente procedimiento dictó propuesta de resolución en la que se proponía que por la Presidencia de la Agencia Española de Protección de Datos se sancionara a GASEXPRESS, por una infracción del artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, con una multa de 25.000,00 € (veinticinco mil euros). La citada propuesta de resolución se notificó a GASEXPRESS en fecha 23 de diciembre de 2025, como consta en el acuse de recibo que obra en el expediente. DÉCIMO: El 9 de enero de 2026 GASEXPRESS presentó escrito de alegaciones a la propuesta de resolución en el que, en síntesis, y de manera adicional a las formuladas con anterioridad, las cuales también se reproducen en este escrito, pone de manifiesto que: Alegación Primera: Hechos y fundamentos jurídicos que fundamentan el presente procedimiento sancionador. Alegación Segunda: Argumentos esgrimidos por la AEPD en la Propuesta de Resolución del procedimiento sancionador. Alegación Tercera: Medidas técnicas y organizativas adoptadas desde el inicio por GASEXPRESS PATRAIX SL. Alegación Cuarta: Mejoras implementadas en el sistema. Alegación Quinta: Cumplimiento de las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado. Alegación Sexta: Actividad probatoria desplegada por el reclamante. Alegación Sexta: Naturaleza de la obligación prevista en el artículo 32 RGPD. Alegación Séptima: Principio de culpabilidad. Alegación Octava: Prueba ilícita. Alegación Novena: Principio de proporcionalidad. Alegación Décima: Solución alternativa. Se observa, además, que GASEXPRESS ha enumerado de forma incorrecta las alegaciones, repitiendo la numeración de la 'alegación sexta' en dos ocasiones, correspondiendo, por el orden lógico del escrito, que la segunda alegación sexta fuera identificada como 'alegación séptima', y así sucesivamente para las restantes. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 6/48 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta que GASEXPRESS gestiona gasolineras de servicio automatizadas entre las que se encuentra la ubicada en la ***DIRECCIÓN.1 de Valencia. SEGUNDO: Consta que en fecha 4 de agosto de 2023, a las 15:08h, la parte reclamante finalizó su propio repostaje aportando como evidencia factura de ello. Asimismo, la parte reclamante dispone y aporta junto con su reclamación, copia de dos facturas emitidas con anterioridad, correspondientes a dos suministros realizados a las 15:07h y a las 15:01h y pertenecientes a otros usuarios diferentes a la parte reclamante. -Extracto de los datos más significativos de la Factura 1: Fecha: 04/08/2023; Hora pre autorización: 14:59 h; Hora finalización: 15:01 h; (…) A.A.A.; (…); Operación: ***REFERENCIA.2. -Extracto de los datos más significativos de la factura 2: Fecha: 04/08/2023; Hora pre autorización: 15:06 h; Hora finalización: 15:07 h; Cliente: desconocido; (…); Operación: ***REFERENCIA.3. -Extracto de los datos más significativos de la factura 3: Fecha: 04/08/2023; Hora pre autorización: 15:08 h; Hora finalización: 15:08 h; (…); Operación: ***REFERENCIA.4. Las operaciones recogidas en los extractos mencionados se sucedieron en un lapso de tiempo de 7 minutos. TERCERO: Consta que con anterioridad a la reclamación ante esta Agencia, la parte reclamante, usuario de la mencionada estación de servicio, remitió a GASEXPRESS, a la dirección de correo electrónico ***EMAIL.1 y en fecha 10 de agosto de 2023, una comunicación escrita informando de la siguiente incidencia: (…) “su sistema automático de pago y emisión de facturas permite que cualquier persona y en cualquier momento antes de hacer un nuevo repostaje puede obtener una copia de la última factura que haya emitido un surtidor, haciéndose con todos los datos de carácter personal de un cliente anterior que constan en esa factura.” (…). El correo fue remitido desde la dirección de correo electrónico: (…). [***EMAIL.3]. CUARTO: Consta que GASEXPRESS respondió al escrito mencionado en el hecho probado anterior, en fecha 16 de agosto de 2023, a través de la dirección de correo electrónico ***EMAIL.2, informando que el sistema únicamente permitía imprimir facturas dentro de un límite temporal de 3 minutos desde su emisión: (…) “el surtidor está programado con tres minutos de rigor, que es el tiempo establecido para que el cliente pueda sacar sus facturas o las copias necesarias” (…) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 7/48 QUINTO: Consta acreditado que el sistema permitía, en el momento de los hechos objeto de reclamación, la impresión de facturas correspondientes a clientes anteriores, con lo que los datos personales de dichos usuarios quedaban potencialmente accesibles (entre otros, nombre y apellidos, el Número de Identificación Fiscal-NIF-, domicilio postal y cuatro últimos dígitos de la tarjeta bancaria), dado que no existía un mecanismo que verificara que quien solicitaba la impresión era efectivamente el titular de los datos. No existía limitación en cuanto al número de facturas que podía obtenerse y, a pesar de que GASEXPRESS indica que el plazo en el que las mismas podían ser obtenidas estaba fijado en 3 minutos, la documentación aportada por la parte reclamante prueba que ese plazo era mayor. SEXTO: Queda evidenciado que GASEXPRESS, a raíz del traslado de la reclamación por parte de esta Agencia, procedió a introducir ciertas modificaciones en el sistema conforme consta en su contestación de fecha 8 de noviembre de 2023: (…) “Se corrige la estimación de tiempo a 2 min entendiendo que puede perjudicar a otros clientes y activamos como medida correctora poder realizar únicamente 1 impresión.” (…) SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad GASEXPRESS PATRAIX, S.L. es una empresa constituida en el año 2.014, y con un volumen de negocios de 7.653.492 € en el año 2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Cuestiones previas El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 8/48 cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que GASEXPRESS realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, como: nombre y apellidos, domicilio postal, NIF y cuatro últimos dígitos de la tarjeta bancaria. GASEXPRESS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGP. III Cambio de calificación jurídica de la conducta presuntamente infractora La conducta de GASEXPRESS sobre la que versa este procedimiento sancionador se calificó en el acuerdo de inicio como una presunta infracción del artículo 5.1. f del RGPD, tipificada en el artículo 8.3.5.
- a)del RGPD y considerada por la LOPDGDD, a efectos de prescripción, como una infracción muy grave (artículo 72.1.
- a)No obstante, durante la instrucción ha quedado de manifiesto que la calificación correcta de los hechos sería una infracción del artículo 32 del RGPD. En este sentido, debemos señalar que no puede exigirse que desde el inicio del procedimiento la información sobre la imputación sea absolutamente completa y exhaustiva, en este sentido se ha pronunciado el Tribunal Constitucional en su sentencia 129/2006, de 24 de abril, que determina que “En efecto, de la jurisprudencia constitucional sobre dicha cuestión deriva, de un lado, que el derecho a conocer la acusación no implica que en la fase de inicio del procedimiento exista obligación de precisar de forma absoluta los hechos y la calificación jurídica correspondiente, sino que la acusación va precisándose de forma gradual al desarrollo del procedimiento C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 9/48 (por todas SSTC 41/1998, de 24 de febrero, FJ 15). De otra parte, a los efectos de considerar salvaguardado el derecho de defensa resulta suficiente con que el acusado haya tenido ocasión de defenderse de la acusación de forma plena desde el momento en que la conoce de forma plena (SSTC 41/1998, de 24 de febrero, FJ 27; 87/2001, de 2 de abril, FJ 3). En idéntico sentido la STC 116/2007, de 21 de marzo, establece que “En cuanto a la primera cuestión, este Tribunal ha reiterado que el derecho a ser informado de la acusación implica la necesidad de dar a conocer al sometido a procedimiento la imputación formulada de forma expresa y en términos que no sean absolutamente vagos o indeterminados, con el fin de posibilitar el ejercicio del derecho de defensa, pues mal puede defenderse de algo quien no sabe qué hechos en concreto se le imputan (por todas, STC 299/2006, de 23 de octubre, FJ 2). Igualmente, se ha destacado que este derecho, en su proyección en el ámbito administrativo sancionador, no implica que en la fase de inicio del procedimiento disciplinario exista obligación de precisar de forma absoluta los hechos y la calificación jurídica correspondiente, sino que la imputación puede ir precisándose de forma gradual al desarrollo del procedimiento siempre que se dé “ocasión de defenderse de la acusación de forma plena desde el momento en que la conoce de forma plena” (por todas, STC 129/2006, de 24 de abril, FJ 7)”. La SAN de 29 de octubre de 2024, rec. 1824/2021, al examinar el artículo 64.2.
