Hatalı Abonelikte Veri Doğruluğu ve Güvenliği

1/51

 -Expediente N.º: EXP202207990

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: En fecha 13 de junio de 2022, A.A.A. (en adelante, la parte reclamante)
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y
GAS S.L.U., con NIF B39540760 (en adelante, la parte reclamada). Los motivos en
que basa la reclamación son los siguientes:

La parte reclamante manifiesta que, en fecha 15 de febrero de 2022, tuvo
conocimiento de que la parte reclamada había realizado una contratación de servicios
de gas y electricidad, con sus datos personales, sin su consentimiento, en un punto de
suministro desconocido para ella, dando acceso a sus datos a un tercero titular del
contrato.

Tras llamar por teléfono, le confirmaron que había sido un error por un "cruce de
datos", procediendo a cancelar los contratos.

Señala que tras solicitar que le remitieran por escrito la cancelación de estos, recibió
un correo electrónico en fecha 14 de marzo de 2022, en el que le indicaban que
constaba la baja desde el 4 de marzo de 2022.

Junto a la reclamación aporta correos electrónicos intercambiados con el delegado de
protección de datos, en los que solicitaba conocer las medidas que se habían tomado
en cuanto a la filtración sin su consentimiento de sus datos personales, recibiendo
respuesta en fecha 24 de mayo de 2022, pero relativa a una información
correspondiente a una petición de ejercicio del derecho de acceso a sus datos de
carácter personal, que la parte reclamante indica no haber realizado.

Asimismo, en la reclamación presentada en fecha 6 de julio de 2022, consta una
factura de consumo de luz emitida por la parte reclamada en junio de 2022, que
incluye como periodo de facturación, el periodo comprendido entre el 5 de mayo de
2022 y el 8 de junio de 2022, por un importe de ***CANTIDAD euros, relativa a un
punto de suministro en ***LOCALIDAD.1.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales
(en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada,
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/51

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en
fecha 28 de julio de 2022, como consta en el certificado que obra en el expediente.

En fecha 22 de agosto de 2022, se recibe en esta Agencia escrito de respuesta
indicando que en fecha 13 de enero de 2022, una persona ajena a la parte reclamante
solicitó realizar un cambio de titularidad de los suministros de luz y gas, modificación
que se efectuó en la ficha de la parte reclamante "al existir una correspondencia casi
idéntica de nombres".

Una vez que la parte reclamante se puso en contacto con la parte reclamada, el
equipo del delegado de Protección de Datos procedió, de forma inmediata, a analizar
el incidente, considerando que no era necesario notificar la brecha de seguridad a la
AEPD "dado que la brecha no entrañaba un alto riesgo para los derechos y libertades
de las personas físicas". Se procedió a comunicar a la parte reclamante la decisión
adoptada en el marco de un derecho de acceso.

Considera que la causa que ha motivado la reclamación es un error humano puntual al
realizar un cambio de titularidad a favor de una tercera persona también cliente de la
entidad. Las facturas recibidas por la parte reclamante son el resultado de dicha
permutación.

Informa que se han adoptado una serie de medidas a fin de evitar la repetición de
errores de este tipo. Asimismo, se han planificado campañas de formación a los
agentes con el fin de reforzar los procedimientos de cambio de titularidad y prevenir un
incidente de características similares.

Por último, añade que se han llevado a cabo todas las medidas pertinentes para
regularizar la titularidad de los suministros de luz y gas, suprimiendo los datos
personales de la parte reclamante.

TERCERO: En fecha 30 de agosto de 2022, tras analizarse la documentación que
obraba en el expediente, se dictó resolución por la Directora de la Agencia Española
de Protección de Datos, acordando la no admisión a trámite de la reclamación. La
resolución fue notificada a la parte reclamante, en fecha 30 de agosto de 2022, según
consta acreditado en el expediente.

CUARTO: En fecha 7 de septiembre de 2022, la parte recurrente interpuso recurso
potestativo de reposición, a través del Registro Electrónico de la AEPD, contra la
resolución recaída en el expediente EXP202207990, en el que mostraba su
disconformidad con la resolución impugnada, aportando nueva documentación y
nuevos hechos, y argumentando que la parte reclamada informó que había dos
contratos dados de alta erróneamente a nombre de la parte recurrente y dados de baja
(***CONTRATO.1 y ***CONTRATO.2). Pese a esto, al dar de baja el contrato de
electricidad ***CONTRATO.2, dio de alta un nuevo contrato, el ***CONTRATO.3, por el
cual se han continuado emitiendo facturas con posterioridad a su reclamación y cuya
anulación no le consta. Por tanto, su reclamación todavía no habría sido
adecuadamente atendida.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/51

Adicionalmente, señala que el 24 de mayo 2022, la parte reclamada informó en
respuesta al derecho de acceso que sus datos no estaban siendo tratados con
ninguna finalidad, quedando bloqueados para el cumplimiento de obligaciones legales.
No obstante, tras esta fecha la parte recurrente recibió facturas del contrato que
continuaba dado de alta, así como una comunicación informativa de la parte
reclamada recibida el 1 de julio de 2022. Por ello, considera que sus datos, frente a lo
afirmado por la parte reclamada, continúan siendo objeto de tratamiento más allá de la
obligación legal de bloqueo de forma contraria a la normativa.

Por último, señala que la parte reclamada no ha tomado medidas para evitar el uso de
los datos personales de la parte recurrente comunicados a terceros, sin que se haya
solicitado de estos su eliminación.

Posteriormente, en fecha 9 de septiembre de 2022, manifiesta haber recibido de la
parte reclamada, un correo con una respuesta de otra entidad por un procedimiento de
facturación indebida independiente, lo que considera un nuevo tratamiento incorrecto.

QUINTO: En fecha 8 de marzo de 2023, se remitió el recurso interpuesto a la parte
reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas
(en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase
los documentos y justificantes que estimase procedentes, lo que se ha verificado
mediante escrito de respuesta de fecha 23 de marzo de 2023.

SEXTO: En fecha 11 de abril de 2023, la Directora de la Agencia Española de
Protección de Datos resolvió estimar el recurso de reposición interpuesto contra la
resolución de esta Agencia dictada en fecha 30 de agosto de 2022, y, admitir a trámite
la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la
LOPDGDD.

SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD.

OCTAVO: En fecha 19 de enero de 2024, la Directora de la Agencia Española de
Protección de Datos resolvió por un lado declarar la caducidad de las actuaciones
previas de investigación toda vez que habían transcurrido más de doce meses
contados desde la fecha de admisión a trámite de la reclamación, sin haberse dictado
y notificado el acuerdo de inicio de procedimiento sancionador, y por otro, abrir nuevas
actuaciones de investigación, incorporando la documentación que integran las
actuaciones previas que se declaran caducadas.

NOVENO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/51

artículo 57.1 y de los poderes otorgados en el artículo 58.1 .del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Cuando un consumidor decide contratar un suministro eléctrico y/o un suministro de
gas con una empresa comercializadora de su libre elección, el comercializador solicita
el acceso para ese consumidor, al distribuidor correspondiente a la red a la que se
quiere conectar, facilitándole los datos necesarios para gestionar el punto de
suministro, cumpliendo con la normativa de protección de datos vigente.
Del mismo modo, cuando es necesario realizar alguna modificación sobre el contrato
de acceso vigente, por ejemplo, un cambio de titularidad es el comercializador quien
dispone de los datos del consumidor y quien tramita en su nombre la solicitud ante la
distribuidora.
Todos los intercambios de información entre distribuidores y comercializadores se
realizan utilizando el Formato definido por la Comisión Nacional de los Mercados y la
Competencia, CNMC, para cada proceso.
El Formato define el flujo de comunicaciones o mensajes que se intercambian los
agentes involucrados, es decir, distribuidores y comercializadores, los plazos
establecidos para el envío de los mensajes, los supuestos de concurrencia con otros
procesos, los motivos de rechazo e incidencias, así como, los ficheros de
comunicación electrónica que deben utilizar para transmitir cada mensaje.
Dicho intercambio de comunicaciones o mensajes entre comercializadores y
distribuidores se realiza a través del Sistema de Comunicación de Transporte
Distribución (en adelante, “SCTD”). El SCTD es, por tanto, un intercambiador cuya
misión es asegurar que la comunicación se realiza siguiendo los formatos definidos
por CNMC.
En concreto, el formato definido para las modificaciones del contrato de acceso es el
formato M1, en el caso de suministro eléctrico, y el formato A1-05, en el caso de
suministro de gas. Para mayor detalle, puede consultarse el proceso de Modificación
del Contrato de Acceso en la Resolución INF/DE/152/15 en el siguiente enlace:
https://www.cnmc.es/expedientes/infde15215.
Respecto del Grupo Repsol
REPSOL REYG y RÉGSITI, COMERCIALIZADORA REGULADA, SLU (en adelante,
RÉGSITI) son dos empresas pertenecientes al Grupo Repsol.
(…).
(…).
Se aporta captura de pantalla de los sistemas que muestra la segmentación de perfiles
por sociedad, siendo “ML” las iniciales correspondientes a “Mercado Libre” (es decir,
REPSOL REYG) y “TUR” “Tarifa Regulada” (es decir, RÉGSITI). Documento 5 de la
entrada REGAGE23e00075463486.
Asimismo, REPSOL REYG añade:
Por último, creemos conveniente destacar que nuestros procedimientos de
contratación han sido objeto de estudio en diversas ocasiones por el área de Energía
de la CNMC, no solamente con ocasión de este Expediente, sino también como parte
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/51

de procedimientos contra el resto de Comercializadoras del sector, donde la CNMC
pone en valor la eficacia de las medidas de REPSOL REYG. Documento 5 de la
entrada REGAGE23e00075463486.
Respecto de los hechos
La parte reclamante acredita que el 15 de febrero de 2022 recibe un SMS de la
compañía distribuidora de gas informándole de la fecha de la próxima inspección
periódica obligatoria de la instalación de gas, y añade:
“Puesto que esta inspección la habían realizado en mi domicilio a finales de
octubre de 2020 y corresponde cada 5 años me puse en contacto con la
distribuidora de gas para aclararlo. Me indicaron que, efectivamente, no
correspondía la inspección pero que constaba que existía otro punto de
suministro de gas en ***LOCALIDAD.1 asociado a mi DNI y nombre y apellidos
con la compañía REPSOL y que me pusiese en contacto con ellos.
Llamé al teléfono que me facilitaron de REPSOL y me informaron de que no
sólo había un contrato de gas con mis datos sino también otro de electricidad
en el mismo punto de suministro de ***LOCALIDAD.1.
Yo no he suscrito esos contratos con REPSOL y la dirección del punto de
suministro me es completamente ajena”.
La parte reclamante aporta las siguientes facturas emitidas por REPSOL a su nombre
y asociadas al punto de suministro de ***LOCALIDAD.1 que no reconoce:

FACTURA PERÍODO
Rectificativa de gas 14/01/2022 - 14/02/2022
Electricidad 04/03/2022 - 05/05/2022
Electricidad 05/05/2022 - 08/06/2022
Rectificativa de electricidad 04/03/2022 - 05/05/2022
Rectificativa de electricidad 05/05/2022 - 08/06/2022

En los datos de cliente de las facturas figuran el nombre y DNI de la parte reclamante.
La parte reclamante indica que el número de cuenta bancaria que se incluye en las
facturas no le pertenece y que no se ha producido ningún cargo/abono hasta la fecha
en relación con dichos contratos.
Por otra parte, la parte reclamante tiene suscrito un contrato de suministro de
electricidad con (…) desde febrero de 2019 hasta el 28 de julio de 2022.
Los contratos que la parte reclamante no reconoce están asociados a los siguientes
puntos de suministro, de gas y luz respectivamente:
- ***CÓDIGO.1
Se acredita que en fecha 14 de enero de 2022 REPSOL REYG remite a la
distribuidora de gas una solicitud de cambio de titularidad a favor de la parte
reclamante. La distribuidora activa dicha solicitud de cambio de titularidad a favor de la
parte reclamante en fecha 14 de enero de 2022.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/51

Se acredita que en fecha 3 de marzo de 2022 la distribuidora recibe nueva solicitud de
cambio de titularidad por parte de REPSOL REYG a favor de otra persona distinta,
Cliente C, por lo que la parte reclamante, deja de constar como titular del suministro de
gas cuando se activa esta nueva solicitud, el mismo 3 de marzo de 2022.

- ***CÓDIGO.2
Se acredita que en fecha 14 de enero de 2022 REPSOL REYG remite a la
distribuidora de luz una solicitud de modificación en el contrato de acceso, por cambio
de titularidad por traspaso, a favor de la parte reclamante. La distribuidora activa dicha
solicitud de cambio de titularidad a favor de la parte reclamante en fecha 16 de enero
de 2022.
Se acredita que en fecha 3 de marzo de 2022 la distribuidora recibe nueva solicitud de
cambio de titularidad por parte de REPSOL REYG a favor de otra persona distinta,
Cliente C, por lo que la parte reclamante, deja de constar como titular del suministro de
gas cuando se activa esta nueva solicitud, el 5 de marzo de 2022.
En el marco de las actuaciones de investigación REPSOL REYG manifiesta:
En fecha 14/01/2022 se recibe una solicitud de cambio de comercializadora
con cambio de titularidad por parte de una persona ajena a la denunciante (en
adelante, “clienta A”) (ARCHIVO 1). Al existir una correspondencia casi idéntica
de nombre y dos apellidos, la solicitud se ejecuta en la ficha de cliente de la
reclamante. En este momento, se lanza la primera solicitud de cambio de
titularidad a la distribuidora producto del alta de la Clienta A en RE&G.
En la solicitud de fecha 14/01/2022 se facilitan a la distribuidora los datos que
constan en la ficha de cliente de la parte reclamante, ya que, por la identidad
de nombre y dos apellidos, se graba en su ficha los dos nuevos contratos de la
Cliente A. Al ser la reclamante cliente de Repsol REYG, el origen de los datos
comunicados a la distribuidora no es otro que la propia interesada.

En el ARCHIVO 1 aportado, Solicitud de cambio de titularidad del contrato de
electricidad/gas, Evidencias EXP202207990 de la entrada REGAGE23e00047317903,
se comprueba que el nombre y apellidos que figuran en los campos DATOS DEL
NUEVO TITULAR y DECLARO (B.B.B.) coinciden con el nombre y apellidos,
cambiados de orden, de la parte reclamante (A.A.A.).
Preguntada la parte reclamada por la documentación que acredita que la reclamante
es cliente de REPSOL REYG, la parte reclamada manifiesta:
Si bien no disponemos del contrato firmado por la reclamante debido a que, en
el momento de la formalización de contrato en fecha 22/01/2011 los sistemas
pertenecían a (…).

