PS-00459-2024

1/32  Expediente N.º: EXP202406239 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 20 de marzo 2024, A.A.A. interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a IBERDROLA CLIENTES, S.A.U. con NIF A95758389 (en adelante, IBERCLI o parte reclamada). Los motivos que fundamentaron la reclamación fueron los siguientes: A.A.A. expone que I-DE Redes Eléctricas Inteligentes, S.A.U. le envió un documento en el que figuraba el correo electrónico de su hija (***EMAIL.1) y que, en ningún momento, ni A.A.A. ni su hija se lo proporcionaron. Indica que lo puso en conocimiento de la entidad y que esta le contestó que había sido facilitado por IBERDROLA CLIENTES, S.A.U. Junto a la reclamación aporta la siguiente documentación: - Captura de pantalla del correo electrónico enviado por I-DE Redes Eléctricas Inteligentes (***EMAIL.2) a ***EMAIL.1. Según esta copia, el correo se envió en fecha 22 de noviembre de 2023 con el siguiente contenido: “(…). (…).” - Copia de la contestación de I-DE Redes Eléctricas Inteligentes a la reclamación presentada ante esta por A.A.A. Según esta copia, la citada entidad respondió en fecha 17 de enero de 2024 lo siguiente: “(…): (…).” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 26 de abril de 2024 se dio traslado de dicha reclamación a IBERCLI, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/32 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 6 de mayo de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 22 de mayo de 2024, se recibió en esta Agencia, en tiempo y forma, escrito de respuesta en el que manifestaba, en síntesis: - IBERCLI señala que “el email de (…) se asoció a petición suya a un contrato en vigor”. IBERCLI como comercializadora "está obligada legalmente al envío de los datos personales de sus clientes a la distribuidora", por lo que no ha vulnerado la normativa de protección de datos de carácter personal. La cesión de datos entre distribuidora y comercializadora deviene establecida y formalizada a través de unos flujogramas y formatos de ficheros que han sido implementados por la CNMC y que son de obligado cumplimiento. TERCERO: En fecha 5 de junio de 2024, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la inadmisión a trámite de la reclamación. La resolución fue notificada a A.A.A.., en fecha 14 de junio de 2024, según consta acreditado en el expediente CUARTO: En fecha 19 de junio de 2024, A.A.A. presentó en esta Agencia, en tiempo y forma, recurso de reposición, fundamentándolo en que es (…) quien suscribió el contrato con la energética, y no su hija, y que IBERCLI no ha demostrado que (…) le haya facilitado el correo electrónico de su hija. QUINTO: En fecha 14 de agosto de 2024, se remitió el recurso interpuesto a IBERCLI en el marco de lo establecido en el artículo 118.1 de la LPACAP a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes. IBERCLI presentó, en tiempo y forma, escrito de alegaciones en fecha 16 de septiembre de 2024 en el que manifestaba, en síntesis, lo siguiente: “[…] el origen del cambio de email fue una llamada realizada en fecha 20 de enero de 2023. En dicha llamada, la Parte Reclamante solicitó la copia de una factura de suministro y aportó para ello el email ***EMAIL.1 […] Como se ha expuesto, en dicha llamada, se aportaron todos los datos necesarios para identificar al cliente y verificar así la titularidad. Como muestra de ello adjuntamos otro pantallazo en el que se pueden ver las interacciones de ese día. Concretamente a las 10:28 la Parte Reclamante se identificó correctamente aportando los datos que le fueron solicitados por Iberdrola para la verificación de su identidad de forma correcta y atendiendo a la petición realizada por (…), se dio de alta el email ***EMAIL.1. Se adjunta además como ANEXO I, la guía que siguen desde nuestro CALL CENTER sobre el control PSI, cuya función es garantizar la seguridad de los datos personales y del contrato del cliente. Como se recoge en dicha guía, cuando se soliciten C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/32 telefónicamente gestiones, será necesario que la persona identifique al menos 4 datos, que podrán ser los siguientes: (…) Por tanto, como consecuencia de la llamada, el email ***EMAIL.1 quedó vinculado al contrato de A.A.A. e IBERCLI, como comercializadora, al estar obligada legalmente al envío de los datos personales de sus clientes a la distribuidora de acuerdo con la CNMC, el email vinculado al contrato también fue comunicado a la distribuidora […]”. Se aporta como Anexo 1 un documento de fecha 19 de marzo de 2023 que, bajo el título “(...)”, detalla el proceso a seguir por el departamento de “Call Center” en relación con el sistema PSI. En este documento se indica: “(…) (…). (…) (…). (…). (…). (…). (…). (…) (…). (…). (…). (…) (…). (…). (…). (…) (…). (…).” SEXTO: En fecha 21 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó estimar el recurso presentado porque “se ha ampliado la información y se han aportado argumentos relevantes a los efectos de lo planteado, que deben ser analizados por la Subdirección General de Inspección de Datos”. SÉPTIMO: Con fecha 16 de enero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a IBERCLI, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.