- b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Publicas, que regula el acuerdo de inicio, determina la posibilidad cierta de que en la propuesta de resolución se realice una imputación formal de una infracción, incluso si no se hubiera imputado expresamente en el acuerdo de inicio, pues el citado artículo contempla dicha posibilidad al indicar de forma expresa “… sin perjuicio de lo que resulte de la instrucción”. Añade que el precepto «se complementa con lo dispuesto en el artículo 89.3 de dicha norma cuando señala que “En la propuesta de resolución se fijarán de forma motivada los hechos que se consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su caso, aquéllos constituyan, la persona o personas responsables y la sanción que se proponga, la valoración de las pruebas practicadas, en especial aquellas que constituyan los fundamentos básicos de la decisión, así como las medidas provisionales que, en su caso, se hubieran adoptado…”. Téngase en cuenta que sobre la propuesta de resolución, la Sala 3ª del Tribunal Supremo (véase STS de 16 de noviembre de 2021), ha ido construyendo una jurisprudencia consolidada, en la que tras analizar la STC 29/1989, se dice que “el derecho a ser informado de la acusación, que con la categoría de fundamental se garantiza en el artículo 24.2 de la Constitución, se satisface normalmente en el procedimiento administrativo sancionador a través de la notificación de la propuesta de resolución, pues es en ésta donde se contiene un pronunciamiento preciso acerca de la responsabilidad que se imputa, integrado, cuando menos, por la definición de la conducta infractora que se aprecia, y su subsunción en un concreto tipo infractor, y por la consecuencia punitiva que a aquélla se liga en el caso de que se trata.» El primero de los derechos que el artículo 53.2 de la LPACAP reconoce en el procedimiento sancionador al presunto responsable es la notificación de los hechos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 10/48 que se le imputan, las infracciones que tales hechos puedan constituir y las sanciones que, en su caso, se le pudieran imponer. El Tribunal Constitucional ha precisado que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). Así, en su Sentencia 145/1993 el Tribunal Constitucional (T.C.) advierte que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa que el T.C. ha declarado que las exigencias del artículo 24.2 de la Constitución Española (CE) se satisfacen fundamentalmente con la sola comunicación de los hechos imputados, para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 03/03/2004 afirma que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado es de la AEPD). En la SAN de 12/03/2016 (recurso 312/2014), Fundamento de Derecho segundo, se responde en los siguientes términos a la alegación de la parte actora de “que la propuesta de resolución alteró la calificación jurídica respecto al acuerdo de apertura”: “A raíz de lo suscitado por la parte actora, resulta conveniente reflejar la doctrina constitucional y la jurisprudencia sobre el alcance del derecho de los sancionados a ser informados de la acusación durante la tramitación del procedimiento administrativo sancionador y los límites que ha de respetar el órgano sancionador en el ejercicio de su potestad sancionadora para salvaguardar el derecho de defensa de aquel. Los principios inspiradores del orden penal son de aplicación, con ciertos matices, al Derecho Administrativo sancionador, dado que ambos son manifestaciones del ordenamiento punitivo del Estado, tal y como refleja propia Constitución, una reiterada jurisprudencia de nuestro Tribunal Supremo y la doctrina del Tribunal Constitucional (en este sentido, Sentencias del Tribunal Supremo de 28 de abril de 2014 -recurso nº. 364/2013 -, y de 9 de abril de 2014 -recurso nº. 212/2013 -, entre otras)” [...] Por su parte el Tribunal Supremo también ha establecido que unas de las garantías aplicables al procedimiento administrativo sancionador derivado del derecho de defensa reconocido en el artículo 24 de la Constitución es la de ser informado de la acusación para poder defenderse adecuadamente, tal y como establece la Sentencia del Tribunal Supremo de 3 de noviembre de 2003 -recurso nº. 4.896/2000 -, cuya doctrina es reiterada en las Sentencias de dicho Tribunal de 21 de mayo de 2014 -recurso n. 492/2013 -, y de 30 de octubre de 2013 -recurso nº. 2.184/2012-, en los siguientes términos:” "Pues bien, de la doctrina del Tribunal Constitucional y de la jurisprudencia de esta Sala deben resaltarse los siguientes principios: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 11/48
- a)[...] En relación con esa operación de traslación de las garantías del art. 24 CE al procedimiento administrativo sancionador [...], se ha ido elaborando progresivamente en numerosas resoluciones una consolidada doctrina constitucional, en la que se citan como aplicables, sin ánimo de exhaustividad, el derecho de defensa, que proscribe cualquier indefensión; el derecho a ser informado de la acusación, con la ineludible consecuencia de la inalterabilidad de los hechos imputados; el derecho a la presunción de inocencia, [...]
- b)Entre las garantías aplicables al procedimiento administrativo sancionador se encuentra, desde luego, la de ser informado de la acusación para poder defenderse adecuadamente; y tal información comprende los hechos atribuidos, la calificación jurídica de los mismos y la sanción que se propone. Ahora bien, la estricta correlación entre acusación y decisión se refiere a los hechos y no tanto a la calificación jurídica, por cuanto manteniéndose inalterados los hechos objeto de cargo, la propuesta de resolución y, en definitiva, la decisión sancionadora puede utilizar otro título de condena con dos límites: la imposibilidad de que se incluya en dicha resolución del procedimiento una calificación jurídica de mayor gravedad que la reflejada en la comunicación de cargos dirigida a quien se ve sometido al expediente sancionador, y la imposibilidad de apreciar en la resolución una calificación jurídica distinta de la comunicada si existe heterogeneidad en los bienes jurídicos protegidos o si la infracción definitivamente considerada incorpora algún elemento del tipo que no corresponde a aquella que fue notificada y sobre la que el sancionado no ha tenido, en consecuencia, oportunidad de defensa. Y no hay variación de los hechos entre el pliego de cargos, la propuesta de resolución y la decisión sancionadora cuando, aunque los términos empleados no sean exactamente iguales sí son similares y lo que hay es una diferente valoración técnico-jurídica de los mismos (Cfr. SSTC 98/1989 y 145/1993).” (El subrayado es de la AEPD) La Audiencia Nacional, Sala de lo Contencioso Administrativo, ha mantenido idéntico criterio a raíz de la entrada en vigor de la LPACAP. A tal efecto nos remitimos a la SAN de 07/02/2020 (recurso 915/2018) en la que la resolución de la AEPD que se impugnaba se dictó estando vigente la mencionada Ley 39/2015. En consecuencia, en la propuesta de resolución presente procedimento, a causa de la instrucción realizada, se modificó la calificación jurídica inicial y se estimó que los hechos expuestos en el acuerdo de inicio del procedimiento serían constitutivos de una infracción del artículo 32 del RGPD. Cambio de calificación jurídica que en la presente resolución se considera resulta ajustado a Derecho al permanecer invariables los hechos en los que se basó la imputación contra la parte reclamada recogida en el acuerdo de apertura. IV Alegaciones aducidas al acuerdo de inicio En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por GASEXPRESS: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 12/48 Alegación Primera: Resolución de la AEPD por la que se inicia el expediente sancionador. En esta primera alegación, GASEXPRESS se limita a exponer los hechos controvertidos, la infracción descrita y la sanción impuesta en el acuerdo de inicio del presente procedimiento sancionador. Tales manifestaciones no aportan hechos nuevos, limitándose a reproducir cuestiones ya analizadas en la fase de incoación, por lo que no procede pronunciamiento específico sobre la misma, salvo en algunos apartados concretos. En relación con el resto de los argumentos, se hace mención al Fundamento de Derecho relativo a la recalificación de los hechos: II. Cambio de calificación jurídica de la conducta presuntamente infractora. Por tanto, carece de sentido examinar esta alegación, dado que la correcta tipificación de los hechos en la propuesta de resolución previene la imputación de una infracción distinta a la prevista en el acuerdo de inicio, lo cual da lugar a una sanción diferente. Alegación Segunda: Actividad desarrollada por GASEXPRESS PATRAIX, S.L. En esta segunda alegación, GASEXPRESS describe la actividad mercantil que desarrolla al considerarlo relevante para la comprensión del procedimiento. Como acreditación aporta: -El presupuesto nº ***REFERENCIA.1 emitido en fecha 30 de noviembre de 2018 por la entidad ***EMPRESA.4, en el que se detallan todos los trabajos realizados por dicha mercantil. -Diversas imágenes extraídas del terminal instalado en la gasolinera de autoservicio en las que se puede observar el procedimiento. -Informe elaborado por ***EMPRESA.3 en el que se aborda el tiempo de cortesía y la impresión de facturas. Tales manifestaciones no aportan hechos nuevos respecto de los extremos objeto del expediente, por lo que no procede pronunciamiento específico sobre la misma, salvo en algunos apartados que se detallan a continuación: (…) “GASEXPRESS PATRAIX, S.L. es una entidad mercantil cuyo objeto social se centra en la explotación y gestión de estaciones de gasolineras de autoservicio” (…) En el ejercicio de su actividad, la entidad reclamada ofrece a los consumidores la posibilidad de repostar combustible en un régimen de autoservicio, agilizando el proceso de suministro de carburante y garantizando una experiencia eficiente y segura para los clientes. Como parte de esta operativa, la estación de servicio dispone de un sistema automatizado de facturación que permite a los clientes obtener su correspondiente documento acreditativo del repostaje de forma ágil y eficiente. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 13/48 Detallada la actividad que desarrolla mi representada,” (…) “contrató los servicios de la sociedad ***EMPRESA.4, en su calidad de empresa especializada en la prestación de servicios técnicos y tecnológicos para el sector de estaciones de servicio.” (…) (…) “De manera específica, dentro del alcance del servicio contratado, ***EMPRESA.4 se encargó de la instalación, parametrización y configuración del sistema de facturación asociado al funcionamiento de la estación de servicio” (…) En virtud de la relación contractual existente entre mi representada y ***EMPRESA.4, fue esta última la encargada de implementar las medidas técnicas necesarias para el correcto tratamiento de la información y la operatividad del sistema, lo que comprende, entre otros aspectos, la gestión de los datos personales asociados a la emisión de facturas, en cumplimiento de la normativa vigente en materia de protección de datos. (…) “Delimitados los trabajos realizados por ***EMPRESA.4 en la estación de autoservicio que regenta mi representada, interesa hacer especial hincapié en el hecho de que con el objeto de asegurar la implementación de un sistema tecnológico integral que garantizara el adecuado funcionamiento de la estación de servicio, ***EMPRESA.4, en su condición de distribuidor oficial de la sociedad ***EMPRESA.2 ***EMPRESA.3, subcontrató los servicios de dicha compañía, la cual cuenta con amplia experiencia en el sector y está especializada en la implementación de soluciones tecnológicas para estaciones de servicio. En atención a ello, ***EMPRESA.3 asumió la responsabilidad de diseñar, suministrar e instalar la totalidad del sistema necesario para el correcto funcionamiento de la estación de servicio, lo que incluyó tanto la infraestructura de hardware como los sistemas de software imprescindibles para la gestión operativa, entre los que se encontraba el sistema de facturación.” (…) En este sentido, debe destacarse que, aunque GASEXPRESS encargara a un tercero la instalación y configuración del sistema de facturación, la responsabilidad última recae en GASEXPRESS al ser quien determina los fines y medios de tal actividad en su condición de responsable del tratamiento, en virtud del artículo 4.7 del RGPD. (…) “Los Sistemas de autoservicio ***EMPRESA.3 instalados en el establecimiento de Gasexpress son terminales de auto suministro y pago desatendidos que, operados por un usuario, le permiten elegir el producto, el surtidor, la forma de pago, así como realizar el pago de un suministro. Estos terminales trasladan la petición del usuario a los surtidores que siempre trabajan en modo prepago. Estos terminales permiten abonar el suministro a través de Contactless, tarjetas bancarias, billetes y/o monedas, además de a crédito, según el modelo, decisiones y configuración dada al sistema. Se trata por tanto de un establecimiento en el que el usuario realiza personalmente y bajo su control directo, tanto el suministro del combustible, como las operaciones de pago y obtención de su documentación (auto servicio).” (…) (…) “Una vez realizado el pago, el terminal le pregunta al usuario si desea una factura; en caso afirmativo le solicita los datos y en caso negativo se procede a predeterminar el surtidor por el importe pagado, invitando al usuario a proceder con el repostaje, permitiendo emitir un justificante de pago en el caso de ser necesario.” (…) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 14/48 (…) “Una vez finalizado el repostaje, el sistema cierra la venta, y emite la documentación relacionada al suministro, que puede ser albarán, factura simplificada nominativa, factura simplificada no nominativa o factura completa según las características elegidas por el usuario que ha realizado el repostaje y de la configuración dada al sistema por el negocio del establecimiento.” (…) (…) “Dicho sistema de facturación contempla de serie la posibilidad de que los clientes soliciten su factura en un plazo de cortesía de tres
