PS-00456-2023

1/16 Expediente N.º: EXP202301331 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TOTALENERGIES CLIENTES, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202301331 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 18 de diciembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TOTALENERGIES CLIENTES, S.A. con NIF A95000295 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que se ha llevado a cabo un cruce de datos al dar de alta el servicio de suministro del gas en su vivienda con la parte reclamada. Afirma que se han asociado sus datos persones con el de un tercero que estaba llevando a cabo el mismo trámite. Señala que los datos personales del tercero (nombre, apellidos, dirección postal y cuenta bancaria) figuran en el contrato suscrito para el suministro de gas del domicilio de la reclamante, donde los únicos datos correctos, son la dirección del suministro, DNI, teléfono y correo electrónico. A efectos acreditativos, se acompaña al escrito de reclamación el contrato celebrado con la compañía reclamada, en el cual figuran tanto datos de la un reclamante como de un tercero, así como un correo electrónico dirigido por la parte reclamada al tercero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 07/02/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 07/03/2023 se recibe en esta Agencia escrito de respuesta de la parte reclamada. La respuesta de la entidad en cuestión indica que no constan datos de la parte reclamante en relación con el contrato de suministro de gas mencionado. Además, señalan que no comercializan gas natural y, por lo tanto, no podrían haber establecido un contrato de suministro de este servicio con la reclamante. Afirman que, tras recibir el requerimiento de información y realizar investigaciones pertinentes, la entidad envió una carta a la parte reclamante para informar sobre las acciones realizadas y confirmar la ausencia de datos sobre el contrato de suministro de gas en sus sistemas. Adjuntan una copia de esta carta como documento de referencia. TERCERO: Con fecha 18 de marzo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los extremos que seguidamente se exponen. La reclamante expuso un problema de cruce de datos personales con los de un tercero al contratar el servicio de suministro de gas en su domicilio con la compañía reclamada, ocurrido el 12 de diciembre de 2022. En dicho escrito manifiesta que, al darse de alta en el servicio, sus datos personales se mezclaron con los de otro cliente en proceso similar. En el contrato presentado junto a la reclamación, constan datos erróneos como el nombre, apellidos, dirección postal y cuenta bancaria de un tercero, manteniéndose correctos únicamente su dirección de suministro, DNI, teléfono y correo electrónico. Por su parte, la entidad reclamada, en su respuesta inicial a la presente autoridad, negó la existencia de datos incorrectos en sus sistemas, argumentando que no comercializan gas natural. Sin embargo, tras una investigación más profunda, reconocieron un error humano en el proceso de carga manual de datos, que resultó en el mencionado cruce de información. Señalan que, aunque los datos del tercero se asociaron erróneamente con el perfil de la reclamante, no se activó ningún contrato para el tercero y, por tanto, no tuvo acceso a los datos de la reclamante. Afirman que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 la entidad procedió a enviar una carta a la reclamante explicando las razones del incidente y las acciones tomadas para solucionarlo. Asimismo, incluyen detalles sobre la actualización de la facturación del suministro de gas y servicio de mantenimiento, procediendo a anular las facturas erróneamente emitidas y emitiéndolas nuevamente con los datos correctos. Se tiene constancia por la presente autoridad que, con anterioridad a la presentación de la reclamación, la reclamante había presentado otra reclamación ante la Oficina Municipal de Información al Consumidor del Ayuntamiento de ***LOCALIDAD.1, trasladada a la parte reclamada el 24 de enero de 2023 y respondida el 17 de febrero de 2023. En la respuesta a dicho traslado, la entidad detalló las acciones realizadas para resolver el incidente y expresó disculpas por las molestias causadas. Como documentación adicional presentada por la parte reclamada se incluye un registro de las interacciones entre ésta y la parte reclamante. De la misma se observa que la reclamante había contactado a la entidad en varias ocasiones, comenzando el 7 de noviembre de 2022, para informar sobre la incidencia consistente en la discrepancia en los datos y expresar su descontento con la lentitud de las gestiones. Es mediante esta primera comunicación, a través de la cual la parte reclamada tuvo conocimiento de la incidencia sufrida por la parte reclamante. La compañía mantuvo comunicación regular con la reclamante, tanto telefónicamente como electrónicamente, para confirmar datos y actualizar la situación. Finalmente, el 13 de febrero de 2023, la entidad realizó la corrección de los datos erróneos en sus sistemas internos, asegurando la desvinculación entre los datos del tercero y los de la reclamante, así como la exactitud de los datos en el área de cliente de la reclamante, resolviendo de esta forma la incidencia. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TOTALENERGIES CLIENTES, S.A. es una gran empresa, y con un volumen de negocios de 1.700.272.000 € millones en el año 2022 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 II Obligación incumplida del artículo 5.1

1. f)RGPD De acuerdo con el apartado 1.