REPSOL REYG aporta captura de pantalla de sus sistemas donde constan como
fecha de inicio y fin de la relación contractual entre la parte reclamante y REPSOL
REYG las fechas 22/01/2011 y 04/02/2019, respectivamente. Documento 4 de la
entrada REGAGE23e00075463061.
REPSOL REYG aporta también captura de pantalla de la ficha de cliente de la parte
reclamante. La información que contiene es: nombre, apellidos, DNI y número de
teléfono móvil. En la ficha de cliente de la parte reclamante figura la alerta (…),

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/51

REPSOL REYG indica que esta alerta se generó el 04/02/2019, fecha en la que
finalizó el contrato con parte reclamante.
En cuanto al plazo de conservación de los datos de sus clientes, REPSOL REYG
traslada que ha definido un período de conservación de 6 años desde la finalización
de la relación contractual, en cumplimiento de la legislación aplicable. Este plazo
aplica a todos los clientes de REPSOL REYG con independencia de que provengan
de sociedades posteriormente adquiridas. En consecuencia, los datos personales de
la reclamante, excliente de REPSOL REYG, serán suprimidos una vez transcurra el
plazo de conservación mencionado.
En lo que respecta a la normativa aplicable de acuerdo con la que se han definido los
plazos de conservación de los datos de clientes REPSOL REYG manifiesta que ha
tomado en consideración:
i. Artículo 30 del Código de Comercio, que establece un plazo de conservación y
custodia de libros y documentos del empresario de seis (6) años a partir del
último asiento realizado en los libros.
i. Artículos 60 y ss. de la Ley General Tributaria, que establecen un plazo de
prescripción de responsabilidades de cuatro (4) años, durante el cual la
Agencia Tributaria puede solicitar cualquier tipo de documentación.
ii. Artículo 1964.2 del Real Decreto de 24 de julio de 1889 por el que se publica el
Código Civil, que establece un plazo de cinco (5) años, desde que pueda
exigirse el cumplimiento de la obligación.
iii. Artículos 123.4 y ss. Del Real Decreto Legislativo 1/2007, de 16 de noviembre,
por el que se aprueba el texto refundido de la Ley General para la Defensa de
los Consumidores y Usuarios y otras leyes complementarias, que establece un
plazo de tres (3) años, aplicable a las contrataciones realizadas por vía
telefónica o canales digitales (contratación a distancia).
iv. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales, que establece un plazo de prescripción de
responsabilidades para las infracciones muy graves derivadas del tratamiento
de datos personales de tres (3) años.
v. Ley 24/2013, del sector eléctrico y Ley 34/1998, de hidrocarburos, que
establece un plazo de conservación de cinco (5) años, para los datos relativos
a las transacciones de los contratos de suministro de electricidad y gas
suscritos con los clientes mayoristas y los gestores de redes de transporte, así
como con los gestores de almacenamientos y de redes de GNL, para ponerlos
a disposición del Ministerio de Industria, Energía y Turismo, de las
Comunidades Autónomas o de la CNMC.
Teniendo en cuenta la diversidad de plazos establecidos por las legislaciones
aplicables, se ha optado por establecer un plazo de seis (6) años, de los cuales cinco
(5) años se corresponden con el periodo de conservación activa y un (1) año de
bloqueo, en cumplimiento de la obligación establecida en el artículo 32 LOPDGDD.
De manera adicional, REPSOL REYG pone de manifiesto que está desarrollando un
proyecto de mejora de la automatización del bloqueo y supresión de los datos. En
relación con este proyecto señala:
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/51

(…).
(…).
(…).
En el Anexo I del DOCUMENTO 1, entrada REGAGE24e00010184889, se representa
el ciclo de vida del dato y los períodos de retención.
Procedimiento de REPSOL REYG para tramitar modificaciones de contratos de acceso
por cambios de titularidad
REPSOL REYG el Procedimiento de Cambio de Titularidad vigente en el momento de
la incidencia, ARCHIVO_3 de la entrada REGAGE23e00047203945, donde el primer
paso para tramitar la solicitud es identificar al cliente que contacta aplicando la Política
de Seguridad, ARCHIVO_4 de la entrada REGAGE23e00047203945.
 En el Procedimiento de Cambio de Titularidad aportado se recoge:
1.1.1.1 Identificación del titular
Identificar al cliente que contacta con Repsol aplicando la Política de
Seguridad.
1.1.1.1 Comprobaciones previas y análisis de la información
Comprobar si es cliente de Repsol o no y existe ficha de cliente y verificar
si existe deuda.
En el caso de que el cliente haya enviado documentación, revisar si
disponemos de toda la documentación para realizar la gestión
correspondiente.
[…]

Asimismo, REPSOL REYG añade:
El 11 de agosto de 2022 tras el primer requerimiento de información de la
AEPD, se actualiza Procedimiento de Cambio de Titularidad incluyendo una
referencia explícita a la obligatoriedad de realizar búsquedas en los sistemas a
través del DNI del interesado, de manera que no se produzcan errores
humanos o malas praxis que den lugar a incidentes similares al acontecido.

 En la Política de seguridad aportada, en el apartado Excliente, se recoge:
Siempre que accedamos a la ficha de un excliente nos aparecerá una alerta.
A este tipo de cliente debemos realizarles el Protocolo de Seguridad habitual
salvo la última pregunta, la del banco.
Se realizarán las siguientes preguntas:
1) DNI titular
1) Contacto: telf./email (al menos uno)
2) Dirección del punto de suministro

REPSOL REYG acredita que la Clienta A aportó el documento Solicitud de Cambio de
Titularidad, entrada REGAGE23e00047205302, e indica que adicionalmente aportó

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/51

fotocopia de su DNI y las escrituras de la propiedad, como acreditación del “justo
título” de los puntos de suministro ***CÓDIGO.2 de luz y ***CÓDIGO.1 de gas.
Respecto de las facturas emitidas
La parte reclamante figura como titular de los puntos de suministro de luz y gas,
***CÓDIGO.2 y ***CÓDIGO.1, en los períodos desde el 14/01/2022 hasta el
05/03/2022 y desde el 14/01/2022 hasta el 03/03/2022, respectivamente.
A continuación, se identifican las facturas generadas por REPSOL REYG a nombre de
la parte reclamante y relativas a los puntos de suministro anteriores:

FACTURA PERÍODO
1 Gas 14/01/2022 - 14/02/2022
2 Gas 15/02/2022 - 02/03/2022
3 Rectificativa de gas 14/01/2022 - 14/02/2022
4 Electricidad 04/03/2022 - 05/05/2022
5 Electricidad 05/05/2022 - 08/06/2022
6 Rectificativa de electricidad 04/03/2022 - 05/05/2022
7 Rectificativa de electricidad 05/05/2022 - 08/06/2022

En relación con la generación de estas facturas, REPSOL REYG explica:
1. Factura 1: esta factura fue emitida como consecuencia del error humano inicial
del agente que tramitó el cambio de titularidad de la Clienta A en la ficha de
cliente de la parte reclamante.

1. Factura 2: este período de facturación abarca el período desde que se detecta
la incidencia el 15/02/2022, momento en el que la parte reclamante se pone en
contacto con Atención al Cliente de REPSOL REYG para notificar el error,
hasta el 28/02/2022, al enviar solicitud de cambio de titularidad a la
distribuidora a favor del Cliente C, haciéndose el cambio efectivo el 03/03/2022.

2. Factura 3: Al anular el contrato que erróneamente se había generado se
anularon las facturas emitidas bajo el mismo error.

3. Factura 4: como consecuencia del proceso de calidad que se llevó a cabo en
fecha 17/06/2022, enfocado a subsanar las modificaciones que, de manera
inusual, habían tenido lugar en los sistemas a causa de la incidencia, se emitió
la factura relativa a dicho período a nombre de la reclamante, siendo ésta
anulada el 12/07/2022 mediante factura rectificativa, al tratarse de una
regularización interna (Factura 6).

4. Factura 5: esta factura se generó bajo las mismas circunstancias que la factura
anterior, emitiéndose en la misma fecha y procediéndose a su anulación el
12/07/2022 mediante factura rectificativa (Factura 7).
Respecto de las comunicaciones enviadas a la parte reclamante
REPSOL REYG traslada que esta incidencia tiene un carácter excepcional y al tener la
parte reclamante un elevado número de reclamaciones abiertas en el momento de la
incidencia, uno de los agentes, que prestan servicio tanto a RÉGSITI como a REPSOL
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/51

REYG, con el propósito de prestar su máxima colaboración para resolver la incidencia
unió en una única respuesta aspectos diferentes.
Como consecuencia de dicho suceso, REPSOL REYG manifiesta que ha acordado
centralizar la gestión de casos de mayor complejidad en un mismo agente
especializado o “Agente VIP”, para evitar errores o malas prácticas en la gestión de
incidencias críticas y/o que afecten a datos de carácter personal. Documento 7 de la
entrada REGAGE23e00075463486.
Respecto de las medidas de seguridad
En el momento en el que tuvo lugar la incidencia REPSOL REYG tenía establecidos:
- Procedimiento de Cambio de Titularidad
- Política de Seguridad
REPSOL REYG acredita que desde el momento en que tuvo conocimiento de la
incidencia de la parte reclamante, adoptó las medidas oportunas para regularizar la
titularidad de los puntos de suministro de luz y gas afectados.
Asimismo, REPSOL REYG traslada que:
- (…).
- (…).
- (…).
- (…).
Acordó completar correctamente la información incluida en las peticiones técnicas de
resolución de incidencias, considerando que pueda ser necesario aplicar
retroactividad, de manera que no se lancen automáticamente solicitudes a la
distribuidora cuando se realicen ciertas modificaciones internas.
Archivo 8 de la entrada REGAGE23e00047149400.
- Refuerza con (...) para que se compruebe en la creación o anulación de nuevos
contratos que, si no deben ser facturados, permanezcan bloqueados.
- El negocio de Electricidad y Gas del Grupo Repsol se encuentra diseñando un
plan de mejora del cumplimiento de los plazos de conservación y bloqueo
definidos en el RAT.
Documento 1 de la entrada REGAGE24e00010184889.

DÉCIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
REPSOL S.A. es una gran empresa, constituida en el año 1986, y con un volumen de
negocios de 2.417.000.000 €, en el año 2023.

UNDÉCIMO: En fecha 24 de mayo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta
infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD y por la
presunta infracción artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/51

El acuerdo de inicio fue notificado conforme a las normas establecidas en la LPACAP,
mediante notificación electrónica, siendo recibido en fecha 27 de mayo de 2024, como
consta en el certificado que obra en el expediente.

DUODÉCIMO: En respuesta al escrito por el que solicitaba la ampliación del plazo que
le fue concedido para formular alegaciones, así como copia del expediente, en fecha
29 de mayo de 2024, se remitió la copia solicitada de acuerdo con lo dispuesto en el
artículo 53.1 a) de la LPACAP y se acordó ampliar el plazo para formular alegaciones
hasta un máximo de cinco días, que debían computarse a partir del día siguiente a
aquel en el que finalizara el primer plazo de alegaciones.

DECIMOTERCERO: Notificado el citado acuerdo de inicio conforme a las normas
establecidas en la LPACAP, en fecha 17 de junio de 2024, la parte reclamada presentó
escrito de alegaciones en el que, en síntesis, manifestaba que

PRIMERA. - EN RELACION CON LA SUPUESTA INFRACCION DEL ARTÍCULO 32
DEL RGPD: VULNERACIÓN DEL PRINCIPIO DE TIPICIDAD Y, EN TODO CASO,
PRESCRIPCIÓN DE LA INFRACCIÓN

Considera que en el presente supuesto no es posible subsumir la conducta de la parte
reclamada en el tipo infractor propuesto del artículo 32 del RGPD, en relación con el
artículo 83.4 del RGPD, por cuanto se contaba con “medidas técnicas y organizativas
apropiadas para garantizar un nivel de seguridad adecuado al riesgo”, teniendo en
cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el
contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad
variables para los derechos y libertades de las personas físicas.

En este sentido, expone que ha quedado totalmente probado a través de la
documentación obrante en el expediente administrativo, así como en las
contestaciones a los requerimientos efectuados por la AEPD, que tenía y tiene
instauradas medidas técnicas y organizativas apropiadas para garantizar un nivel de
seguridad adecuado al riesgo.

Así, a nivel compañía informa que se dispone de una Política de Protección de los
Activos de Información corporativa, de alcance mundial, aplicable a todos los
empleados de la compañía y a todas las sociedades del Grupo Repsol, así como a
cualquier tercero que tenga acceso a cualquier información del Grupo Repsol. Esta
Política viene a cubrir, entre otras, las medidas de seguridad que el artículo 32 del
RGPD enuncia a título ejemplificativo: implantando medidas de clasificación y
protección de la información para asegurar su confidencialidad, integridad,
disponibilidad y resiliencia (apartado 3.1. Política de Protección); estableciendo la
obligatoriedad y los contenidos de los Planes de Continuidad y mecanismos que
permitan la recuperación de la información en caso de incidente que afecte a los
activos de información (apartado 3.6. Política de Protección); obligación de realizar
análisis obligatorios periódicos de riesgos sobre los diferentes activos de información
de la compañía (apartado 3 Política de Protección); etc. Se adjunta la misma como
Documento nº 1.

Adicionalmente a lo anterior, manifiesta que Repsol Comercializadora de Electricidad y
Gas tiene establecido:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/51

(i) (…).

(ii) (…):

- (…).

- (…).

Por tanto, considera que las medidas estaban adoptadas y eran apropiadas (diligencia
razonable) para garantizar un nivel de seguridad adecuado al riesgo, por lo que no
existe infracción alguna del artículo 32 del RGPG, pues tenía establecidas medidas
adecuadas para garantizar un nivel de seguridad adecuado al riesgo. Ello con
independencia del resultado provocado por un error humano, fortuito, involuntario y
puntual, que únicamente afectó a un único cliente, a su nombre, apellidos y DNI (ni
siquiera a su cuenta bancaria); y que de manera totalmente proactiva y en busca de la
excelencia, detectada la situación, se adicionaron las medidas precisas para evitar
futuras situaciones similares (robusteciendo las ya existentes).

Insiste nuevamente en que el origen está en un error humano, un hecho puntual,
aislado y fortuito, por lo que no se puede requerir ante un riesgo absolutamente remoto
(casi identidad de los nombres y apellidos de dos clientas) el establecimiento con
carácter previo de otros niveles de seguridad (en contra del principio de enfoque de
riesgo previsto en el apartado segundo del artículo 32 del RGPD). Riesgo cero no
existe. Las medidas que se adoptaron en su momento se encuentran dentro de la
diligencia razonable que se puede esperar en atención al riesgo. Lo contrario llevaría
al absurdo de que el artículo 32 del RGPD sea un tipo infractor de responsabilidad
absolutamente objetiva pues, aun contando con medidas técnicas y organizativas
apropiadas, cualquier error mínimo e involuntario supondría, como pretende ahora la
AEPD, una aplicación analógica del tipo sancionador, en contravención clara del
principio de tipicidad. Y recordemos que el Tribunal Supremo estima que es una
obligación de medios y no de resultado como pretende esta Administración.