(3)minutos desde la finalización del repostaje. Este plazo, determinado en el proceso de implementación tecnológica del sistema, se estableció con el propósito de garantizar un equilibrio entre la facilidad de obtención de la factura por parte del cliente y la eficiencia operativa de la estación de servicio.” (…) (…) “Concretamente, este límite temporal fue fijado por ***EMPRESA.3 atendiendo a los estándares del sector y a su conocimiento del comportamiento de los consumidores en entornos de autoservicio. De este modo, se concluyó que un plazo de tres
(3)minutos resulta suficiente para que el usuario pueda completar todas las acciones necesarias para obtener su factura sin que ello suponga una carga excesiva o una traba en su experiencia de usuario. Además, la determinación de este límite temporal responde a razones de eficiencia operativa y de seguridad, ya que permite mantener un flujo ágil de clientes en la estación de servicio, evitando congestiones y facilitando una experiencia de repostaje fluida y optimizada. Cabe señalar que el mero establecimiento de un plazo de cortesía no implica, por sí mismo, que los datos se muestren de manera indebida. GASEXPRESS reconoce que el sistema mantiene disponibles los datos de la factura únicamente durante un margen temporal, que afirma ser de tres minutos en el momento de la reclamación, con el fin de permitir al cliente su impresión. Un plazo de tres minutos que, de acuerdo con la documentación aportada por el reclamante, no sería tal, ya que él mismo pudo obtener información personal- contenida en facturas- de clientes previos que habían realizado repostaje en un momento anterior a esos tres minutos alegados por la reclamada. Asimismo, en el caso que nos ocupa, se evidencia una falta de la debida diligencia en los procesos de depuración y actualización inmediata de la información. Esta deficiencia ha permitido que datos que hayan perdido su pertinencia respecto a la finalidad del tratamiento permanezcan accesibles en el terminal, lo que pone de manifiesto que las medidas aplicadas no resultan adecuadas al riesgo, persistiendo así la vulneración de las obligaciones establecidas en el artículo 32 del RGPD. (…) “En cuanto al número de impresiones, cabe resaltar que el sistema instalado por ***EMPRESA.3 tiene habilitada de serie una
(1)impresión, la del documento original, pero el sistema permite la posibilidad de que, durante un intervalo de tiempo determinado por el establecimiento se emitan, además, un número (n) de copias (las que sean posibles en ese lapso); si no se habilita esta posibilidad, el sistema sólo permitirá emitir una
(1)sola impresión (la del documento original). Un “número de impresiones” habilitado durante, por ejemplo, un
(1)minuto, permitirá la obtención de tantas copias (n) como sea posible imprimir durante ese lapso de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 15/48 tiempo y puede ser estándar para aquellas estaciones en las que habitualmente reposten profesionales del transporte, que pueden requerir, además del original, varias copias (para el cargador, para el transportista principal, para la asesoría, etc…). “Un número de impresiones” en la que el lapso temporal esté deshabilitado (igual a cero) no permitirá la impresión de ninguna copia y, por tanto, el sistema sólo realizará una
(1)impresión (la del original), lo que puede ser estándar para aquellas estaciones en las que habitualmente reposten particulares, que no necesiten entregar copias a terceros. Cabe señalar que el mero hecho de que el sistema permita realizar varias copias de la factura no evita, por sí mismo, que los datos se muestren de manera indebida y, por lo tanto, que no quede garantizada la seguridad que ha de proporcionarse por todo responsable de tratamiento a los datos que trata. GASEXPRESS reconoce que el sistema posibilita la impresión de varias copias de la misma factura con el fin de que el cliente pueda disponer de ellas. Y, en el caso que nos ocupa, se evidencia una falta de la debida diligencia en la implementación del sistema de copias. Esta deficiencia ha posibilitado que datos, continúen siendo accesibles desde el terminal, lo que pone de manifiesto que las medidas aplicadas no resultan adecuadas al riesgo, persistiendo así la vulneración de las obligaciones establecidas en el artículo 32 del RGPD. Alegación Tercera: Mejoras implementadas en el sistema. En la presente alegación, GASEXPRESS manifiesta su compromiso continuo con la protección de datos, así como haber implementado actuaciones destinadas a mejorar y garantizar el correcto funcionamiento del sistema de facturación tras el traslado de la reclamación por parte de esta Agencia, notificado en fecha 11 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente. Asimismo, señala que dichas medidas han sido adoptadas de manera proactiva, con el objeto de reforzar la seguridad y fiabilidad del sistema. Como acreditación aporta: - Resumen explicativo emitido por ***EMPRESA.3 en relación con las medidas adoptadas por mi representada. - Plan de contingencia interno. (…) - Contrato mercantil de prestación de servicios entre GASEXPRESS y ***EMPRESA.1 Esta idea se desprende de los siguientes literales: (…) “Estas medidas han sido adoptadas de manera proactiva por la entidad, en atención a los principios de minimización y seguridad del tratamiento de los datos personales” (…) En el presente supuesto, se constata un deficiente deber de diligencia, toda vez que GASEXPRESS, pese a haber sido informada de la incidencia por la parte reclamante mediante correo electrónico de fecha 10 de agosto de 2023, y aun reconociendo en su C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 16/48 posterior comunicación que el sistema permitía la emisión de múltiples facturas durante un intervalo de tres minutos- intervalo que, como decimos y se desprende de la información aportada por el reclamante, sería mayor-, omitió la adopción de medida correctora alguna. Dicha omisión se mantuvo hasta la recepción del traslado formal de la reclamación por parte de esta Agencia en fecha 11 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente, momento en el que GASEXPRESS, conforme escrito de fecha 8 de noviembre de 2023, informa que implementó determinadas modificaciones en el sistema. (…) “Con el propósito de reducir el margen temporal en el que los datos personales pueden estar accesibles en el sistema y minimizar cualquier posible riesgo en su tratamiento, la sociedad reclamada ha procedido a modificar el plazo de cortesía inicialmente establecido para la obtención de la factura, reduciéndolo de tres
(3)minutos a dos
(2)minutos. Asimismo, se ha implementado una nueva restricción en el sistema de facturación, de modo que los clientes únicamente pueden obtener una única copia de la factura en la que se detalla el repostaje realizado. De este modo, se impide la generación de múltiples documentos con los mismos datos, reduciendo así cualquier posible exposición innecesaria de la información personal del usuario.” (…) Esta situación pone de manifiesto que las medidas adoptadas no resultaban adecuadas al riesgo, dado que no garantizaban la eliminación inmediata ni la protección suficiente de los datos tras cada transacción. Cabe mencionar el Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173-, emitido durante la vigencia de la Directiva 95/46/CE derogada por el RGPD, pero cuyas reflexiones son aplicables en la actualidad, que entiende que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas que regulan el derecho fundamental a la protección de datos de carácter personal. Alega la parte reclamada: (…) “En aras de reforzar aún más la seguridad del tratamiento de los datos personales de los clientes, la sociedad reclamada ha introducido un sistema de seudonimización en el proceso de facturación. Dicha medida permite que la información de los clientes no sea identificable directamente dentro del sistema, aplicando técnicas de transformación de datos que impiden su vinculación inmediata con una persona concreta sin la utilización de información adicional. De este modo, se refuerza la confidencialidad de los datos y se minimizan los riesgos asociados a eventuales accesos no autorizados a la información.” (…) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 17/48 Respecto a la técnica de la seudonimización, es indiscutible que contribuye a la mitigación de los riesgos inherentes a posibles accesos indebidos o afectaciones de los datos de carácter personal por parte de terceros Sin embargo, la implementación de dicha medida no exonera de que, durante un intervalo temporal de al menos tres minutos, los datos continuaban accesibles, lo que pone de manifiesto que las medidas aplicadas no resultaban adecuadas al riesgo, vulnerando las obligaciones establecidas en el artículo 32 del RGPD. Alegación Cuarta: Cumplimiento de los principios de integridad y de confidencialidad de los datos personales. En esta cuarta alegación, GASEXPRESS sostiene que cumple con los principios de integridad y confidencialidad de los datos personales, detallando las medidas concretas que, a su juicio, permiten acreditar dicha información. Aporta certificado de cumplimiento normativo elaborado por la entidad ***EMPRESA.3 como soporte probatorio de lo expuesto. (…) “De todo lo detallado a lo largo del presente escrito, se desprende que la sociedad sobre la que se ha interpuesto la reclamación ha adoptado y mantiene implementadas todas las medidas técnicas y organizativas necesarias para garantizar la seguridad adecuada de los datos personales tratados, en cumplimiento con la normativa aplicable en materia de protección de datos, y, en particular, con lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo” (…) (…) “No obstante, durante este proceso, se recogen y procesan datos personales de los usuarios, como el número de tarjeta de crédito o débito, la matrícula del vehículo, y detalles de la transacción, lo que hace imprescindible que se adopten medidas de seguridad para proteger dichos datos.” (…) (…) “En cuanto a las medidas técnicas adoptadas, la sociedad ha implementado a nivel interno un sistema de autenticación robusta para asegurar que solo el personal autorizado pueda acceder a los datos sensibles. Esto incluye el uso de contraseñas seguras, así como la utilización de medidas adicionales de verificación de identidad, que refuerzan la seguridad del acceso a la información y protegen contra accesos no autorizados. En cuanto a las medidas organizativas, la sociedad ha establecido protocolos claros en cuanto al manejo, almacenamiento y acceso a los datos personales, y ha formado a su personal en las mejores prácticas de protección de datos. Se han implementado