REPOSICION-PS-00061-2013

1/13 Procedimiento nº.: PS/00061/2013 ASUNTO: Recurso de Reposición Nº RR/00702/2013 Examinado el recurso de reposición interpuesto por la entidad IBERDROLA S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00061/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 26 de julio de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00061/2013, en virtud de la cual se imponía a la entidad IBERDROLA S.A., una sanción de 20.000 euros (veinte mil euros), por la vulneración de lo dispuesto en el artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.h), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 30/07/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00061/2013, quedó constancia de los siguientes: <<1. IBERDROLA, S.A. tiene suscrito un “Acuerdo marco para la regulación del acceso por cuenta de terceros a los datos de carácter personal en las prestaciones de servicios para las empresas del Grupo Iberdrola”, de fecha 1 de enero de 2007, que regula las condiciones relativas a los tratamientos de datos de carácter personal. Este Acuerdo Marco consta de varios Anexos, de los cuales, el Anexo I corresponde al “Compromiso de adhesión para IBERDROLA GENERACION, S.A.U” y “Compromiso de Adhesión para IBERDROLA COMERCIALIZADORA DE ULTIMO RECURSO, S.A.U”, y el Anexo IV a “Medidas de seguridad en el tratamiento de datos de carácter personal”, que obliga a IBERDROLA, como encargado del tratamiento, a adoptar las medidas que correspondan en función del nivel de seguridad asignado por el responsable del tratamiento. 2. IBERDROLA es la entidad responsable de la web www.iberdrola.es, desde la que se accede a datos personales de clientes de las entidades IBERDROLA GENERACIÓN, S.A. o/y IBERDROLA COMERCIALIZACIÓN DE ULTIMO RECURSO, S.A. Los datos de identificación de usuario para el acceso a la web forman parte de los ficheros de Clientes de cada una de las sociedades (IBERGEN e IBERCUR). 3. Los clientes de aquellas entidades (IBERGEN e IBERCUR) pueden registrarse como usuarios de la web www.iberdrola.es para realizar gestiones a través de la Oficina Virtual de Clientes, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 requiere la cumplimentación de un breve formulario con nombre, apellidos, DNI, email del usuario, contrato y opcionalmente los 4 últimos dígitos de la cuenta corriente. El registro como usuario permite al cliente acceder a sus contratos. 4. Con fechas 1, 2 y 14/08/2012, tuvieron entrada en esta Agencia Española de Protección de Datos escritos de los denunciantes 1 a 3, en los que ponen de manifiesto que al acceder con código de usuario y contraseña a la facturación electrónica de IBERDROLA, a través de la web www.iberdrola.es, obtuvieron información sobre facturación de terceros. Los denunciantes 1 y 3 aportaron impresión de pantalla en la que constan sus datos personales junto con una factura que pertenece a un tercero. 5. Por los Servicios de Inspección de la AEPD se accedió al Sistema de Información de Clientes de IBERDROLA, comprobando que los denunciantes y los terceros a los que corresponde la documentación accedida por aquellos, según consta en el Hecho Probado Cuarto, son clientes de IBERGEN o de IBERCUR. Asimismo, se accedió a la facturación de los terceros, coincidente con la aportada por los denunciantes. 6. En relación con la incidencia que permitió a los denunciantes acceder a información de otros clientes terceros, IBERDROLA, S.A. aportó a los Servicios de Inspección de la AEPD un Informe en el que, entre otras circunstancias, consta lo siguiente:  Con fecha 29/07/2012, IBERDROLA puso en producción una actualización del sitio web www.iberdrola.es con nuevas funcionalidades.  En la mañana del 30/07/2012, la citada entidad recibió los primeros avisos de los clientes, vía telefónica, indicando que en la consulta del detalle de factura figuraba la factura de otro titular.  Como medida cautelar, procedió a las 11:00 horas a deshabilitar la funcionalidad en producción.  Una vez detectado el posible error se realizaron acciones encaminadas a solucionarlo y con fecha 01/08/2012, a las 16:30 horas, se cambió la configuración y se procedió a habilitar de nuevo la funcionalidad en producción. 7. En relación con la incidencia, IBERDROLA efectuó las siguientes manifestaciones que constan en Acta de Inspección:  La incidencia se produjo durante 29 horas, desde las 6:00 del domingo 29 de julio hasta las 11:00 del lunes 30 de julio.  Únicamente ha afectado a clientes que son además de usuarios de la web y usuarios de la facturación on-line.  Asimismo, para que se haya producido la incidencia ha tenido que darse la concurrencia de que dos usuarios hayan accedido a la facturación on-line en un intervalo de pocos segundos.  Desconocen el volumen de accesos a las facturas de terceros pero consideran que ha sido muy pequeño ya que no hay constancia de ninguna reclamación por escrito en relación con estos hechos y solo hay constancia de un correo electrónico de uno de los denunciantes. Asimismo, en caso de que este volumen hubiera sido elevado desde el propio Departamento de Atención al Cliente se hubiera detectado el problema con mucha rapidez.  