← España

PS-00153-2018

1/13 Procedimiento Nº PS/00153/2018 RESOLUCIÓN: R/01229/2018 En el procedimiento sancionador PS/00153/2018, instruido por la Agencia Española de Protección de Datos a la entidad IBERDROLA CLIENTES, SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 18/10/2017 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a IBERDROLA, S.A.U. (en lo sucesivo IBERCLI), por los siguientes hechos: desde la entidad le han informado que a través de la web se ha solicitado la rebaja de la potencia contratada. Según el denunciante nunca se ha conectado a dicha web. En escrito de 06/09/2017 ha solicitado que vuelvan a reponer la potencia anterior a lo que la entidad ha respondido en escritos de 13/09/2017 y 26/09/2017 informando que habían revisado lo ocurrido y comprobado la procedencia de la solicitud. El denunciante en nuevo escrito de 27/09/2017 y en e-mail de 04/10/2017 solicita explicación y claridad sobre lo ocurrido ante la inseguridad producida; la entidad no ofrece respuesta a las nuevas reclamaciones del denunciante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad IBERCLI, Con fecha 26/12/2017 se ha remitido a la entidad reclamada un requerimiento de información al objeto de aclarar lo ocurrido con los datos personales del afectado. Con fecha 09/01/2018 ese ha recibido en esta Agencia una solicitud de ampliación de plazo al objeto de dar repuesta a lo requerido. A día 20/03/2018 no se había recibido respuesta alguna por parte de la entidad. La entidad en ningún momento ha dado respuesta al porqué de los hechos producidos; hechos que posiblemente han podido provocar la vulneración o fallo de las medidas la seguridad, permitiendo el acceso no autorizado a través de persona interpuesta, ya que el denunciante ha reiterado no haber accedido a la web de la compañía para alterar la potencia contratada. TERCERO: Con fecha 03/05/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a IBERCLI, por presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. h)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: El 31/05/2018 la representación de IBERCLI presento escrito dando respuesta al requerimiento de información de fecha 26/12/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 QUINTO: Con fecha 10/07/2018 se inició el período de práctica de pruebas, acordándose: Incorporar al expediente del procedimiento y dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/06569/2017. Solicitar a IBERCLI copia del contrato de suministro eléctrico suscrito por el cliente A.A.A. (Cto. Póliza Origen B.B.B.) cuya bajada de potencia fue solicitada el 05/09/2017. Solicitar al denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador PS/00153/2018 que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia (comunicaciones, reclamaciones a otros órganos, etc.) ó, si lo estima oportuno, cualquier otra manifestación en relación con los hechos denunciados; copia de factura del suministro eléctrico relativo al contrato B.B.B. cuya potencia fue reducida a través de la web de la compañía el 05/09/2017, que acredite su titularidad y abono; si conoce a Dña. C.C.C. y, en caso afirmativo, tipo de vinculación, relación o parentesco que mantienen y copia del contrato de alquiler celebrado con la misma. El denunciante respondió a las pruebas practicadas cuyo contenido obra en el expediente; por el contrario, la entidad denunciada no dio respuesta a la prueba solicitada. SEXTO: En fecha 06/09/2018, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a IBERCLI por infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. h)de dicha norma, con multa de 40.001 € (cuarenta mil un euro) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Asimismo, se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. IBERCLI no formulo escrito de alegaciones a la Propuesta de Resolución. HECHOS PROBADOS PRIMERO. El 18/10/2017 tiene entrada en esta Agencia escrito del afectado en el que denuncia a IBERCLI por haber permitido que a través de la web de la compañía se rebajara la