← España

PS-00190-2024

1/56  Expediente N.º: EXP202316394 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ÍNDICE ANTECEDENTES.......................................................................................................... 2 PRIMERO: Reclamación recibida............................................................................... 2 SEGUNDO: Traslado de la reclamación..................................................................... 3 TERCERO: Admisión a trámite de la reclamación...................................................... 3 CUARTO: Contestación al traslado de la reclamación............................................... 3 QUINTO: Volumen de negocio................................................................................... 4 SEXTO: Responsable del tratamiento........................................................................ 4 SÉPTIMO: Incorporación de documentación al expediente administrativo.................4 OCTAVO: Acuerdo de inicio de procedimiento sancionador....................................... 4 NOVENO. Alegaciones al acuerdo de inicio............................................................... 5 DÉCIMO: Práctica de la prueba................................................................................. 5 DECIMOPRIMERO. Propuesta de resolución............................................................ 6 DECIMOSEGUNDO. Alegaciones a la propuesta de resolución................................ 6 HECHOS PROBADOS.................................................................................................. 6 FUNDAMENTOS DE DERECHO................................................................................... 7 I.Competencia............................................................................................................ 7 II.Cuestiones previas.................................................................................................. 8 III.Alegaciones y documentación incluidas tanto en el escrito de alegaciones al acuerdo de inicio como en la práctica de la prueba. Contestación a las cuestiones planteadas................................................................................................................ 11 1.Alegaciones al acuerdo de inicio de procedimiento sancionador....................... 11 2.Práctica de la prueba......................................................................................... 15 3.Contestación a las alegaciones y al resultado de la práctica de la prueba.......18 IV.Alegaciones a la propuesta de resolución y contestación a las mismas...............26 Previa. Antecedentes............................................................................................... 26 Primera. – Error en la valoración de la prueba y falta de motivación de las conclusiones alcanzadas.......................................................................................... 26 Segunda. Sobre el error en la tipificación de la infracción........................................ 36 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/56 Tercera. Sobre la inadmisibilidad de la responsabilidad objetiva. Vulneración del principio de culpabildad............................................................................................ 40 Cuarta. Vulneración del principio de proporcionalidad.............................................. 42 Quinta. Concurrencia de factores atenuantes no considerados............................... 43 Sexta.- Medidas correctivas..................................................................................... 45 V.Obligación incumplida: infracción del artículo 25 del RGPD.................................. 45 VI.Tipificación y calificación de la infracción del artículo 25 del RGPD..................... 51 VII.Sanción por la infracción del artículo 25 del RGPD............................................. 52 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Reclamación recibida A.A.A. (en adelante, la parte reclamante) con fecha 28 de septiembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U. con NIF A95554630 (en adelante, la parte reclamada o CURENERGÍA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que: “A través de mi correo personal estoy recibiendo mensajes de esta empresa ( CURENERGÍA, Grupo Iberdrola ) se trata de una persona que desconozco, debe una cantidad de dinero y me están haciendo llegar casi todos los meses un aviso de impago, por ello, en esos mensajes aparecen su nombre al completo, dirección personal, numero de cliente y numero de factura, están revelando parte de datos sensibles a mí, que no tengo porque saber que esa persona con nombre y apellidos debe un dinero a curenergia. Intuyo que hay una brecha en su seguridad o podría también, que algún empleado ha puesto mi correo personal en la ficha de ese cliente, si no es automático es manual, aun así pido que se resuelva este problema de datos sensibles, imagino que esa persona desconoce estos hechos a no ser que CURENERGÍA contacte por otros medios, lo desconozco”. Aporta copia de los correos electrónicos dirigidos por ***EMAIL.1 al correo electrónico del reclamante, ***EMAIL.2: - Correo de 2 agosto de 2023 a las 10:09 horas en el que se informa del pago pendiente de una deuda de B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/56 - Correo de 6 de septiembre de 2023 a las 13:17 horas; en el que CURENERGÍA informa a un usuario no especificado de que ha resuelto una incidencia producida en una dirección determinada de la localidad de ***LOCALIDAD.1. SEGUNDO: Traslado de la reclamación De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue remitido por vía electrónica y recogido por la entidad reclamada en fecha 27/11/2023, como consta en el acuse de recibo que obra en el expediente. No recibiendo respuesta, el 15/02/24 se reitera dicho requerimiento, que fue recogido por la reclamada en fecha 19/02/24, tal y como consta en el acuse de recibo adjunto al expediente. TERCERO: Admisión a trámite de la reclamación Con fecha 28 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Contestación al traslado de la reclamación Con fecha 07/05/2024 se recibe en esta Agencia escrito de respuesta al traslado presentado por CUNENERGÍA, indicando, en síntesis, lo siguiente: - - “En este sentido, y atendiendo a la situación que interesa en la presente reclamación, se ha podido detectar que, en este caso concreto y de manera puntual, se produjo un error por parte del personal del canal colaborador de CURENERGÍA en la operativa de actualización de fichas de cliente. Concretamente, se trató de un error humano en el que un agente de dicho canal colaborador de CURENERGÍA actualizó erróneamente la ficha de otro cliente con el correo electrónico del Reclamante, al encontrarse atendiendo a ambos usuarios simultáneamente por canales distintos. Por ende, no ha sido necesario que el Delegado de Protección de Datos realizase un informe técnico o elaborase ninguna recomendación al respecto de los tratamientos sobre los que se solicita información, ya que únicamente se ha tratado de la inclusión errónea de información identificativa, habiéndose adoptado las medidas correctivas pertinentes. (…) En ese sentido, cabe destacar que con anterioridad a la reclamación remitida por esa AEPD, CURENERGÍA, en atención a la solicitud del Reclamante con fecha 28 de septiembre, ya había procedido a la subsanación del error en las fichas de los usuarios, desvinculando el correo electrónico del Reclamante de la ficha equivocada y notificándoselo así al Reclamante el 6 de noviembre de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/56 - Igualmente, resulta preciso poner de manifiesto que el Reclamante interpone su reclamación ante la AEPD el mismo día que CURENERGÍA recibe la primera noticia acerca de este incidente, sin haber otorgado a CURENERGÍA capacidad alguna de reacción con el fin de atender a su petición y corrección de su error, aspecto que como ha quedado acreditado, fue atendido de forma inmediata.” En acreditación de lo expuesto, CURENERGÍA acompaña un correo electrónico dirigido por el reclamante a la reclamada el 21 de septiembre de 2023, poniendo de manifiesto la recepción de estos correos y solicitando la rectificación de los datos personales que aparecen en la ficha de cliente de esta tercera persona, borrando el correo electrónico del reclamante, que aparece por error; así como la respuesta que manifiesta haber dado el 6 de noviembre de 2023 en la que dice haber atendido su solicitud de supresión, habiendo procedido a desvincular el dato personal de su correo electrónico del contrato anteriormente asociado sobre el que estaba recibiendo comunicaciones. QUINTO: Volumen de negocio Conforme al informe recogido de la herramienta AXESOR, la entidad CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U. es una filial del grupo CEPSA HOLDING LLC, cuyo socio único es IBERDROLA S.A, constituida en 2008, calificada como gran empresa, con más de 1.000 empleados, y con un volumen de negocios de 1.339.789.000 euros en el año 2024 SEXTO: Responsable del tratamiento Con fecha de 30 de julio de 2024, se expide Diligencia para hacer constar que en la política de privacidad que consta publicada en la dirección url: Politica de privacidad (curenergia.es), aparece que el responsable del tratamiento de los datos personales facilitados por sus clientes es CURENERGÍA, siendo la dirección de contacto a efectos de protección de datos: dpd@iberdrola.es. SÉPTIMO: Incorporación de documentación al expediente administrativo Con fecha de 14 de octubre de 2024 se expide Diligencia para unir al procedimiento la (…). OCTAVO: Acuerdo de inicio de procedimiento sancionador Con fecha 23 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

  1. d)del RGPD, tipificada en el Artículo 83.5.
  2. a)del RGPD. NOVENO. Alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/56 Notificado el citado acuerdo de inicio, el 26/12/2024, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó, en fecha de 13/01/2025 y 31/01/2025, escritos de alegaciones cuyo contenido se refleja en el Fundamento jurídico Tercero de esta resolución. DÉCIMO: Práctica de la prueba Con fecha 23/04/2025, el instructor del procedimiento acordó practicar las siguientes pruebas: “Requerir a CURENERGÍA al objeto de que información/documentación dentro del plazo otorgado: aporte la siguiente 3.1. Protocolos/ procedimientos establecidos por la empresa para la gestión del canal de actualización de las fichas de cliente. Información sobre los mecanismos y procesos seguidos de atención telefónica y a través del chat de forma simultánea. Indicación sobre qué pasos son automáticos y cuáles son manuales, y en su caso el software empleado. 3.2. Protocolos/ procedimientos establecidos por la empresa para la detección, comprobación y corrección de posibles inexactitudes de datos. Informando de cuales son manuales o automáticos, y en su caso, el software empleado para su gestión. 3.3. Protocolo de gestión y notificación de brechas y su comunicación a los empleados/agentes encargados. 3.4. Acreditación de haber comunicado a los diversos agentes y empleados de los canales encargados los protocolos/procedimientos de actuación a los que se refieren los puntos anteriores. 3.5. Contratos de encargo y/o subencargo del que denominan como “canal colaborador de CURENERGÍA en la operativa de actualización de fichas de cliente”. 3.6. Contratos de encargo y/o subencargo del que actúe para la detección, comprobación y corrección de posibles inexactitudes, en caso de existir, con indicación de qué órgano se encarga de dichas tareas. 3.7. Organigrama interno de la empresa por el que se haga constar los canales en los que está organizada la empresa, y su función principal. 3.8. Documentación que evidencie que el correo de 6-11-23 en el que se informaba al reclamante de la desvinculación de su dato se cursó y se recibió por el destinatario sin incidencias en el proceso de notificación. 3.9. Acreditación de haber procedido a la desvinculación del dato de la ficha del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/56 3.10. Comunicaciones mantenidas con dicha/s compañías para la resolución de la incidencia a la que se refiere el presente expediente. 3.11. Información y acreditación sobre las medidas adoptadas para evitar que se produzcan incidencias similares, indicando fechas de implantación y controles efectuados para comprobar su eficacia. 3.12. Acredite que ha proporcionado formación a todos los agentes encargados del canal de actualización de datos personales, acreditando que efectivamente se han realizado por los mismos todos o alguno de los cursos de formación que constan en la captura de pantalla aportada. Y en concreto, del agente que atendió al reclamante en el presente procedimiento. Deberá constar fecha y certificado de formación. 3.13. Acredite qué número de clientes de CURENERGÍA tienen datos personales registrados en las referidas fichas de clientes, en la fecha de los hechos sobre los que versa el presente expediente, a los efectos de concretar el número de afectados. O subsidiariamente, aporte los informes o balances de la empresa en los que se haga constar el número de clientes gestionados por Iberdrola en España.” Con fecha de 20/05/2025 CURENERGÍA contestó al escrito de práctica de prueba, aportando la documentación pertinente. El contenido de la contestación se reproduce en el fundamento jurídico Tercero de esta resolución. DECIMOPRIMERO. Propuesta de resolución Con fecha 6 de noviembre de 2025 se formuló propuesta de resolución, proponiendo la imposición de una multa de UN MILLÓN DE EUROS (1.000.000 €) por una infracción del artículo 25 del RGPD, tipificada en el Artículo 83.4 del RGPD. Asimismo se proponía la imposición, en virtud del artículo 58.2.
