AEPD (Spain) - EXP202316394

1/56

 Expediente N.º: EXP202316394

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

ÍNDICE

ANTECEDENTES.......................................................................................................... 2
PRIMERO: Reclamación recibida............................................................................... 2
SEGUNDO: Traslado de la reclamación..................................................................... 3
TERCERO: Admisión a trámite de la reclamación...................................................... 3
CUARTO: Contestación al traslado de la reclamación............................................... 3
QUINTO: Volumen de negocio................................................................................... 4
SEXTO: Responsable del tratamiento........................................................................ 4
SÉPTIMO: Incorporación de documentación al expediente administrativo.................4
OCTAVO: Acuerdo de inicio de procedimiento sancionador....................................... 4
NOVENO. Alegaciones al acuerdo de inicio............................................................... 5
DÉCIMO: Práctica de la prueba................................................................................. 5
DECIMOPRIMERO. Propuesta de resolución............................................................ 6
DECIMOSEGUNDO. Alegaciones a la propuesta de resolución................................ 6
HECHOS PROBADOS.................................................................................................. 6
FUNDAMENTOS DE DERECHO................................................................................... 7
I.Competencia............................................................................................................ 7
II.Cuestiones previas.................................................................................................. 8
III.Alegaciones y documentación incluidas tanto en el escrito de alegaciones al
acuerdo de inicio como en la práctica de la prueba. Contestación a las cuestiones
planteadas................................................................................................................ 11
1.Alegaciones al acuerdo de inicio de procedimiento sancionador....................... 11
2.Práctica de la prueba......................................................................................... 15
3.Contestación a las alegaciones y al resultado de la práctica de la prueba.......18
IV.Alegaciones a la propuesta de resolución y contestación a las mismas...............26
Previa. Antecedentes............................................................................................... 26
Primera. – Error en la valoración de la prueba y falta de motivación de las
conclusiones alcanzadas.......................................................................................... 26
Segunda. Sobre el error en la tipificación de la infracción........................................ 36

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/56

Tercera. Sobre la inadmisibilidad de la responsabilidad objetiva. Vulneración del
principio de culpabildad............................................................................................ 40
Cuarta. Vulneración del principio de proporcionalidad.............................................. 42
Quinta. Concurrencia de factores atenuantes no considerados............................... 43
Sexta.- Medidas correctivas..................................................................................... 45
V.Obligación incumplida: infracción del artículo 25 del RGPD.................................. 45
VI.Tipificación y calificación de la infracción del artículo 25 del RGPD..................... 51
VII.Sanción por la infracción del artículo 25 del RGPD............................................. 52

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Reclamación recibida

A.A.A. (en adelante, la parte reclamante) con fecha 28 de septiembre de 2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra CURENERGÍA COMERCIALIZADOR DE ÚLTIMO
RECURSO, S.A.U. con NIF A95554630 (en adelante, la parte reclamada o
CURENERGÍA). Los motivos en que basa la reclamación son los siguientes:

La parte reclamante manifiesta que: “A través de mi correo personal estoy recibiendo
mensajes de esta empresa ( CURENERGÍA, Grupo Iberdrola ) se trata de una
persona que desconozco, debe una cantidad de dinero y me están haciendo llegar
casi todos los meses un aviso de impago, por ello, en esos mensajes aparecen su
nombre al completo, dirección personal, numero de cliente y numero de factura, están
revelando parte de datos sensibles a mí, que no tengo porque saber que esa persona
con nombre y apellidos debe un dinero a curenergia. Intuyo que hay una brecha en su
seguridad o podría también, que algún empleado ha puesto mi correo personal en la
ficha de ese cliente, si no es automático es manual, aun así pido que se resuelva este
problema de datos sensibles, imagino que esa persona desconoce estos hechos a no
ser que CURENERGÍA contacte por otros medios, lo desconozco”.