1. a)del RGPD. Este acuerdo de inicio, que se notificó a IBERCLI conforme a las normas establecidas en la LPACAP, fue recogido en fecha 21 de enero de 2025, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 23 de enero de 2025, IBERCLI presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones y que se le facilitase copia del expediente administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/32 NOVENO: En fecha 28 de enero de 2025, la instructora del procedimiento acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP, y que se le remitiera a IBERCLI copia del expediente. Este acuerdo se notificó a IBERCLI en fecha 29 de enero de 2025, como consta en el acuse de recibo que obra en el expediente administrativo. DÉCIMO: Con fecha 11 de febrero de 2025, esta Agencia recibió, en tiempo y forma, escrito de IBERCLI en el que aducía alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba: - Falta de notificación a IBERCLI de la Resolución estimatoria del recurso de reposición interpuesto por el reclamante contra la inadmisión a trámite de la reclamación. Inexistencia de pruebas que acrediten una infracción del artículo 32 del RGPD por parte de IBERCLI, alegando el principio de presunción de inocencia. Cuantía de la multa desproporcionada. UNDÉCIMO: De acuerdo con el informe recogido el 20 de octubre de 2025 de la herramienta AXESOR, la entidad IBERDROLA CLIENTES SOCIEDAD ANÓNIMA, con NIF A95758389 es una empresa constituida en el año 2014, y con un volumen de negocios de 11.353.755.000 euros en el año 2024. DUODÉCIMO: El 22 de octubre de 2025 se dictó propuesta de resolución proponiendo: “ - - Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, por una infracción del artículo 32 del RGPD, tipificada en el Artículo 83.4.
2. a)del RGPD, con una multa de 2.500.000€ (dos millones quinientos mil euros). Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, que en virtud del artículo 58.2.
3. d)del RGPD, en el plazo máximo de TRES MESES, acredite haber adoptado las medidas requeridas en el Fundamento de Derecho VII, en relación con la adopción de medidas de seguridad de carácter técnico y organizativo adecuadas al riesgo del tratamiento de datos personales que se realizan, incluyendo la implementación de protocolos que garanticen la verificación de la identidad de las personas”. Asimismo, en la propuesta de resolución se otorgaba un plazo de 10 días hábiles para la presentación de cuantas alegaciones se estimaran oportunas. DÉCIMOTERCERO: La propuesta de resolución fue notificada el 23 de octubre de 2025 conforme a lo previsto en la LPACAP, tal y como consta en el justificante de recibo que figura en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/32 El 24 de octubre de 2025 se recibió escrito de IBERCLI por el que solicitaba copia del expediente administrativo conforme a lo previsto en el artículo 53 de la LPACAP, así como la ampliación de plazo para la presentación de alegación de acuerdo con el artículo 32 de la LPACAP. El 30 de octubre de 2025 la AEPD remitió copia completa del expediente a la parte reclamada y acordó la ampliación del plazo hasta un máximo de 5 días para la formulación de alegaciones de conformidad con lo previsto en el artículo 32 de la LPACAP. Tal y como se indicaba en el acuerdo de ampliación de plazo, eso días 5 días “deberán computarse a partir del día siguiente a aquel en el que finalice el primer plazo de alegaciones”. Finalizado el plazo concedido, no consta a esta Agencia la presentación de alegaciones a la propuesta de resolución por parte de IBERCLI. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 16 de septiembre de 2024 IBERCLI, comercializadora del Grupo Iberdrola, aportó a la Agencia una guía de 19 de marzo de 2023 que emplean todos sus call center para la verificación de la identidad de sus clientes cuando desean realizar alguna gestión. SEGUNDO: El mencionado documento se titula “(...)” y, en su contenido, se detalla el procedimiento de verificación de la identidad y el procedimiento de actualización de las bases de datos (BBDD) que emplea IBERCLI en los siguientes términos: “(…) (…). (…) (…). (…). (…). (…). (....). (…). (…) (…). (…). (…). (…) (…). (…). (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/32 (…) (…) (…). TERCERO: El 22 de noviembre de 2023, a las 12:08 horas, I-DE Redes Eléctricas Inteligentes (***EMAIL.2), (…), envió un correo electrónico dirigido a la parte reclamante a la dirección de correo electrónico ***EMAIL.1 -perteneciente a su hijainformándole de su solicitud de modificación de las condiciones técnicas del contrato del que este era titular. CUARTO: El 17 de enero de 2024 (…) informó al reclamante de que la dirección de correo electrónico ***EMAIL.1 había sido facilitada por IBERCLI, la comercializadora del grupo. El reclamante manifiesta no haber facilitado la dirección de correo electrónico ***EMAIL.1 a IBERCLI como dirección de contacto. QUINTO: IBERCLI asegura, en escrito de 16 de septiembre de 2024 a esta Agencia, que el 20 de enero de 2023, el reclamante aportó la dirección de correo electrónico ***EMAIL.1 para solicitar una factura de suministro y que, “como consecuencia de la llamada, el email ***EMAIL.1 quedó vinculado al contrato de la parte reclamante”. Asegura, asimismo, que la identidad del reclamante fue verificada en la llamada del 20 de enero de 2023 mediante el protocolo “(...)” de 19 de marzo de 2023, recogido en el Hecho Probado Segundo. SEXTO: No consta grabación de la llamada de 20 de enero de 2023, ni los datos que fueron exigidos a efectos de acreditar la identidad de la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/32 II Cuestiones previas El artículo 4.1 del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7 del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que IBERCLI realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, tales como: (…). IBERCLI realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones al acuerdo de inicio Con relación a las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas. 1.