  3. d)del RGPD, de la medida de acreditar la aplicación efectiva de las medidas técnicas y organizativas de seguridad adecuadas, no solo para cumplir con la normativa, sino para demostrar su cumplimiento antes las autoridades de control e interesados. DECIMOSEGUNDO. Alegaciones a la propuesta de resolución Notificado el citado acuerdo de inicio, el 06/11/2025, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), y tras la concesión de un plazo adicional de dos días para el trámite, la parte reclamada presentó, en fecha de 27/11/2025, escrito de alegaciones cuyo contenido se refleja en el Fundamento jurídico Cuarto de esta resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/56 HECHOS PROBADOS PRIMERO: Con fecha de 2 de agosto de 2023, la parte reclamante, cliente de CURENERGÍA, recibió de esta empresa un correo electrónico que contenía datos personales de otro cliente. En concreto, se indicaba de este último: - Nombre y apellidos Existencia de una deuda frente a la empresa Cuantía de la deuda Nº referencia del contrato, número y fecha de factura SEGUNDO. La recepción de dicho correo por la parte reclamante estuvo causada por el hecho de que un empleado del encargado del tratamiento de CURENERGÍA, atribuyó erróneamente al cliente tercero la dirección de correo electrónico de la parte reclamante. Con ello, esta última recibió una comunicación dirigida a aquel. TERCERO. El error estuvo propiciado por el hecho de que dicho empleado atendía simultáneamente a dos clientes en el momento de la incorporación al sistema de la dirección de correo electrónico. Se ha acreditado que el canal de atención mediante mensajería “chat” permitía la atención simultáneamente de dos clientes por el mismo agente. El canal de atención al cliente mediante chat fue suprimido en el año 2024. El número de interacciones mediante dicho canal de CURENERGÍA con sus clientes en el año 2023 fue de un total de 15.030. CUARTO. CURENERGÍA no tenía establecido algún procedimiento o algún tipo de medidas que tuviese como objetivo específico evitar que se produzcan errores como el producido en este supuesto. Así, no existía un procedimiento que permitiese advertir de inexactitudes o errores en el tratamiento de los datos personales de sus clientes, como la duplicidad de datos atribuidos a distintos clientes. QUINTO. CURENERGÍA remitió un correo electrónico a la parte reclamante, de 6 de noviembre de 2023, en el que se señala que, atendiendo su solicitud, le informan de que habrían procedido a desvincular su correo electrónico de la información relativa al cliente tercero al que había sido erróneamente asociado. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con el artículo 58 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/56 datos (Reglamento general de protección de datos, en adelante, RGPD) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II. Cuestiones previas El nombre, apellidos, correo electrónico y número de contrato de una persona física se consideran datos personales cuyo tratamiento se somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, 2, y 7 el RGPD, que dispone lo siguiente: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;(…) 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (…)” En el presente supuesto, de la documentación obrante en el expediente se desprenden las siguientes evidencias: - Que con fecha de 2 agosto de 2023 CURENERGÍA remite a través de la dirección de correo electrónico ***EMAIL.1, un correo electrónico al reclamante que debía ir dirigido a un tercero, B.B.B., cuyo nombre, apellidos y número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/56 contrato aparecen visibles en el email, en el que se informa del pago pendiente de una deuda en relación a su contrato. - Con fecha de 6 de septiembre de 2023 el reclamante recibe nuevo correo electrónico desde la dirección de correo electrónico contacto.DoNotReply@ide.es, en cuyo pie de firma aparece “I.D. Grupo Iberdrola”, en el que CURENERGÍA informa a un usuario no especificado con nombre, apellidos ni NIF, donde aparece un número de referencia y se informa que se ha resuelto una incidencia producida en una dirección determinada de la localidad de ***LOCALIDAD.1, sin indicar en qué consistía la incidencia. - Con fecha de 28 de septiembre de 2023 el reclamante remite correo electrónico al Delegado de Protección de Datos de Iberdrola, dpd@iberdrola.es, en el que informa de que se halla recibiendo correos dirigidos a otra tercera persona y solicita que se corrija esta situación, sin solicitar expresamente que se proceda a suprimir sus datos personales. - Se constata mediante la expedición de Diligencia de 30 de julio de 2024 que la política de privacidad sobre el tratamiento de datos personales que consta publicada en la dirección url: Politica de privacidad (curenergia.es), el responsable del tratamiento de los datos personales facilitados por sus clientes es CURENERGÍA, siendo la dirección de contacto a efectos de protección de datos aquella a la que el reclamante dirigió su petición: dpd@iberdrola.es. - El mismo día 28 de septiembre de 2023, el mismo día que el reclamante remite el correo electrónico a la entidad reclamada, se presenta reclamación ante esta Agencia por parte del reclamante. - Un correo electrónico, de 6 de noviembre de 2023, remitido al reclamante en contestación a la solicitud realizada por él desde la dirección protecciondatos.comercial@curenergia.es, en el que se señala que, atendiendo su solicitud de supresión de datos personales “Le informamos que hemos procedido a desvincular su correo electrónico del contrato anteriormente asociado”. - Con fecha 5 de mayo de 2024, la entidad reclamada contesta al traslado de esta Agencia, reconociendo que se ha producido un error humano cometido por el agente comercial de CURENERGÍA que atendió simultáneamente al reclamante y a otro cliente. En concreto, señala lo siguiente: “se ha podido detectar que, en este caso concreto y de manera puntual, se produjo un error por parte del personal del canal colaborador de CURENERGÍA en la operativa de actualización de fichas de cliente. Concretamente, se trató de un error humano en el que un agente de dicho canal colaborador de CURENERGÍA actualizó erróneamente la ficha de otro cliente con el correo electrónico del Reclamante, al encontrarse atendiendo a ambos usuarios simultáneamente por canales distintos”. De estas evidencias se desprende que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/56 - Por una parte, el reclamante señala que está recibiendo varios correos remitidos a otro cliente informándole de una deuda pendiente, y aporta un correo electrónico con este contenido y en el que se contiene datos personales de una tercera persona así como otra comunicación relativa a la resolución de una incidencia en un domicilio.. - De acuerdo con lo manifestado por la propia reclamada, se han realizado diversas operaciones de tratamiento de datos personales a las que cabe aplicar la normativa en materia de protección de datos de carácter personal, a la luz de la definición realizada por el artículo 4.1. del RGPD. (
  4. i)Por una parte, desde el canal de actualización de datos de los clientes se han realizado operaciones de tratamiento de datos personales consistentes en el registro de los datos de cada cliente. (
  5. i)Y, posteriormente, desde otro departamento de la entidad reclamada (encargado del recobro de deuda) se realizaron operaciones de tratamiento de dichos datos personales consistentes en el acceso o consulta/extracción de los datos personales de uno de los clientes, y la comunicación de los mismos a un cliente diferente (el reclamante). Por tanto, no deja lugar a dudas que resulta de aplicación la normativa de protección de datos personales, toda vez que consta que la reclamada ha realizado operaciones de tratamiento definidas en el artículo 4.2 del RGPD (registro, acceso, consulta, extracción y comunicación) respecto de datos que tienen la naturaleza de datos de carácter personal de acuerdo con lo previsto en el artículo 4.1 del RGPD (nombre, apellidos, NIF, y número de contrato de B.B.B. así como correo electrónico del reclamante). La empresa reclamada, CURENERGÍA es la responsable del tratamiento de los datos personales cuyo registro y divulgación se realizó por diversos agentes de diferentes departamentos o áreas de actuación de la misma. Toda vez que: - La empresa reclamada es la que de acuerdo con la política de privacidad que ha sido diligenciada en el presente expediente, aparece como responsable del tratamiento de los datos personales de sus clientes. - De acuerdo con el artículo 4.7 del RGPD, es responsable porque es la entidad reclamada la que fija los fines y medios de las operaciones de tratamiento de datos personales contenidos en las fichas de sus clientes, y no aquellas personas o entidades que actúan por su cuenta (ya sean como personal del propio establecimiento, o como encargado del tratamiento contratado por el mismo). En este sentido, cabe señalar que, según dilatada jurisprudencia europea, se ha consolidado el criterio en base al cual, en materia de protección de datos personales, el que fija los fines y medios del tratamiento de los datos personales será el responsable de las operaciones de tratamiento que realicen las personas que actúan por su cuenta siguiendo los fines y empleando los medios determinados por el responsable. Cabe señalar, como ejemplo de esta jurisprudencia, la Sentencia del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/56 Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, dictada en el asunto C-683/21 (Nacionalinis visuomenès sveikatos centras), la cual indica: “Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en la que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que ha recurrido, quien ha efectuado el tratamiento por cuenta suya” Ello se asume por la propia entidad reclamada en su escrito de respuesta al traslado de esta Agencia, reconociendo que la actuación fue fruto de un error humano, y que lo ha subsanado con fecha de 6 de noviembre de 2023, tras recibir la petición del reclamante que le informó de que estaba recibiendo correos que no eran suyos el 28 de septiembre de 2023. En consecuencia, no cabe duda de que la entidad reclamada, CURENERGÍA, es la presunta responsable a la que debe dirigirse el presente procedimiento sancionador de acuerdo con lo previsto en el artículo 70. 1
  6. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales (en adelante, LOPPDD): “Artículo 70. Sujetos responsables. 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
  7. a)Los responsables de los tratamientos.
  8. b)Los encargados de los tratamientos.
  9. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
  10. d)Las entidades de certificación.
  11. e)Las entidades acreditadas de supervisión de los códigos de conducta. (…)”. I. Alegaciones y documentación incluidas tanto en el escrito de alegaciones al acuerdo de inicio como en la práctica de la prueba. Contestación a las cuestiones planteadas .1 Alegaciones al acuerdo de inicio de procedimiento sancionador Tras la recepción del acuerdo de inicio, CURENERGÍA presentó dos escritos de alegaciones. Uno con fecha 13/01/2025 y posteriormente otro con fecha 31/01/2025. El primero de los escritos no contiene alegaciones sobre el fondo del expediente, sino que únicamente se refiere al hecho de no haberle sido notificada el escrito por el que se admite a trámite la reclamación y, aparte, reprocha a esta Agencia haber procedido a dicha admisión a trámite sin haber recibo la contestación de CURENERGÍA al traslado de la misma. Aun reconociendo esta empresa que no contestó en tiempo y forma al traslado de la reclamación, alega que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/56 “en virtud de lo establecido por el artículo 73.3 de la LPACAP, el considerar que la Compañía no había evacuado en plazo el trámite que se le había notificado previo a la Admisión a Trámite, tendría que haber dado lugar a la práctica, por parte de la AEPD, de una resolución que tuviese por transcurrido dicho plazo, permitiéndole a esta parte poner en su conocimiento lo que se ha venido describiendo a lo largo de este escrito, lo que permitiría una correcta valoración de las actuaciones decaídas en el presente procedimiento.” Alega CURENERGÍA que estos posibles defectos de tramitación del procedimiento acarrearían indefensión y constituirían una causa de anulabilidad del artículo 48 de la LPACAP. Sin perjuicio de que la generalidad de alegaciones son contestadas en el apartado 3 de respuesta a las mismas, esta alegación previa, de procedimiento, se contesta a continuación. Y es preciso afirmar que el hecho de que el acuerdo de admisión a trámite no fuera notificado a la parte reclamada no implica ningún vicio de anulabilidad por defecto procedimental. La admisión a trámite de las reclamaciones está regulada en los artículos 64 y 65 de la LOPDGDD. Y tiene como finalidad que la Agencia efectúe un primer juicio acerca de si aquellas incluyen mínimos indicios para que pueda realizar una investigación (artículo 67 LOPDGDD); un procedimiento sancionador (art. 68) o sencillamente archivar el procedimiento sin más trámite. Pues bien, a esos efectos, el artículo 65.4 establece lo siguiente: “4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento, al organismo de supervisión establecido para la aplicación de los códigos de conducta o al organismo que asuma las funciones de resolución extrajudicial de conflictos a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes.” Como fácilmente se observa, se trata de un trámite potestativo, de modo que la Agencia “podrá” dirigirse al responsable del tratamiento si considera que este puede aportar información que ayude a adoptar una u otra decisión. En ningún caso la ley obliga a efectuarlo. En este caso el traslado se produjo, y la parte reclamada no contestó en plazo, sino que lo hizo varios meses después. Aparte, el artículo 65.5 afirma lo siguiente: “5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/56 principal que se estime competente, deberá notificarse al reclamante en el plazo de tres meses” Expresamente prevé la ley que la decisión sea únicamente notificada al reclamante. Ninguna indefensión se le produce a la parte reclamada, toda vez que, en caso de que se determinara la apertura de procedimiento sancionador, el acuerdo de inicio sería oportunamente notificado a dicha parte (como se ha producido en este caso), con traslado de todo el expediente. Ninguna indefensión, por lo tanto, se le produce al interesado. El segundo escrito de alegaciones, de 31/01/2025 contiene los siguientes argumentos que, a juicio de la parte reclamada, deberían llevar al archivo del procedimiento. Se sigue el orden expositivo del escrito de alegaciones. En el mismo constaba como alegación “PRIMERA” la reiteración de lo indicado en el anterior escrito de 13/01/2025, ya contestada. A continuación, se reproducen las alegaciones de la parte reclamada, así como el resultado de la prueba practicada. Todo ello será contestado posteriormente. SEGUNDA. INEXISTENCIA DE PRUEBA QUE PERMITA APRECIAR UNA INFRACCIÓN SISTEMÁTICA DE CURENERGÍA Se alega que el expediente no contendría prueba alguna de que pueda calificarse el incumplimiento como “sistémico”. Solo existiría un caso concreto comprobado, y a partir de ahí deducir que la infracción tendría carácter sistémico vulnera, a juicio de la parte reclamada, el principio de presunción de inocencia Se afirma asimismo que el acuerdo de inicio contiene una imputación del artículo 5.1.
