PS-00177-2024

1/31  Expediente N.º: EXP202314937 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GALP ENERGÍA INDEPENDIENTE, S.L. (en adelante, GALP ENERGÍA). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 5 de junio de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202314937 (PS/00177/2024) PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 21 de agosto de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GALP ENERGÍA INDEPENDIENTE, S.L. con NIF B88602735 (en adelante, GALP ENERGÍA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que entrando a la aplicación móvil "Fusión Solar", a través de la cual gestiona su instalación de paneles solares para autoconsumo, ha podido acceder a los datos personales de otros usuarios, clientes, como él, de Verne Telecom, S.L., la empresa a través de la que GALP ENERGÍA ofrece su servicio. Textualmente, la parte reclamante dice que "entrando a la app Fusión Solar con los datos que me dejaron, no solamente puedo ver mis datos personales (nombre, apellido, DNI, dirección y otros datos de la instalación), así como acceder a mi inversor y modificar configuraciones, sino que puedo ver los datos de más de 1.000 clientes de Verne Group en la pantalla principal, e, imagino, acceder a ellos (cosa que no hago)". Junto a la notificación se aporta un vídeo en el que se ve cómo accede en la app “Fusión Solar” y visualiza esos datos. Aparentemente no se trata de un perfil de usuario individual, de propietario de una de las instalaciones, sino el del propio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 instalador; aparece identificado como ***CUENTA.1, al que estarían vinculados los clientes de GALP ENERGÍA en esa zona geográfica. SEGUNDO: Con fecha 13 de septiembre de 2023, se incorporaron al expediente las siguientes evidencias recogidas por esta Agencia: - Política de privacidad de Fusión Solar. - Volumen de negocio del Grupo Verne. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la GALP ENERGÍA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 26 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 27 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando: 1) Resumen de los hechos ocurridos 1.1 Acerca de GALP ENERGÍA (en las alegaciones presentadas aparece denominada como “Galp Solar”), su relación con Verne Telecom, S.L. (en adelante, Verne; empresa perteneciente a Verne Technology Group -Verne Group) y la tecnología de “Galp solar”. Galp Solar es una empresa española dedicada, entre otras actividades, a la comercialización, instalación y mantenimiento de placas solares fotovoltaicas y demás elementos técnicos accesorios que sean necesarios para su correcto funcionamiento, para lo cual precisa subcontratar a empresas externas que se encarguen de la instalación de las placas solares, inversores solares y demás equipos técnicos y productos necesarios en el domicilio del cliente, así como de la asistencia técnica y mantenimiento sobre dichas instalaciones. Una de las empresas con las que Galp Solar ha realizado acuerdos de subcontratación para la instalación de las soluciones fotovoltaicas en la provincia de Alicante es Verne. Galp Solar ofrece tres servicios a los clientes incluidos en su oferta y contratación: a. Instalación de los equipos. b. Servicio de mantenimiento. c. Servicio de Monitorización para el cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/31 El funcionamiento del inversor solar, y por tanto de toda la instalación para el cliente, depende enteramente de que se vincule dicho inversor solar de Huawei con su software, sin esa vinculación, el cliente no podrá disfrutar de su instalación solar y generar su propia energía. Por supuesto, esa vinculación forma parte de los servicios de instalación de los equipos. El proceso de vinculación es el siguiente: (…) 1.2 Relación entre Verne y la parte reclamante. El 28 de diciembre de 2022 Verne realizó la instalación de la solución fotovoltaica y del resto de equipos necesarios para la correcta prestación del servicio en el domicilio del reclamante, incluido el inversor solar de Huawei y realizó asimismo la vinculación entre el mismo y Fusión Solar dentro de los parámetros normales y habituales. Realizada la instalación, el reclamante solicitó, como así ha manifestado al técnico instalador de Verne un acceso como cliente a Fusión Solar para poder acceder a su histórico de consumo, además del habilitado a la aplicación propia de Galp Solar durante el proceso de instalación. En este caso concreto, tras la petición de acceso por el reclamante, el técnico instalador de Verne le facilitó, por error, el usuario y las credenciales de acceso generales de Verne a Fusión Solar en vez de trasladar la petición a Galp Solar para la creación del perfil por los cauces habituales. Fruto de dicha equivocación, el reclamante pudo acceder, con las claves facilitadas por el instalador, a la totalidad de perfiles de clientes de Galp Solar asignados a Verne, en concreto, a 1209 perfiles con datos básicos (nombre y apellidos, dirección postal, datos de consumo o generación eléctrica y estado de la instalación), tal y como se puede apreciar en el escrito del reclamante. De hecho, se puede apreciar claramente en el anexo 8 del escrito del reclamante, el nombre de la cuenta de Fusión Solar que le facilitó el instalador de Verne es “***CUENTA.1” y el identificador de cuenta o nombre de usuario para acceder es “***USUARIO.1”. Este hecho solo puede ser calificado como error o mala praxis del instalador de Verne, que actuó sin seguir las instrucciones dadas a tal efecto, así como las medidas de confidencialidad y seguridad de obligada observancia y cumplimiento en virtud del acuerdo formalizado con Galp Solar. El día 27 de octubre de 2023, desde Galp Solar se solicitaron aclaraciones a Verne sobre lo ocurrido en relación al escrito del reclamante y el día 30 de octubre se contesta que el error fue cometido por un técnico instalador que ya no se encuentra trabajando para Verne. 2) Las medidas de seguridad de los tratamientos de datos personales adoptadas con anterioridad al incidente, entre las que se encuentran: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 “

1. a)Establecimiento de un contrato de encargo del tratamiento con indicaciones específicas de medidas de seguridad y medidas técnicas para el encargado.
2. b)Limitación de acceso a los datos de clientes de Galp Solar únicamente a personal autorizado (control de perfiles).
3. c)Control de acceso a datos por parte de los instaladores para que únicamente el encargado del tratamiento concreto tenga acceso a los datos que le son necesarios para la prestación del servicio.