- Con carácter previo a la motivación sobre el fondo del asunto, IBERCLI alega que esta Agencia ha vulnerado el principio de igualdad que rige el procedimiento sancionador en tanto en cuanto no se le notificó la Resolución del recurso de reposición interpuesto por el reclamante contra la inadmisión a trámite de su reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/32 Al respecto, esta Agencia desea señalar que la mencionada resolución por la que se estima el recurso de reposición interpuesto por el reclamante concluye que hay indicios suficientes que justifican la admisión a trámite de la reclamación por la posible existencia de una infracción en materia de protección de datos, en los términos previstos por el artículo 65 de la LOPDGDD. En este sentido, conviene realizar una diferenciación entre las actuaciones destinadas a determinar la admisión a trámite de una reclamación, de conformidad con el artículo 65 de la LOPDGDD (entre las que se incluyen las actuaciones de traslado previstas en el artículo 65.4) y la apertura de un procedimiento sancionador por medio de un acuerdo de inicio en los términos exigidos en el artículo 68 de la LOPDGDD y conforme a lo previsto por el artículo 64 de la misma norma. Las actuaciones de traslado son aquellas que la norma permite a esta Agencia, sin que tengan carácter obligatorio, antes de la admisión a trámite de la reclamación. En el presente supuesto, se llevaron a cabo actuaciones de traslado el 26 de abril de 2024, que permitieron determinar, en un primer momento, la inadmisión a trámite de la reclamación. La resolución de inadmisión a trámite fue notificada al reclamante en cumplimiento del artículo 65.5 de la LOPDGDD, que prevé que la decisión sobre la admisión o inadmisión a trámite se notifique exclusivamente a este, siendo el reclamante el único legitimado para la interposición de un recurso de reposición de conformidad con lo previsto en el artículo 123 de la LPACAP. Posteriormente, el reclamante presentó recurso de reposición, que fue estimado, con la consecuente admisión a trámite de la reclamación. Dicha resolución al recurso de reposición formulado por el reclamante fue dictada tras el trámite de alegaciones conferido a IBERCLI, y únicamente se pronuncia sobre la admisión a trámite de la reclamación. No fue notificada a IBERCLI dado el mencionado artículo 65.5 que únicamente prevé la notificación al reclamante. Sin que quepa, además, afirmar, en ningún caso, que IBERCLI era “interesado en el procedimiento” en la medida en que no se había procedido a la apertura de procedimiento alguno. La apertura del presente procedimiento sancionador se realizó mediante un acuerdo de inicio de 17 de enero de 2025 que fue debidamente notificado a IBERCLI el 21 de enero de 2025, en el que se imputaba la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, se fijaba una sanción inicial de 1.000.000 de euros y se daba a IBERCLI plazo para alegaciones. Todo ello sin perjuicio de lo que se determine durante la instrucción del mismo. En definitiva, en el marco de este procedimiento, IBERCLI ha podido solicitar las pruebas que ha considerado oportunas y formular alegaciones, sin que, por tanto, se aprecie la existencia de indefensión. Por lo expuesto, se desestima la presente alegación. 2.- En cuanto al fondo del asunto, IBERCLI alega haber probado que los datos fueron debidamente facilitados por la hija del reclamante y que, además, esta es quien reconoce la vinculación con su padre a través de un poder notarial para hacer gestiones en su nombre. Alega IBERCLI que no han quedado debidamente probadas las conclusiones alcanzadas por esta Agencia toda vez que: (
4. i)se contradice cuando señala que no existe un procedimiento estandarizado para la verificación de la identidad y, a su vez, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/32 reseña que IBERCLI solicita que se faciliten al menos 4 categorías de datos; (
5. ii)IBERCLI no registra o actualiza los datos del cliente sin la previa confirmación de su titular; y (iii) los datos personales que requiere son aquellos que se enumeran en la “Guía informativa para los consumidores de electricidad” publicada por la Comisión Nacional de los Mercados y la Competencia: “Documentación necesaria para contratar, similares a dos de un alta nueva: código CUPS, potencia a contratar, dirección del suministro, datos del titular del contrato de suministro, datos de la facturación y certificado de instalación o boletín eléctrico”. Por último, alega IBERCLI que, de conformidad con la sentencia del TJUE de 14 de diciembre de 2023 recaída en el asunto C 340-2021, una comunicación no autorizada de datos personales de poca trascendencia o un acceso no autorizado a tales datos por un tercero no basta, por sí solos, para considerar que las medidas técnicas y organizativas adoptadas por el responsable del tratamiento no eran apropiadas con arreglo a los artículos 24 y 32 del RGPD. Al respecto, y con carácter previo y aclaratorio, esta Agencia desea señalar que el objeto del presente procedimiento sancionador responde a una infracción del artículo 32 del RGPD por parte de IBERCLI, por la carencia de medidas de seguridad de todo tipo adecuadas al riesgo. Contrariamente a lo indicando por IBERCLI, el presente procedimiento sancionador no versa sobre una “posible comunicación de datos no autorizada” relativa a la dirección de correo electrónico de la hija del reclamante. Por tanto, el presente procedimiento se refiere única y exclusivamente a que IBERCLI carecía de las medidas de seguridad apropiadas en función del riesgo para proteger los los datos personales de sus clientes, al realizar la verificación de la identidad de los mismos. Así, tal y como se recogía en el fundamento de derecho relativo a la presunta infracción del artículo 32 del RGPD en el acuerdo de inicio —además de en el correspondiente fundamento de derecho en la propuesta de resolución—, a raíz de la reclamación efectuada por el reclamante, se ha puesto de manifiesto que el procedimiento establecido por IBERCLI a efectos de verificar la identidad de sus clientes (llamado PSI), para que estos