Müşteri Verisi İhlalinde Gizlilik ve Güvenlik

1/99

 Expediente N.º: EXP202305587

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

Contenido
ANTECEDENTES..........................................................................................................3
PRIMERO:.................................................................................................................3
SEGUNDO:................................................................................................................ 3
TERCERO:................................................................................................................. 4
CUARTO:...................................................................................................................4
QUINTO:.................................................................................................................... 4
SEXTO:...................................................................................................................... 4
SÉPTIMO:.................................................................................................................. 5
OCTAVO:....................................................................................................................... 5
Marco normativo.....................................................................................................5
Arquitectura de sistemas y base de datos. Aplicación GEA....................................7
Respecto de la cronología de los hechos. Acciones tomadas con objeto de
minimizar los efectos adversos y medidas adoptadas para su resolución final.....10
Respecto de las causas que hicieron posible la brecha........................................13
Respecto del contrato de encargado del tratamiento............................................18
Respecto de las medidas de seguridad................................................................18
Respecto de la comunicación a los afectados......................................................25
Información sobre la recurrencia de estos hechos y número de eventos análogos
acontecidos en el tiempo......................................................................................25
HECHOS PROBADOS................................................................................................28
PRIMERO: Primera notificación de brecha de datos personales..............................28
SEGUNDO: Circunstancias del ataque....................................................................31
TERCERO: Sobre la aplicación GEA de I-DE..........................................................35
CUARTO: Sobre la arquitectura de sistemas y base de datos. Acceso desde
aplicaciones.............................................................................................................. 35
QUINTO: Causas que hicieron posible la brecha.....................................................37
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/99

SEXTO: Medidas de seguridad establecidas en la Base de Datos...........................38
SÉPTIMO: medidas inmediatas tras la brecha.........................................................38
OCTAVO: IBERDROLA como encargada del tratamiento respecto de IBERCLI y de
CURENERGÍA......................................................................................................... 39
NOVENO: Análisis de riesgos del tratamiento afectado por la brecha de datos
personales................................................................................................................ 41
DÉCIMO: Número de personas afectadas y tipo de datos afectados.......................42
FUNDAMENTOS DE DERECHO.................................................................................42
Competencia............................................................................................................ 42
Cuestiones previas...................................................................................................42
Sobre la solicitud de acumulación y la suspensión del plazo para formular
alegaciones.............................................................................................................. 43
Respuesta a las alegaciones al Acuerdo de Inicio....................................................45
PRIMERA: SOBRE LA ACUMULACIÓN DE LOS PROCEDIMIENTOS................45
SEGUNDA. – SOBRE LAS ESPECIALES CIRCUNSTANCIAS ACAECIDAS EN
RELACIÓN CON LA TRAMITACIÓN DEL PRESENTE EXPEDIENTE Y LA
VULNERACIÓN DE LOS PRINCIPIOS DE BUENA FE, CONFIANZA LEGÍTIMA Y
SEGURIDAD JURÍDICA.......................................................................................45
TERCERA.- SOBRE LA AFECTACIÓN ADICIONAL A LOS PRINCIPIOS DEL
DERECHO SANCIONADOR DERIVADOS DE LA INTERPRETACIÓN
EFECTUADA POR LA AEPD................................................................................51
CUARTA.- SOBRE LA PRETENDIDA VULNERACIÓN POR IBERDROLA DEL
ARTÍCULO 32 DEL RGPD....................................................................................60
QUINTA. – SOBRE LA PRETENDIDA VULNERACIÓN DEL PRINCIPIO DE
SEGURIDAD........................................................................................................ 65
SEXTA. – SOBRE LA VULNERACIÓN DEL PRINCIPIO DE
PROPORCIONALIDAD EN DETRIMENTO DE LOS DERECHOS DE IBERDROLA
............................................................................................................................. 66
Respuesta a las alegaciones a la Propuesta de Resolución....................................69
PRIMERA: Sobre la indefensión generada a IBERDROLA como consecuencia de
no haberse acordado la acumulación de los procedimientos EXP202305587 y
EXP202205206.....................................................................................................70
SEGUNDA: Acerca de los actos previos de la AEPD y la vulneración de los
principios de buena fe, confianza legítima y seguridad jurídica............................70
TERCERA: Sobre los argumentos sostenidos por la Propuesta de Resolución
para considerar que no concurre bis in ídem........................................................76

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/99

CUARTA: Sobre la aplicación de los principios del derecho sancionador a la
actividad de la AEPD y la concurrencia de un concurso medial............................79
QUINTA: Sobre la inexistencia de vulneración por I-DE del artículo 32 del RGPD
............................................................................................................................. 84
SEXTA: Sobre la inexistencia de vulneración del principio de confidencialidad e
integridad.............................................................................................................. 95
SÉPTIMA: Sobre la vulneración del principio de proporcionalidad en detrimento de
los derechos de IBERDROLA...............................................................................99
Integridad y confidencialidad..................................................................................105
Tipificación de la infracción del artículo 5.1.f) del RGPD........................................107
Sanción por la infracción del artículo 5.1.f) del RGPD............................................108
Artículo 32 del RGPD.............................................................................................110
Tipificación de la infracción del artículo 32 del RGPD.............................................113
Sanción por la infracción del artículo 32 del RGPD................................................114

ANTECEDENTES

PRIMERO:
Con fecha 18 de marzo de 2022 se notificó a la División de Innovación Tecnológica de
esta Agencia Española de Protección de Datos (en adelante AEPD o la Agencia) una
brecha de seguridad de los datos personales remitido por I-DE REDES ELÉCTRICAS
INTELIGENTES, S.A.U. con NIF A95075578 (en adelante, I-DE) como responsable del
tratamiento, en la que informa a esta Agencia de lo siguiente:

El 15 de marzo de 2022 por la tarde, se detecta un ataque contra la web de gestión de
acometidas (GEA) de I-DE. (…). En este momento aún no se identifica afección a
datos personales. Al día siguiente, 16 de marzo, se detecta un ataque de fuerza bruta
dirigido contra el mismo objetivo (GEA) que el incidente del día anterior. Se repele
adoptando medidas. El 17 de marzo se reabre GEA se analiza el registro de actividad
y se concluye que ha habido extracción de datos personales. Se indica que el número
de afectados es de 4,5 millones de clientes de esta sociedad.

SEGUNDO:
Con fecha 29 de marzo de 2022, I-DE presenta nueva notificación ampliando la
información sobre la brecha de seguridad notificada el 18 del mismo mes, en el que
indica que, tras el análisis forense del incidente, el número de sus clientes cuyos datos
han sido afectados son 1,35 millones y que también es probable la existencia de datos
afectados de clientes de otras sociedades del grupo Iberdrola, ya que el atacante,
potencialmente podría haber superado las condiciones de seguridad de la información
exclusiva de I-DE, saltando a rangos de información de otras sociedades, lo cual ya ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/99

sido transmitido a la dirección de Sistemas de la Compañía para un análisis detallado
de otras afecciones en otras sociedades o negocios del grupo Iberdrola.

Asimismo, indican que la fecha exacta de inicio de la brecha es el 7 de marzo de 2022
e informan de que todavía no se ha comunicado la brecha a las personas afectadas y
que, a más tardar, serán informadas el 31 de marzo de 2022.

Junto a la notificación se aporta:

- Informe “Incidente ciber GEA. Descripción incidente y acciones”, en el que
describe el ataque sufrido y que incluye, además, el texto de la
comunicación que se va a remitir a los afectados.

TERCERO:
Con fecha 29 de marzo de 2022, CURENERGIA COMERCIALIZADOR DE ULTIMO
RECURSO SA, con N.I.F. A95554630 (en adelante CURENERGÍA) presenta
notificación de brecha de seguridad, en la que indica que ha tenido constancia el 28 de
marzo de 2022 de que ha sido afectada por la brecha de seguridad sufrida por I-DE,
indicando la vulneración de la confidencialidad de los datos personales de 1.550.000
de sus clientes, a los cuales aún no ha informado pero que lo hará a más tardar el
31/03/2022.

CUARTO:
Con fecha con fecha 29 de marzo de 2022, IBERDROLA CLIENTES, S.A., con N.I.F.
A95758389 (en adelante IBERCLI) presenta notificación de brecha de seguridad, en la
que indica que ha tenido constancia el 28 de marzo de 2022 de que ha sido afectada
por la brecha de seguridad sufrida por I-DE, indicando la vulneración de la
confidencialidad de los datos personales de 85.000 de sus clientes, a los cuales aún
no ha informado pero que lo hará a más tardar el 31/03/2022.

QUINTO:
Desde el 2 de abril de 2022, se han presentado ante esta Agencia reclamaciones de
clientes afectados por el incidente de seguridad, las cuales han sido progresivamente
admitidas a trámite desde el 9 de mayo de 2022.

SEXTO:
Con fecha 6 de abril de 2022, IBERCLI presenta ampliación de la notificación de
brecha en la que informa que las personas afectadas por la misma son 1.515.000 y
que se les ha informado de la misma el 31 de marzo de 2022 mediante comunicación
dirigida personalmente a cada afectado (postal, mail, sms o similar).

Junto a la notificación se aporta:

- Informe “Incidente ciberataque 28/03/2022. Descripción incidente y
acciones”
- Anexo Comunicación a interesados

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/99

SÉPTIMO:
Con fecha 6 de abril de 2022, CURENERGÍA presenta ampliación de la notificación de
brecha en la que informa que las personas afectadas por la misma son 92.550 y que
se les ha informado de la misma el 31 de marzo de 2022 mediante comunicación
dirigida personalmente a cada afectado (postal, mail, sms o similar).

Junto a la notificación se aporta:

- Informe “Incidente ciberataque 28/03/2022. Descripción incidente y
acciones”
- Anexo Comunicación a interesados

OCTAVO:
La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Durante las presentes actuaciones se han investigado las siguientes entidades:

- I-DE REDES ELECTRICAS INTELIGENTES S.A. con NIF A95075578 (en
adelante, I-DE)

- IBERDROLA S.A. con NIF A48010615 (en adelante IBERDROLA)

- IBERDROLA CLIENTES S.A.U. con NIF A95758389 (en adelante, IBERCLI)

- CURENERGIA COMERCIALIZADOR DE ULTIMO RECURSO S.A. con NIF
A95554630 (en adelante, CURENERGIA)

Marco normativo

- La normativa reguladora del sector eléctrico, Ley 54/1997, de 27 de noviembre,
del Sector Eléctrico, impone una obligación de separación total entre las
actividades reguladas, como es la de distribución, y las liberalizadas, como es
la comercialización.

- El derecho que tienen los consumidores de energía eléctrica al acceso y
conexión a las redes de transporte y distribución de energía eléctrica en el
territorio español se recoge específicamente en la Ley 24/2013, de 26 de
diciembre, del Sector Eléctrico.

Las empresas distribuidoras y las empresas comercializadoras son dos
entidades diferenciadas en el ámbito del Sector Eléctrico. En este sentido la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/99

Ley 24/2013, de 26 de diciembre, del Sector Eléctrico las define como sujetos
distintos.

- Conforme a la regulación del sector eléctrico, el consumidor, para recibir
energía eléctrica en su domicilio, necesita ser titular de dos contratos
diferenciados con relación a su punto de suministro (CUPS):

 Por una parte, el contrato de compra de energía, “contrato de
suministro”, que se suscribe entre un consumidor y una empresa
comercializadora de electricidad.
Aunque también cabe la posibilidad de que el consumidor adquiera la
electricidad directamente en el mercado, sin necesidad de
comercializador, no es propio de los clientes personas físicas sino de
empresas grandes consumidoras de electricidad, indican I-DE, IBERCLI
y CURENERGÍA en su respuesta.

 Por otra, el contrato de acceso a la red o distribución o transporte,
“contrato de ATR”, que el consumidor suscribe con la intermediación
como mandatario de la empresa comercializadora con la que tiene
contratada la compra de energía eléctrica.
Aunque también se puede suscribir directamente con la empresa titular
de la red, no es propio de los clientes personas físicas sino de
empresas grandes consumidoras de electricidad, indican I-DE, IBERCLI
y CURENERGÍA en su respuesta.

- Cuando un cliente desea contratar la electricidad en un punto de suministro o
realizar cualquier modificación contractual, dicho cliente acude a una
comercializadora, quien en nombre del cliente y como mandatario suyo
contrata en su nombre el contrato de ATR, contrato de acceso a la red de
distribución.

Cualquier modificación contractual que solicita un comercializador a un
distribuidor se realiza mediante solicitudes digitales XML cumpliendo los
formatos de intercambio entre agentes establecidos por la Comisión Nacional
de los Mercados y la Competencia (CNMC), en virtud de la Resolución de 20
de diciembre de 2016, por la que se aprueban los formatos de los ficheros de
intercambio de información entre distribuidores y comercializadores de energía
eléctrica y de gas natural, y Resolución de 17 de diciembre de 2019, por la que
se aprueban nuevos formatos de los ficheros de intercambio de información
entre distribuidores y comercializadores y se modifica la Resolución de 20 de
diciembre de 2016.

Teniendo en cuenta lo anterior:

- I-DE, distribuidora de energía eléctrica del grupo Iberdrola, manifiesta que
únicamente puede acceder a los datos de sus clientes, es decir, de los usuarios
del servicio eléctrico cuyo punto de suministro se encuentra dentro de la red
cuya gestión, como distribuidora, le corresponde y no a los gestionados por
otras empresas distribuidoras.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/99

En relación con los usuarios de su red, conoce el dato de la comercializadora
de cada consumidor como consecuencia de la firma con el mismo (o con la
comercializadora como mandataria del consumidor) del contrato de ATR.

- I-DE indica que no tendría capacidad para conocer ningún tipo de información
relacionada con quienes siendo clientes de IBERCLI o de CURENERGIA,
comercializadoras de energía eléctrica del grupo Iberdrola en el mercado libre y
mercado regulado, respectivamente, no lo fueran de esta distribuidora.

Arquitectura de sistemas y base de datos. Aplicación GEA

(…)

(…):
- (…):

(…)

- (…).

(…)

(…):

- (…).

(…).

- (…).

(…).

IBERDROLA indica que la auditoría de verificación de la separación lógica de los
accesos a la información por parte de I-DE trae su causa en lo establecido en la
normativa reguladora del sector eléctrico, que impone una obligación de separación
total entre las actividades reguladas, como la de distribución y las liberalizadas, como
es la comercialización, de forma que las empresas distribuidoras deberán acreditar la
citada separación.

I-DE traslada que, anualmente, emite un informe que se presenta ante el Ministerio
para la Transición Ecológica y el Reto Demográfico (MITERD) y la Comisión Nacional
de los Mercados y la Competencia (CNMC) para dar cuenta del cumplimiento de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/99

obligaciones en materia de separación de actividades por parte de las sociedad del
grupo formado por Iberdrola España y las sociedades participadas por esta con
actividades reguladas, esto es, la sociedad I-DE REDES ELÉCTRICAS
INTELIGENTES, S.A.U., artículo 12.2 b) de la Ley del Sector Eléctrico y artículo 14 del
Código de separación de Actividades de las Sociedades del Grupo Iberdrola España
con Actividades Reguladas (“CSA”) disponible en la página web de Iberdrola España,
durante el ejercicio.

(…).

(…):

“(…)
Alcance del trabajo
(…)
(…).

Procedimientos realizados
(…):
- (…)
- (…)
 (…)
 (…)

Conclusiones

(…).

(…).”

Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar
los efectos adversos y medidas adoptadas para su resolución final.

I-D manifiesta lo siguiente:

- El 15 de marzo, por la tarde, se detectó un ataque contra la web de gestión de
acometidas de I-DE, (GEA), siendo la secuencia de los hechos la siguiente:

 (…).
 (…).
 (…).
 (…).
 (…).
 (…).

- El 16 de marzo de 2022, por la mañana, se produce una ralentización general
del acceso a varias webs del grupo Iberdrola.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/99

 (…).
 (…).
 (…).
 (…).
 (…).
 (…).
 (…).

- A partir del día 17 de marzo de 2022:

 (…).
 A partir del día 17 no se observa tráfico sospechoso ni afectación en
ninguno de los sistemas de servicios en internet del grupo Iberdrola.
 Del análisis del registro de actividad de la aplicación GEA de los últimos
días se concluye con fecha 17 de marzo que se ha producido una
exfiltración, entre los días 7 y 15 de marzo de 2022, de
aproximadamente 4,5 millones de interesados (personas físicas).
 (…).
 En fecha 28 de marzo de 2022, la Dirección de Sistemas comunica a
IBERCLI y CURENERGIA la existencia de un incidente de seguridad en
los sistemas de I-DE que ha podido afectar a la información referida a
los clientes de estas compañías y les incluye información referida a los
códigos internos de cliente de los afectados, a fin de que las compañías
verifiquen si han podido verse comprometidos datos correspondientes a
sus clientes. Analizada la información por IBERCLI y CURENERGIA
verifican que la brecha de seguridad ha afectado a datos personales de
clientes de dichas sociedades.
 (…).

- Asimismo, I-DE manifiesta y acredita que desde que tuvo conocimiento del
incidente se pusieron en práctica las acciones necesarias para, en coordinación
con las organizaciones afectadas, dar cumplimiento a los protocolos internos
establecidos a tal efecto y la legislación aplicable, y que incluyen las siguientes
acciones:

 Comunicación al INCIBE-CERT, Instituto Nacional de Ciberseguridad en
España, como equipo de respuesta a incidentes de seguridad
informática de referencia Iberdrola.
 Comunicación a la Oficina de Coordinación Cibernética, en virtud del
RDL 12/2018 de seguridad de las redes y sistemas de información que
remite el incidente de ciberseguridad a la Policía Nacional para
investigación,
 Comunicación al Centro Nacional de Protección de Infraestructuras
Críticas en virtud de la Ley 08/2011 de protección de Infraestructuras
Críticas.
 Presentación de una denuncia ante la Policía Nacional (Unidad Central
de Ciberdelincuencia) y el documento presentado por I-DE junto con la
misma.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/99

 Notificación de la brecha de seguridad a la AEPD y a los afectados.

- En resumen, los sistemas de monitorización permitieron la detección de un
volumen anómalo de tráfico, se puso en marcha una actividad de análisis de
mayor detalle y las medidas inmediatas que se adoptaron fueron:

 (…).
 (…).
 (…).
 (…).
 (…).
 (…).
 (…).

-IBERCLI y CURENERGIA manifiestan que la cesación del incidente se produjo
incluso con anterioridad a que tuvieran conocimiento de que aquel había afectado a
datos personales referidos a sus clientes, siendo consecuencia dicho cese de las
medidas adicionales de seguridad implementadas por la Dirección de Sistemas (de
IBERDROLA) en el aplicativo GEA, tendentes a impedir que, a partir de un acceso al
mismo pudiera exfiltrarse mediante la introducción de un código aleatorio información
de la Base de Datos referida a clientes de otras entidades del Grupo.

Respecto de las causas que hicieron posible la brecha

- (…).

(…).

(…):

(…).

(…):

(…)

(…):

 (…)

( …)

 (…)
(…)

o (…)
 (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/99

(…)
(…)

- (…)

Respecto de los datos afectados

- Los datos de los clientes exfiltrados (…):

 (…)

- (…):

(…)

- (…):

(…).

- (…).

(…).

- (…).

En fecha 28 de marzo de 2022, la Dirección de Sistemas comunica a IBERCLI
y CURENERGIA la existencia de un incidente de seguridad en los sistemas de
I-DE que ha podido afectar a la información referida a los clientes de estas
compañías y les incluye información referida a los códigos internos de cliente
de los afectados, a fin de que las compañías verifiquen si han podido verse
comprometidos datos correspondientes a sus clientes.

IBERCLI y CURENERGÍA verifican que la brecha de seguridad ha afectado a
datos personales de 1.515.000 y 92.550 clientes, respectivamente.

Respecto del contrato de encargado del tratamiento

- Se aporta el Acuerdo Marco de Protección de Datos Personales del Grupo
Iberdrola en el que se detalla el alcance de la prestación de servicios a las
empresas del Grupo llevada a cabo por IBERDROLA. Este acuerdo ha sido
actualizado en su Anexo II, estando dicha actualización pendiente de
formalización.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/99

Asimismo, se aporta la Declaración de Aceptación de Iberdrola España S.A.U.
de su adhesión al Acuerdo Marco de Protección de Datos Personales del
Grupo Iberdrola, actuando la citada entidad, conforme a lo indicado en la
cláusula segunda, en su propio nombre y derecho y en representación de las
sociedades pertenecientes a su grupo societario sobre las que ostenta directa o
indirectamente el control, entre las que se encuentran I-DE, IBERCLI y
CURENERGIA.

- IBERCLI y CURENERGIA aportan copia del registro de las actividades de
tratamiento de datos personales correspondientes a los tratamientos afectados
por la brecha:

 (…).
 (…).

- IBERDROLA aporta copia de los registros de las actividades de tratamiento
correspondientes a los tratamientos “Soporte y Mantenimiento de
Infraestructuras IT” y “Desarrollo de aplicaciones (SWF)”, que lleva a cabo en
su condición de encargada del tratamiento, respecto de diversos tratamientos
de las sociedades del Grupo, entre los que se encuentran los afectados por la
brecha de seguridad.

Respecto de las medidas de seguridad

Respecto del análisis de riesgos realizado sobre la actividad del tratamiento que ha
sufrido la brecha de seguridad con anterioridad a que se produjera la brecha:

- IBERDROLA manifiesta en escrito de respuesta, que el Grupo Iberdrola ha
adoptado una metodología de análisis de riesgo de los tratamientos de datos
personales que se encuentra implantada de forma automatizada en la propia
herramienta corporativa de registro de actividades de tratamiento, de forma que
en el propio proceso de registro se determina el nivel de riesgo del tratamiento.

- En el caso de los tratamientos respecto de los que IBERDROLA actúa como
encargado del tratamiento, señala que la metodología implica la realización del
análisis de riesgos en relación con cada uno de los tratamientos respecto de
los que IBERDROLA ostenta dicha condición, de forma que ese análisis se
desarrolla por la propia entidad responsable del tratamiento en colaboración
con IBERDROLA

- Por este motivo, el resultado del análisis de riesgos relacionado con los
específicos tratamientos (…) figura incorporado a los Registros de Actividades
de Tratamiento de I-DE y a los de IBERCLI y CURENERGIA, habiendo sido
comunicado sus resultados a IBERDROLA.

(…).

-Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos
de datos donde se ha producido:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/99

I-DE, IBERCLI y CURENERGIA indican en sus respuestas que con anterioridad a la
incidencia se encontraban implantadas las siguientes medidas de seguridad comunes
a la infraestructura TI del Grupo Iberdrola:

- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).
- (…).

Asimismo, al igual que IBERDROLA, describen también las medidas de seguridad
específicas del sistema GEA:

(…):

 (…)

 (…).

(…)

(…):

- (…).

(…):

- (…).

-Motivo por el cual las medidas de seguridad implantadas no han impedido el
incidente:

(…):
- (…).

- (…)

- (…).

- (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/99

- (…).

Medidas adoptadas para evitar, en lo posible, incidentes como el sucedido

- (…)

(…)

Respecto de la comunicación a los afectados

En fecha 28 de marzo de 2022, la Dirección de Sistemas de IBERDROLA comunica a
IBERCLI y CURENERGIA la existencia de un incidente de seguridad en los sistemas
de I-DE que ha podido afectar a la información referida a los clientes de estas
compañías y les incluye información referida a los códigos internos de cliente de los
afectados, a fin de que las compañías verifiquen si han podido verse comprometidos
datos correspondientes a sus clientes.

IBERCLI y CURENERGÍA trasladan que analizada la información por sus respectivos
equipos de sistemas verifican que la brecha de seguridad ha afectado a datos
personales de 1.515.000 y 92.550 clientes, respectivamente.

Asimismo, resuelven notificar la brecha de seguridad a los afectados. La notificación a
los afectados se llevó a cabo, entre los días 31 de marzo y 1 de abril de 2022, a los
clientes de los que se disponía de la dirección de correo electrónico, mediante el envío
masivo de comunicaciones electrónicas; y por correo postal a los restantes los días 4 y
5 de abril de 2022.

- Las tres empresas aportan el modelo de comunicación enviada a los afectados
y se comprueba que se ajusta a lo especificado en el artículo 34 del RGPD.

Información sobre la recurrencia de estos hechos y número de eventos análogos
acontecidos en el tiempo.

IBERDROLA manifiesta que al margen del incidente de seguridad objeto del presente
procedimiento no se ha producido ningún otro de naturaleza análoga al mismo.

NOVENO: La entidad IBERDROLA es una gran empresa con un volumen de negocios
de ***CANTIDAD.1 euros en el año 2021 y de ***CANTIDAD.2 euros en el año 2022,
según informe de la entidad Axesor.

DÉCIMO: Con fecha 8 de mayo de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 5.1.f) del RGPD y Artículo
32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/99

El citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP).

DÉCIMOPRIMERO: Con fecha 24 de mayo de 2023, IBERDROLA presenta escrito por
el que solicita la acumulación del presente expediente con el EXP202205206, así
como la suspensión del plazo para la emisión de las alegaciones en tanto no se
resuelva acerca de esta petición, indicando lo siguiente:

Entiende IBERDROLA que los hechos que sirven de base al ejercicio de la potestad
sancionadora que trata de ejercer la Agencia son o tienen una base única que afecta a
los dos expedientes sancionadores que han sido aperturados como diferenciados, por
lo que solicita la acumulación de ambos procedimientos sancionadores al entender
que existe una conectividad necesaria entre los mismos, esto es, que se trata una
misma situación que puede redundar en la responsabilidad de ambos. Entiende por
ello IBERDROLA que los términos de dicha responsabilidad, total, parcial, en grado de
autor, de colaborador o cualquiera otro que proceda de las referencias penales solo
pueden apreciarse si se analiza el procedimiento en su conjunto.

Sostiene IBERDROLA que la falta de acumulación en el presente caso podría implicar
una doble imputación a dos entidades de unos mismos hechos, que a mayor
abundamiento pertenecen al mismo grupo empresarial, en concreto al grupo Iberdrola
de los que IBERDROLA es la sociedad matriz.

De no acumularse ambos expedientes, manifiesta IBERDROLA que se impediría
dilucidar cuál es el grado de responsabilidad de cada una de ellas, por cuanto los
hechos se analizarían de forma separada y sin entrar a valorar la supuesta actuación
simultánea, en términos de responsabilidad, de las dos entidades contra lo que ambos
procedimientos se dirigen. De esta forma, podría estarse produciendo una doble
imputación de los mismos hechos a ambas entidades sin valorar si la misma es o no
compartida o si el reproche sancionador dirigido separadamente contra ambas no
debería ser objeto de reducción como consecuencia de esa supuesta concurrencia de
responsabilidad. Con ello, se limita, en los términos establecidos en la jurisprudencia
constitucional que a continuación se reproduce, el derecho a la defensa de
IBERDROLA, al no poder analizar las circunstancias concurrentes en el caso de una
forma unificada como consecuencia de la fragmentación provocada por la apertura de
dos procedimientos diferenciados.

Entiende IBERDROLA que concurren los presupuestos establecidos en el artículo 57
de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP) que justifican la acumulación de los
procedimientos, así como la individualización de la pertinencia de su aplicación al
presente supuesto:

A) Existencia de "íntima conexión" o "identidad sustancial".

Señala IBERDROLA que, en el caso presente, el día 18 de marzo de 2022 se produjo
una brecha de seguridad de los datos personales, notificada inicialmente por I-DE. Es
esta misma brecha de seguridad la que determina la apertura del presente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/99

procedimiento en el que se atribuye responsabilidad a IBERDROLA, así como el de
aquel que se pretende acumular con el presente, abierto para dilucidar la
responsabilidad de I-DE.

Indica IBERDROLA que la conectividad, en el presente supuesto, deriva, por tanto, de
que se trata de depurar responsabilidad a dos personas jurídicas, pero por un mismo
hecho: es la propia Agencia la que deja claro que se trata de una única brecha de
seguridad y que sobre la misma es sobre la que se van a fundar, en su caso, las
responsabilidades subjetivas de IBERDROLA, en el presente procedimiento, y de I-DE
en el procedimiento cuya acumulación se solicita.

Por tanto, concluye IBERDROLA que, existiendo unos únicos hechos por los que se
imputa responsabilidad tanto a ella como a I-DE, resulta evidente que es necesaria la
valoración conjunta de los mismos para poder determinar si existe una responsabilidad
conjunta o separada de ambas entidades, así como si la responsabilidad lo sería por
distinto título en uno y otro caso.

B) Que le corresponda al mismo órgano la tramitación y resolución del procedimiento.

Señala IBERDROLA que, junto con el anterior requisito, la LPACAP impone el respeto
al principio general de competencia del órgano que ha de dictar la resolución, requisito
que se cumple en el presente supuesto, dado que la Ley atribuye la competencia para
la tramitación de ambos procedimientos a un único órgano sancionador, por lo que con
la acumulación no se pierde ni se difumina esa competencia como consecuencia de la
existencia potencial de órganos de instrucción diferente.

A juicio de IBERDROLA, el efecto esencial de la acumulación de expedientes es el de
que todas las cuestiones a resolver deben ser examinadas en un solo procedimiento y
decididas en un único acto final que valore conjuntamente las responsabilidades de
todos los implicados.

Señala IBERDROLA que el esquema que acaba de analizar tiene, sin duda,
características especiales en el ámbito sancionador por la propia estructura y el juicio
de valor que la misma encierra.