Los únicos datos personales a los que se ha tenido acceso de otro cliente son los que figuran en la factura: nombre y apellidos, domicilio postal, DNI, número de cuenta bancaria truncada, número de contrato y datos de consumo del periodo facturado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 8. Por los Servicios de Inspección de la AEPD, a la vista de los accesos realizados al Sistema de Información de IBERDROLA durante la fase de investigación, informaron que no se constató que al acceder a través de la web www.iberdrola.es a los datos de los denunciantes se accediera a la facturación de los terceros indicados en las denuncias>>. TERCERO: Con fecha 28/08/2013, dentro del plazo establecido, se ha interpuesto recurso de reposición por la entidad IBERDROLA S.A. (en lo sucesivo la recurrente), recibido en esta Agencia Española de Protección de Datos en la misma fecha, en el que solicita que se declare la nulidad y se deje sin efecto la resolución sancionadora impugnada o, subsidiariamente, se establezca la cuantía de la sanción dentro de las infracciones leves en el importe fijado en la propuesta de resolución dictada en fecha 02/07/2013, en base a las siguientes consideraciones: . Considerando que el instructor del procedimiento formuló propuesta de resolución para que se sancionase a la recurrente con multa de 10.000 euros, en lugar de la multa por importe de 20.000 euros acordada en la resolución impugnada, solicita que se subsane la misma en aplicación de lo establecido en el artículo 105 “revocación de actos y rectificación de errores”, de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. . Considera IBERDROLA S.A. que la imposición de una sanción por el doble del importe propuesto, en caso de tratarse de un cambio de criterio y no de un error material o aritmético, lesiona los principios de confianza legítima y de seguridad jurídica, al colocar a la entidad en una situación de indefensión en la fase de resolución del expediente, y por haberse adoptado dicho acuerdo sin nuevas pruebas o evidencias y sin la realización de las actuaciones complementarias previstas en el artículo 20.3 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, que obliga, además, a conceder al interesado plazo para formular alegaciones. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En los Fundamentos de Derecho II a VIII de la Resolución recurrida, R/01858/2013, de 26/07/2013, se considera que la entidad IBERDROLA, S.A. incumplió lo dispuesto en el artículo 9 de la LOPD, y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indica lo siguiente: <<II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.

1. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
2. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero accedido, atendiendo a su contenido (datos de clientes de IBERGEN e IBERCUR relativos a nombre y apellidos, CIF, email y datos de facturación), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
3. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
4. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. IV Se imputa a la entidad IBERDROLA el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
5. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
6. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
7. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
8. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
9. h)de la LOPD tipifica como infracción grave “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
10. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
11. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
12. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
13. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por la entidad IBERDROLA, correspondiendo adoptar las calificadas de nivel básico, en atención al tipo de información básica que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 automatizados, establece: “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
14. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad IBERDROLA, está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, por cuanto el sistema de gestión de accesos a la Oficina Virtual de Clientes, a la que se accede a través de la web iberdrola.es, no impidió de manera fidedigna que los denunciantes pudieran acceder a datos personales de otros clientes usuarios de dicha Oficina. En concreto, consta que los denunciantes accedieron a la Oficina Virtual, mediante su usuario y contraseña, comprobando que asociados a su perfil se mostraban facturas de otros clientes con el detalle de los datos personales de los mismos relativos a nombre, apellidos, domicilio, DNI y contrato. El 29/07/2012 IBERDROLA puso en producción una actualización del sitio web que produjo la incidencia, provocada por los elevados tiempos de respuesta en la autenticación, ocasionando que cuando el cliente era definitivamente autenticado se le otorgaba la identidad de otro cliente que había intentado acceder en ese período de espera Por tanto, el mecanismo de acceso a la información contenida en el sistema no cumplió las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, identificación y autenticación de usuarios, por cuanto mostró datos personales que no pertenecían al usuario identificado. Así, los datos personales de los usuarios de la Oficina Virtual de Clientes fueron accesibles desde la zona habilitada para los mismos, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 IBERDROLA ha incurrido en la infracción grave descrita. Tales hechos quedaron acreditados por la documentación aportada por los denunciantes, que incluía el detalle de la información accedida por los mismos, que muestra los datos personales identificativos de otros clientes, y han sido reconocidos por la propia entidad imputada. V La entidad IBERDROLA ha alegado que sus sistemas de información disponen de las medidas de seguridad requeridas. Sin embargo, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. En Sentencia de 19/10/2010, la Audiencia Nacional considera conforme la resolución recurrida, en la que se graduó la multa tomando en consideración la existencia de medidas de seguridad. En dicha Sentencia se declara que “La Administración le impuso, no obstante, una sanción de… utilizando los criterios de corrección del art. 45.4 de la LOPD, al haber ponderado que la empresa tenía medidas de seguridad…”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad IBERDROLA la obligada garantizar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 seguridad de los datos, asegurando la efectividad de las medidas adoptadas. VI El artículo 44.3.