puedan realizar determinadas gestiones por vía telefónica u otras, no cumpliría con las exigencias prescritas por el mencionado artículo para garantizar la seguridad de los datos personales de los clientes. A este respecto, se subraya que tal y como señala la Gran Sala del TJUE de 29 de enero de 2025, en los asuntos T 70/23, T 84/23 and T 111/23: “49 El artículo 57 del Reglamento 2016/679, que se refiere a las funciones de las autoridades de control, dispone: la primera tarea, prevista en el apartado 1, letra a), de dicho artículo, es la de supervisar y hacer cumplir la aplicación del Reglamento. Por lo tanto, contrariamente a lo que la demandante señaló, en esencia, en la vista, el análisis de las condiciones en las que se lleva a cabo el tratamiento de datos personales y de su conformidad con la regulación no tiene por qué limitarse a lo que se destaca en la reclamación formulada”. De la misma manera, el Tribunal Supremo, en relación con el alcance de las reclamaciones presentadas ante la AEPD y la vinculación a su contenido en el marco C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/32 de un procedimiento sancionador ha establecido la siguiente doctrina en interés casacional en la STS de 11 de noviembre de 2024, rec. 2960/2023: “Con esas precisiones sobre la manera en que el auto de admisión del recurso formula la cuestión de interés casacional, la cuestión a dilucidar consiste en realidad en si, en la incoación, tramitación y resolución de un procedimiento sancionador, la Agencia Española de Protección de Datos queda vinculada, y en qué forma y grado, por el contenido de la reclamación que ante ella se haya presentado. Y, formulada la cuestión en esos términos, para responderla debemos declarar lo que sigue: La Agencia Española de Protección de Datos, en la incoación, tramitación y resolución de un procedimiento sancionador, puede abordar cuestiones fácticas y jurídicas conexas o relacionadas con los hechos y argumentos recogidos en la reclamación que da origen al procedimiento. Y, más específicamente, en el curso de un procedimiento sancionador iniciado a raíz de una o varias reclamaciones en materia de protección de datos personales, cuando se aprecie que las infracciones singulares denunciadas tienen sus origen común en un documento o instrumento de alcance general que define la política de la entidad en materia de protección de datos, la AEPD puede, y aún debe, hacer objeto del procedimiento sancionador a ese mismo documento que alberga la política de privacidad de la entidad responsable, a fin de examinarlo, detectar sus posibles carencias o deficiencias, y adoptar, en consecuencia, las medidas que resulten necesarias en el seno del propio procedimiento sancionador; en el bien entendido de que de todo ello habrá de darse conocimiento al sujeto del expediente, de manera que durante la tramitación del procedimiento pueda este tener ocasión de formular alegaciones y, en su caso, proponer pruebas, sin que en ningún caso pueda producirse indefensión”. En definitiva, el objeto del procedimiento, aun cuando estrechamente conectado con los hechos que dieron lugar a la reclamación inicial, puesto que es un ejemplo de la ausencia de trazabilidad existente, se centra en la existencia de una infracción relativa a un instrumento de alcance general de la empresa, como es un protocolo para la verificación de la identidad de los clientes. Sentado lo anterior, se subraya que el protocolo en cuestión, aportado por IBERCLI a esta Agencia el 16 de septiembre de 2024, y al que IBERCLI definía en su escrito de misma fecha como “la guía que siguen desde nuestro CALL CENTER sobre el control PSI, cuya función es garantizar la seguridad de los datos personales y del contrato del cliente”. La imputación de la mencionada infracción se basa, frente a las afirmaciones de IBERCLI en las que señala que “no existen pruebas que permitan acreditar que IBERCLI no cuenta con medidas de seguridad adecuadas al riesgo” o que los hechos relacionados con el reclamante “no bastan por sí solos para considerar que las medidas técnicas organizativas adoptadas por el responsable del tratamiento no eran adecuadas” en el contenido de este documento. En dicho protocolo, de 19 de marzo de 2023, se señalaba que “(…) (…)”. Asimismo, se recoge específicamente que “los datos válidos para pasar el PSI” son: “(…) (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/32 Si bien en otro apartado del documento se especifica que “(…) (…)”, no se especifica el criterio para determinar qué datos se exigirán para cada supuesto y el motivo por el que en una llamada (…). Además, en el apartado “Actualizar BBDD” se indica de manera expresa “(…) (…)” No obstante, (…): “(…)”. A la vista de lo anterior, y frente a las alegaciones efectuadas por IBERCLI, la infracción del artículo 32 del RGPD se fundamenta en la falta de un procedimiento de verificación de la identidad seguro y de trazabilidad, así como en las deficiencias que presenta su procedimiento de actualización de las bases de datos, tal y como se razona en el Fundamento de Derecho III del acuerdo de inicio y IV de la propuesta de resolución. Es decir, IBERCLI emplea un protocolo que no garantiza un adecuado nivel de seguridad para los datos personales de sus clientes, luego no tiene implantadas medidas de seguridad adecuadas. A juicio de esta Agencia, teniendo en cuenta el estado de la técnica, los costes de aplicación, así como los riesgos de probabilidad y gravedad para los derechos y libertades de las personas físicas, el sistema de IBERCLI no garantiza la seguridad de los datos personales de sus clientes, como podría hacerlo, por ejemplo, un sistema de verificación de usuarios multifactor. Por otra parte, resulta llamativo que IBERCLI no contara con un sistema que permitiera la trazabilidad de los datos personales aportados por el solicitante a fin de acreditar que dice ser quien es. En definitiva, lo que esta Agencia razona en el presente procedimiento y tal y como se recoge en el acuerdo de inicio, es que el documento “(...)” de 19 de marzo de 2023 no contempla