4. d)Establecimiento de accesos con contraseñas a los equipos informáticos y aplicaciones en las que se encuentran los datos personales de los clientes.” 3) La violación de seguridad no ha sido comunicada a las personas afectadas dado que la misma no supone un riesgo alto para sus derechos y libertades: “La misma únicamente ha afectado por tiempo limitado a 1.209 personas y únicamente por parte de una sola persona, que resulta ser el reclamante.” 4) Diversas medidas a adoptar para que no se vuelva a producir un incidente similar: (…) 4. Formación específica para encargados del tratamiento y su personal. Para evitar que el personal de los encargados del tratamiento pueda cometer errores y dar a los clientes de Galp Solar, datos, información o accesos a cuentas de usuarios indebidamente, se está preparando un plan de formación para encargados del tratamiento y su personal, que incluirá materiales y test para verificación de compresión de contenidos. En este sentido, ya se han realizado recordatorios por correo electrónico de las obligaciones como encargado del tratamiento, así como a todos los instaladores con instrucciones claras de que no deben compartir su perfil con otras personas… 5. Auditorías de control de encargados del tratamiento. Además de lo dispuesto en el apartado anterior, Galp Solar va a realizar auditorías de control de las medidas de seguridad de sus encargados del tratamiento a fin de evaluar su adecuado cumplimiento, en especial las cuestiones relacionadas con la confidencialidad de la información y seguridad de las cuentas de usuarios en Fusión Solar.” Junto con la respuesta al traslado se aporta la siguiente documentación: - Documento núm. 1: Contrato entre GALP ENERGÍA y Verne para “la instalación de sistemas fotovoltaicos”. Documento núm. 2: Anexo de acuerdo de encargo del tratamiento que regula el flujo de los datos personales derivados de la ejecución de los servicios. Documento núm. 3: Oferta remitida por GALP ENERGÍA a la parte reclamante. Documento núm. 4: Contrato firmado entre GALP ENERGÍA y la parte reclamante para instalación de la solución fotovoltaica en su domicilio. Documento núm. 5: Respuesta remitida por Verne a GALP ENERGÍA por las aclaraciones solicitadas por esta última por lo ocurrido el día 30 de octubre con relación al escrito de la parte reclamante. En este documento, Verne manifiesta lo siguiente: “1. Ante la petición del cliente de acceder a sus consumos y producciones, nuestro técnico le facilitó la genérica por error. Al parecer el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31 - Cliente NO disponía de la propia. 2. Modificamos periódicamente las contraseñas de acceso, particularmente en este caso, se denuncia el 1 de Agosto y tenemos un Reset el 9 de agosto. 3. No teníamos notificación de este incidente hasta que nos lo habéis escalado, la Instalación se ejecutó el 28/12/2022. 4. El recurso técnico que realizó el error, no se encuentran activos en Verne”. Documento núm. 6: Registro de actividades de tratamiento. Documento núm. 7: Justificante de la notificación de la brecha de datos a la AEPD Documento núm. 8: Recordatorios remitidos por correo electrónico de las obligaciones como encargado del tratamiento, así como a todos los instaladores con instrucciones claras de que no deben compartir su perfil con otras personas. CUARTO: Del mismo modo, se dio traslado de la reclamación a Verne. Con fecha 27 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando: 1. El 31 de octubre de 2023, Verne recibió una reclamación en la que se denunciaba que la parte reclamante había accedido a datos de terceros a través de la app Fusión Solar. Antes de responder a las cuestiones planteadas, la empresa aclara la relación entre las partes implicadas: el contrato de instalación lo firma el cliente con GALP ENERGÍA (responsable del tratamiento), quien subcontrata a Verne (Encargado del tratamiento), y esta, a su vez, a ***EMPRESA.1, S.L., en lo sucesivo Electrotec (a quien denomina “subencargado” del tratamiento). Todo ello está respaldado por los contratos correspondientes, que se aportan como anexos. 2. Se facilita una cronología detallada de los hechos. La instalación se realizó el 28 de diciembre de 2022. El 1 de agosto de 2023, un técnico de Electrotec, al intentar ayudar a la parte reclamante con problemas de acceso, le dio por error su propia contraseña de acceso a la app, en lugar de la contraseña del cliente. El 9 de agosto se realizó un cambio programado de contraseñas, sin que aún se tuviera conocimiento del incidente. No fue hasta el 27 de octubre cuando GALP informó de la reclamación, y el 31 de octubre se recibió oficialmente en Verne. 3. La causa del incidente fue un error humano cometido por el técnico de la subcontrata. Verne y GALP ENERGÍA tratan de minimizar este tipo de riesgos mediante la distribución de guías de uso correcto de la app y formación en protección de datos, obligatoria para todos los instaladores y subcontratas, según lo establecido en los contratos firmados. 4. Se informa de que 1.214 personas podrían haberse visto afectadas por este incidente de seguridad, al ser este el número de accesos activos de clientes en la planta correspondiente a la instalación del reclamante. 5. Los datos personales expuestos a raíz del acceso indebido incluyen nombre y apellidos, dirección y datos de consumo. Son los datos accesibles para el personal técnico a través de la app Fusión Solar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/31 6. La principal consecuencia del incidente es la pérdida de confidencialidad de los datos, aunque el propio reclamante ha manifestado que no ha hecho un uso indebido de los datos a los que accedió, más allá del propio acceso puntual. 7. Entre las acciones tomadas para solucionar el incidente y reducir su impacto, se incluye la verificación de que el acceso indebido se resolvió con el cambio de contraseñas del 9 de agosto. Se ha revisado si hay otros casos similares, reforzado la formación en seguridad para técnicos, rescindido el contrato con ***EMPRESA.1, y se ha informado a GALP ENERGÍA conforme al artículo 33 del RGPD. 8. Respecto a las medidas de seguridad adoptadas antes del incidente, Verne recuerda que la responsabilidad sobre la seguridad técnica de la app recae en GALP ENERGÍA. No obstante, ha colaborado plenamente con ellos en todo momento y está dispuesto a facilitar toda la ayuda necesaria en caso de requerirse evaluaciones de impacto u otras acciones de protección de datos. 9. Sobre la comunicación a los afectados, Verne señala que, según el artículo 34 del RGPD, corresponde al responsable del tratamiento (GALP ENERGÍA) informar a los interesados si hay riesgo para sus derechos y libertades. Verne, como Encargado, permanece disponible para colaborar en cualquier actuación que deba llevarse a cabo al respecto. 10. En relación con la notificación del incidente a la Autoridad de Control, se aclara que esa obligación también corresponde al responsable del tratamiento (GALP ENERGÍA), según el artículo 33.1 del RGPD. Verne notificó la brecha a GALP ENERGÍA en cuanto tuvo conocimiento, cumpliendo con su deber de informar sin dilación indebida. 11. Para evitar que se repitan incidentes similares en el futuro, Verne tiene previsto reforzar las medidas organizativas mediante formación específica durante el onboarding del personal técnico, así como ampliar las formaciones periódicas en protección de datos, seguridad y confidencialidad. 12. Finalmente, Verne reitera que se trata de un error humano puntual cometido por un técnico subcontratado, y destaca que, en general, sus 120 técnicos en toda España cumplen adecuadamente con los protocolos y hacen un uso responsable de los datos y medios proporcionados por la empresa. QUINTO: Con fecha 21 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SEXTO: Con fecha 8 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.
