REPOSICION-PS-00459-2024

1/27  Expediente nº.: EXP202406239 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por IBERDROLA CLIENTES, S.A.U. (en lo sucesivo, IBERCLI) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 14 de enero de 2026, y en base a los siguientes HECHOS PRIMERO: Con fecha 14 de enero de 2026, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202406239, en virtud de la cual se decidía: IMPONER a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.

1. a)del RGPD, una multa de 1.000.000,00 euros (UN MILLON DE EUROS). ORDENAR a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, que en virtud del artículo 58.2.
2. d)del RGPD, en el plazo máximo de 3 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la medida correctiva establecida en el fundamento de derecho VII: Acreditar la adopción de medidas de seguridad de carácter técnico y organizativo adecuadas al riesgo del tratamiento de datos personales que se realizan, incluyendo la implementación de protocolos que garanticen la verificación de la identidad de las personas. Dicha resolución, que fue notificada a la parte recurrente en fecha 15 de enero de 2026, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00459/2024, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: El 16 de septiembre de 2024 IBERCLI, comercializadora del Grupo Iberdrola, aportó a la Agencia una guía de 19 de marzo de 2023 que emplean todos sus call center para la verificación de la identidad de sus clientes cuando desean realizar alguna gestión. SEGUNDO: El mencionado documento se titula “***DOCUMENTO.1” y, en su contenido, se detalla el procedimiento de verificación de la identidad y el procedimiento de actualización de las bases de datos (BBDD) que emplea IBERCLI en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/27 (…) TERCERO: El 22 de noviembre de 2023, a las 12:08 horas, I-DE Redes Eléctricas Inteligentes (***EMAIL.1), (…), envió un correo electrónico dirigido a la parte reclamante a la dirección de correo electrónico ***EMAIL.2 -perteneciente a su hija- informándole de su solicitud de modificación de las condiciones técnicas del contrato del que este era titular. CUARTO: El 17 de enero de 2024 la distribuidora del grupo Iberdrola informó al reclamante de que la dirección de correo electrónico ***EMAIL.2 había sido facilitada por IBERCLI, la comercializadora del grupo. El reclamante manifiesta no haber facilitado la dirección de correo electrónico ***EMAIL.2 a IBERCLI como dirección de contacto. QUINTO: IBERCLI asegura, en escrito de 16 de septiembre de 2024 a esta Agencia, que el 20 de enero de 2023, el reclamante aportó la dirección de correo electrónico ***EMAIL.2 para solicitar una factura de suministro y que, “como consecuencia de la llamada, el email ***EMAIL.2 quedó vinculado al contrato de la parte reclamante”. Asegura, asimismo, que la identidad del reclamante fue verificada en la llamada del 20 de enero de 2023 mediante el protocolo “***DOCUMENTO.1” de 19 de marzo de 2023, recogido en el Hecho Probado Segundo. SEXTO: No consta grabación de la llamada de 20 de enero de 2023, ni los datos que fueron exigidos a efectos de acreditar la identidad de la parte reclamante”. TERCERO: IBERCLI interpuso en fecha 16 de febrero de 2026 recurso potestativo de reposición ante esta Agencia fundamentándolo, en síntesis, en lo siguiente: 1. Indefensión material al haberse menoscabado el derecho constitucional de todo interesado a ser oído (artículo 105.