Trae a colación varias Sentencias del Tribunal Constitucional para reseñar que los
principales principios y garantías constitucionales del orden penal y del proceso penal
han de observarse, con ciertos matices, en el procedimiento administrativo
sancionador como el derecho a ser informado de la acusación (SSTC 31/1986,
190/1987, 29/1989) y a utilizar los medios de prueba pertinentes para la defensa
(SSTC 2/1987, 190/1987 y 212/1990), así como el derecho a la presunción de
inocencia (SSTC 13/1982, 36 y 37/1985, 42/1989, 76/1990 y 138/1990), derechos
fundamentales todos ellos que han sido incorporados por el legislador a la normativa
reguladora del procedimiento administrativo común.

Entiende IBERDROLA que la fragmentación del procedimiento en dos procedimientos
separados afecta sustancialmente a la determinación y constatación de los hechos
relevantes en el mismo, así como a la delimitación de las potenciales
responsabilidades que pudieran corresponder a las entidades a las que se dirigen los
procedimientos cuya acumulación se solicita.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/99

Concluye por ello IBERDROLA que la acumulación es una exigencia de la adecuada
instrucción y de la garantía del derecho de defensa y que la tramitación por separado
de dos expedientes sancionadores a dos personas jurídicas distintas por los mismos
hechos es perjudicial para sus intereses.

Entiende IBERDROLA que la falta de acumulación en el presente caso podría implicar
una doble imputación a IBERDROLA e I-DE, como se ha dicho, de unos mismos
hechos, sin que la acumulación permita dilucidar cuál sería el grado de
responsabilidad de cada una de ellas, por cuanto los hechos se analizarían de forma
separada y sin entrar a valorar la supuesta actuación simultánea, en términos de
responsabilidad, de las dos entidades contra lo que ambos procedimientos se dirigen.

Entiende que mantener la separación de los procedimientos supone en términos
procesales un fraccionamiento de la causa que condiciona la actuación instructora y
de propuesta porque aparecen instrucciones diferentes, valoraciones y pruebas
potencialmente diferentes y, por tanto, criterios que pueden ser, igualmente,
diferenciados.

Por todo lo expuesto, IBERDROLA solicita la acumulación de los dos expedientes
citados y que se tenga también por solicitada expresamente la suspensión del plazo
para la formalización de alegaciones hasta que se resuelva el incidente de
acumulación que se plantea conforme al presente escrito.

Asimismo, entiende IBERDROLA que, teniendo en cuenta la naturaleza de lo solicitado
y la incidencia en la instrucción de los expedientes en cuestión y, finalmente, en el
derecho de defensa de los interesados en ambos procedimientos, al afectar
sustancialmente al contenido de las alegaciones que IBERDROLA podría efectuar en
el supuesto de acordarse la mencionada acumulación, con la consiguiente merma de
su derecho a la tutela judicial efectiva en su modalidad de servirse de los medios de
prueba necesarios para la adecuada defensa de sus derechos, solicitamos
expresamente la suspensión del plazo para la formalización de las alegaciones de
forma que las mismas puedan realizarse conforme al criterio de instrucción que
estamos solicitando.

Por ello, solicita IBERDROLA la suspensión del plazo para la formalización de
alegaciones hasta que se resuelva el incidente de acumulación que se plantea
conforme al presente escrito.

DÉCIMOSEGUNDO: Con fecha 30 de enero de 2024 IBERDROLA presentó escrito de
alegaciones a la Propuesta de Resolución del procedimiento sancionador.

DÉCIMOTERCERO

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/99

PRIMERO: Primera notificación de brecha de datos personales

1.-Notificaciones de brecha de datos personales realizadas por I-DE:

A) Con fecha 18 de marzo de 2022 se notificó a la División de Innovación
Tecnológica de esta Agencia Española de Protección de Datos (en adelante
AEPD o la Agencia) una brecha de seguridad de los datos personales remitido
por I-DE REDES ELÉCTRICAS INTELIGENTES, S.A.U. con NIF A95075578
(en adelante, I-DE) como responsable del tratamiento, en la que informa a esta
Agencia de lo siguiente:

(…).

Se indica que el número de afectados es de 4,5 millones de clientes de esta sociedad.

A) Con fecha 29 de marzo de 2022 (Número de registro:
REGAGE22e00010072289) I-DE presenta una nueva notificación ampliando la
información sobre la brecha de datos personales notificada, a través de la
aportación de del informe “Incidente ciber GEA. Descripción incidente y
acciones.” fechado el 28 de marzo 2022, según el cual:

“I-DE, dentro de la prestación de servicios a sus clientes, ofrece un aplicativo web
llamado Gestión de Expedientes y Acometidas (GEA): ***URL.1

Este servicio permite a los clientes o sus representantes (instaladores) realizar los
trámites pertinentes para el proceso de una conexión a la red. En el transcurso de las
sesiones de la aplicación, hay un intercambio de información de datos del cliente que
está sometido a los filtros de seguridad propios de la aplicación, de forma que cada
cliente (o representante delegado) sólo podrá acceder a la información que
corresponda a la seguridad y perfiles de acceso previsto.

Indica que el número de afectados clientes de I-DE es de 1.350.000

Indica como fecha de inicio de la brecha el 7 de marzo de 2022

Informa de que todavía no se ha comunicado la brecha a las personas afectadas y
que, a más tardar, serán informadas el 31 de marzo de 2022.

Asimismo, en el citado informe “Incidente ciber GEA. Descripción incidente y acciones”
se indica:

“6. Análisis de la información extraída

A partir de la información del análisis forense, i-DE ha llevado a cabo un análisis de los
registros de información potencialmente extraída.
Del fichero enviado a i-DE con los clientes afectados por la brecha de seguridad que
contiene 4.5 millones de registros de personas físicas, se ha comprobado que
aproximadamente 1,3 millones son clientes de i-DE.
El atacante, potencialmente podría haber superado las condiciones de seguridad de la
información exclusiva de i-DE, saltando a rangos de información de otras sociedades.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/99

Dada la naturaleza de la arquitectura de base de datos (que, teniendo separación
lógica, comparte elementos físicos comunes), esto podría suponer que otros datos de
clientes fueran de sociedades diferentes a i-DE, lo cual se transmite a la dirección de
Sistemas de la Compañía para un análisis detallado de otras afecciones en otras
sociedades o negocios del grupo Iberdrola.”

2. Notificaciones de brecha de datos personales realizada por IBERCLI:

A) con fecha con fecha 29 de marzo de 2022 (Número de registro:
REGAGE22e00010094106), IBERCLI presenta notificación de brecha de
seguridad, en la que indica que ha tenido constancia el 28 de marzo de 2022
de que ha sido afectada por la brecha de seguridad sufrida por I-DE, indicando
la vulneración de la confidencialidad de los datos personales de 1.550.000 de
sus clientes, a los cuales aún no ha informado pero que lo hará a más tardar el
31/03/2022.

A) Con fecha 6 de abril de 2022 (Número de registro: REGAGE22e00011889434),
IBERCLI presenta modificación de la notificación de brecha de datos
personales realizada el 29 de marzo de 2022, en la que informa que las
personas afectadas por la misma son 1.515.000 y que se les ha informado de
la misma el 31 de marzo de 2022 mediante comunicación dirigida
personalmente a cada afectado (postal, mail, sms o similar).

Junto a la notificación se aporta:

-Informe “Incidente ciberataque 28/03/2022. Descripción incidente y
acciones”
-Anexo Comunicación a interesados

3. Notificación de brecha de datos personales realizada por CURENERGIA:

A) Con fecha 29 de marzo de 2022 (Número de registro:
REGAGE22e00010095169), CURENERGÍA presenta notificación de brecha de
seguridad, en la que indica que ha tenido constancia el 28 de marzo de 2022
de que ha sido afectada por la brecha de seguridad sufrida por I-DE, indicando
la vulneración de la confidencialidad de los datos personales de 85.000 de sus
clientes, a los cuales aún no ha informado pero que lo hará a más tardar el
31/03/2022.

A) Con fecha 6 de abril de 2022 (Número de registro: REGAGE22e00011892653),
CURENERGÍA presenta modificación de la notificación de brecha de datos
personales realizada el 29 de marzo de 2022, en la que informa que las
personas afectadas por la misma son 92.550 y que se les ha informado de la
misma el 31 de marzo de 2022 mediante comunicación dirigida personalmente
a cada afectado (postal, mail, sms o similar).

Junto a la notificación se aporta:

-Informe “Incidente ciberataque 28/03/2022. Descripción incidente y
acciones”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/99

-Anexo Comunicación a interesados

SEGUNDO: Circunstancias del ataque

1.Según se indica en el resumen del informe “Incidente ciber GEA. Descripción
incidente y acciones.” aportado por IBERDROLA en el escrito de respuesta al
requerimiento de información realizado por esta AEPD, durante las actuaciones
previas de investigación, presentado en fecha 24 de enero de 2023 (Número de
registro: REGAGE23e00004670187), y según se indica asimismo en el informe
“Incidente ciber GEA. Descripción incidente y acciones.” fechado el 28 de marzo 2022”
y aportado por I-DE junto con la segunda notificación de brecha de datos personales,
la cronología del ataque es la siguiente:

- “El 15 de marzo, por la tarde, se detecta un ataque contra la web de gestión de
acometidas de I-DE, (GEA)

 (…)
 (…)
 (…)
 (…).
 (…).

- El 16 de marzo de 2022, por la mañana, se produce una ralentización general
del acceso a varias webs del grupo Iberdrola.

 (…)

- A partir del día 17 de marzo:

 (…).

 A partir del día 17 no se observa tráfico sospechoso ni afectación en
ninguno de los sistemas de servicios en internet del grupo Iberdrola

 Del análisis del registro de actividad de la aplicación GEA de los últimos
días se concluye con fecha 17 de marzo que se ha producido una
exfiltración, entre los días 7 y 15 de marzo de 2022, de
aproximadamente 4,5 millones de interesados (personas físicas).

 Facilitada a I-DE por la Dirección de Sistemas la información referida a
los códigos de cliente de los interesados, ésta comunica en fecha 28 de
marzo de 2022 que, de los mimos, únicamente 1,34 millones de
registros se corresponden con clientes de I-DE.

 En fecha 28 de marzo de 2022, la Dirección de Sistemas comunica a
IBERCLI y CURENERGIA la existencia de un incidente de seguridad en
los sistemas de I-DE que ha podido afectar a la información referida a
los clientes de estas compañías y les incluye información referida a los
códigos internos de cliente de los afectados, a fin de que las compañías
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/99

verifiquen si han podido verse comprometidos datos correspondientes a
sus clientes. Analizada la información por IBERCLI y CURENERGIA
verifican que la brecha de seguridad ha afectado a datos personales de
clientes de dichas sociedades.

 (…)

2.Según indica IBERCLI, en el informe “Incidente ciberataque 28/03/2022. Descripción
incidente y acciones.” fechado el 4 de abril de 2022” y aportado junto con la segunda
notificación de brecha de datos personales, la cronología de los hechos es la
siguiente:

“3. Hechos

Se excluyen del presente relato los elementos relativos exclusivamente al ciberataque
a la web GEA de i-DE, dado que según nos consta, la AEPD ya ha sido informada de
ellos.

Se inician pues los hechos desde el momento en que, por parte de IBERCLI, se tiene
conocimiento de haber sido afectada por el ciberataque:

1. El 28 de marzo, desde Sistemas de i-DE se recibe una notificación indicando
que, como resultado del análisis efectuado por dicha sociedad, se ha
observado que entre los clientes afectados los hay que no corresponden con
códigos de cliente de i-DE.

2. Analizada de forma urgente la información que nos entregan se concluye
que un total de 1,5 M de clientes de IBERCLI se han visto afectados, a pesar
de que la arquitectura de base de datos tiene implantadas medidas de
separación lógica y cada sociedad, por aplicación, sólo tiene capacidad de
acceder a sus propios clientes.

3. Confirmada la afección de datos de IBERCLI, se procede, el 29/03, a
notificar a la AEPD.

4. Se comienza a trabajar en paralelo en la notificación a interesados. Dicha
notificación se realiza por oleadas entre los días 31/03 (400.00 notificaciones
por email aprox.),01/04 (resto de notificaciones por email) y 04/04 (envío de
cartas para clientes de los que no se dispone email). Se establece un
dispositivo de atención a los clientes afectados, con un número gratuito y un
correo electrónico específico, y se refuerzan los canales habituales dando
instrucciones para atender consultas específicas sobre el incidente. Se incluye
en anexo copia de la comunicación enviada.

5. IBERCLI ha sido integrada en un plan a nivel de grupo Iberdrola, en el que
se incluyen medidas técnicas y organizativas adoptadas para evitar, en lo
posible, incidentes de seguridad como el sucedido. Se ha lanzado para todo el
grupo Iberdrola un plan de securización urgente, consistente en:

a. Prevención (Controles de Infraestructura)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/99

b. Detección de vulnerabilidades
c. Remediación de vulnerabilidades detectadas
d. Revisión de protocolos de emergencia

6. Se extiende a IBERCLI el ámbito de la vigilancia digital establecida para el
incidente de i-DE, no habiéndose detectado hasta la fecha ninguna publicación
en fuentes abiertas o dark web”

3. Según indica CURENERGIA, en el informe “Incidente ciberataque 28/03/2022.
Descripción incidente y acciones.” fechado el 4 de abril de 2022” y aportado junto con
la segunda notificación de brecha de datos personales, la cronología de los hechos es
la siguiente:

“3. Hechos

Se excluyen del presente relato los elementos relativos exclusivamente al ciberataque
a la web GEA de i-DE, dado que según nos consta, la AEPD ya ha sido informada de
ellos.

Se inician pues los hechos desde el momento en que, por parte de CURENERGIA, se
tiene conocimiento de haber sido afectada por el ciberataque:

2. Analizada de forma urgente la información que nos entregan se concluye
que un total de 92.550 clientes de CURENERGIA se han visto afectados, a
pesar de que la arquitectura de base de datos tiene implantadas medidas de
separación lógica y cada sociedad, por aplicación, sólo tiene capacidad de
acceder a sus propios clientes.

3. Confirmada la afección de datos de CURENERGIA, se procede, el 29/03, a
notificar a la AEPD.

4. Se comienza a trabajar en paralelo en la notificación a interesados. Dicha
notificación se realiza por oleadas entre los días 31/03, 01/04 y 04/04 (por
email o por envío de cartas para clientes de los que no se dispone email). Se
establece un dispositivo de atención a los clientes afectados, con un número
gratuito y un correo electrónico específico, y se refuerzan los canales
habituales dando instrucciones para atender consultas específicas sobre el
incidente. Se incluye en anexo copia de la comunicación enviada.

5. CURENERGIA ha sido integrada en un plan a nivel de grupo Iberdrola, en el
que se incluyen medidas técnicas y organizativas adoptadas para evitar, en lo
posible, incidentes de seguridad como el sucedido. Se ha lanzado para todo el
grupo Iberdrola un plan de securización urgente, consistente en:

a. Prevención (Controles de Infraestructura)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/99

b. Detección de vulnerabilidades
c. Remediación de vulnerabilidades detectadas
d. Revisión de protocolos de emergencia

6. Se extiende a CURENERGIA el ámbito de la vigilancia digital establecida
para el incidente de i-DE, no habiéndose detectado hasta la fecha ninguna
publicación en fuentes abiertas o dark web”

TERCERO: Sobre la aplicación GEA de I-DE

-i-de e IBERDROLA, en sus escritos de respuesta a requerimientos realizados por esta
AEPD, indican:

-La aplicación GEA es una aplicación web de i-DE que se utiliza para la Gestión de
Acometidas Eléctricas, esta aplicación está publicada en Internet para su acceso por
parte de los usuarios (clientes, instaladores, etc.) implicados en el proceso de gestión
de esos expedientes de acometida:

***URL.1

-Este servicio permite a los clientes o sus representantes (instaladores) realizar los
trámites pertinentes para el proceso de una conexión a la red. En el transcurso de las
sesiones de la aplicación, hay un intercambio de información de datos del cliente que
está sometido a los filtros de seguridad propios de la aplicación, de forma que cada
cliente (o representante delegado) sólo podrá acceder a la información que
corresponda a la seguridad y perfiles de acceso previsto

-(…):

***URL.2

CUARTO: Sobre la arquitectura de sistemas y base de datos. Acceso desde
aplicaciones.

IBERDROLA, como encargada de tratamiento y que gestiona la base de datos donde
las tres empresas afectadas almacenan los datos personales de sus clientes, indica lo
siguiente:

“(…)

(…).”

QUINTO: Causas que hicieron posible la brecha

IBERDROLA, en su escrito de respuesta presentado el 24 de enero de 2023, indica:

(…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/99

(…).

(…):

• (…)
• (…)
• (…)
• (…)
• (…)
• (…)
• (…)
• (…)
• (…)

(…)
(…)

SEXTO: Medidas de seguridad establecidas en la Base de Datos

IBERDROLA, respecto a las medidas de seguridad establecidas en la base de datos,
en su escrito de respuesta presentado con fecha 24 de enero de 2023, indica lo
siguiente:

“(…).”

SÉPTIMO: medidas inmediatas tras la brecha

IBERDROLA, en su escrito de respuesta presentado con fecha 24 de enero de 2023,
indica lo siguiente:

“(…).”

OCTAVO: IBERDROLA como encargada del tratamiento respecto de IBERCLI y de
CURENERGÍA

Como respuesta al requerimiento de información realizado por esta AEPD a
IBERDROLA durante el período de investigaciones previas relativo a los contratos
firmados en relación con la protección de datos respecto de la prestación de servicios
de soporte informático y de seguridad que presta a I-DE, IBERCLI y CURENERGIA,
IBERDROLA, en su escrito de respuesta presentado en fecha 24 de enero de 2023
(Número de registro: REGAGE23e00004670187), indica:

- “Se aporta como documento nº 1, Acuerdo Marco de protección de datos personales
para el Grupo Iberdrola, en el que se detalla el alcance de la prestación de servicios a
las empresas del Grupo llevada a cabo por mi representada, con los requisitos
establecidos en el artículo 28 del Reglamento General de Protección de Datos. Este

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/99

Acuerdo ha sido actualizado en su Anexo II, que se aporta como documento número
1bis, estando dicha actualización pendiente de formalización.

Igualmente se aporta como DOCUMENTO NÚMERO 2 declaración de aceptación de
Iberdrola España, S.A.U. de su adhesión al citado Acuerdo Marco, actuando la citada
entidad, conforme lo indicado en la cláusula segunda, en su propio nombre y derecho
y en representación de las sociedades pertenecientes a su grupo societario sobre las
que ostenta directa o indirectamente el control, entre las que se encuentran las tres
entidades a las que se refiere el requerimiento de información.

El citado “Acuerdo Marco de protección de datos personales para el Grupo Iberdrola”,
firmado el 18 de mayo de 2018, está suscrito, por un lado, por IBERDROLA y, de otra,
por “las sociedades integradas en el grupo cuya entidad dominante, en el sentido
establecido por la ley, es IBERDROLA (en adelante Grupo Iberdrola) que firmen la
Declaración de Aceptación que figura como Anexo I a este contrato…”. En dicho
acuerdo (en adelante Acuerdo Marco PDP), se indica lo siguiente:

En el punto 1 del “Exponen”:
“Que las partes han suscrito un Acuerdo Marco de Prestación de Servicios
Corporativos por el que se regula la prestación de servicios corporativos de (…)
sistemas (…) bajo e Modelo de Corporación Única por parte de IBERDROLA a las
sociedades del Grupo Iberdrola beneficiarias (…)

Punto 11 “Por ello, se establece este Acuerdo Marco de Protección de Datos
Personales bajo el que se legitima el acceso y tratamiento de datos personales por
IBERDROLA y las Sociedades del Grupo (prestadoras de servicios) por cuenta de
otras Sociedades del Grupo (receptoras del servicio), dando cumplimiento a las
diferentes legislaciones de protección de datos personales aplicables, especialmente
el RGPD y la legislación española que rige el tratamiento de datos personales por
parte de IBERDROLA”

En el apartado “CLAUSULAS”, se indica:

CLAUSULA SEGUNDA. En su segundo párrafo se indica:

“(…)”

En dicho Anexo, entre otros servicios, se incluye “Operación y soporte” “Desarrollo” y
“Gestión de Sistemas”

En la CLÁUSULA SÉPTIMA “Garantías en el tratamiento de datos personales”, se
indica:

“7.5.-Obligaciones del Encargado del Tratamiento.

e) Medidas de Seguridad.

26/99

fines de tratamiento, así como los riesgos de probabilidad y gravedad variables
para los derechos y libertades de las personas físicas.
Las medidas de seguridad a implantar son las que se indican en el Anexo III de
este Acuerdo marco PDP”

En respuesta al requerimiento de copia del registro a que se refiere el artículo 30 del
RGPD, respecto de las actividades de tratamiento de datos personales de las citadas
empresas efectuadas bajo su responsabilidad, IBERDROLA responde:

“Se aporta, como DOCUMENTOS NÚMEROS 3 y 4 los Registros de Actividades de
Tratamiento correspondientes a los tratamientos "Soporte y Mantenimiento de
Infraestructuras IT” y “Desarrollo de aplicaciones (SWF)”, llevados a cabo por mi
mandante en su condición de encargada del tratamiento, respecto de diversos
tratamientos de las sociedades del Grupo Iberdrola, entre los que se encuentran los
afectados por la brecha de seguridad:

• (…)

Asimismo, indica IBERDROLA que “La Dirección de Sistemas del Grupo Iberdrola
administra y opera los equipos físicos que alojan la información, prestando servicio a
las diferentes sociedades del Grupo”.

NOVENO: Análisis de riesgos del tratamiento afectado por la brecha de datos
personales

A solicitud de esta AEPD de copia del análisis de riesgos sobre los derechos y
libertades de las personas físicas realizado sobre la actividad del tratamiento que ha
sufrido la brecha de seguridad con anterioridad a la incidencia, tanto IBERCLI como
CURENERGÍA aportaron el mismo documento que es el esquema seguido en el seno
del Grupo Iberdrola para la valoración del riesgo en el tratamiento de los datos
personales y que se lleva a cabo conforme al mismo:

(…)

Asimismo, ambas empresas adjuntan un documento explicativo de la lógica seguida
para el cálculo del nivel de riesgo conforme a esta metodología, denominado “Lógica
de cálculo de Nivel de Riesgo”

Explican que dicha metodología se encuentra implantada de forma automatizada en la
propia herramienta corporativa de registro de actividades de tratamiento, de forma que
en el propio proceso de registro determina el nivel de riesgo del tratamiento. Así pues,
la aplicación de dicha metodología en relación con el tratamiento (…) arrojó como
resultado un nivel de riesgo MEDIO.

En dicho documento se analizan circunstancias o amenazas en el sentido del
esquema indicado, las cuales se trasladan al Registro de Actividades de Tratamiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/99

DÉCIMO: Número de personas afectadas y tipo de datos afectados

Clientes de IBERCLI afectados: 1.515.000
Clientes de CURENERGIA afectados: 92.550

Tipo de datos afectados:

(…)

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales, toda vez que IBERDROLA
realiza, entre otros tratamientos, la recogida, conservación, consulta, utilización,
supresión, etc., de datos personales de personas físicas, tales como: nombre,
apellidos, DNI, dirección postal, número de teléfono, dirección de correo electrónico,
datos bancarios, datos relativos al suministro y al consumo eléctrico, cuenta corriente,
etc.

IBERDROLA realiza esta actividad en su condición de encargado del tratamiento, de
conformidad con el artículo 4.8 del RGPD, dado que trata estos datos personales por
cuenta de otras empresas pertenecientes al Grupo Iberdrola a las que les presta, entre
otros, servicios de Soporte y Mantenimiento de Infraestructuras IT y de Desarrollo de
aplicaciones (SWF). Concretamente, en el caso que nos ocupa, presta estos servicios
como encargada de tratamiento, entre otras, de I-DE, CURENERGÍA E IBERCLI.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/99

El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de
seguridad de los datos personales” (en adelante brecha de seguridad) como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración
accidental o ilícita de datos personales transmitidos, conservados o tratados de otra
forma, o la comunicación o acceso no autorizados a dichos datos.

En el presente caso, consta una brecha de seguridad de datos personales en las
circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al
haberse producido un ataque informático en un aplicativo web de una de las empresas
del Grupo Iberdrola y que ha provocado el acceso ilícito por parte de un tercero no
autorizado a datos personales de otras dos sociedades del mismo Grupo y que se
encontraban almacenados en la base de datos compartida por diferentes sociedades
del grupo y que es administrada y gestionada por IBERDROLA. Por tanto, la brecha de
seguridad sufrida ha afectado a datos personales tratados por IBERDROLA en su
condición de encargada del tratamiento.

III
Sobre la solicitud de acumulación y la suspensión del plazo para formular alegaciones

Respecto de la solicitud de acumulación del presente expediente y el EXP202205206
realizada por IBERDROLA, procede señalar que el artículo 57 de la LPACAP
establece:

“El órgano administrativo que inicie o tramite un procedimiento, cualquiera que
haya sido la forma de su iniciación, podrá disponer, de oficio o a instancia de
parte, su acumulación a otros con los que guarde identidad sustancial o íntima
conexión, siempre que sea el mismo órgano quien deba tramitar y resolver el
procedimiento.
Contra el acuerdo de acumulación no procederá recurso alguno”.
(el subrayado es nuestro)

Por tanto, es una posibilidad que tiene la Administración, no estando obligada a
proceder a la acumulación en caso de ser solicitada. Si embargo, ello no obsta para
que se motive a continuación las razonas por las cuales se ha considerado oportuno
tramitar ambos procedimientos sancionadores por separado.

Así, si bien los dos expedientes sancionadores, uno dirigido contra I-DE y otro contra
IBERDROLA, S.A., parten del mismo incidente de seguridad (el ataque a la aplicación
GEA, aplicativo web de I-DE), el mismo ha producido dos brechas de datos personales
diferentes y diferenciadas, tal y como se refleja en los Antecedentes de Hecho de la
presente propuesta, especialmente en el Antecedente de hecho Octavo, donde se
reseña la información recabada durante la fase de actuaciones previas de
investigación llevadas a cabo por esta AEPD.

Así, por un lado, el ataque se produjo a través de un aplicativo web de I-DE,
aprovechando una vulnerabilidad del mismo y que permitió el acceso a la base de
datos de I-DE y que afectó a la confidencialidad de 1.350.000 clientes de I-DE. Por
ello, el procedimiento sancionador relativo al EXP202205206 se dirige exclusivamente

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/99

a I-DE como responsable del tratamiento de los datos personales de sus clientes y
como consecuencia de una vulnerabilidad existente en un aplicativo web suyo.

De otro lado, en el ciberataque no sólo se vieron afectados datos personales de I-DE,
sino que, al acceder a la base de datos de I-DE, la cual se encontraba alojada en un
sistema en el que coexisten bases de datos de otras empresas del mismo grupo, el
atacante aprovechando vulnerabilidades de las bases de datos consiguió acceder a
las bases de datos de otras dos empresas, IBERCLI y CURENERGÍA, afectando a la
confidencialidad de datos personales de clientes de estas dos últimas. Estas diferentes
bases de datos de diferentes empresas se alojan o se llevan a cabo en un sistema
mantenido y soportado exclusivamente por IBERDROLA, la cual, en consecuencia, es
encargada de tratamiento de todas ellas, es decir, de I-DE, IBERCLI y CURENERGÍA.

Este hecho ha supuesto que se inicie el presente procedimiento sancionador a
IBERDROLA, pero por su responsabilidad como encargada de tratamiento de IBERCLI
y de CURENERGÍA y exclusivamente por la brecha de datos personales que ha
afectado únicamente a los datos personales de los clientes de estas dos empresas
comercializadoras y solamente atendiendo a la responsabilidad que puede tener
IBERDROLA en cuanto a la configuración de la base de datos que gestiona respecto
de estas dos empresas afectadas.

En este sentido, esa afectación a datos personales de clientes alojados en bases de
datos de I-DE no puede formar parte de este procedimiento sancionador dirigido
exclusivamente a IBERDROLA, por cuanto I-DE no es responsable ni de los datos
personales de clientes afectados que pertenecen a otras empresas, ni de la posible
falta de adopción de medidas adecuadas para la protección de la confidencialidad de
los datos personales de otras empresas alojados en una base de datos que gestiona
IBERDROLA como encargada del tratamiento.

Por tanto, se ha de analizar de forma independiente la gestión de las bases de datos
que realiza IBERDROLA respecto de esas terceras empresas, sin que pueda
responder I-DE por posibles incumplimientos de la normativa de protección de datos
en dicha gestión.

Por tanto, estando dirigido los procedimientos sancionadores a diferentes sujetos (dos
empresas diferentes), estar afectados los datos personales de clientes de diferentes
empresas, no teniendo I-DE nada que ver con los datos de clientes ajenos, tramitarse
por vulnerabilidades o incumplimientos respecto de sistemas diferentes (en uno un
aplicativo web, de I-DE, en este, una base de datos que gestiona IBERDROLA),etc, es
por lo que no se ha considerado por esta AEPD acumular los dos expedientes, sino
tramitar los dos procedimientos sancionadores de forma separada, al estar claramente
separada la responsabilidad que se atribuye a cada uno, así como tratarse de brechas
de datos personales diferentes y que afectan a datos personales tratados por
responsables diferentes.

