1/11 Expediente n.º: EXP202316394 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO S.A.U. (en lo sucesivo, la parte recurrente o CURENERGÍA) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 22 de diciembre de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 22 de diciembre de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202316394, en virtud de la cual se imponía a CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO S.A.U. por una infracción del artículo 25 del RGPD, tipificada en el artículo 83.4 del RGPD, una multa de 500.000 euros (quinientos mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 30 de diciembre de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado. PS/00190/2024, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: Con fecha de 2 de agosto de 2023, la parte reclamante, cliente de CURENERGÍA, recibió de esta empresa un correo electrónico que contenía datos personales de otro cliente. En concreto, se indicaba de este último: - Nombre y apellidos Existencia de una deuda frente a la empresa Cuantía de la deuda Nº referencia del contrato, número y fecha de factura SEGUNDO. La recepción de dicho correo por la parte reclamante estuvo causada por el hecho de que un empleado del encargado del tratamiento de CURENERGÍA, atribuyó erróneamente al cliente tercero la dirección de correo electrónico de la parte reclamante. Con ello, esta última recibió una comunicación dirigida a aquel. TERCERO. El error estuvo propiciado por el hecho de que dicho empleado atendía simultáneamente a dos clientes en el momento de la incorporación al sistema de la dirección de correo electrónico. Se ha acreditado que el canal de C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 2/11 atención mediante mensajería “chat” permitía la atención simultáneamente de dos clientes por el mismo agente. El canal de atención al cliente mediante chat fue suprimido en el año 2024. El número de interacciones mediante dicho canal de CURENERGÍA con sus clientes en el año 2023 fue de un total de 15.030. CUARTO. CURENERGÍA no tenía establecido algún procedimiento o algún tipo de medidas que tuviese como objetivo específico evitar que se produzcan errores como el producido en este supuesto. Así, no existía un procedimiento que permitiese advertir de inexactitudes o errores en el tratamiento de los datos personales de sus clientes, como la duplicidad de datos atribuidos a distintos clientes. QUINTO. CURENERGÍA remitió un correo electrónico a la parte reclamante, de 6 de noviembre de 2023, en el que se señala que, atendiendo su solicitud, le informan de que habrían procedido a desvincular su correo electrónico de la información relativa al cliente tercero al que había sido erróneamente asociado. TERCERO: La parte recurrente ha presentado, en fecha 30 de enero de 2026, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en las siguientes argumentaciones: (
- i)sobre la vulneración de la presunción de inocencia como consecuencia de la insuficiente valoración de la prueba y la falta de motivación de la resolución; (
- ii)vulneración del principio de objetividad y manifiesta arbitrariedad; (iii) sobre la inadmisibilidad de la responsabilidad objetiva: la inexistencia de dolo, culpa o negligencia grave y del riesgo residual; (
- iv)sobre el error en la tipificación de la infracción; (
- v)sobre la falta de proporcionalidad en la fijación de la cuantía de la sanción propuesta; (
- vi)sobre la concurrencia de factores atenuantes no considerados; (vii) sobre la adopción de medidas y (viii) conclusiones. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas Procede dar respuesta a las siguientes alegaciones formuladas por la parte recurrente. C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 3/11 PRIMERA. - SOBRE LA VULNERACIÓN DE LA PRESUNCIÓN DE INOCENCIA COMO CONSECUENCIA DE LA INSUFICIENTE VALORACIÓN DE LA PRUEBA Y LA FALTA DE MOTIVACIÓN DE LA RESOLUCIÓN Procede analizar en este punto si se ha producido la vulneración de la presunción de inocencia alegada, ya que, de estimarse fundada, debe dictarse un pronunciamiento absolutorio. Así lo ha establecido el Tribunal Constitucional, en su Sentencia 76/1990, de 26 de abril, según la cual el derecho a la presunción de inocencia exige “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Pues bien, la parte recurrente sustenta la vulneración del derecho a la presunción de inocencia en que, a su juicio, la AEPD no cuenta con elemento probatorio ni con pruebas con contenido incriminatorio suficiente que permitan acreditar el incumplimiento del art. 25 del RGPD o, en su caso, la existencia de una relación