3. c)de la Constitución Española) debido a la actuación de esta Agencia que alega no constar la presentación de alegaciones a la Propuesta de Resolución, a pesar de constar acreditada la presentación efectiva de las mismas, ***REFERENCIA.1. 2. Vulneración del principio de presunción de inocencia derivado de la insuficiencia en la valoración de la prueba y falta de motivación de la resolución contraria a los principios que rigen el procedimiento administrativo sancionador. Se insiste en que IBERCLI actuó con la diligencia debida, implementando medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales y la correcta identificación de los clientes. 3. Inadmisibilidad de la responsabilidad objetiva 4. Ausencia de proporcionalidad en la fijación de la cuantía de la sanción impuesta y circunstancias atenuantes no consideradas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/27 FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por IBERCLI, se procede a dar respuesta a las mismas según el orden por ella expuesto: PREVIA.- ANTECEDENTES En este apartado IBERCLI realiza un resumen cronológico de las actuaciones que se han ido sucediendo en el EXP202406239 desde que tuvo entrada en esta Agencia la reclamación hasta que se dictó la resolución recurrida. Destaca que esta Agencia no le notificó la resolución del recurso de reposición interpuesto por el reclamante contra la inadmisión a trámite de su reclamación ocasionándole un grave perjuicio por cuanto ostentaba la condición de interesado, tal y como reconoce el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 4ª) en su Sentencia nº 1181/2023, de 25 de septiembre (Rec. Nº 8072/2020). Asimismo, expone de manera concisa lo que más adelante constituirán los argumentos en base a los cuales fundamenta el recurso de reposición interpuesto contra la resolución dictada por esta Agencia en el marco del procedimiento sancionador PS/00459/2024. Al respecto, esta Agencia se reitera en lo ya expuesto a lo largo del procedimiento sancionador PS/00459/2024 respecto a la falta de notificación a IBERCLI de la resolución estimatoria del recurso de reposición interpuesto por el reclamante contra la inadmisión a trámite de su reclamación. En concreto que “la mencionada resolución por la que se estima el recurso de reposición interpuesto por el reclamante concluye que hay indicios suficientes que justifican la admisión a trámite de la reclamación por la posible existencia de una infracción en materia de protección de datos, en los términos previstos por el artículo 65 de la LOPDGDD. En este sentido, conviene realizar una diferenciación entre las actuaciones destinadas a determinar la admisión a trámite de una reclamación, de conformidad con el artículo 65 de la LOPDGDD (entre las que se incluyen las actuaciones de traslado previstas en el artículo 65.4) y la apertura de un procedimiento sancionador por medio de un acuerdo de inicio en los términos exigidos en el artículo 68 de la LOPDGDD y conforme a lo previsto por el artículo 64 de la misma norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/27 Las actuaciones de traslado son aquellas que la norma permite a esta Agencia, sin que tengan carácter obligatorio, antes de la admisión a trámite de la reclamación. En el presente supuesto, se llevaron a cabo actuaciones de traslado el 26 de abril de 2024, que permitieron determinar, en un primer momento, la inadmisión a trámite de la reclamación. La resolución de inadmisión a trámite fue notificada al reclamante en cumplimiento del artículo 65.5 de la LOPDGDD, que prevé que la decisión sobre la admisión o inadmisión a trámite se notifique exclusivamente a este, siendo el reclamante el único legitimado para la interposición de un recurso de reposición de conformidad con lo previsto en el artículo 123 de la LPACAP. Posteriormente, el reclamante presentó recurso de reposición, que fue estimado, con la consecuente admisión a trámite de la reclamación. Dicha resolución al recurso de reposición formulado por el reclamante fue dictada tras el trámite de alegaciones conferido a IBERCLI, y únicamente se pronuncia sobre la admisión a trámite de la reclamación. No fue notificada a IBERCLI dado el mencionado artículo 65.5 que únicamente prevé la notificación al reclamante. Sin que quepa, además, afirmar, en ningún caso, que IBERCLI era “interesado en el procedimiento” en la medida en que no se había procedido a la apertura de procedimiento alguno. La apertura del presente procedimiento sancionador se realizó mediante un acuerdo de inicio de 17 de enero de 2025 que fue debidamente notificado a IBERCLI el 21 de enero de 2025, en el que se imputaba la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, se fijaba una sanción inicial de 1.000.000 de euros y se daba a IBERCLI plazo para alegaciones. Todo ello sin perjuicio de lo que se determine durante la instrucción del mismo. En definitiva, en el marco de este procedimiento, IBERCLI ha podido solicitar las pruebas que ha considerado oportunas y formular alegaciones, sin que, por tanto, se aprecie la existencia de indefensión.” En cuanto al resto de las cuestiones planteadas por IBERCLI, se procederá a dar respuestas a las mismas en los siguientes apartados. Por lo expuesto, se desestima la presente alegación. PRIMERA.- SOBRE LA NULIDAD. Alega IBERCLI una situación de indefensión material en los términos previstos en el artículo 47.2 de la LPACAP, al haberse menoscabado el derecho constitucional recogido en el artículo 105