  12. f)cuando en el mismo existen otras referencias al 5.1.
  13. d)En desarrollo de este argumento expone CURENERGÍA lo siguiente: 1) No se trata de un canal de atención telefónica, sino del chat. Se alega que el “error puntual”, cometido por su encargado del tratamiento, no se habría producido en el contexto de la realización o atención de una llamada telefónica, sino en la atención a los clientes por medio del canal de mensajería “chat” puesto a disposición de los mismos. A este respecto, alega, la posibilidad de atender varios chats a la vez se deriva no de razones económicas como se afirma el Acuerdo de inicio, sino de que la característica “asíncrona” del chat, ya que los clientes en numerosas ocasiones tardan tiempo en contestar a los mensajes recibidos. Asimismo, se señala en las alegaciones que el número de potenciales afectados no podría nunca ascender a los tres millones indicados en el acuerdo de inicio. En el año 2023 las interacciones del chat fueron únicamente 15.030, lo que ni siquiera significaría un número equivalente de clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/56 Concluye señalando que por parte de CURENERGÍA se procedió en el año 2024 a cerrar el canal chat como vía para la atención al cliente. 1) Procedimientos de revisión para la actualización de datos Se señala en el escrito de alegaciones que la AEPD estaría deduciendo que el chat constituía el medio a través del cual se actualizaban los datos de contacto de los clientes, siendo ello “rotundamente incierto”. Dicha actualización, afirma, se llevaría a cabo a través de la ficha cliente, siendo solamente posible tener abierta una ficha por cliente, aunque el agente se encuentre atendiendo de forma simultánea -máximo permitido dos conversaciones-. Así, afirma CURENERGÍA, nada permite indicar que hay una infracción sistémica, se estaría produciendo, en su opinión, una atribución de responsabilidad objetiva por la infracción. Tan solo existe, insiste la parte reclamada, un error humano comprobado. TERCERA. ACTUACIÓN DE CURENERGÍA CON RESPECTO ACTUALIZACIÓN DE LOS DATOS DE CARÁCTER PERSONAL A LA Se afirma que la inexactitud que se imputa en el presente procedimiento, habría sido corregida en el mismo momento en que el reclamante la comunicó. No habría, en consecuencia, ningún perjuicio para los datos del reclamante, aunque así lo afirme el acuerdo de inicio CUARTA. PROPORCIONALIDAD DE LA SANCIÓN Efectúa alegaciones CURENERGÍA en relación con las siguientes circunstancias para la determinación de la cuantía:  Gravedad de la infracción (artículo 83.2.
  14. a)RGPD) Debe tenerse en cuenta, según se alega, que se habría producido tan solo un error puntual. Y además, manifiesta su desacuerdo con la cifra de potenciales afectados mencionada en el acuerdo de inicio, de 3 millones de clientes, sino que la infracción solo habría afectado a una.  Negligencia en la infracción (artículo 83.2.
  15. b)RGPD) Los hechos que han dado lugar a la apertura del Procedimiento Sancionador traerían causa en un “error humano, puntual y aislado”, sin que pueda determinarse que ha existido intencionalidad o negligencia habida cuenta que las infracciones tipificadas en el RGPD, contemplan que para su comisión, exista, por lo menos, cierto grado de negligencia.  Inexistencia de sanciones anteriores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/56 Alega que CURENERGÍA no habría sancionado por ningún incumplimiento con anterioridad en materia de protección de datos.  Precedentes La parte reclamada incluye adjunta una tabla con diversos precedentes que indicarían, a su juicio, que la sanción propuesta fuera desproporcionada  Otras circunstancias atenuantes En este apartado propone CURENEGÍA circunstancias que, a su juicio, deberían ser tenidas en cuenta como atenuantes para rebajar la cuantía de la sanción. - No haber obtenido ningún tipo de beneficio como consecuencia del error cometido - CURENERGÍA habría colaborado en todo momento con esta Agencia. - No se habría causado ningún daño ni perjuicio a terceros. 1. Práctica de la prueba Como contestación al requerimiento del instructor reflejado en los antecedentes de esta resolución, CURENERGÍA ha aportado la siguiente documentación y explicaciones acerca de la misma. 1. Protocolos/ procedimientos establecidos por la empresa para la gestión del canal de actualización de las fichas de cliente. Información sobre los mecanismos y procesos seguidos de atención telefónica y a través del chat de forma simultánea. Indicación sobre qué pasos son automáticos y cuáles son manuales, y en su caso el software empleado Aporta el documento denominado “MANUAL BÁSICO IBERU”, manual de uso de la plataforma de gestión de clientes de CURENERGÍA. Fechado el 29/05/2024 y por lo tanto en fecha posterior a los hechos objeto de infracción. Respecto a este documento se indica que - Se accede por los operadores con usuario / contraseña Las actualizaciones de datos son manuales El manual de uso se facilita a los agentes No era posible atención simultánea telefónica y chal 1. Protocolos/ procedimientos establecidos por la empresa para la detección, comprobación y corrección de posibles inexactitudes de datos. Informando de cuales son manuales o automáticos, y en su caso, el software empleado para su gestión. Describe ciertos procedimientos automatizados para detectar errores. Se trata mayor mente de la detección errores de formato, datos incongruentes, etc. En relación con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/56 teléfono y el email menciona una “doble autenticación”. “se envía al cliente un código de verificación a través de SMS o correo electrónico, que debe ser introducido para confirmar la posesión”. 2. Protocolo de gestión y notificación de brechas y su comunicación a los empleados/agentes encargados. En este apartado se aporta el documento denominado “PROCEDIMIENTO DE RESPUESTA ANTE VIOLACIONES DE SEGURIDAD DE DATOS PERSONALES”, fechado el 17/09/2024 y con ello también posterior a la infracción 3. Acreditación de haber comunicado a los diversos agentes y empleados de los canales encargados los protocolos/procedimientos de actuación a los que se refieren los puntos anteriores. Afirman que para los empleados afectados, esta información estaría disponible en la intranet de que la que disponen. 4. Contrato de encargo con UNISONO del canal de cliente Se aporta el contrato “CONTRATO ENTRE IBERDROLA COMERCIALIZACIÓN ÚLTIMO RECURSO, S.A.U. Y UNÍSONO SOLUCIONES DE NEGOCIO PARA LA PRESTACIÓN DE SERVICIOS MULTICANAL DEL CONTACT CENTER (PLATAFORMA DE MADRID)”. Lleva fecha de 17/03/2022. 5. Contratos de encargo y/o subencargo del que actúe para la detección, comprobación y corrección de posibles inexactitudes, en caso de existir, con indicación de qué órgano se encarga de dichas tareas. Aporta lo que denomina “***DOCUMENTO.1”, en el que se regulan las condiciones aplicables a la prestación de los servicios contratados, así como las garantías ofrecidas por dicha entidad en materia de protección de datos personales, de conformidad con lo establecido en el artículo 28 del RGPD. 6. Organigrama interno de la empresa por el que se haga constar los canales en los que está organizada la empresa, y su función principal Aporta un documento denominado “Nuestros canales” en que de forma gráfica se contemplan canales “Digitales”; “Presenciales” y “No presenciales”. 7. Documentación que evidencie que el correo de 6-11-23 en el que se informaba al reclamante de la desvinculación de su dato se cursó y se recibió por el destinatario sin incidencias en el proceso de notificación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/56 Aporta la impresión de un correo electrónico dirigido a la parte reclamante, en el que se le indica que “Le informamos que hemos procedido a desvincular su correo electrónico del contrato anteriormente asociado”. CURENERGÍA afirma que “fue debidamente cursado y recibido sin incidencia técnica alguna, procede señalar que dicho correo constituye una respuesta directa al mensaje previamente enviado por el propio reclamante.” 8. Acreditación de haber procedido a la desvinculación del dato de la ficha del reclamante. Aporta un “extracto de pantalla”, en donde consta que, con fecha 16 de octubre de 2023 se habría procedido a dicha desvinculación. 9. Comunicaciones mantenidas con dicha/s compañías para la resolución de la incidencia a la que se refiere el presente expediente. A este respecto CURENERGÍA señala que comunicaciones al tratarse de un caso aislado. no fueron necesarias dichas 10. Información y acreditación sobre las medidas adoptadas para evitar que se produzcan incidencias similares, indicando fechas de implantación y controles efectuados para comprobar su eficacia Afirma CURENERGÍA que a fecha 3 de febrero de 2025, se procedió a la difusión generalizada de un recordatorio interno a través de los canales corporativos 11. Acredite que ha proporcionado formación a todos los agentes encargados del canal de actualización de datos personales, acreditando que efectivamente se han realizado por los mismos todos o alguno de los cursos de formación que constan en la captura de pantalla aportada. Y en concreto, del agente que atendió al reclamante en el presente procedimiento. Deberá constar fecha y certificado de formación En este apartado, se aportan dos documentos, que CURENERGÍA describe como los “documentos justificativos correspondientes, entre los que se incluye la ficha individual del Agente y su historial formativo, en los que consta de forma expresa la realización y superación del citado curso.” Aparte, señala la parte reclamada que en la intranet hay acceso a contenidos formativos y cursos. Indica asimismo que el agente que cometió el error habría realizado un curso en la materia. Aporta a este respecto una impresión de pantalla en que no aparece la fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/56 12. Acredite qué número de clientes de CURENERGÍA tienen datos personales registrados en las referidas fichas de clientes, en la fecha de los hechos sobre los que versa el presente expediente, a los efectos de concretar el número de afectados. O subsidiariamente, aporte los informes o balances de la empresa en los que se haga constar el número de clientes gestionados por Iberdrola en España. Afirma la parte reclamada que el número total de interacciones registradas durante el año en que se produjo el incidente

(2023)a través del canal chat (ya deshabilitado), es de 15.030, lo que “no representa en modo alguno el número de personas afectadas por el mismo”. El número de interacciones antes referido tendría un valor meramente indicativo del uso del canal, pero no permite deducir ni inferir, en ningún caso, la cifra total de afectados, según CURENERGÍA 1. Contestación a las alegaciones y al resultado de la práctica de la prueba Carácter “sistémico” del incumplimiento. Alega CURENERGÍA que el incumplimiento no podría calificarse de sistémico. A este respecto, afirma que el resultado de la vulneración del principio de exactitud únicamente se habría producido respecto a un cliente, el que recibió el correo electrónico con datos personales ajenos. Insiste en que no se ha llevado una investigación que haya podido constatar otros casos y que por el mero hecho de que se permitiera la atención a más de un cliente por el mismo teleoperador no puede deducirse, sin más, que se haya producido una infracción generalizada. Aporta información sobre el incumplimiento concreto. Afirma que lo que califica de “error humano puntual” se produjo en el transcurso de la atención al cliente a través del canal “chat”, no de llamadas telefónicas. Indica asimismo que este canal de comunicación tendría la condición de “asíncrono”, de modo que la interacción entre la empresa y el cliente no sería siempre inmediata, sino que en ocasiones los clientes tardan tiempo en contestar o aportar información. De este modo, afirma, no puede tenerse a un empleado dedicado a un solo cliente. En todo caso, afirma CURENERGIA, la atención simultánea solo podría producirse en este canal chat, nunca en el telefónico, y con un máximo de dos clientes a la vez. Finalmente, el canal habría sido suprimido en 2024, de modo que no está disponible en la actualidad. Con base en estos factores, considera que no puede declararse un incumplimiento sistémico del principio de exactitud del dato. En relación con este argumento, es preciso señalar que en el acuerdo de inicio del procedimiento se señala que el carácter sistémico del incumplimiento se deduce de dos factores concurrentes en los hechos. Por una parte, que la posible atención simultánea de más de un cliente puede propiciar la comisión de errores a la hora de atribuir o modificar los datos personales de los clientes. De hecho, así ha sucedido en el supuesto que nos ocupa, conforme al propio reconocimiento de los hechos de la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/56 Pero, además, existe otro factor influyente, cual es el hecho de que, pese al alto riesgo de comisión de errores, el proceso de actualización de datos personales del cliente no está acompañado de medidas que reduzcan su impacto y probabilidad de ocurrencia de forma efectiva. A la vista de lo sucedido, se observa que no se han implantado procedimientos de detección, comprobación y corrección de posibles inexactitudes de datos, sobre todo para comprobar que el correo electrónico que se registra en los sistemas asociado a un determinado cliente corresponde a ese cliente o que no se corresponde con el que figura relacionado con otro cliente .Así, el sistema de registro de datos de clientes no contenía procedimiento que advirtieran de posibles errores o que, en definitiva, garantizaran la exactitud de los datos que estaban siendo recabados y, por lo tanto, siendo objeto de tratamiento. Y ello por cuanto, en caso contrario, el operador habría advertido y corregido el error cometido, asociar a la ficha de un cliente el correo electrónico de otro cliente, antes de su uso. En respuesta a esas alegaciones, cabe señalar que este factor se remarcaba ya en el acuerdo de inicio, y nada de lo incluido en alegaciones o en la documentación adjunta a la práctica de la