de causalidad entre un hecho aislado y la presunta infracción sistemática derivada de una supuesta falta de medidas adecuadas, sobre todo si se tiene en cuenta que la carga de la prueba corresponde al órgano administrativo. Según CURENERGÍA no existe hecho probado que permita concluir que “nos encontramos ante una infracción sistemática del canal de actualización de datos de CURENERGÍA”. El error analizado se produjo en un proceso distinto al canal de actualización de datos: concretamente, en la atención al cliente a través del canal de mensajería chat. Afirma que CURENERGÍA sí tenía implementadas las medidas cuya inexistencia se le reprocha y niega que no tuviera establecido un procedimiento o algún tipo de medidas que tuviese como objetivo específico evitar que se produjeran errores ni que no existiera un procedimiento que permitiese advertir de inexactitudes o errores en el tratamiento de los datos personales de clientes, como la duplicidad de datos atribuidos a distintos clientes, como se determina en los hechos probados de la resolución que se recurre. Explica que la propia Resolución reconoce expresamente que CURENERGÍA disponía de medidas destinadas específicamente a advertir de la inexactitud o duplicidad de los datos atribuidos a sus clientes. Considera que la resolución incurre en un error material al incorporar como Hecho Probado una afirmación no demostrada al considerar que la atención era “simultánea” en el chat. El Canal permitía, como máximo, la apertura de dos conversaciones, pero ello no equivale a atención simultánea. Por su propia naturaleza, la interacción era asíncrona: los clientes respondían con intervalos temporales que podían ser de minutos u horas, o incluso no llegar a responder. En tal contexto, el agente gestionaba las conversaciones de forma sucesiva, atendiendo a un cliente mientras el otro no interactuaba, sin que existiera superposición efectiva en la atención y limitándose, en todo caso, a un máximo de dos clientes. C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 4/11 Sobre esta cuestión cabe recordar que CURENERGÍA aportó al procedimiento, como documento nº7, impresiones de pantalla de un documento denominado “Manual de mantenimiento de clientes”, de fecha marzo 2023. Respecto al mismo, CURENERGÍA menciona especialmente una medida concreta que se incluiría en el mismo: la existencia de un control sobre cinco
(5)concurrencias en los datos registrados con respecto a datos obrantes en el sistema. El sistema muestra inicialmente un mensaje emergente (aviso o “pop-up”) indicando que el registro se encuentra repetido cinco veces. A continuación, se despliega el listado de clientes en los que dicho dato aparece y, finalmente, se solicita confirmación para continuar con la operación. Y como documento nº 8, la Guía informativa para el control de fraude en la dirección comercial que contiene entre otras la siguiente medida: no se permite avanzar en el proceso de incorporación o actualización de datos, entre otras circunstancias, cuando el correo electrónico figura informado en otros siete clientes. Pues bien, para dar respuesta a esta alegación debe recordarse que, como recoge la resolución recurrida, la infracción que se imputa en el procedimiento se deriva de un doble factor: por una parte, la posibilidad de atender a dos clientes simultáneamente mediante el canal “chat” y, por otra, la inexistencia de medidas que tiendan a evitar (o corregir inmediatamente) la atribución de un determinado dato personal a quien no es su titular. Resulta innegable que el sistema de chat de CURENERGÍA permitía mantener, al menos, dos conversaciones activas abiertas y así lo ha reconocido la propia CURENERGÍA al afirmar que ”la interacción era asíncrona: los clientes respondían con intervalos temporales que podían ser de minutos u horas, o incluso no llegar a responder”. Por tanto, el canal no exigía que una conversación se cerrara previamente para poder atender otra, sino que ambas podían permanecer abiertas y ser gestionadas de forma concurrente por el mismo agente. En consecuencia, la alegación relativa a si la atención era "simultánea" o "sucesiva" carece de relevancia a los efectos del presente procedimiento. Lo determinante es que el canal permitía mantener al menos dos conversaciones abiertas al mismo tiempo, lo que obligaba al agente a alternar entre al menos dos clientes, aumentando el riesgo de error humano. La permanencia simultánea de al menos dos conversaciones activas favorecía la posibilidad de confundir información, mensajes o actuaciones correspondientes a los clientes, circunstancia que constituye precisamente