4. c)de la Constitución Española de todo interesado a ser oído. Afirma que el 14 de noviembre de 2025 presentó alegaciones a la propuesta de resolución del procedimiento sancionador PS/00459/2024, pero que en la resolución recurrida este organismo omitió tales alegaciones ocasionándole una indefensión real y efectiva. En este sentido, indica que adjunta como Documento nº1 al presente escrito de recurso potestativo de reposición la copia del justificante de presentación con número de registro ***REFERENCIA.1. IBERCLI indica que en sus alegaciones a la propuesta de resolución aportaba pruebas que demostraban que el proceso de verificación de la identidad cumplía con los requisitos de seguridad y trazabilidad. En concreto, se detallaban los datos que fueron exigidos al reclamante a efectos de acreditar su identidad, así como las medidas de seguridad implementadas y que acreditaban que IBERCLI disponía y dispone de un método de identificación conforme al artículo 32 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/27 IBERCLI también alega una vulneración continuada de los principios rectores del procedimiento administrativo a lo largo del procedimiento, culminando en una situación de indefensión que se materializa en la privacidad efectiva del trámite de audiencia y, en consecuencia, una vulneración del artículo 24 de la Constitución Española. Por tanto, entiende IBERCLI que no se trata de un mero vicio o defecto formal, sino de una infracción material que le ha generado una efectiva lesión de los derechos reconocidos en la Constitución Española (artículos 24 y 105) y que, de acuerdo con la sentencia del Tribunal Supremo rec. 7983/1999 de 11 de julio de 1999, la ausencia de trámite de audiencia determina la nulidad radical del acto. Esto es, que en el presente caso resulta plenamente aplicable el artículo 47.1
5. a)de la LPACAP. Al respecto, esta Agencia desea señalar que, tras realizar las debidas comprobaciones, no consta la presentación de ningún escrito de alegaciones a la propuesta de resolución del procedimiento sancionador PS/00459/2024 por parte de IBERCLI en torno a la fecha señalada —14 de noviembre de 2025— ni con el número de registro ***REFERENCIA.1 o ningún otro. Se subraya, asimismo que, aun cuando la ahora parte recurrente base su recurso de reposición en este hecho y sostenga que adjunta un documento acreditativo de la presentación de dichas alegaciones, no adjunta documentación alguna que acompañe su recurso. Expuesto lo anterior, es indubitado el correcto proceder de esta Agencia a la hora de dictar la resolución del procedimiento sancionador PS/00459/2024, sin que pueda ser alegada indefensión por parte de IBERCLI. Así, como ya se recoge en la resolución objeto de recurso y se ha reproducido en contestación a la alegación anterior, se subraya que el presente procedimiento sancionador se realizó mediante acuerdo de inicio de 17 de enero de 2025, notificado el 21 de enero de 2025. Se facilitaba a IBERCLI un plazo para la presentación de alegaciones que fueron recibidas el 11 de febrero de 2025, tras haber concedido esta Agencia la ampliación del plazo solicitado conforme al artículo 32 de la LPACAP. Contrariamente a lo que ahora parece hacer entender IBERCLI, no se solicitó por esta la celebración de práctica de la prueba conforme al artículo 77 de la LPACAP. Ni se presentaron, más allá del escrito de alegaciones al acuerdo de inicio de 11 de febrero de 2025, otras alegaciones o documentación que hubiera de tenerse en cuenta a efectos de dictar la propuesta de resolución conforme al artículo 53.1
6. e)de la LPACAP. A la vista de lo anterior, por la instrucción del procedimiento se dictó propuesta de resolución, debidamente motivada conforme a las exigencias de los artículos 89.3 y 35 de la LPACAP, en la se establecía un plazo de 10 días para la presentación de cuantas alegaciones y documentación se consideraran oportunas por parte de IBERCLI. Todo ello de conformidad con el artículo 89.2 de la LPACAP y con carácter previo a que la AEPD dictara resolución. Consta notificación de la mencionada propuesta de resolución a IBERCLI de 23 de octubre de 2025. Posteriormente, el 24 de octubre de 2025 IBERCLI solicitó ampliación del plazo de 10 días concedido para la presentación de alegaciones a la propuesta de resolución. Dicha ampliación fue concedida y acordada el 30 de octubre de 2025. Asimismo, consta su notificación a IBERCLI el mismo día. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/27 El 14 de enero de 2026, transcurrido ampliamente el plazo para la presentación de alegaciones a la propuesta de resolución y sin que se hubiera recibido escrito alguno (y sin que, a día de hoy, este conste; no habiéndose acreditado por la ahora recurrente ni su contenido ni su presentación), la Presidencia de la AEPD dictó la resolución ahora objeto de recurso. En consecuencia, no cabe sino afirmar que la resolución por la que se concluye el procedimiento sancionador resulta conforme a derecho y que en ningún caso se ha privado a IBERCLI de su derecho a ser oído y a aportar la documentación y cuantas alegaciones estimara oportunas en las distintas fases del procedimiento. Por lo expuesto, se desestima la presente alegación. SEGUNDA.- SOBRE LA VULNERACIÓN DE LA PRESUNCIÓN DE INOCENCIA Y TUTELA JUDICIAL EFECTIVA COMO CONSECUENCIA DE LA ESCASA VALORACIÓN DE LA PRUEBA Y LA FALTA DE MOTIVACIÓN DE LA RESOLUCIÓN. Alega IBERCLI que la sanción impuesta “se dicta sin contar con elemento probatorio alguno que permita acreditar el incumplimiento apreciado ni, en ningún caso, la existencia de una relación de causalidad entre un hecho aislado y la presunta infracción derivada de la supuesta falta de adopción de medidas de seguridad adecuadas” y que “la resolución impugnada adolece de un grave déficit de motivación, derivado de la falta de un examen real y efectivo de las alegaciones y de la documentación aportada por IBERCLI”. En este sentido, cita, respecto a la importancia de la motivación de las sentencias —y que por extensión se aplicaría a cualquier autoridad que ejerciera potestades públicas sancionadoras—, la Sentencia del Tribunal Supremo 303/2015, de 25 de junio, y la Sentencia de Tribunal Supremo 421/2015, de 22 de julio. IBERCLI entiende que ha demostrado con las pruebas aportadas en las alegaciones a la propuesta de resolución del procedimiento sancionador PS/00459/2024 que “(
7. i)ninguna modificación en los datos del cliente puede llevarse a cabo sin su previa verificación y aceptación, requisito imprescindible conforme a los procedimientos internos vigentes; y que (
8. ii)en los casos en los que se solicita un cambio de dirección de correo electrónico, el proceso exige un doble nivel de seguridad, de modo que la nueva dirección de correo electrónico debe ser verificada por el propio usuario antes de quedar activa en el sistema”. Respecto al procedimiento de verificación de identidad, IBERCLI alega que la Guía aportada sí que establece criterios claros, uniformes y plenamente verificables; los cuales se encuentran definidos con precisión en “***DOCUMENTO.1” y en el PSI en donde se identifican de forma estructurada los datos a solicitar según el tipo de operación, del canal de contacto y del nivel de riesgo asociado. Por tanto, “ha quedado plenamente acreditado que la Guía identifica de forma expresa los datos válidos para superar el procedimiento de verificación de identidad (PSI) —apellidos, DNI, referencia de contrato, dirección completa, teléfono, correo electrónico, cuenta corriente, número de CUPS, número de reclamación o número de SIC en el canal email— y fija, además, umbrales mínimos de verificación en función del canales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/27 utilizado, delimitando con precisión el estándar de identificación exigible en cada supuesto”. Asimismo, alega que los datos que solicita están alineados con las exigencias establecidas por la Comisión Nacional de los Mercados y de la Competencia (en adelante, CNMC) en su “Guía informativa para los consumidores de electricidad”, así como con la Resolución del Procedimiento para la adopción de una Decisión Jurídicamente Vinculante de la CNMC relativa al incremento significativo de cambios de comercializador sin consentimiento por errores en la selección del CUPS; documento que “destaca, de forma expresa, la necesidad de extremar los contrastes de datos—especialmente el binomio CUPS-dirección y la identidad del titular—con el fin de evitar cambios indebidos y accesos no autorizados”. Por tanto, entiende que esta Agencia erra cuando afirma que carece de un sistema de verificación multifactor por cuanto su sistema está “basado en la combinación simultánea, coherente y estructurada de diversos datos personales, y no en el uso aislado de un único identificador”. En cuanto a la actualización de las bases de datos, IBERCLI alega que no es cierto que un agente pudiera actualizarlas sin el previo y necesario consentimiento del interesado siendo un requisito expresamente recogido en la Guía; y que, si durante la conversación el cliente ya ha facilitado el teléfono y/o email, pueden aprovecharse esos datos para actualizar la base de datos “si procede” sin que ello elimine la verificación. De este modo, afirma IBERCLI que “en ningún