5. f)del RGPD, tipificada en el artículo 83.5.
6. a)del RGPD, y por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
7. a)del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31 Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que se ha vulnerado el principio de culpabilidad, no se le puede imputar la responsabilidad de la brecha de seguridad, ya que la acción que provocó dicha brecha fue realizada por un subcontratista de un encargado del tratamiento. Según GALP ENERGÍA, el error se debió a una actuación indebida del técnico instalador de ***EMPRESA.1, argumentando que este incumplió con las instrucciones establecidas. Por último, “en caso de no apreciarse una total falta de culpabilidad”, se realizan una serie de alegaciones respecto a las circunstancias agravantes, respecto a circunstancias que GALP ENERGÍA considera que se han tenido en cuenta erróneamente o no han sido tenidas en cuenta. OCTAVO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: GALP ENERGÍA es una empresa dedicada, entre otras actividades, a la comercialización, instalación y mantenimiento de placas solares fotovoltaicas. Los sistemas comercializados por GALP ENERGÍA incorporan un inversor de la marca Huawei para convertir la corriente continua en alterna, el cual requiere de un software proporcionado por el fabricante mediante la aplicación “Fusión Solar” que permite su monitorización y gestión. (…) SEGUNDO: Para el desarrollo de su actividad, GALP ENERGÍA se sirve de terceras empresas y éstas, a su vez, de otros subcontratistas. Entre las empresas contratadas por GALP ENERGÍA figura la entidad Verne Telecom, S.L., con la que formalizó un “Contrato marco para la instalación de sistemas fotovoltaicos”, suscrito en fecha 26/09/2022, el cual incluye un acuerdo de encargo de tratamiento de datos personales que regula el flujo de los datos personales derivados de la ejecución de los servicios previstos en el contrato. Verne Telecom, S.L. subcontrató la realización de algunos trabajos con la entidad ***EMPRESA.1, S.L. mediante contrato de fecha 01/03/2023. TERCERO: El reclamante contrató con GALP ENERGÍA la instalación de la solución fotovoltaica en su domicilio, realizándose dicha instalación por Verne Telecom, S.L. en fecha 28/12/2022. CUARTO: Con fecha 01/08/2023, con ocasión de una asistencia técnica por problemas de acceso, el reclamante recibió del técnico el nombre de usuario y credenciales de acceso a “Fusión Solar” correspondientes a Verne Telecom, S.L. (nombre de la cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31 “***CUENTA.1” y nombre de usuario para acceder “***USUARIO.1”). Ello permitió al reclamante acceder a la información disponible en la aplicación relativa a todos los clientes de GALP ENERGÍA asignados a Verne Telecom, S.L. (1214 clientes), que incluye datos personales relativos a nombre, apellidos, dirección postal, datos de consumo o generación eléctrica y estado de la instalación. QUINTO: La entidad Verne Telecom, S.L. ha informado a esta AEPD que, con fecha 08/08/2023, se realizó un cambio programado de contraseñas de acceso a “Fusión Solar”. SEXTO: GALP ENERGÍA ha informado a esta AEPD que, con anterioridad al incidente reseñado en el Hecho Probado Cuarto, disponía de las siguientes medidas: “
8. a)Establecimiento de un contrato de encargo del tratamiento con indicaciones específicas de medidas de seguridad y medidas técnicas para el encargado.
9. b)Limitación de acceso a los datos de clientes de GALP ENERGÍA únicamente a personal autorizado (control de perfiles).
10. c)Control de acceso a datos por parte de los instaladores para que únicamente el encargado del tratamiento concreto tenga acceso a los datos que le son necesarios para la prestación del servicio.
11. d)Establecimiento de accesos con contraseñas a los equipos informáticos y aplicaciones en las que se encuentran los datos personales de los clientes.” SÉPTIMO: Según evidencia recogida por esta Agencia con fecha 13 de septiembre de 2023, la política de privacidad de Huawei Digital Power Technologies Co. Ltd, en el que se dice lo siguiente (original en inglés, traducción no oficial): “El sistema de gestión fotovoltaica inteligente FusionSolar, también conocido como sistema de gestión SmartPVW (SmartPVMS para abreviar), se utiliza en la solución fotovoltaica inteligente Huawei FusionSolar. El SmartPVMS permite el instalador del dispositivo fotovoltaico (en lo sucesivo, el «instalador») y el propietario del dispositivo fotovoltaico (en lo sucesivo, el "propietario") para gestionar los dispositivos fotovoltaicos inteligentes de Huawei. El SmartPVMS proporciona servicios como el acceso, la supervisión y la gestión de dispositivos fotovoltaicos. […] 1. ¿Cómo recopila y utiliza este servicio sus datos personales? ... Si usted es un propietario, el instalador obtendrá sus datos personales durante la creación de una cuenta para usted o cuando utiliza el sitio web de este servicio después de obtener su consentimiento previo. Los datos personales recopilados por este servicio varían en función del escenario del servicio […]” OCTAVO: Con fecha 30/10/2023, Verne informó a GALP ENERGÍA lo siguiente: “Ante la petición del cliente de acceder a sus consumos y producciones, nuestro técnico le facilitó la genérica por error. Al parecer el Cliente NO disponía de la propia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31 Modificamos periódicamente las contraseñas de acceso, particularmente en este caso, se denuncia el 1 de Agosto y tenemos un Reset el 9 de agosto. No teníamos notificación de este incidente hasta que nos lo habéis escalado, la Instalación se ejecutó el 28/12/2022. El recurso técnico que realizó el error, no se encuentran activos en Verne. Quedamos a vuestra disposición.” NOVENO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad GALP ENERGÍA INDEPENDIENTE, S.L. es una pequeña empresa constituida en el año 2020, y con un volumen de negocios de 6.494.568 euros en el año 2021. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones aducidas por GALP ENERGÍA al acuerdo de inicio En relación con las alegaciones aducidas por GALP ENERGÍA al acuerdo de inicio, se procede a dar respuesta a las mismas según el orden en que se exponen en su escrito: - PRIMERA y SEGUNDA. Vulneración de los principios de culpabilidad y personalidad. GALP ENERGÍA sostiene que no se le puede imputar la responsabilidad de la brecha de datos, ya que la acción que provocó dicha brecha fue realizada por un subcontratista de un encargado del tratamiento. La empresa considera que no debería ser considerada responsable de las acciones negligentes de otros actores. Sin embargo, los hechos demuestran que GALP ENERGÍA no implementó correctamente las medidas de seguridad necesarias para prevenir el acceso no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 autorizado a los datos de sus clientes, específicamente en relación con el incidente provocado por un instalador de su encargado del tratamiento Verne. Según se indica en el Fundamento de Derecho IV, la infracción imputada está relacionada con las obligaciones específicas que el RGPD exige a los responsables del tratamiento en orden a adoptar medidas adecuadas para garantizar la confidencialidad de los datos personales. El acceso a los datos personales de los clientes de GALP ENERGÍA por parte del reclamante no se hubiese producido si las medidas adoptadas hubiesen sido las adecuadas en función de los riesgos previsibles. En todo