el riesgo que aquí se pone de manifiesto. Por tanto, la cuestión no radica en la calificación teórica de la atención como simultánea o sucesiva, sino en que la configuración y funcionamiento del canal permitía la coexistencia de al menos dos conversaciones abiertas, con el consiguiente riesgo de confusión entre clientes. Como esta AEPD reconoce en la resolución, la entidad disponía de determinados mecanismos de control destinados a detectar posibles errores en la introducción de datos asociados a los clientes. Sin embargo, dichos mecanismos únicamente se activaban cuando un mismo dato se repite un número determinado de veces, por lo que su alcance es limitado. C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 5/11 Estas medidas pueden resultar adecuadas para prevenir determinadas conductas fraudulentas o para detectar patrones anómalos de uso, pero no constituyen una salvaguarda eficaz frente a errores puntuales en la introducción de datos personales. En particular, si el error afecta a la dirección de correo electrónico del cliente, la información destinada a una persona puede ser remitida a un tercero ajeno, produciéndose una divulgación no autorizada de datos personales. Por tanto, aunque el control implantado por la entidad pudiera contribuir a la prevención del fraude, no resultaba idóneo para evitar errores que pudieran derivar en una pérdida de confidencialidad y ello debido a errores aislados en la consignación de los datos de contacto. En consecuencia, dicha medida no evitaba de forma efectiva el riesgo de que información personal de un cliente fuera puesta en conocimiento de otro como consecuencia de una incorrecta asociación de datos. Y es a esto a lo que se refiere la resolución recurrida cuando afirma que CURENERGÍA no contaba con medidas adecuadas para mitigar este riesgo. Por tanto, esta alegación debe ser desestimada. SEGUNDA. - VULNERACIÓN DEL PRINCIPIO DE OBJETIVIDAD Y MANIFIESTA ARBITRARIEDAD CURENERGÍA refiere que la Resolución no valora adecuadamente los hechos probados, sino que impone su propio criterio e interpreta los hechos más allá de lo efectivamente acreditado. Insiste en que no ha sido probado que la atención prestada a través del Canal era simultánea Indica que la Resolución sostiene que las medidas adoptadas “no eran adecuadas” para evitar la ocurrencia de los hechos, apreciación que revela que la AEPD está evaluando las medidas desde una perspectiva de resultados y no de medios, contraviniendo la doctrina consolidada en materia de responsabilidad por infracciones de protección de datos. CURENERGÍA adoptó medidas encaminadas a la verificación y detección de duplicidades en los datos introducidos al actualizar la información del cliente. Sin embargo, como se ha indicado anteriormente sí resulta acreditado que el canal permitía atender a distintos clientes, mientras respondían, aunque las respuestas podían demorarse minutos u horas, o incluso no llegar a producirse, por lo que esta alegación no puede ser estimada. TERCERA. - SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA: LA INEXISTENCIA DE DOLO, CULPA O NEGLIGENCIA GRAVE Y DEL RIESGO RESIDUAL Argumenta que la Resolución afirma que la negligencia de CURENERGÍA residiría en no haber analizado adecuadamente los riesgos y que, por ello, no se habría detectado la posibilidad de inexactitudes en la incorporación o modificación de datos personales a través del Canal. Esta apreciación carece de sustento fáctico y jurídico, además de resultar contradictoria con los hechos probados y con el propio razonamiento previo de C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 6/11 la AEPD, que reconoce la existencia de medidas implantadas por la Compañía precisamente para evitar errores en la verificación y actualización de datos. Por ello no puede apreciarse dolo, culpa ni negligencia grave por parte de CURENERGÍA. Añade que la Agencia considera “excesivo” que el aviso sobre la duplicidad de la información dependa del número de veces en que se introduce el dato —cinco o siete, según el control aplicado—Pero se trata de una decisión de CURENERGÍA basada en un juicio técnico adoptado en el contexto operativo de una entidad comercializadora, y que el RGPD no tipifica ni prohíbe la fijación de umbrales concretos, sino que exige que las medidas sean adecuadas al riesgo. Sin embargo, la Agencia pretende sustituir dicho criterio técnico por una valoración propia, desprovista de fundamento normativo. CURENERGÍA entiende que no existe elemento culpabilísimo ya que: (