Asimismo, ello no le produce indefensión a IBERDROLA por cuanto en todo momento
conoce los hechos que se le imputan, la infracción que los mismos suponen, la
responsabilidad en que ha incurrido, así como que ha tenido y tiene la oportunidad de
formular alegaciones y presentar cuanta documentación considere oportuna en
defensa de sus intereses que le permite la legislación aplicable.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/99

Por último, en cuanto a la solicitud de suspensión del plazo para formular alegaciones
al Acuerdo de Inicio mientras no se decida sobre la acumulación de los dos
procedimientos, se significa que dicha posibilidad no existe ni en la normativa aplicable
de protección de datos (RGPD Y LOPDGDD) ni en la LPACAP. Por el contrario, en
esta última ley lo que se establece es la obligatoriedad de que los trámites que deban
ser cumplimentados por los interesados son de obligado cumplimiento:

“Artículo 73. Cumplimiento de trámites.
1. Los trámites que deban ser cumplimentados por los interesados deberán
realizarse en el plazo de diez días a partir del siguiente al de la notificación del
correspondiente acto, salvo en el caso de que en la norma correspondiente se
fije plazo distinto.”

Por tanto, no procede la solicitud de suspensión, al no existir legalmente esta
posibilidad, ni la misma ha tenido efecto alguno, no habiéndose suspendido, en
consecuencia, el plazo para formular alegaciones.

IV
Respuesta a las alegaciones al Acuerdo de Inicio

En respuesta a las alegaciones presentadas se señala lo siguiente:

PRIMERA: SOBRE LA ACUMULACIÓN DE LOS PROCEDIMIENTOS

Reitera IBERDROLA de nuevo la solicitud de acumulación y se remite a la solicitud
presentada al efecto el 24 de mayo de 2023.

A este respecto, procede remitirse a lo argumentado en el Fundamento de Derecho
anterior, en el que se da debida respuesta a esta cuestión.

SEGUNDA. – SOBRE LAS ESPECIALES CIRCUNSTANCIAS ACAECIDAS EN
RELACIÓN CON LA TRAMITACIÓN DEL PRESENTE EXPEDIENTE Y LA
VULNERACIÓN DE LOS PRINCIPIOS DE BUENA FE, CONFIANZA LEGÍTIMA Y
SEGURIDAD JURÍDICA

Alega IBERDROLA que esta AEPD ha vulnerado los principios de seguridad jurídica,
buena fe y confianza legítima establecidos en el artículo 3.2 e) de la Ley 40/2015, de 1
de octubre, de Régimen Jurídico del Sector Público (en adelante LRJSP) ya que
mediante escrito fechado el 18 de abril de 2022, de la División de Innovación
Tecnológica de la AEPD, se indica, en relación con la información adicional aportada
por I-DE relativa a la brecha de datos personales sufrida por ella, que “Tras el análisis
de la información adicional aportada, la brecha de seguridad ha sido actualizada en el
registro de notificaciones de brechas de seguridad y no se prevé el inicio de otras
acciones por parte de esta Agencia”. Sin embargo, posteriormente y sin que conste
ninguna actuación posterior hasta la fecha del primer requerimiento de información
que se le dirige a I-DE (escrito firmado el 8 de julio de 2022 por el Inspector actuante)
de lo que parece desprenderse la iniciación por la AEPD de actuaciones de
investigación, sin existir acuerdo o decisión alguna en este sentido.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/99

Entiende IBERDROLA que ello pone de manifiesto que no procedía la realización de
investigación adicional relacionada con la brecha por cuanto la AEPD al firmar el
referido escrito de 18 de abril consideró adecuadas las manifestaciones efectuadas
por I-DE, IBERCLI y CURENERGIA, no apreciando en la brecha la concurrencia de
elemento alguno que justificase la realización de actuaciones de investigación
tendentes a determinar si se había producido una presunta vulneración de la
normativa de protección de datos.

Sin embargo, continua IBERDROLA, la AEPD el 9 de mayo de 2022, acuerda la
admisión a trámite de reclamaciones (formuladas con anterioridad al 18 de abril de
2022) y la iniciación de actuaciones previas de investigación, pero sin que conste en el
expediente ninguna actuación o circunstancia relacionada con este caso que hubiera
sido aportada o acaecido en el período que mediaba entre el 18 de abril y la fecha de
admisión a trámite y que justifique el inicio de las mismas.

Asimismo, entiende IBERDROLA que el escrito de 18 de mayo de 2022 supone que la
AEPD consideraba que la información recibida de ella sobre la brecha era suficiente
para entender que no concurría en I-DE ni en IBERDROLA ni en ninguna otra de las
entidades que había procedido a la notificación del incidente responsabilidad alguna
por un supuesto incumplimiento de la normativa de protección de datos, lo que
determinaba el archivo de un expediente que, sin embargo, la AEPD decide abrir días
después sin que concurra indicio alguno que implique un cambio sustancial en la
naturaleza, circunstancias o severidad de la brecha. De ello concluye IBERDROLA que
la AEPD adoptó una decisión que contradice frontalmente con la previa adoptada
apenas 20 días antes.

A este respecto, procede señalar, en primer lugar, que el citado escrito de 18 de mayo
de 2022 estaba dirigido únicamente a I-DE y con relación a las notificaciones
realizadas por la misma a la División de Innovación Tecnológica de esta AEPD como
consecuencia de una brecha de datos personales sufrida por ella.

Por tanto, dicho escrito en modo alguno se refiere a la brecha de datos personales
sufrida por IBERCLI y CURENERGIA y por la que se tramita el presente procedimiento
sancionador a IBERDROLA como encargada de tratamiento de las mismas, por mucho
que intente ahora extenderlo a este expediente.

Se recoge en la propuesta de resolución que no obstante, y a mayor abundamiento de
lo anterior, como quiera que de la brecha de datos personales notificada por I-DE se
derivó la brecha sufrida por IBERCLI y CURENERGÍA, se procede a responder la
errónea interpretación que realiza IBERDROLA en relación con el citado escrito.

Así, dicho escrito está firmado de forma genérica por la AEPD, proviene de la División
de Innovación Tecnológica, la cual se encarga de recibir las notificaciones de las
brechas de datos personales y registrarlas en el registro que lleva al efecto, y en el
cual se indicó lo siguiente:

“En relación con la información adicional aportada mediante registro de entrada
REGAGE22e00010072289, relativa a una brecha de datos personales en un

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/99

tratamiento de I-DE REDES ELECTRICAS INTELIGENTES S.A.U. informamos
que:

Tras el análisis de la información adicional aportada, la brecha de seguridad ha
sido actualizada en el registro de notificaciones de brechas de seguridad y no
se prevé el inicio de otras acciones por parte de esta Agencia.

No obstante, le recordamos la necesidad de investigar las causas del incidente
hasta entender cómo y por qué ha sucedido, y la obligación de tomar las
acciones oportunas para evitar que vuelva a suceder y minimizar el impacto
potencial sobre los afectados, así como la obligación de documentar cualquier
incidente de seguridad que pueda afectar a los datos personales como los
hechos relacionados con los mismos y las medidas correctivas aportadas tal y
como establece el artículo 33.5 del RGPD.

Si en el trascurso del tiempo obtuviera indicios que impliquen un cambio
sustancial en la naturaleza, circunstancias o severidad de la brecha, puede
realizar una nueva notificación completa a través de nuestra sede electrónica
https://sedeagpd.gob.es/sede-electronica-web/.

Así mismo, le informamos que en el siguiente enlace tiene a su disposición la
guía para la gestión y notificación de brechas de seguridad de los datos
personales publicada por esta Agencia: https://www.aepd.es/media/guias/guia-
brechas-seguridad.pdf”

Como encabezado consta “DIVISIÓN DE INNOVACIÓN TECNOLÓGICA”

En el lateral izquierdo del escrito se indica que “Firmado electrónicamente por:
Agencia Española de Protección de Datos. A fecha 18/04/2022”

No aparece firmado por la Directora de la Agencia, no tiene parte dispositiva en
la que se acuerde o resuelva algo, ni tiene indicación de recurso alguno contra
la misma.

Por tanto, y en contra de lo que afirma I IBERDROLA, este escrito no tiene carácter
decisorio, ni por su contenido, que únicamente contiene una previsión y que en modo
alguno puede entenderse que supone que esta AEPD ha valorado y decidido que no
concurría en I-DE ni en IBERDROLA (aunque insistimos que se dirige exclusivamente
a I-DE) responsabilidad alguna por un supuesto incumplimiento de la normativa de
protección de datos, lo que supone el archivo de unas actuaciones -tal y como ha
querido entender IBERDROLA -, ni tampoco por su forma, pues ni siquiera
formalmente refleja una decisión, ni mucho menos una resolución de archivo de
actuación alguna, pues para que ello sea así, el único órgano competente para ello es
la actual Directora de la AEPD. Así, el Artículo 13 del Estatuto de la AEPD, aprobado
mediante Real Decreto 389/2021, de 1 de junio, se determinan las funciones de la
Presidencia:

1. Corresponde a la Presidencia de la Agencia Española de Protección de Datos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/99

d) Dictar las resoluciones y directrices que requiera el ejercicio de las funciones
de la Agencia, en particular las derivadas del ejercicio de las competencias
previstas en el artículo 57 del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo, de 27 de abril de 2016, y del ejercicio de los poderes
de investigación y de los poderes correctivos dispuestos en el artículo 58 del
citado Reglamento.

Por tanto, para proceder al archivo de unas actuaciones investigación se requiere,
primero, que se hayan iniciado (bien por haberse admitido a trámite una reclamación,
bien por iniciativa propia, lo cual en ambos casos exige una resolución expresa
firmada por la Directora), lo cual no había sucedido en el momento de emitirse el
referido escrito de la División de Innovación Tecnológica y, en segundo lugar, es
necesario de nuevo una resolución expresa por parte de la Directora archivando
dichas actuaciones por entender, ahora sí, que de la información recabada en dichas
investigaciones, no se concluye la existencia de infracción en la normativa de
protección de datos, lo cual no se había producido.

En el presente caso, tras la notificación de la brecha de datos personales por parte de
I-DE, CURENERGIA e IBERCLI, se presentaron varias reclamaciones por personas
afectadas por la misma, las cuales fueron admitidas a trámite de forma conjunta por la
AEPD en cumplimiento del artículo 64 LOPDGDD:

Artículo 64. Forma de iniciación del procedimiento y duración.

1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de
una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22
del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite,
que se adoptará conforme a lo establecido en el artículo 65 de esta ley
orgánica.
En este caso el plazo para resolver el procedimiento será de seis meses a
contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo
de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar
estimada su reclamación.

2. Cuando el procedimiento tenga por objeto la determinación de la posible
existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y
en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado
por propia iniciativa o como consecuencia de reclamación.

Si el procedimiento se fundase en una reclamación formulada ante la Agencia
Española de Protección de Datos, con carácter previo, esta decidirá sobre su
admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley
orgánica.
Cuando fuesen de aplicación las normas establecidas en el artículo 60 del
Reglamento (UE) 2016/679, el procedimiento se iniciará mediante la adopción
del proyecto de acuerdo de inicio de procedimiento sancionador, del que se
dará conocimiento formal al interesado a los efectos previstos en el artículo 75
de esta ley orgánica.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/99

Admitida a trámite la reclamación, así como en los supuestos en que la
Agencia Española de Protección de Datos actúe por propia iniciativa, con
carácter previo al acuerdo de inicio, podrá existir una fase de actuaciones
previas de investigación, que se regirá por lo previsto en el artículo 67 de esta
ley orgánica.

Artículo 67. Actuaciones previas de investigación.
1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez
admitida a trámite la reclamación si la hubiese, la Agencia Española de
Protección de Datos podrá llevar a cabo actuaciones previas de investigación a
fin de lograr una mejor determinación de los hechos y las circunstancias que
justifican la tramitación del procedimiento.

La Agencia Española de Protección de Datos actuará en todo caso cuando sea
precisa la investigación de tratamientos que implique un tráfico masivo de
datos personales.

2. Las actuaciones previas de investigación se someterán a lo dispuesto en la
Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener
una duración superior a doce meses a contar desde la fecha del acuerdo de
admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación
cuando la Agencia Española de Protección de Datos actúe por propia iniciativa
o como consecuencia de la comunicación que le hubiera sido remitida por la
autoridad de control de otro Estado miembro de la Unión Europea, conforme al
artículo 64.3 de esta ley orgánica. (el subrayado es nuestro)

De dicha normativa no se infiere en modo alguno que la AEPD tenga que justificar de
la manera que exige IBERDROLA el inicio de actuaciones previas en el sentido de que
tenga que haber algo nuevo o alguna circunstancia nueva o de que las reclamaciones
hayan tenido que aportar circunstancias nuevas y diferentes respecto de la
documentación aportada por I-DE en su notificación de la brecha a esta Agencia, pues
ello no viene exigido por la normativa indicada, además de que no se puede pretender
que los afectados aporten algo nuevo, al margen de conocer que se ha vulnerado la
confidencialidad de sus datos personales por un ciberataque de cuyas circunstancias
desconocen.

Precisamente las actuaciones previas de investigación se realizan para esclarecer los
hechos y las circunstancias de lo acontecido, recabando más información al objeto de
poder determinar o no la existencia de una posible infracción de la normativa en
materia de protección de datos. En este sentido, el inicio de investigaciones previas y
su realización, potestad de la AEPD con o sin reclamaciones, no prejuzga nada, sino
que permite recabar la información necesaria para determinar si hay indicios o no de
infracción. Incluso tras dicha investigación, puede ser que se archiven las actuaciones
por entender, a la vista de la información recabada, que no existen indicios de
infracción. Lo cual, en el presente caso, no ha sucedido.

Lo que sí indica la normativa es que, tras la presentación de reclamaciones, esta
Agencia debe decidir si las admite a trámite o no, habiendo decidido finalmente su
admisión mediante, esta vez sí, Acuerdo de admisión a trámite, firmado por la
Directora de la Agencia con fecha 9 de mayo de 2022. Y, como indica el artículo 67.2
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/99

LOPDGDD referenciado, la AEPD puede llevar a cabo actuaciones previas de
investigación a fin de lograr una mejor determinación de los hechos y las
circunstancias. Es una potestad que tiene atribuida por el RGPD y por la LOPDGDD.

Asimismo, y a mayor abundamiento de todo, incluso en el supuesto de no haber
existido las reclamaciones, el escrito de la División de Innovación Tecnológica no
hubiera sido tampoco óbice ni obstáculo para el ejercicio de las potestades de
investigación que tiene la AEPD de conformidad con el citado artículo 64.2 que
determina que “Admitida a trámite la reclamación, así como en los supuestos en que
la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter
previo al acuerdo de inicio, podrá existir una fase de actuaciones previas de
investigación…”

Por tanto, el presente procedimiento sancionador no se ha iniciado por el contenido o
por alguna información nueva aportada en las reclamaciones, sino por la información y
documentación obtenida tras el período de actuaciones previas de investigación, al
inferirse de la misma posibles vulneraciones a la normativa en materia de protección
de datos.

Por otro lado, trae a colación IBERDROLA la Sentencia del Tribunal Supremo, de 22
de febrero de 2016 (recurso 4048/2013), entendiendo que es plenamente aplicable al
caso, en la que se indica:

“Acorde con los hechos sucintamente expuestos podemos considerar
lesionada la confianza legítima, pues la Administración no puede adoptar
decisiones que contravengan las perspectivas y esperanzas fundadas en las
propias decisiones anteriores de la Administración. Cuando se confía en la
estabilidad de su criterio, evidenciado en múltiples actos anteriores en un
mismo sentido, que lleva al administrado a adoptar determinadas decisiones,
se genera una confianza basada en la coherencia del comportamiento
administrativo, que no puede defraudarse mediante una actuación
sorprendente. […]
Conviene tener en cuenta que confianza legítima requiere, en definitiva, de la
concurrencia de tres requisitos esenciales. A saber, que se base en signos
innegables y externos (1); que las esperanzas generadas en el administrado
han de ser legítimas (2); y que la conducta final de la Administración resulte
contradictoria con los actos anteriores, sea sorprendente e incoherente (3).
Exactamente lo que acontece en el caso examinado, a tenor de los hechos
antes relatados.
Recordemos que, respecto de la confianza legítima, venimos declarando de
modo reiterado, por todas, Sentencia de 22 de diciembre de 2010 (recurso
contencioso-administrativo núm. 257 / 2009), que << el principio de la buena fe
protege la confianza legítima que fundadamente se puede haber depositado en
el comportamiento ajeno e impone el deber de coherencia en el
comportamiento propio. Lo que es tanto como decir que el principio implica la
exigencia de un deber de comportamiento que consiste en la necesidad de
observar de cara al futuro la conducta que los actos anteriores hacían prever y
aceptar las consecuencias vinculantes que se desprenden de los propios actos
constituyendo un supuesto de lesión a la confianza legítima de las partes
"venire contra factum propium >> (el subrayado es nuestro)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/99

A este respecto se significa que la doctrina establecida en la misma no es de
aplicación al presente caso, ya que, como se ha indicado anteriormente, ni ha sido una
decisión de esta Administración, ni por su forma ni por su contenido, ni las mismas han
provocado que se confíe en la estabilidad de su criterio, ya que no ha habido ningún
criterio al respecto, ni mucho menos evidenciado en múltiples actos anteriores en un
mismo sentido, por lo que la actuación de esta Agencia en relación a lo alegado no ha
supuesto una conducta final de ella que resulte contradictoria con actos anteriores que
sea sorprendente ni incoherente, en el sentido de la doctrina del Tribunal.

Por último, en cuanto a la referencia que realiza IBERDROLA respecto de que en el
Acuerdo de la Directora de la AEPD, de 9 de mayo de 2022, por el que se admiten a
trámite las reclamaciones formuladas contra IBERCLI, en la que se hace referencia al
expediente AT/02233/2022, del cual señala IBERDROLA que desconoce cuál es este
expediente, solicitando que se le indique si se ha procedido a la apertura de algún otro
tipo de procedimiento contra ella y a cuyo expediente no se le ha dado acceso,
procede señalar que bajo el citado expediente se agrupan las reclamaciones recibidas
por afectados por la brecha de datos personales sufrida, las cuales fueron admitidas a
trámite de forma conjunta mediante el citado Acuerdo, no suponiendo el mismo ningún
expediente ni procedimiento dirigido contra IBERDROLA ni contra ninguna de las
empresas integrantes del Grupo Iberdrola.

A este respecto, se recuerda de nuevo que dichas reclamaciones, al tener su base en
una brecha de datos personales, las mismas únicamente se admiten a trámite y ello
conlleva, como se ha señalado, la posibilidad de iniciar actuaciones de investigación
para el esclarecimiento de los hechos y de todo lo acaecido, siendo la documentación
y todo lo recopilado durante dichas actuaciones lo que ha motivado, exclusivamente, el
inicio del presente procedimiento sancionador, y no las citadas reclamaciones, por lo
que las mismas no forman parte de este procedimiento. Asimismo, se informa que no
se realiza ninguna tramitación más de las mismas más allá de comunicar (que no
notificar) a los reclamantes el inicio, en este caso, de un procedimiento sancionador y
también la resolución que recaiga en el mismo.

Por lo expuesto, se desestima la alegación formulada.

TERCERA.- SOBRE LA AFECTACIÓN ADICIONAL A LOS PRINCIPIOS DEL
DERECHO SANCIONADOR DERIVADOS DE LA INTERPRETACIÓN EFECTUADA
POR LA AEPD

Alega IBERDROLA en este apartado que el Acuerdo de Inicio incurre en importantes
vulneraciones de los principios de derecho administrativo sancionador, ya que implica
la imposición de dos infracciones cuyo contenido es, en realidad idéntico o respecto de
las que, cuanto menos, cabe apreciar la subsunción de una de ellas en la otra:

1.Vulneración del principio non bis in idem

Alega IBERDROLA que en el Acuerdo de Inicio la AEPD considera que las medidas de
seguridad implementadas por ella no han sido, a su juicio, las adecuadas y que ello
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/99

implica una doble vulneración del RGPD, por una parte, entiende que IBERDROLA no
ha adoptado las medidas técnicas y organizativas adecuadas, exigidas por el artículo
32 del RGPD; y, por otra, entiende vulnerado el principio de seguridad, quebrantando,
supuestamente, el artículo 5.1 f) del RGPD, del que el artículo 32 no es sino mera
concreción.

Entiende IBERDROLA que ello supone que se imponen dos sanciones diferenciadas,
respectivamente, por considerar que carece de las adecuadas medidas de seguridad y
porque entiende que se ha producido, por carecer de tales medidas, una brecha de
confidencialidad de los datos personales. Y, además, establece para ambas supuestas
infracciones unas circunstancias modificativas de la responsabilidad de IBERDROLA
en todo punto idénticas, tanto en su determinación como en la fundamentación jurídica
de su imposición.

Señala IBERDROLA que de ello se desprende que la AEPD considera que un mismo
hecho (la supuesta insuficiencia de medidas de seguridad) sería constitutivo de dos
infracciones del mismo bien jurídico protegido (la adecuada garantía de los derechos y
libertades de los interesados). Y ello, por cuanto se sancionaría, por una parte, la
ausencia de las medidas de seguridad que la AEPD considera necesario adoptar y, por
otra, el principio de seguridad y confidencialidad, que exige la adopción de tales
medidas.

Por tanto, sostiene IBERDROLA que, incurriendo en la triple identidad de sujeto, hecho
y bien jurídico protegido, no cabe duda de que se ha vulnerado el principio de non bis
in idem, por lo que cabría sólo imputar y sancionar por una sola infracción, que en este
caso sería únicamente por el artículo 32, ya que sólo cabría apreciar la supuesta
insuficiencia de medidas de seguridad.

Frente a ello, procede explicar la diferencia entre la vulneración del art. 5.1.f y el
artículo 32 del RGPD, la cual se ampliará en el punto siguiente respecto al alegación
relativa a la existencia de concurso medial, así como la diferente tipificación en
apartados incluso distintos del art. 83 del RGPD y la diferente calificación de ambos a
los efectos de la prescripción en la LOPDGDD.

El art. 5.1.f) del RGPD se vulnera cuando se produce una pérdida de confidencialidad,
de integridad o de disponibilidad de los datos personales, lo que puede producirse o
no por ausencia o deficiencia de las medidas de seguridad.

Este principio tan sólo determina el cauce a través del cual puede lograrse el
mantenimiento de la confidencialidad, integridad o disponibilidad cuando explicita
“mediante la aplicación de medidas técnicas y organizativas apropiadas”, que no son
estrictamente de seguridad.

Indica IBERDROLA que las medidas técnicas y organizativas apropiadas a las que
hace mención el art. 5.1.f) RGPD son las medidas de seguridad del art. 32 del RGPD.
Esto sería simplificar la esencia del RGPD cuyo cumplimiento no se limita a la
implantación de medidas técnicas y organizativas de seguridad; significaría, en nuestro
caso, reducir la garantía exigida mediante el principio de integridad y confidencialidad
a su logro únicamente con medidas de seguridad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/99

Cuando el art. 5.1.f) del RGPD se refiere a medidas técnicas u organizativas
apropiadas para garantizar los derechos y libertades de los interesados en el marco de
la gestión del cumplimiento normativo del RGPD lo hace en el sentido previsto en el
art. 25 del RGPD relativo a la privacidad desde el diseño.

Este precepto determina que,

“Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la
naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de
diversa probabilidad y gravedad que entraña el tratamiento para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará, tanto
en el momento de determinar los medios de tratamiento como en el momento
del propio tratamiento, medidas técnicas y organizativas apropiadas, como la
seudonimización, concebidas para aplicar de forma efectiva los principios de
protección de datos, como la minimización de datos, e integrar las garantías
necesarias en el tratamiento, a fin de cumplir los requisitos del presente
Reglamento y proteger los derechos de los interesados” (el subrayado es
nuestro)

Debe señalarse que hay múltiples medidas técnicas u organizativas que no son de
seguridad y que puede implementar el responsable del tratamiento como cauce para
garantizar este principio.

Sin embargo, el art. 32 del RGPD comprende la obligación de implementar medidas
técnicas y organizativas de seguridad apropiadas para garantizar un nivel de
seguridad adecuado al riesgo. De seguridad. Sólo de seguridad.

Además, su objetivo es garantizar un nivel de seguridad adecuado al riesgo
independientemente de que se haya producido una quiebra de seguridad, mientras
que en el caso del artículo 5.1.f) del RGPD se debe garantizar la confidencialidad e
integridad y se materializa, en este caso, con la pérdida de la confidencialidad de los
datos. Como se puede observar los dos artículos persiguen fines distintos, aunque
puedan estar relacionados.

Entrando ya de lleno en el examen del non bis in idem, la Sentencia de la Audiencia
Nacional de 23 de julio de 2021 (rec. 1/2017) dispone que,

“(…) Conforme a la legislación y jurisprudencia expuesta, el principio non bis in ídem
impide sancionar dos veces al mismo sujeto por el mismo hecho con apoyo en el
mismo fundamento, entendido este último, como mismo interés jurídico protegido por
las normas sancionadoras en cuestión. En efecto, cuando exista la triple identidad de
sujeto, hecho y fundamento, la suma de sanciones crea una sanción ajena al juicio de
proporcionalidad realizado por el legislador y materializa la imposición de una sanción
no prevista legalmente que también viola el principio de proporcionalidad.
Pero para que pueda hablarse de "bis in ídem" debe concurrir una triple identidad
entre los términos comparados: objetiva (mismos hechos), subjetiva (contra los
mismos sujetos) y causal (por el mismo fundamento o razón de castigar):

a) La identidad subjetiva supone que el sujeto afectado debe ser el mismo, cualquiera
que sea la naturaleza o autoridad judicial o administrativa que enjuicie y con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/99

independencia de quién sea el acusador u órgano concreto que haya resuelto, o que
se enjuicie en solitario o en concurrencia con otros afectados.

b) La identidad fáctica supone que los hechos enjuiciados sean los mismos, y descarta
los supuestos de concurso real de infracciones en que no se está ante un mismo
hecho antijurídico sino ante varios.

c) La identidad de fundamento o causal, implica que las medidas sancionadoras no
pueden concurrir si responden a una misma naturaleza, es decir, si participan de una
misma fundamentación teleológica, lo que ocurre entre las penales y las
administrativas sancionadoras, pero no entre las punitivas y las meramente
coercitivas.”

Tomando como referencia lo anteriormente explicitado, no se ha vulnerado el principio
non bis in ídem, puesto que, si bien entendido grosso modo los hechos se detectan
consecuencia de una brecha de datos personales, la infracción del art. 5.1.f) del RGPD
se concreta en una clara pérdida de confidencialidad y disponibilidad, la infracción del
art. 32 del RGPD se reduce a la ausencia y deficiencia de las medidas de seguridad
(solo de seguridad) detectadas, presentes independientemente de la brecha de datos
personales.

Y todo ello frente a las alegaciones formuladas por IBERDROLA que considera que en
ambos preceptos se exige una única conducta que es implantar la seguridad
adecuada. No es cierto, puesto que el art. 5.1.f) del RGPD no se constriñe a la
garantía de la seguridad adecuada al riesgo, sino a la garantía de la integridad y
confidencialidad. Y no sólo mediante medidas de seguridad, sino mediante todo tipo de
medidas técnicas u organizativas apropiadas.

Como se ha indicado, mediante el art. 5.1.f) del RGPD se sanciona una pérdida de
integridad y confidencialidad, y mediante el art. 32 del RGPD la ausencia y/o
deficiencia de las medidas de seguridad implantadas por el responsable del
tratamiento. Medidas de seguridad ausentes o deficientes, añadimos, que infringen el
RGPD independientemente de que no se hubiera producido la pérdida de
confidencialidad y de integridad.

Por último, respecto de la aplicación de idénticos agravantes en ambas infracciones,
hemos de significar que las circunstancias previstas en el art. 83.2 del RGPD y las
dispuestas en el art. 76.2 de la LOPDGDD son las únicas que se pueden aplicar por la
AEPD para cualquier infracción.

Lo determinante en este caso, respecto de la prevista en el art. 83.2.b) del RGPD no
es que coincidan en su uso, sino la fundamentación que se establezca para su
consideración.

Dicho todo lo cual, no se considera que existe vulneración del principio de non bis in
ídem, consagrado en el artículo 25 de la Constitución Española.

2.Subsidiariamente, existencia de concurso medial entre las dos conductas imputadas
a IBERDROLA

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/99

Alega IBERDROLA que, por otra parte, el Acuerdo de Inicio identifica (y pretende
sancionar) una pluralidad de infracciones que, supuestamente, habría cometido (lo que
se niega de plano) cuando, en realidad, una de ellas se encontraría subsumida y
embebida en la otra, dando lugar a un concurso medial en los términos previstos en el
artículo 29.5 de la LRJSP.

Entiende IBERDROLA que no puede sancionarse ambas infracciones, dado que la
comisión de la supuesta infracción del artículo 32.1 del RGPD determinaría la
supuesta vulneración del artículo 5.1.f) del mismo texto legal y se estaría sancionando
por unos mismos hechos, pues considera que la supuesta infracción del artículo 5.1 f)
traería necesaria e inseparablemente causa de la supuesta falta de implementación
diligente de las medidas a las que se refiere el artículo 32.1 del RGPD.