políticas internas de acceso restringido, que limitan el acceso a los datos solo a aquellos empleados que lo necesiten para el desempeño de sus funciones, y se realiza un seguimiento y auditoría continua de todas las actividades relacionadas con el tratamiento de datos. Estas auditorías permiten detectar cualquier intento de acceso no autorizado o uso indebido de los datos personales. A su vez, el sistema de facturación se encuentra bajo un proceso de revisión y actualización continua para garantizar que las medidas de seguridad se mantengan al día con los avances tecnológicos y las nuevas amenazas cibernéticas.” (…) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 18/48 (…) “La confidencialidad de los datos personales también está asegurada” (…) (…) “Además, la sociedad ha adoptado procedimientos para garantizar la integridad de los datos, lo que implica que estos sean exactos, completos y actualizados en todo momento.” (…) (…) “En cuanto a la prevención de pérdida, destrucción o daño accidental de los datos personales, la entidad ha establecido medidas de respaldo y recuperación ante desastres.” (…) (…) “Por último, la empresa ha puesto en marcha un sistema de gestión de incidentes de seguridad que incluye procedimientos de respuesta ante posibles brechas de seguridad, con el objetivo de minimizar el impacto de cualquier incidente que pudiera afectar a la protección de los datos personales y garantizar que los interesados sean notificados de manera oportuna, conforme a lo dispuesto en el artículo 33 del RGPD.” (…) En relación con la alegación presentada, se hace mención al Fundamento de Derecho relativo a la recalificación de los hechos: II. Cambio de calificación jurídica de la conducta presuntamente infractora. Por tanto, carece de sentido examinar esta alegación, dado que la correcta tipificación de los hechos en la propuesta de resolución previene la imputación de una infracción distinta a la prevista en el acuerdo de inicio, lo cual da lugar a una sanción diferente. Alegación Quinta: Actividad probatoria desplegada por el reclamante. En esta quinta alegación, GASEXPRESS expone los motivos por los que considera que la prueba aportada por la parte reclamante no debe ser tenida en cuenta, al tratarse, a su juicio, de una prueba ilícita. Aporta como acreditación una tabla en la que se pueden observar los datos extraídos del sistema de GASEXPRESS en relación con los repostajes que se detallan en los tickets aportados por la parte reclamante. (…) “Analizada tanto la actividad empresarial que desarrolla mi representada como los pormenores del sistema instalado en la gasolinera de autoservicio que regenta la misma, procede reiterar que, tal y como ha sido expuesto, de la lectura de la reclamación formulada (…) se desprende que los hechos denunciados por el mismo, en síntesis, giran en torno a la obtención por parte del reclamante de dos tickets en los que constan diversos datos de dos usuarios que con anterioridad al hoy reclamante repostaron combustible en la gasolinera de autoservicio que regenta mi representada. En concreto, el reclamante aportó, como Anexo I de su reclamación, tres tickets en los que se detallan los siguientes repostajes: -Ticket 1: Fecha: 04/08/2023 Hora pre autorización: 14:59 h Hora finalización: 15:01 h Cliente: A.A.A. Operación: ***REFERENCIA.2 C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 19/48 -Ticket 2: Fecha: 04/08/2023 Hora pre autorización: 15:06 h Hora finalización: 15:07 h Cliente: desconocido Operación: ***REFERENCIA.3 -Ticket 3: Fecha: 04/08/2023 Hora pre autorización: 15:08 h Hora finalización: 15:08 h Cliente: B.B.B. Operación: ***REFERENCIA.4 Además de ello, el reclamante refiere en su reclamación que supuestamente el mismo pudo obtener a las 15:08 h los dos tickets o facturas que aporta junto a su reclamación, en las que se detallaban dos repostajes finalizados a las 15:01 h y 15:07 h. Sin embargo, lo cierto es que el reclamante no aporta prueba alguna que acredite la realidad de los hechos en los términos indicados por el mismo en su reclamación, especialmente, la hora en la que éste supuestamente obtuvo los tickets que aporta junto a dicha reclamación.” Tal y como se recoge en hechos probados, con fecha 4 de agosto de 2023, a las 15:08h, la parte reclamante finalizó su propio repostaje aportando como evidencia factura de ello. Asimismo, queda acreditado que la parte reclamante dispone de copia de dos facturas emitidas con anterioridad, correspondientes a dos suministros realizados a las 15:07h y a las 15:01h y pertenecientes a otros usuarios diferentes a la parte reclamante. “En primer lugar, el reclamante no acredita de ningún modo que telefoneara a mi representada con el objeto de trasladarle a la misma queja o reclamación alguna en relación con el hecho que nos ocupa. Tampoco prueba el reclamante que fue él quien obtuvo los tickets que ha adjuntado en su reclamación ni la hora en la que supuestamente el mismo obtuvo dichos tickets, por lo que estos documentos le pudieron ser facilitados al reclamante por el propio usuario o por un tercero. Aún en el supuesto en el que diéramos por buena la afirmación del reclamante en cuanto a la obtención de los tickets mencionados, la realidad es que, tal y como le indicó mi representada al reclamante en el e-mail que le remitió al mismo en fecha 16 de agosto de 2023 y tal y como hemos acredito de forma fehaciente a través de la documentación que ha sido aportada en el presente escrito de alegaciones, el sistema de facturación instalado en la fecha de los hechos únicamente permitía a los usuarios obtener un ticket en el plazo de 3 minutos desde la realización del repostaje. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 20/48 En atención a ello, resulta cuanto menos improbable que el hoy reclamante pudiera obtener un ticket de un repostaje efectuado a las 15:01 h a las 15:08 h, esto es, siete
(7)minutos después de la finalización del mismo.” (…) Si bien la parte reclamante no ha aportado prueba que acredite la comunicación telefónica de la incidencia objeto de análisis a GASEXPRESS, no puede formularse idéntica aseveración respecto de la comunicación efectuada por correo electrónico. En efecto, consta debidamente evidenciado en el expediente la recepción por parte de GASEXPRESS de un escrito de la parte reclamante, de fecha 10 de agosto de 2023 mediante el cual se le comunicó la incidencia detectada. Asimismo, obra en el expediente la respuesta de GASEXPRESS, de fecha 16 de agosto de 2023, en la que se reconoce explícitamente que el sistema posibilitaba la impresión de múltiples facturas durante un lapso de tres minutos. A pesar de tal reconocimiento, GASEXPRESS omitió la adopción de medida correctora alguna hasta la recepción del traslado formal de la reclamación por esta Agencia, en fecha en fecha 11 de octubre de 2023. Dicha circunstancia refleja una omisión palmaria del responsable del tratamiento en el deber de cuidado hacia la protección de los datos de sus clientes. (…) “A mayor abundamiento, procede hacer especial hincapié en el hecho de que en los tickets aportados de contrario no se detalla en modo alguno la hora de impresión de los mismos. De ahí que la aportación de dichos tickets no acredite en modo alguno la hora en la que el reclamante supuestamente obtuvo los mismos.” (…) (…) “Por lo tanto, si tenemos en cuenta que el segundo repostaje finalizó a las 15:07:17 h y que B.B.B. finalizó su repostaje a las 15:08:38 h, vemos como el mismo, en su afán de obtener una prueba totalmente ilícita que respaldara su reclamación, solicitó de forma intencionada el ticket del repostaje de un surtidor distinto al suyo con el único objeto de obtener los datos del usuario que estaba repostando a la vez que él, a sabiendas de que el mismo no había solicitado dicho ticket. Otro hecho que se ha de tener en cuenta a la hora de delimitar la hora en la que B.B.B. supuesto obtuvo los tickets aportados por el reclamante es que en los mismo se detalla el número de operaciones (suministros de repostajes) realizados durante el tiempo en el que estuvo en la gasolinera de autoservicio que regenta mi representada. Tan es así, que, si observamos los tickets acompañados en la reclamación referenciada respecto del servidor nº 4, es decir, en el que repostó el reclamante, vemos que en el ticket de las 15:01 h la operación o suministro realizado era la operación nº ***REFERENCIA.2 y que la operación o suministro que se detalla en el ticket de las 15:08 h era la operación ***REFERENCIA.4.” (…) (…) “Así pues, del análisis de la documentación obrante en el expediente sancionador se desprende que no existe prueba alguna que acredite de manera fehaciente la veracidad de los hechos que se imputan a esta parte” GASEXPRESS ha reconocido que su sistema mantenía los datos de facturación disponibles durante un período de tres minutos, reducido posteriormente a dos tras el requerimiento de esta Agencia, y que existía la posibilidad de imprimir múltiples copias C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 21/48 de una misma factura, limitación que igualmente fue modificada con posterioridad a una única copia. Si bien es cierto que dichas medidas correctoras no resultaron suficientes para eliminar íntegramente el riesgo existente, en la medida en que persistía un intervalo temporal durante el cual permanecían accesibles datos personales de terceros, han sido tenidas en cuenta como circunstancia atenuante a efectos de la graduación de la sanción. En consecuencia, y por haber sido ya valoradas en dicho sentido, no se considera procedente la imposición de medidas correctoras adicionales. En consecuencia, aun cuando la hora precisa de impresión no conste en los comprobantes, la convergencia de la hora de finalización del servicio y las características del sistema reconocidas por GASEXPRESS (margen de cortesía y posibilidad de copias múltiples en el momento de los hechos) acredita la secuencia y la veracidad de la prueba aportada. Finalmente, no corresponde a esta Agencia la determinación del instante exacto de la impresión, sino la valoración de que la accesibilidad de datos personales de terceros deriva directamente del margen de disponibilidad temporal existente entre la finalización del servicio y la emisión del ticket, lo cual ha quedado fehacientemente acreditado. Y que todo ello deriva de una ausencia de medidas de seguridad adecuadas al riesgo que, en este caso, garantizase la confidencialidad de los datos objeto de tratamiento. En relación con las manifestaciones esgrimidas por GASEXPRESS en torno al principio de presunción de inocencia, y añadido a lo argumentado por esta Agencia respecto a la licitud y validez de la prueba aportada por la parte reclamante, procede puntualizar que hay que tener en cuenta que para que pueda apreciarse la existencia de indefensión no resulta suficiente que se haya producido una infracción formal, sino que ha de haberse producido una indefensión de carácter material. En este sentido, en palabras del TC, STC 290/1993, fundamento jurídico 4 “ Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". En definitiva, para que se quebrante la prohibición de indefensión es necesario que exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso, pues en el presente supuesto ha quedado acreditado que el sistema de emisión de facturas utilizado en la estación de servicio presentaba una disfunción que provocaba que los usuarios pudieran visualizar e imprimir justificantes correspondientes a operaciones anteriores. Este funcionamiento evidencia una deficiencia en la exactitud y actualización de los datos tratados, en la medida en que el sistema no garantizaba la depuración inmediata de la información relativa a cada transacción. Además, GASEXPRESS ha sido debidamente notificada de la existencia del procedimiento sancionador, habiéndose notificado fehacientemente el acuerdo de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 22/48 inicio en fecha 11 de octubre de 2023. Asimismo, GASEXPRESS ha presentado alegaciones al acuerdo de inicio en fecha 28 de febrero de 2025, las cuales han sido debidamente contestadas en la propuesta de resolución. Este principio de presunción de inocencia, si bien fundamental, no puede ser invocado para desvirtuar la realidad de la exposición de datos, que ha quedado acreditada mediante la convergencia de la prueba documental y el reconocimiento expreso de las características operativas del sistema por parte del propio responsable