prueba indican lo contrario. Por una parte, en el escrito de alegaciones, la parte reclamada se limita a afirmar, en relación con este factor, que una vez le fue notificado este hecho por el reclamante, procedió a rectificar los datos de carácter personal tratados, solventando la incidencia que tuvo lugar. Con ello, la parte reclamada no afirma disponer del procedimiento o mecanismos de comprobación o corrección de posibles inexactitudes, que se establecerían en contrapeso de la alta probabilidad de errores en un tratamiento simultáneo de dos clientes, sino que se limita a afirmar que la inexactitud fue corregida tras la reclamación del afectado. De la documentación aportada en la práctica de la prueba, no se observa que en los procedimientos aportados en relación con la atención al cliente y la toma y modificación de sus datos, precaución alguna esté establecida en este aspecto. Únicamente se afirma que “En lo que respecta a los controles automáticos de detección, se aplican validaciones técnicas inmediatas sobre los datos en el momento mismo de su introducción en los sistemas, permitiéndose de este modo identificar automáticamente errores de formato, valores atípicos o incoherencias en la estructura de la información proporcionada. Por ejemplo, se comprueba que los números de teléfono cumplen con los criterios de longitud, prefijo y sintaxis adecuados; que las direcciones de correo electrónico presenten la estructura formal válida; y que los códigos de identificación o números de cuenta bancaria respeten las reglas de control, como en el caso del dígito verificador de un IBAN. Estos controles, al estar embebidos en el sistema de captura de datos, impiden el registro de información que no cumpla con los requisitos establecidos, actuando como primera barrera de integridad.” En primer lugar, esta afirmación se contiene en el escrito de contestación a la práctica de la prueba, pero no está respaldada en ninguno de los documentos aportados. En segundo, una medida como esta no habría detectado el error cometido en este supuesto (atribuir a un cliente la dirección de correo de otro). Sería, por lo tanto, una medida insuficiente y, al ser la única referenciada por la reclamada evidencia la falta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/56 de medidas eficaces para garantizar que el tratamiento de datos que se realiza cumpla con lo requerido por e RGPD. CURENERGÍA ha aportado también el “Manual de uso de la plataforma IBERU”. En el mismo consta la operativa de interacción con los clientes (altas, modificaciones etc). La modificación de datos personales de los clientes figura en la pág 56, que señala la operativa, pero no contiene ninguna medida específica al respecto, ni siquiera menciona el chat como canal de interacción. Examinado asimismo el contrato de encargo del tratamiento a UNÍSONO; tampoco figura ninguna medida que habría evitado / corregido esta inexactitud. Con ello, debe mantenerse el criterio de que el incumplimiento tiene carácter sistémico. En relación con el número de clientes que debe tenerse en cuenta para la determinación del alcance de la infracción, CURENERGÍA afirma que vendría dado por las 15.030 interacciones realizadas a través del chat en el último año disponible
(2023). A este respecto debe precisarse que, al tener la infracción el carácter de sistémica, los afectados no vendrían únicamente dados por los usuarios del canal chat, sino que estarían integrados por la totalidad de clientes de la entidad (unas 3 millones de personas conforme a lo ya afirmado anteriormente). Por cuanto que es la totalidad de los clientes de CURENERGIA los que se ven afectados por el tratamiento consistente en la recogida y, eventualmente, actualización de sus datos personales. Y, por ello, que pudieran verse afectados por la falta de un procedimiento que garantizara la exactitud de sus datos que son objeto de tratamiento por CURENERGIA. Error material en la calificación En su escrito de alegaciones, afirma CURENERGÍA que “el Acuerdo concluye que se ha producido una infracción de los dispuesto en el artículo 5.1
  1. f)del RGPD, mientras que el Fundamento de Derecho III, IV y V recoge, expresa y reiteradamente, que el apartado supuestamente vulnerado es el d). Tal situación supone, evidentemente, una manifiesta vulneración del artículo 53.2
  2. a)de la LPACAP.” Analizado el texto del acuerdo de inicio, se advierte una errata que se produce únicamente en el fundamento jurídico VII (“Medidas correctivas”), donde se afirma que “podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 5.1.
  3. f)del RGPD,…” Se trata de un error material que se deduce claramente de la lectura del texto íntegro del acuerdo: - En la parte dispositiva se contiene, tanto en el apartado primero como en el cuarto, la imputación de la infracción del artículo 5.1.
  4. d)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/56 - Del mismo modo, los fundamentos jurídicos IV, V y VI se refieren a la motivación, calificación y determinación de la cuantía por la vulneración del artículo 5.1.
  5. d)Con ello, resulta plenamente aplicable lo dispuesto en el artículo 109.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento administrativo común de las Administraciones Públicas: “2. Las Administraciones Públicas podrán, asimismo, rectificar en cualquier momento, de oficio o a instancia de los interesados, los errores materiales, de hecho o aritméticos existentes en sus actos.” A este respecto resta únicamente indicar que la cuestión ha perdido toda trascendencia, ya que, como se indicó en la propuesta de resolución y se motiva en el fundamento jurídico V y VI de esta resolución, la infracción que se considera que se ha cometido por CURENERGÍA, sería la del artículo 25 del RGPD, y no la del artículo 5.1.d). Circunstancias para la determinación de la cuantía Se analizan las circunstancias invocadas por CURENERGÍA.  Gravedad de la infracción y negligencia concurrente. En este apartado reitera la escasa gravedad y falta de negligencia por tratarse de un error puntual, y no de un fallo sistémico. A este respecto basta remitirse al anterior apartado, en que el se ha motivado exhaustivamente el carácter sistémico del incumplimiento. En relación con la posible falta de negligencia, en los factores para la determinación de la cuantía se motiva por qué se considera que no solo concurre negligencia en la infracción, sino que revestiría la consideración de grave. En efecto, el análisis de riesgos que debe realizarse, en relación con la posible afectación de los derechos y libertados de los titulares de los datos personales, debe tener en cuenta obligatoriamente los riesgos que se producen por establecer la posibilidad de que una misma persona atienda a más de un cliente a la vez. Y este riesgo, fácilmente deducible, no ha sido tenido en cuenta, toda vez que CURENERGÍA no ha aportado ni una sola medida que lo tuviera en cuenta, de cara a prevenir o descartar este tipo de errores. Ni tampoco un documento de análisis de riesgos que contemple este.  Inexistencia de infracciones anteriores. Esta circunstancia, que la parte reclamada pretende sea aplicada como atenuante, únicamente puede ser tenida en consideración como agravante. Así, la Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, rec. 1437/2020, indica que “ “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
  6. e)toda infracción anterior cometida por el responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/56 o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”.  Precedentes invocados. CURENERGÍA menciona 6 procedimientos sancionadores anteriores de esta Agencia para justificar la desproporcionalidad de la sanción que se pretende imponer de la sanción propuesta en este supuesto. Sobre la ausencia de proporcionalidad en la fijación de la cuantía de la sanción impuesta, debe recordarse que el artículo 83.1 RGPD establece que las multas administrativas por las infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las multas administrativas se impondrán en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas…” Estableciendo a continuación determinadas circunstancias a tener en cuenta. (…) Asimismo, el artículo 83.4 señala que las infracciones de las disposiciones que indica “…se sancionarán con multas administrativas de 10.000.000 EUR, como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen del negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” (el subrayado es nuestro). Es decir, los porcentajes sobre el volumen de negocio, cuando se trata de una empresa, no operan como límites máximos cuando la cifra que arrojan es menor a 10 millones , sino todo lo contrario, permiten obtener un límite máximo superior a esos 10 millones. Por tanto, cuando el 2% del volumen de negocio total anual global de la multa impuesta para cada infracción sea menor a los importes máximos establecidos en los citados preceptos, 10 ó 20 millones de euros, éstos últimos serán los límites máximos. Por el contrario, si esos porcentajes arrojan importes superiores, serán los tenidos en cuenta como límites máximos. Y ello porque el RGPD establece que ha de optarse por la de mayor cuantía. (…) Así, a la hora de determinar la cuantía de las multas no sólo se tiene en cuenta el nivel de negocio de las empresas. Ello es una circunstancia más. También se tienen en cuenta, otras circunstancias, especialmente las circunstancias específicas de cada caso. Recordemos en este punto lo manifestado por el TJUE en la sentencia dictada en el asunto C-683-21 78 La existencia de un sistema de sanciones que permita imponer, cuando las circunstancias específicas de cada caso lo justifiquen, una multa administrativa con arreglo al artículo 83 del RGPD crea un incentivo para que los responsables y encargados del tratamiento cumplan el Reglamento. Con su efecto disuasorio, las multas administrativas contribuyen a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/56 reforzar la protección de las personas físicas en lo que respecta al tratamiento de datos personales y constituyen, por ende, un elemento clave para garantizar el respeto de los derechos de dichas personas, de conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de protección de esas personas en lo que respecta al tratamiento de los datos personales. Asimismo, la reciente STJUE de 13 de febrero de 2025, en el asunto C-383/23, dispone que la imposición de una multa exige en el examen de cada caso particular de una serie de elementos previstos en el artículo 83 del RGPD, del que el volumen de negocios es un elemento más (ni el único ni el determinante), para imponer una multa que sea proporcional, disuasoria y efectiva y se refuerce, de esta forma, la protección de las personas físicas. 25 Así, en virtud del artículo 83, apartado 1, del RGPD, cada autoridad de control tiene que garantizar que las multas administrativas con arreglo al referido artículo 83 por las infracciones del RGPD indicadas en sus apartados 4 a 6 sean, en cada caso individual, efectivas, proporcionadas y disuasorias. 26 Más allá del cumplimiento de estos tres requisitos, el apartado 2 de dicho artículo 83 exige, para decidir la imposición de una multa administrativa y su importe, que la autoridad de control competente tenga debidamente en cuenta, en cada caso individual, una serie de elementos. 27 De conformidad con esta última disposición, entre esos elementos figuran, en particular, la naturaleza, gravedad y duración de la infracción, el número de interesados afectados y el nivel de los daños y perjuicios sufridos, la intencionalidad o negligencia en la infracción, las medidas adoptadas por el responsable o el encargado del tratamiento para paliar los daños y perjuicios sufridos, el grado de responsabilidad del responsable o del encargado del tratamiento y las categorías de datos personales afectados por la infracción. 28 Los citados elementos se refieren, bien al comportamiento de ese responsable o encargado, acusado de infringir determinadas disposiciones del RGPD, bien a las propias infracciones. Así pues, sirven para garantizar que cada una de dichas infracciones se aprecie sobre la base de todas las circunstancias individuales pertinentes y que se alcancen los objetivos perseguidos por el régimen sancionador contemplado en el RGPD. 29 Aunque estos elementos no hacen referencia al concepto de empresa, en el sentido de los artículos 101 TFUE y 102 TFUE, el Tribunal de Justicia ya ha declarado que solamente una multa que tenga en cuenta no solo todos los elementos que caractericen las infracciones del RGPD constatadas, sino también, en su caso, la capacidad económica real o material de su destinatario, reúne los tres requisitos establecidos en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/56 artículo 83, apartado 1, del RGPD, a saber, ser a la vez efectiva, proporcionada y disuasoria. Pues bien, para apreciar estos requisitos, debe tenerse en cuenta si ese destinatario forma parte de una empresa en el sentido de los artículos 101 TFUE y 102 TFUE (véase, en este sentido, la sentencia de 5 de diciembre de 2023, Deutsche Wohnen, C 807/21, EU:C:2023:950, apartado 58). Podemos concluir, por lo tanto, que la multa ha de ser
  7. i)efectiva en el sentido que permitir a la reclamada adoptar medidas para mejorar las garantías de los tratamientos de datos personales que realiza
  8. ii)proporcionada atendiendo a las circunstancias presentes en el caso concreto iii) disuasoria en el sentido de permitir que se tomara conciencia de la importancia de adoptar las medidas técnicas y organizativas adecuadas al riesgo del tratamiento de datos personales que se esté realizando. En consecuencia, cada caso hay que analizarlo desde la perspectiva de las circunstancias concretas presentes, de la incidencia en el tratamiento de datos afectado así como de la existencia de una visión holística en la actuación de la entidad reclamada que evidencie la existencia de una perspectiva de protección de datos o, por el contrario, de la falta de la misma.  Inexistencia de beneficios como consecuencia de la infracción. Esta posible circunstancia atenuante no resulta de aplicación. Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.