Trae IBERDROLA a colación determinada jurisprudencia (por todas, la Sentencia
339/2015 de 25 de septiembre de 2015 de la Audiencia Nacional -recurso 262/2014-
que cita la Sentencia del Tribunal Supremo de 8 de febrero de 1999, -recurso 9/1996-):
“la aplicación del concurso medial exige una necesaria derivación de unas infracciones
respecto de las demás y viceversa, por lo que es indispensable que las unas no
puedan cometerse sin ejecutar las otras”. Así, debe existir “una relación tal entre las
infracciones concernidas que una de ellas derive necesariamente de la otra, de modo
que no sea posible la comisión de una sin ejecutar la otra” (por todas, la Sentencia de
la Audiencia Nacional de 26 de diciembre de 2013, -recurso 416/2012). Por ello
concluye I-DE que es evidente que se produce tal relación entre las dos infracciones
que pretenden imputarse contra ella.

A este respecto, se significa, tal y como se ha señalado anteriormente, que el art. 32
del RGPD, aunque relacionado con el art. 5.1.f) del RGDP no circunscribe el principio
en su totalidad.

Así, El artículo 5.1.f) del RGPD es uno de los principios relativos al tratamiento. Los
principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de
cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas
reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al
tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles
de ser infringidas.

Pues bien, el art. 5.1.f) del RGPD recoge el principio de integridad y confidencialidad y
determina que los datos personales serán tratados de tal manera que se garantice una
seguridad adecuada de los datos personales, incluida la protección contra el
tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental,
mediante la aplicación de medidas técnicas u organizativas apropiadas y de todo tipo,
no sólo de seguridad.

Por otra parte, el art. 32 del RGPD reglamenta cómo ha de articularse la seguridad del
tratamiento en relación con las medidas de seguridad concretas que hay que
implementar, de tal forma que teniendo en cuenta el estado de la técnica, los costes de
aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como
riesgos de probabilidad y gravedad variables para los derechos y libertades de las
personas físicas, el responsable y el encargado del tratamiento aplicarán medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/99

riesgo que incluya entre otras cuestiones, la capacidad de garantizar la
confidencialidad de los datos.

Como se ha señalado, este precepto, el art. 32 del RGPD, aunque relacionado con el
art. 5.1.f) del RGDP no circunscribe el principio en su totalidad. El art. 5.1.f) del RGPD
exige taxativamente que se garantice la confidencialidad, y requiere para su aplicación
una pérdida de confidencialidad. Podemos encontrarnos con supuestos en que existan
medidas inadecuadas sin que por ello se haya producido una pérdida de integridad y
confidencialidad.

Muestra de ello, no sólo es esta diferencia entre la vulneración del art. 5.1.f y el
artículo 32 del RGPD, sino la diferente tipificación en apartados incluso distintos del
art. 83 del RGPD y la diferente calificación de ambos a los efectos de la prescripción
en la LOPDGDD.

En el supuesto examinado, tal y como consta en los hechos probados, hay una clara
pérdida de confidencialidad puesto de manifiesto a través de un claro resultado: se
produjo un acceso ilegítimo por un tercero no autorizado a datos personales.

Asimismo, tal y como se ha indicado, el art. 5.1.f) del RGPD se vulnera cuando se
produce una pérdida de confidencialidad o de integridad de los datos personales, lo
que puede producirse o no por ausencia o deficiencia de las medidas estrictamente de
seguridad.

Indica IBERDROLA que las medidas técnicas y organizativas apropiadas a las que
hace mención el artículo 5.1.f) son las medidas de seguridad del art. 32 del RGPD.
Esto sería simplificar la esencia del RGPD cuyo cumplimiento no se limita a la
implantación de medidas técnicas y organizativas de seguridad; significaría, en nuestro
caso, reducir la garantía exigida mediante el principio de integridad y confidencialidad
a su logro únicamente con medidas de seguridad.

Como se ha señalado anteriormente, cuando el art. 5.1.f) del RGPD se refiere a
medidas técnicas u organizativas apropiadas para garantizar los derechos y libertades
de los interesados en el marco de la gestión del cumplimiento normativo del RGPD lo
hace en el sentido previsto en el art. 25 del RGPD relativo a la privacidad desde el
diseño.

Reiteramos que hay múltiples medidas técnicas u organizativas que no son de
seguridad y que puede implementar el responsable del tratamiento como cauce para
garantizar este principio.

Y todo ello frente a las alegaciones formuladas de contrario por IBERDROLA que
considera que en ambos preceptos se exige una única conducta que es implantar la
seguridad adecuada. No es cierto, puesto que el art. 5.1.f) del RGPD no se constriñe a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/99

la garantía de la seguridad adecuada al riesgo, sino a la garantía de la integridad y
disponibilidad. Y no sólo mediante medidas de seguridad, sino mediante todo tipo de
medidas técnicas u organizativas apropiadas.

Como hemos indicado, mediante el art. 5.1.f) del RGPD se sanciona una pérdida de
integridad y confidencialidad y mediante el art. 32 del RGPD la ausencia y deficiencia
de las medidas de seguridad implantadas por el responsable del tratamiento. Medidas
de seguridad ausentes o deficientes, añadimos, que infringen el RGPD
independientemente de que se hubiera producido o no una pérdida de confidencialidad
y de integridad.

En el presente caso se ha infringido el citado artículo 32 con independencia de si se ha
sufrido finalmente una brecha de confidencialidad o no, porque la conducta
reprochable y que vulnera dicho precepto es la falta o inadecuación de esas medidas,
en sí mismas, es decir, se infringe y se sanciona por ello con independencia de si se
ha producido una brecha de datos personales o no. Lo cual no es óbice para que, en
caso de materialización de una brecha de datos personales, se considere esta
circunstancia como un agravante, de conformidad con el RGPD.

Por contra, en el presente supuesto, para que estemos ante una infracción del artículo
5.1.f) ha sido y es requisito ineludible que se vulnere la confidencialidad de los datos
personales (lo que no sucede con la infracción del artículo 32)

En cuanto al concurso medial, procede señalar que el artículo 29 de la LRJSP no
resulta de aplicación al régimen sancionador impuesto por el RGPD. Y ello por cuanto:

1. El RGPD es un sistema completo.

El RGPD es una norma comunitaria directamente aplicable en los Estados miembros,
que contiene un sistema nuevo, completo y global destinado a garantizar la protección
de datos de carácter personal de manera uniforme en toda la Unión Europea.

En relación, específicamente y también, con el régimen sancionador dispuesto en el
mismo, resultan de aplicación sus disposiciones de manera inmediata, directa e
íntegra previendo un sistema completo y sin lagunas que ha de entenderse,
interpretarse e integrarse de forma absoluta, completa, íntegra, dejando así indemne
su finalidad última que es la garantía efectiva y real del Derecho Fundamental a la
Protección de Datos de Carácter Personal. Lo contrario determina la merma de las
garantías de los derechos y libertades de los ciudadanos.

De hecho, una muestra específica de la inexistencia de lagunas en el sistema del
RGPD es el artículo 83 del RGPD que determina las circunstancias que pueden operar
como agravantes o atenuantes respecto de una infracción (art. 83.2 del RGDP) o que
especifica la regla existente relativa a un posible concurso medial (art. 83.3 del
RGPD).

A lo anterior hemos de sumar que el RGPD no permite el desarrollo o la concreción de
sus previsiones por los legisladores de los Estados miembros, a salvo de aquello que
el propio legislador europeo ha previsto específicamente, delimitándolo de forma muy
concreta (por ejemplo, la previsión del art. 83.7 del RGPD). La LOPDGDD sólo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/99

desarrolla o concreta algunos aspectos del RGPD en lo que este le permite y con el
alcance que éste le permite.

Ello es así porque la finalidad pretendida por el legislador europeo es implantar un
sistema uniforme en toda la Unión Europea que garantice los derechos y libertades de
las personas físicas, que corrija comportamientos contrarios al RGPD, que fomente el
cumplimiento, que posibilite la libre circulación de estos datos.

En este sentido, el considerando 2 del RGPD determina que,

“(2) Los principios y normas relativos a la protección de las personas físicas en lo que
respecta al tratamiento de sus datos de carácter personal deben, cualquiera que sea
su nacionalidad o residencia, respetar sus libertades y derechos fundamentales, en
particular el derecho a la protección de los datos de carácter personal. El presente
Reglamento pretende contribuir a la plena realización de un espacio de libertad,
seguridad y justicia y de una unión económica, al progreso económico y social, al
refuerzo y la convergencia de las economías dentro del mercado interior, así como al
bienestar de las personas físicas”. (el subrayado es nuestro)

Sigue indicando el considerando 13 del RGPED que,

“(13) Para garantizar un nivel coherente de protección de las personas físicas en toda
la Unión y evitar divergencias que dificulten la libre circulación de datos personales
dentro del mercado interior, es necesario un reglamento que proporcione seguridad
jurídica y transparencia a los operadores económicos, incluidas las microempresas y
las pequeñas y medianas empresas, y ofrezca a las personas físicas de todos los
Estados miembros el mismo nivel de derechos y obligaciones exigibles y de
responsabilidades para los responsables y encargados del tratamiento, con el fin de
garantizar una supervisión coherente del tratamiento de datos personales y sanciones
equivalentes en todos los Estados miembros, así como la cooperación efectiva entre
las autoridades de control de los diferentes Estados miembros. El buen
funcionamiento del mercado interior exige que la libre circulación de los datos
personales en la Unión no sea restringida ni prohibida por motivos relacionados con la
protección de las personas físicas en lo que respecta al tratamiento de datos
personales”. (el subrayado es nuestro)

En este sistema, lo determinante del RGPD no son las multas. Los poderes correctivos
de las autoridades de control previstos en el art. 58.2 del RGPD conjugado con las
disposiciones del art. 83 del RGPD muestran la prevalencia de medidas correctivas
frente a las multas.

Así, el art. 83.2 del RGPD dice que “Las multas administrativas se impondrán, en
función de las circunstancias de cada caso individual, a título adicional o sustitutivo de
las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j).”.

De esta forma las medidas correctivas, que son todas las previstas en el art. 58.2 de
RGPD salvo la multa, tienen prevalencia en este sistema, quedando relegada la multa
económica a supuestos en los que las circunstancias del caso concreto determinen
que se imponga una multa junto con las medidas correctiva o en sustitución de las
mismas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/99

Y todo ello con la finalidad de forzar el cumplimiento del RGPD, evitar el
incumplimiento, fomentar el cumplimiento y que la infracción no resulte más rentable
que el incumplimiento.

Por ello, el art. 83.1 del RGPD previene que “Cada autoridad de control garantizará
que la imposición de las multas administrativas con arreglo al presente artículo por las
infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en
cada caso individual efectivas, proporcionadas y disuasorias”. (el subrayado es
nuestro)

Para que dicho sistema funcione con todas sus garantías en necesario que varios
elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas
al RGPD respecto de la determinación de las multas en cada uno de los Estados
miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o
atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español-, ya sea
por la aplicación de un concurso medial distinto del dispuesto en el RGPD, restaría
efectividad al sistema que perdería su sentido, su finalidad teleológica, resultando que
las multas impuestas por distintas infracciones dejarían de ser efectivas,
proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados
de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme
del RGPD. Se disminuirían los mecanismos de protección de los derechos y las
libertades de los ciudadanos y sería contrario con el espíritu del RGPD.

El RGPD está dotado de su propio principio de proporcionalidad que ha de ser
aplicado en sus estrictos términos.

2. No hay laguna legal, no hay aplicación supletoria del art. 29 del RGPD.

Amén de lo expuesto, significar que no hay laguna legal respecto de la aplicación del
concurso medial. Ni el RGPD permite ni la LOPDGDD dispone la aplicación supletoria
de las previsiones del art. 29 de la LRJSP.

Tampoco existe aplicación subsidiaria del art. 29 del RGPD. En el Título VIII de la
LOPDGDD relativo a “Procedimientos en caso de posible vulneración de la normativa
de protección de datos”, el artículo 63 que abre el Título se dispone que "Los
procedimientos tramitados por la Agencia Española de Protección de Datos se regirán
por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las
disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las
contradigan, con carácter subsidiario, por las normas generales sobre los
procedimientos administrativos." Si bien existe una remisión clara a la LPACAP, no se
establece en absoluto una aplicación subsidiaria respecto de la LRJSP que no
contiene en su articulado disposición alguna relativa a procedimiento administrativo
alguno.

De igual forma que la AEPD no está aplicando los agravantes y atenuantes dispuestos
en el art. 29 de la LRJSP, puesto que el RGPD establece los suyos propios, por ende,
no hay laguna legal ni aplicación subsidiaria del mismo, tampoco cabe la aplicación de
apartado relativo al concurso medial y por idénticas razones.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/99

En todo caso, los precedentes judiciales citados por la demandante sobre el concurso
medial devienen de la aplicación de la LOPD del año 99 que trasponía la Directiva
95/46/CE, estableciendo el RGPD un sistema claramente distinto. En aquel momento,
el artículo 115 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba
el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de
protección de datos de carácter personal, sí preveía una aplicación supletoria de la
Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones
Públicas y del Procedimiento Administrativo Común.

En tercer lugar y ya deteniéndonos en el supuesto concreto examinado, y sin perjuicio
de lo antedicho, se debe destacar que no hay concurso medial. El artículo 29.5 de la
LRJSP establece que “Cuando de la comisión de una infracción derive
necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción
correspondiente a la infracción más grave cometida”.

Pues bien, el concurso medial tiene lugar cuando en un caso concreto la comisión de
una infracción es un medio necesario para cometer otra distinta.

Los hechos constados determinan la comisión de dos infracciones distintas, sin que la
conculcación del artículo 32 del RGPD (seguridad del tratamiento), tal y como asevera
la parte recurrente, sea el medio necesario por el que se produce la infracción del
artículo 5.1.F) del RGPD (principio de confidencialidad).

En conclusión, de todo ello y en contra de todo lo argumentado, ha quedado probado
que I-DE no fue diligente por cuanto no garantizó adecuadamente la confidencialidad
de los datos personales de sus clientes, así como que no contaba con las medidas
técnicas y organizativas adecuadas para garantizar un nivel apropiado de seguridad.

Por lo expuesto, se desestima la alegación.

CUARTA.- SOBRE LA PRETENDIDA VULNERACIÓN POR IBERDROLA DEL
ARTÍCULO 32 DEL RGPD

Alega IBERDROLA no estar conforme con que en el Acuerdo de Inicio se indique que
no contaba con las medidas de seguridad apropiadas para garantizar una total
separación entre los datos personales de las distintas empresas respecto de las
cuales actúa como encargada del tratamiento, pues sostiene que, tal y como ha venido
poniendo de manifiesto en las respuestas dadas a la AEPD en los diferentes
requerimientos de información, ha quedado acreditado que había implementado
sistemas de seguridad robustos que (…).

Procede IBERDROLA a continuación a detallar de nuevo cómo funciona el acceso a la
información contenida en la base de datos por parte de las diferentes aplicaciones.

Así, según lo indicado, la base de datos donde se almacenan los datos personales de
clientes de las diferentes empresas del Grupo Iberdrola está (…).

Sin embargo, (…)
(…):

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/99

-(…).

Por tanto, si bien se indica que el código cliente no es accesible para los usuarios, no
es menos cierto que, si se genera una transacción con la tabla CLIENTE usando el
“código cliente”, ello hace que no lleve el filtro previo de “Código Sociedad”, y entonces
sí que se puede acceder a datos personales de otras empresas una vez que el código
cliente que se indique en la URL se corresponda con el cliente de otra sociedad con la
que únicamente tenga esta separación lógica. Por tanto, se estaba permitiendo que,
modificando el código cliente en la URL de este aplicativo web, se accediera a datos
personales de clientes de otras empresas con las que no se tiene ninguna relación y
frente a las que es obligatorio salvaguardar la confidencialidad de los mismos frente a
terceros no autorizados.

Es decir, con o sin ciberataque, lo que se refleja es que, modificando ese código en la
url, se sorteaba la separación lógica implantada. Por tanto, la misma no era adecuada
o era insuficiente, lo cual supone una vulneración del art. 32, pues refleja una falta o
insuficiencia de medidas apropiadas para garantizar una seguridad adecuada, según
el riesgo, en el tratamiento de los datos personales.

IBERDROLA parece sostener que la responsabilidad de ello la tiene el
ciberdelincuente por aprovechar una vulnerabilidad en un aplicativo web. Sin embargo,
si la separación lógica hubiera sido adecuada (o si hubiera existido separación física),
el ataque se hubiera constreñido exclusivamente a los clientes de I-DE. La
vulnerabilidad aprovechada por el atacante fue que se visualizaba el código cliente en
la URL y que, además, se permitía modificar dicha URL haciendo llamadas a la tabla
CLIENTE y así acceder a los datos personales almacenados en esa tabla.

Que luego ello permitiera, además, acceder a datos personales de clientes de otras
empresas es consecuencia de una deficiente separación lógica en la base de datos.
Dicha deficiencia está precisamente en permitir que el código interno de GEA, el
“COD_CLIENTE” generase transacciones con la tabla CLIENTE y no llevaran el filtro
previo de “Código Sociedad”. Esto se permitió porque así estaba configurado (y, por
las declaraciones de IBERDROLA, así también está establecido en las aplicaciones
del resto de empresas que comparten la tabla CLIENTE y la misma separación lógica)

Por tanto, el ciberdelincuente no explotó esa vulnerabilidad en la separación lógica en
la tabla afectada, sino que se topó con ella.

En este sentido, no es de recibo que, bajo ningún concepto, se pueda acceder desde
un aplicativo de una empresa a los datos personales de clientes de otras empresas.
Ello es responsabilidad de IBERDROLA por cuanto, como encargada de tratamiento,
gestiona la base de datos del Grupo.

Por otro lado, alega IBERDROLA que la AEPD ha vinculado el supuesto
incumplimiento del artículo 32 con la producción del resultado que se produjo como
consecuencia de la concurrencia de una serie de factores que resultaban imprevisibles
y que fueron detectados y solventados de forma inmediata. Concluye por ello que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/99

AEPD está imponiendo, en lo que respecta a la adopción de medidas de seguridad,
una obligación de resultado, pero que sin embargo es una obligación de medios.

A este respecto, trae a colación o manifestado por el Tribunal Supremo en su
sentencia de 15 de febrero de 2022 (recurso de casación 7359/2020), que señala de
forma clara que la obligación impuesta por la normativa de protección de datos
personales, de adoptar medidas técnicas y organizativas encaminadas a garantizar la
confidencialidad, disponibilidad e integridad de la información, es una obligación de
medios y no de resultado.

A este respecto, procede señalar que la citada Sentencia efectivamente indica, sobre
las medidas de seguridad en materia de protección de datos, que “… la obligación que
recae sobre el responsable y sobre el encargado del tratamiento respecto a la
adopción de medidas necesarias para garantizar la seguridad de los datos de carácter
personal no es una obligación de resultado sino de medios, sin que sea exigible la
infalibilidad de las medidas adoptadas. Tan solo resulta exigible la adopción e
implantación de medidas técnicas y organizativas, que conforme al estado de la
tecnología y en relación con la naturaleza del tratamiento realizado y los datos
personales en cuestión, permitan razonablemente evitar su alteración, pérdida,
tratamiento o acceso no autorizado.” (el subrayado es nuestro)

Si embargo, continúa la Sentencia indicando, en el caso concreto que se analiza en la
misma, que “…el programa utilizado para la recogida de los datos de los clientes no
contenía ninguna medida de seguridad que permitiese comprobar si la dirección de
correo electrónico introducida era real o ficticia y si realmente pertenecía a la persona
cuyos datos estaban siendo tratados y prestaba el consentimiento para ello. El estado
de la técnica en el momento en el que se produjeron estos hechos permitía establecer
medidas destinadas a comprobar la veracidad de la dirección de email, condicionando
la continuación del proceso a que el usuario recibiese el contrato en la dirección
proporcionada y solo desde ella prestase el consentimiento necesario para su
recogida y tratamiento. Medidas que no se adoptaron en este caso.

(…) De modo que, en el momento en que se produjeron estos hechos, existían
medidas técnicas referidas al proceso de registro, que hubiesen evitado la filtración de
datos personales producida. Ello implica que las medidas técnicas adoptadas
incumplían las condiciones de seguridad en los términos exigidos en el art. 9.1 de la
LO 15/1999, incurriéndose por tanto en la infracción prevista en el art. 44.3.h)
consistente en "Mantener los ficheros, locales, programas o equipos que contengan
datos de carácter personal sin las debidas condiciones de seguridad que por vía
reglamentaria se determinen [...]".

(…) Se afirma que las medidas técnicas de seguridad referidas al programa
informático incumbían a Telefónica Consumer Finance que diseño el programa y era la
responsable del fichero y del tratamiento, y que la empresa sancionada tan solo
actuaba por cuenta de ésta recabando los datos de los clientes que optaban por la
financiación. Lo cierto es que el encargado del tratamiento -la persona física o jurídica
que, sólo o conjuntamente con otros, trate datos personales por cuenta del
responsable del tratamiento, art. 4 apartado 8 del Reglamento, como el art. 3.g) de la
LOPD 15/1999, y la recogida de datos implica un tratamiento ( art. 3.c),-también
deberá adoptar las medidas de índole técnica y organizativas necesarias para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/99

garantizar la seguridad de los datos de carácter personal, así lo dispone el art. 32.1
del Reglamento (UE) 2016/679 del Parlamento y del Consejo y el art. 9.1 de la LOPD
y está sujeto al régimen sancionador establecido en la Ley ( art. 43 dela LOPD
15/1999).

La empresa recurrente trataba los datos de los clientes por cuenta del responsable del
fichero por lo que implantó y utilizó dicho programa siendo conocedora, o hubiera
debido serlo, de que éste carecía de las medidas de seguridad necesarias…” (el
subrayado es nuestro)

Por tanto, si bien se infiere de la Sentencia que las obligaciones que establece el
artículo 32 del RGPD son de medios, también deja claro que, si en el momento de
producirse el incidente existían medidas técnicas adecuadas para evitar o mitigar los
efectos del mismo y no fueron aplicadas, ello supone un incumplimiento de la citada
obligación impuesta por el RGPD y, por ende, una infracción al mismo.

En el presente caso, como se ha señalado, existía una vulnerabilidad o una mala
configuración de los accesos a la base de datos gestionada por IBERDROLA como
encargada del tratamiento, la cual era además evitable por cuanto se podría haber
configurado de otra manera o, tal y como ha señalado que tiene previsto realizar,
proceder a separar los sistemas que hacen uso de la infraestructura común de los data
center, es decir, proceder a almacenar los datos personales de las empresas
afectadas en tablas exclusivas y separadas.

Ello pone de manifiesto claramente un incumplimiento del artículo 32 del RGPD, por
cuanto exige medidas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo, y todo ello teniendo en cuenta el estado de la técnica, los costes de aplicación
y la naturaleza, el alcance, el contexto y los fines del tratamiento.

Alega asimismo IBERDROLA que la brecha de seguridad no trae su causa de lo
insuficiente de las medidas adoptadas, sino de la intensa actividad desarrollada por un
tercero con la única intención de llevar a cabo el ciberataque producido en perjuicio no
sólo de los clientes de las empresas del Grupo, sino de las propias sociedades que lo
sufrieron.

Frente a ello, debe señalarse que no se ha exigido una infalibilidad total de las
medidas que se pueden adoptar para garantizar una protección adecuada en el
tratamiento de los datos personales. Sin embargo, una vez producido el ataque, debe
evaluarse la diligencia de responsables y encargados en la aplicación de las medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo, teniéndose en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, el alcance, el contexto y los fines del tratamiento.

En el presente caso, IBERDROLA no contaba, en el momento de producirse la brecha
de protección de datos, con las medidas adecuadas en relación con los riesgos del
tratamiento para la protección de los datos personales, pues tal y como se ha indicado,
existía una vulnerabilidad en la configuración de los accesos a la base de datos
gestionada por IBERDROLA como encargada del tratamiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/99

Por último, de conformidad con la Sentencia de 22 de junio de 2021- Rec. 1210/2018,
y la Sentencia de 5 de noviembre de 2011 -Rec. 1796/2019, en la que se valora el
elemento subjetivo o culpabilístico, se insiste en que la culpabilidad de la parte actora
no puede considerarse excluida ni atenuada por el hecho de que haya mediado la
actuación fraudulenta de un tercero, pues la responsabilidad de la parte actora no
deriva de la actuación de éste, sino de la suya propia.

Por último, señala IBERDROLA que tenía implantados mecanismos que permitieron la
detección casi inmediata de la brecha de datos personales sufrida, adoptando de
forma inmediata, por lo que entiende que su rápida actuación es un claro ejemplo de
que por la misma se daba, y se da, completo cumplimiento a lo dispuesto por el
artículo 32.1 c) del RGPD, cuando se refiere a “la capacidad de restaurar la
disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente
físico o técnico”, algo que, sin embargo, no ha sido objeto de suficiente valoración por
parte del Acuerdo de Inicio.

A este respecto, tanto en el Acuerdo de Inicio, como en la presente propuesta se ha
tenido en cuenta que IBERDROLA, a través de la Dirección de Sistemas, reaccionó lo
más rápido posible y procedió a tomar medidas dirigidas a repeler el ataque y para
evitar su repetición, considerándolo como circunstancia atenuante de conformidad con
el artículo 83.2.c) RGPD.

Por último, indica IBERDROLA que el artículo 82.2 del RGPD establece en su inciso
segundo que “[u]n encargado únicamente responderá de los daños y perjuicios
causados por el tratamiento cuando no haya cumplido con las obligaciones del
presente
Reglamento dirigidas específicamente a los encargados o haya actuado al margen o
en contra de las instrucciones legales del responsable”.

Si bien señala IBERDROLA que esta norma se encuentra recogida dentro de las
previsiones contenidas en el RGPD relacionadas con el derecho a la indemnización y
responsabilidad, considera que si no puede considerarse que un encargado del
tratamiento, como es su caso, deba responder de los perjuicios que eventualmente
hubieran podido sufrir los interesados como consecuencia del tratamiento en caso de
que haya cumplido con las obligaciones que, como encargado le impone el RGPD,
tampoco sería posible exigir al mismo responsabilidad alguna en el ámbito
sancionador.

Por ello, recuerda IBERDROLA que ha cumplido íntegramente con las obligaciones
que el RGPD le impone como encargada del tratamiento de i-DE, IBERCLI y
CURENERGIA, siguiendo en todo caso sus instrucciones y adoptando, en particular,
las medidas de seguridad exigibles para prevenir la pérdida de disponibilidad,
integridad o disponibilidad de los datos de los que son responsables cada una de
dichas empresas, lo que determinaría el necesario archivo del presente procedimiento.

Frente a ello, procede remitirse a todo lo indicado anteriormente en el presente
Fundamento de Derecho, por cuanto refleja que IBERDROLA, como encargada de
tratamiento que administra y gestiona la base de datos afectada por el ciberataque, no
cumplió con sus obligaciones en relación con la adopción de medidas técnicas y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/99

organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluyese, entre otros, la capacidad de garantizar la confidencialidad,
integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de
tratamiento tal y como exige el artículo 32 del RGPD.

Por lo expuesto, se desestima la alegación formulada.

QUINTA. – SOBRE LA PRETENDIDA VULNERACIÓN DEL PRINCIPIO DE
SEGURIDAD

En este apartado IBERDROLA alega que no se ha acreditado, ni siquiera
indiciariamente, el uso fraudulento de los datos personales, limitándose el Acuerdo de
Inicio a considerar que existe un riesgo muy alto ni que se haya materializado en la
práctica.

A este respecto, procede aclarar que lo que se le imputa a IBERDROLA es la
vulneración del principio de confidencialidad pues consta que, tras sufrir un ataque
informático contra la web GEA de la empresa I-DE, además de producirse un acceso
ilícito a datos personales tratados por ésta, se produjo también un acceso ilegítimo a
datos personales -y la extracción de los mismos- por un tercero no autorizado, lo que
supuso la pérdida de confidencialidad y de control de numerosos datos personales (…)
y que afectó a 4.515.000 clientes de IBERCLI y a 92.550 clientes de CURENERGIA.
Ello supone el incumplimiento del deber de garantizar la confidencialidad de los datos
personales, pues como se ha indicado, el artículo 5.1.f) señala que deben ser tratados
de tal manera que se garantice una seguridad adecuada de los datos personales,
incluida la protección contra el tratamiento no autorizado o ilícito.

En cuanto a que se señaló el alto riesgo de que esos datos, en manos de
ciberdelincuente/s, se usaran de forma fraudulenta, ello se indicó para expresar lo que
supone la pérdida de confidencialidad, pero no es necesario en modo alguno, para
entender infringido el artículo 5.1.f) que dichos riesgos de uso fraudulento se
materialicen, porque lo que se ha materializado con la brecha es la pérdida de
confidencialidad de los datos personales, que es lo que se imputa exclusivamente.

Por otro lado, vuelve a insistir IBERDROLA en este apartado lo relativo a que entiende
que la AEPD dio por archivada la brecha notificada por ella y que las reclamaciones no
aportan nada nuevo y que, por ello, nada parece justificar la reapertura de la
investigación cuando la misma había sido archivada.

A este respecto, procede remitirse a todo lo ya argumentado en relación con ello en el
apartado Segundo del presente Fundamento de Derecho.