del tratamiento. Así las cosas, ninguna de las circunstancias concurrentes permite concluir que se haya producido indefensión, debiendo rechazarse la presente alegación. Por todo lo precedentemente expuesto y fundamentado por esta Agencia a lo largo de este apartado, no procede el archivo del procedimiento sancionador como solicita GASEXPRESS. Si bien la situación descrita permitió que la parte reclamante accediera a determinados datos pertenecientes a otros clientes, lo relevante es que ello fue consecuencia de que las medidas aplicadas por GASEXPRESS no resultaban adecuadas al riesgo, al no garantizar la eliminación inmediata de los datos tras cada transacción. Alegación Sexta: Principio de culpabilidad. En esta sexta alegación, GASEXPRESS sostiene que no existe culpabilidad por su parte y que, por ello, no podría iniciarse procedimiento alguno. Tal argumento no puede prosperar en el presente caso ya que se aprecia un deficiente deber de diligencia por su parte. Como se ha señalado previamente, la conducta imputada sí se ha producido de manera negligente por parte de GASEXRESS puesto que se aprecia un deficiente deber de diligencia, evidenciado por el hecho de que, aun habiendo sido informada GASEXPRESS mediante correo electrónico de fecha 10 de agosto de 2023 por parte del reclamante, acerca de la incidencia detectada, y pese a reconocer GASEXPRESS en su respuesta de fecha 16 de agosto de 2023 que el sistema permitía la impresión de múltiples facturas durante un intervalo de tres minutos, no se adoptó medida correctora alguna hasta la recepción del traslado de la reclamación por parte de esta Agencia, en fecha 11 de octubre de 2023. A raíz de dicha intervención. GASEXPRESS procedió a introducir ciertas modificaciones, si bien insuficientes, según consta en su contestación de fecha 8 de noviembre de 2023: (…) “Se corrige la estimación de tiempo a 2 min entendiendo que puede perjudicar a otros clientes y activamos como medida correctora poder realizar únicamente 1 impresión.” (…) Dicha circunstancia refleja una omisión palmaria del responsable en el deber de cuidado hacia la protección de los datos de sus clientes. Asimismo, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la entidad reclamada es de constante y abundante manejo de datos de carácter personal, ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 23/48 El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” En esta misma línea se expresan los órganos jurisdiccionales de nuestro país. De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia núm. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 24/48 para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 “(…) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que “aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Como se ha señalado previamente, la conducta imputada sí se ha producido de manera negligente por parte de GASEXRESS puesto que se aprecia un deficiente deber de diligencia. Así las cosas, ninguna de las circunstancias concurrentes en el caso permite excluir la existencia de culpabilidad. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 25/48 “En virtud del principio de presunción de inocencia, recogido en el artículo 24.2 de la Constitución Española, la carga de la prueba en los procedimientos sancionadores recae en la Administración o, en su caso, en el reclamante que insta el procedimiento. Este principio ha sido reconocido por el Tribunal Supremo, que en su Sentencia de 21 de abril de 1997 (STS 2919/1997) estableció que: "El principio de presunción de inocencia es plenamente aplicable en el ámbito del derecho administrativo sancionador, exigiendo que la Administración acredite, de manera suficiente y con pruebas concluyentes, la existencia de una conducta infractora imputable al sujeto sancionado." Asimismo, el artículo 77 de la Ley 39/2015 (LPACAP) dispone que: "1. Los hechos relevantes para la decisión de un procedimiento podrán acreditarse por cualquier medio de prueba admisible en Derecho. 3. El instructor del procedimiento sólo podrá rechazar las pruebas propuestas por los interesados cuando sean manifiestamente improcedentes o innecesarias (...)" Por consiguiente, es la parte reclamante o la propia Agencia Española de Protección de Datos (AEPD) quien debe demostrar, mediante pruebas suficientes y concluyentes, que la sociedad reclamada ha incurrido en una actuación culposa o dolosa que justifique la imposición de una sanción.” (…) Conforme lo expuesto en la alegación anterior, GASEXPRESS reitera que la prueba aportada es ilícita por no constar en los tickets la hora de impresión, no obstante, como se ha señalado previamente, la conducta imputada (la no adopción de medidas adecuadas) sí se ha producido de manera negligente por parte de GASEXRESS puesto que se aprecia un deficiente deber de diligencia, evidenciado por el hecho de que, aun habiendo sido informada GASEXPRESS mediante correo electrónico de fecha 10 de agosto de 2023 por parte del reclamante, acerca de la incidencia detectada, y pese a reconocer GASEXPRESS en su respuesta de fecha 16 de agosto de 2023 que el sistema permitía la impresión de múltiples facturas durante un intervalo de tres minutos, no se adoptó medida correctora alguna hasta la recepción del traslado de la reclamación por parte de esta Agencia, en fecha 11 de octubre de 2023. Dicha circunstancia refleja una omisión palmaria del responsable en el deber de cuidado hacia la protección de los datos de sus clientes. (…) “A la vista de lo anterior, en el presente caso no existe en modo alguno culpabilidad imputable a la sociedad reclamada, puesto que esta, en el ejercicio de su actividad empresarial y con el objetivo de cumplir con todas las exigencias normativas, contrató a la entidad ***EMPRESA.4, quien, a su vez, contrato los servicios de ***EMPRESA.3 (***EMPRESA.3) para la instalación e implementación del sistema de facturación utilizado en su estación de servicio. La contratación de las citadas mercantiles no fue una decisión arbitraria, sino que obedeció a la necesidad de contar con un proveedor especializado” (…) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 26/48 En este contexto, no puede imputarse responsabilidad alguna a la sociedad reclamada, ya que ésta no ha intervenido de manera directa en el diseño o configuración del sistema de facturación, ni ha adoptado decisiones de forma autónoma respecto al funcionamiento del mismo. Por tanto, la sociedad reclamada no ha incurrido en una conducta dolosa ni negligente, habiendo delegado en una empresa experta la implementación del sistema y habiendo actuado en todo momento conforme a la diligencia debida exigible a cualquier operador económico. Dicha contratación no sólo evidencia la diligencia de mi representada en el cumplimiento de la normativa, sino que también pone de manifiesto la voluntad de adoptar las mejores prácticas en el sector,” (…) En este sentido, debe recordarse que, aunque GASEXPRESS encargara a un tercero la instalación y configuración del sistema de facturación, la responsabilidad última recae en GASEXPRESS al ser quien determina los fines y medios del tratamiento de datos personales derivado de tal actividad, en su condición de responsable del tratamiento, en virtud del artículo 4.7 del RGP. “Asimismo, en la propia resolución de la Agencia Española de Protección de Datos (AEPD) se reconoce expresamente que la medida implementada por mi representada, esto es, la reducción del tiempo de impresión de facturas de 3 a 2 minutos hubiera reducido significativamente el riesgo de impresión indiscriminada de facturas, lo que pone de manifiesto que la actuación de mi representada fue adecuada y dirigida a minimizar los riesgos inherentes al tratamiento de los datos personales. Dicho reconocimiento resulta determinante, pues implica que la adopción de medidas por parte de mi representada fue efectiva y proporcionada en relación con los riesgos existentes, evidenciando que se cumplió con el principio de responsabilidad proactiva recogido en el artículo 5.2 del RGPD.” En relación a la implementación de las medidas correctoras por parte de GASEXPRESS, consistentes en la reducción del tiempo de disponibilidad de la información y en la limitación del número de copias de impresión de las facturas, si bien no resultaron suficientes para eliminar íntegramente el riesgo existente, en la medida en que persistía un intervalo temporal durante el cual permanecían accesibles datos personales de terceros, han sido tenidas en cuenta como circunstancia atenuante a efectos de la graduación de la sanción. En consecuencia, y por haber sido ya valoradas en dicho sentido, no se considera procedente la imposición de medidas correctoras adicionales. No obstante, dichas medidas no fueron adecuadas al nivel de riesgo identificado, produciéndose una vulneración del deber de garantizar la seguridad del tratamiento conforme a lo dispuesto en el artículo 32 del RGPD. Cabe mencionar el Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173-, emitido durante la vigencia de la Directiva 95/46/CE derogada por el RGPD, pero cuyas reflexiones son aplicables en la actualidad, que entiende que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 27/48 medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas que regulan el derecho fundamental a la protección de datos de carácter personal. (…) “Si bien es cierto que todo sistema puede ser objeto de mejora continua, lo relevante en este procedimiento sancionador es determinar si existió una omisión de las medidas de seguridad exigibles o una actitud negligente por parte de mi representada, lo que en este caso no concurre. La contratación de una empresa especializada, la adopción de medidas dirigidas a la protección de los datos personales y el reconocimiento por parte de la AEPD de que las medidas adoptadas mitigan el riesgo evidencian que, con independencia del grado de mejora que pudiera alcanzar el sistema implementado, mi representada ha actuado de manera diligente y conforme a los principios del RGPD y la LOPDGDD.” (…) (…) “Por todo lo expuesto, procede el archivo del procedimiento sancionador al carecer de fundamento jurídico la imputación de responsabilidad a la sociedad reclamada.” Por todo lo precedentemente expuesto y fundamentado por esta Agencia a lo largo de este apartado, no procede el archivo del procedimiento sancionador como solicita GASEXPRESS. Si bien la situación descrita permitió que se mostrara a la parte reclamante datos pertenecientes a otros clientes, lo relevante no es que se haya producido un acceso concreto a los datos de la propia parte reclamante, sino que pone de manifiesto que las medidas aplicadas por GASEXPRESS no resultaban adecuadas al riesgo, al no garantizar la eliminación inmediata de los datos tras cada transacción. Alegación Séptima: Prueba ilícita. En esta séptima alegación, GASEXPRESS expone el procedimiento mediante el cual la parte reclamante obtuvo la prueba. Prueba que como ya se señaló en la alegación quinta, GASEXPRESS la considera ilícita. Una vez ha sido indicada la disconformidad de esta parte respecto del relato factico incluido en la reclamación formulada por el reclamante ante la AEPD, interesa hacer especial hincapié en el modo a través del que el mismo obtuvo el único medio prueba que aporta en la citada reclamación. Para ello, hemos de traer a colación nuevamente la reclamación formulada por B.B.B. a fin de señalar que en la misma éste indica de forma expresa que: “para poder acreditar lo expuesto en el presente, imprimí las facturas de los suministros previos de los surtidores 3 y 4” Así pues, a través de dicha afirmación, el propio reclamante reconoció que el mismo, de manera voluntaria y consciente, imprimió las facturas” (…) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 28/48 (…) “Por consiguiente, resulta patente el hecho de que, en el marco del presente expediente sancionador, la única prueba aportada por el reclamante ha sido obtenida de forma ilícita, en tanto que el mismo, de manera dolosa e intencionada, se procuró un medio probatorio con el exclusivo propósito de respaldar su reclamación ante la Agencia Española de Protección de Datos (AEPD). Por tanto, dado que la única prueba obrante en el presente procedimiento sancionador ha sido obtenida de manera ilícita, la misma carece de toda validez y eficacia jurídica, impidiendo que pueda ser utilizada como base para la imposición de cualquier sanción a mi representada. En