caso, la responsabilidad de GALP ENERGÍA, como responsable del tratamiento, por los actos realizados por sus encargados de tratamiento, en este caso Verne, viene confirmada por la jurisprudencia del TJUE, el cual, en sentencia de 5 de diciembre de 2023, dictada en el asunto C-683/21, dispone que: “84 Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en la que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que ha recurrido, quien ha efectuado el tratamiento por cuenta suya”. Esta responsabilidad conlleva la obligación de supervisión de los tratamientos de datos efectuados por sus encargados. En este mismo sentido se ha pronunciado la Audiencia Nacional, en sentencia de 29 de octubre de 2024, rec. 1824/2021, en la que se establece que el responsable del tratamiento: “tiene la obligación de controlar el tratamiento de sus colaboradores, implantando todo tipo de sistemas y medidas de seguridad y monitoreo que verifiquen el cumplimiento de sus instrucciones y el cumplimiento de la normativa de protección de datos, y en virtud del principio de responsabilidad proactiva (artículo 5.2 RGPD) ser capaz de demostrarlo”. Además, el artículo 28.1 del RGPD establece que: "Cuando un tratamiento vaya a ser realizado por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado del tratamiento que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado." Esto significa que GALP ENERGÍA sigue siendo el responsable último de garantizar que todos los actores en la cadena de tratamiento (incluidos subcontratistas del encargado) cumplan con el RGPD. Y el apartado 4 del mismo artículo 28 del RGPD establece que: "Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable del tratamiento, las mismas obligaciones en materia de protección de datos que se establecen en el contrato entre el responsable y el encargado se impondrán a dicho otro encargado." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 Por lo que GALP ENERGÍA, en su calidad de responsable del tratamiento, tiene la obligación de supervisar y asegurarse de que tanto su encargado directo como cualquier subcontratista actúen conforme a la normativa de protección de datos, así como la obligación de implantar las medidas que resulten adecuadas en función de los riesgos que conlleva el tratamiento de datos. Por todo lo expuesto, se desestima la presente alegación - “TERCERA. Subsidiariamente, vulneración del principio non bis in idem y del principio de especialidad Teniendo en cuenta el sentido de la presente propuesta de resolución, esta alegación pierde su virtualidad. “3.3. Afectación a los derechos de Energía Independiente como interesada.” En este punto, GALP ENERGÍA defiende que, en la medida en que la calificación de los hechos se reconduzca a una única infracción, y que ello conlleve una minoración del importe de la sanción correspondiente, la exigencia del reconocimiento de la responsabilidad en el momento previo a la presentación de alegaciones supone un potencial perjuicio a mi cliente concretado en la pérdida de un derecho legalmente atribuido. Esta consideración es errónea, pues respecto a las infracciones recogidas en el acuerdo de inicio se admite el reconocimiento de responsabilidad por los hechos que se imputan a cada una de ellas con carácter independiente. Por otra parte, la limitación del plazo para el reconocimiento de la responsabilidad durante el plazo concedido para la presentación de alegaciones está prevista en la norma. Tal y como se advertía en el acuerdo de inicio, el reconocimiento de responsabilidad debe manifestarse iniciado el procedimiento, durante el plazo para formular alegaciones a la apertura del procedimiento. Ello de conformidad con lo establecido en el citado artículo 85 de la Ley 39/2015, según el cual el reconocimiento de la responsabilidad debe producirse “iniciado el procedimiento” para que sea aplicable la reducción prevista del 20% sobre la sanción, a diferencia de lo que se establece expresamente en relación con el descuento por pago voluntario de la sanción, que podrá aplicarse cuando dicho pago se produzca en cualquier momento anterior a la resolución. Si el citado precepto ha distinguido las condiciones en los dos modos de terminación voluntaria del procedimiento indicados, ninguna interpretación deberá igualar estas condiciones como si no existieran diferencias en su regulación. El artículo 85.2 de la LPACAP se refiere de manera expresa y única al pago voluntario, y no al reconocimiento de la responsabilidad, determinando que dicho pago se podrá producir en cualquier momento anterior a la resolución. Así, no cabe distinguir u obligar donde la Ley no distingue u obliga. A mayor abundamiento, el artículo 85.3 indica que “En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción”, lo que supone que ambas deben estar en el acuerdo de inicio (remisión del artículo 85.1 al 64 de la LPACAP), de modo que no contempla que ambas reducciones estén en la propuesta de resolución o que se puedan abonar acumulativamente en cualquier momento anterior a la resolución. Así lo entiende también la Audiencia Nacional, Sala de lo Contencioso-administrativo, Sección 1ª, que en su Sentencia de 05/02/2021, Rec. 41/2019, indica que el pago voluntario puede producirse en cualquier momento anterior a la resolución, mientras que la reducción por reconocimiento de la responsabilidad está ligada al acuerdo de inicio y a la previsión del artículo 64.2.
12. d)de la Ley 39/2015: “En cuanto a la infracción de lo previsto en los artículos 64 y 85 de la Ley 39/2015, que contemplan la posibilidad de reconocer la responsabilidad en el momento de la notificación de la resolución de inicio del procedimiento (art. 64.2.
13. d)y acogerse a las reducciones previstas en el artículo 85, en el acuerdo de inicio del procedimiento hay una expresa referencia a esos artículos, indicando que no resultan de aplicación los apartados 2 y 3 del artículo 85; además, en ningún momento el demandante ha mostrado su voluntad de reconocer la responsabilidad por la infracción sancionada y acogerse a la posibilidad establecida en dichos artículos (el pago voluntario puede hacerse en cualquier momento anterior a la resolución), por lo que procede desestimar también esta alegación”. También la finalidad es distinta para cada uno de aquellos modos de terminación del procedimiento. En el caso del reconocimiento de la responsabilidad (artículo 85.1) se persigue el logro de una mayor eficacia de la actuación administrativa con una finalización rápida del procedimiento que lleva asociada, además, la renuncia al recurso en vía administrativa. Esto implica un ahorro de tiempo, esfuerzo y, por tanto, de costes que bonifican ese reconocimiento de responsabilidad con una rebaja del 20%. Con la posición defendida por GALP ENERGÍA no se consigue esa finalidad, por cuanto el procedimiento se instruiría en su totalidad, y por eso no se obtiene esa rebaja. En el caso del pago voluntario (artículo 85.2) la finalidad es diferente, ya que en este caso se habla de “en cualquier momento anterior a la resolución”. Por todo lo expuesto, se desestima la presente alegación - “CUARTA. Circunstancias aplicables al caso individual, conforme al art. 83.2 RGPD” “4.1. Sobre los criterios de graduación efectivamente recogidos en el acuerdo” Considerando que se propone el archivo de la infracción por vulneración del artículo 32 del RGPD, nos referiremos exclusivamente a esta cuestión en relación con la infracción del artículo 5.1.