En consecuencia, entiende que no existiría incumplimiento alguno de la obligación
establecida en la norma de aplicación, por lo que no existiría, en el presente caso, una
perfecta adecuación entre la supuesta conducta de la parte reclamada y la descrita en
el tipo infractor imputado, por lo que una eventual Resolución sancionadora resultaría
contraria a los referidos principios de legalidad y tipicidad y, por tanto, sería nula de
pleno derecho de conformidad con lo dispuesto en el artículo 47.1.a) de la Ley
39/2015. Considera que por cuanto antecede, procede el archivo y sobreseimiento de
las actuaciones.

Adicionalmente a lo anteriormente expuesto y a pesar de que niega la existencia de
infracción del artículo 32 del RGPD, a su entender, la infracción estaría prescrita ya
que, habiéndose notificado el Acuerdo de inicio con fecha 27 de mayo de 2024 y,
habiendo tenido lugar los supuestos hechos infractores, tal y como se detalla del
Acuerdo de inicio y en el Informe de Actuaciones Previas, el 14 de enero de 2022, es
claro e indubitado que se ha superado el plazo de dos años de prescripción que marca
la Ley de aplicación para las infracciones graves.
Por tanto, entiende que la sanción que se pretende imponer sería nula de pleno
Derecho al haber prescrito la infracción en el momento en el que se incoó y notificó el
presente expediente sancionador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/51

SEGUNDA. - EN RELACION CON LAS SUPUESTAS INFRACCIONES DE LOS
ARTÍCULOS 5.1.F Y 32 DEL RGPD: VULNERACIÓN DEL PRINCIPIO DE
CULPABIDAD Y, SUBSIDIARIAMENTE, DEL PRINCIPIO DE PROPORCIONALIDAD

Vulneración del principio de culpabilidad

Expone que, al tratarse, en su caso y a lo sumo, de un supuesto de culpa levísima, no
deberían ser objeto de sanción en un sistema de responsabilidad subjetiva como el
que rige en nuestro Derecho sancionador, ya que excede de los niveles máximos de
diligencia que pueden exigirse a una persona el que, en ningún caso, se produzcan
errores humanos (involuntarios) aislados en el ejercicio de una actividad con un tráfico
tan importante como el que desarrolla la parte reclamada.

Alega que, no existiendo, en modo alguno, esta voluntad consciente de infringir la
norma de aplicación no puede considerarse concurrente el elemento subjetivo del tipo
infractor invocado, por lo que la imposición de una sanción vulneraría el principio de
responsabilidad, corolario del principio de culpabilidad, establecido en el artículo 28.1
de la Ley 40/2015, en relación con el artículo 25.1 de la CE.

Vulneración del principio de proporcionalidad

Subsidiariamente a lo anteriormente expuesto y para el supuesto de que no sea tenido
en consideración (quod non), considera que es evidente que se ha vulnerado el
principio de proporcionalidad en un doble ámbito: en primer lugar, estableciendo una
multa en lugar de un apercibimiento (medida menos lesiva que tiene a su alcance la
AEPD) y, en segundo lugar, estableciendo unas cuantías de multa sobradamente
desproporcionadas, inidóneas e innecesarias en atención al supuesto de hecho
acontecido (130.000 euros por las supuesta infracción del artículo 5.1.f) del RGPD y
1.250.000 euros respecto de la infracción del 32 del RGPD).

En su opinión esta Agencia no estaría respetando el principio general de Derecho
relativo a la proporcionalidad, ya que (i) no es idónea la medida sancionadora al no ser
eficaz para conseguir el fin que supuestamente persigue (con carácter previo a la
incoación de este expediente, como indica expresamente el Informe de Investigación
Previa “adoptó diligentemente las medidas oportunas para regularizar la titularidad de
los contratos asociados a los puntos de suministro de luz y gas afectados y procedió a
robustecer sus procedimientos”); (ii) tampoco es necesaria (pues existen medidas
menos gravosas o lesivas como el apercibimiento); y (iii) ni mucho menos es
proporcional (pues es evidente que imponer una sanción de multa de 1.380.000 euros
-siendo un error humano que sólo ha afectado a un único cliente y únicamente a su
nombre, apellidos y DNI- es una medida totalmente desproporcionada, máxime si
atendemos a la doctrina y otros casos de Resoluciones Sancionadoras de esta
Agencia).

Por todo lo que antecede, alega que el Acuerdo de inicio sería nulo de pleno derecho,
por utilizar de forma desproporcionada la potestad sancionadora, debiendo, por tanto,
decretarse la nulidad del expediente sancionador.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/51

Finalmente, y con carácter subsidiario a las anteriores alegaciones y para el hipotético
supuesto de que no sean tenidas en consideración (quod non), entiende Repsol
Comercializadora de Electricidad y Gas, S.L.U. que se habría producido una
vulneración del principio de proporcionalidad (artículo 29 de la Ley 40/2015) al
proponerse unas sanciones en cuantía superior a la mínima.

De lo aquí expuesto, el Acuerdo de inicio sería contrario a Derecho por cuanto impone
una sanción de multa de 130.000 euros por la supuesta infracción del artículo 5.1.f) del
RGPD -deber de confidencialidad- y 1.250.000 euros respecto de la infracción del 32
del RGPD -seguridad del tratamiento-, sin que la motivación contenida al respecto
resulte suficiente ni ajustada a Derecho, siendo contraria al principio de
proporcionalidad (artículos 29 de la Ley 40/2015 y 35 de la Ley 39/2015, así como
artículo 83.1 del RGPD).

Alega que ha quedado totalmente acreditado que la causa del error está en las
comprobaciones previas “al existir similitud con el nombre y apellidos de la parte
reclamante (A.A.A.) y fruto de un error humano del agente, los contratos se vinculan a
la parte reclamante”.

Por tanto, la naturaleza es un error humano, es un caso puntual (sólo ha afectado a
una única persona como bien reconoce) y la gravedad de este se circunscribe a su
nombre, apellidos y DNI. Es manifiestamente contrario a derecho y no ha quedado
probado por esta Administración para agravar la infracción relativa a la seguridad del
tratamiento, la afirmación relativa a que “es susceptible de afectar de manera
generalizada a todas las contrataciones”. Dicha afirmación subjetiva, incierta y
probabilística, no tiene soporte justificativo alguno. Al margen de que no consta
probada un evento incierto, probabilístico y no probado como es el hecho. Al margen
de que, como se puso de manifiesto, el error se produjo en un cambio de titularidad y
no en un proceso de contratación, existen muy pocas probabilidades de que haya
muchos clientes que compartan casi idénticamente nombres y apellidos. Y finalmente,
no ha existido ningún daño y perjuicio como reconoce la propia denunciante y recoge
el Informe de Investigación Previa.

En segundo lugar, respecto a la supuesta agravante de “intencionalidad o negligencia
en la acción”, huelga decir a estos efectos que se ha tratado de un único caso, debido
a un error humano, puntual y fortuito y con escasa o nula transcendencia. Asimismo, la
propia AEPD reconoce que: “se acredita que desde que REPSOL REYG tuvo
conocimiento de la incidencia de la parte reclamante, adoptó diligentemente las
medidas oportunas para regularizar la titularidad de los contratos asociados a los
puntos de suministro de luz y gas afectados y procedió a robustecer sus
procedimientos tal y como se ha descrito a lo largo del presente informe”. Ello debería
llevar no a establecer una agravante, sino, en todo caso, una atenuante, al tratarse de
un suceso totalmente fortuito, unido al carácter “diligente” de las medidas de refuerzo.

De acuerdo con lo expuesto, concluye que el Acuerdo de inicio vulneraría el principio
de proporcionalidad previsto en el artículo 29 de la Ley 40/2015, en relación con el
artículo 35 de la Ley 39/2015, así como artículo 83.1 del RGPD, debiendo, por tanto,
reducirse dicha sanción a la mínima cuantía posible.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/51

En virtud de lo expuesto, solicita que, teniendo por formulado, en tiempo y forma, las
alegaciones al Acuerdo de inicio dictado en el marco del procedimiento sancionador de
referencia, se sirva admitirlo y, en virtud de cuanto en el mismo se expone, se dicte
resolución decretando el archivo de las actuaciones y del procedimiento administrativo
sancionador, en virtud de lo previsto en el artículo 47.1.a) de la Ley 39/2015 o, en su
caso, subsidiariamente, reduzca la sanción a la mínima. Y todo ello, por los motivos
expuestos.

DECIMOCUARTO: En fecha 24 de abril de 2025, se formuló propuesta de resolución,
proponiendo:

<<Que por la Presidencia de la Agencia Española de Protección de Datos se sancione
a REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS, S.L., con NIF
B39540760,

- por la infracción del artículo 5.1.d) del RGPD, tipificada conforme a lo dispuesto en el
artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el
artículo 72.1 a) de la LOPDGDD, con una multa de 130.000 euros.

- por la infracción del artículo 32 del RGPD, tipificada conforme a lo dispuesto en el
artículo 83.4 del RGPD, calificada como grave a efectos de prescripción, en el artículo
73 f) de la LOPDGDD, con una multa de 1.250.000 euros.>>

La citada propuesta de resolución fue enviada, conforme a las normas establecidas en
la LPACAP, mediante notificación electrónica, siendo recibida en fecha 25 de abril de
2025, como consta en el certificado que obra en el expediente.

DECIMOQUINTO: En fecha 13 de mayo de 2025, REPSOL COMERCIALIZADORA DE
ELECTRICIDAD Y GAS, S.L., presentó escrito de alegaciones a la Propuesta de
Resolución, en el que, en síntesis, se reiteran básicamente las alegaciones ya
presentadas a lo largo del procedimiento sancionador, manifestando que existen
argumentos fundados en Derecho para proceder al archivo y sobreseimiento del
expediente sancionador.

PRIMERA. - DE LA PRESCIPCION DE LA SUPUESTA INFRACCION DEL ARTÍCULO
32 DEL RGPD Y LA VULNERACION DE LOS ACTOS PROPIOS DE LA
ADMINISTRACION.

A juicio de Repsol Comercializadora de Electricidad y Gas, la infracción del artículo 32
del RGPD se encontraría prescrita.

Considera que la infracción del artículo 32 del RGPD, no puede calificarse como
permanente, sino que se agota en el momento en el que supuestamente se produce la
infracción. Y ello por cuanto, la obligación supuestamente infractora es que no se han
aplicado “medidas técnicas y organizativas apropiadas para garantizar un nivel de
seguridad adecuado al riesgo”, por lo que, producido el error humano que ha llevado a
dicha infracción, afirma que ese acto consume en su totalidad la supuesta infracción,
no siendo necesario un cese de la conducta, por cuanto el cambio erróneo en la
titularidad de los puntos de suministro se produjo el 14 de enero de 2022 y con ello, el
supuesto incumplimiento, con independencia de cuándo se revierta la situación. Es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/51

decir, entiende que la seguridad de tratamiento del artículo 32 del RGPD es un tipo de
infracción única (si las medidas no se consideran apropiadas) y no puede ser
catalogada como infracción permanente.

Para el supuesto de que se entienda que es permanente sobre la base de lo
establecido en el expediente administrativo, y en el propio Acuerdo de inicio y en el
Informe de Actuaciones Previas, considera que se indica expresamente que la parte
reclamante figuró erróneamente como titular de los puntos de suministro de luz y gas
afectados desde el 14 de enero de 2022 hasta el 3 ó 5 de marzo de 2022 (en función
del contrato correspondiente).

Por tanto, entiende que la cesación de la conducta de la que habla la Propuesta de
resolución tuvo lugar, sin ningún género de dudas, el 3 ó 5 de marzo de 2022. Así,
afirma que siendo el Acuerdo de inicio de fecha 24 de mayo de 2024 (dies ad quem) y,
habiendo tenido lugar los supuestos hechos infractores, tal y como se detalla del
Acuerdo de inicio y en el Informe de Actuaciones Previas, el 14 de enero de 2022 (o en
su caso, cesada la conducta el 5 de marzo de 2022) -dies a quo-, considera que es
claro e indubitado que se ha superado el plazo de dos años de prescripción que marca
la Ley de aplicación para las infracciones graves.

En conclusión, entiende que la sanción que se pretende imponer sería nula de pleno
Derecho al haber prescrito la infracción grave del artículo 32 del RGPD en el momento
en el que se incoó el presente expediente sancionador.

SEGUNDA. - DE LA VULNERACION DEL PRINCIPIO DE TIPICIDAD: INEXISTENCIA
DE INFRACCION DE LOS ARTÍCULOS 5.1.D Y 32 DEL RGPD.

Alega que no resulta posible sancionar a la entidad con base en los hechos descritos
en tanto que su actuación no resulta constitutiva de infracción administrativa alguna ni,
en particular, de la infracción del artículo 5.1.d) ni del artículo 32 del RGPD, por lo que
considera que una eventual Resolución sancionadora en el presente expediente
sancionador sería nula de pleno Derecho, en virtud de lo dispuesto en el artículo
47.1.a) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común
de las Administraciones Públicas.

▪ Supuesta infracción del artículo 5.1.d) del RGPD (principio de exactitud)

Afirma que la propuesta de resolución realiza un cambio de calificación jurídica de los
supuestos hechos infractores, por supuesta infracción del principio de exactitud del
artículo 5.1.d) del RGPD, tipificada en el artículo 83.5.a) del RGPD y ello, en atención
a que los “hechos que motivan la imputación han permanecido invariables”.

Considera que no es posible subsumir los supuestos hechos (el error en el cambio de
titularidad de los contratos incorporando el nombre, apellido y DNI en la ficha de otra
clienta), en la obligación del artículo 5.1.d) del RGPD, pues la misma, lo que impone
es la obligación de adoptar “todas las medidas razonables para que se supriman o
rectifiquen sin dilación los datos personales que sean inexactos con respecto a los
fines para los que se tratan”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/51

Es decir, entiende que la obligación supone actuar de manera razonable (suprimiendo
o rectificando), sin dilación, los datos inexactos, pero no impone, como pretende la
Propuesta de resolución, haciendo una interpretación extensiva (proscrita por el
principio de tipicidad) que siempre que se produzca un error y haya un dato inexacto
en un fichero, nos encontremos ante una vulneración del principio de exactitud del
artículo 5.1.d) del RGPD. Ello es lógico, pues lo contrario afirma que llevaría al
absurdo de que se tuviera que sancionar siempre que haya un dato inexacto por
cualquier motivo.