unos criterios que determinen qué (…) han de seleccionar los empleados del departamento de call center para verificar la identidad. Pareciera todo lo contrario, que se trata de una elección aleatoria por parte de cada empleado lo que pondría de manifiesto una ausencia de estándares que doten de uniformidad el procedimiento a fin de otorgar un adecuado nivel de seguridad a los riesgos posibles. A esto se añade la imposibilidad de realizar una trazabilidad en el procedimiento de verificación de identidad y modificación de datos personales que, no solo no permite comprobar si los datos proporcionados eran correctos, sino que ni siquiera se puede conocer qué datos se proporcionaron por el sujeto en cuestión, como exigiría el respeto al principio de responsabilidad proactiva previsto en el artículo 5.2 del RGPD y desarrollado en el artículo 24 de la misma norma. Lo anterior, imposibilita, por tanto, la aplicación del principio de presunción de inocencia que exige IBERCLI en sus alegaciones en tanto que existen elementos suficientes para sustentar la imputación efectuada. En cuanto a la afirmación realizada por IBERCLI sobre que esta se limita a requerir los datos enumerados en la “Guía informativa para los consumidores de electricidad” publicada por la Comisión Nacional de los Mercados y la Competencia, debe realizarse una precisión: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/32 Los datos que señala el mencionado documento de la CNMC en su página 21, a los que hace referencia IBERCLI, responden a la documentación requerida a efectos de llevar a cabo una contratación, esto es, el código CUPS, la potencia a contratar, la dirección del suministro, los datos del titular del contrato de suministro, datos de la facturación, certificado de instalación o boletín eléctrico. Estos datos, se exigen, como se ha señalado, a efectos de formalizar una contratación, mientras que el presente procedimiento sancionador versa sobre el sistema de IBERCLI a efectos de acreditar la identidad de sus clientes de cara a llevar a cabo una gestión determinada. Por otra parte, se subraya que, contrariamente a lo indicado por IBERCLI, los datos en cuestión no son lo que figuran en su protocolo a efectos de acreditación de la identidad, objeto del presente procedimiento, (…). 3.- Alega IBERCLI una inobservancia de lo establecido en el artículo 83 del RGPD por cuanto no ha quedado acreditado la concurrencia de una actuación culpable, intencionada o negligente; requisitos indispensables exigidos por el citado precepto para poder imponer una multa administrativa por una infracción contemplada en los apartados 4 a 6. Cita la Sentencia del Tribunal Supremo de 9 de junio de 2014 (Rec. 526/2011), la Sentencia del Tribunal Supremo de 18 de mayo de 2015 (Rec. 277/2013) y la Sentencia del Alto Tribunal de enero de 2018 (Rec. 2368/2016) recaídas materia de protección de datos. Tales afirmaciones se realizan respecto a que “la compañía procedió a facilitar las correspondientes evidencias que atestiguan la adecuada facilitación, por parte de la hija del reclamante, de los datos necesarios para la remisión de la factura electrónica”. Se remarca, una vez más, que el objeto del presente procedimiento sancionador se refiere a la ausencia de medidas de seguridad adecuadas al riesgo relativas al procedimiento de verificación de identidad “(…)” de 19 de marzo de 2023. Sin perjuicio de lo anterior, conviene señalar que el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/32 RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” En esta misma línea se expresan los órganos jurisdiccionales de nuestro país. De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/32 imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el presente caso, los hechos imputados se han producido, al menos, de manera negligente, en cuanto a que el protocolo de verificación de la identidad de IBERCLI presenta carencias que le impiden cumplir con las obligaciones que le impone el RGPD, en particular las relativas a garantizar la seguridad de los datos. La adopción e implementación de medidas de seguridad adecuadas al riesgo. No puede obviarse que el enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD, parte de una doble configuración de la seguridad como un principio relativo al tratamiento y una obligación para el responsable o el encargado del tratamiento. En este sentido, resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), la cual indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Negar la concurrencia de una actuación negligente por parte de IBERCLI equivaldría a reconocer que su conducta —por acción u omisión— ha sido diligente. Obviamente, no se comparte esta perspectiva de los hechos, reiterándose esta Agencia en que el documento “(...)” acredita que el procedimiento de verificación de identidad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/32 actualización de bases de datos es deficiente para garantizar un adecuado nivel de seguridad para con los riesgos. Por lo expuesto, se desestima la presente alegación. 4.- Alega IBERCLI una falta absoluta de proporcionalidad de la sanción prevista en el acuerdo de inicio, haciendo alusión, incluso, a posibles fines confiscatorios, acudiendo a criterios con los que no está de acuerdo, y contraria al principio de seguridad jurídica. A tal efecto, pone de manifiesto lo siguiente: - En lo relativo a las infracciones cometidas anteriormente por IBERCLI, señala que han transcurrido más de 3 años desde que se dictó la Resolución del PS/00398/2021, y desde la fecha en la que la infracción tuvo lugar, para el PS/00546/2022. Trae a colación “unas palabras del Comité Europeo de Protección de Datos: “A pesar de que todas las infracciones anteriores pueden proporcionar una indicación de la actitud general del responsable o del encargado del tratamiento con respecto al cumplimiento del RGPD, las infracciones del mismo objeto deben recibir mayor importancia, ya que están más cerca de la infracción actualmente investigada, en especial cuando el responsable o el encargado del tratamiento