Aporta copia de los correos electrónicos dirigidos por ***EMAIL.1 al correo electrónico
del reclamante, ***EMAIL.2:

- Correo de 2 agosto de 2023 a las 10:09 horas en el que se informa del pago
pendiente de una deuda de B.B.B..

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/56

- Correo de 6 de septiembre de 2023 a las 13:17 horas; en el que CURENERGÍA
informa a un usuario no especificado de que ha resuelto una incidencia
producida en una dirección determinada de la localidad de ***LOCALIDAD.1.

SEGUNDO: Traslado de la reclamación

De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue remitido por vía electrónica y recogido por la
entidad reclamada en fecha 27/11/2023, como consta en el acuse de recibo que obra
en el expediente. No recibiendo respuesta, el 15/02/24 se reitera dicho requerimiento,
que fue recogido por la reclamada en fecha 19/02/24, tal y como consta en el acuse de
recibo adjunto al expediente.

TERCERO: Admisión a trámite de la reclamación

Con fecha 28 de diciembre de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: Contestación al traslado de la reclamación

Con fecha 07/05/2024 se recibe en esta Agencia escrito de respuesta al traslado
presentado por CUNENERGÍA, indicando, en síntesis, lo siguiente:

- “En este sentido, y atendiendo a la situación que interesa en la presente
reclamación, se ha podido detectar que, en este caso concreto y de manera
puntual, se produjo un error por parte del personal del canal colaborador de
CURENERGÍA en la operativa de actualización de fichas de cliente.
Concretamente, se trató de un error humano en el que un agente de dicho
canal colaborador de CURENERGÍA actualizó erróneamente la ficha de otro
cliente con el correo electrónico del Reclamante, al encontrarse atendiendo a
ambos usuarios simultáneamente por canales distintos.
- Por ende, no ha sido necesario que el Delegado de Protección de Datos
realizase un informe técnico o elaborase ninguna recomendación al respecto
de los tratamientos sobre los que se solicita información, ya que únicamente se
ha tratado de la inclusión errónea de información identificativa, habiéndose
adoptado las medidas correctivas pertinentes. (…) En ese sentido, cabe
destacar que con anterioridad a la reclamación remitida por esa AEPD,
CURENERGÍA, en atención a la solicitud del Reclamante con fecha 28 de
septiembre, ya había procedido a la subsanación del error en las fichas de los
usuarios, desvinculando el correo electrónico del Reclamante de la ficha
equivocada y notificándoselo así al Reclamante el 6 de noviembre de 2023.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/56

- Igualmente, resulta preciso poner de manifiesto que el Reclamante interpone
su reclamación ante la AEPD el mismo día que CURENERGÍA recibe la
primera noticia acerca de este incidente, sin haber otorgado a CURENERGÍA
capacidad alguna de reacción con el fin de atender a su petición y corrección
de su error, aspecto que como ha quedado acreditado, fue atendido de forma
inmediata.”

En acreditación de lo expuesto, CURENERGÍA acompaña un correo electrónico
dirigido por el reclamante a la reclamada el 21 de septiembre de 2023, poniendo de
manifiesto la recepción de estos correos y solicitando la rectificación de los datos
personales que aparecen en la ficha de cliente de esta tercera persona, borrando el
correo electrónico del reclamante, que aparece por error; así como la respuesta que
manifiesta haber dado el 6 de noviembre de 2023 en la que dice haber atendido su
solicitud de supresión, habiendo procedido a desvincular el dato personal de su correo
electrónico del contrato anteriormente asociado sobre el que estaba recibiendo
comunicaciones.

QUINTO: Volumen de negocio

Conforme al informe recogido de la herramienta AXESOR, la entidad CURENERGÍA
COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U. es una filial del grupo CEPSA
HOLDING LLC, cuyo socio único es IBERDROLA S.A, constituida en 2008, calificada
como gran empresa, con más de 1.000 empleados, y con un volumen de negocios de
1.339.789.000 euros en el año 2024

SEXTO: Responsable del tratamiento

Con fecha de 30 de julio de 2024, se expide Diligencia para hacer constar que en la
política de privacidad que consta publicada en la dirección url: Politica de privacidad
(curenergia.es), aparece que el responsable del tratamiento de los datos personales
facilitados por sus clientes es CURENERGÍA, siendo la dirección de contacto a efectos
de protección de datos: [email protected].