  9. k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios. Si a esto se añade que las sanciones deberán ser “en cada caso individual” efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, admitir la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
  10. k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. La Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/56 “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
  11. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
  12. c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante.”  Colaboración con esta Agencia. Alega esta circunstancia CURENERGÍA como atenuante. A este respecto, los apartados 96 y 97 de la Guía de multas imponen un doble requisito para que esta circunstancia pueda aplicarse como atenuante. En primer lugar, que la cooperación vaya más allá del deber ordinario de colaboración con la autoridad de control. En efecto, la Guía señala que debe considerarse que el deber ordinario de cooperación es obligatorio y, por lo tanto, debe considerarse neutral (y no un factor atenuante). En este caso, todas las actuaciones que podrían ser calificadas como “cooperación” con la autoridad de control se enmarcan dentro del deber de colaboración. El segundo requisito consiste en que la colaboración haya tenido como efecto “limitar o evitar las consecuencias negativas para los derechos de los particulares que de otro modo podrían haberse producido”. Lo que como hemos visto no sucede en este caso, toda vez que las actuaciones han tenido como objetivo restaurar el dato, pero no evitar o paliar los daños sufridos por los afectados, cuyo poder de disposición sobre sus datos personales se había ya visto afectado.  Inexistencia de perjuicios para terceros. A este respecto, cabe invocar la STJUE de 4 de septiembre de 2023, en el asunto C-655/23, que determina que la mera pérdida de control sobre los propios datos personales por los interesados como consecuencia de una infracción del RGPD, aun cuando no se haya producido concretamente un uso indebido de los datos en cuestión puede bastar para causar "daños y perjuicios inmateriales": "59 En segundo lugar, como ha señalado la Comisión Europea en sus observaciones escritas, unas situaciones, como las que se invocan en el litigio principal, relativas a un «daño para la reputación» como consecuencia de una violación de la seguridad de los datos personales o a una «pérdida de control» sobre tales datos, figuran expresamente entre los ejemplos de posibles daños y perjuicios que se relacionan en los considerandos 75 y 85 del RGPD. En particular, el Tribunal de Justicia ha subrayado que de la lista ilustrativa de los «daños» o los «perjuicios» que pueden sufrir los interesados que figura en el considerando 85, primera frase, del RGPD se desprende que el legislador de la Unión quiso incluir en estos dos conceptos, en particular, la mera «pérdida de control» sobre los propios datos personales de esos interesados como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/56 consecuencia de una infracción de dicho Reglamento, aun cuando no se haya producido concretamente un uso indebido de los datos en cuestión. Tal pérdida de control puede bastar para causar «daños y perjuicios inmateriales», en el sentido del artículo 82, apartado 1, de dicho Reglamento, siempre que ese interesado demuestre que ha sufrido efectivamente tales daños y perjuicios, por mínimos que sean, sin que ese concepto de «daños y perjuicios inmateriales» requiera la demostración de la existencia de consecuencias negativas tangibles adicionales (véase, en este sentido, la sentencia de 4 de octubre de 2024, Agentsia po vpisvaniyata, C 200/23, EU:C:2024:827, apartados 145, 150 y 156 y jurisprudencia citada)". I. Alegaciones a la propuesta de resolución y contestación a las mismas Se contesta a continuación al documento de alegaciones a la propuesta de resolución remitido por CURENERGÍA. Se sigue el orden expositivo del citado escrito, contestando a continuación de cada una. Previa. Antecedentes En esta alegación se realizan únicamente comentarios genéricos sobre la tramitación del expediente; se insiste en que el incumplimiento se debió únicamente a un “error humano puntual”, y que fue subsanado antes de recibir la reclamación a través de la AEPD. La única observación concreta que se realiza se refiere a la tramitación inicial de este procedimiento sancionador. Se afirma que se podría haber producido indefensión del interesado por la presunta tardanza en la contestación a la petición de ampliación de plazo y remisión del expediente que CURENERGÍA efectuó cuando recibió el acuerdo de inicio del procedimiento. Afirma a este respecto que recibió el acuerdo de inicio con fecha de 27/12/2024. Tras ello, indica que solicitó dicha ampliación y copia del expediente en sendos escritos de 30/12/2024 y 08/01/2025, sin recibir contestación. La petición solo habría sido atendida, afirma CURENERGÍA, en fecha de 23/01/2025. Y esta extemporánea contestación habría afectado a su derecho a la defensa. En relación con esta alegación, para contestarla basta con indicar que con fecha de 21/01/2025 la instrucción del expediente otorgó la ampliación de plazo y remitió copia del expediente. No existió menoscabo alguno del derecho a la defensa. El interesado dispuso desde la fecha de recepción del acuerdo de inicio (27/12/2024) hasta la finalización del plazo de ampliación (a partir del 21/01/25, sumándole el plazo restante hasta la finalización del primer período, más la ampliación de 5 días) para la realización de alegaciones. Asimismo, le fue trasladado el expediente otorgándosele la mencionada ampliación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/56 En todo caso, CURENERGÍA no motiva por qué esta contestación y ampliación de plazo le habría generado indefensión. En consecuencia, debe desestimarse la alegación. Primera. – Error en la valoración de la prueba y falta de motivación de las conclusiones alcanzadas ALEGACIONES GENERALES En este apartado, CURENERGÍA incluye una serie de comentarios acerca de la acreditación de la comisión de una infracción del artículo 25 del RGPD. Afirma en primer lugar que la modificación de la calificación de la infracción, pasando de prever una posible infracción del artículo 5.1.
  13. d)del RGPD en el acuerdo de inicio a una del artículo 25 en la propuesta de resolución, obedecería a que CURENERGÍA habría acreditado que cumple con los principios establecidos en el artículo 5 del RGPD. Aparte, indica que no se habría acreditado en el procedimiento la atención “simultánea” a más de un cliente en el canal “chat”, sino que la atención sería “sucesiva”: se atendería a un cliente mientras otro se encuentra en situación de espera. En relación con la modificación de la calificación de la infracción, debe contestarse que, en primer lugar, en la propuesta de resolución (así como en la presente resolución) se motiva extensamente que está reconocida la posibilidad jurídica de modificar la calificación de los hechos en la mencionada propuesta. En efecto, no es sino hasta ese momento procedimental en que se constatan los hechos probados y, a la vista de las alegaciones y la prueba practicada, cuando la instrucción alcanza sus conclusiones acerca de los hechos constatados, la calificación de los mismos y la cuantía de la sanción que se propone. En el Fundamento jurídico relativo al incumplimiento del artículo 25 del RGPD se aporta amplia jurisprudencia que reconoce esta posibilidad. En cuanto a si la atención al cliente por parte de CURENERGÍA se realizaba de manera simultánea o sucesiva, nos remitimos a la contestación a la alegación que se detalla más adelante, en que dicha entidad desarrolla más ampliamente esta alegación. DOCUMENTACION APORTADA POR CURENERGÍA A continuación, CURENERGÍA realiza un amplio despliegue documental con el objetivo de acreditar que cumpliría con el principio de privacidad desde el diseño. A estos efectos aporta (o únicamente referencia, como se verá posteriormente en la contestación a cada uno de ellos), los siguientes documentos: 1. En primer lugar, la “Certificación EUROPRIVACY”. Según se indica, este documento permite “a los responsables y encargados del tratamiento demostrar la conformidad de sus procesos, productos y servicios con los efectos y beneficios legales de una certificación oficial del RGPD.”. Adjunta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/56 copia del mismo. Ello en conexión con el artículo 25.3 del RGPD, que establece que “Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo.” 2. Documento denominado “Procedimiento para garantizar la protección de datos desde del diseño y por defecto”. Aporta varias impresiones de pantalla de algunas páginas documento, entre las cuales se encuentra un historial de aprobación de versiones del documento, que comienza en abril de 2018 y finaliza, como última versión aprobada, en septiembre de 2024. 3. Documento “Procedimiento de Privacidad y Seguridad desde el Diseño y por Defecto de IBERDROLA”. Al igual que el anterior, aporta varias impresiones de pantalla del documento, entre las cuales se encuentra un historial de aprobación de versiones del documento, que comienza en mayo de 2019 y finaliza, como última versión aprobada, en septiembre de 2023. 4. Incluye una Tabla sobre supuestos en que se han atendido los ejercicios de derechos de sus clientes a lo largo del año 2023. El total de derechos atendidos sería de 1.824 en ese año. 5. Referencia un documento de “Procedimiento de ejercicio de derechos”. No incluye fecha y adjunta únicamente el índice de lo que parece tratarse de un manual para la atención de derechos. 6. Una tabla de acciones formativas en 2023. Se indica que contiene “Píldoras y acciones formativas en materia de protección de datos desde 2023 hasta la fecha actual puestas a disposición de los socios colaboradores: Desde 2022 hasta la fecha actual se ha puesto a disposición de los Socios colaboradores más de 183 acciones formativas”. 7. Aporta impresiones de pantalla de un documento denominado “Manual de mantenimiento de clientes”, de fecha marzo 2023. Respecto al mismo, CURENERGÍA menciona especialmente una medida concreta que se incluiría en el mismo: la existencia de un control sobre cinco
(5)concurrencias en los datos registrados con respecto a datos obrantes en el sistema. El sistema muestra inicialmente un mensaje emergente (aviso o “pop-up”) indicando que el registro se encuentra repetido cinco veces. A continuación, se despliega el listado de clientes en los que dicho dato aparece y, finalmente, se solicita confirmación para continuar con la operación.