Por tanto, se desestima la alegación formulada

SEXTA. – SOBRE LA VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD
EN DETRIMENTO DE LOS DERECHOS DE IBERDROLA

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/99

Alega IBERDROLA que las sanciones impuestas vulneran el principio de
proporcionalidad, pues la AEPD, para determinar la cuantía de las sanciones ha
acudido a criterios completamente genéricos.

Así, en lo relativo a la supuesta negligencia en su actuación, indica IBERDROLA que
ha acreditado que los hechos acontecidos sucedieron en un momento concreto y que
fueron solventados con total rapidez, por lo que las medidas adoptadas ante el
incidente paliaron sus efectos. Esta solución inmediata de la incidencia, lo cual
demuestra que sí que tenían previstas las actuaciones ante un posible ataque a sus
sistemas.

Frente a ello, procede reseñar que las medidas técnicas y organizativas apropiadas
para garantizar un nivel de seguridad adecuado al riesgo que para los derechos y
libertades de las personas físicas pueden tener los tratamientos de datos personales
no pueden ser en modo alguno sólo medidas reactivas, es decir, para solucionar de
forma inmediata una brecha de datos personales. Así, el artículo 32 del RGPD no sólo
indica que deben garantizar una seguridad adecuada, sino también que dichas
medidas deben incluir la capacidad de garantizar la confidencialidad, integridad,
disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento
(letra b del artículo 32.1 RGPD). Por tanto, no basta con tener medidas para
reaccionar lo antes posible cuando se ha vulnerado la confidencialidad, hay que tener
también medidas previas adecuadas para impedir dicha vulneración. Y ello porque
tanto o más importantes son las medidas dirigidas a salvaguardar la confidencialidad,
la integridad y disponibilidad de los datos personales, es decir, las medidas
preventivas dirigidas a evitar cualquier vulneración de ello.

Por tanto, no puede aceptarse que las medidas que tenía implantadas IBERDROLA
eran adecuadas por cuanto permitieron solucionar el incidente con posterioridad, pues
ello sólo demuestra la existencia de medidas correctivas. No obstante, lo que
permitieron esas medidas reactivas fue el cese del ataque una vez producido y la
restauración del servicio, es decir, en cuanto a la protección de los datos personales
evitó un impacto mayor y ello ya ha sido tenido en cuenta como atenuante en el
presente procedimiento sancionador, pero en modo alguno pueden solucionar la
pérdida de la confidencialidad de los datos personales afectados, por cuanto esta ya
se había materializado.

Es decir, la confidencialidad de los datos personales se garantiza sobre todo con
medidas preventivas. En este sentido, ya se ha indicado en la respuesta a la alegación
Cuarta del presente Fundamento de Derecho la ausencia de medidas técnicas y
organizativas adecuadas de cara a garantizar la debida separación de los datos
personales de los clientes de, al menos, tres empresas diferentes.

Por tanto, todo ello no hace sino reflejar una falta de diligencia por parte de
IBERDROLA a la hora de garantizar una seguridad adecuada al riesgo de los
tratamientos de datos que lleva a cabo. En este sentido, no debe olvidarse que en la
base de datos afectada se encuentran almacenados datos personales de millones de
clientes, lo cual supone un tratamiento a gran escala, a las que, a su vez, se acceden
desde aplicaciones web, es decir, desde internet, lo que exige medidas de seguridad
adecuadas para ello y dirigidas especialmente a garantizar que no se produzca un
acceso ilegítimo a dichos datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/99

Por otro lado, señala IBERDROLA no estar de acuerdo con que se considere como
agravante la vinculación de su actividad con la realización de tratamientos de datos
personales, pues entiende que se está agravando su conducta por pertenecer al
sector eléctrico y que por ello se le debe exigir una especial diligencia, y que ello
atenta de nuevo contra el principio de proporcionalidad.

Frente a ello, se significa que no se agrava su conducta por pertenecer al sector
eléctrico, sino porque su actividad, el desarrollo de su negocio, supone y requiere de
un continuo y abundante tratamiento de datos personales, tal y como lo demuestra el
hecho de que trata datos de millones de personas.

Por tanto, como se indicó en el Acuerdo de Inicio, IBERDROLA es una empresa
habituada al tratamiento de datos personales, lo cual conlleva, de nuevo, la exigencia
de un mayor grado de diligencia.

Por otro lado, se señala que el artículo 83.2 del RGPD dispone que “Al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se tendrá
debidamente en cuenta:
(…)

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso…”.

(…)

b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.”

Esta Agencia simplemente toma en consideración esa circunstancia, prevista por el
legislador, a la hora de decidir la imposición de la multa administrativa.

Cabe destacar que no puede tener, a los efectos de decidir la imposición de una multa
administrativa, la misma consideración una infracción producida por una persona física
o una empresa pequeña no habituada al tratamiento de datos personales, que una
gran empresa como IBERDROLA, acostumbrada al tratamiento de datos personales
de millones de clientes, con una larga trayectoria a sus espaldas al respecto. Por
supuesto que se considera que la infracción es más grave a los efectos de imponer
una multa si el responsable del tratamiento se encuentra entre los segundos, como es
el caso de IBERDROLA

Por otro lado, aduce la falta de proporcionalidad comparándolo con el expediente
PS/00179/2020, en el que indica que sólo se le sancionó con 500.000 euros a pesar
de que no sólo se vulneró la confidencialidad, sino que no se notificó la brecha a la
AEPD, cosa que sí ha hecho IBERDROLA, pero que, sin embargo, la sanción es
considerablemente menor.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/99

A este respecto, procede señalar, por un lado, que en materia de protección de datos
las medidas técnicas y organizativas de seguridad a adoptar por los responsables del
tratamiento y demás obligaciones a cumplir exigidas por el RGPD, deben ser las
adecuadas en relación con los concretos riesgos que suponen los específicos
tratamientos que realice cada responsable. Por tanto, al analizar la diligencia de unos
y otros en el cumplimiento de la normativa ha de estarse a las circunstancias de cada
caso, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines de cada
tratamiento, no existiendo, por tanto, casos idénticos.

Por otro lado, el artículo 83 establece que

1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual…” (El subrayado es nuestro)

Por tanto, hay que atender a las circunstancias de cada caso individual, no existiendo
dos expedientes iguales y, por tanto, con resultados iguales. A modo de ejemplo, en el
expediente que trae a colación los afectados fueron menos de la mitad que en el caso
que nos ocupa ahora; la infracción del art. 32 del RGPD, lo fue por otro tipo de
insuficiencia en las medidas para garantizar una seguridad adecuada al tratamiento;
se trató de hechos acaecidos en 2018, año en que empezó a ser de obligado
cumplimiento el RGPD, lo que no es lo mismo que cuatro años más tarde; no es igual
el conocimiento de la técnica unos años antes y después, sobre todo por el rápido
avance de la misma, etc.

Asimismo, se señala que existen otros muchos expedientes posteriores y anteriores al
presente en los que se ha sancionado con elevadas multas tanto la vulneración de la
confidencialidad de los datos como la infracción de las medidas de seguridad del
artículo 32 del RGPD, aunque, como se ha señalado, debe atenderse siempre a las
circunstancias concretas del caso.

Por último, y a mayor abundamiento, no procede exigir igualdad en la ilegalidad. La
jurisprudencia es clara respecto a esto. Así, la Sentencia de la Audiencia Nacional de
28 de abril de 2023 (SAN 28.04.2023 REC. 409/2021 indica que “Se alude a un trato
sancionador discriminatorio puesto que esa multa o sanción económica puede
sustituirse por las medidas del art. 58 RGPD, medidas menos gravosas como podría
ser el apercibimiento. Y hace referencia a otras infracciones cometidas por otras
entidades. Por supuesto la actora trata de comparar esta situación con otro
procedimiento sancionador que se menciona, pero no estamos ante un trato
discriminatorio o que se vulnere el principio de igualdad puesto que es un principio que
solo opera en el marco de la legalidad cuando situaciones de hecho iguales tienen un
tratamiento diferente sin justificación razonable. Como señala la STS de 20 de enero
2004, "la igualdad ha de predicarse dentro de la legalidad, de modo que si la actuación
correcta de la Administración es la ahora enjuiciada, según hemos declarado, la
invocada como contraria a ella no lo fue y, por consiguiente, no cabe esgrimirla para
pedir que se le aplique al recurrente un trato igual, ya que, como esta Sala del Tribunal
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/99

Supremo ha declarado en sus sentencias de 16 de junio de 2003 , 14 de julio de 2003
y 20 de octubre de 2003 que «el principio de igualdad carece de trascendencia para
amparar una situación contraria al ordenamiento jurídico», y ello, como indica la propia
Sala sentenciadora, al margen de no haberse acreditado la actuación administrativa
aducida como contradictoria con la presente".

En igual sentido señala la STS de 2 de abril de 2014 (Rec. 1916/2010) que "la
legalidad prevalece sobre una posible lesión del principio de igualdad". En este caso,
estamos ante una infracción administrativa que se pretende comparar con otra que ha
tenido diferente solución, pero de lo que se observa en la alegación que se formula
por la parte actora escasamente se puede efectuar una comparación de una situación
y otra. Recordemos que conforme a la doctrina constitucional consolidada para
apreciar la concurrencia de una vulneración del principio de igualdad han de concurrir
los siguientes presupuestos: 1) aportación de un término idóneo de comparación
demostrativa de la identidad sustancial de las situaciones jurídicas que han recibido
trato diferente, 2) que el trato desigual no esté fundado en razones objetivas que lo
justifiquen, y 3) que el juicio comparativo se desarrolle en el marco de la legalidad,
pues no cabe invocar el principio de igualdad en la ilegalidad para perpetuar
situaciones contrarias a lo previsto por el ordenamiento jurídico. Así las cosas, la
conducta por la que ha sido sancionada la parte actora y que es contraria a derecho
no permite que su responsabilidad sea más atenuada por el hecho de que en otros
supuestos, que se desconocen, la sanción impuesta no fuera económica y se
considerase más beneficiosa”.

Por todo lo expuesto, se desestima la alegación formulada.

V
Respuesta a las alegaciones a la Propuesta de Resolución

En respuesta a las alegaciones presentadas por IBERDROLA se debe señalar lo
siguiente:

PRIMERA: Sobre la indefensión generada a IBERDROLA como consecuencia de no
haberse acordado la acumulación de los procedimientos EXP202305587 y
EXP202205206

IBERDROLA se ratifica de nuevo en lo alegado frente al Acuerdo de Inicio respecto de
su solicitud de acumulación de ambos expedientes indicando además, que con
independencia de que el artículo 57 de la LPACAP indique un “podrá”, la potestad
concedida debe considerarse en todo caso exigible a la Administración cuando la
tramitación no acumulada de los procedimientos pueda afectar negativamente a los
derechos de los encartados en los mismos, insistiendo IBERDROLA que la no
acumulación atenta a su derecho a la defensa.

A este respecto, procede señalar, en primer lugar, que ya se respondió en la propuesta
de resolución respecto de la solicitud de acumulación de los dos expedientes
referenciados, respuesta que se encuentra transcrita de forma completa en el
Fundamento de Derecho III de la presente Resolución al que procede remitirse en su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/99

totalidad. Por tanto, si bien es cierto que es una potestad de la Administración el
proceder a la acumulación o no, también lo es que se argumentaron los motivos y las
razones por las cuales no procedía o no resultaba adecuado acumular ambos
procedimientos sancionadores.

Asimismo, sostiene IBERDROLA que la no acumulación le produce indefensión ya que
entiende que el acceso por ella a la información de que la AEPD ha dispuesto para
considerar cometidas dos supuestas infracciones ha quedado limitada a aquellos
elementos que la AEPD ha considerado oportuno incorporar al presente expediente sin
poder tener una visión completa de los hechos ni, en consecuencia, de los motivos
que inducen a la AEPD a imponer tales sanciones.

Frente a ello procede señalar que se ignora qué información o circunstancias cree
IBERDROLA que desconoce, por cuanto ha conocido en todo momento y de forma
completa los hechos y todas las circunstancias en relación con los mismos. Asimismo,
ha tenido conocimiento en todo momento de las infracciones que se le imputan por
tales hechos y de las sanciones que pudieran derivarse de las mismas, y ha podido
alegar y presentar cuanta documentación ha considerado pertinente a lo largo del
presente procedimiento sancionador.

Por tanto, la no acumulación solicitada no le produce indefensión alguna ni le afecta
negativamente a ninguno de sus derechos procesales

En relación con el resto de argumentos planteados por IBERDROLA para exigir la
acumulación, al ser éstos reproducción de los expuestos frente al Acuerdo de Inicio,
procede remitirse a la respuesta dada por esta Agencia y que aparece, como se ha
señalado, transcrita en el Fundamento de Derecho III de la presente Resolución.

SEGUNDA: Acerca de los actos previos de la AEPD y la vulneración de los principios
de buena fe, confianza legítima y seguridad jurídica.

Insiste de nuevo IBERDROLA sobre que el escrito de 18 de abril de 2022 que se
dirigió a I-DE desde la División de Innovación Tecnológica de esta Agencia tiene
carácter decisorio y que ello impide o debería haber impedido cualquier actuación de
investigación posterior de la brecha de datos personales sufrida lo cual, además,
vulnera los principios de buena fe, confianza legítima y seguridad jurídica.

En primer lugar, ya se le indicó a IBERDROLA en respuesta a las alegaciones al
Acuerdo de Inicio que la citada comunicación de la División de Innovación Tecnológica
de esta Agencia iba dirigida únicamente a I-DE y con relación a las notificaciones
realizadas por la misma a la citada División como consecuencia de una brecha de
datos personales sufrida por ella.

Por tanto, dicho escrito en modo alguno se refirió a la brecha de datos personales
sufrida por IBERCLI y CURENERGIA y notificada a esta Agencia por estas empresas y
por las que se tramita el presente procedimiento sancionador a IBERDROLA como
encargada de tratamiento de las mismas, por mucho que intente ahora extenderlo a
este expediente. Es por esta razón por la que no consta dicho escrito en el presente
procedimiento sancionador, por lo que no procede aceptar tampoco, como alega
IBERDROLA, que dicha ausencia le haya causado indefensión. No obstante, el mismo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/99

fue aportado por IBERDROLA junto a su escrito de alegaciones al Acuerdo de Inicio y
en la propuesta de resolución se le respondió y argumentó sobre la errónea
interpretación que tenía IBERDROLA sobre el contenido y la naturaleza del citado
escrito.

Indica asimismo IBERDROLA lo siguiente:

“Sin embargo es la propia Propuesta de Resolución la que pone de manifiesto la
estrecha vinculación existente entre el escrito dirigido a i-DE (cuya omisión del
presente expediente no haría sino generar indefensión a mi representada) y el
presente procedimiento cuando, acto seguido añade que “como quiera que de la
brecha de datos personales notificada por I-DE se derivó la brecha sufrida por
IBERCLI y CURENERGÍA, se procede a responder la errónea interpretación que
realiza IBERDROLA en relación con el citado escrito”.

Con ello la AEPD reconoce expresamente que, aun cuando el escrito se dirigía a i-DE
existe una íntima e indisoluble relación entre ambos procedimientos, dado que la
brecha que se imputa a mi mandante trae causa directa de la vulnerabilidad producida
en el aplicativo GEA. De este modo, es evidente que si la AEPD consideraba
suficientes las aclaraciones efectuadas por i-DE en la notificación relacionada con la
brecha de la que trae causa el presente expediente, y es manifiesto que sin dicha
brecha la ahora analizada no hubiera tenido lugar, la consideración de la causa como
no susceptible de investigación anterior debe traer como única consecuencia el
archivo del procedimiento referido a lo que únicamente es efecto de esa causa
previamente considerada suficientemente justificada”

A este respecto, se señala que lo que se ha querido indicar es que del mismo incidente
(ciberataque) se derivaron dos brechas de datos personales diferentes. Una afectando
a datos personales de clientes de I-DE y por una vulnerabilidad en su aplicativo web. Y
otra afectando a clientes de IBERCLI y CURENERGÍA por cuanto almacenan las tres
empresas los datos personales de sus respectivos clientes en una base de datos
gestionada por IBERDROLA como encargada del tratamiento y con motivo de una
vulnerabilidad en la separación lógica en dicha base de datos.

No obstante lo anterior, al igual que se procedió a responder en la Propuesta de
Resolución sobre los argumentos de IBERDROLA en relación con el comunicado de
18 de abril de 2022, y como quiera que sigue entendiendo que ese escrito afecta al
presente procedimiento sancionador -lo que ya se ha indicado que no-, se responde a
continuación en relación a los nuevos argumentos esgrimidos por IBERDROLA
respecto del mismo.

Así, indica IBERDROLA que una de las funciones de la División de Innovación
Tecnológica de esta Agencia es la de “analizar y clasificar las brechas de seguridad y,
en su caso, proponer motivadamente a la Presidencia la iniciación de una
investigación cuando aprecie indicios de la comisión de una infracción” (artículo 31 e)
del Estatuto de la AEPD).

Añade IBERDROLA que el citado escrito viene firmado por la “AEPD”, lo cual supone
que debe entenderse firmado por la Directora, pues la “representación legal e

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/99

institucional” de la Agencia corresponde única y exclusivamente a la Directora, tal y
como establece el artículo 13.1b) del Estatuto de la AEPD.

De ello concluye IBERDROLA que, habiendo sido analizada por la División de
Innovación Tecnológica la información comunicada por ella acerca de la brecha de
seguridad, entendió que no procedía elevar a la Directora de la AEPD ningún tipo de
propuesta motivada en relación con la misma, al no considerare infringido lo dispuesto
en el RGPD, ello dio lugar a que esta Agencia se le notificase la decisión de no llevar a
cabo actuación alguna relacionada con la citada brecha.

Frente a ello, en primer lugar, procede recordar que ya se respondió a esta cuestión en
la Propuesta de Resolución, y se da respuesta en el Fundamento de Derecho IV de la
presente Resolución y al que procede remitirse.

Por otro lado, no puede admitirse ni entenderse, ni siquiera de forma indirecta, que el
citado escrito en cuestión se encuentra firmado por la Directora de esta Agencia, por
cuanto no aparece su firma de forma expresa, por mucho que quiera IBERDROLA
presuponer de forma artificial que la firma procede de dicho órgano al ostentar la
representación de la AEPD. Ninguna firma genérica de la AEPD ni de ninguno de los
órganos en que se estructura, ni la firma de ninguna de las personas titulares de los
mismos puede sustituir la firma de la Directora cuando ejerce las competencias que
tiene atribuidas tanto por Ley como por el Estatuto de la AEPD. Asimismo, la
delegación de firma en estos casos debe ser directa y expresa, y debe constar en el
acto administrativo que se firma por delegación para garantizar y salvaguardar que la
decisión ha sido adoptada por órgano competente.

En este sentido, el Estatuto de la Agencia Española de Protección de Datos, aprobado
mediante Real Decreto 389/2021, de 1 de junio (en adelante el Estatuto) establece
expresamente que:

“1. Corresponde a la Presidencia de la Agencia Española de Protección de Datos:

(…)

d) Dictar las resoluciones y directrices que requiera el ejercicio de las funciones de la
Agencia, en particular las derivadas del ejercicio de las competencias previstas en el
artículo 57 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de
27 de abril de 2016, y del ejercicio de los poderes de investigación y de los poderes
correctivos dispuestos en el artículo 58 del citado Reglamento”. (el subrayado es
nuestro)

Por otra parte, el artículo 27 del Estatuto establece las competencias que tiene la
Subdirección General de Inspección de Datos de la AEPD:

“1. La Subdirección General de Inspección de Datos es el órgano administrativo,
dependiente de la Presidencia de la Agencia Española de Protección de Datos, que
desarrolla las competencias previstas en el artículo 57.1, letras f), g), h), i) y u) del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de
2016, y realiza las funciones de inspección y de instrucción necesarias para el ejercicio
de los poderes de investigación establecidos en el artículo 58.1, letras a), b), d), e) y f)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/99

y de los poderes correctivos dispuestos en el artículo 58.2, letras a), b), c), d), f), g), i)
y j), ambos del citado Reglamento. (el subrayado es nuestro)

2. Al objeto de cumplir los cometidos establecidos en el apartado anterior, a la
Subdirección General de Inspección de Datos le corresponden las siguientes
funciones:

a) La supervisión permanente del cumplimiento del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, de la Ley Orgánica
3/2018, de 5 de diciembre, y de las disposiciones que la desarrollen, por parte de los
responsables y encargados de los tratamientos.

b) El ejercicio de las potestades de investigación definidas en el artículo 51 de la Ley
Orgánica 3/2018, de 5 de diciembre.
(…)
d) La tramitación de los procedimientos en caso de posible vulneración de la
normativa de protección de datos conforme a lo dispuesto en el título VIII de la Ley
Orgánica 3/2018, de 5 de diciembre, incluyendo las reclamaciones de los ciudadanos
por falta de atención en sus solicitudes de ejercicio de los derechos contemplados en
los artículos 15 al 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo, de 27 de abril de 2016. Corresponde a la Subdirección General de
Inspección de Datos el deber de informar al reclamante sobre el curso y el resultado
de la reclamación presentada ante la Agencia Española de Protección de Datos, de
acuerdo con lo dispuesto en el artículo 77.2 del citado Reglamento.
(…)
e) La evaluación de la admisibilidad a trámite de las reclamaciones que se presenten
ante la Agencia Española de Protección de Datos, y la propuesta a la Presidencia de
decisión sobre la admisión o inadmisión a trámite, conforme a lo establecido en el
artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre.
(…)
h) La realización de actuaciones previas de investigación acordadas por la Presidencia
por propia iniciativa, a raíz de una reclamación, o a petición de otro órgano o autoridad
de control, a fin de lograr una mejor determinación de los hechos y las circunstancias
que justifican la tramitación del procedimiento, según lo dispuesto en el artículo 67 de
la Ley Orgánica 3/2018, de 5 de diciembre”. (el subrayado es nuestro)

Por tanto, respecto de la División de Innovación Tecnológica de la AEPD, que de
conformidad con el Estatuto tiene, entre sus funciones, la de “analizar y clasificar las
brechas de seguridad y, en su caso, proponer motivadamente a la Presidencia la
iniciación de una investigación cuando aprecie indicios de la comisión de una
infracción” (artículo 31 e) del Estatuto de la AEPD), ello no significa que sea la única y
exclusiva vía por la que esta Agencia puede iniciar actuaciones de investigación. Así,
esta potestad de investigación que tiene la AEPD, tal y como se ha reflejado en la
normativa descrita, se lleva a cabo por la Subdirección General de Inspección de
Datos, la cual, puede iniciar actuaciones de investigación bien de oficio, por orden de
la Directora, bien como consecuencia de la admisión de reclamaciones presentadas
ante la AEPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/99

La División de Innovación Tecnológica, tras analizar la documentación aportada por I-
DE (que no todas las circunstancias del incidente) ha indicado que no prevé el inicio
de otras acciones, y no que no considerare infringido lo dispuesto en el RGPD o que
se hubiera tomado la decisión de no llevar a cabo actuación alguna relacionada con la
citada brecha. La División de Innovación Tecnológica no tomó una decisión, sino que
se limitó a informar a I-DE de un pronóstico, lo que no impide que puedan tenerse en
cuenta otras circunstancias, como la presentación de reclamaciones por los afectados
por la brecha, que hagan aconsejable separase de esta previsión.

Por tanto, el citado escrito no tiene el carácter decisorio y resolutivo que ahora
IBERDROLA pretende, ni por su contenido ni por su forma y ello no es óbice ni puede
impedir en modo alguno la potestad de investigación que tiene la AEPD y su ejercicio a
través de las funciones de inspección e investigación que la Subdirección General de
Inspección de Datos tiene encomendadas. Sobre todo, tras la presentación de
reclamaciones por parte de personas afectadas y que la LOPDGDD obliga a su
tramitación.

Así, el artículo 65 de la LOPDGDD, relativo a la “Admisión a trámite de las
reclamaciones”, establece que

1.Cuando se presentase ante la Agencia Española de Protección de Datos una
reclamación, esta deberá evaluar su admisibilidad a trámite, de conformidad
con las previsiones de este artículo.

2. La Agencia Española de Protección de Datos inadmitirá las reclamaciones
presentadas cuando no versen sobre cuestiones de protección de datos
personales, carezcan manifiestamente de fundamento, sean abusivas o no
aporten indicios racionales de la existencia de una infracción.

Por tanto, presentadas reclamaciones ante la AEPD, ésta está obligada a analizar
previamente su admisibilidad, pudiendo inadmitirlas únicamente en los supuestos del
apartado 2 del artículo 65 transcrito, los cuales no concurrían en el caso que nos
ocupa.
Por ello, una vez admitidas a trámite, se iniciaron actuaciones previas de investigación
precisamente para averiguar los hechos y circunstancias acontecidas y si de los
mismos se podría derivar una posible vulneración de la normativa en materia de
protección de datos, tal y como permite y faculta los artículos 64 y 66 de la LOPDGDD,
los cuales ya se transcribieron en la respuesta a las alegaciones al Acuerdo de Inicio y
que, en aras de claridad expositiva, se vuelven a indicar:

Artículo 64. Forma de iniciación del procedimiento y duración.

En este caso el plazo para resolver el procedimiento será de seis meses a contar
desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/99

trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su
reclamación.

2.Cuando el procedimiento tenga por objeto la determinación de la posible existencia
de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley
orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como
consecuencia de reclamación.

Cuando fuesen de aplicación las normas establecidas en el artículo 60 del
Reglamento (UE) 2016/679, el procedimiento se iniciará mediante la adopción del
proyecto de acuerdo de inicio de procedimiento sancionador, del que se dará
conocimiento formal al interesado a los efectos previstos en el artículo 75 de esta ley
orgánica.

Admitida a trámite la reclamación, así como en los supuestos en que la Agencia
Española de Protección de Datos actúe por propia iniciativa, con carácter previo al
acuerdo de inicio, podrá existir una fase de actuaciones previas de investigación, que
se regirá por lo previsto en el artículo 67 de esta ley orgánica. (el subrayado es
nuestro)

Artículo 67. Actuaciones previas de investigación.

1.Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a
trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos
podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor
determinación de los hechos y las circunstancias que justifican la tramitación del
procedimiento.

La Agencia Española de Protección de Datos actuará en todo caso cuando sea
precisa la investigación de tratamientos que implique un tráfico masivo de datos
personales.

2.Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección
2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración
superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de
la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de
Protección de Datos actúe por propia iniciativa o como consecuencia de la
comunicación que le hubiera sido remitida por la autoridad de control de otro Estado
miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica. (el
subrayado es nuestro)

Por tanto, se reitera que de dicha normativa no se infiere en modo alguno que la AEPD
tenga que justificar de la manera que exige IBERDROLA el inicio de actuaciones
previas en el sentido de que tenga que haber algo nuevo o alguna circunstancia nueva
o de que las reclamaciones hayan tenido que aportar circunstancias nuevas y
diferentes respecto de la documentación aportada por I-DE en su notificación de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/99

brecha a esta Agencia, pues ello no viene exigido por la normativa indicada, además
de que no se puede pretender que los afectados aporten algo nuevo, al margen de
conocer que se ha vulnerado la confidencialidad de sus datos personales por un
ciberataque de cuyas circunstancias desconocen.

Precisamente las actuaciones previas de investigación se realizan para esclarecer los
hechos y las circunstancias de lo acontecido, recabando más información al objeto de
poder determinar la existencia de una posible infracción de la normativa en materia de
protección de datos. En este sentido, el inicio de investigaciones previas y su
realización, potestad de la AEPD con o sin reclamaciones, no prejuzga nada, sino que
permite recabar la información necesaria para determinar si hay indicios o no de
infracción. Incluso tras dicha investigación, puede ser que se archiven las actuaciones
por entender, a la vista de la información recabada, que no existen indicios de
infracción. Lo cual, en el presente caso, no ha sucedido.

Lo que sí indica la normativa reflejada es que, tras la presentación de reclamaciones,
esta Agencia debe decidir si las admite a trámite o no, habiendo decidido finalmente su
admisión mediante, esta vez sí, Acuerdo de admisión a trámite, firmado por la
Directora de la Agencia con fecha 9 de mayo de 2022. Y, como indica el artículo 67.2
LOPDGDD referenciado, la AEPD puede llevar a cabo actuaciones previas de
investigación a fin de lograr una mejor determinación de los hechos y las
circunstancias. Es una potestad que tiene atribuida por el RGPD y por la LOPDGDD.

Asimismo, y a mayor abundamiento de todo, tal y como se indicó, incluso en el
supuesto de no haber existido las reclamaciones, la previsión de la División de
Innovación Tecnológica no hubiera sido tampoco óbice ni obstáculo para el ejercicio,
de oficio, de las potestades de investigación que tiene la AEPD de conformidad con el
citado artículo 64.2 que determina que “Admitida a trámite la reclamación, así como en
los supuestos en que la Agencia Española de Protección de Datos actúe por propia
iniciativa, con carácter previo al acuerdo de inicio, podrá existir una fase de
actuaciones previas de investigación…”

TERCERA: Sobre los argumentos sostenidos por la Propuesta de Resolución para
considerar que no concurre bis in ídem.

Vuelve a indicar IBERDROLA que se ha vulnerado el principio non bis in ídem en la
imposición de las dos infracciones, pues entiende que la AEPD no está enjuiciando la
vulneración del artículo 5.1.f) del RGPD por un motivo distinto del derivado de la, a su
juicio, inadecuada seguridad de los datos personales, sino única y exclusivamente por
ese motivo.