15. h)de la LOPD, considera infracción “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que IBERDROLA ha incurrido en la infracción grave descrita. VII La Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de fecha 25/02/2010, en relación con un caso en el que se examina un posible fallo de seguridad en los sistemas de información, señala lo siguiente: “…la recurrente no realizó actividad alguna, pese a que era consciente del riesgo de una posible revelación o publicidad del fichero…”. “… un comportamiento adecuado y activo de la misma pudo impedir o, al menos, minimizar el riesgo real de revelación de los datos personales de los usuarios. Es decir, su comportamiento omisivo (no advirtiendo de la fuga a los usuarios, no presentando denuncia, no cambiando la contraseña etc.) facilitó o, al menos, no obstaculizó la revelación de los datos…”. “La recurrente, como garante de los datos personales de terceros que figuraban en sus ficheros, no tuvo la diligencia exigible sino que propició la revelación como cooperador necesario por omisión. Siendo ello así, la Sala entiende cometida, como también recoge la resolución impugnada, la infracción del artículo 10 de la LOPD, tipificada en el artículo 44.3.
16. g)de la citada norma, es decir la vulneración del deber de guardar secreto…”. Los criterios contenidos en la Sentencia citada se han tenido en cuenta para no imputar a IBERDROLA una infracción de lo dispuesto en el artículo 10 de la LOPD, por incumplimiento del deber de secreto en relación con los datos personales de sus clientes y usuarios de la Oficina virtual, considerando la actuación desarrollada por la misma con posterioridad al incidente para regularizar la situación y minimizar los riesgos, que consta detallada en los hechos probados. VIII El artículo 45.1, 2, 4 y 5 LOPD, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
17. a)El carácter continuado de la infracción.
18. b)El volumen de los tratamientos efectuados.
19. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
20. d)El volumen de negocio o actividad del infractor.
21. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
22. f)El grado de intencionalidad.
23. g)La reincidencia por comisión de infracciones de la misma naturaleza.
24. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
25. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
26. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
27. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
28. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
29. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
30. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
31. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad IBERDROLA, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. IBERDROLA ha solicitado la aplicación de este precepto considerando que regularizó la situación de forma diligente y por la concurrencia significativa de los criterios establecidos en el artículo 45.4. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Asimismo, se considera que IBERDROLA, por su volumen y actividad, es una empresa que tiene vinculación con el tratamiento de datos de carácter personal, siendo exigible por ello una especial diligencia, especialmente, teniendo en cuenta los servicios que pretende prestar a través de su web. IBERDROLA es la entidad responsable de la web www.iberdrola.es, en la que pueden registrarse como usuarios los clientes de las entidades IBERGEN e IBERCUR. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 Además, IBERDROLA acede a las bases de datos de estos clientes, en su condición de encargado del tratamiento y para las prestaciones de servicios convenidas con las entidades del grupo. No obstante, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves por la concurrencia de varios de los criterios enunciados en el artículo 45.4 de la LOPD, considerando la ausencia de intencionalidad que se aprecia en la conducta de la entidad IBERDROLA, por cuanto el fallo de seguridad no resulta de la inexistencia, en general, de medidas de seguridad y realizó, a su propia iniciativa y de forma inmediata, las actuaciones necesarias para restringir los accesos indebidos a la información de sus clientes y para la implementación de las mejoras necesarias para que no se reproduzca la incidencia, según el detalle que consta en el Antecedente Segundo. Por otra parte, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, por un lado, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, que supone un nivel de exigencia mayor, así como la concurrencia de tres infracciones de datos expuestos acreditadas por los denunciantes; y por otro, el escaso tiempo de respuesta empleado por IBERDROLA para regularizar la incidencia, que minimizó claramente los riesgos; procede la imposición de una multa por importe de 20.000 euros>>. III El presente recurso de reposición se interpone por razón del importe de la multa impuesta en la resolución dictada en fecha 26/07/2013, superior al propuesto por el instructor del procedimiento, estimando la recurrente que esa diferencia se debe a un error material o aritmético que procede subsanar o que, en caso contrario, causa indefensión a la imputada, que no tuvo oportunidad de formular alegaciones al respecto. El artículo 20 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, establece lo siguiente: “Artículo 20. Resolución. 