SÉPTIMO: Incorporación de documentación al expediente administrativo

Con fecha de 14 de octubre de 2024 se expide Diligencia para unir al procedimiento la
(…).

OCTAVO: Acuerdo de inicio de procedimiento sancionador

Con fecha 23 de diciembre de 2024, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 5.1.d) del RGPD, tipificada en el
Artículo 83.5.a) del RGPD.

NOVENO. Alegaciones al acuerdo de inicio

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/56

Notificado el citado acuerdo de inicio, el 26/12/2024, conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada
presentó, en fecha de 13/01/2025 y 31/01/2025, escritos de alegaciones cuyo
contenido se refleja en el Fundamento jurídico Tercero de esta resolución.

DÉCIMO: Práctica de la prueba

Con fecha 23/04/2025, el instructor del procedimiento acordó practicar las siguientes
pruebas:

“Requerir a CURENERGÍA al objeto de que aporte la siguiente
información/documentación dentro del plazo otorgado:

3.1. Protocolos/ procedimientos establecidos por la empresa para la gestión del
canal de actualización de las fichas de cliente. Información sobre los
mecanismos y procesos seguidos de atención telefónica y a través del chat de
forma simultánea. Indicación sobre qué pasos son automáticos y cuáles son
manuales, y en su caso el software empleado.

3.2. Protocolos/ procedimientos establecidos por la empresa para la detección,
comprobación y corrección de posibles inexactitudes de datos. Informando de
cuales son manuales o automáticos, y en su caso, el software empleado para su
gestión.

3.3. Protocolo de gestión y notificación de brechas y su comunicación a los
empleados/agentes encargados.
3.4. Acreditación de haber comunicado a los diversos agentes y empleados de
los canales encargados los protocolos/procedimientos de actuación a los que se
refieren los puntos anteriores.

3.5. Contratos de encargo y/o subencargo del que denominan como “canal
colaborador de CURENERGÍA en la operativa de actualización de fichas de
cliente”.

3.6. Contratos de encargo y/o subencargo del que actúe para la detección,
comprobación y corrección de posibles inexactitudes, en caso de existir, con
indicación de qué órgano se encarga de dichas tareas.

3.7. Organigrama interno de la empresa por el que se haga constar los canales
en los que está organizada la empresa, y su función principal.

3.8. Documentación que evidencie que el correo de 6-11-23 en el que se
informaba al reclamante de la desvinculación de su dato se cursó y se recibió
por el destinatario sin incidencias en el proceso de notificación.

3.9. Acreditación de haber procedido a la desvinculación del dato de la ficha del
reclamante.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/56

3.10. Comunicaciones mantenidas con dicha/s compañías para la resolución de
la incidencia a la que se refiere el presente expediente.

3.11. Información y acreditación sobre las medidas adoptadas para evitar que se
produzcan incidencias similares, indicando fechas de implantación y controles
efectuados para comprobar su eficacia.

3.12. Acredite que ha proporcionado formación a todos los agentes encargados
del canal de actualización de datos personales, acreditando que efectivamente
se han realizado por los mismos todos o alguno de los cursos de formación que
constan en la captura de pantalla aportada. Y en concreto, del agente que
atendió al reclamante en el presente procedimiento. Deberá constar fecha y
certificado de formación.

3.13. Acredite qué número de clientes de CURENERGÍA tienen datos
personales registrados en las referidas fichas de clientes, en la fecha de los
hechos sobre los que versa el presente expediente, a los efectos de concretar el
número de afectados. O subsidiariamente, aporte los informes o balances de la
empresa en los que se haga constar el número de clientes gestionados por
Iberdrola en España.”