Finalmente, expone que el hecho de que la clienta recibiera una nueva factura en junio
de 2022, no se debe a que los datos del tratamiento fueran inexactos (ya se había
diligentemente establecido las medidas oportunas), sino que era una regularización
interna como consecuencia del proceso de calidad, por lo que no existiría infracción
del artículo 5.1.d) del RGPD, en relación con el artículo 83.5.a) del RGPD, por lo que
una eventual resolución, vulneraría el principio de tipicidad.

▪ Supuesta infracción del artículo 32 del RGPD (seguridad del tratamiento)

En este sentido, afirma que tenía y tiene instauradas medidas técnicas y organizativas
apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

Alega que las medidas que se encontraban implantadas con anterioridad por parte de
Repsol Comercializadora Electricidad y Gas son fruto de la evaluación de los riesgos
inherentes al tratamiento (entre otras, en atención a una posible alteración accidental
como en el presente caso y como dispone el propio Considerando), para su seguridad
y confidencialidad y que se adoptaron todas las medidas necesarias para evitar
“ocasionar daños y perjuicios físicos, materiales o inmateriales”. Es más, afirma que
ningún daño o perjuicio que es lo que se pretende evitar con las medidas del artículo
32 del RGPD (de conformidad con el Considerando 83) se ha ocasionado a la
reclamante como recoge la propia Propuesta de resolución: “(…) no ha existido ningún
daño y perjuicio como reconoce la propia denunciante y recoge el Informe de
Investigación Previa”. Ergo, considera que las medidas implantadas han cumplido su
finalidad: evitar ocasionar daños y perjuicios físicos, materiales o inmateriales.

Por tanto, considera que no existe infracción alguna del artículo 32 del RGPG, pues
Repsol Comercializadora de Electricidad y Gas reitera que tenía establecidas medidas
adecuadas para garantizar un nivel de seguridad adecuado al riesgo. Ello con
independencia del resultado provocado por un error humano, fortuito, involuntario y
puntual, que únicamente afectó a un único cliente, a su nombre, apellidos y DNI (ni
siquiera a su cuenta bancaria); y que de manera totalmente proactiva y en busca de la
excelencia, detectada la situación, expone que se adicionaron las medidas precisas
para evitar futuras situaciones similares (robusteciendo las ya existentes).

Indica que el Riesgo cero no existe y que las medidas que se adoptaron en su
momento se encuentran dentro de la diligencia razonable que se puede esperar en
atención al riesgo.

Concluye exponiendo que los hechos por los que se pretende sancionar a la parte
reclamada (simple existencia de un dato inexacto) no supone la conculcación del
principio de exactitud que requiere actuar de manera razonable (suprimiendo o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/51

rectificando), sin dilación, cuando existan datos inexactos (no por la mera existencia de
éstos); e insiste en la existencia de medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo de conformidad con la seguridad
del tratamiento; por lo que considera que no existiría una perfecta adecuación de los
hechos a la supuesta infracción de las obligaciones de exactitud y seguridad del
tratamiento del RGPD, vulnerando con ello, el principio de legalidad y tipicidad y, por
tanto, cualquier resolución sería nula de pleno derecho de conformidad con lo
dispuesto en el artículo 47.1.a) de la Ley 39/2015.

TERCERA. - VULNERACIÓN DEL PRINCIPIO DE CULPABIDAD.

A juicio de la parte reclamada no existiría responsabilidad administrativa alguna en los
supuestos hechos infractores, al tratarse de un error involuntario humano.

Afirma que, al tratarse, en su caso y a lo sumo, de un supuesto de simple
inobservancia, no deberían ser objeto de sanción en un sistema de responsabilidad
subjetiva como el que rige en nuestro Derecho sancionador, ya que excede de los
niveles máximos de diligencia que pueden exigirse a una persona el que, en ningún
caso, se produzcan errores humanos (involuntarios) aislados en el ejercicio de una
actividad con un tráfico tan importante como el que desarrolla la reclamada. Considera
que es un hecho puntual e involuntario, fruto de un error accidental, sin trascendencia
alguna para la cliente.

Concluye afirmando que, no existe en modo alguno voluntad consciente de infringir la
norma de aplicación por lo que no puede considerarse concurrente el elemento
subjetivo del tipo infractor invocado, por lo que la imposición de una sanción vulneraría
el principio de responsabilidad, corolario del principio de culpabilidad, establecido en el
artículo 28.1 de la Ley 40/2015, en relación con el artículo 25.1 de la CE.

CUARTA. - DE LA VULNERACION DEL PRINCIPIO DE BUENA FE, SEGURIDAD
JURIDICA Y EQUIDAD.

Reitera que nos encontramos ante un error puntual y que actuó de forma totalmente
diligente. Considera que no se está respetando el principio universal de equidad y que
ha actuado de buena fe al tratarse de un error humano, sin trascendencia para la
reclamante por lo que entiende vulnerados con el presente expediente sancionador los
principios de buena fe, seguridad jurídica y equidad.
QUINTA. -VULNERACION DEL PRINCIPIO DE PROPORCIONALIDAD.

Considera que se ha vulnerado el principio de proporcionalidad en un doble ámbito:

- en primer lugar, estableciendo una multa en lugar de un apercibimiento (medida
menos lesiva que tiene a su alcance la AEPD); y

- en segundo lugar, estableciendo unas cuantías de multa sobradamente
desproporcionadas, inidóneas e innecesarias en atención al supuesto de hecho
acontecido (130.000 euros por el supuesto incumplimiento del artículo 5.1.d) del
RGPD y 1.250.000 euros respecto de la supuesta conculcación del artículo 32 del
RGPD).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/51

Expone que la LOPDGDD (norma especial y posterior al RGPD, que además adapta la
normativa de protección de datos al Reglamento y completa sus disposiciones prevé
expresamente la posibilidad de apercibimiento y que la potestad sancionadora
utilizada por esta Administración es totalmente desproporcionada.

Manifiesta que la causa del error está en las comprobaciones previas al existir similitud
con el nombre y apellidos de la parte reclamante y fruto de un error humano del
agente, los contratos se vinculan a la parte reclamante. Por tanto, la naturaleza es un
error humano, un caso totalmente puntual (sólo ha afectado a una única persona) y la
supuesta gravedad de éste se circunscribe, únicamente, a su nombre, apellidos y DNI,
sin que haya tenido ningún tipo de perjuicio económico.

Considera que todo ello debería llevar no a establecer una agravante, sino, en todo
caso, una atenuante, al tratarse de un suceso totalmente fortuito, unido al carácter
“diligente” de las medidas de refuerzo.

Alega que el efecto disuasorio que se pretende conseguir con una multa tan
desproporcionada no cumple con la función intrínseca de esa disuasión, que nada dice
la Propuesta de resolución sobre la existencia de posibles atenuantes y que son
múltiples los ejemplos en los que, en situaciones similares o mucho más graves, la
multa no era tan desproporcionada.

Por último, concluye afirmando que la Propuesta de resolución vulneraría el principio
de proporcionalidad previsto en el artículo 29 de la Ley 40/2015, en relación con el
artículo 35 de la Ley 39/2015, así como artículo 83.1 del RGPD, debiendo, por tanto,
anularse la Propuesta de resolución o, subsidiariamente, reducirse dicha sanción a la
mínima cuantía posible.

Por todo ello, solicita que se decrete la prescripción de la infracción del artículo 32 del
RGPD, se dicte resolución decretando el archivo de las actuaciones y del
procedimiento administrativo sancionador, en virtud de lo previsto en el artículo 47.1.a)
de la Ley 39/2015, por alguno de los motivos expuestos, subsidiariamente al anterior,
se reduzca la sanción a la mínima.

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS PROBADOS
PRIMERO: La parte reclamante ha manifestado que se puso en contacto con la
entidad al recibir un SMS informándole de la fecha de la próxima inspección periódica
obligatoria de la instalación de gas, y añade:
“Puesto que esta inspección la habían realizado en mi domicilio a finales de
octubre de 2020 y corresponde cada 5 años me puse en contacto con la
distribuidora de gas para aclararlo. Me indicaron que, efectivamente, no
correspondía la inspección pero que constaba que existía otro punto de
suministro de gas en ***LOCALIDAD.1 asociado a mi DNI y nombre y apellidos
con la compañía REPSOL y que me pusiese en contacto con ellos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/51

Llamé al teléfono que me facilitaron de REPSOL y me informaron de que no
sólo había un contrato de gas con mis datos sino también otro de electricidad
en el mismo punto de suministro de ***LOCALIDAD.1.
Yo no he suscrito esos contratos con REPSOL y la dirección del punto de
suministro me es completamente ajena”.
SEGUNDO: Los contratos que la parte reclamante no reconoce están asociados a los
siguientes puntos de suministro, de gas y luz respectivamente:
- ***CÓDIGO.1
Se acredita que en fecha 14 de enero de 2022 REPSOL REYG remite a la
distribuidora de gas una solicitud de cambio de titularidad a favor de la parte
reclamante. La distribuidora activa dicha solicitud de cambio de titularidad a favor de la
parte reclamante en fecha 14 de enero de 2022.
Se acredita que en fecha 3 de marzo de 2022 la distribuidora recibe nueva solicitud de
cambio de titularidad por parte de REPSOL REYG a favor de otra persona distinta,
Cliente C, por lo que la parte reclamante, deja de constar como titular del suministro de
gas cuando se activa esta nueva solicitud, el mismo 3 de marzo de 2022.

- ***CÓDIGO.2
Se acredita que en fecha 14 de enero de 2022 REPSOL REYG remite a la
distribuidora de luz una solicitud de modificación en el contrato de acceso, por cambio
de titularidad por traspaso, a favor de la parte reclamante. La distribuidora activa dicha
solicitud de cambio de titularidad a favor de la parte reclamante en fecha 16 de enero
de 2022.
Se acredita que en fecha 3 de marzo de 2022 la distribuidora recibe nueva solicitud de
cambio de titularidad por parte de REPSOL REYG a favor de otra persona distinta,
Cliente C, por lo que la parte reclamante, deja de constar como titular del suministro de
gas cuando se activa esta nueva solicitud, el 5 de marzo de 2022.

En el marco de las actuaciones de investigación REPSOL REYG manifiesta:
En fecha 14/01/2022 se recibe una solicitud de cambio de comercializadora
con cambio de titularidad por parte de una persona ajena a la denunciante (en
adelante, “clienta A”) (ARCHIVO 1). Al existir una correspondencia casi idéntica
de nombre y dos apellidos, la solicitud se ejecuta en la ficha de cliente de la
reclamante. En este momento, se lanza la primera solicitud de cambio de
titularidad a la distribuidora producto del alta de la Clienta A en RE&G.
En la solicitud de fecha 14/01/2022 se facilitan a la distribuidora los datos que
constan en la ficha de cliente de la parte reclamante, ya que, por la identidad
de nombre y dos apellidos, se graba en su ficha los dos nuevos contratos de la
Cliente A. Al ser la reclamante cliente de Repsol REYG, el origen de los datos
comunicados a la distribuidora no es otro que la propia interesada.

TERCERO: El nombre y apellidos que figuran en los campos DATOS DEL NUEVO
TITULAR y DECLARO (B.B.B.) coinciden con el nombre y apellidos, cambiados de
orden, de la parte reclamante (A.A.A.). No coinciden otros datos como el DNI o la
cuenta bancaria.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/51

CUARTO: Constan como fecha de inicio y fin de la relación contractual entre la parte
reclamante y REPSOL REYG las fechas 22/01/2011 y 04/02/2019, respectivamente.
La ficha de cliente de la parte reclamante contiene los siguientes datos: nombre,
apellidos, DNI y número de teléfono móvil.

En la ficha de cliente de la parte reclamante figura la alerta EXCLIENTE-ML,
REPSOL REYG indica que esta alerta se generó el 04/02/2019, fecha en la que
finalizó el contrato con parte reclamante.
QUINTO: Respecto de las facturas emitidas, la parte reclamante figura como titular de
los puntos de suministro de luz y gas, ***CÓDIGO.2 y ***CÓDIGO.1, mencionados en
el Hecho Probado Segundo.

Constan las siguientes facturas generadas por REPSOL REYG a nombre de la parte
reclamante y relativas a los puntos de suministro anteriores:

FACTURA PERÍODO
1 Gas 14/01/2022 - 14/02/2022
2 Gas 15/02/2022 - 02/03/2022
3 Rectificativa de gas 14/01/2022 - 14/02/2022
4 Electricidad 04/03/2022 - 05/05/2022
5 Electricidad 05/05/2022 - 08/06/2022
6 Rectificativa de electricidad 04/03/2022 - 05/05/2022
7 Rectificativa de electricidad 05/05/2022 - 08/06/2022

En relación con la generación de estas facturas, REPSOL REYG explica:

1. Factura 1: esta factura fue emitida como consecuencia del error humano inicial
del agente que tramitó el cambio de titularidad de la Clienta A en la ficha de
cliente de la parte reclamante.
2. Factura 2: este período de facturación abarca el período desde que se detecta
la incidencia el 15/02/2022, momento en el que la parte reclamante se pone en
contacto con Atención al Cliente de REPSOL REYG para notificar el error,
hasta el 28/02/2022, al enviar solicitud de cambio de titularidad a la
distribuidora a favor del Cliente C, haciéndose el cambio efectivo el 03/03/2022.
3. Factura 3: Al anular el contrato que erróneamente se había generado se
anularon las facturas emitidas bajo el mismo error.
4. Factura 4: como consecuencia del proceso de calidad que se llevó a cabo en
fecha 17/06/2022, enfocado a subsanar las modificaciones que, de manera
inusual, habían tenido lugar en los sistemas a causa de la incidencia, se emitió
la factura relativa a dicho período a nombre de la reclamante, siendo ésta
anulada el 12/07/2022 mediante factura rectificativa, al tratarse de una
regularización interna (Factura 6).
5. Factura 5: esta factura se generó bajo las mismas circunstancias que la factura
anterior, emitiéndose en la misma fecha y procediéndose a su anulación el
12/07/2022 mediante factura rectificativa (Factura 7).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/51

SEXTO: REPSOL REYG, en su escrito de fecha de entrada de 12/07/2023 y número,
REGAGE23e00047203945, manifestó que dejó de tratar los datos personales de la
reclamante en el momento en que dio de baja su contrato el 28/07/2022,
conservándose los datos personales únicamente a los solos efectos de cumplir
obligaciones legales y/o atender requerimientos de las Autoridades Competentes.