caso se autoriza a prescindir del proceso de verificación de identidad; por el contrario, se contempla un modelo de verificación dinámica basado en la información confirmada por el propio cliente durante la interacción, (…). No obstante, la AEPD omite valorar esta obligación —expresamente recogida en la Guía apenas un párrafo antes— de recabar la confirmación del cliente antes de proceder a cualquier actualización de sus datos personales”. Con relación a la naturaleza de los datos objeto de tratamiento, alega IBERCLI una contradicción en el razonamiento de esta Agencia cuando sostiene que determinados datos son fácilmente accesibles o deducibles por un tercero y, a la vez, califica ese mismo conjunto de información como especialmente sensible. Esta contradicción “evidencia una deficiente ponderación del riesgo real y una valoración abstracta que no atiende a las características concretas de los datos tratados un a su contexto de uso” y, por tanto, entiende que “no puede servir de fundamento para intensificar el reproche sancionador ni para descalificar, sin motivación suficiente, las medidas de seguridad implantadas por IBERCLI, diseñadas precisamente atendiendo a la relevancia y sensibilidad operativa de la información tratada”. Por último, IBERCLI insiste en que puso en conocimiento de esta Agencia junto al escrito de propuesta de resolución las certificaciones, entre otras, conforme a la norma ISO 27001:2022 y la certificación EUROPRIVACY; que prueban el cumplimiento por parte de la entidad de estándares avanzados en materia de seguridad de la información y protección de datos personales. Al respecto, y con carácter previo, esta Agencia se reitera en lo ya indicado con anterioridad respecto al escrito de alegaciones a la propuesta de resolución y la documentación adjunta, no constando su presentación ante este organismo ni en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/27 fecha supuestamente señalada por IBERCLI de noviembre de 2025 ni ahora junto con la presentación del recurso de reposición. Por otra parte, se recuerda que estas alegaciones fueron realizadas ya al acuerdo de inicio, y fueron debidamente contestadas entonces. Por ello, corresponde remitirse al Fundamento de Derecho III de la resolución recurrida y, en particular, a la contestación de la segunda de las alegaciones. Sin perjuicio de lo anterior, se resalta que en la resolución sancionadora objeto del presente recurso se ha explicado y ha quedado acreditado debidamente en base a la documentación obrante en el expediente administrativo que el procedimiento de verificación de identidad de clientes instaurado por IBERCLI para uso de los agentes de su “call center” no cumplía con las exigencias del artículo 32 del RGPD. Todo ello según se recoge en los hechos probados y fundamentos de derechos de la citada resolución sancionadora. En ningún momento esta Agencia ha señalado que la Guía “***DOCUMENTO.1” no contemple de manera clara los datos que el agente del “call center” puede solicitar al cliente a fin de acreditar su identidad, sino que, de los posibles 9 datos a pedir, el documento no concreta qué datos de esos 9 posibles debe solicitar el agente dependiendo de la gestión a realizar por el cliente. En este sentido, se expresó este organismo en la citada Resolución sancionadora: “Asimismo, se recoge específicamente que “los datos válidos para pasar el PSI” son: “(…). Si bien en otro apartado del documento se especifica que “(…)”, no se especifica el criterio para determinar qué datos se exigirán para cada supuesto y el motivo por el que en una llamada se solicitara la cuenta corriente y en otra el número de teléfono. Del mismo modo que esta Agencia se mantiene en lo ya contestado en la Resolución sancionadora respecto a la “Guía informativa para los consumidores de electricidad”, y la Resolución del Procedimiento para la adopción de una Decisión Jurídicamente Vinculante de la CNMC, cuando se indica que: “Los datos que señala el mencionado documento de la CNMC en su página 21, a los que hace referencia IBERCLI, responden a la documentación requerida a efectos de llevar a cabo una contratación, esto es, el código CUPS, la potencia a contratar, la di rección del suministro, los datos del titular del contrato de suministro, datos de la facturación, certificado de instalación o boletín eléctrico. Estos datos, se exigen, como se ha señalado, a efectos de formalizar una contratación, mientras que el presente procedimiento sancionador versa sobre el sistema de IBERCLI a efectos de acreditar la identidad de sus clientes de cara a llevar a cabo una gestión determinada. Por otra parte, se subraya que, contrariamente a lo indicado por IBERCLI, los datos en cuestión no son lo que figuran en su protocolo a efectos de acreditación de la identidad, objeto del presente procedimiento, (…).” Por tanto, lo anterior no se corresponde con que IBERCLI tenga implementado un