Con fecha de 20/05/2025 CURENERGÍA contestó al escrito de práctica de prueba,
aportando la documentación pertinente. El contenido de la contestación se reproduce
en el fundamento jurídico Tercero de esta resolución.

DECIMOPRIMERO. Propuesta de resolución

Con fecha 6 de noviembre de 2025 se formuló propuesta de resolución, proponiendo
la imposición de una multa de UN MILLÓN DE EUROS (1.000.000 €) por una
infracción del artículo 25 del RGPD, tipificada en el Artículo 83.4 del RGPD. Asimismo
se proponía la imposición, en virtud del artículo 58.2.d) del RGPD, de la medida de
acreditar la aplicación efectiva de las medidas técnicas y organizativas de seguridad
adecuadas, no solo para cumplir con la normativa, sino para demostrar su
cumplimiento antes las autoridades de control e interesados.

DECIMOSEGUNDO. Alegaciones a la propuesta de resolución

Notificado el citado acuerdo de inicio, el 06/11/2025, conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP), y tras la concesión
de un plazo adicional de dos días para el trámite, la parte reclamada presentó, en
fecha de 27/11/2025, escrito de alegaciones cuyo contenido se refleja en el
Fundamento jurídico Cuarto de esta resolución.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/56

HECHOS PROBADOS

PRIMERO: Con fecha de 2 de agosto de 2023, la parte reclamante, cliente de
CURENERGÍA, recibió de esta empresa un correo electrónico que contenía datos
personales de otro cliente. En concreto, se indicaba de este último:

- Nombre y apellidos
- Existencia de una deuda frente a la empresa
- Cuantía de la deuda
- Nº referencia del contrato, número y fecha de factura

SEGUNDO. La recepción de dicho correo por la parte reclamante estuvo causada por
el hecho de que un empleado del encargado del tratamiento de CURENERGÍA,
atribuyó erróneamente al cliente tercero la dirección de correo electrónico de la parte
reclamante. Con ello, esta última recibió una comunicación dirigida a aquel.

TERCERO. El error estuvo propiciado por el hecho de que dicho empleado atendía
simultáneamente a dos clientes en el momento de la incorporación al sistema de la
dirección de correo electrónico. Se ha acreditado que el canal de atención mediante
mensajería “chat” permitía la atención simultáneamente de dos clientes por el mismo
agente.

El canal de atención al cliente mediante chat fue suprimido en el año 2024. El número
de interacciones mediante dicho canal de CURENERGÍA con sus clientes en el año
2023 fue de un total de 15.030.

CUARTO. CURENERGÍA no tenía establecido algún procedimiento o algún tipo de
medidas que tuviese como objetivo específico evitar que se produzcan errores como el
producido en este supuesto. Así, no existía un procedimiento que permitiese advertir
de inexactitudes o errores en el tratamiento de los datos personales de sus clientes,
como la duplicidad de datos atribuidos a distintos clientes.

QUINTO. CURENERGÍA remitió un correo electrónico a la parte reclamante, de 6 de
noviembre de 2023, en el que se señala que, atendiendo su solicitud, le informan de
que habrían procedido a desvincular su correo electrónico de la información relativa al
cliente tercero al que había sido erróneamente asociado.

FUNDAMENTOS DE DERECHO

I. Competencia

De acuerdo con el artículo 58 del Reglamento (UE) 2016/679 del Parlamento Europeo
y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas
en lo que respecta al tratamiento de datos personales y a la libre circulación de estos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/56

datos (Reglamento general de protección de datos, en adelante, RGPD) y según lo
establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia
de la Agencia Española de Protección de Datos.