A este respecto, ya se señaló la Sentencia de la Audiencia Nacional de 23 de julio de
2021 (rec. 1/2017), que dispone,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/99

Pero para que pueda hablarse de "bis in ídem" debe concurrir una triple identidad
entre los términos comparados: objetiva (mismos hechos), subjetiva (contra los
mismos sujetos) y causal (por el mismo fundamento o razón de castigar):

a) La identidad subjetiva supone que el sujeto afectado debe ser el mismo, cualquiera
que sea la naturaleza o autoridad judicial o administrativa que enjuicie y con
independencia de quién sea el acusador u órgano concreto que haya resuelto, o que
se enjuicie en solitario o en concurrencia con otros afectados.

Tomando como referencia lo anteriormente explicitado en el procedimiento
sancionador no se ha vulnerado el principio non bis in ídem, puesto que, si bien
entendido grosso modo los hechos se detectan consecuencia de una brecha de datos
personales, la infracción del art. 5.1.f) del RGPD se concreta en una clara pérdida de
confidencialidad que afectó a unos determinados clientes, la infracción del art. 32 del
RGPD se reduce a la deficiencia de las medidas de seguridad (solo de seguridad)
detectadas, presentes independientemente de la brecha de datos personales. De
hecho, si estas medidas de seguridad que tenía implantadas IBERDROLA se hubieran
detectado por la AEPD sin que se hubiera producido la pérdida de confidencialidad,
únicamente habría sido sancionada por el art. 32 del RGPD.

Como hemos indicado, mediante el art. 5.1.f) del RGPD se sanciona una pérdida de
confidencialidad y disponibilidad y mediante el art. 32 del RGPD la deficiencia de las
medidas de seguridad implantadas por el responsable del tratamiento. Medidas de
seguridad deficientes, añadimos, que infringen el RGPD, independientemente de que
se hubiera o no producido la brecha de datos personales.

El artículo 32 del RGPD se vulnera con independencia de si se produce o no una
brecha de datos personales. Es decir, se infringe por no tener medidas apropiadas
para garantizar una adecuada seguridad en el tratamiento de los datos sin que para
ello sea necesario o imprescindible que se produzca una brecha de seguridad de los
datos personales que, en su caso, pueda afectar bien a la confidencialidad de los
datos, bien sólo a la disponibilidad, o sólo a la integridad, o a algunas o a todas ellas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/99

Otra cosa es que la deficiencia en las medidas de seguridad se ponga de manifiesto,
en el caso concreto, con ocasión de una violación de la seguridad de los datos
personales (vulneración de la confidencialidad en este caso), como ha ocurrido en el
presente supuesto.

Por otro lado, el art. 5.1.f) del RGPD se vulnera cuando se produce una pérdida de
confidencialidad o de integridad de los datos personales, lo que puede producirse o no
por ausencia o deficiencia de las medidas de seguridad. Este principio tan sólo
determina el cauce a través del cual puede lograrse el mantenimiento de la
confidencialidad, integridad o disponibilidad cuando explicita “mediante la aplicación de
medidas técnicas y organizativas apropiadas”, que no son estrictamente de seguridad.

Asimismo, se significa nuevamente que el artículo 5.1.f) del RGPD es uno de los
principios relativos al tratamiento. Los principios relativos al tratamiento son, por un
lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección
de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa
fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de
obligado cumplimiento susceptibles de ser infringidas.

La vulneración de la confidencialidad que se imputa a I-DE es por incumplir la
obligación impuesta en el artículo 5.1.f de tratar los datos de tal manera que se
garantice una seguridad adecuada de los mismos, incluida la protección contra el
tratamiento no autorizado o ilícito, mediante la aplicación de medidas técnicas u
organizativas apropiadas.

Por último, procede añadir que, en relación con la supuesta vulneración del principio
de non bis in ídem, ya se dio respuesta sobre esta alegación en la Propuesta de
Resolución, en la que de forma extendida se argumenta la no existencia de la triple
identidad de hechos, sujeto y fundamento, tal y como exige la jurisprudencia,
respuesta que aparece totalmente transcrita en apartado Tercero del Fundamento de
Derecho IV de esta Resolución y al que procede remitirse.

Por último, en cuanto a lo alegado por IBERDROLA relativo a que en la imputación de
la infracción del artículo 5.1.f) se está exigiendo una obligación de resultado, lo que
resulta contrario a la Sentencia de 15 de febrero de 2022 (recurso de casación
7359/2020), que señala que la obligación impuesta por la normativa de protección de
datos personales, de adoptar medidas técnicas y organizativas es una obligación de
medios y no de resultado, se significa, que lo analizado en dicha Sentencia es el
cumplimiento de las medidas técnicas y organizativas en el sentido de si son
adecuadas para garantizar la seguridad de los tratamientos, es decir, que estaríamos
no en el ámbito del cumplimiento del artículo 5.1.f, sino en el ámbito del cumplimiento
del artículo 32 RGPD al tratarse de medidas de seguridad. Por tanto, el argumento
dado por IBERDROLA y el análisis del mismo que se va a realizar han de referirse
exclusivamente en relación con la infracción del artículo 32 RGPD, el cual se va a
desarrollar en el apartado Quinto del presente Fundamento de Derecho relativo a la
infracción del artículo 32.

CUARTA: Sobre la aplicación de los principios del derecho sancionador a la actividad
de la AEPD y la concurrencia de un concurso medial.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/99

Alega de nuevo IBERDROLA que, en el caso de no apreciarse la existencia del bis in
ídem, al menos una de las infracciones se encontraría subsumida y embebida en la
otra, ya que la imputación de la infracción del artículo 5.1.f) del RGPD se debe a que el
tratamiento no se ha llevado a cabo, a juicio de la AEPD, cumpliendo con las
necesarias medidas de seguridad. Entiende por tanto IBERDROLA la existencia de
una absoluta vinculación entre la supuesta ausencia de medidas de seguridad
adecuadas y la quiebra del principio de confidencialidad. Es decir, que es la supuesta
insuficiencia de las medidas de seguridad la que directamente conduce a la
vulneración del artículo 32 y a la vulneración del 5.1.f). Existiendo, por tanto, un claro
supuesto de concurso medial, pues las dos infracciones imputadas no pueden
cometerse la una sin la otra.

A continuación, argumenta IBERDROLA las razones por las que considera que sí es
de aplicación el artículo 29 de la LRJSP y que, con su no aplicación, la AEPD está
derogando implícitamente, en materia de protección de datos, de todas las garantías
del régimen sancionador establecidas por el Tribunal Constitucional.

A este respecto, como quiera que esta alegación ya se formuló frente al Acuerdo de
Inicio y se da respuesta en el apartado Tercero del Fundamento de Derecho IV,
procede remitirse a ello en su totalidad.

Por otro lado, en relación con la mención que realiza la AEPD respecto a la no
aplicabilidad del art. 29 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del
Sector Público (en adelante, “LRJSP”), IBERDROLA trae a colación el Real Decreto
389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de
Protección de Datos, en cuyo artículo 3 se establece que la AEPD se rige por lo
dispuesto en el RGPD, y supletoriamente, por la LRJSP. Entiende IBERDROLA que lo
anterior viene a implicar que, en relación con todo aquello no regulado expresamente
en el RGPD o la LOPDGDD se atenderá a lo previsto al efecto en la LRJSP, como es
el caso de los concursos de infracciones previstos en el artículo 29 del LRJSP en
relación con el principio de proporcionalidad como principio de la potestad
sancionadora.

Frente a ello, se significa que el artículo 3.2 del citado Estatuto de la AEPD establece
lo siguiente:

2. Supletoriamente, en cuanto sea compatible con su plena independencia, se
regirá por la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público, en particular lo dispuesto para organismos autónomos; por la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas; por la Ley 47/2003, de 26 de noviembre, General
Presupuestaria; por la Ley 9/2017, de 8 de noviembre, de Contratos del Sector
Público, por la que se transponen al ordenamiento jurídico español las
Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE,
de 26 de febrero de 2014; por la Ley 33/2003, de 3 de noviembre, del
Patrimonio de las Administraciones Públicas, así como el resto de las normas
de derecho administrativo general y especial que le sea de aplicación. En
defecto de norma administrativa, se aplicará el derecho común.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/99

Por tanto, lo que se está indicando es que se le aplica supletoriamente el régimen
jurídico del Sector Público, pero en lo relativo a su consideración como organismo
público perteneciente a la Administración General del Estado, es decir, a
consideraciones como su composición, organización, estructura, etc.

Por su parte, en el artículo 3.3 del Estatuto de la AEPD se indica lo siguiente:

3. Los procedimientos tramitados por la Agencia Española de Protección de
Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales, por las disposiciones reglamentarias dictadas en su
desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las
normas generales sobre los procedimientos administrativos.

Por tanto, en los procedimientos tramitados por ella, entre ellos, el procedimiento
sancionador, no se aplica supletoriamente ni la LRJSP ni la LPAC, sino que declara
que los procedimientos tramitados por la AEPD se regirán por el RGPD y la
LOPDGDD. Y con carácter subsidiario (que no supletorio) por las normas sobre los
procedimientos administrativos.

A este respecto, se insiste en que no hay aplicación supletoria del citado precepto, por
cuanto no hay laguna legal al respecto de la aplicación del concurso medial previsto en
dicho artículo 29 de la LRJSP. Ni el RGPD permite ni la LOPDGDD dispone la
aplicación supletoria de las previsiones del art. 29 de la LRJSP.

En el Título VIII de la LOPDGDD relativo a “Procedimientos en caso de posible
vulneración de la normativa de protección de datos”, el artículo 63 que abre el Título se
dispone que "Los procedimientos tramitados por la Agencia Española de Protección de
Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley
orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto
no las contradigan, con carácter subsidiario, por las normas generales sobre los
procedimientos administrativos.". Si bien existe una remisión a la LPACAP, no se
establece en absoluto una aplicación subsidiaria respecto de la LRJSP que no
contiene en su articulado disposición alguna relativa a procedimiento administrativo
alguno.

De igual forma que la AEPD no está aplicando los agravantes y atenuantes dispuestos
en el mismo art. 29 de la LRJSP, puesto que el RGPD establece los suyos propios, por
ende, no hay laguna legal ni aplicación subsidiaria del mismo, tampoco cabe la
aplicación de apartado relativo al concurso medial y por idénticas razones.

Como ya se indicó, además la aplicación de reglas ajenas al RGPD respecto de la
determinación de las multas en cada uno de los Estados miembros aplicando su
derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en
el RGPD -o en la LOPDGDD en el caso español-, ya sea por la aplicación de un
concurso medial distinto del dispuesto en el RGPD, restaría efectividad al sistema que
perdería su sentido, su finalidad teleológica, resultando que las multas impuestas por
distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de
esta forma también se hurtaría a los interesados de la garantía efectiva de sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/99

derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los
mecanismos de protección de los derechos y las libertades de los ciudadanos y sería
contrario con el espíritu del RGPD.

Aclarar, con carácter previo que, la supletoriedad se refiere a supuestos en los que en
una determinada norma no se regula un específico supuesto, laguna legal, dando
lugar a la aplicación de otra norma jurídica que regule tal situación, siempre que no
resulte disconforme con el ordenamiento jurídico.

Mientras que la subsidiaridad hace referencia a un concurso de normas, lo que supone
que para un determinado supuesto pueden ser aplicables dos o más normas, de
manera que la norma subsidiara cede en beneficio de la principal.

Pues bien, examinados tanto la supletoriedad como la subsidiariedad, se concluye la
no aplicación del artículo 29 de la LRJSP sino del artículo 83 del RGPD en relación
con el principio de proporcionalidad.

Ello es así por cuanto:

• El principio de proporcionalidad se aplica al procedimiento sancionador.

• El principio de proporcionalidad se regula de forma completa en el artículo 83 del
RGPD.

• No hay laguna legal.

• Ni el RGPD ni la LOPDGDD remiten a la aplicación, por existencia de laguna legal,
del artículo 29 de la LRJSP.

• En los procedimientos tramitados por la AEPD, para los procedimientos
administrativos tramitados, se prevé la aplicación subsidiaria de las normas generales
sobre los procedimientos administrativos.

• En los procedimientos tramitados por la AEPD, para los procedimientos
administrativos tramitados y no en relación con los principios del procedimiento
sancionador, no se establece en la LOPDGDD una aplicación subsidiaria de la LRJSP.

Por tanto, no hay ni supletoriedad ni subsidiaridad que hagan que se aplique el artículo
29 de la LRJSP.

En cuanto al hecho de que, tal y como indica IBERDROLA, la propia Agencia
anteriormente ha considerado aplicable dicho artículo 29 considerando la existencia de
supuestos de concurso medial, como en su Resolución de 23 de abril de 2021, dictada
en el procedimiento PS/00240/2019, procede señalar que la Administración puede
separarse de lo resuelto con anterioridad. Así, el artículo 35 de la LPACAP establece
que:

1. Serán motivados, con sucinta referencia de hechos y fundamentos de
derecho:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/99

c) Los actos que se separen del criterio seguido en actuaciones precedentes o
del dictamen de órganos consultivos.

Por tanto, es legítimo que la Administración se separe del criterio seguido en
actuaciones precedentes, siempre y cuando dicho cambio esté motivado, lo cual
concurre en el presente caso. Así, además de lo que se acaba de argumentar en este
propio apartado, procede recordar de nuevo que ya se formuló esta alegación frente al
Acuerdo de Inicio, relativa al concurso medial y se respondió al mismo motivando y
argumentando por qué no se considera la existencia del concurso medial y, además,
se motiva la no aplicabilidad del artículo 29 LRJSP. Por tanto, procede remitirse a los
argumentos esgrimidos y que aparecen transcritos en el apartado Tercero del
Fundamento de Derecho IV de la presente Resolución.

Por tanto, una vez argumentado y motivado no sólo que no se considera la existencia
de concurrencia de infracciones, así como las razones por las cuales no se considera
aplicable el artículo 29 LRJSP, resulta legítimo y no contrario a derecho el cambio de
criterio.

En este sentido, la Sentencia de 12 de marzo de 2018, del Tribunal Superior de
Justicia de Madrid, Sala de lo Contencioso administrativo, Sección 4ª (Rec. 761/2017),
señala, con ocasión de la revisión de un procedimiento sancionador, que:

“(…) la Administración puede separarse de lo resuelto con anterioridad
motivando el cambio (art. 35.c) de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas). Como
señala el Tribunal Supremo en su Auto de 4 de diciembre de 1998 "... para que
la doctrina de los actos propios de la Administración tenga aplicación es
necesario fundamentalmente que un primer órgano de la Administración haya
dictado un primer acto declarativo de derechos y luego que en el segundo
revoque la decisión tomada en el primero", y dicha circunstancia no concurre
en este caso porque el presente acto administrativo de liquidación tributaria no
revoca ninguna decisión tomada en un acto precedente relativo al mismo
concepto tributario ni existe un acto declarativo expreso que ahora se
modifique.

A estos efectos, procede distinguir entre la eficacia de los actos propios de la
Administración y la vinculación de la Administración a los precedentes
interpretativos aplicados en situaciones anteriores ya que, en el supuesto que
se cuestiona, y empleando palabras del Tribunal Supremo (sentencia de 25 de
febrero de 2000), no cabe hablar de "acto propio sino a lo más cambio de
criterio e interpretación, lo cual es perfectamente válido ". Igualmente, la STS
de 27 de junio de 2000 refiere:

"... el principio de actuar contra los propios actos no podría llevarse a extremos
tales que obstaran a la conformidad a Derecho de una determinada actuación,
por el mero hecho de» (la existencia de) «otra anterior de distinto signo aunque
ésta no se amparara en la legalidad, del mismo modo que la igualdad sólo
cabe dentro del ámbito de la legalidad, tal como es suficientemente conocido,
so pena de poder consolidar para siempre resoluciones ilegales o no ajustadas
a Derecho, irreversibles y de imposible modificación ulterior».
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/99

En el mismo sentido se ha expresado el Alto Tribunal en otras Sentencias. Así,
en la de 1 de febrero de 1999 , declara que «este principio no puede invocarse
para crear, mantener o extender en el campo del Derecho público, situaciones
contrarias al ordenamiento jurídico, o cuando el acto precedente resulta en
contradicción con el fin o el interés tutelado por una norma jurídica que, por su
naturaleza, no es susceptible de amparar una actuación discrecional de la
Administración que suponga el reconocimiento de unos derechos y/u
obligaciones que dimanen de actos propios de la misma. O dicho de otro
modo, la doctrina de los actos propios sin la limitación que acaba de exponerse
podría introducir en el ámbito de las relaciones de Derecho público el principio
de la autonomía de la voluntad como método ordenador de materias reguladas
por normas de naturaleza imperativa, en las que prevalece el interés público
salvaguardado por el principio de legalidad; principio que resultaría conculcado
si se diera validez a una actuación de la Administración contraria al
ordenamiento jurídico por el sólo hecho de que así se ha decidido por la
Administración o porque responde a un precedente de ésta. (...) o, dicho en
otros términos, no puede decirse que sea legítima la confianza que se deposite
en un acto o precedente que sea contrario a la norma imperativa” (el subrayado
es nuestro).

Asimismo, y a mayor abundamiento, este criterio de entender no aplicable el artículo
29 LRJSP no es nuevo pues se ha aplicado en expedientes sancionadores anteriores
al presente. A modo de ejemplo, se señala el PS/00020/2023 y PS/00667/2023.

Por último, IBERDROLA alega que la aplicación del artículo 29 es una posibilidad
asimismo reconocida por las Directrices 4/2022, sobre el cálculo de multas
administrativas bajo el RGPD, donde expresamente se estipulan los criterios que debe
seguir la autoridad administrativa para evaluar, de forma previa a la imposición de la
sanción, la posible concurrencia de estas.

Frente a ello, se señala que, en relación con la cita de las Directrices 04/2022 del
CEPD sobre el cálculo de multas administrativas conforme al RGPD, en su versión
2.1, adoptadas el 24 de mayo de 2023, en su apartado 22 se hace referencia a tres
tipos de concurrencias, a saber, de infracción, unidad de acción y pluralidad de
acciones: “Al examinar el análisis de las tradiciones de los Estados miembros en
materia de normas de concurrencia, tal como se indica en la jurisprudencia del TJUE,
y teniendo en cuenta los diferentes ámbitos de aplicación y las consecuencias
jurídicas, estos principios pueden agruparse aproximadamente en las tres categorías
siguientes: - Concurrencia de infracciones (capítulo 3.1.1), - Unidad de acción (capítulo
3.1.2), - Pluralidad de acciones (capítulo 3.2).

En los supuestos de concurrencia de infracciones la previsión establecida al respecto
es la contenida en el artículo 83.3 del RGPD que establece un límite cuantitativo en
estos supuestos de concurrencia: “Si un responsable o un encargado del tratamiento
incumpliera de forma intencionada o negligente, para las mismas operaciones de
tratamiento u operaciones vinculadas, diversas disposiciones del presente
Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía
prevista para las infracciones más graves.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/99

Asimismo, en este momento hemos de recordar que la gravedad de las infracciones
del RGPD se determina en atención a las reglas establecidas en este y no en la
LOPDGDD. La tipificación de las infracciones se encuentra regulada en el artículo 83,
apartados 4, 5 y 6 del RGPD, mientras que la calificación de las infracciones como
muy graves, graves o leves a los solos efectos de la prescripción se dispone en los
artículos 72, 73 y 74 de la LOPDGDD.

Por último y no menos importante, la AEPD no sanciona por una misma ofensa, como
aduce IBERDROLA, sino que se han constatado a través de hechos probados no
rebatidos por IBERDROLA, la comisión de dos infracciones diferenciadas, tipificadas
de forma diferenciada, no existiendo, además, en el caso concreto, concurso medial.

Por todo lo expuesto, se desestima la presente alegación.

QUINTA: Sobre la inexistencia de vulneración por I-DE del artículo 32 del RGPD

Indica de nuevo IBERDROLA que había llevado a cabo un análisis de los riesgos que
el tratamiento de los datos podía generar en los derechos y libertades de los
interesados, así como implementado medidas de seguridad que permitían mitigar los
mencionados riesgos.

Frente a ello, procede indicar que el análisis de los riesgos del tratamiento de la
actividad afectada por el incidente no muestra medida alguna a adoptar para paliar los
supuestos riesgos detectados.

Así, en respuesta a la solicitud realizada por esta Agencia durante las actuaciones de
investigación previas, de copia de los análisis de riesgos sobre los derechos y
libertades de las personas físicas realizados con anterioridad al incidente y en relación
con la actividad del tratamiento afectada por la brecha de datos personales, tanto
IBERCLI como CURENERGÍA aportaron el mismo documento e indican que es el
esquema seguido en el seno del Grupo Iberdrola para la valoración del riesgo en el
tratamiento de los datos personales y que se lleva a cabo conforme al mismo:

(…)

Asimismo, ambas empresas adjuntaron un documento explicativo de la lógica seguida
para el cálculo del nivel de riesgo conforme a esta metodología, denominado “Lógica
de cálculo de Nivel de Riesgo”:

(…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/99

Como se aprecia, en el citado documento se detallan ciertas amenazas o
circunstancias -las cuales se trasladan al Registro de Actividades de Tratamiento, a la
actividad correspondiente-, como “colectivos vulnerables” “acceso a los datos
personales por más de 10 personas” “transferencias internacionales" “tratamientos a
gran escala” “perfiles con efectos jurídicos”. Estas circunstancias se establecen como
preguntas y, según se responda “si” o “no”, se le aplica un resultado.

Así pues, la aplicación de dicha metodología en relación con la actividad de
tratamiento afectada “(…)” (“…”) del que son responsables, en relación con sus
respectivos clientes IBERCLI y CURENERGIA, arrojó como resultado un nivel de
riesgo MEDIO.

Por tanto, varias de estas preguntas aparecen en el Registro de Actividades de
Tratamiento de la actividad afectada por la brecha de datos personales, en las que se
contesta “Sí” o “No” y de ello se indica un riesgo “Medio”, pero nada más. Es decir, no
se indica medida alguna que deba ser adoptada para paliar ese riesgo medio. Ni si se
trata de un riesgo inherente o de un riesgo residual.

Asimismo, requerida a IBERDROLA para que aportara los análisis de riesgos y, en su
caso, las EIPDs, respecto de los tratamientos que realiza como encargada del
tratamiento y en relación con las actividades de tratamiento afectadas por la brecha,
responde, en su escrito de respuesta (presentado el 24/01/2023 Número de registro:
REGAGE23e00004670187) que:

“El Grupo Iberdrola ha adoptado una metodología de análisis de riesgo de los
tratamientos de datos personales que se encuentra implantada de forma automatizada
en la propia herramienta corporativa de registro de actividades de tratamiento, de
forma que en el propio proceso de registro se determina el nivel de riesgo del
tratamiento.

En el caso de los tratamientos respecto de los que IBERDROLA actúa como
encargado del tratamiento, la metodología implica la realización del análisis de riesgos
en relación con cada uno de los tratamientos respecto de los que mi mandante ostenta
dicha condición, de forma que ese análisis se desarrolla por la propia entidad
responsable del tratamiento en colaboración con mi representada.

Por este motivo, el análisis de riesgos relacionado con los específicos tratamientos
(…) figura incorporado a los Registros de Actividades de Tratamiento de i-DE y a los
de IBERCLI y CURENERGIA, habiendo sido comunicados sus resultados a mi
mandante. Según nos informan dichas entidades, el resultado de dicho análisis figura
en las respuestas facilitadas en el presente procedimiento a los requerimientos de
información efectuados a las mismas.”

También, a requerimiento de esta Agencia durante la fase de investigaciones previas,
IBERDROLA aportó (número de registro: REGAGE23e00004673128) el Registro de
Actividades de tratamiento correspondientes a los tratamientos "Soporte y
Mantenimiento de Infraestructuras IT” (actividad “RET_IT_001) y “Desarrollo de
aplicaciones (SWF)” (actividad “RET_IT_011”) llevados a cabo por IBERDROLA en su
condición de encargada del tratamiento respecto de diversos tratamientos de las
sociedades del Grupo Iberdrola, entre los que se encuentran los afectados por la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/99

brecha de seguridad. Analizado dicho Registro, no se ha trasladado al mismo ninguna
de las preguntas o circunstancias de las referidas en los documentos anteriormente
reflejados y que ha indicado para todo el Grupo Iberdrola como metodología de
análisis de riesgo de los tratamientos de datos personales que se encuentra
implantada de forma automatizada en la propia herramienta corporativa de registro de
actividades de tratamiento, de forma que en el propio proceso de registro se determina
el nivel de riesgo del tratamiento.

Por tanto, IBERDROLA no ha acreditado que haya realizado un análisis de riesgos
respecto de las actividades de tratamiento antes reseñadas y que realiza en su
condición de encargado del tratamiento, por lo que tampoco ha acreditado lo que
manifiesta respecto a que ha implementado las medidas de seguridad que permitían
mitigar esos riesgos. Tampoco ha acreditado que haya valorado los riesgos inherentes
que se derivan de su participación como encargado en otros tratamientos ni que por
tanto las medidas adoptadas sean las adecuadas para mitigarlos En especial, no ha
acreditado que haya valorado los riesgos inherentes del tratamiento que él realiza
consistente en almacenar los datos personales de diferentes responsables del
tratamiento (diferentes empresas) en una misma base de datos en las que, además,
de forma excepcional (según indica) almacena datos personales en una misma Tabla
existiendo únicamente una separación lógica, lo que conlleva que no se ha acreditado
tampoco la adopción de las medidas de seguridad que permitirían mitigar esos riesgos
no evaluados.

Asimismo, analizada la metodología aportada tanto por IBERCLI como por
CURENERGÍA y que manifiestan (también IBERDROLA) que es la que se aplica a
todo el Grupo Iberdrola para la realización del análisis de riesgos, así como la
documentación aportada, especialmente el Registro de Actividades de Tratamiento
respectivos, no queda reflejado que dichos análisis están enfocados a los riesgos de
probabilidad y 0gravedad variables que para los “derechos y libertades de las
personas físicas puede conllevar el tratamiento, como pueden ser daños y perjuicios
físicos, materiales o inmateriales, en particular problemas de discriminación,
usurpación de identidad, fraude, pérdidas financieras, daño para la reputación,
pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no
autorizada de la seudonimización o cualquier otro perjuicio económico o social
significativo; en los casos en los que se prive a los interesados de sus derechos y
libertades o se les impida ejercer el control sobre sus datos personales; en los casos
en los que se evalúen aspectos personales, en particular el análisis o la predicción de
aspectos referidos al rendimiento en el trabajo, situación económica, salud,
preferencias o intereses personales, fiabilidad o comportamiento, situación o
movimientos, con el fin de crear o utilizar perfiles personales; en los casos en los que
se traten datos personales de personas vulnerables, en particular niños; o en los casos
en los que el tratamiento implique una gran cantidad de datos personales y afecte a un
gran número de interesados, etc, todo ello de conformidad con el Considerando 75 del
RGPD

Por su parte, el art. 28.2 LOPDGDD determina que “Para la adopción de las medidas
a que se refiere el apartado anterior los responsables y encargados del tratamiento
tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los
siguientes supuestos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/99

a) Cuando el tratamiento pudiera generar situaciones de discriminación,
usurpación de identidad o fraude, pérdidas financieras, daño para la
reputación, pérdida de confidencialidad de datos sujetos al secreto profesional,
reversión no autorizada de la seudonimización o cualquier otro perjuicio
económico, moral o social significativo para los afectados.

b) Cuando el tratamiento pudiese privar a los afectados de sus derechos y
libertades o pudiera impedirles el ejercicio del control sobre sus datos
personales (,,,)”

Asimismo, según se explica en la guía “Gestión del riesgo y evaluación de impacto en
tratamientos de datos personales” de la AEPD, “El RGPD establece la obligación de
gestionar el riesgo que para los derechos y libertades de las personas supone un
tratamiento. Este riesgo surge tanto por la propia existencia del tratamiento, como por
las dimensiones técnicas y organizativas del mismo. El riesgo surge tanto por el
tratamiento automatizado de datos como por su procesamiento manual, por los
elementos humanos y por los recursos implicados. El riesgo surge por los fines del
tratamiento y su naturaleza, y también por su alcance y el contexto en el que se
desenvuelve”.

Sin embargo, tal y como se ha indicado, no se han valorado estos riesgos. No se han
valorado los daños para las personas físicas, materiales o inmateriales, o al menos no
se acredita que se haya hecho, faltando, por tanto, un análisis de riesgos enfocado a
la protección de los derechos y libertades de los interesados. Asimismo, en ese
análisis de riesgo llevado a cabo tampoco se indica qué medidas de seguridad a
adoptar para paliar ese riesgo “Medio” arrojado.

Por lo expuesto, como se ha señalado anteriormente, IBERDROLA no ha acreditado lo
que manifiesta respecto de que “había llevado a cabo un análisis de los riesgos que el
tratamiento de los datos podía generar en los derechos y libertades de los
interesados, así como implementado medidas de seguridad que permitían mitigar los
mencionados riesgos”

En otro orden de cosas, alega IBERDROLA que las manifestaciones que realiza la
AEPD en la Propuesta de Resolución ponen de manifiesto la existencia de una
absoluta relación de causalidad entre la vulnerabilidad que pretende achacarse a
IBERDROLA y la producida en el aplicativo GEA. Así transcribe lo siguiente de la
Propuesta:

“(…) Por tanto, la misma no era adecuada o era insuficiente, lo cual supone
una vulneración del art. 32, pues refleja una falta o insuficiencia de medidas
apropiadas para garantizar una seguridad adecuada, según el riesgo, en el
tratamiento de los datos personales.”