1. Antes de dictar resolución, el órgano competente para resolver podrá decidir, mediante acuerdo motivado, la realización de las actuaciones complementarias indispensables para resolver el procedimiento. El acuerdo de realización de actuaciones complementarias se notificará a los interesados, concediéndoseles un plazo de siete días para formular las alegaciones que tengan por pertinentes. Las actuaciones complementarias deberán practicarse en un plazo no superior a quince días. El plazo para resolver el procedimiento quedará suspendido hasta la terminación de las actuaciones complementarias. No tendrán la consideración de actuaciones complementarias los informes que preceden inmediatamente a la resolución final del procedimiento. 2. El órgano competente dictará resolución que será motivada y decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 La resolución se formalizará por cualquier medio que acredite la voluntad del órgano competente para adoptarla. La resolución se adoptará en el plazo de diez días, desde la recepción de la propuesta de resolución y los documentos, alegaciones e informaciones obrantes en el procedimiento, salvo lo dispuesto en los puntos 1 y 3 de este artículo. 3. En la resolución no se podrán aceptar hechos distintos de los determinados en la fase de instrucción del procedimiento, salvo los que resulten, en su caso, de la aplicación de lo previsto en el número 1 de este artículo, con independencia de su diferente valoración jurídica. No obstante, cuando el órgano competente para resolver considere que la infracción reviste mayor gravedad que la determinada en la propuesta de resolución, se notificará al inculpado para que aporte cuantas alegaciones estime convenientes, concediéndosele un plazo de quince días. 4. Las resoluciones de los procedimientos sancionadores, además de contener los elementos previstos en el artículo 89.3 de la Ley 30/1992 (RCL 1992\2512, 2775 y RCL 1993, 246), de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, incluirán la valoración de las pruebas practicadas, y especialmente de aquellas que constituyan los fundamentos básicos de la decisión fijarán los hechos y, en su caso, la persona o personas responsables, la infracción o infracciones cometidas y la sanción o sanciones que se imponen, o bien la declaración de no existencia de infracción o responsabilidad. (…)”. En el presente caso, según consta en la Resolución impugnada, se estimó aplicable lo establecido en el artículo 45.5 de la LOPD, que admite la imposición de una sanción según la escala relativa a las infracciones leves, por la concurrencia de varios de los criterios enunciados en el artículo 45.4 de la misma norma. Por otra parte, para la graduación de la multa, que quedó fijada en 20.000 euros según esa escala, se tuvieron en cuenta los criterios establecidos en el citado artículo 45.4, en concreto, “por un lado, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, que supone un nivel de exigencia mayor, así como la concurrencia de tres infracciones de datos expuestos acreditadas por los denunciantes; y por otro, el escaso tiempo de respuesta empleado por IBERDROLA para regularizar la incidencia, que minimizó claramente los riesgos”. A diferencia de lo indicado, por el Instructor del procedimiento se formuló propuesta de resolución para la imposición de una sanción por importe de 10.000 euros, por la misma infracción que motivó el acuerdo adoptado en la resolución impugnada, pero sin considerar la concurrencia en este caso de tres infracciones de datos personales acreditadas por los denunciantes, que fue ponderada en la resolución para elevar la cuantía de la multa según ha quedado expuesto. La Resolución dictada considera cometida la misma infracción que se declara en la propuesta de resolución e impone una multa por importe superior a la propuesta por el instructor del procedimiento conforme a las circunstancias detalladas. La imposición de una multa superior a la propuesta en las condiciones indicadas no deriva de un error material o aritmético que deba rectificarse conforme a lo establecido en el artículo 105 de la LRJPAC, sino que constituye una actuación acorde a las previsiones contenidas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 artículo 20 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, antes transcrito, que no exige la realización de actuaciones complementarias. En dicha Resolución, que decide todas las cuestiones suscitadas en el procedimiento, no se aceptan hechos distintos a los determinados en la fase de instrucción, con independencia de su diferente valoración jurídica, ni se modifica la gravedad de la infracción declarada y, por tanto, no era preceptivo conceder a la imputada el trámite de audiencia previsto en el apartado 3 del citado artículo 20 del Real Decreto 1398/1993. En el recurso interpuesto, por tanto, IBERDROLA, S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procediendo la desestimación del recurso. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por IBERDROLA S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 26 de julio de 2013, en el procedimiento sancionador PS/00061/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad IBERDROLA S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es