SÉPTIMO: Asimismo en el escrito de fecha de entrada de 12/07/2023 y número,
REGAGE23e00047203945 REPSOL REYG manifiesta lo siguiente:

“En cuanto a las medidas implantadas, se procedió a la adopción de las siguientes:

(…).

(ii) (…).

(iii) (…).

(iv) (…).

(v) (…).

(vi) (…)”.

OCTAVO: El citado ARCHIVO 3 contiene un documento Word en el que se detalla un
procedimiento sin fecha, ni firma.

NOVENO: El citado ARCHIVO 4 contiene un documento pptx, denominado “protocolo
de seguridad” que se encuentra sin fechar y sin especificar la fecha de las
modificaciones realizadas. Entre la información que contiene se detalla un protocolo de
seguridad para exclientes, en el que consta que “(…) …”

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento, la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/51

II
Alegaciones al acuerdo de inicio

En relación con las alegaciones aducidas al acuerdo de inicio del presente
procedimiento sancionador, se dio respuesta a las mismas en la Propuesta de
resolución, desestimando lo alegado por la parte reclamada. No obstante, y en aras a
una mayor claridad, se procede a recoger a continuación las principales
argumentaciones dadas:

PRIMERA. - EN RELACION CON LA SUPUESTA INFRACCION DEL ARTÍCULO 32
DEL RGPD: VULNERACIÓN DEL PRINCIPIO DE TIPICIDAD Y, EN TODO CASO,
PRESCRIPCIÓN DE LA INFRACCIÓN

En primer lugar, alega REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS
S.L.U., que no existiría la pretendida infracción del artículo 32 del RGPD en relación
con el artículo 83.4 del RGPD y calificada como grave a efectos de prescripción, en el
artículo 73 f) de la LOPDGDD, pues de los hechos expuestos ha quedado acreditado
la existencia de medidas técnicas y organizativas apropiadas para garantizar un nivel
de seguridad adecuado al riesgo, por lo que no existiría una perfecta adecuación de
los hechos al tipo infractor propuesto y, en todo caso, cabe entender que la infracción
estaría prescrita en el momento de la incoación del presente expediente sancionador,
al haber transcurrido más de dos años desde que ocurrieron los supuestos hechos
infractores.

En el presente caso, procede recordar que durante las actuaciones de investigación
resaltan una inadecuación o insuficiencia de las medidas existentes.

Alega REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS S.L.U., que la
AEPD ha vinculado el supuesto incumplimiento del artículo 32 con la producción del
resultado que se produjo como consecuencia de un error humano, fortuito, involuntario
y puntual, que únicamente afectó a un único cliente, a su nombre, apellidos y DNI (ni
siquiera a su cuenta bancaria); y que de manera totalmente proactiva y en busca de la
excelencia, detectada la situación, se adicionaron las medidas precisas para evitar
futuras situaciones similares (robusteciendo las ya existentes).

Concluye por ello que la AEPD está imponiendo, en lo que respecta a la adopción de
medidas de seguridad, una obligación de resultado, pero que sin embargo es una
obligación de medios. A este respecto, trae a colación lo manifestado por el Tribunal
Supremo en su sentencia de 15 de febrero de 2022 (recurso de casación 7359/2020),
que señala de forma clara que la obligación impuesta por la normativa de protección
de datos personales, de adoptar medidas técnicas y organizativas encaminadas a
garantizar la confidencialidad, disponibilidad e integridad de la información, es una
obligación de medios y no de resultado.

A este respecto, procede señalar que la citada Sentencia efectivamente indica, sobre
las medidas de seguridad en materia de protección de datos, que “… la obligación que
recae sobre el responsable y sobre el encargado del tratamiento respecto a la
adopción de medidas necesarias para garantizar la seguridad de los datos de carácter
personal no es una obligación de resultado sino de medios, sin que sea exigible la
infalibilidad de las medidas adoptadas. Tan solo resulta exigible la adopción e
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/51

implantación de medidas técnicas y organizativas, que conforme al estado de la
tecnología y en relación con la naturaleza del tratamiento realizado y los datos
personales en cuestión, permitan razonablemente evitar su alteración, pérdida,
tratamiento o acceso no autorizado.” (el subrayado es nuestro).

Continúa la Sentencia indicando, en el caso concreto que se analiza en la misma, que
“…el programa utilizado para la recogida de los datos de los clientes no contenía
ninguna medida de seguridad que permitiese comprobar si la dirección de correo
electrónico introducida era real o ficticia y si realmente pertenecía a la persona cuyos
datos estaban siendo tratados y prestaba el consentimiento para ello. El estado de la
técnica en el momento en el que se produjeron estos hechos permitía establecer
medidas destinadas a comprobar la veracidad de la dirección de email, condicionando
la continuación del proceso a que el usuario recibiese el contrato en la dirección
proporcionada y solo desde ella prestase el consentimiento necesario para su
recogida y tratamiento. Medidas que no se adoptaron en este caso.

(…) De modo que, en el momento en que se produjeron estos hechos, existían
medidas técnicas referidas al proceso de registro, que hubiesen evitado la filtración de
datos personales producida. Ello implica que las medidas técnicas adoptadas
incumplían las condiciones de seguridad en los términos exigidos en el art. 9.1 de la
LO 15/1999, incurriéndose por tanto en la infracción prevista en el art. 44.3.h)
consistente en "Mantener los ficheros, locales, programas o equipos que contengan
datos de carácter personal sin las debidas condiciones de seguridad que por vía
reglamentaria se determinen [...]".

Por tanto, si bien se infiere de la Sentencia que las obligaciones que establece el
artículo 32 del RGPD son de medios, también deja claro que, si en el momento de
producirse el incidente existían medidas técnicas adecuadas para evitar o mitigar los
efectos del mismo y no fueron aplicadas, ello supone un incumplimiento de la citada
obligación impuesta por el RGPD y, por ende, una infracción al mismo.

Cabe recordar que, a pesar de que la reclamada insiste en ello, la coincidencia en los
datos de nombre y apellidos no es total entre las dos clientes involucradas, ya que el
nombre de pila no es totalmente coincidente- B.B.B. frente a A.A.A.- y, si bien los
apellidos coinciden, no así su orden – B.B.B. frente a A.A.A.- por lo que no puede
aceptarse esa presunta total coincidencia de los datos. Y ello sin perjuicio de que
datos que también hubieran detectado que el cambio de titularidad que se estaba
produciendo era incorrecto como el DNI o la cuenta bancaria, tampoco coincidentes,
no fueron comprobados.

En el presente caso, como se ha señalado, existía una vulnerabilidad derivada de una
mala configuración del procedimiento de cambio de titularidad, que ha sido detectada
a través de la investigación realizada.

Recordemos que la finalidad del artículo 32 del RGPD es la de procurar un nivel de
seguridad adecuado al riesgo del tratamiento de datos personales, a través de la
aplicación de medidas técnicas y organizativas apropiadas de seguridad,
específicamente de seguridad, La ausencia de dicho nivel de seguridad adecuado al
riesgo implica la vulneración del precepto. Se configura de esta forma una obligación
de medios, que se concreta en la obligación de diseñar los medios técnicos y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/51

organizativos adecuados, siendo también necesaria su correcta implantación y su
utilización de forma apropiada, de modo que también responderá por la falta de la
diligencia en su utilización, entendida como una diligencia razonable atendiendo a las
circunstancias del caso.

La Audiencia Nacional señaló en diversas sentencias- por todas, la de13 de junio de
2002 -recurso nº. 1.517/2001 -, que la obligación que dimana de la implantación de
medidas de seguridad en lo concerniente a los datos de carácter personal se refiere a
las medidas necesarias y apropiadas, haciendo mención a su determinación e
implantación efectiva:

“no se cumple con la adopción de cualquier medida, pues deben ser las
necesarias para garantizar aquellos objetivos que marca el precepto, y por
supuesto, no basta con la aprobación formal de las medidas de seguridad, ya
que resulta exigible que aquéllas se instauren y pongan en práctica de manera
efectiva.”

Recordemos también lo señalado por el Tribunal de Justicia de la Unión Europea
(TJUE) la STJUE 14/12/2023, dictada en asunto C-340/2021

30 Así, del tenor de los artículos 24 y 32 del RGPD se desprende que estas
disposiciones se limitan a obligar al responsable del tratamiento a adoptar
medidas técnicas y organizativas destinadas a evitar, en la medida de lo
posible, cualquier violación de la seguridad de los datos personales. El carácter
apropiado de tales medidas debe evaluarse en cada caso concreto,
examinando si el responsable ha adoptado esas medidas teniendo en cuenta
los diferentes criterios establecidos en los mencionados artículos y las
necesidades de protección de datos específicamente inherentes al tratamiento
de que se trate y a los riesgos que conlleva.

37 Por otra parte, del artículo 82, apartados 2 y 3, del RGPD se desprende
que, si bien un responsable del tratamiento es responsable del daño causado
por un tratamiento que constituya una infracción de dicho Reglamento, queda
exonerado de responsabilidad si demuestra que no es en modo alguno
responsable del hecho que haya causado los daños y perjuicios.

42 Del citado artículo 32, apartados 1 y 2, se desprende que el carácter
apropiado de tales medidas técnicas y organizativas debe apreciarse de
manera escalonada. Por una parte, es preciso identificar los riesgos de
violación de la seguridad de los datos personales que entrañe el tratamiento y
sus posibles consecuencias para los derechos y libertades de las personas
físicas. Esta apreciación debe llevarse a cabo en cada caso concreto, tomando
en consideración cuál es la probabilidad de los riesgos identificados y la
gravedad de estos. Seguidamente, debe comprobarse si las medidas
adoptadas por el responsable del tratamiento se adaptan a estos riesgos,
teniendo en cuenta el estado de la técnica, el coste de la aplicación y la
naturaleza, ámbito, contexto y fines del tratamiento.

46 Un examen de este tipo requiere que se proceda a un análisis concreto
tanto de la naturaleza como del contenido de las medidas que han sido
adoptadas por el responsable del tratamiento, de la forma en la que se han
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/51

aplicado dichas medidas y de sus efectos prácticos en el nivel de seguridad
que este estaba obligado a garantizar, habida cuenta de los riesgos inherentes
a ese tratamiento.

69 De estas disposiciones se desprenden, por un lado, que el responsable
del tratamiento debe, en principio, indemnizar los daños y perjuicios causados
por una infracción del citado Reglamento relacionada con ese tratamiento y,
por otro lado, que solo puede quedar exonerado de responsabilidad si aporta la
prueba de que en modo alguno es responsable de esos daños y perjuicios.

71 Cuando, como en el presente asunto, la violación de la seguridad de los
datos personales, en el sentido del artículo 4, punto 12, del RGPD, ha sido
cometida por cibercriminales y, por tanto, por «terceros», en el sentido del
artículo 4, punto 10, de este, esa violación no puede imputarse al responsable
del tratamiento, salvo que este último la hubiera hecho posible por incumplir
alguna obligación establecida en el RGPD y, en particular, la obligación de
protección de datos a la que está sujeto en virtud de los artículos 5, apartado 1,
letra f), 24 y 32 del mismo Reglamento.

En cuanto a la prescripción, erra la parte reclamada al sostener que la infracción
estaría prescrita toda vez que en el presente caso nos encontramos con una de las
denominadas infracciones permanentes, caracterizada porque la conducta
merecedora de reproche administrativo se mantiene durante un espacio de tiempo
prolongado, y por ello el cómputo del plazo de prescripción no llega a iniciarse hasta
que dicha conducta cese o se interrumpa. Tales infracciones se cometen mientras se
mantienen los efectos lesivos de dicho eventual comportamiento infractor. En
consecuencia, la lesión al bien jurídico protegido se prolonga en el tiempo, durante
todo el periodo en el que mantiene dicho comportamiento contrario al ordenamiento
jurídico.

En el caso concreto que se examina, teniendo en cuenta la naturaleza permanente de
dicha infracción, el plazo de prescripción no puede, como sostiene la parte reclamada,
computarse desde el 14 de enero de 2022, sino que el plazo de prescripción
comenzará a computarse únicamente cuando la conducta infractora haya cesado.

En este sentido consta acreditado en el expediente, la recepción por parte de la
reclamante de una última factura de consumo emitida por la parte reclamada en julio
de 2022, relativa a un punto de suministro desconocido para ella, que incluye como
periodo de facturación, el periodo comprendido entre el 5 de mayo de 2022 y el 8 de
junio de 2022, por lo que entre la comisión de la infracción imputada, acaecida en julio
de 2022 y la fecha de la notificación del acuerdo de inicio del procedimiento
sancionador a la parte reclamada, esto es, el 27 de mayo de 2024, no han transcurrido
los dos años previstos en el artículo 73 f) de la LOPDGDD, por lo que, por las razones
expuestas, la prescripción de la infracción que se invoca debe ser rechazada.

SEGUNDA. - EN RELACION CON LAS SUPUESTAS INFRACCIONES DE LOS
ARTÍCULOS 5.1.F Y 32 DEL RGPD: VULNERACIÓN DEL PRINCIPIO DE
CULPABIDAD Y, SUBSIDIARIAMENTE, DEL PRINCIPIO DE PROPORCIONALIDAD

Vulneración del principio de culpabilidad

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/51

Se recuerda que, ciertamente, el principio de responsabilidad previsto en el artículo
28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público,
dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.”

No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011,
Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal
Constitucional viene declarando que no cabe en el ámbito sancionador administrativo
la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia
164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer
sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título
de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las
personas jurídicas no se corresponde con las formas de culpabilidad dolosas o
imprudentes que son imputables a la conducta humana.

Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque
haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del
Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley
48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de
las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la
imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe
asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.”

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005,
y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la
culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en
orden a la asunción de la correspondiente carga, que ordinariamente los elementos
volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta
típica probada, y que su exclusión requiere que se acredite la ausencia de tales
elementos, o en su vertiente normativa, que se ha empleado la diligencia que era
exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente
a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".