cometieron previamente la misma infracción (infracciones repetidas). Por lo tanto, las mismas infracciones de la materia deben considerarse más relevantes que las infracciones anteriores en relación con un tema diferente.” - En lo relativo a la vinculación de la actividad del infractor con la realización de tratamientos de datos personales, IBERCLI indica que no concurre habida cuenta de que no ha quedado acreditado que las medidas de seguridad sean insuficientes. - En lo relativo al principio de seguridad jurídica, IBERCLI cita la Sentencia del Tribunal Supremo de 30 de abril de 1995 y la Sentencia del Tribunal Supremo en su Sentencia de 29 de julio de 2014, Sala de lo Contencioso-Administrativo, Sección 1ª. Trae a colación los siguientes procedimientos sancionador de esta Agencia que, según IBERCLI, avalarían la desproporcionalidad: C/ Jorge Juan, 6 28001 – Madrid o La resolución relativa al procedimiento PS/00240/2019 finalizó con multa de 1.000.000€, con el supuesto de hecho “fichero de solvencia registra a un particular en un fichero de morosos por deudas inexistentes con la Administración Pública, basándose en información extraída de boletines oficiales, sin contar con su autorización o consentimiento. Además, se niega a eliminar los datos del reclamante cuando este lo solicita.”, y por las infracciones de los artículos 5.1.b), 5.1.c), 5.1.d), 6.1 y 14 del RGPD. o La resolución relativa al procedimiento PS/00236/2020 finalizó con multa de 1.500.000€, con el supuesto de hecho “Energética trató datos personales sin el consentimiento adecuado de los interesados, especialmente en contratos gestionados por representantes sin la debida acreditación. Además, no implementó mecanismos suficientes para verificar la representación en estos casos ni proporcionó una www.aepd.es sedeaepd.gob.es 16/32 información clara y transparente sobre el uso de los datos personales de los usuarios, incumpliendo los principios de privacidad desde el diseño y transparencia establecidos en el RGPD.”, y por las infracciones de los artículos 13 y 25 del RGPD. o La resolución relativa al procedimiento PS/00037/2020 finalizó con multa de 1.500.000€, con el supuesto de hecho “Energética formalizó contratos de servicios de gas mediante terceros en representación de los titulares sin acreditar adecuadamente dicha representación ni obtener el consentimiento de los afectados, además de no contar con las medidas necesarias de verificación, pues en algunos canales de contratación, como el telemarketing o las visitas presenciales, los procesos de recopilación y verificación de datos no garantizaban que el consentimiento o la representación fueran…”, y por las infracciones de los artículos 13 y 25 del RGPD. o La resolución relativa al procedimiento PS/00291/2023 finalizó con multa de 1.300.000€, con el supuesto de hecho “Telco que sufrió una brecha de seguridad que permitió accesos no autorizados a datos personales de más de un millón de clientes. La brecha ocurrió a través de una aplicación interna utilizada para el soporte técnico de clientes y fue causada por un ataque de smishing, en el que los ciberdelincuentes utilizaron credenciales robadas de empleados mediante técnicas avanzadas de ingeniería social. Esto permitió la extracción de datos técnicos y de configuración de equipos de clientes, además de numeraciones de teléfonos fijos.”, y por las infracciones de los artículos 5.1.
6. f)y 32 del RGPD. o La resolución relativa al procedimiento PS/00032/2024 finalizó con multa de 2.000.000€, con el supuesto de hecho “Entidad financiera fue sancionada por la AEPD debido a la inclusión de una cláusula que imponía el consentimiento obligatorio para que la entidad pudiera verificar datos personales de los clientes con la Tesorería General de la Seguridad Social (TGSS). Esto contravino el artículo 6.1 del RGPD al no garantizar un consentimiento libre, informado y específico, ya que no ofrecía alternativas para denegar dicho consentimiento sin consecuencias negativas, como el bloqueo de cuentas.”, y por la infracción del artículo 6.1 del RGPD. - Por otra parte, asegura que la AEPD “ha omitido tener en consideración cualquier tipo de atenuante”. Si bien no señala qué atenuante deberían haberse tenido en cuenta, en la página 20 de sus alegaciones hace referencia a que “no ha obtenido ningún tipo de beneficio”, “ha colaborado en todo momento con la Agencia”, “no se ha causado ningún daño ni perjuicio a terceros”. - Por último, cuestiona las medidas impuestas puesto que asegura que no se ha probado la existencia de una infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/32 - Asegura, además, que IBERCLI tiene un compromiso absoluto con el respeto de los derechos y libertades de sus clientes y que a todos sus agentes se les proporciona información y formación en materia de protección de datos. A la vista de las manifestaciones efectuadas, conviene realizar una serie de aclaraciones: Primero, tal y como se viene señalando, el objeto del procedimiento sancionador es el incumplimiento del protocolo “(…)” de IBERCLI de lo previsto en el artículo 32 del RGPD. Por otra parte, se recuerda que el artículo 63.2 de la LOPDGDD “los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. El RGPD establece, en consecuencia, su propio sistema sancionador y de determinación de la cuantía de la multa en el artículo 83. El propio artículo 83.1 del RGPD consagra, entre las condiciones generales para la imposición de multas administrativas, el mandato (habitual, por otra parte, en el ámbito del derecho administrativo sancionador) de que las multas han de resultar en cada caso individual efectivas, proporcionadas y disuasorias. En definitiva, la multa ha de imponerse atendiendo a las circunstancias concretas del caso concreto. Además, es preciso subrayar que, tal y como señalan las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, existen tres elementos como punto de partida para la imposición de una multa: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la infracción en cada caso concreto. Este nivel de gravedad no debe confundirse con el término “gravedad” utilizado tradicionalmente en la jurisprudencia española a efectos de calificación de una infracción entre muy grave, grave y leve. El nivel de gravedad al que se refiere el RGPD debe determinarse atendiendo a las circunstancias del artículo 83.2