virtud de los argumentos desarrollados a lo largo de la alegación quinta por esta Agencia, la obtención de la prueba por parte del reclamante no puede ser calificada como ilícita. Si bien es cierto que la parte reclamante actuó con la intención de obtener elementos probatorios para sustentar su posterior reclamación ante esta Agencia, dicha intención no desvirtúa la licitud del medio empleado. Es preciso destacar que la parte reclamante había articulado previamente una queja o reclamación a través de su dispositivo telefónico. Aun cuando la comunicación inicial por vía telefónica no haya podido ser debidamente acreditada, sí consta evidenciado un segundo contacto, en fecha 10 de agosto de 2023, realizado mediante correo electrónico, cuyo objeto fue comunicar el incidente a GASEXPRESS. Lo anterior implica que la actuación ulterior de la parte reclamante se enmarca en un contexto legítimo de ejercicio de sus derechos y de búsqueda de la acreditación de hechos relevantes para la tramitación del presente procedimiento. En consecuencia, el hecho de que la parte reclamante, con posterioridad a dicha reclamación inicial, procurase recabar pruebas adicionales no supone una vulneración de derechos ni convierte la obtención de dichas pruebas en ilícita. La finalidad probatoria, aun siendo deliberada, no implica por sí misma irregularidad alguna, máxime cuando la información obtenida deriva de interacciones que el propio reclamante inició y en las que era parte. Por ello, no cabe apreciar que la prueba haya sido obtenida de forma contraria a derecho, sino que se inscribe dentro de la facultad legítima de la parte reclamante de documentar los hechos objeto de controversia. (…) “Además de la ilicitud de la prueba aportada, la conducta desplegada por el reclamante podría, incluso, ser constitutiva de una infracción penal, en concreto, del delito de descubrimiento y revelación de secretos tipificado en el artículo 197 del Código Penal. Dicho precepto sanciona a quien, sin estar autorizado, acceda, se apodere o difunda datos reservados de carácter personal con la finalidad de vulnerar la intimidad de un tercero. En el presente caso, el reclamante, con el fin de obtener una prueba que sustentase su reclamación, ha accedido o se ha hecho con información de manera ilegítima, lo que podría encuadrarse en los supuestos contemplados por el artículo 197 del Código Penal, en función de la naturaleza y circunstancias en que se haya producido la obtención de dicha información. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 29/48 En este sentido, la ilicitud de la prueba no sólo impide su utilización en el presente procedimiento administrativo, sino que, además, podría dar lugar a la exigencia de responsabilidades penales al reclamante, en tanto que su conducta podría haber vulnerado el derecho fundamental a la protección de datos personales de terceros, o incluso el derecho a la intimidad de mi representada. No se aprecia, en la actuación de la parte reclamante, la comisión del delito de revelación de secretos ni, por consiguiente, la ilicitud de la prueba aportada, toda vez que GASEXPRESS ha reconocido que su sistema mantenía los datos de facturación disponibles durante un período de tres minutos, reducido posteriormente a dos tras el requerimiento de esta Agencia, y que existía la posibilidad de imprimir múltiples copias de una misma factura, limitación que igualmente fue modificada con posterioridad a una única copia. En consecuencia, es de parecer de esta Agencia que, la prueba es legítima y plenamente compatible con los principios que rigen la validez probatoria, dado que no implica la difusión de datos que configuren el tipo penal de revelación de secretos. (…) “Por lo expuesto, esta parte solicita el sobreseimiento y archivo inmediato del presente expediente sancionador, al haber quedado acreditado que la única prueba aportada por el reclamante ha sido obtenida de manera ilícita y que el procedimiento se encuentra viciado de nulidad de pleno derecho, sin que proceda la imposición de sanción alguna a mi representada.” Por todo lo precedentemente expuesto y fundamentado por esta Agencia a lo largo de este apartado, no procede el archivo del procedimiento sancionador como solicita GASEXPRESS. Si bien la situación descrita permitió que la parte reclamante accediera a determinados datos pertenecientes a otros clientes, lo relevante no es que se haya producido un acceso concreto a los datos de la propia parte reclamante, sino que pone de manifiesto que las medidas aplicadas por GASEXPRESS no resultaban adecuadas al riesgo, al no garantizar la eliminación inmediata de los datos tras cada transacción. Alegación Octava: Principio de proporcionalidad. En esta octava alegación, GASEXPRESS solicita que la AEPD aplique el principio de proporcionalidad respecto de la sanción, atendiendo a los hechos expuestos a lo largo del presente escrito, para el supuesto en el que la prueba se considere cierta y lícita. El principio de proporcionalidad constituye un pilar fundamental del derecho administrativo sancionador y establece que toda infracción administrativa debe ser valorada y sancionada en función de su gravedad, evitando la imposición de medidas desproporcionadas o excesivas en relación con el hecho cometido. Este principio se encuentra expresamente recogido en el artículo 29.3 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), que dispone que: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 30/48 "Las sanciones que se impongan en el orden administrativo deberán ser en todo caso proporcionales a la gravedad de la infracción." Así, la proporcionalidad exige que las sanciones se ajusten a la entidad de la infracción cometida y se adecúen a las circunstancias concurrentes en cada caso concreto, evitando sanciones arbitrarias o desmedidas que no guarden relación con el impacto real de la conducta infractora. Además, el Tribunal Constitucional ha consolidado este principio en su jurisprudencia” (…) “El Reglamento General de Protección de Datos (RGPD) incorpora el principio de proporcionalidad en materia sancionadora, estableciendo criterios claros para la imposición de multas administrativas. El artículo 83.1 del RGPD dispone que: (…) (…) “Asimismo, el artículo 83.2 del RGPD establece que: (…) (…) “Entre los factores que deben considerarse para la graduación de la sanción, el artículo 83.2.
- k)del RGPD señala expresamente que también se deberán tomar en cuenta los criterios establecidos en la legislación nacional aplicable, en este caso, el artículo 76.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD).” (…) El principio de proporcionalidad no solo es un criterio general aplicable en el derecho sancionador, sino que constituye el eje fundamental del proceso de graduación de las sanciones. Esto significa que cualquier sanción impuesta debe responder a la gravedad del hecho constitutivo de la infracción, sin exceder los límites de lo razonable ni resultar desmedida en comparación con la conducta imputada. Tal como establece el artículo 29.3 de la Ley 40/2015 (LRJSP)” (…) (…) “Por tanto, una sanción que no guarde relación con la gravedad de la infracción devendría nula por contravenir el principio de proporcionalidad. En este sentido, la jurisprudencia del Tribunal Supremo ha reiterado que: "Las sanciones administrativas deben ser el resultado de una ponderación adecuada entre el perjuicio causado y la respuesta punitiva de la Administración, evitando en todo caso desproporciones manifiestas que vulneren el principio de proporcionalidad" (STS de 10 de abril de 2019, recurso 3845/2016).” “En el marco del presente procedimiento sancionador, resulta imprescindible que la AEPD valore la proporcionalidad de la sanción que pretende imponer, teniendo en cuenta las circunstancias específicas del caso, entre las que destacan las siguientes: 1. La inexistencia de intencionalidad o negligencia grave por parte de la sociedad reclamada, la cual adoptó las medidas técnicas y organizativas adecuadas conforme a la normativa vigente. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 31/48 La conducta imputada se ha producido de manera negligente por parte de GASEXRESS puesto que se aprecia un deficiente deber de diligencia, evidenciado por el hecho de que, aun habiendo sido informada GASEXPRESS mediante correo electrónico de fecha 10 de agosto de 2023 por parte del reclamante, acerca de la incidencia detectada, y pese a reconocer GASEXPRESS en su respuesta de fecha 16 de agosto de 2023 que el sistema permitía la impresión de múltiples facturas durante un intervalo de tres minutos, no se adoptó medida correctora alguna hasta la recepción del traslado de la reclamación por parte de esta Agencia, en fecha 11 de octubre de 2023. 2. La ausencia de perjuicio efectivo para los derechos y libertades de los interesados, no habiéndose producido una afectación relevante a la privacidad de los clientes. En este sentido, se señala que no es necesario que se haya producido un perjuicio material, siendo suficiente con que se haya generado una pérdida de control sobre los datos personales. 3. La adopción de medidas correctoras y preventivas por parte de la sociedad reclamada, quien ha reforzado sus sistemas de facturación para garantizar un mayor nivel de seguridad en el tratamiento de los datos personales. A tal efecto, aunque las medidas correctoras adoptadas con posterioridad, entre otras, la reducción del tiempo de disponibilidad de tres a dos minutos y limitación del número de copias, constituyen un avance, no neutralizan por completo el hecho de que existía un intervalo temporal en el que permanecía accesible información correspondiente a transacciones previas, lo cual permitía que se mostrara a terceros que iban a repostar. En consecuencia, las medidas adoptadas no eran adecuadas al riesgo. 4. El cumplimiento del principio de diligencia debida, habiendo confiado en un proveedor especializado para la implementación del sistema de facturación, en aras de garantizar la calidad y seguridad del servicio. A este respecto, debe destacarse que, aunque GASEXPRESS encargara a un tercero la instalación y configuración del sistema de facturación, la responsabilidad última recae en GASEXPRESS al ser quien determina los fines y medios de tal actividad en su condición de responsable del tratamiento, en virtud del artículo 4.7 del RGPD. V Alegaciones aducidas a la propuesta de resolución En relación con las alegaciones formuladas por GASEXPRESS a la propuesta de resolución del presente procedimiento sancionador, se procede a su análisis y respuesta conforme al orden en que fueron expuestas por GASEXPRESS en escrito de fecha 9 de enero de 2026. Se tiene en cuenta que, de manera adicional a las alegaciones ya presentadas con anterioridad, las cuales también se reproducen en el presente escrito, si bien sobre las C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 32/48 que no se pronuncia nuevamente esta Agencia al haber sido debidamente analizadas en la propuesta de resolución, GASEXPRESS pone de manifiesto lo siguiente: Alegación Primera: Hechos y fundamentos jurídicos que fundamentan el presente procedimiento sancionador. En esta primera alegación, GASEXPRESS, al igual que ya hiciera en la Alegación Primera relativa a la Resolución de la AEPD por la que se acuerda el inicio del expediente sancionador, se limita a exponer los hechos controvertidos, las infracciones imputadas y las sanciones previstas tanto en el acuerdo de inicio como en la propuesta de resolución del presente procedimiento sancionador, conforme al cambio de calificación jurídica efectuado. Dichas manifestaciones no introducen hechos nuevos ni elementos adicionales de relevancia, sino que se circunscriben a reproducir cuestiones ya analizadas en el transcurso de este procedimiento sancionador. En consecuencia, no procede realizar un pronunciamiento específico sobre las mismas, sin perjuicio de aquellos apartados concretos que requieren un análisis particular, como es el Apartado IV, relativo al cambio de calificación jurídica de la conducta presuntamente infractora, en el que se expone lo siguiente: (…) “IV.- Cambio de la calificación jurídica de la conducta presuntamente infractora. En atención a lo expuesto en el apartado anterior, resulta imprescindible diferenciar el ámbito objetivo de los preceptos cuya infracción se ha imputado a mi representada a lo largo del procedimiento sancionador que nos ocupa, en particular los artículos 5.1.