  1. Guía informativa para el control de fraude en la dirección comercial. En este documento se indica que el control restablecido no permite avanzar en el proceso, entre otras circunstancias, cuando el correo electrónico figura informado en otros siete clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/56
  2. Auditoría en materia de protección de datos realizada el 2 de agosto de
  3. En cuanto a los documentos ahora aportados, cabe significar lo siguiente. En primer lugar, con carácter general, se trata de documentos no aportados hasta ahora en este procedimiento, no obstante lo cual van a ser objeto de valoración en esta resolución. Y en segundo lugar, aclarar que únicamente se aporta íntegramente el documento nº 1 “Certificación EUROPRIVACY”, mientras que del resto de documentos referenciados únicamente se han insertado impresiones de pantalla dentro del propio documento de alegaciones. Esta circunstancia impide valorar el documento en su conjunto y no permite contextualizarlo restándole, por lo tanto, fuerza probatoria. En todo caso, pasan a examinarse: El documento 1, relativo a la Certificación EUROPRIVACY. Se observa que el documento aportado constituye un certificado que señala que CURENERGÍA (traducción no oficial del idioma inglés) “cumple con los requisitos relevantes especificados en el esquema de certificación EUROPRIVACY. El objetivo de la evaluación es el cumplimiento del tratamiento de datos personales relativos a la obtención de datos a través de plataformas digitales con la finalidad de la contratación de productos y servicios de IBERDROLA, incluyendo los canales de comunicación web, chatbox y correo electrónico” Dicho esto, se observa que la fecha del certificado es de 24 de julio de
  4. Teniendo en cuenta que los hechos sancionados ocurrieron en agosto de 2023, no puede considerarse que esta certificación pueda acreditar el cumplimiento del principio de privacidad desde el diseño en el momento en que se produjo la infracción. En relación con el documento nº 2 “Procedimiento para garantizar la protección de datos desde del diseño y por defecto”, y con el nº 3 “Procedimiento de Privacidad y Seguridad desde el Diseño y por Defecto de IBERDROLA”, es importante señalar que únicamente se aportan impresiones de pantalla del historial de versiones aprobadas y del índice. Con ello, no resulta posible comprobar si contiene alguna medida que pudiera haber evitado un incidente como el sucedido en este procedimiento. Por lo demás, el documento (o las imágenes del mismo aportadas) no contienen ninguna firma ni sello de fechas. Ni tampoco CURENERGÍA señala medidas concretas que contuvieran dichos documentos. Los documentos número 4, 5 y 6 (los dos primeros sobre el procedimiento de ejercicio de derechos y el último relativo a acciones formativas) por más que pueden valorarse positivamente, nada tienen que ver con lo que fue el origen del incidente, por lo que no pueden tenerse en cuenta de cara a exonerar o rebajar la gravedad de la infracción cometida. Únicamente acreditarían el establecimiento de un procedimiento para contestar a los ejercicios de derechos y la realización de tales acciones formativas. Mediante el documento nº7, Manual de mantenimiento de clientes, CURENERGÍA pretende acreditar la existencia de una medida que estaría establecida para evitar sucesos como el que nos ocupa. Recuérdese que la infracción que se imputa en el presente procedimiento se deriva de un doble factor: por una parte, la posibilidad de atender a dos clientes simultáneamente mediante el canal “chat” y, por otra, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/56 inexistencia de medidas que tiendan a evitar (o corregir inmediatamente) la atribución de un determinado dato personal a quien no es su titular. A este respecto, se indica que se trata de una medida que proporciona un aviso (tipo ventana emergente o “pop up”) en un determinado supuesto. Se avisa sobre la existencia de “posibles datos repetidos”. La explicación es la siguiente: “en 2023 estaba operativo un control sobre cinco
(5)concurrencias en los datos registrados con respecto a datos obrantes en el sistema. Así, el sistema muestra inicialmente un mensaje emergente (aviso o pop-
  1. up)indicando que el registro se encuentra repetido cinco veces. A continuación, se despliega el listado de clientes en los que dicho dato aparece y, finalmente, se solicita confirmación para continuar con la operación.” Esta AEPD valora de forma positiva esta medida, puesto que opera mediante el envío de un aviso cuando un registro se repite cinco veces. Toda vez que en el caso que nos ocupa el email del reclamante coincidía tanto en la información relativa al mismo como en la relativo al tercero al que se referían las comunicaciones recibidas como el reclamante, esta medida estaría relativamente bien enfocada, sin perjuicio de que la repetición de cinco veces como elemento que hiciera emitir el aviso parece una cantidad excesiva si tenemos en cuenta que, con dos repeticiones, como el caso que nos ocupa, podría dar lugar a errores. No obstante, como decimos, esta alegación será tenida en cuenta. Lo mismo sucede en relación con el documento nº 8, Guía informativa para el control de fraude en la dirección comercial. Según se indica, contiene una medida relativa a que no se permite avanzar en el proceso de incorporación o actualización de datos, entre otras circunstancias, cuando el correo electrónico figura informado en otros siete clientes. Si bien esta medida merece una valoración positiva, siete clientes con un mismo dato en común, siendo específico como el correo electrónico, no habría sido suficiente para evitar los hechos analizados en el presente procedimiento. Finalmente, el documento nº 9 “Auditoría en materia de protección de datos realizada el 2 de agosto de 2022” este documento no añade nada en relación con la acreditación de alguna medida directamente dirigida a evitar problemas como el sucedido. Procede, por lo tanto, desestimar parcialmente esta alegación. ALEGACIONES EN RELACIÓN CON LA PRÁCTICA DE LA PRUEBA. En esta materia afirma CURENERGÍA que se ha implementado un software para la actualización de fichas de clientes. Se han incorporado controles manuales y automáticos para la detección de errores de formato, valores atípicos o incoherencias en la estructuración de la información, así como comprobaciones de teléfono y validación de la estructura de distintos valores, incluyendo direcciones de correo electrónico Aportan un Manual corporativo, que es el ya aportado como “Manuel básico iberU” durante la práctica de la prueba, pero en esta ocasión el que se encontraba vigente en el momento en que se produjo la infracción. Aporta varias impresiones de pantalla C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/56 relativas a la operativa de gestión de clientes, de las que deduce que “las operaciones de “mantenimiento” o actualización de datos se llevan a cabo de manera individualizada, en tanto que se realizan desde la propia ficha del cliente”. Adicionalmente, insiste en lo ya comentado durante la prueba, de haberse implantado en CURENERGÍA la herramienta “IPQuality Score”. Dicha herramienta permite analizar y calificar el grado de riesgo o fiabilidad de determinados datos de contacto – tales como número de teléfono móvil o direcciones de correo electrónico. En este apartado, y en relación con la afirmación de que se ha implementado un software para la actualización de fichas de clientes con controles manuales y automáticos para la detección de errores, debe señalarse que, tal y como se describe, va dirigido a la detección automática de errores evidentes a la hora de introducir determinados datos personales. Por ejemplo, el formato que deben tener las direcciones de correo electrónico. Por el contrario, no permitirían detectar errores como el producido en este supuesto, sencillamente de atribuir a un cliente la dirección de e-mail de otro, dada la simultaneidad en la atención a ambos y a la ausencia de procedimientos que detectaran que un mismo dato- en este caso, el correo electrónico esté siendo atribuido a dos cliente diferentes. Lo mismo sucede con el software denominado “IPQuality Score”, respecto al cual tampoco se acredita su idoneidad para detectar errores más allá de los evidentes de formato. Sobre el Manual corporativo, las impresiones de pantalla aportadas se limitan a concluir que “las operaciones de “mantenimiento” o actualización de datos se llevan a cabo de manera individualizada, en tanto que se realizan desde la propia ficha del cliente”. En modo alguno se explica o aclara en qué contribuye este factor a evitar incidentes como el sucedido. CONSIDERACIONES JURÍDICAS SOBRE LA PROPUESTA, PROBADOS Y LAS INFRACCIONES ATRIBUIDAS. LOS HECHOS En primer lugar, parte del deber jurídico de la Administración de motivación de sus resoluciones. A este respecto, considera que la AEPD habría convertido lo que no es sino un fallo humano puntual en un defecto sistémico. Esto, afirma CURENERGÍA, serían “meras conjeturas” contraviniendo el principio de presunción de inocencia. Considera que no existirían elementos probatorios que sustenten la concurrencia de un fallo sistémico Opina que la AEPD se apartaría así de su propio criterio, expresado en la Guía de gestión de riesgo y evaluación de impacto de protección de datos de la Agencia, que considera que el “riesgo cero no existe”. De este modo, considera, la AEPD estaría imponiendo una obligación de resultado, esto es, una sanción por el mero hecho de que este se produzca, sin tener en cuenta las medidas establecidas, que, a juicio de CURENERGÍA tenderían a evitar que se produzca este tipo de sucesos. Entre ellas enumera: - Control de formato, para asegurar la validez de las direcciones de correo electrónico. Asociación múltiple, permitiendo que un cliente vincule hasta siete contratos a una misma dirección (bloqueando el alta si se supera este límite). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/56 - Aviso al agente, cuando la dirección aparezca en hasta cinco contratos, preservando así la eficiencia y la experiencia del usuario. Denegación de alta en el supuesto de que la información se repita hasta en siete contratos. En este apartado, las alegaciones pueden concretarse en tres. En primer lugar, considera CURENERGÍA que el suceso producido se circunscribió a un único caso, el relativo al denunciado por la parte reclamante. Y, sin embargo, afirma, la AEPD estaría deduciendo la existencia de un fallo sistémico o defecto del procedimiento, que afectaría a la generalidad de clientes, siendo así que, a su juicio, esta afirmación carece de sustento probatorio alguno. La segunda alegación se refiere a que la AEPD basa la imputación de la infracción en que esta estaría propiciada por la posibilidad de atención simultánea a dos clientes por la empresa, siendo así que CURENERGÍA considera que tal atención no era simultánea, sino sucesiva, ya que se atendería a un cliente no a la vez que al otro, sino cuando este se encuentra en espera. Finalmente, la tercera alegación reconduce a afirmar que, en materia de protección de datos, no puede existir el “riesgo cero”. Alega que, por muchas medidas técnicas, de seguridad u organizativas que establezca el responsable del tratamiento, no puede garantizarse que nunca pueda producirse una pérdida de integridad o confidencialidad. A raíz de este razonamiento, considera CURENERGÍA que en este procedimiento se estaría realizando la imputación de una infracción “de resultado”, es decir, por el mero hecho que la pérdida de confidencialidad se haya producido, y sin atender a si reamente las medidas establecidas por el responsable del tratamiento eran suficientes y adecuadas. En relación con la primera de las consideraciones, esta debe analizarse a la luz del principio de responsabilidad proactiva consagrado en el artículo 5.2 del RGPD: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” Adicionalmente, la política de protección de datos de toda organización debe partir, ineludiblemente, de un análisis de riesgos que pueden concurrir en el tratamiento. Y los riesgos están en función de los datos tratados, de las operaciones de tratamiento que concurren y de las técnicas que se emplean para el mismo. Refiriéndonos al caso que nos ocupa, la posibilidad de atender simultáneamente a más de un cliente a través del canal “chat” conlleva un riesgo evidente, y es el de propiciar errores al estar atendiendo a dos clientes a la vez. De hecho, en este supuesto se asignó a un cliente la dirección de correo electrónico de otro. Y este riesgo sin duda podría calificarse como alto. Concurre una ausencia, por lo tanto, de un adecuado análisis de riesgos y, con ello, de la adopción de medidas que los eviten o subsanen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/56 Es objeto de este expediente valorar la inexistencia