7. a)naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, el alcance o propósito de la operación de tratamiento, el número de afectados y el nivel de daños y perjuicios que hayan producido; del artículo 83.2
8. b)intencionalidad o negligencia de la infracción (que no debe confundirse con el requisito de culpabilidad objetiva y subjetiva propia del derecho español) y del artículo 83.2
9. g)las categorías de los datos de carácter personal afectados. Sobre ese punto de partida determinado por esos tres elementos, se podrán aplicar circunstancias agravantes o atenuantes (el resto de los elementos del artículo 83.2 del RGPD en relación con el artículo 76.2 de la LOPDGDD). En el presente caso, el punto de partida tomado para determinar la cuantía de la multa en el acuerdo de inicio fue el volumen de negocio de IBERCLI de 12.377.260.000 euros en el año 2023, último dato disponible a 17 de diciembre de 2024. Por otra parte, dado que la infracción del artículo 32 RGPD se encuentra tipificada en el artículo 83.4 del RGPD, la cuantía máxima de multa a imponer será o bien el 2% del volumen de negocio o 10.000.000 euros, optándose por la de mayor cuantía. En el presente caso, el 2% del volumen de negocio anteriormente señalado de IBERCLI es de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/32 247.545.200 euros, por lo que la multa a imponer habría de situarse forzosamente entre 0 y esa cantidad. Dicho lo anterior, se remarca que en el presente caso se incluían en el acuerdo de inicio como circunstancias para determinar el nivel de gravedad lo previsto en el artículo 83.2
10. a)y, por otra parte, en forma de agravante, lo previsto en el artículo 76.2
11. b)de la LOPDGDD relacionado con el artículo 83.2
12. k)del RGPD, así como lo previsto en el artículo 83.2
13. e)del RGPD. La multa fijada inicialmente en el acuerdo de inicio era de 1.000.000 euros, por lo que no puede apreciarse la alegación formulada sobre la falta de proporcionalidad de la multa por resultar esta excesiva —al contrario— y, mucho menos, sobre su carácter confiscatorio, atendiendo a las circunstancias expuestas en el acuerdo de inicio: en particular, el volumen de potenciales afectados, esto es, la totalidad de los clientes de IBERCLI, así como la duración de la infracción, que excede el año y medio, junto a las existencia de infracciones anteriores, además de que IBERCLI realiza de manera habitual tratamiento de datos personales. Sin perjuicio de lo anterior, se considera que por la instrucción del presente procedimiento han de valorarse, además, las circunstancias previstas en el artículo 83.2
14. g)del RGPD, en tanto que los datos afectados por la ausencia de medidas incluyen datos sensibles, en términos de las Directrices 04/2022. Una vez señalado lo anterior, y en relación con el resto de las manifestaciones efectuadas por IBERCLI, se indica lo siguiente: En primer lugar, en cuanto a la aplicación del agravante previsto en el artículo 83.2
15. e)del RGPD. El considerando 148 del RGPD señala: “Debe, no obstante, prestarse especial atención a (…) a cualquier infracción anterior pertinente (…)”. Las Directrices 04/2022 prevén que su grado de influencia en la determinación de la cuantía de la multa dependerá de lo recientes que fueran, siendo más grave cuanto más recientes fueran estas. Asimismo, se tendrá en cuenta el objeto, siendo mayor su grado de influencia en la determinación del importe de la sanción cuanto más cercano fuera. En este sentido, en relación con PS/00398/2021, se subraya que, aun cuando se imputara la infracción del artículo 6 del RGPD, los hechos del procedimiento están estrechamente relacionados con el presente procedimiento, en tanto que versan sobre un supuesto en el que el inquilino, tras hacerse pasar por el propietario de su vivienda, modificó los términos del contrato tras pasar el proceso de verificación de identidad y facilitar una serie de datos generales. Por otra parte, se estima que la valoración del otro procedimiento no resulta pertinente en el presente caso, por no guardar relación alguna con el supuesto en cuestión y a la vista del tiempo transcurrido. En segundo lugar, respecto la aplicación del agravante contenido en el artículo 76.2
16. b)de la LOPDGDD es indiscutible, en la medida en que IBERCLI, en tanto que empresa comercializadora de energía, realiza de manera habitual y evidente tratamientos de datos personales como consecuencia de su actividad principal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/32 En tercer, respecto a la alegada desproporcionalidad de la cuantía de la multa fijada, en comparación con otros supuestos, procede señalar, por un lado, que en materia de protección de datos las medidas técnicas y organizativas de seguridad a adoptar por los responsables del tratamiento y demás obligaciones a cumplir exigidas por el RGPD, deben ser las adecuadas en relación con los concretos riesgos que suponen los específicos tratamientos que realice cada responsable. Por tanto, al analizar la diligencia de unos y otros en el cumplimiento de la normativa ha de estarse a las circunstancias de cada caso, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines de cada tratamiento, no existiendo, por tanto, casos idénticos. Por otro lado, el artículo 83 establece que: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual…” (El subrayado es nuestro) Por tanto, hay que atender a las circunstancias de cada caso individual, no existiendo dos expedientes iguales y, por tanto, con resultados iguales. A mayor abundamiento, los citados procedimientos sancionadores analizan cuestiones que no están en entredicho en el presente caso (por ejemplo, no concurrencia de base legitimadora o falta de información); salvo en el supuesto del PS/00291/2023 donde se imputa, junto con una infracción del artículo 5.1.