- f)y 32 del Reglamento (UE) 2016/679, General de Protección de Datos (en adelante, “RGPD”), por cuanto sancionan conductas materialmente distintas. Por su parte, el artículo 5.1.
- f)del RGPD consagra un principio general del tratamiento de datos personales, cual es el de integridad y confidencialidad, imponiendo al responsable del tratamiento la obligación genérica de garantizar que los datos personales sean tratados de forma que se asegure una seguridad adecuada, incluida la protección frente al tratamiento no autorizado o ilícito y frente a su pérdida, destrucción o daño accidental. Se trata, por tanto, de un principio estructural del sistema de protección de datos, cuyo incumplimiento presupone la constatación de una quiebra material del deber de custodia y preservación de la confidencialidad o integridad de los datos, normalmente manifestada en accesos indebidos, divulgaciones no autorizadas o pérdidas efectivas de información personal. Por el contrario, el artículo 32 del RGPD no tipifica la vulneración de un principio general, sino que regula una obligación instrumental y específica, consistente en la adopción y mantenimiento de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, atendiendo al estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como a los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas. En este sentido, el artículo 32 del RGPD se incardina directamente en el principio de responsabilidad proactiva, sancionando la ausencia, insuficiencia o inadecuación de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 33/48 las medidas de seguridad exigibles en función de los riesgos identificados, con independencia de que se haya producido o no una efectiva vulneración de la confidencialidad o integridad de los datos personales.” Es de parecer de esta Agencia que conforme a lo expuesto y razonado en el apartado III de los Fundamentos de Derecho de la Propuesta de Resolución, el cambio de calificación jurídica efectuado resulta plenamente ajustado a Derecho, toda vez que los hechos que sirvieron de base a la imputación formulada contra la parte reclamada permanecen inalterados respecto de los recogidos en el acuerdo de inicio del procedimiento sancionador. Por otro lado, las actuaciones llevadas a cabo por GASEXPRESS, consistentes en la reducción del tiempo de disponibilidad de la información y en la limitación del número de copias de impresión de las facturas, si bien no resultaron suficientes para eliminar íntegramente el riesgo existente, en la medida en que persistía un intervalo temporal durante el cual permanecían accesibles datos personales de terceros, han sido tenidas en cuenta como circunstancia atenuante a efectos de la graduación de la sanción. En consecuencia, y por haber sido ya valoradas en dicho sentido, no se considera procedente la imposición de medidas correctoras adicionales. No obstante, dichas medidas no fueron adecuadas al nivel de riesgo identificado, produciéndose una vulneración del deber de garantizar la seguridad del tratamiento conforme a lo dispuesto en el artículo 32 del RGPD. Alegación Segunda: Argumentos esgrimidos por la AEPD en la Propuesta de Resolución del procedimiento sancionador. En esta segunda alegación a la propuesta de resolución, GASEXPRESS expone que, a pesar del cambio de calificación jurídica de los hechos, la AEPD sigue basando la imputación en una mera posibilidad abstracta o potencial de acceso a datos personales, sin acreditar la existencia de un acceso efectivo, ilícito o no autorizado, ni la materialización de un perjuicio real para los interesados. Este planteamiento, idéntico al sostenido en la calificación anterior, revela que la modificación jurídica operada no responde a una reconsideración sustantiva de los hechos, sino a un intento de reconducir la imputación normativa sin modificar su presupuesto fáctico.” Frente a lo manifestado por GASEXPRESS, procede reiterar que el Hecho Probado Quinto de la presente resolución se encuentra debidamente acreditado, sin que las alegaciones formuladas desvirtúen su contenido. Debe recordarse que la actividad probatoria en la que se sustenta dicho Hecho Probado ya fue analizada y valorada de forma expresa en la Alegación Quinta (actividad probatoria desplegada por el reclamante) y en la Alegación Séptima (prueba ilícita), donde se razonó la suficiencia y licitud de la prueba aportada. En consecuencia, la imputación no descansa en una hipótesis meramente potencial, sino en hechos acreditados relativos a la insuficiencia de las medidas técnicas existentes siendo irrelevante, a efectos de la infracción del artículo 32 del RGPD, la acreditación de un acceso efectivo o de un perjuicio materializado. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 34/48 Por todo ello, el cambio de calificación jurídica efectuado no altera el presupuesto fáctico del procedimiento, sino que se apoya en hechos ya probados y analizados. Alegación Tercera: Medidas técnicas y organizativas adoptadas desde el inicio por GASEXPRESS PATRAIX SL. La presente cuestión ya fue objeto de respuesta en el trámite de alegaciones al acuerdo de inicio, concretamente en la Alegación Segunda, relativa a la “Actividad desarrollada por GASEXPRESS PATRAIX SL.” Alegación Cuarta: Mejoras implementadas en el sistema. La presente cuestión ya fue objeto de respuesta en el trámite de alegaciones al acuerdo de inicio, concretamente en la Alegación Tercera, relativa a las “Mejoras implementadas en el sistema.” Alegación Quinta: Cumplimiento de las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado. En esta quinta alegación, GASEXPRESS sostiene que cumple con las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado, detallando las medidas concretas que, a su juicio, permiten acreditar dicha información. (…) “En cuanto a las medidas técnicas adoptadas, la sociedad ha implementado a nivel interno un sistema de autenticación robusta para asegurar que solo el personal autorizado pueda acceder a los datos sensibles. Esto incluye el uso de contraseñas seguras, así como la utilización de medidas adicionales de verificación de identidad, que refuerzan la seguridad del acceso a la información y protegen contra accesos no autorizados. En cuanto a las medidas organizativas, la sociedad ha establecido protocolos claros en cuanto al manejo, almacenamiento y acceso a los datos personales, y ha formado a su personal en las mejores prácticas de protección de datos. Se han implementado políticas internas de acceso restringido, que limitan el acceso a los datos solo a aquellos empleados que lo necesiten para el desempeño de sus funciones, y se realiza un seguimiento y auditoría continua de todas las actividades relacionadas con el tratamiento de datos. Estas auditorías permiten detectar cualquier intento de acceso no autorizado o uso indebido de los datos personales. A su vez, el sistema de facturación se encuentra bajo un proceso de revisión y actualización continua para garantizar que las medidas de seguridad se mantengan al día con los avances tecnológicos y las nuevas amenazas cibernéticas.” (…) (…) “En cuanto a la prevención de pérdida, destrucción o daño accidental de los datos personales, la entidad ha establecido medidas de respaldo y recuperación ante desastres.” (…) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 35/48 Tal y como se razona en el apartado VI (Obligación incumplida. Seguridad del tratamiento) de los Fundamentos de Derecho, el sistema de emisión de facturas utilizado en la estación de servicio presentaba una disfunción que permitía, durante un intervalo temporal, el acceso y la impresión de facturas correspondientes a operaciones anteriores, sin verificación de que quien solicitaba la impresión fuera el titular de los datos. Dicha circunstancia, reconocida por GASEXPRESS y acreditada mediante las facturas aportadas por la parte reclamante, posibilitaba el acceso a datos personales de terceros, incluidos nombre y apellidos, dirección postal, NIF y los cuatro últimos dígitos de la tarjeta bancaria, evidenciando que, en el momento de los hechos, las medidas implantadas no eran adecuadas al riesgo. Esta circunstancia implica que las medidas adoptadas no eran adecuadas al riesgo y que, contravenían la obligación prevista en el art. 32 RGPD. Alegación Sexta: Actividad probatoria desplegada por el reclamante. La presente cuestión ya fue objeto de respuesta en el trámite de alegaciones al acuerdo de inicio, concretamente en la Alegación Quinta, relativa a la “Actividad probatoria desplegada por el reclamante.” Alegación Sexta: Naturaleza de la obligación prevista en el artículo 32 RGPD. En esta sexta alegación a la propuesta de resolución, GASEXPRESS expone lo siguiente: “La Propuesta de Resolución incurre en una interpretación incorrecta del alcance y naturaleza jurídica de la obligación prevista en el artículo 32 del Reglamento (UE) 2016/679, General de Protección de Datos (en adelante, “RGPD”), al aproximarla implícitamente a una obligación de resultado o a un régimen de responsabilidad objetiva, interpretación que no encuentra respaldo ni en el tenor literal del precepto ni en la doctrina administrativa y jurisprudencial aplicable. I. El artículo 32 RGPD configura una obligación de medios, no de resultado. El artículo 32 RGPD impone al responsable y al encargado del tratamiento la obligación de aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. La propia redacción del precepto evidencia que nos hallamos ante una obligación de medios, basada en la diligencia razonable en la identificación de riesgos y en la implantación, mantenimiento y supervisión de las medidas necesarias para mitigarlos. Por tanto, la eventual responsabilidad administrativa no deriva automáticamente de la mera existencia de una brecha de seguridad, de un acceso no autorizado o de un incidente puntual, sino exclusivamente de la constatación de que el responsable no actuó con la diligencia exigible, bien por no haber adoptado medidas adecuadas, bien por haberlas implementado de forma manifiestamente insuficiente o desalineada con los riesgos del tratamiento.” C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 36/48 Al respecto, esta Agencia coincide en que en el presente caso, el artículo 32 del RGPD se interpreta como una obligación de medios, que exige diseñar, implantar y utilizar de forma diligente medidas técnicas y organizativas adecuadas al riesgo, sin que baste la mera adopción formal de las mismas. La jurisprudencia, entre