A mayor abundamiento, no podemos hablar tan sólo de un error humano, puntual
desde el momento en que ha sido necesario robustecer el Procedimiento de Cambio
de titularidad de los Agentes de ATC, de modo que las búsquedas en sus sistemas se
realicen única y exclusivamente mediante DNI, evitando errores de identificación así
como la necesidad de robustecer la Política de Seguridad para verificar todos los datos
del cliente con carácter previo a la contratación o cualquier gestión de carácter
contractual y centralizar la gestión de los casos con mayor complejidad en un mismo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/51

agente especializado, evitando realizar varias acciones en paralelo que pueden
producir equívocos, errores y confusión al cliente.
Vulneración del principio de proporcionalidad

En primer lugar, cabe recordar que las medidas correctivas de las que se dota a las
Autoridades de Control se configuran en el RGPD como “poderes” esto es, como
potestades de actuación que, lógicamente, se aplicarán en atención a las
circunstancias presentes en cada caso concreto.
Por otro lado, esta Agencia desea señalar lo que el Considerando 148 del RGPD
indica sobre la posibilidad de imponer un apercibimiento:

“En caso de infracción leve, o si la multa que probablemente se impusiera
constituyese una carga desproporcionada para una persona física, en lugar de
sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante.”
En atención a los términos en los que se pronuncia, el RGPD insta con carácter
general a la imposición de multas y prevé que el apercibimiento sea la medida utilizada
cuando la infracción sea leve- circunstancia que no sucede en este caso- o implique
una carga desproporcionada cuando la infracción haya sido cometida por una persona
física.
En el presente caso, esta Agencia ha evaluado y motivado todas las circunstancias
agravantes o atenuantes a que hace referencia el citado considerando 148 del RPGD
(que no son otras que las del artículo 83.2 del RGPD) y toda vez que las infracciones
en cuestión no son leves a efectos del RGPD, se considera conforme a Derecho
imponer una multa en vez de dirigir un apercibimiento. Razón por la que se desestima
la presente alegación.

En cuanto al principio de proporcionalidad, la STS, Sala 3ª, de 16 de diciembre de
2003 (Rec. 4996/98) ya señalaba que el principio de proporcionalidad de las sanciones
exige que "la discrecionalidad que se otorga a la Administración para la aplicación de
la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al
objeto de alcanzar la debida proporcionalidad entre los hechos imputados y la
responsabilidad exigida". Principio de proporcionalidad que no se entiende vulnerado,
considerándose proporcionada la sanción propuesta a la entidad, por los hechos
probados y ponderadas las circunstancias concurrentes, que se detallan más adelante.

Esta Agencia desea señalar que el RGPD no obliga a que deban existir graves daños
y/o perjuicios de la parte reclamante para constatar la existencia de infracción, como
en el presente caso.

La naturaleza de la infracción, número de afectados, la existencia o no de daños y
perjuicios, son todas cuestiones que se han tenido en cuenta y han sido debidamente

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/51

motivadas a la hora de graduar la sanción a imponer a REPSOL
COMERCIALIZADORA DE ELECTRICIDAD Y GAS S.L.U.

Ahora bien, frente a lo alegado, procede señalar varias cosas:

En primer lugar, el artículo 83.1 RGPD establece que las multas administrativas por las
infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas
y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las
multas administrativas se impondrán en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas…” (el
subrayado es nuestro). Estableciendo a continuación determinadas circunstancias a
tener en cuenta.

Así, el cálculo del importe de las multas queda a decisión de la autoridad de control,
con sujeción a las normas previstas en el RGPD.

En este contexto, el RGPD exige, como se ha señalado, que el importe de la multa sea
en cada caso efectivo, proporcionado y disuasorio (artículo 83, apartado 1, del RGPD).
Además, al fijar el importe de la multa, las autoridades de control tendrán debidamente
en cuenta una lista de circunstancias que se refieren a las características de la
infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD).

Por último, el importe de la multa no excederá de los importes máximos previstos en el
artículo 83, apartado 4, apartados 5 y 6, del RGPD.

Por lo tanto, la cuantificación del importe de la multa se basa en una evaluación
específica realizada en cada caso, dentro de los parámetros previstos por el RGPD.
Además, debe tenerse en cuenta que el cálculo de una multa no es un mero ejercicio
matemático, siendo las circunstancias del caso específico los factores determinantes
que conducen a la cantidad final, que puede ser, en todos los casos y para cada
infracción, una cantidad distinta hasta el máximo legal.

Como consideración general y final, procede señalar que ninguna de las sanciones
aplicadas vulnera el principio de proporcionalidad. Así, debe recordarse que los
artículos 83.4 y 83.5 del RGPD, donde se encuentran tipificadas respectivamente la
infracción del artículo 32 y la del artículo 5.1.f), establecen unos límites en las cuantías
de las multas que se pueden imponer muy alejados de las que finalmente se han
establecido.

Por tanto, no puede decirse que las sanciones finalmente impuestas vulneren el
principio de proporcionalidad, teniendo en cuenta que “Cada autoridad de control
garantizará que la imposición de las multas administrativas con arreglo al presente
artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y
6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” (el subrayado
es nuestro)

Recordemos en este punto lo manifestado por el TJUE en la sentencia dictada en el
asunto C-683-21.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/51

78 La existencia de un sistema de sanciones que permita imponer, cuando
las circunstancias específicas de cada caso lo justifiquen, una multa
administrativa con arreglo al artículo 83 del RGPD crea un incentivo para que los
responsables y encargados del tratamiento cumplan el Reglamento. Con su
efecto disuasorio, las multas administrativas contribuyen a reforzar la protección
de las personas físicas en lo que respecta al tratamiento de datos personales y
constituyen, por ende, un elemento clave para garantizar el respeto de los
derechos de dichas personas, de conformidad con la finalidad del citado
Reglamento de asegurar un elevado nivel de protección de esas personas en lo
que respecta al tratamiento de los datos personales.

Asimismo, la reciente STJUE de 13 de febrero de 2025, en el asunto C-383/23,
dispone que la imposición de una multa exige en el examen de cada caso particular de
una serie de elementos previstos en el artículo 83 del RGPD, del que el volumen de
negocios es un elemento más (ni el único ni el determinante), para imponer una multa
que sea proporcional, disuasoria y efectiva y se refuerce, de esta forma, la protección
de las personas físicas.

25 Así, en virtud del artículo 83, apartado 1, del RGPD, cada autoridad de
control tiene que garantizar que las multas administrativas con arreglo al referido
artículo 83 por las infracciones del RGPD indicadas en sus apartados 4 a 6
sean, en cada caso individual, efectivas, proporcionadas y disuasorias.
26 Más allá del cumplimiento de estos tres requisitos, el apartado 2 de dicho
artículo 83 exige, para decidir la imposición de una multa administrativa y su
importe, que la autoridad de control competente tenga debidamente en cuenta,
en cada caso individual, una serie de elementos.
27 De conformidad con esta última disposición, entre esos elementos figuran,
en particular, la naturaleza, gravedad y duración de la infracción, el número de
interesados afectados y el nivel de los daños y perjuicios sufridos, la
intencionalidad o negligencia en la infracción, las medidas adoptadas por el
responsable o el encargado del tratamiento para paliar los daños y perjuicios
sufridos, el grado de responsabilidad del responsable o del encargado del
tratamiento y las categorías de datos personales afectados por la infracción.
28 Los citados elementos se refieren, bien al comportamiento de ese
responsable o encargado, acusado de infringir determinadas disposiciones del
RGPD, bien a las propias infracciones. Así pues, sirven para garantizar que cada
una de dichas infracciones se aprecie sobre la base de todas las circunstancias
individuales pertinentes y que se alcancen los objetivos perseguidos por el
régimen sancionador contemplado en el RGPD.
29 Aunque estos elementos no hacen referencia al concepto de empresa, en
el sentido de los artículos 101 TFUE y 102 TFUE, el Tribunal de Justicia ya ha
declarado que solamente una multa que tenga en cuenta no solo todos los
elementos que caractericen las infracciones del RGPD constatadas, sino
también, en su caso, la capacidad económica real o material de su destinatario,
reúne los tres requisitos establecidos en el artículo 83, apartado 1, del RGPD, a
saber, ser a la vez efectiva, proporcionada y disuasoria. Pues bien, para apreciar
estos requisitos, debe tenerse en cuenta si ese destinatario forma parte de una
empresa en el sentido de los artículos 101 TFUE y 102 TFUE (véase, en este
sentido, la sentencia de 5 de diciembre de 2023, Deutsche Wohnen, C 807/21,
EU:C:2023:950, apartado 58).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/51

III
Alegaciones a la Propuesta de Resolución

En relación con las alegaciones aducidas a la Propuesta de Resolución, que
reproducen básicamente las formuladas a lo largo del procedimiento sancionador,
debe señalarse que ya fueron analizadas pormenorizadamente y desestimadas en los
Fundamentos de Derecho de la Propuesta de Resolución, que aparece transcrita en el
Fundamento de Derecho II de la presente Resolución, a la que, en aras de economía
procesal, procede remitirse.

En cuanto al resto de alegaciones, se procede a dar respuesta a las mismas, según el
orden expuesto:

PRIMERA. - DE LA PRESCIPCION DE LA SUPUESTA INFRACCION DEL ARTÍCULO
32 DEL RGPD Y LA VULNERACION DE LOS ACTOS PROPIOS DE LA
ADMINISTRACION.

A este respecto, procede recordar que el artículo 30.2 de la Ley 40/2015 establece que
“el plazo de prescripción de las infracciones comenzará a contarse desde el día en
que la infracción se hubiera cometido. En el caso de infracciones continuadas o
permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora.”

Erra la parte reclamada al sostener que la infracción estaría prescrita toda vez que en
el presente caso nos encontramos con una de las denominadas infracciones
permanentes, caracterizada porque la conducta merecedora de reproche
administrativo se mantiene durante un espacio de tiempo prolongado, y por ello el
cómputo del plazo de prescripción no llega a iniciarse hasta que dicha conducta cese o
se interrumpa. Tales infracciones se cometen mientras se mantienen los efectos
lesivos de dicho eventual comportamiento infractor. En consecuencia, la lesión al bien
jurídico protegido se prolonga en el tiempo, durante todo el periodo en el que mantiene
dicho comportamiento contrario al ordenamiento jurídico.

Debe aclararse que a raíz de la investigación realizada se detectaron indicios de dos
infracciones, siendo una de ellas de carácter estructural y asociada a los
procedimientos que tiene implantada la parte reclamada. A este respecto, hay que
indicar que dicha infracción continuará existiendo mientras no se cambie el
procedimiento.

En el caso concreto que se examina, teniendo en cuenta la naturaleza de dicha
infracción, el plazo de prescripción no puede, como sostiene la parte reclamada,
computarse desde el 14 de enero de 2022, sino que el plazo de prescripción
comenzará a computarse únicamente cuando la conducta infractora haya cesado.

Puede mencionarse a tal efecto la reciente STS, de 17 de diciembre de 2020, Nº de
Recurso: 4442/2019, que declara lo siguiente: “El cómputo del plazo de prescripción
comienza cuando se comete la infracción y, tratándose de una infracción continuada,
el dies a quo, no viene determinado por la fecha en que comienza a perpetrarse la
infracción sino por la fecha en la que se realizó la última infracción o cesó la conducta.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/51

En este sentido consta acreditado en el expediente, la recepción por parte de la
reclamante de una última factura de consumo emitida por la parte reclamada en julio
de 2022, relativa a un punto de suministro desconocido para ella, que incluye como
periodo de facturación, el periodo comprendido entre el 5 de mayo de 2022 y el 8 de
junio de 2022, por lo que entre la comisión de la infracción imputada, acaecida en julio
de 2022 y la fecha de la notificación del acuerdo de inicio del procedimiento
sancionador a la parte reclamada, esto es, el 27 de mayo de 2024, no han transcurrido
los dos años previstos en el artículo 73 f) de la LOPDGDD, por lo que, por las razones
expuestas, la prescripción de la infracción que se invoca debe ser rechazada.

SEGUNDA. - DE LA VULNERACION DEL PRINCIPIO DE TIPICIDAD: INEXISTENCIA
DE INFRACCION DE LOS ARTÍCULOS 5.1.D Y 32 DEL RGPD.

Sobre la procedencia de cambiar en fase de propuesta de resolución la calificación
jurídica de los hechos que el acuerdo de Inicio calificó como una infracción del artículo
5.1.f) del RGPD y sobre la incidencia que tal cambio pudiera tener en el derecho de
defensa de la parte reclamada, se hizo constar en la propuesta de resolución que no
existía ningún impedimento jurídico para tal cambio, siempre y cuando, como
acontecía en este caso, permanecieran invariables los hechos en los que se fundaba
la nueva imputación.

Por lo expuesto, la propuesta de resolución consideró plenamente ajustado a Derecho
el cambio de calificación jurídica efectuado en ese trámite, habida cuenta de que los
hechos que se subsumieron en la infracción imputada a la parte reclamada en la
propuesta de resolución -artículo 5.1.d) del RGPD- estaban recogidos en el acuerdo
de inicio si bien subsumidos en la infracción del artículo 5.1.f) del RGPD, por lo que la
nueva calificación jurídica no implicó una alteración en los hechos inicialmente
apreciados sino que éstos permanecieron invariables.

Además, hay que señalar que la fase de instrucción es precisamente para analizar
más en profundidad y, a la vista de la evolución del procedimiento, ajustar más las
posibles infracciones asociadas a las vulneraciones de la normativa detectadas, todo
ello dentro de un marco de garantías suficientes y adecuadas para el responsable del
tratamiento. En este caso, se expusieron claramente cuales fueron las infracciones
que se proponía imputar a la reclamada y se le dio trámite de audiencia para que
pudiera presentar las alegaciones que en su derecho considerara.

La documentación que obra en el expediente evidencia que la parte reclamada vulneró
el principio de exactitud pues trató un dato inexacto al llevar a cabo un cambio de
titularidad, en un contrato de suministro de luz y en un contrato de suministro de gas, a
favor de la parte reclamante en vez de a favor de Clienta A, que es quien solicitó el
cambio de titularidad.
Procede recordar que todo tratamiento de datos personales tiene que respetar los
principios que lo presiden, recogidos en el artículo 5 del RGPD, entre ellos el de
exactitud. El artículo 5.1.d) del RGPD dispone que los datos personales serán “d)
exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan («exactitud»)”. (El
subrayado es nuestro).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/51

Conforme al RGPD, el responsable del tratamiento estará obligado a adoptar en todo
momento las medidas que sean razonables para garantizar que sean exactos los
datos personales que recoja o trate de cualquier otra forma.

La actividad o las medidas que el responsable del tratamiento debe desplegar o
adoptar a fin de garantizar la exactitud de los datos no pueden traducirse en
exigencias desproporcionadas, pero sí son exigibles medidas “razonables”, lo que
hace preciso valorar la finalidad y el contexto del tratamiento. En ese sentido, mientras
el considerando 39 del RGPD alude a las “medidas razonables para garantizar que se
rectifiquen o supriman los datos personales que sean inexactos” el artículo 5.1.d) del
RGPD conecta la exactitud de los datos con los fines para los cuales son objeto de
tratamiento.

La Audiencia Nacional señalaba en su Sentencia de 27/02/2008, (Recurso 210/2007)
que “El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo
resulta necesario que los datos se recojan para su tratamiento de acuerdo con una
serie de criterios (principio de proporcionalidad) y que los mismos se empleen para
finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino
que también exige que quien recoge y trata datos de carácter personal garantice y
proteja que la información sometida a tratamiento no sea inexacta y esté puesta al día.
El incumplimiento o vulneración del principio de veracidad puede tener importantes
consecuencias para el afectado.” (El subrayado es nuestro).