14. f)del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/31 Respecto a la circunstancia relativa a la “naturaleza, gravedad y duración de la infracción” del art. 83.2.
15. a)del RGPD, GALP ENERGÍA considera que no puede ser considerado como elemento agravante, porque el RGPD contempla esta circunstancia como un elemento del tipo. Sin embargo, al fijar el importe de la multa que corresponde imponer se ha de considerar, en primer término, que la categoría de la infracción cometida está comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5. Por otra parte, dicho artículo 83.5 agrupa varios tipos de conductas diferentes. En este caso, la disposición infringida afecta a un principio básico del derecho a la protección de datos personales, regulado en el artículo 5.1.
16. f)(“integridad y confidencialidad”), cuya violación entraña un riesgo importante para los derechos de los interesados. A esto se refiere específicamente el artículo 83.2.
17. a)cuando establece que en la determinación de la multa se tendrá en cuenta la “naturaleza” de la infracción. En este caso, la conducta de GALP ENERGÍA ha provocado, de forma directa, la lesión del bien jurídico protegido por el artículo 5.1.
18. f)del RGPD, al no haber adoptado medidas adecuadas que hubiesen impedido el acceso a los datos por parte de terceros. La consecuencia directa es una pérdida de control de los datos personales por parte de sus titulares. “4.2. Sobre los criterios de graduación no tomados en consideración por esta Agencia” GALP ENERGÍA afirma que esta Agencia no ha tomado en consideración las siguientes circunstancias, dándose respuesta a cada una de ellas: 1. GALP ENERGÍA ya no lleva a cabo el tratamiento derivado de las instalaciones fotovoltaicas, encargándose únicamente de su mantenimiento técnico, por lo que ya no se crea ningún usuario más de Fusión Solar desde el día 31 de diciembre de 2023. Este supuesto cese del tratamiento de datos personales no exonera de la responsabilidad por infracciones cometidas con anterioridad a dicha fecha. Además, no ha acreditado los cambios operados ni explicado como estos cambios inciden en su actividad, la cual requiere del acceso a la información relativa la instalación disponible en Fusión Solar por su parte y por parte del cliente, según la propia GALP ENERGÍA ha informado. 2. En caso de que no resulte un eximente, GALP ENERGÍA considera que debe disminuirse el grado de responsabilidad por el hecho de que la infracción pueda atribuirse a los actos realizados por Verne, encargado del tratamiento. Sobre esta cuestión, se estima suficiente con remitirnos a lo indicado al respecto en los Fundamentos de Derecho siguientes. Se advierte que el artículo 28 del RGPD establece que el responsable del tratamiento es quien debe garantizar que los encargados cumplan con las obligaciones en materia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 de protección de datos. El hecho de que Verne haya sido el encargado del tratamiento no exime a GALP ENERGÍA de su responsabilidad, ya que sigue siendo el responsable de asegurar la confidencialidad de los datos personales conforme al RGPD. Además, la jurisprudencia ha dejado claro que los responsables del tratamiento no pueden delegar completamente sus obligaciones en un encargado, sino que deben supervisar activamente su cumplimiento. La falta de un control adecuado por parte de GALP ENERGÍA sobre Verne refuerza su grado de responsabilidad. En todo caso, no se sanciona por actos cometidos por el encargado del tratamiento, es decir, no se sanciona por el simple hecho de que un instalador comunicara a un cliente, el reclamante, la contraseña de acceso atribuida a la empresa Verne, sino por la falta de adopción de medidas que hubiesen considerado, en general, los riesgos existentes en relación con las credenciales de acceso e impedido el acceso a la información por el reclamante u otro tercero. La adopción de estas medidas es responsabilidad del responsable del tratamiento, en este caso, GALP ENERGÍA. 3. Que Verne contaba con un procedimiento de cambio de contraseñas de acceso, el cual ejecutó previamente a conocer la denuncia planteada por el reclamante, lo que denota diligencia en la actuación respecto de la infracción. Si bien la existencia de un procedimiento de cambio de contraseñas es una medida que contribuye a una mayor seguridad, ello no anula la infracción ni implica que las medidas técnicas y organizativas hayan sido adecuadas desde el inicio. En todo caso, no consta en las actuaciones que este cambio de contraseñas hubiese limitado efectivamente el acceso a los datos personales por el reclamante. Según ha informado GALP ENERGÍA, una vez habilitado el acceso del cliente a Fusión Solar, éste tiene la opción de modificar la contraseña de acceso que le fue asignada inicialmente por GALP ENERGÍA al crear el perfil. 4. Que la duración de la brecha de seguridad fue únicamente de 8 días, gracias a las medidas de seguridad de cambio de contraseñas aplicada por Verne. La duración de la brecha de datos personales no está acreditada en las actuaciones. 5. Que GALP ENERGÍA ha colaborado en todo momento con esta Agencia. La cooperación con la autoridad de control es un deber del responsable del tratamiento. Sobre esta cuestión se pronuncia el Comité Europeo de Protección de Datos en las Directrices 04/2022, ya mencionadas, en los términos siguientes: “…que la obligación general de cooperar incumbe al responsable y al encargado con arreglo al artículo 31 del RGPD, y que la falta de cooperación puede dar lugar a la aplicación de la multa prevista en el artículo 83, apartado 4, letra a), del RGPD. Por lo tanto, debe considerarse que el deber ordinario de cooperación es obligatorio y, por lo tanto, debe considerarse neutral (y no un factor atenuante)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/31 6. Tras el conocimiento de los hechos acaecidos, GALP ENERGÍA informó a todos los instaladores y les dio instrucciones específicas sobre la seguridad de las contraseñas, promoviendo que Verne comunique a su organización un plan de seguridad de la información y las prácticas recomendadas. El hecho de que GALP ENERGÍA haya dado instrucciones a los instaladores después de conocer la infracción no corrige la falta de medidas de previas. El principio de responsabilidad proactiva (art. 5.2 RGPD) exige que los responsables implementen medidas de adecuadas desde el inicio del tratamiento de datos y no únicamente como una respuesta a una infracción ya cometida. De la misma forma, el RGPD exige que la protección de los datos se base en el principio de seguridad desde el diseño y por defecto (artículo 25 del RGPD). Por lo tanto, las medidas correctivas adoptadas posteriormente no eliminan la responsabilidad de GALP ENERGÍA por no haber implementado desde el principio las medidas de seguridad adecuadas. Por tanto, la implementación de instrucciones sobre seguridad tras la detección de la brecha es insuficiente para justificar la inexistencia de la infracción. “4.3. Sobre la desproporción del importe de la sanción propuesta” Según GALP ENERGÍA, en caso de no apreciarse una total falta de culpabilidad, de conformidad con las alegaciones del presente escrito, en cualquier caso, debería apreciarse una cualificada disminución de su culpabilidad, lo que determinaría la procedencia de reducir la gravedad de las infracciones a ella atribuidas y, por ende, a reducir la sanción a imponer. En respuesta a este argumento, cabe señalar que la gravedad de la infracción debe analizarse en función del incumplimiento objetivo y que las circunstancias que concurren en el caso han sido suficientemente motivadas. Por todo lo expuesto, se desestima la presente alegación. III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; El artículo 4.2) del RGPD, define «tratamiento» como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/31 “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. De acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que GALP ENERGÍA realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre, apellido, dirección y otros datos de la instalación fotovoltaica, entre otros tratamientos. GALP ENERGÍA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Por su parte, el artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse puesto en conocimiento de un tercero los datos personales de clientes de GALP ENERGÍA que son objeto de tratamiento en el desarrollo de su actividad empresarial. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
19. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32 del RGPD, que reglamentan la seguridad del tratamiento. IV Obligación incumplida. Principio de integridad y confidencialidad El artículo 5.1.
20. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 (…)
21. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. Este principio atribuye al responsable de cualquier tratamiento de datos personales la obligación, la garantía, de impedir tratamientos no autorizados o ilícitos de estos datos, su pérdida o destrucción. Dicho de otro modo, un responsable del tratamiento no debe tratar datos personales si no está en disposición de garantizar la confidencialidad e integridad de estos e impedir que un tercero acceda a datos que no le conciernen, así como evitar su pérdida o destrucción. En este sentido, el considerando 39 del RGPD, en clara referencia al principio recogido en el artículo 5.1.
22. f)del RGPD, dispone que “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Y es que la pérdida de confidencialidad y de integridad supone un riesgo, que materializado puede conllevar daños y perjuicios físicos, materiales o inmateriales para las personas físicas (considerando 85 del RGPD). Conforme a lo antedicho la finalidad del artículo 5.1.
23. f)del RGPD es la de garantizar la confidencialidad e integridad de los datos personales. El responsable del tratamiento está obligado a tratar los datos personales de tal modo que garantice una seguridad adecuada, “incluida la protección contra el tratamiento no autorizado o ilícito” y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. El acceso no autorizado a datos personales por un tercero supone que éstos puedan ser utilizados para usos no conocidos, incluso fraudulentos, conllevando una pérdida total y absoluta de control sobre los mismos. Esta pérdida de control sobre los propios datos personales se traduce en una vulneración del derecho fundamental a la protección de datos reconocido en el artículo 18. 4 de la Constitución Española, pues tal y como ha indicado el Tribunal Constitucional (Sentencia 292/2000, de 30 de noviembre de 2000): “el derecho fundamental a la protección de datos persigue garantizar a la persona un poder de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/31 control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado (…)”, toda vez que el derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos, que solo pueden estar en manos de personas autorizadas por alguna base de licitud prevista en la normativa de protección de datos. La garantía impuesta por el ordenamiento jurídico se logrará a través de la aplicación de medidas técnicas u organizativas apropiadas, de todo tipo. No son estrictamente o sólo medidas de seguridad. Diversas y múltiples son las medidas técnicas y organizativas que no son de seguridad y que puede implementar el responsable del tratamiento como cauce para garantizar este principio. En este sentido, la Guía de la AEPD sobre “Gestión del riesgo y evaluación de impacto en tratamientos de datos personales”, dispone que, “Como interpreta la Declaración WP218, hay que subrayar que abordar los riesgos que pudiera entrañar un tratamiento de datos para los derechos y libertades de las personas no puede limitarse a aplicar exclusivamente medidas de seguridad. Por lo tanto, la gestión de los riesgos de seguridad es una más de las actividades para la gestión de los riesgos para los derechos y libertades y se tiene que supeditar a esta última. Además, desde el punto de vista del RGPD, las medidas de mitigación han de estar orientadas a reducir el impacto y la probabilidad de que las brechas de datos personales afecten al interesado”. Si sólo se tuvieran en consideración en relación con el art. 5.1.
24. f)del RGPD las medidas de seguridad, sería tanto como simplificar la esencia del RGPD cuyo cumplimiento no se limita a la implantación de medidas técnicas y organizativas de seguridad; significaría, en nuestro caso, reducir la garantía exigida mediante el principio de integridad y confidencialidad a su logro únicamente con medidas de seguridad. Por supuesto que las medidas técnicas u organizativas adecuadas a las que hace mención el art. 5.1.