Frente a ello, se significa que lo que se ha querido y se quiere indicar es que lo que se
puso de manifiesto con el ciberataque y con las declaraciones de IBERDROLA
respecto a cómo funciona la base de datos que gestiona, la separación lógica
existente en la base de datos no era adecuada por cuanto se permitía, modificando un
parámetro en una aplicación de una de las empresas, acceder a datos personales de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/99

clientes de otras empresas respecto de los cuales no existe autorización para tal
acceso. Es decir, se podía “saltar” u obviar esa separación lógica.

A este respecto, procede recordar que según lo indicado por IBERDROLA, (…).

(…)

(…):

-(…).

Por tanto, existía una separación lógica inadecuada de los datos personales de
clientes de diferentes empresas almacenados en una misma Tabla en la base de datos
gestionada por IBERDROLA, por cuanto permitía, cambiando un parámetro en una
URL (el código Cliente) en uno de los aplicativos de una de las empresas (I-DE)
acceder de forma no autorizada a datos personales de clientes de otras empresas
(IBERCLI y CURENERGIA), no garantizando, por tanto, una adecuada seguridad de
los datos personales tratados por estas dos empresas.

Por tanto, IBERDROLA, como encargada de tratamiento respecto de las actividades
de tratamiento afectadas por la brecha de datos personales, ya que les presta el
servicio consistente en “Mantenimiento y soporte de los servidores y bases de datos
que soportan las aplicaciones de los negocios afectadas por GDPR” (según la
descripción del tratamiento que realiza en el Registro de Actividades de Tratamiento,
respecto de la Actividad “RET_IT_001”), así como el “Desarrollo y Mantenimiento de
aplicaciones” (Actividad “RET_IT_011”), no garantizó adecuadamente la total
separación de los datos personales de los clientes de las diferentes empresas y que
se tratan (almacenan) en la misma base de datos (en este caso, en la misma Tabla)
que gestiona IBERDROLA.

Por tanto, IBERDROLA no ha cumplido con la obligación que, como Encargada del
Tratamiento, se deriva del RGPD de adoptar las medidas adecuadas en función del
riesgo que supone los tratamientos que realiza y que le impone el apartado 7.5 de la
Cláusula Séptima del Acuerdo Marco de protección de datos personales para el Grupo
Iberdrola”, firmado el 18 de mayo de 2018, reseñado en el Hecho Probado Octavo y
que reza así:

“7.5.-Obligaciones del Encargado del Tratamiento.

e) Medidas de Seguridad.

Conforme al RGPD, aplicar las medidas técnicas y organizativas apropiadas
para garantizar un nivel adecuado a riesgo, teniendo en cuenta el estado de la
técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los
fines de tratamiento, así como los riesgos de probabilidad y gravedad variables
para los derechos y libertades de las personas físicas.
Las medidas de seguridad a implantar son las que se indican en el Anexo III de
este Acuerdo marco PDP”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

74/99

Por su parte, tampoco ha cumplido con las obligaciones indicadas en el citado Anexo
III “Medidas de Seguridad. Ciberseguridad y Seguridad de la Información” del
mencionado Acuerdo Marco, en el que, entre otras, se indican las siguientes:

“Las condiciones de seguridad establecidas en este Anexo son aplicables a la
prestación de servicios, así como al cumplimiento de las obligaciones del Encargado
del Tratamiento de conformidad con el Acuerdo Marco de PDP

1.(…)

3.(…)

4. (…)

(…) .

Alega asimismo IBERDROLA que el razonamiento sostenido por la AEPD sólo puede
ser calificado de circular porque, siendo manifiesto que la jurisprudencia ha puesto de
relieve que la obligación de adopción de las medidas de seguridad es de medios y no
de resultado, la AEPD realiza una valoración del supuesto incumplimiento por
IBERDROLA de la obligación de implementar medidas de seguridad invirtiendo el
razonamiento que ha de seguirse para ello, al indicar a lo largo de su Propuesta de
Resolución que, en definitiva las medidas eran objetivamente inadecuadas como
consecuencia del hecho de que efectivamente se pudo producir el ataque y la brecha
de datos personales tuvo lugar.

Sostiene por ello IBERDROLA que, de este modo, la AEPD pretende eludir la doctrina
sustentada por el Tribunal Supremo en su sentencia de 15 de febrero de 2022
haciendo referencia a la insuficiencia de las medidas, pero en definitiva su
razonamiento es que el resultado es tomado en consideración como premisa para
considerar que los medios eran inadecuados antes de que se produjera.

A este respecto, procede señalar, en primer lugar, que esta Agencia no se ha basado
en el resultado del ciberataque para justificar el incumplimiento del artículo 32 del
RGPD, por cuanto, tal y como se deriva de todo lo señalado anteriormente, dicho
incumplimiento ya se producía antes y con independencia del ataque sufrido, lo cual
pone en evidencia que no se contaba con las medidas apropiadas para garantizar un
nivel de seguridad adecuado a los riesgos. Así, no ha sido el resultado, sino el hecho
de fuera posible desde un aplicativo de una de las empresas acceder a los datos
personales de clientes de otras empresas. Lo que ha hecho el incidente es
precisamente poner de manifiesto la existencia previa de esta posibilidad. Por tanto,
esa separación lógica entre los datos personales de los clientes de diferentes
empresas que se almacenaban en una misma Tabla en la base de datos, no era
adecuada. Asimismo, tampoco ha acreditado la realización de análisis de riesgos
respecto de las actividades de tratamiento que realiza como encargada de tratamiento,
por lo que no se ha acreditado que las medidas de seguridad implantadas permitieran
mitigar unos riesgos no evaluados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

75/99

En segundo lugar, en cuanto a la Sentencia del Tribunal Supremo de 15 de febrero de
2022 (recurso de casación 7359/2020), se significa, tal y como ya se señaló en la
Propuesta de Resolución, que la citada Sentencia efectivamente indica, sobre las
medidas de seguridad en materia de protección de datos, que “… la obligación que
recae sobre el responsable y sobre el encargado del tratamiento respecto a la
adopción de medidas necesarias para garantizar la seguridad de los datos de carácter
personal no es una obligación de resultado sino de medios, sin que sea exigible la
infalibilidad de las medidas adoptadas. Tan solo resulta exigible la adopción e
implantación de medidas técnicas y organizativas, que conforme al estado de la
tecnología y en relación con la naturaleza del tratamiento realizado y los datos
personales en cuestión, permitan razonablemente evitar su alteración, pérdida,
tratamiento o acceso no autorizado.” (el subrayado es nuestro)

(…) Se afirma que las medidas técnicas de seguridad referidas al programa
informático incumbían a xxxx que diseño el programa y era la responsable del fichero
y del tratamiento, y que la empresa sancionada tan solo actuaba por cuenta de ésta
recabando los datos de los clientes que optaban por la financiación. Lo cierto es que el
encargado del tratamiento -la persona física o jurídica que, sólo o conjuntamente con
otros, trate datos personales por cuenta del responsable del tratamiento, art. 4
apartado 8 del Reglamento, como el art. 3.g) de la LOPD 15/1999, y la recogida de
datos implica un tratamiento ( art. 3.c),-también deberá adoptar las medidas de índole
técnica y organizativas necesarias para garantizar la seguridad de los datos de
carácter personal, así lo dispone el art. 32.1 del Reglamento (UE) 2016/679 del
Parlamento y del Consejo y el art. 9.1 de la LOPD y está sujeto al régimen
sancionador establecido en la Ley ( art. 43 dela LOPD 15/1999).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

76/99

Debe señalarse, en primer lugar, que esta sentencia se dicta al amparo de la
normativa anterior al RGPD, en la que, conforme al sistema previsto en la LOPD y en
el RLOPD, las medidas de seguridad estaban perfectamente estandarizadas. Sin
embargo, con el RGPD se ha pasado de un sistema con medidas de seguridad
estándar y estáticas para cualquier responsable a medidas de seguridad propias para
cada organización (adaptadas a sus características e idiosincrasia), que considera los
riesgos específicos de la entidad de que se trate; además ahora son dinámicas, de tal
forma que no se agota con la implementación de las medidas de seguridad adecuadas
al riesgo al inicio de los tratamientos, sino que debe existir una adecuada gestión del
riesgo e ir adaptándose a los riesgos que vayan apareciendo.

La nueva regulación prevista en el RGPD amplía notablemente las obligaciones del
responsable del tratamiento y su ámbito de acción y responsabilidad, extendiéndose
ahora de manera clara a las actuaciones realizadas por sus encargados del
tratamiento, que quedan dentro de su ámbito de responsabilidad. Si bien en este caso,
como se ha indicado anteriormente, de los tratamientos realizados por IBERDROLA se
derivan unos riesgos específicos debido a su participación como encargado que debió
prever y mitigar y que no consta que haya hecho. Se trata de riesgos que se generan
por su propia actividad como encargado.

En segundo lugar, la Sentencia del Tribunal Supremo citada considera, en relación con
una infracción del art. 9 de la LOPDP que “la obligación que recae sobre el
responsable del fichero y sobre el encargado del tratamiento respecto a la adopción
de medidas necesarias para garantizar la seguridad de los datos de carácter personal
no es una obligación de resultado sino de medios, sin que sea exigible la infalibilidad
de las medidas adoptadas. Tan solo resulta exigible la adopción e implantación de
medidas técnicas y organizativas, que conforme al estado de la tecnología y en
relación con la naturaleza del tratamiento realizado y los datos personales en cuestión,
permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no
autorizado”.

Sobre ello precisa que “No basta con diseñar los medios técnicos y organizativos
necesarios también es necesaria su correcta implantación y su utilización de forma
apropiada, de modo que también responderá por la falta de la diligencia en su
utilización, entendida como una diligencia razonable atendiendo a las circunstancias
del caso”.

Tal y como se ha venido demostrando y argumentando a lo largo del presente
procedimiento sancionador, se considera que no había implantadas unas medidas de
seguridad apropiadas para garantizar una seguridad adecuada al riesgo, incluso
aunque no hubiera habido brecha de datos personales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

77/99

Al respecto, esta Agencia desea señalar que de ninguna manera considera que la
obligación de implementación de medidas de seguridad impuesta por la normativa de
protección de datos tenga una naturaleza de obligación de resultado y no de medios.
Pero no es menos cierto que IBERDROLA no contaba, antes de que se produjera el
incidente, con medidas que “conforme al estado de la tecnología y en relación con la
naturaleza del tratamiento realizado y los datos personales en cuestión, permitan
razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado”.

En el presente caso, tal y como se ha señalado, no estaba debidamente garantizada
esa separación lógica pues, como se ha indicado, era posible, modificando un
parámetro de una URL en un aplicativo de una de las empresas, acceder a datos
personales de clientes de otras empresas. Y ello era así con anterioridad al ataque.
Por tanto, no se está exigiendo una responsabilidad como consecuencia exclusiva de
un resultado provocado por un ciberataque. Otra cosa es que se haya puesto de
manifiesto con ocasión de la existencia de una violación de la seguridad de los datos
personales

Por último, y a mayor abundamiento de todo lo indicado, se significa que, como quiera
que frente al Acuerdo de Inicio IBERDROLA formuló alegaciones frente a la imputación
de haber incumplido en artículo 32 del RGPD, procede remitirse al apartado Cuarto del
Fundamento de Derecho IV.

SEXTA: Sobre la inexistencia de vulneración del principio de confidencialidad e
integridad.

Reseña de nuevo IBERDROLA la absoluta identidad entre las dos infracciones que se
le imputan hasta el punto de que la supuesta vulneración del artículo 5.1.f) del RGPD o
bien resulta ser el resultado de la supuesta vulneración del artículo 32 de dicho
Reglamento o bien trae causa directa, inmediata y exclusiva de este supuesto
segundo incumplimiento, es decir por la falta de medidas de seguridad adecuadas.

Señala IBERDROLA a este respecto que no se ha considerado por la AEPD la
existencia de vulneración alguna que no se refiera a las medidas de seguridad, pues
no se ha indicado ninguna medida que haya dejado de cumplir distintas a las de
seguridad que puedan ser exigibles.

A este respecto, ya se indicó en la Propuesta de Resolución que cuando el art. 5.1.f)
del RGPD se refiere a medidas técnicas u organizativas apropiadas para garantizar los
derechos y libertades de los interesados en el marco de la gestión del cumplimiento
normativo del RGPD lo hace en el sentido previsto en el art. 25 del RGPD relativo a la
privacidad desde el diseño.

Este precepto determina que,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

78/99

Debe señalarse que hay múltiples medidas técnicas u organizativas que no son de
seguridad y que puede implementar el responsable del tratamiento como cauce para
garantizar este principio.

En este sentido, IBERDROLA no ha acreditado que haya cumplido con lo establecido
en dicho precepto, puesto que no se ha acreditado que, de conformidad con los
riesgos de diversa probabilidad y gravedad que entraña el tratamiento, para los
derechos y libertades de las personas físicas, haya aplicado medidas técnicas y
organizativas apropiadas como por ejemplo, la seudonimización, concebidas y
dirigidas a aplicar de forma efectiva los principios de protección de datos, entre los que
se encuentra el principio de confidencialidad.

Por tanto, el RGPD exige la aplicabilidad de la protección de datos desde el diseño y la
necesidad de gestionar tanto los riesgos para los derechos y libertades de los
individuos, como el impacto para esos derechos y libertades que podría tener una
brecha de datos, sobre todo en entornos web, debido a que pueden afectar a un gran
volumen de población.

Según se recoge en las orientaciones para tratamientos que implican comunicación de
datos entre administraciones públicas de esta Agencia, cuyos razonamientos resultan
extrapolables a grandes organizaciones que manejen gran cantidad de datos, siempre
existen riesgos relacionados con las brechas de datos personales. Sin embargo, estos
serán especialmente considerables en tratamientos de datos personales llevados a
cabo por grandes organizaciones públicas y privadas que estén dando servicio a gran
parte de los ciudadanos, y aun mucho más si están interconectadas. Es muy
importante tener en cuenta que el riesgo que pueden suponer brechas de datos
personales en dichos tratamientos no depende tanto de que se traten categorías de
datos sensibles y/o especialmente protegidos como de las consecuencias para los
derechos fundamentales que se pueden derivar de un compromiso de la información.

Para estimar el impacto que pudiera tener una brecha de datos personales hay que
plantearse las consecuencias que se derivarían de su materialización. Una forma de
hacerlo es, antes que se produzca una brecha, plantearse los posibles escenarios de
materialización de un compromiso de los datos personales, determinar sus
consecuencias, y evaluar cómo afecta a los derechos y libertades de los interesados,
sobre todo si se trata de consecuencias irreversibles en sus derechos fundamentales
En cuanto a las medidas apropiadas al nivel de riesgos para los derechos y libertades,
el art. 24.1 del RGPD establece que las medidas que se han de adoptar en un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

79/99

tratamiento para garantizar y poder demostrar su conformidad con el Reglamento
deben tener en cuenta el ámbito, el contexto y los fines del tratamiento, debiendo
atender, en particular, a la extensión de sujetos afectados por el mismo y al riesgo que
supone para los derechos fundamentales y no sólo la tipología de los datos.

En las referidas Orientaciones se indica que “las medidas técnicas y organizativas que
se adopten han de estar dirigidas específicamente a minimizar los riesgos
identificados para los derechos y libertades de las potenciales brechas de datos
personales. Esto implica que el responsable ha de evaluar los riesgos que pueden
aparecer, diseñar medidas orientadas a minimizar su probabilidad e impacto, y
determinar en qué grado dichas medidas están gestionando apropiadamente los
riesgos concretos en un proceso dinámico”

Y se añade que “Las medidas apropiadas han de seleccionarse e implementarse
desde el diseño de los tratamientos con el objeto de que todos los contextos de riesgo
para los derechos y libertades sean considerados. Hay que tener en cuenta que
algunas medidas serán más eficaces para evitar o mitigar el impacto directo sobre los
individuos y otras medidas lo serán principalmente sobre el impacto social para los
derechos fundamentales. Es necesario aplicar un alto nivel de protección de datos por
defecto (…)”

No se discute que una brecha de datos personales se pueda producir, por ello dentro
de la gestión del riesgo de una determinada organización, precisamente porque se
puede llegar a producir una brecha, debe encontrarse evaluado dicho escenario como
parte indisoluble de la gestión del riesgo a los efectos de (i) adoptar todo tipo de
medidas técnicas y organizativas apropiadas para evitar que se materialice y (ii)
determinar medidas a posteriori para minimizar los daños. Sobre este particular las
citadas Orientaciones explican que “ante los posibles escenarios de materialización de
distintos tipos de brechas hay que encontrar respuesta, al menos, a las siguientes
preguntas desde el diseño del tratamiento y previamente a su implementación:

• Qué impacto personal y social puede tener una brecha de datos personales si se
materializa.

• Qué medidas de protección de datos deberían estar implementadas a priori para
minimizar el impacto personal y social que pudiera producir una brecha materializada.

• Qué medidas de respuesta deben estar previstas y deben ejecutarse a posteriori,
una vez producida la brecha, para minimizar el impacto personal y social”.

Por lo tanto, su gestión no puede estar basada exclusivamente en el ámbito de la
ciberseguridad, sino que tiene que englobar todos los ámbitos en los que se desarrolle
el tratamiento, puesto que, si no, la gestión del riesgo no sería completa, y, por tanto,
sería inútil. Para ello resulta imprescindible la adopción de medidas específicas para la
protección de datos desde el diseño y por defecto, y además medidas para una
gestión eficaz de las consecuencias de la brecha orientada a proteger los derechos
fundamentales de las personas físicas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

80/99

Como se ha señalado, hay múltiples medidas técnicas u organizativas que no son de
seguridad y que puede implementar el responsable del tratamiento como cauce para
garantizar el principio de confidencialidad.

En este sentido, IBERDROLA no ha acreditado que haya cumplido con lo establecido
en el RGPD, puesto que no se ha acreditado que, de conformidad con todo lo anterior,
haya evaluado esos riesgos y aplicado medidas técnicas y organizativas apropiadas
dirigidas a aplicar de forma efectiva los principios de protección de datos, entre ellas
medidas dirigidas a garantizar el principio de confidencialidad. Y junto a ello se ha de
resaltar que en este caso se ha materializado la quiebra del principio de
confidencialidad.

A mayor abundamiento, y aparte de lo anterior, ni siquiera en el análisis de los riesgos
para adoptar las medidas de seguridad del artículo 32 se han indicado cuáles son las
medidas a adoptar para paliar ese riesgo “medio” que indica que tiene la actividad de
tratamiento afectada por la brecha, tal y como se le indica posteriormente de forma
más extensa y pormenorizada en la respuesta a la alegación Cuarta del presente
Fundamento de Derecho.

Por tanto, en el supuesto examinado, tal y como consta en los hechos probados, hay
una clara pérdida de confidencialidad pues se ha producido el acceso por un tercero
no autorizado a los datos personales tratados por IBERCLI y CURENERGÍA respecto
de las cuales IBERDROLA actúa como encargada del tratamiento, lo que no supone
una responsabilidad objetiva, pues IBERDROLA no fue diligente al no garantizar, de
esta forma, una seguridad adecuada mediante la aplicación de las medidas técnicas y
organizativas apropiadas, no sólo de seguridad, sino de todo tipo.

En cuanto a lo señalado por IBERDROLA relativo a que esta AEPD no ha acreditado
de ninguna forma la materialización del riesgo que supone la pérdida de
confidencialidad para las personas afectadas, que ningún cliente de IBERCLI ni de
CURENERGIA han visto afectados sus derechos como consecuencia de la brecha de
seguridad acaecida, lo cual entiende que no permite considerar infringido un principio
e imponer como consecuencia de dicha supuesta infracción la multa de dos millones
de euros sobre la base de una mera potencialidad o la consideración de que se podría
producir un alto riesgo de fraude, en modo alguno acreditado.

Frente a ello, y tal y como ya se le indicó en la Propuesta de Resolución, lo que se le
imputa a IBERDROLA es la vulneración del principio de confidencialidad pues consta
que, tras sufrir un ataque informático a través del aplicativo la web GEA, se produjo un
acceso ilegítimo y la extracción por un tercero no autorizado de los datos personales
tratados por CURENERGÍA e IBERCLI, lo que supuso la pérdida de confidencialidad y
de control de numerosos datos personales (…) y que afectó a 1.515.000 clientes de
IBERCLI y a 92.550 de CURENERGIA. Por tanto, el riesgo sí se materializó,
consistente en la pérdida de confidencialidad y la pérdida de control sobre los datos.

Lo que se garantiza es la confidencialidad a fin de evitar los graves daños que puede
producir su quiebra, pues supone un riesgo alto para los interesados -en caso de
vulnerarse la confidencialidad-, de un uso fraudulento de los datos: suplantación de la
identidad para la contratación en línea, phishing, fraude financiero, etc. La pérdida de
confidencialidad ya se ha producido en este caso al haberse producido el acceso y la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

81/99

exfiltración, con lo cual no es ya que exista “probabilidad” de riesgo, sino concreción
de este riesgo causando un daño por sí mismo. Ello supone el incumplimiento del
deber de garantizar la confidencialidad de los datos personales, pues como se ha
indicado, el artículo 5.1.f) señala que deben ser tratados de tal manera que se
garantice una seguridad adecuada de los datos personales, incluida la protección
contra el tratamiento no autorizado o ilícito.

Asimismo, en cuanto a que ninguno de sus clientes se ha visto afectados en ninguno
de sus derechos como consecuencia de la brecha de seguridad, olvida IBERDROLA
que la propia pérdida de confidencialidad sufrida supone en sí misma que se vea
afectado el núcleo del derecho fundamental a la protección de datos, que no es otro
que la de disponer del control de los datos personales.

En cuanto a que se señaló el alto riesgo de que esos datos, en manos de
ciberdelincuente/s, se usaran de forma fraudulenta, ello se indicó para expresar lo que
supone la pérdida de confidencialidad, pero no es necesario en modo alguno, para
entender infringido el artículo 5.1.f), que dichos riesgos de uso fraudulento se
materialicen, porque lo que se ha materializado con la brecha es la pérdida de
confidencialidad de los datos personales tratados por IBERDROLA, que es lo que se le
imputa exclusivamente.

Por lo expuesto, se desestima la alegación.

SÉPTIMA: Sobre la vulneración del principio de proporcionalidad en detrimento de los
derechos de IBERDROLA

Llama la atención IBERDROLA que se han aplicado las mismas circunstancias
agravantes en relación con las dos infracciones imputadas, lo que entiende que
evidencia hasta qué punto la conexión entre ambas en total, procediendo la aplicación
de lo invocado en las alegaciones Segunda y Tercera (vulneración del principio non bis
in ídem y existencia de concurso medial)

A este respecto, ya se le indicó, en relación con la aplicación de idénticos agravantes
en ambas infracciones, que las circunstancias previstas en el art. 83.2 del RGPD y las
dispuestas en el art. 76.2 de la LOPDGDD son las únicas que se pueden aplicar por la
AEPD para cualquier infracción.

Lo determinante en este caso no es que coincidan en su uso, sino la fundamentación
que se establezca para su consideración.

Asimismo, alega IBERDROLA la Improcedente aplicación del artículo 83.2.a) del
RGPD, llamando la atención sobre el hecho de que se haya considerado que procede
agravar la sanción impuesta por el hecho de que se haya producido una pérdida de
confidencialidad de los datos personales, tanto en relación con el artículo 32 como con
el artículo 5.1.f)

Así, sostiene IBERDROLA que, en relación con la infracción del artículo 32, conforme
al concepto tradicional de seguridad en los sistemas, la misma tiene por objeto la
garantía de la integridad, confidencialidad y disponibilidad de la información, por lo
que, si la AEPD considera que el hecho de que se produzca una brecha de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

82/99

confidencialidad agravaría la conducta consistente en la supuesta ausencia de tales
medidas de seguridad, toda imputación por la supuesta infracción del artículo 32,
resultará agravada por la AEPD, lo que conllevaría la inclusión en el catálogo de
infracciones de una suerte de tipo agravado por su propia naturaleza, lo que sin
embargo no aparece recogido en el RGPD ni en la LOPDGDD.

A este respecto, procede señalar, en contra de lo argumentado, que la vulneración de
la confidencialidad no resulta necesaria o imprescindible en la comisión de la
infracción del artículo 32, pues tal y como ya se ha indicado anteriormente, se puede
vulnerar el citado artículo 32 por ausencia de medidas de seguridad apropiadas o por
ineficiencia en su utilización o implantación, sin que necesariamente se haya
producido una brecha de datos personales. Otra cosa distinta es que se ponga en
evidencia la infracción del artículo 32 como consecuencia de la materialización de una
violación de la seguridad de los datos personales que, por su propia definición, supone
“toda violación de la seguridad que ocasione la destrucción, pérdida o alteración
accidental o ilícita de datos personales transmitidos, conservados o tratados de otra
forma, o la comunicación o acceso no autorizados a dichos datos” (apartado 12 de
artículo 4 del RGPD)

Por tanto, en el presente caso, la separación lógica existente en la base de datos no
era adecuada por cuanto se permitía, modificando un parámetro en una aplicación de
una de las empresas, acceder a datos personales de clientes de otras empresas
respecto de los cuales no existe autorización para tal acceso.

Ello pone de manifiesto que IBERDROLA no estaba aplicando medidas apropiadas
para garantizar un nivel de seguridad adecuado al riesgo de sus tratamientos, lo cual
supone en sí mismo una vulneración del artículo 32. Si además dichas deficiencias
han permitido o facilitado, como es el caso, que se haya producido una brecha de
datos personales (en este caso, brecha de confidencialidad), no existe óbice alguno
para considerar dicha violación como una circunstancia agravante del artículo 83.2.a) ,
el cual permite tener en cuenta la “naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento
de que se trate así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido” (el subrayado es nuestro).

En cuanto a la aplicación del agravante del artículo 83.2.a) por vulneración del artículo
5.1.f), si bien es cierto que la vulneración de la confidencialidad no resulta adecuada
como circunstancia a tener en cuenta para agravar la infracción por cuanto se
encuentra subsumida en el propio tipo infractor, también lo es que dicho precepto, el
83.2.a) del RGPD se ha aplicado como agravante teniendo en cuenta, además, el
número de interesados afectados, que son muy numerosos, que asciende a más de un
millón de personas (1.607.550) así como que fueron sustraídos numerosos datos
personales (…), por lo que procede seguir teniendo en cuenta estas circunstancias
como agravantes, por lo que sigue siendo aplicable el artículo 83.2.a) del RGPD.

En cuanto a que IBERDROLA entiende que en relación a esta agravante se pretenden
tener en cuenta unos supuestos daños y perjuicios sufridos, los cuales no han sido
acreditados por la AEPD, se significa que lo que se tiene en cuenta en dicha agravante
es el daño y riesgo que supone en sí mismo a pérdida de confidencialidad, que
conlleva una total pérdida de control sobre los propios datos personales y el alto riesgo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

83/99

que conlleva de que se usen de forma fraudulenta, pues han sido sustraídos por un
ciberdelincuente.

Por otro lado, aduce IBERDROLA que no se le puede aplicar la agravante del artículo
83.2.b) del RGPD relativa a la existencia de negligencia ya que, en la Sentencia del
Tribunal de Justicia Europeo, de 5 de diciembre de 2023 (asunto C-807/21), se declara
que:

“75 En consecuencia, procede declarar que el artículo 83 del RGPD no
permite imponer una multa administrativa por una infracción contemplada en
sus apartados 4 a 6 sin que se demuestre que dicha infracción fue cometida de
forma intencionada o negligente por el responsable del tratamiento y que, por
lo tanto, la culpabilidad en la comisión de la infracción constituye un requisito
para la imposición de la multa.”

De ello deduce IBERDROLA que si es necesaria esa intencionalidad o negligencia
para que pueda considerarse cometida la infracción, difícilmente puede considerarse
que la forma más grave de culpabilidad exigible puede actuar como circunstancia
agravante, y menos aún sobre un criterio subjetivo, como es el volumen de
IBERDROLA.

Frente a ello, procede señalar que una cosa es que, para poder imputar una infracción
administrativa sea necesario la existencia de intención o negligencia y otra, que no
pueda utilizarse como agravante la existencia de una negligencia especialmente
puesta de relieve, por las circunstancias del caso. Lo opuesto sería contrario al propio
artículo 83.2.b) que establece que “Al decidir la imposición de una multa administrativa
y su cuantía en cada caso individual se tendrá debidamente en cuenta:

b) la intencionalidad o negligencia en la infracción”

Así, en cualquier infracción de la normativa en materia de protección de datos ha de
concurrir la existencia de intencionalidad o de negligencia. Y ello tanto a un
responsable de tratamiento persona física, como persona jurídica, ya sea una pequeña
empresa con poca vinculación con el tratamiento de datos personales, ya sea una
gran empresa, una multinacional, etc, y con tratamientos de datos personales de forma
continua y a gran escala, por ejemplo.