A mayor abundamiento el artículo 5.2. del RGPD incorpora el principio de
responsabilidad proactiva en virtud del cual el responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1, por lo que ahora
interesa, en el apartado d) y capaz de demostrar su cumplimiento. El principio de
proactividad transfiere al responsable del tratamiento la obligación, no solo de
observar los principios que presiden el tratamiento, también la de poder demostrar
dicho cumplimiento.

Cabe mencionar el Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP
173-, emitido durante la vigencia de la Directiva 95/46/CEE derogada por el RGPD,
pero cuyas reflexiones son aplicables en la actualidad, que entiende que la “esencia”
de la responsabilidad proactiva es la obligación del responsable del tratamiento de
aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las
operaciones de tratamiento se cumplen las normas en materia de protección de datos
y en tener disponibles documentos que demuestren a los interesados y a las
Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento
de las normas que regulan el derecho fundamental a la protección de datos de
carácter personal.

Llegados a este punto nos remitimos a las facturas emitidas a la parte reclamante,
resultado de no verificar todos los datos del cliente con carácter previo a la
contratación utilizados por la parte reclamada en los procedimientos de cambio de
titularidad de suministro. Así, la parte reclamante tuvo también acceso a través de las
facturas recibidas, al número de CUPS que va asociado a la vivienda, al número de
contrato y tipo, dirección de suministro, comercializadora, datos de facturación (datos
bancarios, fecha y número de factura, importe, fecha de cargo, localizador de pago) e
información del consumo de la persona que suscribió el contrato.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/51

A tenor de las consideraciones expuestas a lo largo del procedimiento sancionador y
de la documentación que obra en el expediente se estima que la parte reclamada
vulneró el artículo 5.1.d) del RGPD que recoge un principio básico del derecho a la
protección de datos de carácter personal conforme al cual los datos deben ser exactos
y, si fuera necesario, actualizados (“principio de exactitud”).

En cuanto a la infracción del artículo 32 del RGPD, esta Agencia vuelve a incidir en
que esta infracción se debe a la falta de medidas o a la falta de aplicación de medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo en el procedimiento establecido para la contratación, así como al del cambio de
titular.

Afirma la parte reclamada que tenía y tiene instauradas medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

Frente a ello, procede señalar que, de los hechos acaecidos, se deduce lo contrario.
Repsol, a la hora de evaluar los riesgos de probabilidad y gravedad variables, debió
tener en cuenta el riesgo para los derechos y libertades de las personas físicas y
aplicar medidas técnicas y organizativas de seguridad apropiadas para garantizar un
nivel de seguridad adecuado al riesgo.

Se imputa a la parte reclamada la infracción del citado artículo 32, porque la conducta
reprochable y que vulnera dicho precepto es la falta o inadecuación de las medidas de
seguridad adecuadas al riesgo.

En el presente caso, como se ha señalado, existía una vulnerabilidad derivada de una
mala configuración del procedimiento de contratación y del cambio de titularidad. Un
procedimiento que sólo contemplaba la identificación del titular a través de su nombre.

A lo largo del procedimiento se ha comprobado que no existían medidas de carácter
muy básico asociadas a riesgos que podrían considerarse frecuentes, como son los
errores que se pueden cometer al identificar erróneamente a un titular por su nombre
únicamente o su DNI. No se trata de un caso aislado, sino que la parte reclamada no
tenía un procedimiento adecuado al nivel de riesgo existente, lo que impacta de forma
importante en la operativa de la empresa. Una medida de comprobación muy sencilla
hubiera sido, por ejemplo, establecer la obligación de comprobar los dos campos,
nombre y DNI, de manera secuencial. Así, con el fin de prevenir errores humanos en el
manejo de datos personales, como ocurre en el presente caso, la entidad debería
haber adoptado diversas medidas efectivas. Entre las cuales, parece claro que el
establecimiento, por ejemplo, de una medida consistente en identificar también a los
clientes por otro campo, como por ejemplo su DNI, en los procesos de contratación,
hubiese impedido que clientes con el nombre y apellidos iguales o muy similares
pudieran sufrir contrataciones erróneas.
Entre las medidas reactivas de la parte reclamada se encuentra la de acceder a los
datos de los clientes por su DNI en lugar de por su nombre. Esta forma de contratación
evitaría que pudieran existir errores con clientes que tuvieran nombres parecidos, pero
no impediría que hubiera un error al introducir un número de DNI lo que no
solucionaría el problema. Las organizaciones tienen que realizar un análisis adecuado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/51

a los riesgos existentes para evitar implantar procedimientos que suponen altos
riesgos para los derechos y libertades de sus clientes. Como ya se ha indicado el
principio de responsabilidad proactiva que debe tener el responsable del tratamiento
de estar presente en sus actuaciones.
Por otro lado, es esencial considerar la naturaleza de las operaciones de la entidad
reclamada y su impacto en el cumplimiento de las obligaciones de protección de datos,
teniendo en cuenta que la misma trata de forma periódica una cantidad considerable
de datos personales. Esta perspectiva resulta relevante debido a la escala y
regularidad del tratamiento de datos personales, lo que incrementa el riesgo y, en
consecuencia, las expectativas de cumplimiento de la normativa de protección de
datos por la entidad responsable. La regularidad con la que la empresa trata datos
personales requiere un sistema robusto y actualizado de protección de datos, puesto
que cualquier fallo puede tener efectos repetidos o prolongados y ello con
independencia de que el fallo sea de origen humano o de cualquier otra naturaleza,
por cuanto la falta de medidas técnicas y organizativas posibilitan los errores
humanos. En este caso, a través de la investigación realizada se ha comprobado esa
falta de medidas de seguridad.
Pero no sólo se ha comprobado esa falta de medidas de seguridad, sino que también
se ha comprobado la inexistencia de controles posteriores para detectar esos fallos a
pesar de que la parte reclamada indica que los tiene implantados. manifiesta una
carencia significativa en sus mecanismos de prevención, supervisión y auditoría
interna, lo cual refuerza la necesidad de implementar sistemas detectivos, de revisión
y control continuo, no solo para prevenir errores, sino también para detectarlos y
rectificarlos de manera oportuna, asegurando así el cumplimiento del RGPD. Esto
demuestra la incapacidad de la parte reclamada para identificar y abordar
proactivamente el error por sí misma, incluso aun después de tener conocimiento del
incidente en la que decide identificar al cliente por el DNI en lugar de por el nombre, lo
que a juicio de esta Agencia no resulta un procedimiento apropiado para garantizar un
nivel de seguridad adecuado al riesgo.
Ello pone de manifiesto claramente un incumplimiento del artículo 32 del RGPD, por
cuanto exige medidas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo, y todo ello teniendo en cuenta el estado de la técnica, los costes de aplicación
y la naturaleza, el alcance, el contexto y los fines del tratamiento.

Todo ello no hace sino reflejar una falta de diligencia por parte de REPSOL a la hora
de garantizar una seguridad adecuada al riesgo de los tratamientos de datos que lleva
a cabo, que todavía no ha corregido. En este sentido, no debe olvidarse que en la
base de datos afectada se encuentran almacenados datos personales de miles de
clientes, lo que exige medidas de seguridad adecuadas para ello y dirigidas
especialmente a garantizar que no se produzca un acceso ilegítimo a dichos datos
personales.

TERCERA. - VULNERACIÓN DEL PRINCIPIO DE CULPABIDAD.

A juicio de la parte reclamada no existiría responsabilidad administrativa alguna en los
supuestos hechos infractores, al tratarse de un error involuntario humano.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/51

Sin embargo, no podemos hablar tan sólo de un error humano, puntual desde el
momento en que estamos ante dos infracciones diferenciadas y una de ellas está
vinculada a un procedimiento que no cumple con lo establecido en el artículo 32 del
RGPD como se ha indicado anteriormente.
Tal y como se ha señalado a lo largo del procedimiento sancionador, se reitera que,
ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la Ley
40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo
podrán ser sancionadas por hechos constitutivos de infracción administrativa las
personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”

No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011,
Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal
Constitucional viene declarando que no cabe en el ámbito sancionador administrativo
la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia
164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer
sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título
de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las
personas jurídicas no se corresponde con las formas de culpabilidad dolosas o
imprudentes que son imputables a la conducta humana.

Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque
haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del
Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley
48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de
las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la
imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe
asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.”

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005,
y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la
culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en
orden a la asunción de la correspondiente carga, que ordinariamente los elementos
volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta
típica probada, y que su exclusión requiere que se acredite la ausencia de tales
elementos, o en su vertiente normativa, que se ha empleado la diligencia que era
exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente
a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".

Por lo que el planteamiento que la parte reclamada realiza sobre esta cuestión en sus
alegaciones no se ajusta a Derecho.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/51

CUARTA. - DE LA VULNERACION DEL PRINCIPIO DE BUENA FE, SEGURIDAD
JURIDICA Y EQUIDAD.

Reitera que nos encontramos ante un error puntual y que actuó de forma totalmente
diligente. Considera que no se está respetando el principio universal de equidad y que
ha actuado de buena fe al tratarse de un error humano, sin trascendencia para la
reclamante por lo que entiende vulnerados con el presente expediente sancionador los
principios de buena fe, seguridad jurídica y equidad.

Tal afirmación no puede ser acogida, por cuanto en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la entidad
reclamada es de constante y abundante manejo de datos de carácter personal, ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al
respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)].

Nos remitimos a lo indicado anteriormente en sobre que una de las infracciones es de
carácter estructural y debido a un procedimiento no adecuado al riesgo de evitar
identificar erróneamente a un cliente.

QUINTA. -VULNERACION DEL PRINCIPIO DE PROPORCIONALIDAD.

En primer lugar, tal y como se expuso en la propuesta de resolución, las medidas
correctivas de las que se dota a las Autoridades de Control se configuran en el RGPD
como “poderes” esto es, como potestades de actuación que, lógicamente, serán de
aplicación en atención a las circunstancias presentes en cada caso concreto.
Por otro lado, esta Agencia desea señalar lo que el Considerando 148 del RGPD
indica sobre la posibilidad de imponer un apercibimiento:

“En caso de infracción leve, o si la multa que probablemente se impusiera
constituyese una carga desproporcionada para una persona física, en lugar de
sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante.”
En atención a los términos en los que se pronuncia, el RGPD insta con carácter
general a la imposición de multas y prevé que el apercibimiento sea la medida utilizada
cuando la infracción sea leve- circunstancia que no sucede en este caso- o implique
una carga desproporcionada cuando la infracción haya sido cometida por una persona
física.
En el presente caso, esta Agencia ha evaluado y motivado todas las circunstancias
agravantes o atenuantes a que hace referencia el citado considerando 148 del RPGD
(que no son otras que las del artículo 83.2 del RGPD) y toda vez que las infracciones
en cuestión no son leves a efectos del RGPD, se considera conforme a Derecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/51

imponer una multa en vez de dirigir un apercibimiento. Razón por la que se desestima
la presente alegación.

En cuanto al principio de proporcionalidad, la STS, Sala 3ª, de 16 de diciembre de
2003 (Rec. 4996/98) ya señalaba que el principio de proporcionalidad de las sanciones
exige que "la discrecionalidad que se otorga a la Administración para la aplicación de
la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al
objeto de alcanzar la debida proporcionalidad entre los hechos imputados y la
responsabilidad exigida". Principio de proporcionalidad que no se entiende vulnerado,
considerándose proporcionada la sanción propuesta a la entidad, por los hechos
probados y ponderadas las circunstancias concurrentes, que se detallan más adelante.

Esta Agencia desea señalar que el RGPD no obliga a que deban existir graves daños
y/o perjuicios de la parte reclamante para constatar la existencia de infracción, como
en el presente caso.

La naturaleza de la infracción, número de afectados, la existencia o no de daños y
perjuicios, son todas cuestiones que se han tenido en cuenta y han sido debidamente
motivadas a la hora de graduar la sanción a imponer a REPSOL
COMERCIALIZADORA DE ELECTRICIDAD Y GAS S.L.U.

Ahora bien, frente a lo alegado, procede señalar varias cosas:

En primer lugar, el artículo 83.1 RGPD establece que las multas administrativas por las
infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas
y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las
multas administrativas se impondrán en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas…” (el
subrayado es nuestro). Estableciendo a continuación determinadas circunstancias a
tener en cuenta.

Así, el cálculo del importe de las multas queda a decisión de la autoridad de control,
con sujeción a las normas previstas en el RGPD.

En este contexto, el RGPD exige, como se ha señalado, que el importe de la multa sea
en cada caso efectivo, proporcionado y disuasorio (artículo 83, apartado 1, del RGPD).
Además, al fijar el importe de la multa, las autoridades de control tendrán debidamente
en cuenta una lista de circunstancias que se refieren a las características de la
infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD).

Por último, el importe de la multa no excederá de los importes máximos previstos en el
artículo 83, apartado 4, apartados 5 y 6, del RGPD.

Por lo tanto, la cuantificación del importe de la multa se basa en una evaluación
específica realizada en cada caso, dentro de los parámetros previstos por el RGPD.
Además, debe tenerse en cuenta que el cálculo de una multa no es un mero ejercicio
matemático, siendo las circunstancias del caso específico los factores determinantes
que conducen a la cantidad final, que puede ser, en todos los casos y para cada
infracción, una cantidad distinta hasta el máximo legal.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/51

Como consideración general y final, procede señalar que ninguna de las sanciones
aplicadas vulnera el principio de proporcionalidad. Así, debe recordarse que los
artículos 83.4 y 83.5 del RGPD, donde se encuentran tipificadas respectivamente la
infracción del artículo 32 y la del artículo 5.1.d), establecen unos límites en las
cuantías de las multas que se pueden imponer muy alejados de las que finalmente se
han establecido.

Por tanto, no puede decirse que las sanciones finalmente impuestas vulneren el
principio de proporcionalidad, teniendo en cuenta que “Cada autoridad de control
garantizará que la imposición de las multas administrativas con arreglo al presente
artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y
6 sean en cada caso individual efectivas, proporcionadas y disuasorias” (el subrayado
es nuestro)

En consecuencia, las alegaciones deben ser desestimadas, significándose que las
argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones
que se declaran cometidas ni suponen causa de justificación o exculpación suficiente.

IV
Obligación incumplida. Infracción del artículo 5.1.d) del RGPD.