25. f)del RGPD pueden ser medidas de seguridad, pero no únicamente. En el presente caso, según los hechos expuestos anteriormente, la parte reclamante tuvo acceso a los datos personales de 1.214 clientes de GALP ENERGÍA, existentes en su base de datos, cuando, con fecha 01/08/2023, la empresa Verne, subcontratada por GALP ENERGÍA, facilitó al reclamante el usuario y contraseñas de acceso a la aplicación Fusión Solar correspondiente a la propia entidad Verne, y no unas credenciales específicas del reclamante asociadas a su propio perfil, posibilitando el acceso por éste a la información de los clientes asignados a Verne, que incluye datos personales relativos a nombre, apellidos, dirección postal, datos de consumo o generación eléctrica y estado de la instalación. . La documentación obrante en el expediente evidencia la falta de adopción de medidas de carácter técnico y organizativas por GALP ENERGÍA para la gestión de usuarios y contraseñas de sus clientes, que determinaron el acceso por el reclamante a la información indicada. La responsabilidad de GALP ENERGÍA viene determinada por la brecha de datos personales, ante la ausencia de medidas básicas en la gestión de alta de usuarios en la aplicación Fusión Solar. Tampoco se justifica la necesidad de que el técnico de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/31 instalación tuviera acceso a los datos de todos los clientes de GALP ENERGÍA en todo momento. En contestación al traslado efectuado por esta Agencia, GALP ENERGÍA atribuye la brecha de seguridad a un error de un trabajador de la empresa que le prestaba servicios: “En este caso concreto, tras la petición de acceso por el reclamante, el técnico instalador de Verne le facilitó, por error, el usuario y las credenciales de acceso generales de Verne a Fusión Solar en vez de trasladar la petición a Galp Solar para la creación del perfil por los cauces habituales (…) Este hecho solo puede ser calificado como error o mala praxis del instalador de Verne, que actuó sin seguir las instrucciones dadas a tal efecto, así como las medidas de confidencialidad y seguridad de obligada observancia y cumplimiento en virtud del acuerdo formalizado con Galp Solar”. Sin embargo, lo cierto es que, la documentación aportada por GALP ENERGÍA y las circunstancias que se ponen de manifiesto acreditan la falta de medidas técnicas y organizativas adecuadas para evitar el incidente acaecido. GALP ENERGÍA viene obligada a adoptar medidas técnicas y organizativas, de todo tipo, en función de los riesgos previsibles y, entre ellos, debe considerarse la posibilidad de un error como el cometido por el instalador, de tal forma que, de materializarse una incidencia de este tipo, el riesgo quede mitigado y la información no se vea comprometida. Son muchas las situaciones en las que pueden verse involucradas las credenciales de acceso y todas ellas deben estar previstas por la organización del responsable a la hora de adoptar medidas para que, aunque se pierdan las credenciales o contraseñas o se consigan por un tercero, en la forma que sea, la brecha de datos personales no se produzca. En este caso, son muchas las debilidades que se aprecian en el sistema de información de GALP ENERGÍA. Muchas de ellas están directamente relacionadas con el presente caso y el daño producido, debiendo destacarse especialmente un mal diseño de los perfiles de usuarios que pueden acceder al sistema de información de GALP ENERGÍA. Así resulta si consideramos que los instaladores no accedían a la información con un perfil propio, sino con el de la organización para la que prestaban servicio; y no solo a la información necesaria para el desempeño de las tareas que le son propias, sino a toda la información relacionada con la empresa y sin límite temporal alguno. Esta deficiencia del sistema dispuesto por GALP ENERGÍA se ve multiplicada si atendemos al elevado número de empresas colaboradoras con las que cuenta en todo el territorio nacional, a las que deben sumarse todas las subcontratadas por estas empresas colaboradoras. Así ocurrió en el presente caso, en el que una acción del instalador de una empresa subcontratista puso en riesgo los datos personales de todos los clientes de GALP ENERGÍA de la provincia de Alicante, asignados a una de las entidades contratadas por ésta, en este caso, Verne. No existe, por tanto, un verdadero control de accesos ni medida alguna de limitación de acceso en función del perfil del usuario concreto que deba acceder al sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/31 Las debilidades expuestas anteriormente en relación con el sistema diseñado por GALP ENERGÍA para el control de acceso a la información y la garantía de confidencialidad de los datos se muestran igualmente si analizamos las medidas dispuestas por dicha entidad con anterioridad al incidente que motiva las presentes actuaciones. Según el detalle facilitado por GALP ENERGÍA, las medidas de seguridad de los tratamientos de datos personales adoptadas con anterioridad al incidente sobre perfiles de usuarios, limitación y control de accesos, indican simplemente que el acceso se realiza mediante contraseña y limitado al personal autorizado. De la misma forma, respecto de los encargados del tratamiento señala que solo tienen acceso a los datos necesarios para la prestación del servicio. No obstante, nada concreta sobre la discriminación de perfilados en función de las necesidades de acceso a la información de los distintos usuarios, si es que existe, o sobre el nivel de información accedida en función de los perfiles asignados; nada tampoco sobre cómo se controlan los accesos o la disposición y gestión de contraseñas. En todo caso, se produce una mala gestión de las credenciales de acceso desde el momento mismo en que un instalador de una empresa subcontratada, ***EMPRESA.1, S.L., dispone del usuario y contraseña de acceso general asignado a Verne, una de las empresas que presta servicios a GALP ENERGÍA. Por último, en relación con las cuestiones analizadas en este caso, interesa traer a colación la sentencia dictada por el TJUE, de fecha 14 de diciembre de 2023, asunto C-340/21 (VB), en la que se declara que la carga de la prueba del cumplimiento de las obligaciones derivadas de los artículos 5, apartado 1, letra f), y 32 del RGPD corresponde al responsable del tratamiento, en virtud del principio de principio de responsabilidad proactiva enunciado en el artículo 5, apartado 2, del RGPD y desarrollado en su artículo 24. “49 A este respecto, procede recordar, en primer lugar, que el artículo 5, apartado 2, del RGPD establece un principio de responsabilidad en virtud del cual el responsable del tratamiento es responsable del respeto de los principios relativos al tratamiento de datos personales enunciados en el apartado 1 de ese artículo y estipula que este responsable debe ser capaz de demostrar la conformidad del tratamiento con dichos principios. 50 En particular, el responsable del tratamiento debe, de conformidad con los principios de integridad y de confidencialidad de los datos personales establecidos en el artículo 5, apartado 1, letra f), de dicho Reglamento, garantizar que estos datos son tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas y debe ser capaz de demostrar la conformidad con los referidos principios. 51 Asimismo, procede señalar que tanto el artículo 24, apartado 1, del RGPD, en relación con el considerando 74 de este, como el artículo 32, apartado 1, del mismo Reglamento obligan al responsable del tratamiento, para todo tratamiento de datos personales realizado por él mismo o por su cuenta, a aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/31 52 Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD se desprende inequívocamente que la carga de la prueba de que los datos personales se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU: C:2023:373, apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C-252/21, EU:C:2023:537, apartado 95].” De conformidad con las evidencias de las que se dispone en esta propuesta de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a GALP ENERGÍA, por vulneración del artículo 5.1.
26. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
27. f)del RGPD La citada infracción del artículo 5.1.
28. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
29. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
30. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Propuesta de sanción por la infracción del artículo 5.1.
31. f)del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/31 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
32. a)a
33. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
34. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
35. b)la intencionalidad o negligencia en la infracción;
36. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
37. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
38. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
39. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
40. g)las categorías de los datos de carácter personal afectados por la infracción;
41. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
42. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
43. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
44. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
45. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
46. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
47. a)El carácter continuado de la infracción.
48. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
49. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
50. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/31
51. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
52. f)La afectación a los derechos de los menores.
53. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
54. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa. Procede cuantificar la sanción que se propone, considerando para ello que la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de GALP ENERGÍA, que en el ejercicio 2021 ascendió a 6.494.568 euros. En primer término, se tiene en cuenta la categoría de la infracción cometida, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5, castigando la conducta con una multa máxima de 20 millones de euros o, tratándose de una empresa, con una multa por una cuantía equivalente al 4% como máximo de su volumen de negocio anual. Según el citado precepto, al establecer el importe máximo aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma. En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el año 2021 a 6.494.568 euros, el importe de la multa que procede imponer estará necesariamente situado entre 0,00 euros y 20.000.000 euros. De acuerdo con los preceptos transcritos, a efectos de fijar el importe final de la sanción a imponer en el presente caso por la infracción del artículo 5.1.
55. f)del RGPD de la que se responsabiliza a GALP ENERGÍA, tipificada en el artículo 83.5.
56. a)del RGPD, se estiman concurrentes los siguientes factores: 1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en consideración las circunstancias siguientes: . Artículo 83.2.
57. a)del RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . Gravedad de la infracción: . El número de interesados afectados: la infracción afecta a un número elevado de interesados, habiéndose vulnerado la confidencialidad de 1214 clientes de GALP ENERGÍA implicados en la brecha de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/31 . Artículo 83.2.
58. g)del RGPD: “las categorías de los datos de carácter personal afectados por la infracción”. La información accedida por la parte reclamante solo incluye datos personales relativos a nombre, apellidos, dirección postal, datos de consumo o generación eléctrica y estado de la instalación. 2. Se consideran los siguientes factores de graduación en calidad de agravantes: . Artículo 83.2.k, del RGPD en relación con el artículo 76.2, letra
59. b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. El desarrollo de la actividad empresarial que desempeña GALP ENERGÍA requiere un tratamiento continuo de datos personales de sus clientes. Además, la incidencia se ha producido en el marco de las actividad principales y básicas de la citada entidad. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
60. f)del RGPD, permite proponer una sanción de 40.000 € (cuarenta mil euros). VII Medidas de seguridad El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
61. a)la seudonimización y el cifrado de datos personales;
62. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/31 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. De acuerdo con este precepto, el responsable del tratamiento está obligado a establecer y aplicar medidas técnicas y organizativas de seguridad, sólo de seguridad, apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Por tanto, de acuerdo con el principio de responsabilidad proactiva el responsable deberá evaluar todos los riesgos concurrentes y determinar, por sí mismo y bajo su propia responsabilidad, cuáles son las medidas de seguridad adecuadas al específico tratamiento que esté realizado. El art. 32 del RGPD, aunque relacionado con el art. 5.1.
63. f)del RGDP, no circunscribe el principio en su totalidad, resultando posible la vulneración de ambos preceptos a la vez, sin que la vulneración de uno de ellos impida la del otro. En este sentido, la Sentencia dictada el 14 de diciembre de 2023 por el Tribunal de Justicia de la Unión Europea en el asunto C-340/21, en la que el Tribunal señala lo siguiente: “Los artículos 24 y 32 del RGPD deben interpretarse en el sentido de que una comunicación no autorizada de datos personales o un acceso no autorizado a tales datos por parte de «terceros», a los efectos del artículo 4, punto 10, del mencionado Reglamento, no bastan, por sí solos, para considerar que las medidas técnicas y organizativas adoptadas por el responsable del tratamiento no eran «apropiadas» con arreglo a los citados artículos 24 y 32 (apartado 39)”. De ello se infiere que ambos preceptos son independientes. No obstante, en el presente caso, a la vista de todos los elementos concurrentes, se evidencia que la ausencia de medidas técnicas y organizativas de seguridad está directamente relacionadas con la producción de la brecha de datos personales objeto del presente procedimiento, por lo que no se ha conculcado lo dispuesto en el artículo 32 del RGPD al no haberse acreditado la ausencia de otras medidas técnicas y organizativas de seguridad distintas de las directamente relacionadas con la producción de la brecha de datos. VIII C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/31 Adopción de medidas Confirmada la infracción, de acuerdo con lo establecido en el artículo 58.2.
64. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, en la resolución que se adopte se podrá requerir a la parte reclamada para que, en el plazo de 3 MESES, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas adecuadas para garantizar la confidencialidad de los datos personales, conforme a lo establecido en el artículo 5.1.
65. f)del RGPD y con el alcance expresado en los anteriores Fundamentos de Derecho. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que el pago voluntario de la cuantía propuestas no exime de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. PROPUESTA DE RESOLUCIÓN Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a GALP ENERGÍA INDEPENDIENTE, S.L., con NIF B88602735, por la infracción del artículo 5.1.
66. f)del RGPD, tipificada en el artículo 83.5.
67. a)del RGPD, con una multa de 40.000,00 €. Que por la Presidencia de la Agencia Española de Protección de Datos se proceda al archivo, respecto de GALP ENERGÍA INDEPENDIENTE, S.L., con NIF B88602735, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/31 de la presunta infracción del artículo 32.1 del RGPD, tipificada en el artículo 83.4.
68. a)del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a GALP ENERGÍA INDEPENDIENTE, S.L., con NIF B88602735, que en virtud del artículo 58.2.
69. d)del RGPD, en el plazo de 3 meses, acredite haber procedido al cumplimiento de las medidas impuestas, conforme a lo indicado en el Fundamento de Derecho VIII. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000 € (treinta y dos mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. 926-070623 R.R.R. INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/31 ANEXO Índice del expediente EXP202314937 (…) >> SEGUNDO: En fecha 24 de junio de 2025, GALP ENERGÍA ha procedido al pago de la sanción en la cuantía de 32.000,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: En la propuesta de resolución transcrita anteriormente se propuso que, por la Presidencia de la Agencia Española de Protección de Datos se procediera al archivo, respecto de GALP ENERGÍA de la presunta infracción del artículo 32.1 del RGPD, tipificada en el artículo 83.4.
70. a)del RGPD. CUARTO: En la propuesta de resolución transcrita anteriormente se constataron los hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
71. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/31 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, GALP ENERGÍA, en fecha 24 de junio de 2025, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/31 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 40.000,00 euros. Tras haber procedido GALP ENERGÍA INDEPENDIENTE, S.L. al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 32.000,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR el archivo respecto de GALP ENERGÍA INDEPENDIENTE, S.L. de la infracción del artículo 32.1 del RGPD, tipificada en el artículo 83.4.
72. a)del RGPD. TERCERO: DECLARAR la terminación del procedimiento EXP202314937, de conformidad con lo establecido en el artículo 85 de la LPACAP. CUARTO: ORDENAR a GALP ENERGÍA INDEPENDIENTE, S.L. para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho de la propuesta de resolución transcrita en la presente resolución. QUINTO: NOTIFICAR la presente resolución a GALP ENERGÍA INDEPENDIENTE, S.L.. SEXTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
73. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/31 No obstante, conforme a lo previsto en el artículo 90.3
74. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1331-200325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es