de medidas en el momento de los hechos, con carácter general y partiendo de la aplicación del principio de protección de datos desde el diseño y por defecto, que garanticen que sucesos como este no se produzcan. Y ello sin perjuicio de que se valoren positivamente las medidas adoptadas con posterioridad para evitar que puedan producirse hechos similares en el futuro. Tal y como se tendrá en cuenta en la presente resolución. En relación con la segunda de las alegaciones, no puede coincidirse con CURENERGÍA en que, ni en el supuesto que nos ocupa ni en su sistema de atención al cliente mediante el “chat”, la atención a los clientes sea “sucesiva” y no “simultánea”. Precisamente en sus alegaciones al acuerdo de inicio, la empresa justifica la posibilidad de atención de más de un cliente a la vez en el hecho de que, en numerosas ocasiones, estos tardan mucho en contestar a través del “chat” a determinada información solicitada por el operador. La única manera en que la atención podría considerarse sucesiva sería si, mientras el agente atiende a un cliente, la conversación con otro cliente estuviera totalmente cerrada con el otro. Y esto no es así. La propia CURENERGÍA afirmaba en sus alegaciones al acuerdo de inicio: “En consecuencia, el Canal no tenía como objeto ahorrar costes, sino ser un medio más al que el cliente podría recurrir, justificándose esta simultaneidad limitada ya no solo en la pérdida de productividad que tendría el medio si solo se pudiera atender una conversación a la vez, sino que también en la calidad en la atención al cliente ofrecida ya que, de lo contrario, se tendrían que cerrar constantemente las conversaciones entabladas y los nuevos mensajes del cliente entrarían muy posiblemente a otro agente distinto al que le atendió en primera instancia. Esto, sin lugar a duda, es motivo de descontento en el cliente, quien tendría que invertir indudablemente el doble de tiempo para solucionar su incidencia o plantear su cuestión.” Resta únicamente aclarar que esta Agencia no prejuzga cuáles deben ser los canales de atención al cliente, sino que debe quedar claro que, en función de los utilizados por cada empresa, deben analizarse los riesgos intrínsecos y establecer las medidas necesarias para paliarlos. No obstante lo anterior, cabe valorar de forma positiva que CUENERGÍA cerrada el chat como canal de atención a los clientes. Una medida que, a nuestro juicio, pone de manifiesto las deficiencias derivadas de este sistema en lo que a la protección de datos de los clientes se refiere. Finalmente, en su tercera alegación dentro de este apartado, afirma CURENERGÍA que se estaría imponiendo una sanción por la mera producción de un resultado. Añade que, conforme declara la propia AEPD, el “riesgo cero” no existe. En relación con este comentario, y conforme a todo lo explicado anteriormente, queda claro que no se está sancionando por el mero hecho de que se haya producido una pérdida de confidencialidad de unos datos personales. Como se ha repetido, la infracción consiste en, en aplicación del principio de protección de datos desde el diseño y por defecto, no tener establecidas las medidas técnicas y organizativas necesarias para evitar, o subsanar, un riesgo evidente en la utilización de un canal de atención al cliente que tiene riesgos evidentes de cometer inexactitudes en los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/56 A este respecto, como ya se ha indicado, el resultado producido es lo que ha permitido indagar sobre la inexistencia de este procedimiento y medidas, y solo por esto último se sanciona. VALORACIONES SOBRE LA INFRACCIÓN INCLUIDAS EN LA DETERMINACIÓN DE LA CUANTÍA En este apartado CURENERGÍA llama la atención sobre algunos factores que se señalan como concurrentes en la infracción a la hora de determinar la cuantía de la sanción. Por una parte, se señala que la AEPD tiene en cuenta para dicha determinación el hecho de que el filtrado de información sobre impagos de la persona afectada suponga una mayor intrusión en la intimidad de la misma. Por otra parte, también se toma en consideración en la propuesta de resolución que con la infracción se produce el perjuicio consistente a dar información relativa a la solvencia económica del afectado. A este respecto, CURENERGÍA considera que los datos filtrados no estarían dando información sobre solvencia económica. Además, opina que no se puede deducirse que el riesgo de filtrar datos de solvencia se proyecte potencialmente sobre 3 millones de clientes de la empresa. En relación con la mayor intrusión por suministrar datos sobre impagos, entiende que este factor podría considerarse en casos de accesos a los datos por un gran número de personas, pero no en un caso como este en que solo habría accedido una. En primer lugar, considera que los datos filtrados no darían información sobre la solvencia económica. No puede sino discreparse de esta consideración. Con independencia de la cuantía de la deuda comunicada, lo cierto es que quien recibió la información pudo deducir la situación de impago de la deuda y, con ello, datos sobre solvencia. En segundo, alega que no se puede deducir que el riesgo de filtrar datos de solvencia se proyecte sobre 3 millones de clientes de la empresa. En relación con esta observación, es preciso aclarar que la propuesta de resolución ni dice ni permite deducir tal conclusión. Lo que hace, dentro del apartado mencionado de determinación de la cuantía de la sanción, es considerar que, con independencia de la constatación de la afectación del incidente de confidencialidad a un sujeto, dado que no existía un procedimiento ni medidas establecidas para evitar este tipo de incidentes, los 3 millones de clientes de CURENERGÍA se encontraban potencialmente afectados por la infracción, ya que, con dicha falta de medidas, cualquiera podía sufrir este tipo incidentes. Es decir, no se realizaba afirmación alguna de que los 3 millones estuvieran expuestos justo en lo relativo a información sobre la solvencia. Finalmente, en relación con la información sobre impagos, la mayor intrusión en la intimidad por suministrar dichos datos, a juicio de CURENERGÍA solo devendría de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/56 casos de accesos por un gran número de personas, pero no en un caso como este en que solo accedió una. Realmente ello no es así. La indicación que efectúa la propuesta de resolución de concurrencia de una mayor intrusión lo es en función de la cualidad del dato filtrado (información sobre la existencia de una deuda impagada), con independencia del número de personas que hubieran accedido a la misma. MOTIVACIÓN En este apartado, y como conclusión de los anteriores, considera CURENERGÍA que la resolución no está suficientemente motivada. La motivación, afirma, debe “permitir al interesado conocer los fundamentos de la resolución, posibilitar el ejercicio de su derecho de defensa y permitir el control jurisdiccional por parte de los tribunales”. En relación con este aspecto, no bastaría con “afirmaciones genéricas o valoraciones apodícticas”; es necesario que la Administración exponga de forma razonada los hechos y fundamentos jurídicos que sustentan su actuación. Como corolario de lo anterior, afirma que en este procedimiento se produce una “falta de hechos probados y la sustitución de estos por simples apreciaciones vulnera la presunción de inocencia”. Aporta jurisprudencia al respecto. En relación a esta alegación debe señalarse que a lo largo de todo este apartado de contestación a las alegaciones (y en los sucesivos) se contesta exhaustivamente a todas las cuestiones planteadas por la parte reclamada. A todo ello nos remitimos para considerar que todos y cada uno de los aspectos planteados se encuentran correctamente reflejados en esta resolución. En relación genérica con la necesidad de motivación de los actos administrativos, conforme al artículo 35 de la Ley 39/2015, de 1 de octubre, del Procedimiento administrativo común de las Administraciones Públicas, los actos “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho”. Así se hace en la presente resolución y se ha hecho en los documentos procedimentales precedentes. Así, en el acuerdo de inicio se contenían todos y cada uno de los extremos previstos en su artículo 64 de dicha ley. En la propuesta se incluía todo lo indicado en el artículo 89 y en la presente resolución lo establecido en su artículo 90. En relación con el aspecto más señalado por CURENERGÍA, como es la presunta inexistencia de elementos probatorios para la determinación de la infracción, tanto en la propuesta como en la presente resolución se contiene una relación de hechos probados y los fundamentos jurídicos oportunos que establecen la correlación entre los mismos y el régimen jurídico aplicable. En cuanto a los elementos probatorios necesarios para acreditar cada uno de los hechos probados y su incardinación en la calificación sancionadora, son los que se detallan a lo largo de la presente resolución. No cabe entender vulnerado el principio de necesidad de motivación ni el de presunción de inocencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/56 Segunda. Sobre el error en la tipificación de la infracción En relación con este aspecto, incluye CURENERGÍA una serie de consideraciones. Comienza señalando lo que podría ser una errata, en el Fundamento jurídico relativo a las medidas correctivas que podrían imponerse en la resolución. En este apartado se menciona que las medidas se impondrían para garantizar el cumplimiento tanto del artículo 25 como del artículo 5 del RGPD. Sin embargo, se propone solo sancionar por el incumplimiento del primero. A continuación incluye consideraciones acerca del alcance del principio de privacidad desde el diseño y por defecto. Considera que, en el marco de este principio, no solo deben adoptarse las medidas oportunas para poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, sino también para acreditar la eficacia de las medidas. A este respecto, afirma que CURENERGÍA habría adoptado dichas medidas en dos momentos diferentes: en primer lugar, cuando se procedió a la corrección de los datos de los clientes afectados, tras recibir la reclamación. Y en segundo, cuando se realizó la implementación de medidas de control para la verificación de datos repetidos Continúa argumentando que el principio de privacidad desde el diseño es aplicable a la totalidad de los tratamientos realizados por la entidad, y no únicamente al canal de atención al cliente. Por ello, alega que la realización de un tratamiento irregular en un caso puntual —como la comunicación derivada del error involuntario del agente— no permite fundamentar la conclusión de incumplimiento del principio de protección de datos desde el diseño y por defecto. En relación con este aspecto, señala que el único elemento de riesgo susceptible de consideración sería, como máximo, el relativo a las 15.030 interacciones realizadas a través del canal chat en 2023 Añade CURENERGÍA que el RGPD atribuye a las autoridades de control unos amplios poderes de investigación, que en este caso la AEPD no ejerció, al no realizar un trámite de actuaciones previas de investigación. Por el contrario, se habría limitado a extrapolar un supuesto concreto para determinar la existencia de un fallo sistémico. De este modo, continúa en sus alegaciones, los hechos concretos imputados a CURENERGÍA en este procedimiento no se encuentran tipificados como infracción administrativa en el marco conjunto de los artículos 83.4 y 25 del RGPD, ni en norma con rango de ley alguna. A este respecto, señala que el artículo 27 LRJSP recoge el principio de tipicidad o predeterminación normativa (“lex certa”). Para poder sancionar, se exige esa predeterminación y descripción de las conductas sancionables sin que quepan cláusulas generales Así, señala CURENERGÍA que los tipos sancionadores abiertos como el que nos ocupa, que requieren de una concreción para el caso concreto de la que su enunciado general carece, han sido admitidos por el Tribunal Constitucional siempre que esa concreción para el caso concreto pueda hacerse en virtud de criterios lógicos, técnicos o de experiencia, convirtiéndose esta concreción para el caso concreto en una carga para el aplicador del Derecho. Por ello se exige que la Administración sancionadora lleve a cabo un razonamiento “en virtud de criterios técnicos, lógicos o de experiencia” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/56 y una “valoración sistemática de todos los elementos que integran la norma, atendiendo a la finalidad y fundamento de la misma” En relación con estas alegaciones, debe aclararse, en primer lugar, que lo que CURENERGÍA señala como un error en el fundamento jurídico relativo a las medidas correctivas no es tal. Recordemos que el procedimiento sancionador se inició con la imputación el artículo 5.1.