potencia contratada en su domicilio; según manifestaciones del denunciante nunca se ha conectado con la entidad a través de la página web. SEGUNDO. El denunciante aporta reclamación de 06/09/2017 presentada ante la OMIC de Hernani en la que manifiesta los problemas que mantiene sobre el suministro en su domicilio con la empresa de energía eléctrica; que desde la compañía le habían informado que a través de la web de la entidad se solicitó la rebaja de la potencia contratada cuando, según el denunciante, nunca se ha conectado a través de dicha página y que le restituyeran en la potencia contratada con anterioridad. TERCERO. IBERCLI mediante escrito de 13/09/2017 alegaba señalando que “Hemos revisado lo ocurrido y hemos comprobado la procedencia de la solicitud. De esta forma, y de acuerdo con la reclamación, se han efectuado las correcciones oportunas sobre este contrato y se ha procedido a anular los importes incorrectos facturados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 (facturas de derechos de fechas 06/09/2017 y 08/09/2017 e importes 10,94 € y 113,38 €), realizando el abono correspondiente en la cuenta habitual de pago…” IBERCLI se dirigió al denunciante el 26/09/2017 señalando que “En relación a la reclamación correspondiente a la información arriba indicada, queremos transmitirle nuestras más sinceras disculpas por las molestias que le hayan podido ser causadas. Les informamos que la reducción de potencia a 345kw se realizó por la web de clientes…” CUARTO. El denunciante presentó ante la OMIC nuevo escrito el 27/09/2017 respondiendo a la compañía suministradora y, a través del cual, solicita una explicación seria sobre los hechos ocurridos y claridad en el uso de los datos como usuario. QUINTO. El denunciante remitió a IBERCLI e-mail 04/10/2017 reiterando la solicitud de explicaciones de lo ocurrido debido a la inseguridad que le provoca que alguien pueda tener sus datos personales. IBERCLI mediante e-mail de 05/10/2017 respondía señalando “Siento mucho lo ocurrido con sus datos y entiendo su malestar por ello. He comprobado que hoy día 05/10/2017 se ha procedido a la apertura de una reclamación por este motivo, a través de la OMIC… El número de reclamación es el ***RECL.1 y le contestarán en un plazo máximo de 30 días laborables, a través de dicho organismo. A.A.A., lamento lo ocurrido y quedó a su disposición para cualquier otra consulta o gestión que necesite” SEXTO. IBERCLI en fecha 07/11/2017 presento escrito de alegaciones ante la OMIC en relación con el suministro eléctrico ubicado en ***DIRECCIÓN.1, en Hernani, en la que señalaba que habían revisado las condiciones recogidas en el contrato suscrito con el denunciante y comprobado que en fecha 05/09/2017 se solicitó a través de la página web una reducción de potencia y que el 07/09/2017 se solicitó de nuevo la potencia anteriormente contratada. Asimismo, indicaban que las facturas emitidas el 06/09/2017 y 08/09/2017, en aras de la satisfacción y buen servicio de la compañía hacia sus clientes fueron anuladas en concepto de derechos por las modificaciones realizadas en el contrato de referencia. SEPTIMO. IBERCLI en escrito de 31/05/2018 ha manifestado, en relación con el requerimiento de información remitido por los servicios de inspección de la Agencia, que “Se procede a identificar el usuario que ha realizado las operaciones con sus datos (nombre y apellidos, DNI, email y teléfono) y fecha en la que se dio de alta comprobándose la existencia de un solo usuario, como se puede comprobar a continuación” figurando entre otros los siguientes datos: Código usuario: ***COD.1 Código usuario web: ***COD.2 Código cliente: ***COD.3 Nombre Razón Social: A.A.A. Código País: 01 Código Provincia: 20 Nombre población: Hernani Código Postal: 20120 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Dirección: ***DIRECCIÓN.1 Código Referencia Contrato: ***COD.4 Como datos disponibles en la web del usuario figuran: Fecha de alta: 17/11/2016 Nombre del usuario: C.C.C. DNI: ***DNI.1 Teléfono: ***TLF.1 E-mail: ***EMAIL.1 (…) Asociados al código usuario ***COD.1 figuran: Teléfono: ***TLF.1 Nombre y apellidos: C.C.C. DNI: ***DNI.1 Usuario E-mail: ***EMAIL.1 IBERCLI ha manifestado que “con fecha 05/09/2017 el usuario C.C.C. solicitó a través de la web, tanto la mencionada bajada de potencia en relación al contrato del denunciante, como en fecha 07/09/2017 la posterior restauración de la potencia inicial contratada, debiendo por tanto ser requerido el denunciante, para que acredite su vinculación con la misma…” OCTAVO. IBERCLI, como documentación que acredita la autenticación de su cliente y que dio lugar al cambio de tarifa ha señalado que “Respecto a las suscripciones, el denunciante … tiene 4 contratos suscrito a factura electrónica, todos desde el 2017… y todos con dirección de email ***EMAIL.1”, y aporta impresión de su registro informático en el que figuran códigos de los cuatro contratos: ***COD.5, ***COD.6, ***COD.7 y ***COD.8. NOVENO. El denunciante ha aportado copia de facturas de suministro eléctrico relativos al domicilio situado en ***DIRECCIÓN.1, Hernani (Guipúzcoa), contrato de suministro B.B.B. figurando como titular el denunciante. DECIMO. El denunciante ha aportado copia del contrato de arrendamiento de vivienda de su propiedad ubicada en ***DIRECCIÓN.2, en Hernani (Guipúzcoa), suscrito con Dña. C.C.C. el 01/11/2012. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Se imputa a la entidad IBERCLI la vulneración del principio de seguridad de los datos personales, establecido en el artículo 9.1 de la LOPD. El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: "Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados". El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: "Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse" La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46 y en su artículo 9 se dispone lo siguiente: "1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley". El transcrito artículo 9 de la LOPD establece el "principio de seguridad de los datos" imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el "acceso no autorizado" por parte de terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de "fichero" y "tratamiento" contenidas en la LOPD. En lo que respecta al concepto de "fichero" el artículo 3.
  4. b)de la LOPD lo define como "todo conjunto organizado de datos de carácter personal", con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  5. c)de la citada Ley Orgánica considera "tratamiento” de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la "comunicación" o "consulta" de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
  6. a)de dicha Ley añade que se entenderá por datos de carácter personal "cualquier información concerniente a personas físicas identificadas o identificables". En este mismo sentido se pronuncia el artículo 2
  7. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone "toda información sobre una persona física identificada o identificable (el "interesado"); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social". Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  8. h)de la LOPD tipifica como infracción grave el mantener los ficheros "...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen". Sintetizando las previsiones legales puede afirmarse que:
  9. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, -la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  10. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal, así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  11. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  12. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por la entidad IBERCLI correspondiendo adoptar las calificadas de nivel básico, en atención al tipo de información básica que contiene, tal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 como se especifica en el artículo 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. "Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible". El artículo 5.2.