Establece el artículo 5.1.d) del RGPD lo siguiente:

“Artículo 5 Principios relativos al tratamiento:

1. Los datos personales serán:

(…)

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan («exactitud»);”

En relación con este principio, el Considerando 39 del referido RGPD señala que:

“(…) para garantizar que los datos personales no se conservan más tiempo del
necesario, el responsable del tratamiento ha de establecer plazos para su supresión o
revisión periódica. Deben tomarse todas las medidas razonables para garantizar que
se rectifiquen o supriman los datos personales que sean inexactos”.

Y el considerando 71: “(71) (...) a fin de garantizar un tratamiento leal y transparente
respecto del interesado, teniendo en cuenta las circunstancias y contexto específicos
en los que se tratan los datos personales, el responsable del tratamiento debe utilizar
procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles,
aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que
se corrigen los factores que introducen inexactitudes en los datos personales y se
reduce al máximo el riesgo de error, asegurar los datos personales de forma que se
tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e
impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos
de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/51

condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar
a medidas que produzcan tal efecto".

En el presente caso, de las actuaciones de investigación realizadas se desprende que
la parte reclamada llevó a cabo un cambio de titularidad, en un contrato de suministro
de luz y en un contrato de suministro de gas, a favor de la parte reclamante en vez de
a favor de Clienta A, que es quien solicitó el cambio de titularidad.
La causa del error estuvo en las comprobaciones previas a la hora de identificar a la
Clienta A (B.B.B.) que contacta con REPSOL REYG. Según la parte reclamada, fue
fruto del error humano del agente que los contratos se vincularan a la parte
reclamante, al existir similitud con el nombre y apellidos de la parte reclamante.
(A.A.A.). Similitud, que no coincidencia, como venimos indicando ya que, además de
no coincidir exactamente el nombre de pila, tampoco coinciden el orden de los
apellidos y otros datos relevantes como el DNI o la cuenta bancaria, que no fueron
comprobados y que hubieran permitido evitar el incidente producido.
Dicha situación, representa una presunta vulneración del principio de exactitud tal y
como se estipula en el citado artículo 5.1 d) del RGPD y en los términos que
seguidamente se exponen.

En primer lugar, conviene indicar que el artículo 4 define como datos personales “toda
información sobre una persona física identificada o identificable («el interesado»); se
considerará persona física identificable toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona.”

El hecho consistente en asociar erróneamente datos personales de la parte
reclamante, como son el nombre, apellidos y DNI a un contrato que no ha sido suscrito
por la reclamante, supone la infracción del principio de exactitud de los datos. En el
presente caso, consta acreditado en el expediente, la recepción por parte de la
reclamante de una factura de consumo emitida por la parte reclamada en junio de
2022, relativa a un punto de suministro desconocido para ella, que incluye como
periodo de facturación, el periodo comprendido entre el 5 de mayo de 2022 y el 8 de
junio de 2022 y en la que se puede visualizar su nombre, apellidos y DNI.

La parte reclamada ha declarado que se emitieron a la parte reclamante las siguientes
facturas.
FACTURA PERÍODO
1 Gas 14/01/2022 - 14/02/2022
2 Gas 15/02/2022 - 02/03/2022
3 Rectificativa de gas 14/01/2022 - 14/02/2022
4 Electricidad 04/03/2022 - 05/05/2022
5 Electricidad 05/05/2022 - 08/06/2022
6 Rectificativa de electricidad 04/03/2022 - 05/05/2022
7 Rectificativa de electricidad 05/05/2022 - 08/06/2022

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/51

Las facturas 4 y 5 se emitieron aún después de que la parte reclamada tuviera
conocimiento de los hechos.

Las facturas emitidas a la parte reclamante son el resultado de no verificar todos los
datos del cliente con carácter previo a la contratación utilizados por la parte reclamada
en los procedimientos de cambio de titularidad de suministro. Así, la parte reclamante
tuvo también acceso a través de las facturas recibidas, al número de CUPS que va
asociado a la vivienda, al número de contrato y tipo, dirección de suministro,
comercializadora, datos de facturación (datos bancarios, fecha y número de factura,
importe, fecha de cargo, localizador de pago) e información del consumo de la persona
que suscribió el contrato.

De lo señalado con anterioridad, se evidencia que la parte reclamada ha vulnerado el
artículo 5.1.d), principio de exactitud, en relación con el artículo 5 de la LOPGDD,
Exactitud de los datos.

La obligación derivada del artículo 5.1.d) impone la necesidad de que los datos
personales que se recojan sean exactos, debiéndose adoptar en todo momento
medidas que sean razonables para garantizar que los datos no sean inexactos, siendo
los responsables del tratamiento quienes han de responder del cumplimiento de esta
obligación.

En este sentido, la Audiencia Nacional señalaba en su sentencia de 27/02/2008,
Recurso 210/2007, “… El principio de veracidad o exactitud tiene gran relevancia, en
cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de
acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se
empleen para finalidades compatibles a las que motivaron la recogida (principio de
finalidad), sino que también exige que quien recoge y trata datos de carácter personal
garantice y proteja que la información sometida a tratamiento no sea inexacta y esté
puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener
importantes consecuencias para el afectado…”

Por tanto, de conformidad con la normativa anteriormente citada, se exige que se
adopten “las medidas razonables para que se supriman o rectifiquen sin dilación los
datos personales que sean inexactos con respecto a los fines para los que se tratan”.

Al respecto, el artículo 5.1.d) no impone adoptar medidas desproporcionadas para
actualizar los datos, sino las razonables, atendiendo a los medios disponibles y el fin
para el que se usan los datos. Así lo expresa también el Considerando 39 del RGPD
ya mencionado.

En consecuencia, se considera que los hechos acreditados son constitutivos de una
infracción por estar durante un periodo de tiempo tratando datos inexactos de un
cliente- a pesar de las elevadas reclamaciones abiertas, según indica la parte
reclamada-, por vulneración del artículo 5.1.d) del RGPD.

V
Tipificación de la infracción del artículo 5.1.d) del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/51

La citada infracción del artículo 5.1.d) del RGPD supone la comisión de una de las
infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones
generales para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

VI
Sanción

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/51

paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida; i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por
infracción del artículo 5.1 d) del RGPD, procede graduar la multa teniendo en cuenta
las siguientes circunstancias:

Artículo 83.2 a) RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/51

en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate, así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido”;

La parte reclamante figuró erróneamente como titular de los puntos de suministro de
luz y gas afectados desde el 14/01/2022 hasta el 05/03/2022 y desde el 14/01/2022
hasta el 03/03/2022, respectivamente.
Además, la parte reclamante presentó un elevado número de reclamaciones, en
palabras de la parte reclamada, por estos hechos.
En cuanto al contexto en el que se produce, tuvo lugar en un entorno contractual,
donde los individuos confían en la entidad para el manejo seguro de su información
personal, habiéndose erosionado la confianza y expectativas de la afectada respecto
al tratamiento de sus datos personales.

Artículo 83.2 b) RGPD: “La intencionalidad o negligencia en la infracción”

El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la entidad reclamada es de constante y
abundante manejo de datos de carácter personal, ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de
la Audiencia Nacional de 17/10/2007 (rec. 63/2006)].

Se tiene en cuenta como agravante:

Artículo 76.2 b) LOPDGDD: “La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”

La actividad empresarial de la entidad reclamada exige un continuo tratamiento de
datos de carácter personal ya que se trata de una de las mayores empresas del país
en su sector de negocio o actividad y la infracción se ha producido en el marco de su
principal actividad, en el de la contratación de sus servicios.

Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa
es de 130.000 euros por infracción del artículo 5.1 d) del RGPD.

VII
Artículo 32 del RGPD

Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente:

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/51

organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.

El Considerando 74 del RGPD establece:

“Debe quedar establecida la responsabilidad del responsable del tratamiento por
cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En
particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y
ha de poder demostrar la conformidad de las actividades de tratamiento con el
presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el
riesgo para los derechos y libertades de las personas físicas.”

Hay que señalar que el RGPD en el citado precepto no establece un listado de las
medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto
de tratamiento, sino que establece que el responsable y el encargado del tratamiento
aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve
el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad
y gravedad para los derechos y libertades de las personas interesadas.

Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al
riesgo detectado, señalando que la determinación de las medidas técnicas y
organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/51

capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la
capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso
de verificación (que no auditoría), evaluación y valoración de la eficacia de las
medidas.

En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.

En este mismo sentido el considerando 83 del RGPD señala que:

“(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo
dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar
los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el
cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la
confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación
con respecto a los riesgos y la naturaleza de los datos personales que deban
protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben
tener en cuenta los riesgos que se derivan del tratamiento de los datos personales,
como la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales”.

La responsabilidad del reclamado viene determinada por la falta de medidas de
seguridad adecuadas para garantizar la confidencialidad, integridad y disponibilidad de
los datos, ya que es responsable de tomar decisiones destinadas a implementar de
manera efectiva las medidas técnicas y organizativas apropiadas para garantizar un
nivel de seguridad adecuado al riesgo para asegurar la confidencialidad de los datos,
restaurando su disponibilidad e impedir el acceso a los mismos en caso de incidente
físico o técnico.

A tal respecto, con el fin de prevenir errores humanos en el manejo de datos
personales, como ocurre en el presente caso, una entidad debe realizar un análisis de
riesgos para conocer previamente las medidas que debe adoptar. Resulta sencillo de
entender que una empresa con un número importante de empleados deber considerar
como uno de los riesgos el factor humano. En este caso, a través de las actuaciones
de investigación realizadas se ha comprobado que existían medias de seguridad, pero
no medidas de protección de los datos de las personas, es decir, adecuadas a
garantizar el derecho fundamental.

Además, y a pesar de haberse detectado un error en el procedimiento de contratación
y de cambio de titular, la parte reclamada no ha solucionado, a juicio de esta Agencia
el riesgo existente en el procedimiento indicado.

Por otro lado, es esencial considerar la naturaleza de las operaciones de la entidad
reclamada y su impacto en el cumplimiento de las obligaciones de protección de datos,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/51

teniendo en cuenta que la misma trata de forma periódica una cantidad considerable
de datos personales. Esta perspectiva resulta relevante debido a la escala y
regularidad del tratamiento de datos personales, lo que incrementa el riesgo y, en
consecuencia, las expectativas de cumplimiento por la entidad responsable. La
regularidad con la que la empresa trata datos personales requiere un sistema robusto
y actualizado de protección de datos, puesto que cualquier fallo puede tener efectos
repetidos o prolongados y ello con independencia de que el fallo sea de origen
humano o de cualquier otra naturaleza, por cuanto la falta de medidas técnicas y
organizativas posibilitan los errores humanos.

En consecuencia, se considera que los hechos acreditados son constitutivos de una
infracción de procedimiento o de carácter estructural que es independiente de la
anterior, imputable a la parte reclamada, por vulneración del artículo 32 RGPD, al no
haber adoptado medidas técnicas y de seguridad adecuadas al riesgo, que, con
carácter general, garanticen la seguridad del tratamiento de datos personales.

VIII
Tipificación de la infracción del artículo 32 del RGPD

La citada infracción del artículo 32 del RGPD, supone la comisión de las infracciones
tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al
riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del
Reglamento (UE) 2016/679.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/51

IX
Sanción

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, anteriormente citados en el
Fundamento de Derecho IV.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por
infracción del artículo 32 del RGPD, procede graduar la multa teniendo en cuenta las
siguientes circunstancias:

Artículo 83.2 a) RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo
en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate, así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido”;

Los hechos muestran que el proceso de contratación y de cambio de titular de los
servicios de la reclamada tiene una falta de medidas técnicas y organizativas de
seguridad adecuadas al riesgo y que, a juicio de esta Agencia no ha sido solucionado.
La falta de medidas tiene lugar en un entorno contractual, donde los individuos confían
en la entidad para el manejo seguro de su información personal, habiéndose
erosionado la confianza y expectativas de la afectada respecto al tratamiento de sus
datos personales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/51

La falta de medidas acreditada en este procedimiento es susceptible de afectar de
manera generalizada a todas las contrataciones, perdiendo, por tanto, todo control
sobre los datos personales que intervienen en el procedimiento de cambio de
titularidad de los suministros, y vaciando así de contenido el derecho fundamental a la
protección de datos personales reconocido en el artículo 18 de la Constitución
Española pues tal y como ha indicado el Tribunal Constitucional (Sentencia 292/2000,
de 30 de noviembre de 2000) “el derecho fundamental a la protección de datos
persigue garantizar a la persona un poder de control sobre sus datos personales,
sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la
dignidad y derecho del afectado (…) El derecho a la protección de datos garantiza a
los individuos un poder de disposición sobre esos datos.”

Artículo 83.2 b) RGPD: “La intencionalidad o negligencia en la infracción”

El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la entidad reclamada es de constante y
abundante manejo de datos de carácter personal, ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de
la Audiencia Nacional de 17/10/2007 (rec. 63/2006)].

Debe tenerse en cuenta que la vulnerabilidad detectada en el procedimiento a la hora
de verificar todos los datos de un cliente con carácter previo a la contratación ha
motivado la actualización del Procedimiento de Cambio de Titularidad, incluyendo una
referencia explícita a la obligatoriedad de realizar búsquedas en los sistemas a través
del DNI del interesado. Sin embargo, como ya se ha indicado, la parte reclamada no
ha hecho un análisis de los riesgos existentes que no se verían disminuidos con la
identificación del cliente a través del DNI.

Se tiene en cuenta como agravante:

Artículo 76.2 b) LOPDGDD: “La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”

En el presente caso, teniendo en cuenta el volumen de datos personales que gestiona
la parte reclamada debido al sector donde opera, conlleva una mayor responsabilidad
en cuanto a la implementación de sistemas de seguridad. El no haber establecido
medidas de seguridad adecuadas en dicho ámbito amplifica el riesgo significativo de
acceso no autorizado, manipulación o pérdida de datos, de lo cual se desprende la
concurrencia de esta posible agravante.

Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa
es de 1.250.000 euros por infracción del artículo 32 del RGPD.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos RESUELVE:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/51

PRIMERO: IMPONER a REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS,
S.L., con NIF B39540760,

-por la infracción del artículo 5.1.d) del RGPD, tipificada conforme a lo dispuesto en el
artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción, en el
artículo 72.1 a) de la LOPDGDD, una multa de 130.000 euros.
- por la infracción del artículo 32 del RGPD, tipificada conforme a lo dispuesto en el
artículo 83.4 del RGPD, calificada como grave a efectos de prescripción, en el artículo
73 f) de la LOPDGDD, una multa de 1.250.000 euros.

SEGUNDO: NOTIFICAR la presente resolución a REPSOL COMERCIALIZADORA DE
ELECTRICIDAD Y GAS, S.L.

TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/51

la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-100325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es