  2. d)del RGPD, siendo así que en la propuesta de resolución se modificó la calificación de la infracción por el artículo 25 RGPD. En la medida en que pudiera subsistir alguna inexactitud en los datos denunciados por la parte reclamación, podría haber tenido que imponerse una medida correctiva también con base en ese artículo. Una vez constatado que los datos fueron corregidos, la mención al artículo 5 se suprime de las medidas que se imponen en esta resolución. En relación con la tipificación de los hechos y la imputación de la correspondiente infracción, son varias las alegaciones realizadas por CURENERGÍA. Afirma en primer lugar que el principio de privacidad desde el diseño implica que no solo el responsable del tratamiento debe estar en condiciones de acreditar el cumplimiento de las obligaciones del RGPD, sino también la eficacia de dichas medidas. Y para ello alude a la corrección que se efectuó en la ficha de cliente, así como, en momento posterior, la implementación de medidas de control para la verificación de datos repetidos. En relación con esta alegación, es preciso señalar que la imputación de la infracción del mencionado principio de privacidad desde el diseño, parte del hecho de que precisamente no estaban implantadas medidas eficaces para evitar el riesgo de que el tratamiento simultáneo de los datos de dos clientes a la vez pudiera ocasionar inexactitudes en los mismos, y, derivada de ella, pérdidas de confidencialidad en el tratamiento. CURENERGÍA ahora alude en primer lugar a que los datos quedaron corregidos tras la reclamación de quien recibió los del otro cliente.Si bien ello no implica que los hechos- y, por lo tanto, la infracción- no se hubieran producido, se valora positivamente que se haya subsanado el error en el tratamiento de los datos personales puestos de manifiesto en el presente procedimiento. Y en segundo lugar indica, de modo genérico e impreciso que se llevó a cabo posteriormente una “implementación de medidas de control para la verificación de datos repetidos”. Si bien no aclara qué medidas son estas, el aspecto definitivo consiste en que, en el año 2024 CURENERGÍA habría eliminado el canal “chat” para relacionarse con sus clientes. Toda vez que este era el único que permitía la atención simultánea de dos clientes. A continuación CURENERGÍA intenta relativizar la vulneración del principio de privacidad desde el diseño. Indica que este implica a todos los procesos de tratamiento de datos personales realizados por una empresa, siendo así que el presente procedimiento se refiere únicamente a la atención al cliente realizado a través de un canal que en el año 2023 utilizaron únicamente 15.030 clientes (o para ser más precisos, incluyó ese número de interacciones). A este respecto, debe contestarse que en el presente procedimiento no se ha afirmado, ni mucho menos considerado hecho probado, que el incumplimiento del principio afecte a todos los tratamientos o procesos de la empresa. Ni tampoco es necesario que para que pueda entenderse vulnerado dicho principio se vean afectados todos los procesos. Lo que ha quedado constatado en este procedimiento es que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/56 atención al cliente mediante el canal “chat” adolecía de una importante falta de medidas técnicas y organizativas que garantizasen el cumplimiento del principio de integridad y confidencialidad. Siendo así que dicho canal permitía la atención simultánea a dos clientes, ni siquiera se había previsto el riesgo que ello conlleva de que se puedan producir errores. Una vez omitido dicho riesgo, esto trae como consecuencia que no se arbitraran medidas para evitarlo o subsanarlo. Ninguna ha sido aportada al presente procedimiento. Con ello, se ha producido una vulneración del principio de privacidad desde el diseño porque se trataba de un defecto de procedimiento, de carácter general y podía afectar a cualquier cliente que utilizara el canal “chat”. Dicho esto, la naturaleza y dimensión del defecto es tenida en consideración de cara a determinar la cuantía de la sanción. Señala asimismo CURENERGÍA que la AEPD no habría ejercido los “amplios poderes de investigación” que le confiere el RGPD. En su lugar, arguye, se habría limitado a extrapolar un supuesto concreto para determinar la existencia de un fallo sistémico. Ello no es así. En la tramitación del procedimiento, y de cara a la adopción de la decisión sobre admisión a trámite, se recabó de CURENERGÍA la oportuna documentación a información acerca del caso que nos ocupa. Con base en su contestación, por parte de esta Agencia se consideró que existían indicios más que suficientes para la apertura de un procedimiento sancionador. En efecto, en dicho escrito se ponía de manifiesto que el incidente se había producido debido a “un error humano en el que un agente de dicho canal colaborador de CURENERGÍA actualizó erróneamente la ficha de otro cliente con el correo electrónico del Reclamante, al encontrarse atendiendo a ambos usuarios simultáneamente por canales distintos”. Y lo cierto es que tanto tras el acuerdo de inicio como tras la propuesta de resolución, CURENERGÍA ha tenido oportunidad de alegar todo lo que ha considerado conveniente en su defensa y de aportar toda la documentación que le pudiera convenir. En este sentido, en el expediente obra documentación más que suficiente para, como extensamente se motiva en esta resolución, considerar acreditado que CURENERGÍA ha cometido una infracción del artículo 25 del RGPD. En este apartado de alegaciones CURENERGÍA concluye afirmando que no se ha concretado de manera efectiva el motivo por el cual dicha empresa estaría contraviniendo el principio de privacidad desde el diseño. Argumenta que nuestro Ordenamiento trata de evitar los tipos sancionadores genéricos y, si bien no los proscribe totalmente, la imposición de este tipo de sanciones exige un plus de motivación para que se determine de manera concreta el incumplimiento producido y la infracción cometida. En contestación a esta alegación debe partirse de la regulación a nivel europeo de la normativa de protección de datos. Como es sabido, tanto el régimen sustantivo (derechos y obligaciones) como el sancionador se encuentran en el RGPD, una norma europea que, debido a su rango de Reglamento, resulta directa e inmediatamente aplicable en todos los Estados miembros. Y ello sin necesidad de normativa interna alguna que la incorpore o desarrolle. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/56 Y a este respecto, debe recordarse que el régimen sancionador, como decimos aplicable directamente por los Estados miembros, se encuentra establecido en el artículo 83 del mencionado RGPD. Y este régimen sancionador califica como infracción el incumplimiento prácticamente de cualquiera de los preceptos del Reglamento. En el caso que nos ocupa, su apartado 4 establece: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  3. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” Como puede observarse, se considera infracción el incumplimiento de lo dispuesto en el artículo 25 del RGPD. Dicho esto, la resolución que imponga una sanción por este incumplimiento debe motivar de manera exhaustiva por qué los hechos constatados constituyen un incumplimiento del principio de privacidad desde el diseño. Y en este aspecto se coincide con CURENERGÍA que el incumplimiento de principios generales, como este, del RGPD exige una motivación más rigurosa que el incumplimiento de una obligación muy concreta, como podría ser la necesidad de disponer de un Registro de actividades de tratamiento. En todo caso, tanto en la contestación a las alegaciones como en los fundamentos jurídicos de esta resolución se contiene una extensa motivación de por qué se considera incumplido el principio de privacidad desde el diseño. Y ello no es, como trata de insistir desacertadamente CURENERGÍA, por el mero hecho de que en un caso concreto se haya producido la pérdida de confidencialidad de datos personales de un sujeto, sino, como se ha repetido en esta resolución, por la inexistencia de un procedimiento con medidas adecuadas para que esto no sucediera, dadas las peculiaridades de gestión del canal “chat”, que permitía la atención simultánea de dos clientes. Tercera. Sobre la inadmisibilidad de la responsabilidad objetiva. Vulneración del principio de culpabilidad Esta alegación versa sobre el principio de culpabilidad. Recuerda CURENERGÍA que la exigencia de responsabilidad administrativa implica la necesaria concurrencia de dolo o culpa en la infracción. Nuestro ordenamiento, afirma, proscribe la existencia de una “responsabilidad objetiva”, esto es, por la mera producción de un resultado y obviando la necesidad de que se produzca como mínimo una negligencia por parte del responsable. Llama la atención CURENERGÍA sobre el hecho de que la motivación de por qué concurre negligencia sea la misma tanto en el acuerdo de inicio como en la propuesta de resolución, siendo así que se modificó la calificación de la infracción, pasando del artículo 5.1.
  4. d)al artículo 25 del RGPD. De este modo, alega, la negligencia no puede “trasladarse” de una infracción a otra. Con ello, no existiría una fundamentación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/56 específica de la misma para el artículo 25. Concluye afirmando que no estaría probada la culpa y recuerda que esta debe probarse para enervar la presunción de inocencia. Alega asimismo que en la propuesta de resolución se considera que los hechos acreditados son constitutivos de una infracción de procedimiento, que excede del caso concreto, imputable a la parte reclamada, por vulneración del artículo 25 del RGPD. Pero esta consideración la basaría la AEPD únicamente en afirmaciones genéricas como “Los procedimientos implantados no fueron efectivos pues de lo contrario el operador habría advertido y corregido el error cometido”. Alega en consecuencia que la propuesta incurre en una actuación que el TJUE proscribe, al basarse únicamente en conjeturas o hipótesis. Finaliza afirmando que la Propuesta parece confundir el concepto de responsabilidad proactiva con la obligación de resultado que impone la responsabilidad objetiva. En relación con el principio de culpabilidad, las alegaciones de CURENERGÍA se concretan en dos consideraciones. La primera, que en el presente procedimiento se estaría incurriendo en un supuesto de imputación de responsabilidad objetiva. Es decir, la AEPD estaría sancionado a CURENERGÍA únicamente por la constatación de la producción de un resultado, pero sin acreditar la concurrencia de dolo o negligencia por su parte. En relación con esta alegación, no cabe sino remitirse a las anteriores contestaciones a las alegaciones. Como se ha explicado, CURENERGÍA insiste en intentar reconducir el expediente a la existencia de un caso concreto de pérdida de confidencialidad de los datos de solo una persona. Y, a partir de ahí, decir que esto sería lo único acreditado y que la AEPD realiza una extrapolación, de que dicho incidente sería aplicable a la generalidad de clientes o que constituye un fallo sistémico. Como se ha indicado ya en numerosas ocasiones, esto no es así. El caso concreto fue la reclamación recibida en la AEPD y que determinó la existencia de indicios de infracción del RGPD, lo que dio lugar a la apertura de expediente sancionador. Sin embargo, tras la recepción de alegaciones al acuerdo de inicio y la práctica de la prueba, se ha considerado acreditado un fallo de procedimiento. Y es que CURENERGÍA no tenía establecidas medidas técnicas u organizativas para evitar que se produjeran inexactitudes en los datos, y la probable consecuencia de pérdida de confidencialidad, en el procedimiento de atención al cliente mediante el canal chat. Y como ya ha quedado dicho, el procedimiento no estaba previsto, ni las correspondientes medidas establecidas debido a que no se había realizado un adecuado análisis de riesgos. En efecto, CURENERGÍA no ha presentado ni un solo documento con un análisis de riesgos de los diferentes tratamientos. Y es que un mero análisis del canal “chat” y su operativa habrían hecho detectar el riesgo evidente que se produce cuando se atiende a dos clientes simultáneamente. Recordemos lo que ordena el artículo 25 ahora infringido: “Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/56 diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas” Y es que el análisis de riesgo es la base sobre la que pivota la política de protección de datos del todo responsable del tratamiento. Sin un adecuado análisis de riesgos, es difícil que se establezcan medidas adecuadas para salvaguardar los principios establecidos en el artículo 5 del RGPD (entre ellos, algunos tan importantes como el de minimización, limitación de la finalidad o exactitud). Ahí se encuentra la negligencia. CURENERGÍA no analizó los riesgos adecuadamente. Con ello no detectó el riesgo de inexactitudes en la incorporación o modificación de datos personales a través de la atención mediante el canal “chat”. Y de ello se deriva la inexistencia de medidas adecuadas para evitar o subsanar esos riesgos. Y está obligado a todo ello conforme a los preceptos del RGPD. Y, como conclusión, la inexistencia de medidas afectaba a los datos de cualquier cliente de CURENERGÍA que utilizara el chat, que estaba a disposición de todos. Con ello, el incumplimiento reviste un carácter general, y no se refiere, como pretender hacer creer la parte reclamada, al caso concreto que dio lugar al inicio del expediente. Como complemento a esta alegación, afirma CURENERGÍA que la concurrencia de la culpa no estaría motivada adecuadamente en la propuesta de resolución, dado que, afirma, esta se habría limitado a reproducir la justificación incluida en el acuerdo de inicio. Esto invalidaría la motivación, ya que, recuerda CURENERGÍA, el acuerdo de inicio se basaba en la imputación de un artículo distinto al de la propuesta. En relación con esta alegación, comete CURENERGÍA el error de considerar que la motivación de la concurrencia de la culpa se contiene en el fundamento jurídico relativo a la determinación de la cuantía de la sanción. Y ello no es así. La concurrencia de negligencia se detalla de manera directa y exhaustiva en el fundamento jurídico V (“Obligación incumplida. Infracción del artículo 25 del RGPD”). En efecto, en este fundamento jurídico, al que nos remitimos, se motiva la comisión de la infracción y la motivación de por qué debió exigirse una mayor diligencia a CURENERGÍA en el establecimiento del procedimiento de atención al cliente mediante el canal “chat”. Por el contrario, el Fundamento jurídico cuyo texto reproduce CURENERGÍA en sus alegaciones, es el dedicado a justificar la cuantía de la sanción impuesta. Y a esos efectos, debe declararse, tal y como exige el artículo 83.2.b), si concurre intencionalidad o negligencia en los hechos. Y se incluye una breve argumentación de por qué se considera que media culpa en la infracción. Ateniéndonos a la motivación que en este apartado se contiene en la propuesta de resolución se contienen factores como: - El alto riesgo existente en el tratamiento de estos datos personales La inexistencia de procedimientos efectivos de detección, comprobación y corrección de posibles discrepancias cometidas por los agentes al atender C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/56 - simultáneamente a varios clientes (como se observa, se refiere a los procedimientos, y no a un solo caso concreto) La omisión de los deberes de comprobación que son medidas básicas a adoptar por todo responsable de tratamiento de datos personales, máxime cuando maneja tal elevado volumen de datos personales. Factores perfectamente aplicables al caso que nos ocupa en este procedimiento, por lo que no puede afirmarse que esté motivada ni acreditada la existencia de culpa. Primero, porque la motivación esencial se encuentra en otro fundamento jurídico. Segundo, porque en el fundamento al que se refiere CURENERGÍA también incluye los rasgos básicos de la negligencia concurrente en la infracción. No obstante lo anterior, se tiene en cuenta el número de usuarios del chat indicado por CURENERGIA que, sin perjuicio de que cho cana de comunicación estuviera a disposición de todos sus clientes, permite dimensionar su uso. Cuarta. Vulneración del principio de proporcionalidad En relación con esta alegación, algunos de sus comentarios fueron ya realizados al alegar sobre el acuerdo de inicio y a su contestación nos remitimos. En relación con el resto de alegaciones, CURENERGÍA indica que la cuantía de la sanción no superaría el “test tridimensional de proporcionalidad —idoneidad, necesidad y proporcionalidad en sentido estricto—“, que contempla la STC 2596/2025. Afirma asimismo que la cuantía del volumen de negocio no justifica sanción que supere la cuantía adecua

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.