  13. b)del Reglamento de desarrollo de la LOPD define la autenticación como el procedimiento de comprobación de la identidad de un usuario; el mismo artículo, letra h), se refiere y define la identificación como el procedimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, IBERCLI está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, por cuanto el sistema de gestión de accesos a través de la web de la entidad no impidió de manera fidedigna que un tercero, la inquilina del afectado, tuviera la posibilidad de acceder sin restricción a los datos personales relativos al denunciante alterando la potencia contratada en el domicilio de éste y respecto de un contrato que le era ajeno, con el consiguiente perjuicio para el afectado. Hay que señalar que IBERCLI en ningún caso ha acreditado que la persona que realizo el acceso a través de la web y llevo a cabo los cambios en el contrato del denunciante estuviera habilitado y autenticado para realizarlo adoleciendo de la falta de la más mínima diligencia para comprobarlo; la entidad aporta como documentación que acredita la autenticación del denunciante a través de la web y que dió lugar al cambio de tarifa un registro de sus ficheros informáticos en el que constan cuatro contratos suscritos por éste, a factura electrónica, desde el 13/12/2017 en el que figura como dirección de email ***EMAIL.1; sin embargo, los citados contratos más parecen corresponder a la inquilina del denunciante como lo acredita su vinculación con el primero de ellos nº ***COD.4. Por tanto, el mecanismo de acceso a la información contenida en el sistema no cumplió las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, identificación y autenticación de usuarios, por cuanto que no llego a evitar que un tercero accediera a los datos personales sin estar autorizado ni identificado para ello. El sistema de gestión de accesos a la zona de usuarios de la web de la entidad no impidió de manera fidedigna que el tercero pudiera acceder a los datos personales de otro cliente. Se trata de deficiencias apreciadas en el sistema diseñado por IBERCLI que han quedado acreditadas por la documentación aportada al expediente. Así, los datos personales del denunciante y cliente de IBERCLI resultaron accesibles desde la zona habilitada para los mismos en su página web, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que IBERCLI ha incurrido en la infracción grave descrita. IBERCLI es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad. Este acceso por terceros a los datos personales reseñados supone la comisión, por parte de IBERCLI, de una infracción del artículo 9.1 de la LOPD, al haberse constatado que tales hechos se producen por una deficiente implementación de las medidas de seguridad obligatorias según la naturaleza y el nivel de seguridad asignado al fichero en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 III Por otra parte, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). IV El artículo 44.3.
  14. h)de la LOPD, considera infracción grave: "Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen". Dado que ha existido vulneración del "principio de seguridad de los datos", recogido en el artículo 9 de la LOPD, se considera que IBERCLI ha incurrido en la infracción grave descrita. V El artículo 45.1, 2, 4 y 5 LOPD, aplicable al presente supuesto, dispone lo siguiente: "1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  15. a)El carácter continuado de la infracción.
  16. b)El volumen de los tratamientos efectuados.
  17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  18. d)El volumen de negocio o actividad del infractor.
  19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  20. f)El grado de intencionalidad.
  21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  23. i)La acreditación de que con anterioridad a los hechos constitutivos de la infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". Hay que señalar que el citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso examinado, de las actuaciones practicadas y de la documentación aportada al expediente, ha quedado acreditado que IBERCLI vulneró el artículo 9.1 de la LOPD, en relación con los artículos 93 del RLOPD, al no adoptar las medidas necesarias previstas, entre ellas, aquellas de carácter técnicas y organizativas que garantizasen la correcta identificación de los usuarios y dirigidas a impedir el acceso no autorizado por parte de terceros a los datos que constan en sus ficheros, lo que hubiera permitido su identificación inequívoca y personalizada, por lo que su actuación ha de ser objeto de sanción. En el presente caso, no se dan las citadas circunstancias señaladas lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados
  30. a)b), c),
  31. d)y
  32. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Por otra parte, en relación con los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, se aprecia la concurrencia de las siguientes circunstancias agravantes: - El apartado
  33. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, ya que la actividad empresarial de la denunciada exige un tratamiento de datos de carácter personal tanto de clientes como de terceros. - El apartado
  34. d)El volumen de negocio o actividad del infractor, puesto que se trata de una de las mayores empresas eléctricas del país por cifra de negocio. - El apartado
  35. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas, puesto que el denunciante vio disminuida la potencia eléctrica de su domicilio con el evidente perjuicio que ello le ocasionó, aunque es cierto que solo tuvo que soportarla durante escasos días al serle restituida la citada potencia. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se impone una sanción de 40.001 € por la infracción del artículo 9.1 de la LOPD, en relación con el artículo 93 del RLOPD, de la que IBERCLI debe responder. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IBERDROLA CLIENTES, SAU con NIF A95758389, por una infracción del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  36. h)de la LOPD, una multa de 40.001 € (cuarenta mil un euro), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA CLIENTES, SAU. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  37. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  38. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.