- i)Ha quedado acreditado que la Compañía había implantado medidas técnicas y organizativas razonables y proporcionadas dirigidas a garantizar la exactitud de los datos personales, prevenir errores y detectar posibles duplicidades, incluyendo controles automatizados, sistemas de verificación reforzada y procedimientos individualizados de actualización desde la ficha de cliente. La existencia y efectiva implantación de tales medidas desvirtúa cualquier afirmación basada en una actuación por parte de CURENERGÍA descuidada o carente de la diligencia exigible al responsable del tratamiento. (
- ii)El incidente objeto del procedimiento constituye un hecho aislado y puntual, producido pese a la existencia de mecanismos de control. CURENERGÍA había analizado los riesgos derivados del tratamiento y, aun habiendo implantado medidas razonables y adecuadas, subsistía un riesgo residual inevitable, propio de cualquier tratamiento de datos personales, incluso cuando este se diseña conforme a los principios del RGPD. Pretender lo contrario equivale a exigir un inexistente “riesgo cero”, que no existe ni es exigible en el marco de la normativa de protección de datos. (iii) CURENERGÍA actuó de manera diligente, inmediata y proactiva en cuanto tuvo conocimiento del error, procediendo a la corrección de los datos afectados sin dilación, en plena observancia del principio de exactitud previsto en el artículo 5.1.
- d)del RGPD. Esta conducta reactiva y colaboradora es incompatible con cualquier apreciación de culpabilidad relevante a efectos sancionadores. No obstante, las alegaciones presentadas, esta Agencia considera necesario aclarar que la imputación de responsabilidad no deriva de la frecuencia con la que se introducen datos repetidos en el sistema, sino de la falta de aplicación de medidas adecuadas para mitigar el riesgo de que, debido a la introducción de un dato de contacto inexacto, se produzca una pérdida de confidencialidad. La pérdida de confidencialidad por el envío de un correo electrónico a destinatarios no autorizados para acceder a la información no es un riesgo excepcional o de baja frecuencia, sino un riesgo habitual en las relaciones entre responsables y sus clientes. En consecuencia, estos deben establecer medidas para evitar que ocurra. Por tanto, queda probada en este caso la culpa de CURENERGÍA debido a la falta de un análisis C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 7/11 adecuado de los riesgos. Este riesgo no ha estado acompañado de mecanismos efectivos para detectar y corregir las inexactitudes antes de que generen un impacto en los interesados. En consecuencia, esta falta de previsión resulta probable que derive en comunicaciones no autorizadas de datos personales a terceros, como efectivamente ha sucedido en este caso. En el presente caso, nos hallamos ante una infracción sistémica de los procedimientos de registro y actualización de datos de contacto. El uso del chat, accesible para todos los clientes demuestra que el incumplimiento tiene un carácter general y sistémico, y no se limita, como argumenta la parte reclamante, al caso concreto. Como recoge el art. 25 del RGPD, en el proceso de adopción de decisiones, el responsable del tratamiento debe evaluar las medidas y garantías adecuadas para aplicar de forma efectiva los principios y derechos de los interesados en el tratamiento, y tener en cuenta elementos como los riesgos, el estado de la técnica y el coste de aplicación, así como la naturaleza, el ámbito, el contexto y los fines. Sin embargo, existe un alto riesgo de inexactitudes cuando los agentes mantienen más de una conversación de chat e introducen datos de un cliente en el sistema, que CURENERGÍA no ha previsto ni tratado mediante la aplicación de medidas técnicas y organizativas eficaces. En definitiva, que no se realizara un análisis adecuado de los riesgos acredita la existencia de culpabilidad. Aunque se implementaron medidas para corregir errores, no se adoptaron las necesarias para prevenir los riesgos derivados de la inexactitud de los datos, en particular el relativo a la pérdida de confidencialidad. No obstante, la implementación de tales medidas se ha tenido en cuenta para no calificar la culpa como grave, aunque sí para apreciar la culpabilidad necesaria a efectos de imputar la infracción administrativa. Por ello, la resolución reconoce la existencia de dichas medidas, pero mantiene la apreciación de culpa y esta alegación no puede estimarse. CUARTA. - SOBRE EL ERROR EN LA TIPIFICACIÓN DE LA INFRACCIÓN CURENERGÍA reitera las alegaciones ya formuladas en escritos anteriores. Recuerda que la Resolución sostiene que la atención al cliente a través del Canal adolecía de una supuesta falta de medidas