otras la Sentencia de la Audiencia Nacional de 13 de junio de 2002 (recurso nº 1.517/2001), confirma que deben ser medidas necesarias, apropiadas y efectivamente implantadas y utilizadas. En el supuesto que nos ocupa, se aprecia un deficiente deber de diligencia: aun siendo GASEXPRESS informada mediante correo electrónico de fecha 10 de agosto de 2023 sobre la incidencia, y reconociendo en su respuesta de 16 de agosto que el sistema permitía la impresión de múltiples facturas durante tres minutos, no adoptó medidas correctoras hasta el traslado de la reclamación por esta Agencia el 9 de octubre de 2023, introduciendo posteriormente modificaciones según su contestación de 8 de noviembre de 2023. Esta omisión evidencia que no se actuó con la diligencia exigible, ni en la identificación de riesgos ni en la correcta implantación y uso de las medidas de seguridad, generando un incumplimiento del deber de garantizar la protección de los datos conforme al artículo 32 del RGPD “II. La existencia de una brecha o de un acceso no autorizado causado por terceros no implica per se la comisión de una infracción. Debe subrayarse que el RGPD no consagra un régimen de responsabilidad objetiva en materia de seguridad de los datos personales. La mera existencia de un acceso no autorizado, especialmente cuando intervienen terceros ajenos al control del responsable, no permite inferir automáticamente la comisión de una infracción del artículo 32 RGPD. (…) Solo en el supuesto de que se acredite una falta de diligencia en dicha adopción o supervisión cabría imputar una infracción administrativa, lo que excluye cualquier automatismo sancionador basado exclusivamente en el resultado lesivo de la actuación de terceros.” Frente a lo alegado, procede aclarar que el objeto de estudio del procedimiento no radica en la ocurrencia de un incidente puntual de un acceso no autorizado, sino en determinar si las medidas técnicas y organizativas adoptadas por el responsable del tratamiento eran adecuadas y proporcionadas al riesgo existente, conforme a lo dispuesto en el artículo 32 del RGPD. Tal y como se ha puesto de manifiesto en el apartado anterior, en el presente caso se demuestra que no se actuó con la diligencia exigible, ni en la identificación de los riesgos ni en la correcta implantación y utilización de las medidas de seguridad. Por tanto, lo relevante no es la simple materialización de un acceso ajeno, sino la insuficiencia o inadecuación de las medidas adoptadas frente a los riesgos del tratamiento. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 37/48 “III. La responsabilidad administrativa se anuda a la falta de diligencia, no al resultado, siendo relevante la reacción ante el incidente. La potestad sancionadora de la AEPD debe ejercerse conforme a los principios de culpabilidad y proporcionalidad, lo que implica que la responsabilidad administrativa no se fundamenta en el resultado final del incidente, sino en la conducta previa y concurrente del responsable del tratamiento. En este contexto, resulta jurídicamente relevante no solo la existencia de medidas preventivas, sino también la reacción diligente y proporcionada ante el incidente, incluyendo la adopción de medidas correctoras, la revisión de los procedimientos de seguridad y, en su caso, la implementación de mejoras adicionales. Tales actuaciones pueden y deben ser valoradas, bien para excluir la existencia de infracción, bien — subsidiariamente— para atenuar cualquier eventual reproche administrativo. Con respecto a los principios de culpabilidad y proporcionalidad, se señala por esta Agencia que ya fueron objeto de respuesta en el trámite de alegaciones al acuerdo de inicio, concretamente en la Alegación Sexta, relativa a la “Principio de culpabilidad” y en la Alegación Octava, relativa al “Principio de proporcionalidad” Por otro lado, de conformidad con lo expuesto en los apartados anteriores, se acredita que no se cumplió con la diligencia exigible en la identificación de riesgos ni en la implementación y utilización efectiva de las medidas de seguridad. Por tanto, no resulta determinante la mera materialización de un acceso externo, sino la inadecuación de las medidas adoptadas respecto a los riesgos del tratamiento. “IV. Diligencia acreditada de mi representada en la adopción de medidas técnicas y organizativas adecuadas. En el supuesto que nos ocupa, resulta patente que mi representada sí ha implementado las medidas técnicas y organizativas adecuadas y razonablemente exigibles para garantizar la seguridad de los datos personales de sus clientes, atendiendo a la naturaleza del tratamiento y a los riesgos asociados al mismo. Las actuaciones llevadas a cabo evidencian una conducta activa, preventiva y diligente, plenamente alineada con el principio de responsabilidad proactiva consagrado en el RGPD, sin que la AEPD haya acreditado de forma concreta y motivada qué medidas adicionales, específicas o técnicamente viables deberían haberse adoptado y que, de haberse implementado, habrían evitado el incidente descrito. En ausencia de dicha acreditación, no puede sostenerse válidamente la existencia de una infracción del artículo 32 RGPD, pues ello supondría transformar una obligación de medios en una obligación de resultado y aplicar, de facto, un régimen de responsabilidad objetiva expresamente ajeno al sistema de protección de datos configurado por el RGPD” En relación con la alegación formulada por GASEXPRESS acerca de la adopción de medidas, procede señalar que las mismas fueron implementadas una vez tuvo conocimiento de los hechos, conforme traslado de esta Agencia realizado en fecha 11 C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 38/48 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente, por lo que no cabe apreciar en ellas un carácter preventivo ni una actuación proactiva previa al inicio del procedimiento. Sin perjuicio de lo anterior, y dado que dichas medidas fueron adoptadas con posterioridad a la comisión de la infracción, no alteran la realidad fáctica ni los términos en que esta se produjo, tal y como se recogen en los hechos probados de la presente resolución. No obstante, han sido valoradas en el apartado VIII de estos Fundamentos de Derecho: Sanción por la infracción del artículo 32 del RGPD, como circunstancia atenuante, procediéndose a la minoración de la cuantía de la sanción, sin que resulte procedente su consideración como medidas correctoras adicionales. Conforme a lo dispuesto en el artículo 5.2 y artículo 32 del RGPD, así como al principio de responsabilidad proactiva recogido en el Dictamen 3/2010 del Grupo de Trabajo del artículo 29 (WP 173), el responsable del tratamiento no responde por resultados absolutos, sino por la diligencia en la adopción, implantación y uso efectivo de medidas técnicas y organizativas apropiadas al riesgo. Alegación Séptima: Principio de culpabilidad. La presente cuestión ya fue objeto de respuesta en el trámite de alegaciones al acuerdo de inicio, concretamente en la Alegación Sexta, relativa a la “Principio de culpabilidad.” Alegación Octava: Prueba ilícita. La presente cuestión ya fue objeto de respuesta en el trámite de alegaciones al acuerdo de inicio, concretamente en la Alegación Séptima, relativa a la “Prueba ilícita.” Alegación Novena: Principio de proporcionalidad. La presente cuestión ya fue objeto de respuesta en el trámite de alegaciones al acuerdo de inicio, concretamente en la Alegación Octava, relativa a la “Principio de proporcionalidad.” Alegación Décima: Solución alternativa. En esta décima alegación a la propuesta de resolución, se destaca lo siguiente: (…) En todo caso, esta manifestación no puede ni debe ser interpretada como admisión de culpabilidad, conformidad con la Propuesta de Resolución ni aceptación tácita de la infracción imputada, quedando expresamente condicionada a que la eventual sanción se limite a un importe meramente testimonial, acorde con las circunstancias concurrentes y con la inexistencia de perjuicio efectivo para los derechos y libertades de los interesados.” (…) Frente a la alegación décima, se señala que no se tiene en consideración por esta Agencia al considerar su carácter meramente dialéctico, lo que no modifica la valoración de los hechos probados ni exime del cumplimiento del artículo 32 del RGPD. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 39/48 VI Obligación incumplida. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." Así, dicho precepto obliga la adopción de medidas de seguridad, que pueden ser de índole técnica u organizativa y que deberán ser adecuadas al riesgo del tratamiento de datos personales realizados. A sensu contrario dicho precepto se vería vulnerado si no se adoptasen dichas medidas que, adecuadas al riesgo y con carácter general, garantizaran la seguridad del tratamiento. La obligación de adoptar dichas medidas de seguridad recae en el responsable del tratamiento, como ha declarado el Tribunal de Justicia de la Unión Europea (TJUE) que, en sentencia de 14 de diciembre de 2023, en el asunto C-340/21 concluye que “Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD se desprende inequívocamente que la carga de la prueba de que los datos personales se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 40/48 artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU: C:2023:373, apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C-252/21, EU:C:2023:537, apartado 95].” (apartado 52) Hay que señalar que el RGPD no establece en el citado precepto un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que las medidas técnicas y organizativas de seguridad que se apliquen han de ser adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o accesos no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. Por otra parte, el Considerando
(74)del RGPD indica que: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizados por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como, el riesgo para los derechos y libertades de las personas físicas.” Por otro lado, el artículo 32 del RGPD se configura como una obligación de medios, que se concreta en la obligación de diseñar los medios técnicos y organizativos adecuados, siendo también necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso. La Audiencia Nacional señaló en diversas sentencias- por todas, la de13 de junio de 2002 -recurso nº. 1.517/2001 -, que la obligación que dimana de la implantación de medidas de seguridad en lo concerniente a los dat