Por tanto, una vez determinado que, como premisa, concurre este elemento subjetivo
culpabilístico de base, ello no obsta que se pueda considerar la agravante de
intencionalidad o de negligencia indicada por considerar que, de conformidad con las
circunstancias concretas del caso, se considere un diferente grado de intencionalidad
o de negligencia en el actuar del sujeto infractor. Así, de conformidad con las
Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las
multas administrativas con arreglo al RGPD, en su versión 2.1, adoptadas el 24 de
mayo de 2023, señala lo siguiente:

“4.2.2 — Carácter intencional o negligente de la infracción

55. En sus orientaciones anteriores el CEPD declaró que «en general, la intención
incluye tanto el conocimiento como la voluntad en relación con las características de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

84/99

un delito, mientras que «no intencional» significa que no hubo intención de causar la
infracción, aunque el responsable/encargado del tratamiento incumplió el deber de
cuidado exigido por la ley.

Ejemplo 4 — Ilustraciones de intención y negligencia (del WP 253)

«Las circunstancias indicativas de infracciones intencionales pueden ser un
tratamiento ilícito autorizado explícitamente por la alta jerarquía de la dirección del
responsable del tratamiento, o a pesar del asesoramiento del delegado de protección
de datos o incumpliendo las políticas existentes, por ejemplo, la obtención y el
tratamiento de datos sobre los empleados de un competidor con la intención de
desacreditar a ese competidor en el mercado. Otros ejemplos aquí pueden ser:

- la modificación de los datos personales para dar una impresión (positiva)
engañosa sobre si se han cumplido los objetivos; lo hemos visto en el contexto
de los objetivos para los tiempos de espera hospitalarios

- el comercio de datos personales con fines comerciales, es decir, la venta de
datos como «optados» sin comprobar o ignorar las opiniones de los
interesados sobre cómo deben utilizarse sus datos

Otras circunstancias, como la falta de lectura y cumplimiento de las políticas
existentes, el error humano, la falta de comprobación de los datos personales en la
información publicada, la falta de aplicación de actualizaciones técnicas en el
momento oportuno, la falta de adopción de políticas (en lugar de simplemente la falta
de aplicación) pueden ser indicativos de negligencia»;

56. El carácter doloso o negligente de la infracción [artículo 83, apartado 2, letra b), del
RGPD] debe evaluarse teniendo en cuenta los elementos objetivos de conducta
obtenidos de los hechos del asunto. El CEPD destacó que en general se admite que
las infracciones intencionales, «demostrar el desprecio por las disposiciones de la ley,
son más graves que las no intencionales» En caso de infracción intencionada, es
probable que la autoridad de control atribuya más peso a este factor. Dependiendo de
las circunstancias del caso, la autoridad de control también puede atribuir peso al
grado de negligencia. En el mejor de los casos, la negligencia podría considerarse
neutral.” (el subrayado es nuestro)

En el presente caso, se aprecia la agravante de negligencia por cuanto IBERDROLA
gestiona una base de datos en los que se almacenan datos personales de clientes de
diferentes empresas, debiendo garantizar en todo momento una seguridad adecuada
para dicho tratamiento y una separación absoluta. Sin embargo, existía una
inadecuada configuración que no garantizaba una apropiada separación lógica y que
permitía que desde un aplicativo de una de las empresas se pudieran realizar accesos
no autorizados a los datos personales de otras empresas.

Asimismo, en relación con la infracción del artículo 5.1.f) del RGPD, se aprecia
también como agravante la negligencia mostrada por IBERDROLA por cuanto, como
se ha señalado, por sus circunstancias subjetivas y por el elevado número de datos
personales de numerosos clientes de las empresas respecto de las que actúa como
encargada del tratamiento (21 millones de clientes de I-DE; 8 millones de IBERCLI; 3
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

85/99

millones de CURENERGÍA), le es exigible un mayor grado de profesionalidad y de
diligencia en el deber de garantizar la confidencialidad de los datos personales de
esas empresas.

En cuanto a la consideración del tamaño de IBERDROLA como agravante, procede
señalar que no se puede exigir el mismo nivel de diligencia a una empresa como
IBERDROLA, que la exigible a una persona física o a un pequeño comercio, por
ejemplo. Ello supone que se le exige un nivel de diligencia mayor por cuanto el nivel
de profesionalidad es mayor.

Procede recordar de nuevo, en este sentido, la Sentencia de la Audiencia Nacional de
17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el
continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad
o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la
actividad de la recurrente es de constante y abundante manejo de datos de carácter
personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
previsiones legales al respecto”.

Por último, en contra de lo manifestado por IBERDROLA, la consideración de esta
agravante de negligencia en ningún momento ha supuesto que se haya incrementado
el límite máximo de la sanción a imponer, pues los límites máximos se encuentran
establecidos en los apartados 4 y 5 del artículo 83 del RGPD, los cuales permiten
imponer una sanción, respectivamente de 10.000.000 de euros o el 2% del volumen
de negocio total anual global y de 20.000.000 de euros o el 4% del volumen de
negocio total anual global. Por tanto, en ningún momento se ha establecido el importe
máximo de la sanción que podría imponerse como consecuencia de la aplicación de
las agravantes tal y como indica IBERDROLA.

En cuanto a la circunstancia agravante recogida en el artículo 76.2.b de la LOPDGDD,
señala IBERDROLA que se le está agravando su conducta por el mero hecho de
pertenecer a un sector de actividad concreto. A este respecto, se significa que en dicho
precepto no se tiene en consideración la actividad concreta a la que se dedica
IBERDROLA (sector eléctrico), sino su vinculación con la realización de tratamientos
de datos personales, ya que realiza tratamientos masivos y a gran escala (al menos 21
millones de clientes de I-DE; 8 millones de IBERCLI; 3 millones de CURENERGÍA) y
de forma continua.

En este sentido, el legislador español ha considerado incluir en el artículo 76 de la
LOPDGDD que: “2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento
(UE) 2016/679 también podrán tenerse en cuenta:
(…)
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.”

Esta Agencia simplemente toma en consideración esa circunstancia, prevista por el
legislador, a la hora de decidir la imposición de la multa administrativa.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

86/99

Por último, alega IBERDROLA la ruptura del principio de igualdad de trato si se tiene
en consideración los precedentes de esta Agencia. Así, señala el procedimiento
PS/000179/2020 en el que indica que se impuso una sanción menor a pesar de
entender que las circunstancias fueron más graves, pero que, sobre todo, en dicho
expediente no se impuso sanción alguna por vulneración del artículo 5.1.f) del RGPD,
pese a ser manifiesta la existencia de una brecha de confidencialidad de los datos,
habiendo la AEPD por tanto modificado su criterio, pues al convertir ahora lo que se
consideraba una infracción del artículo 32 del RGPD en dos infracciones, al hacer
ahora referencia al 5.1.f) del RGPD, y multiplicar considerablemente el importe total de
la infracción, supone una flagrante quiebra del principio de igualdad, de seguridad
jurídica y fe pública. Asimismo, señala que ello va también en contra de la doctrina de
los actos propios.

Frente a ello, tal y como ya se señaló en la Propuesta de Resolución, las
circunstancias y los hechos del procedimiento PS/000179/2020 no son iguales ni
equiparables, así como que no cabe igualdad en la ilegalidad, por lo que no cabe
intentar equiparar sanciones ante hechos y circunstancias diferentes. Por tanto,
procede remitirse a lo respondido frente a esta misma alegación y que aparece
transcrito en su totalidad en el apartado Sexto del Fundamento de Derecho IV de la
presente Resolución.

En cuanto a lo que sostiene IBERDROLA relativo a que se ha vulnerado el principio de
igualdad también en el hecho de que en el PS/000179/2020 únicamente se sancionó
por una infracción del artículo 32 y no se consideró infracción del artículo 5.1.f) del
RGPD, habiendo existido también una brecha de confidencialidad, y que ello además
va contra la doctrina de los actos propios, se significa que IBERDROLA únicamente ha
seleccionado y trae a colación este expediente para defender un supuesto trato
desigual pero que, sin embargo, obvia los numerosos procedimientos sancionadores
existentes con anterioridad al presente en el que, tras producirse una brecha de
confidencialidad, se ha sancionado por haberse infringido ambos preceptos. A modo
de ejemplo y sin carácter exhaustivo, pues existen más, procede indicar los siguientes:
PS/00444/2021, PS/00420/2021, PS/00528/2021, PS/00099/2022, PS/00113/2022,
PS/00164/2022, PS/00419/2022, PS/00168/2022.

Por último, en cuanto al procedimiento PS/0002/2023 en el cual se han impuesto
también dos sanciones por infringir tanto el artículo 32 y el 5.1.f) del RGPD y que por
referirse también a una empresa del sector eléctrico, trae a colación IBERDROLA para
hacer una comparativa, porque allí se impuso, en la suma total de las dos sanciones
por estas dos infracciones, un importe que sólo supera en un millón euros a las
impuestas a IBERDROLA, a pesar de que hubo afectados perjudicados, se significa de
nuevo que los hechos y las circunstancias son diferentes y que, por ello, se impuso
una multa diferente (en este caso superior), además de otras multas por otras
infracciones distintas que se consideraron.

En este sentido, de nuevo se recuerda que, en materia de protección de datos, las
medidas técnicas y organizativas de seguridad a adoptar por los responsables y
encargados del tratamiento y demás obligaciones a cumplir exigidas por el RGPD,
deben ser las adecuadas en relación con los concretos riesgos que suponen los
específicos tratamientos que realice cada responsable. Por tanto, al analizar la
diligencia de unos y otros en el cumplimiento de la normativa ha de estarse a las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

87/99

circunstancias de cada caso, teniendo en cuenta la naturaleza, el alcance, el contexto
y los fines de cada tratamiento, no existiendo, por tanto, casos idénticos. En este
sentido, debe recordarse que el artículo 83, en su apartado 2 establece que “Las
multas administrativas se impondrán, en función de las circunstancias de cada caso
individual…” (el subrayado es nuestro). No debe obviarse que en aquél procedimiento
se impuso una multa superior en un millón de euros en relación con el presente.

Por tanto, hay que atender a las circunstancias de cada caso individual, no existiendo
dos expedientes iguales y, por tanto, con resultados iguales.

Como consideración general y final, procede señalar que ninguna de las sanciones
aplicadas vulnera el principio de proporcionalidad. Así, debe recordarse que los
artículos 83.4 y 83.5 del RGPD, donde se encuentran tipificadas respectivamente la
infracción del artículo 32 y la del artículo 5.1.f), establecen unos límites en las cuantías
de las multas que se pueden imponer muy alejados de las que finalmente se han
establecido.

Así, el artículo 83.4 del citado Reglamento, establece que se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía. A este respecto, de conformidad con la entidad Axesor, el volumen
de negocios para 2022 de IBERDROLA fue de ***CANTIDAD.2 de euros, lo que
hubiera permitido imponer una sanción de hasta ***CANTIDAD.3 de euros, por la
infracción del artículo 32.

Por su parte, el artículo 83.5 del RGPD establece que se sancionarán, de acuerdo con
el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía. A este respecto, de conformidad con el volumen de negocios
indicado, hubiera permitido imponer una sanción de hasta ***CANTIDAD.4 de euros,
por la infracción del artículo 5.1.f).

Por tanto, teniendo en cuenta lo anterior, así como la negligencia de IBERDROLA al
gestionar una base de datos en la que se almacenan datos personales de millones de
clientes de diferentes empresas, lo que le obliga a garantizar en todo momento una
seguridad adecuada para dicho tratamiento y una separación absoluta, existía, sin
embargo, una inadecuada configuración que no garantizaba una apropiada separación
lógica y que permitía que desde un aplicativo de una de las empresas se pudieran
realizar accesos no autorizados a los datos personales de otras empresas. Asimismo,
teniendo en cuenta el elevado número de personas afectadas cuyos datos personales
fueron exfiltrados por un ciberdelincuente, lo cual supone una pérdida de control sobre
los datos personales de forma irremediable, con el riesgo que ello supone, no puede
decirse que las sanciones finalmente impuestas vulneren el principio de
proporcionalidad, teniendo en cuenta que “Cada autoridad de control garantizará que
la imposición de las multas administrativas con arreglo al presente artículo por las
infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en
cada caso individual efectivas, proporcionadas y disuasorias” (el subrayado es
nuestro)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

88/99

Por lo expuesto, se desestima la alegación.

VI
Integridad y confidencialidad

El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:

“1. Los datos personales serán:
(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o
ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación
de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»).”

El principio de integridad y confidencialidad de los datos exige una garantía de
seguridad en la aplicación de medidas técnicas u organizativas que eviten la alteración
de los datos personales, su pérdida, tratamiento o acceso no autorizado o ilícito. No es
posible la existencia de este derecho fundamental si no se garantizan la
confidencialidad, la integridad y la disponibilidad de los mismos.

De ahí que la integridad y la confidencialidad de los datos personales se consideren
esenciales para evitar que los interesados sufran efectos negativos. Por ello, deben
tratarse de un modo que se garantice una integridad y confidencialidad adecuadas de
los datos personales, especialmente para impedir el acceso tratamiento o uso no
autorizados de dichos datos.

En definitiva, tanto el responsable como el encargado del tratamiento tienen la
obligación de integrar las garantías necesarias en el tratamiento, con la finalidad de,
en virtud del principio de responsabilidad proactiva, cumplir y ser capaz de demostrar
el cumplimiento, al mismo tiempo que respeta el derecho fundamental a la protección
de datos.

A este respecto, debe recordarse que la confidencialidad de los datos personales se
regula en el artículo 5 del RGPD siendo, por tanto, uno de los principios relativos al
tratamiento. Los principios relativos al tratamiento son, por un lado, el punto de partida
y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo
verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro
lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento
susceptibles de ser infringidas.

El artículo 5.1.f) del RGPD establece una obligación clara de cumplimiento consistente
en impedir tratamientos no autorizados o ilícitos implementando medidas de seguridad
adecuadas. Por tanto, debe estarse en disposición de garantizar la confidencialidad de
los datos personales para impedir que un tercero acceda a datos que no son de su
titularidad, pues es obligatorio tratar los datos personales conforme al RGPD y
LOPDGDD. Por esta razón, es una actividad en donde la diligencia prestada por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

89/99

responsables y por encargados del tratamiento es fundamental para evitar este tipo de
accesos no autorizados.

En el presente caso, se ha vulnerado el principio de confidencialidad pues consta que
tras sufrir un ataque informático contra un aplicativo web de la empresa I-DE (GEA),
además de producirse un acceso ilícito a datos personales tratados por ésta, se
produjo también un acceso ilegítimo a datos personales -y la extracción de los
mismos- de dos empresas distintas de la primera y tratados por IBERDROLA en
calidad de encargado del tratamiento.

A este respecto, debe recordarse que IBERDROLA, como encargada de tratamiento
de IBERCLI y de CURENERGÍA, trata datos personales por cuenta de ellas,
concretamente en este caso, IBERDROLA gestiona y administra los sistemas y la base
de datos donde se alojan los datos personales de estas dos empresas. Sin embargo,
el ataque sufrido por otra empresa del Grupo (y que aloja sus datos también en el
mismo lugar) ha conllevado la exfiltración de datos personales contenidos en la base
de datos referida y pertenecientes a clientes de otras entidades del Grupo, no
habiéndose garantizado, por tanto, la confidencialidad de los datos personales de unas
y otras.

Ello ha conllevado la pérdida de confidencialidad y de control de numerosos datos
personales (…) y que ha afectado a 1.515.000.000 clientes de IBERCLI y a 92.550
clientes de CURENERGÍA. Ello supone el incumplimiento del deber de garantizar la
confidencialidad de los datos personales, pues como se ha indicado, el artículo 5.1f)
señala que deben ser tratados de tal manera que se garantice una seguridad
adecuada de los datos personales, incluida la protección contra el tratamiento no
autorizado o ilícito.

Por tanto, el riesgo de pérdida de confidencialidad se ha materializado, habiendo sido
usurpados por un ciberdelincuente, lo que supone que pueden ser utilizados para usos
no conocidos (vendidos, comunicados, publicados, etc.), todo ello sin consentimiento
de sus titulares, conllevando una pérdida total y absoluta de control sobre los mismos.
Además, supone también un riesgo muy alto de uso fraudulento de los mismos
(usurpación de identidad, fraude, pérdidas financieras, etc) o de que sirvan para
cualquier otra utilidad que en determinadas circunstancias constituya una amenaza
para sus titulares. Debe tenerse en cuenta además que la mayoría de los datos
personales filtrados son datos que no pueden ser modificados o cambiados por otros
(nombre, apellidos, DNI, domicilio…)

Esta pérdida de control sobre los propios datos personales se traduce en una
vulneración del derecho fundamental a la protección de datos reconocido en el artículo
18 de la Constitución Española pues tal y como ha indicado el Tribunal Constitucional
(Sentencia 292/2000, de 30 de noviembre de 2000) “el derecho fundamental a la
protección de datos persigue garantizar a la persona un poder de control sobre sus
datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y
lesivo para la dignidad y derecho del afectado (…) El derecho a la protección de datos
garantiza a los individuos un poder de disposición sobre esos datos”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

90/99

Por todo lo expuesto y de conformidad con las evidencias de las que se dispone, se
considera que los hechos conocidos son constitutivos de una infracción, imputable a
IBERDROLA, por vulneración del artículo 5.1.f) del RGPD.

VII
Tipificación de la infracción del artículo 5.1.f) del RGPD

La citada infracción del artículo 5.1.f) del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

VIII
Sanción por la infracción del artículo 5.1.f) del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone, procede graduar la sanción a
imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del
RGPD:

Como agravantes:

- Artículo 83.2.a) RGPD: Naturaleza, gravedad y duración de la infracción.

-Número de interesados afectados: son muy numerosos los afectados, pues
asciende a más de millón y medio de personas (1.607.550).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

91/99

-Nivel de los daños y perjuicios sufridos: Alto. Fueron sustraídos numerosos
datos personales (…) y de un número muy considerable de clientes (1.607.550)
por parte de un ciberdelincuente, perdiendo, por tanto, todo control sobre los
mismos, lo que supone riesgo alto de uso fraudulento (usurpación de identidad,
fraude, pérdidas financieras, etc), vaciando así de contenido el derecho
fundamental a la protección de datos personales que, como indica el Tribunal
Constitucional en la Sentencia anteriormente reseñada, persigue garantizar a la
persona un poder de control y disposición sobre sus datos personales, sobre su
uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la
dignidad y derecho del afectado.

- Artículo 83.2.b) RGPD. Intencionalidad o negligencia en la infracción: Se observa la
existencia de negligencia en el cumplimiento y observancia de las medidas técnicas y
organizativas para garantizar la seguridad necesaria para la protección de los datos
personales, concretamente para garantizar la confidencialidad de estos. A este
respecto, debe recordarse que IBERDROLA es una gran empresa, que realiza, como
encargado, tratamientos a gran escala, afectando sus tratamientos a numerosas
personas físicas (de las propias declaraciones realizadas por las tres empresas
afectadas por la brecha, al menos trata datos de 21 millones de personas) por lo que
se le exige un nivel de diligencia mayor y medidas de seguridad adecuadas para
garantizar la confidencialidad de los datos personales que trata.

Procede recordar, en este sentido, la Sentencia de la Audiencia Nacional de
17/10/2007 (rec. 63/2006), que respecto de entidades cuya actividad lleva aparejado el
continuo tratamiento de datos de clientes, indica “…el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad
o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la
actividad de la recurrente es de constante y abundante manejo de datos de carácter
personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
previsiones legales al respecto.”

Como atenuantes:

- Artículo 83.2.c) RGPD. Medidas tomadas por el responsable o encargado para paliar
los daños y perjuicios sufridos por los interesados: Positivas. En cuanto que fue ella
quien, al detectar problemas de rendimiento y disponibilidad en la Web, confirmó que
se trataba de una quiebra y procedió a bloquear la IP del atacante y a comunicar la
brecha a I-DE, lo que pudo haber evitado un impacto mucho más grave. También
gestionó la brecha de forma conjunta con I-DE.

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:

Como agravantes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

92/99

- Artículo 76.2.b) LOPDGDD. Vinculación de la actividad del infractor con la realización
de tratamientos de datos de carácter personal: El desarrollo de la actividad
empresarial que desempeña IBERDROLA supone un tratamiento continuo y a gran
escala de datos personales, pues trata datos como encargado de al menos 21
millones de personas. Por tanto, se trata de una empresa grande habituada al
tratamiento de datos personales.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone, teniendo en cuenta las
circunstancias del caso y los criterios que establece el artículo 83.2 del RGPD con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.f) del
RGPD, permite fijar una sanción de 2.000.000 € (dos millones de euros).

IX
Artículo 32 del RGPD

El Artículo 32 “Seguridad del tratamiento” del RGPD establece:

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;

b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;

c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;

d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

93/99

tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.

El artículo 32 no establece medidas de seguridad estáticas, sino que corresponderá a
responsables y encargados determinar aquellas medidas de seguridad que son
necesarias para garantizar la confidencialidad, la integridad y la disponibilidad de los
datos personales, por lo tanto, un mismo tratamiento de datos puede implicar medidas
de seguridad distintas en función de las especificidades concretas en las que tiene
lugar dicho tratamiento de datos.

En consonancia con estas previsiones, el Considerando 75 del RGPD establece: Los
riesgos para los derechos y libertades de las personas físicas, de gravedad y
probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar
daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los
que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de
identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de
confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la
seudonimización o cualquier otro perjuicio económico o social significativo; en los
casos en los que se prive a los interesados de sus derechos y libertades o se les
impida ejercer el control sobre sus datos personales; en los casos en los que los datos
personales tratados revelen el origen étnico o racial, las opiniones políticas, la religión
o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos,
datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones
penales o medidas de seguridad conexas; en los casos en los que se evalúen
aspectos personales, en particular el análisis o la predicción de aspectos referidos al
rendimiento en el trabajo, situación económica, salud, preferencias o intereses
personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o
utilizar perfiles personales; en los casos en los que se traten datos personales de
personas vulnerables, en particular niños; o en los casos en los que el tratamiento
implique una gran cantidad de datos personales y afecte a un gran número de
interesados. (el subrayado es nuestro)

Asimismo, el Considerando 83 del RGPD establece: A fin de mantener la seguridad y
evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el
responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y
aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un
nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado
de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de
los datos personales que deban protegerse. Al evaluar el riesgo en relación con la
seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del
tratamiento de los datos personales, como la destrucción, pérdida o alteración
accidental o ilícita de datos personales transmitidos, conservados o tratados de otra
forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en
particular de ocasionar daños y perjuicios físicos, materiales o inmateriales. (el
subrayado es nuestro)

A este respecto, debe subrayarse que el artículo 28.3.c) del RGPD atribuye al
encargado del tratamiento la obligación de tomar todas las medidas necesarias de
conformidad con el artículo 32.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

94/99

La seguridad de los datos requiere la aplicación de medidas técnicas u organizativas
apropiadas en el tratamiento de los datos personales para proteger dichos datos
contra el acceso, uso, modificación, difusión, pérdida, destrucción o daño accidental,
no autorizado o ilícito. En este sentido, las medidas de seguridad son claves a la hora
de garantizar el derecho fundamental a la protección de datos. No es posible la
existencia del derecho fundamental a la protección de datos personales si no es
posible garantizar la confidencialidad, la integridad y la disponibilidad de estos.

No debe olvidarse que, de conformidad con el artículo 32.1 del RGPD citado, las
medidas técnicas y organizativas a aplicar para garantizar un nivel de seguridad
adecuado al riesgo deben tener en cuenta el estado de la técnica, los costes de
aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como
los riesgos de probabilidad y gravedad variables para los derechos y libertades de las
personas físicas.

Por tanto, IBERDROLA, a la hora de evaluar los riesgos y determinar las medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo para los derechos y libertades de las personas físicas de los tratamientos de
datos que realiza en calidad de encargado del tratamiento, está obligada a tener en
cuenta la concreta actividad que supone su negocio, que conlleva tratar datos
personales de forma continua y a gran escala (numerosos datos a recoger, procesar,
almacenar…); la tipología de datos tratados: identificativos, de contacto, los relativos al
suministro y al consumo de electricidad, cuentas corrientes, etc); el contexto:
existencia de aplicativos web en internet, es decir, en un entorno no aislado, lo que
conlleva riesgos derivados de la propia interconectividad que supone la red, los cuales
deben atenderse de forma especializada; existencia de una base de datos común a
varias empresas con exigencias de separación (física o lógica).

Por ello, derivado de la actividad a la que se dedica, IBERDROLA está obligada a
realizar de forma muy especializada un análisis de los riesgos y una implantación de
medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad
adecuado al riesgo de su actividad para los derechos y libertades de las personas.

En el presente caso, como se ha señalado anteriormente, mediante el ciberataque
sufrido a un aplicativo web de una de las empresas del grupo, se produjo, además de
un acceso ilícito a los datos personales tratados por dicha empresa, un acceso no
autorizado a datos personales de clientes de otras dos empresas distintas y una
exfiltración ilícita de los mismos, al conseguirse sortear o vulnerarse la separación
lógica existente en la base de datos donde se alojan y almacenan datos personales de
diversas sociedades del Grupo y que administra y gestiona IBERDROLA

(…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

95/99

(…).

Todo lo expuesto demuestra que IBERDROLA no contaba con las medidas técnicas y
organizativas adecuadas para garantizar una total separación entre los datos
personales de las distintas empresas respecto de las cuales actúa como encargada
del tratamiento y que, por tanto, se produjera el incidente de seguridad como el que
tuvo lugar en el presente caso y que sufrieron CURENERGÍA y IBERCLI, es decir, no
aplicó medidas técnicas y organizativas apropiadas para garantizar un nivel de
seguridad adecuado al riesgo de sus tratamientos de datos personales.

Por tanto, de conformidad con las evidencias de las que se dispone, se considera que
los hechos conocidos son constitutivos de una infracción, imputable a IBERDROLA,
por vulneración del artículo 32 del RGPD.

X
Tipificación de la infracción del artículo 32 del RGPD

La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo
del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento
(UE) 2016/679.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

96/99

Sanción por la infracción del artículo 32 del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone, procede graduar la sanción a
imponer, de acuerdo con los siguientes criterios que establece el artículo 83.2 del
RGPD:

Como agravantes:

- Artículo 83.2.a) RGPD: Naturaleza, gravedad y duración de la infracción.

-Se considera que la naturaleza de la infracción es grave puesto que ha
acarreado una pérdida de confidencialidad y, por tanto, de disposición y control
irremediable sobre los datos personales.

-Número de interesados afectados: son muy numerosos los afectados, pues
asciende a más de millón y medio de personas (1.607.550).

-Nivel de los daños y perjuicios sufridos: Alto. Fueron sustraídos numerosos
datos personales (…) y de un número muy considerable de clientes (1.607.550)
perdiendo, por tanto, todo control sobre los mismos, lo que supone riesgo alto
de uso fraudulento (usurpación de identidad, fraude, pérdidas financieras, etc.),
vaciando así de contenido el derecho fundamental a la protección de datos
personales que, como indica el Tribunal Constitucional en la Sentencia
anteriormente reseñada, persigue garantizar a la persona un poder de control y
disposición sobre sus datos personales, sobre su uso y destino, con el
propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del
afectado.

- Artículo 83.2.b) RGPD. Se observa la existencia de negligencia de IBERDROLA en el
cumplimiento y observancia de las medidas técnicas y organizativas para garantizar la
seguridad necesaria para la protección de los datos personales, concretamente para
garantizar la confidencialidad de estos. A este respecto, debe recordarse que
IBERDROLA es una gran empresa, que realiza, como encargado, tratamientos a gran
escala, afectando sus tratamientos a numerosas personas físicas (de las propias
declaraciones realizadas por las tres empresas afectadas por la brecha, al menos trata
datos de 21 millones de personas) por lo que se le exige un nivel de diligencia mayor y
medidas de seguridad adecuadas para garantizar la confidencialidad de los datos
personales que trata.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

97/99

personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
previsiones legales al respecto”.

Como atenuantes:

- Artículo 83.2.c) RGPD. Medidas tomadas por el responsable o el encargado para
paliar los daños y perjuicios sufridos por los interesados: Positivas. En cuanto que fue
ella quien, al detectar problemas de rendimiento y disponibilidad en la Web, confirmó
que se trataba de una quiebra y procedió a bloquear la IP del atacante y a comunicar
la brecha a I-DE, lo que pudo haber evitado un impacto mucho más grave. También
gestionó la brecha de forma conjunta con I-DE.

Como agravantes:

- Artículo 76.2.b) LOPDGDD. Vinculación de la actividad del infractor con la realización
de tratamientos de datos de carácter personal: El desarrollo de la actividad
empresarial que desempeña IBERDROLA supone un tratamiento continuo y a gran
escala de datos personales. Por tanto, se trata de una empresa grande habituada al
tratamiento de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 32 del RGPD, permite fijar una sanción de 1.000.000 € (un
millón de euros).

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a IBERDROLA, S.A., con NIF A48010615, por una infracción
del Artículo 5.1.f) del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa
administrativa de 2.000.000 euros (dos millones de euros).

SEGUNDO: IMPONER a IBERDROLA, S.A., con NIF A48010615, por una infracción
del Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de
1.000.000 euros (un millón de euros).

TERCERO: NOTIFICAR la presente resolución a IBERDROLA, S.A.

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

98/99

de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000, abierta a nombre de la
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A..
En caso contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-16012024
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

99/99

Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Müşteri Verisi İhlalinde Gizlilik ve Güvenlik

Türkçe özet

Hukuki mesele

Sonuç

Karar metni