técnicas y organizativas adecuadas para garantizar el cumplimiento del principio de protección de datos desde el diseño y por defecto reprochando además que no se hubiera previsto el riesgo derivado de la posibilidad de atender simultáneamente a dos clientes. Considera que este razonamiento no se corresponde con un análisis del diseño del tratamiento, sino con una valoración de las medidas de seguridad implementadas, típica del ámbito del artículo 32 RGPD. Sin embargo, esta manifestación debe ser rechazada. La falta de previsión de los riesgos derivados de la inexactitud de los datos no configura un incumplimiento del artículo 32 del RGPD (relativo a la seguridad del tratamiento), sino una infracción del artículo 25 (protección de datos desde el diseño y por defecto). La omisión en la evaluación de los riesgos derivados de la inexactitud de los datos no se encuadra en el ámbito de las medidas de seguridad, sino en la C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 8/11 obligación de implementar garantías proactivas para minimizar los riesgos desde la fase de diseño del tratamiento. El artículo 32 del RGPD exige al responsable del tratamiento la adopción de medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad acorde con el riesgo. Sin embargo, el art. 25 impone una obligación proactiva y preventiva: el responsable debe implementar, desde la fase de diseño del tratamiento y por defecto, las garantías necesarias para (
- i)minimizar los riesgos para los derechos y libertades de los interesados (
- ii)evitar la inexactitud de los datos desde el origen, mediante procedimientos que impidan o minimicen errores humanos o técnicos, y (iii) asegurar el cumplimiento de los principios del RGPD (como la exactitud y la confidencialidad). QUINTA. - SOBRE LA FALTA DE PROPORCIONALIDAD EN LA FIJACIÓN DE LA CUANTÍA DE LA SANCIÓN PROPUESTA Solicita que se den por reproducidas las alegaciones vertidas por esta parte a lo largo del procedimiento en lo referente a la falta de proporcionalidad de la sanción y considera que habiendo actuado CURENERGÍA con la diligencia exigible en todo momento, no procede la imposición de sanción alguna. El incidente tuvo su origen en un error humano puntual, inherente a cualquier organización y expresamente reconocido por la doctrina y la jurisprudencia. Las medidas aplicadas eran adecuadas y suficientes atendiendo a la naturaleza, contexto y fines del tratamiento, así como a la propia realidad operativa de la Compañía, en la que es habitual que un mismo cliente tenga contratados varios servicios. Solicita que se dé por reproducido tanto la tabla comparativa de resoluciones, así como las alegaciones vertidas por esta parte en la Alegaciones al Acuerdo de Inicio en lo referente a la desproporcionalidad de la sanción interpuesta (vid. páginas 292 y 294 del Expediente Administrativo). Pues bien, esta Agencia reitera que no nos hallamos ante un error puntual, sino que, como consecuencia del error acaecido, se ha puesto de manifiesto la ausencia de medidas técnicas y organizativas diseñadas para mitigar el impacto en los derechos y libertades de los interesados que pueden derivarse de este tipo de incidencias. Esta carencia no es ocasional, sino sistémica, ya que evidencia un déficit estructural en los procedimientos del responsable del tratamiento para prevenir las consecuencias de los errores. Sostiene CURENERGÍA que resulta de interés refutar de manera detallada la aplicabilidad de los factores agravantes invocados por la AEPD en la Resolución. 1. Naturaleza y gravedad de la infracción (Artículo 83.2
- a)RGPD): En ningún caso ha quedado acreditado que se tratase de un defecto de procedimiento, de carácter general y que podía afectar a cualquier cliente que utilizara el canal chat. CURENERGÍA ha demostrado que contaba con medidas adecuadas y efectivamente implementadas. C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 9/11 Sin embargo, contrariamente a lo manifestado, el chat era de uso general para todos los clientes, y la ausencia acreditada de medidas para evitar las consecuencias derivadas de la inexactitud de los datos afectaba al canal de chat en su conjunto. 2. La vinculación de la actividad con la realización de tratamientos de datos personales No puede considerarse la actividad desempeñada por CURENERGÍA, de forma genérica, como un elemento agravante. La mera pertenencia a un determinado sector económico no puede derivar, de forma automática, en la apreciación de un agravante. Sin embargo, se trata de la circunstancia prevista en el artículo 76.2, letra b), de la LOPDGDD), en relación con el artículo 83.2.