sistema de verificación multifactor, toda vez que este sistema exige la concurrencia de varios factores de autenticación y no solo la comprobación de determinados datos personales. En definitiva, el sistema instaurado por IBERCLI no combina los datos personales del titular con otros factores de autenticación como es el uso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/27 contraseñas o el envío de códigos temporales por mensaje a la persona que dice ser el titular de contrato. Asimismo, respecto a la afirmación que realiza IBERCLI cuando señala que la actualización de los datos de sus clientes en sus bases de datos solo se realizará con la previa confirmación del titular, se recuerda que, contrariamente a lo señalado por la ahora recurrente, es la propia Guía “***DOCUMENTO.1” la que autoriza abiertamente al agente a poder actualizar el dato del teléfono y/o email del cliente sin necesidad de recabar dicha confirmación, toda vez que el agente puede realizar el cambio de esos datos personales cuando hayan aparecido durante la conversación con el cliente. Esto es, si de manera espontánea el cliente menciona tales datos personales, el agente tiene la potestad para decidir si lo aprovecha y los modifica en su base de datos, pero, en ningún caso, se establece que ha de preguntarle al cliente si desea que esos datos personales se introduzcan en el sistema a fin de modificar los ya presentes. Y, en este sentido ya se expresó esta Agencia en la Resolución sancionadora cuando indicó que: “conviene hacer referencia al procedimiento de actualización de las bases de datos (BBDD) que figura en el protocolo aportado por la parte reclamada, en el cual señala que, durante las interacciones con el cliente, se pueden actualizar los datos de contacto en la base de datos sin necesidad de confirmación explícita del interesado. Así, se indica: “Si el cliente contactó con nosotros hace más de un mes consideramos que pueden haber cambiado en ese tiempo, confirma con él estos datos y si no están o han cambiado, actualízalos. Al pasar la PSI puede que ya te haya facilitado teléfono y/o email, o que hayan aparecido en la conversación sin tener que preguntar, aprovéchalos para actualizar la BBDD si ves que procede hacerlo.” Dicha práctica presenta varias deficiencias que implicarían igualmente el incumplimiento del citado artículo 32, entre otros, por los siguientes motivos: - - No se garantiza que el cliente sea consciente de que un dato proporcionado para un trámite puntual será registrado como permanente en la base de datos. Así, por ejemplo, si se actualizara de esta manera una dirección de correo electrónico y esa dirección de correo actualizada se utilizase como criterio de verificación, el cliente podría desconocerlo, pudiendo comprometer la autenticación futura. Actualizar las BBDD sin un proceso de validación claro puede llevar a que se almacenen datos incorrectos o no verificados, afectando a la exactitud y fiabilidad de la información.” Por último, esta Agencia desea señalar que un dato sea fácilmente accesible no es sinónimo de que sea especialmente sensible por cuanto el factor determinante es distinto. Esto es, en el primero de los casos se refiere al modo de conocer esos datos (bien por relación familiar o profesional, por ejemplo), mientras que los datos especialmente sensibles desde la perspectiva de las Directrices 04/2022 sobre el cálculo de multas se refieren a las consecuencias que tendría su difusión o las dificultades inmediatas que su conocimiento por un tercero supondría al interesado. Así, en las mencionadas directrices el CEPD reconoce como datos sensibles no solo a los datos de categoría especial del artículo 9 del RGPD, sino también a los datos del artículo 10 de la misma norma y otros tales como el DNI en atención a las consecuencias que la pérdida de control de estos pudieran tener en el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/27 Por lo expuesto, se desestima la presente alegación. TERCERA.- SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA: LA INEXISTENCIA DE DOLO, CULPA O NEGLIGENCIA GRAVE Y DEL RIESGO RESIDUAL. Alega IBERCLI que no ha quedado acreditada la concurrencia del elemento subjetivo de la infracción (dolo, culpa o negligencia) que permita imponer una sanción administrativa con base en el RGPD, de conformidad con las exigencias del artículo 83 del RGPD, del artículo 28.1 de la Ley de Régimen Jurídico del Sector Público y de la reiterada jurisprudencia del Tribunal Supremo y del Tribunal de Justicia de la Unión Europea. IBERCLI indica que la culpabilidad no se presume debiendo acreditarse que el responsable incumplió el deber de diligencia exigible en el momento de los hechos, cuestión que no queda reflejada en la Resolución sancionadora. Esta no identifica una actuación dolosa ni una omisión negligente concreta imputable a IBERCLI y se limita a manifestar una discrepancia técnica respecto del diseño