2. f)del artículo 5 RGPD los datos deben ser “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)” De la misma forma, el Considerado 39 RGPD dispone que: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” El principio de confidencialidad, según el mencionado artículo 5.1
3. f)del RGPD, exige la protección de datos personales contra accesos, usos y divulgaciones no autorizados. Dicho principio resulta esencial para garantizar la seguridad de los datos personales, constituyendo un pilar clave en la protección del derecho fundamental en dicho ámbito. Por el contrario, la violación de este principio puede tener consecuencias no deseadas, reflejando su importancia en el marco normativo de la protección de datos. En el presente caso, de las actuaciones de investigación realizadas se observa un incidente consistente en el hecho de que los datos personales de la reclamante fueron entrecruzados con los de un tercero en un contrato durante el proceso de alta en un servicio de suministro realizado por la parte reclamada. Dicha situación, sin perjuicio de lo que resulte a lo largo de la instrucción del procedimiento, representa una presunta vulneración de los principios de integridad y confidencialidad de los datos personales, tal como se estipula en el citado artículo 5.1
4. f)del RGPD y en los términos que seguidamente se exponen. En primer lugar, conviene indicar que el artículo 4 define como datos personales “a toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” El hecho consistente en asociar erróneamente datos personales de un tercero, como nombre, apellidos, dirección postal y cuenta bancaria, al contrato y perfil de la parte reclamante conlleva que determinados datos hayan sido expuestos por personas no autorizadas. En el presente caso, el cruce indebido de información involucró la exposición no autorizada de los datos personales de un tercero. En este sentido, la gravedad del incidente en este caso reside en las implicaciones que ha supuesto, tanto para la parte reclamante como para el tercero. En el caso de la parte reclamante, la aparición de datos de un tercero en su contrato no solo generó confusión, sino que también puso en riesgo la propia seguridad de sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 datos personales, al tratarse de información errónea y potencialmente comprometedora. La circunstancia de que, tal y como afirma la parte reclamada, no se produjera finalmente una afectación de sus datos no desvirtúa el hecho de que los mismos se encontraron en riesgo de ser indebidamente tratados en un determinado período de tiempo. Conviene recordar que fue la propia parte reclamante y no la reclamada quien informó de la incidencia producida, lo que conllevo la subsanación de la incidencia de la misma y, en consecuencia, a la mitigación o cese del riesgo. Por lo que se refiere al tercero afectado, la incorporación sin su consentimiento de sus datos personales en el contrato de otra persona supuso, en consecuencia, una presunta vulneración del principio de confidencialidad, dado que, tuvo conocimiento de dichos datos personales la parte reclamante, la cual no estaba legitimada para acceder a estos, tal y como indica en la propia reclamación y se deduce de las actuaciones previas realizadas por esta entidad. En conclusión, el incidente en cuestión representa una presunta vulneración del principio de confidencialidad, tal como se define en el artículo 5.1
5. f)del RGPD. La confidencialidad de los datos personales es un pilar fundamental de la protección de datos, y su infracción en este caso se manifiesta en la exposición no autorizada y el uso indebido de un tercero tras incorporarse erróneamente en el contrato de la parte reclamada. III Tipificación y calificación de la infracción del artículo 5.1.
6. f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
7. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16
9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV Sanción por la infracción del artículo 5.1.
10. f)del RGPD Según el artículo 83.2 del RGPD “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
11. a)a
12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
14. b)la intencionalidad o negligencia en la infracción;
15. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
16. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
19. g)las categorías de los datos de carácter personal afectados por la infracción;
20. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. De la misma forma, el artículo 76 de la LOPDGDD establece una serie de criterios para graduar la posible sanción, siguiendo lo dispuesto en el apartado
24. k)del anterior artículo: “De acuerdo a lo previsto en el artículo 83.2.
25. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
26. a)El carácter continuado de la infracción.
27. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16
29. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
30. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
31. f)La afectación a los derechos de los menores.
32. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
33. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” Teniendo en cuanta dichos preceptos, en el presente supuesto se considera que procede graduar la sanción a imponer en los siguientes términos: Posible agravante prevista en el apartado
34. a)del artículo 83.2 del RGPD: “
35. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;” La concurrencia de la posible agravante se manifiesta en la naturaleza de la infracción, dado que los hechos han afectado a determinados datos, como información bancaria y de contacto, cuya exposición aumentaba el riesgo de uso indebido y fraude. Además, la infracción se ve agravada por el contexto en el que se produce, puesto que tuvo lugar en un entorno contractual, donde los individuos confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas de los afectados respecto al tratamiento de sus datos personales. Posible agravante prevista en el apartado
36. b)del artículo 76 del LOPDGDD: “
37. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.” La aplicación de esta posible agravante deriva del sector en el que opera la parte reclamada, consistente en el suministro de energía, lo cual conlleva la gestión de una cantidad significativa de datos personales de sus clientes, incluyendo información sensible y detallada relacionada con la facturación y el consumo. Dicha circunstancia amplifica el potencial impacto negativo y el riesgo para los individuos afectados cuyos datos han sido expuestos. No se aprecia la concurrencia de circunstancias atenuantes. En función de las mencionadas circunstancias, de acuerdo con lo dispuesto en el artículo 83.5 del RGPD, y sin perjuicio de lo que resulte de la instrucción del presente procedimiento, se considera adecuado fijar como posible sanción una multa de cuantía de 140.000 € (CIENTO CUARENTA MIL EUROS) V Artículo 32 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 El artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
38. a)la seudonimización y el cifrado de datos personales;
39. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
40. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
41. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. Por su parte, el considerando 83 del RGPD señala que “