17. f)del RGPD, una infracción del artículo 32 del RGPD, sin olvidar que no se hace mención alguna al volumen de negocio de cada una de las entidades infractoras. Sin embargo, tal y como se ha indicado anteriormente, debe analizarse en cada caso qué riesgos podría acarrear para los interesados un tratamiento determinado y analizar qué medidas se habrían implementado para evitar que tal riesgo se produjera, a fin de determinar si tales medidas serían o no las apropiadas para ese caso concreto. En lo referente a las afirmaciones sobre que no se han aplicado atenuantes. Se reitera, como se ha señalado que la aplicación de atenuantes y agravantes se realiza, de acuerdo con las Directrices 04/2022 una vez determinado el nivel de gravedad de la multa, pudiendo aplicarse las circunstancias del artículo 83.2 c), e), f), h),
18. i)
19. j)y k); estas últimas en relación con lo previsto en el artículo 76.2 de la LOPDGDD. En cuanto a la alegación de que se deberían haber valorado como atenuantes las circunstancias de los artículos 83.2 k), en relación con el artículo 76.2 c), del RGPD, se hace notar, que, tal y como señala la sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, no puede ser valoradas como atenuantes, circunstancias que la norma prevé como agravantes. En concreto, señala: “la falta del presupuesto para su aplicación respecto del art. 76.2.
20. c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante.” Lo mismo ocurre en relación con el artículo 83.2 f), sin olvidar, además, que la cooperación con la autoridad de control por parte del responsable es una obligación prevista por el RGPD. En este sentido, la misma sentencia señala: “respecto de la propugnada aplicación como atenuante de la circunstancia
21. f)del artículo 83.2 del RGPD ' el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción’, basta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/32 remitirnos a lo expuesto en el Fundamento de Derecho para rechazar la aplicación de dicha atenuante”. Por otra parte, en relación con la aseveración de que no se ha producido, “daño a terceros” conviene señalar el derecho a la protección de datos es un derecho fundamental constitucionalmente reconocido en el artículo 18.4 de la CE. Este derecho fundamental reconoce el derecho de los ciudadanos al control sobre sus datos, tengan estos datos o no dimensión constitucional. La ausencia de medidas imputada afecta a la esfera del derecho fundamental de protección de datos de todos los clientes de IBERCLI. A la vista de todos los elementos anteriores, ha de desestimarse la alegación realizada por IBERCLI sobre el carácter excesivo y desproporcionado de la multa. Al contrario, se entiende por esta instrucción que la multa inicialmente prevista en el acuerdo de inicio no resulta eficaz, disuasoria y proporcionada atendiendo a las circunstancias del caso concreto. Por tanto, se estima que a efectos de determinar la cuantía de la multa tras la instrucción realizada debe tenerse particularmente en cuenta los aspectos que a continuación se enumeran: A efectos de determinar el nivel de gravedad de la infracción: - El volumen de negocios de IBERCLI conforme a los datos más actualizados, de 11.353.755.000 € conforme al ejercicio de 2024. Esto implica, como ya se ha explicado, que forzosamente la multa a imponer se situará entre 0 y 227.075.100 euros. - La duración de la infracción, que se remonta, al menos, al 19 de marzo de 2023, fecha del protocolo de verificación de identidad en cuestión; sin que conste que se le haya puesto fin a día de hoy. - El elevadísimo número de afectados: la totalidad de clientes de IBERCLI. Es un hecho público y notorio que IBERCLI cuenta con millones de clientes en tanto que es comercializadora del grupo IBERDROLA que cuenta con 11.200.000 clientes de electricidad y gas o 11.600.000 consumidores según se publica en su página web (https://www.iberdrolaespana.com/conocenos/principalesmagnitudes y https://www.iberdrola.com/conocenos/iberdrola-espana). - La tipología de los datos afectados, circunstancia no prevista en el acuerdo de inicio, que incluye datos sensibles. Asimismo, en cuanto a los agravantes: - La circunstancia prevista en el artículo 83.2
22. e)del RGPD, en relación con la infracción anterior por hechos relativos a un caso concreto, pero sustancialmente iguales: PS/00398/2021. - Así como la circunstancia prevista en el artículo 83.2 k), en relación con el artículo 76.2
23. b)de la LOPDGDD. Por último, en relación con el cuestionamiento realizado por IBERCLI a las medidas impuestas, se remite a la contestación de la primera de las alegaciones y se remarca, además, que, tal y como se señalaba en el acuerdo de inicio, la imposición de medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/32 correctivas forma parte de los poderes correctivos atribuidos a esta Agencia, en tanto que autoridad de control, en el artículo 58.2
24. d)del RGPD. Asimismo, el incumplimiento de las resoluciones de la autoridad de control se encuentra tipificado en el artículo 85.6 de la misma norma. En cuanto a las formaciones que IBERCLI proporciona a sus agentes, no cabe sino señalar que, aun cuando sea una cuestión positiva, han encuadrarse en el marco del principio de responsabilidad proactiva del responsable del tratamiento previsto en el artículo 5.2 del RGPD, en relación con el artículo 29 del mismo. IV Obligación incumplida. Artículo 32 del RGPD. Seguridad del tratamiento El artículo 32 del RGPD establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
25. a)la seudonimización y el cifrado de datos personales;
26. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
27. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
28. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/32 El RGPD, en su artículo 32, exige a los responsables del tratamiento la adopción de las correspondientes medidas de seguridad de índole técnica y organizativa adecuadas al riesgo que garanticen que el tratamiento es conforme a la normativa vigente. Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. Por otra parte, el Considerando