de las medidas de seguridad adoptadas; que, por sí sola, resulta jurídicamente insuficiente para sustentar un juicio de culpabilidad y, en consecuencia, para fundamentar un reproche sancionador. Y cita la Sentencia 164/2005 del Tribunal Constitucional de 20 de junio de 2005 que establece que “no se puede por el mero resultado y mediante razonamientos apodícticos sancionar, siendo imprescindible una motivación específica en torno a la culpabilidad o negligencia y las pruebas de las que ésta se infiere”. Entiende IBERCLI que, por su parte, “no se ha limitado a negar genéricamente la culpabilidad, sino que ha acreditado de manera detallada, documentada y verificable que desplegó la diligencia exigible mediante la implantación de medidas técnicas y organizativas razonables, un procedimiento formalizado de verificación de identidad basado en criterios multifactor, mecanismos de confirmación activa y procedimientos de actualización controlada de datos”. IBERCLI alega que la falta de diligencia debida exigible que esta Agencia le imputa no puede justificarse en que las medidas implementadas por la entidad no alcanzaran, a su juicio, el nivel deseado. La normativa de protección de datos de carácter personal no exige la eliminación absoluta de cualquier riesgo, sino la adopción de medidas apropiadas y razonables atendiendo a la naturaleza, el contexto y los fines del tratamiento; exigencia que IBERCLI afirma que cumplió “sobradamente”. Por ello, “la aparición de un incidente aislado, pese a la existencia de dichas medidas, no puede convertirse automáticamente en un juicio de culpabilidad”. Concluye IBERCLI que lo anterior es contrario a la Sentencia del Tribunal Supremo 188/2022, de 15 de febrero, que establece que la obligación de adoptar medidas de seguridad es una obligación de medios, no exigiéndose la infalibilidad de las medidas implementadas. Al respecto, esta Agencia se reitera en lo ya manifestado en la Resolución sancionadora respecto de la falta de diligencia exigible por parte de IBERCLI: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/27 “conviene señalar que el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” En esta misma línea se expresan los órganos jurisdiccionales de nuestro país. De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/27 el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcial mente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el presente caso, los hechos imputados se han producido, al menos, de manera negligente, en cuanto a que el protocolo de verificación de la identidad de IBERCLI presenta carencias que le impiden cumplir con las obligaciones que le impone el RGPD, en particular las relativas a garantizar la seguridad de los datos. La adopción e implementación de medidas de seguridad adecuadas al riesgo. No puede obviarse que el enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD, parte de una doble configuración de la seguridad como un principio relativo al tratamiento y una obligación para el responsable o el encargado del tratamiento. En este sentido, resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), la cual indica que “…el Tribunal Supremo viene entendiendo que existe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/27 imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Negar la concurrencia de una actuación negligente por parte de IBERCLI equivaldría a reconocer que su conducta —por acción u omisión— ha sido diligente. Obviamente, no se comparte esta perspectiva de los hechos, reiterándose esta Agencia en que el documento “***DOCUMENTO.1” acredita que el procedimiento de verificación de identidad y actualización de bases de datos es deficiente para garantizar un adecuado nivel de seguridad para con los riesgos.” Por otro lado, esta Agencia desea señalar que, si bien la obligación de implementar medidas de seguridad del artículo 32 del RGPD se trata de una obligación de medios y no de resultados, no es menos cierto que IBERCLI no adoptó medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo atendiendo al “estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas”. No puede entenderse que una entidad de las dimensiones de IBERCLI dispusiera de medidas de seguridad adecuadas a los riesgos posibles cuando el procedimiento de verificación de identidad, de trazabilidad y de actualización de bases de datos presenta claras deficiencias; que ya fueron detalladas por esta Agencia en la Resolución sancionadora, especialmente, en el apartado IV de Fundamentos de Derecho: “El RGPD, en su artículo 32, exige a los responsables del tratamiento la adopción de las correspondientes medidas de seguridad de índole técnica y organizativa adecuadas al riesgo que garanticen que el tratamiento es conforme a la normativa vigente. Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/27 personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. Por otra parte, el Considerando