- k)del RGPD aplicable en supuestos de que la actividad del infractor se encuentre vinculada con la realización de tratamientos de datos personales , como ocurre en este caso, en el que el canal chat podía utilizarse por todos los clientes de CURENERGÍA, entidad dedicada al comercio de energía eléctrica, y por tanto, está vinculada con la realización de un elevadísimo volumen de tratamientos de datos de carácter personal, dado que en abril del año 2022 contaba con al menos 3 millones de clientes y según el Informe diligenciado en este expediente tiene más de 1000 empleados, y 1.339.789.000 euros de volumen de negocios en el año 2024. Esta circunstancia, con carácter general, tiene transcendencia como agravante. Así lo ha considerado también la Audiencia Nacional en Sentencia de 13/09/2024 cuando declara: “En el caso que nos ocupa la recurrente en el ejercicio 2018 alcanzó una cifra de negocio superior a 46 millones de euros y cuenta con más de 600 empleados, no pudiendo considerarse desproporcionada la sanción impuesta atendiendo a las circunstancias concurrentes, tomando en consideración su volumen de negocio y su vinculación con el tratamiento de datos personales atendiendo el número de personas que prestan servicio como empleados en… y su actividad”. En consecuencia, ha de rechazarse la alegación relativa a la no atención de esta circunstancia agravante. SEXTA. - SOBRE LA CONCURRENCIA DE FACTORES ATENUANTES NO CONSIDERADOS Trae a colación las alegaciones formuladas a lo largo del procedimiento sancionador y reitera la plena aplicabilidad de los atenuantes. En este punto nos remitimos a lo ya dicho en la resolución que se recurre, a lo que hay que añadir que el envío de un correo a una persona no autorizada con información sobre la deuda de un cliente, que revela su situación de impago, está relacionado con una pérdida de confidencialidad. Sin embargo, la incorporación de datos a un sistema común de información crediticia responde a un tratamiento regulado por un régimen jurídico especial, con normas específicas que nada tienen que ver con la difusión de una deuda de un cliente a otro. Por tanto, no pueden equipararse ambos escenarios. SÉPTIMA. - SOBRE LA ADOPCIÓN DE MEDIDAS C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 10/11 Entiende CURENERGÍA que las medidas correctivas propuestas en la Propuesta de Resolución han quedado sin efecto y carecen de aplicabilidad al no haber sido finalmente recogidas ni acordadas en la Resolución. Sobre este particular, debe señalarse que efectivamente la resolución recurrida no incorpora la imposición de medidas correctivas conforme al artículo 58 del RGPD. Por tanto, es acertada la interpretación que realiza CURENERGÍA en relación a que la resolución no exige el cumplimiento de ninguna medida correctiva específica que deba ser implementada por el responsable del tratamiento, sin que proceda una declaración de esta Autoridad que deje sin efecto las medidas correctivas propuestas en la propuesta de resolución pues ya no fueron ordenadas en la resolución a que se limita a imponer la sanción económica. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO S.A.U. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de diciembre de 2025, en el expediente EXP202316394. C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 11/11 SEGUNDO: NOTIFICAR la presente resolución COMERCIALIZADOR DE ÚLTIMO RECURSO S.A.U. a CURENERGÍA TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-071125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es