II. Cuestiones previas

El nombre, apellidos, correo electrónico y número de contrato de una persona física se
consideran datos personales cuyo tratamiento se somete al régimen previsto en el
RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el
artículo 4. 1, 2, y 7 el RGPD, que dispone lo siguiente:

“Artículo 4 Definiciones

A efectos del presente Reglamento se entenderá por:

1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en
particular mediante un identificador, como por ejemplo un nombre, un número de
identificación, datos de localización, un identificador en línea o uno o varios
elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona;

2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;(…)

7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine
los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados
miembros determina los fines y medios del tratamiento, el responsable del
tratamiento o los criterios específicos para su nombramiento podrá establecerlos
el Derecho de la Unión o de los Estados miembros (…)”

En el presente supuesto, de la documentación obrante en el expediente se
desprenden las siguientes evidencias:
- Que con fecha de 2 agosto de 2023 CURENERGÍA remite a través de la
dirección de correo electrónico ***EMAIL.1, un correo electrónico al reclamante
que debía ir dirigido a un tercero, B.B.B., cuyo nombre, apellidos y número de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/56

contrato aparecen visibles en el email, en el que se informa del pago pendiente
de una deuda en relación a su contrato.

- Con fecha de 6 de septiembre de 2023 el reclamante recibe nuevo correo
electrónico desde la dirección de correo electrónico contacto.DoNotReply@i-
de.es, en cuyo pie de firma aparece “I.D. Grupo Iberdrola”, en el que
CURENERGÍA informa a un usuario no especificado con nombre, apellidos ni
NIF, donde aparece un número de referencia y se informa que se ha resuelto
una incidencia producida en una dirección determinada de la localidad de
***LOCALIDAD.1, sin indicar en qué consistía la incidencia.

- Con fecha de 28 de septiembre de 2023 el reclamante remite correo
electrónico al Delegado de Protección de Datos de Iberdrola,
[email protected], en el que informa de que se halla recibiendo correos
dirigidos a otra tercera persona y solicita que se corrija esta situación, sin
solicitar expresamente que se proceda a suprimir sus datos personales.

- Se constata mediante la expedición de Diligencia de 30 de julio de 2024 que la
política de privacidad sobre el tratamiento de datos personales que consta
publicada en la dirección url: Politica de privacidad (curenergia.es), el
responsable del tratamiento de los datos personales facilitados por sus clientes
es CURENERGÍA, siendo la dirección de contacto a efectos de protección de
datos aquella a la que el reclamante dirigió su petición: [email protected].

- El mismo día 28 de septiembre de 2023, el mismo día que el reclamante remite
el correo electrónico a la entidad reclamada, se presenta reclamación ante esta
Agencia por parte del reclamante.

- Un correo electrónico, de 6 de noviembre de 2023, remitido al reclamante en
contestación a la solicitud realizada por él desde la dirección
[email protected], en el que se señala que, atendiendo
su solicitud de supresión de datos personales “Le informamos que hemos
procedido a desvincular su correo electrónico del contrato anteriormente
asociado”.

- Con fecha 5 de mayo de 2024, la entidad reclamada contesta al traslado de
esta Agencia, reconociendo que se ha producido un error humano cometido por
el agente comercial de CURENERGÍA que atendió simultáneamente al
reclamante y a otro cliente. En concreto, señala lo siguiente: “se ha podido
detectar que, en este caso concreto y de manera puntual, se produjo un error
por parte del personal del canal colaborador de CURENERGÍA en la operativa
de actualización de fichas de cliente. Concretamente, se trató de un error
humano en el que un agente de dicho canal colaborador de CURENERGÍA
actualizó erróneamente la ficha de otro cliente con el correo electrónico del
Reclamante, al encontrarse atendiendo a ambos usuarios simultáneamente por
canales distintos”.

De estas evidencias se desprende que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/56

- Por una parte, el reclamante señala que está recibiendo varios correos
remitidos a otro cliente informándole de una deuda pendiente, y aporta un
correo electrónico con este contenido y en el que se contiene datos personales
de una tercera persona así como otra comunicación relativa a la resolución de
una incidencia en un domicilio..

- De acuerdo con lo manifestado por la propia reclamada, se han realizado
diversas operaciones de tratamiento de datos personales a las que cabe
aplicar la normativa en materia de protección de datos de carácter personal, a
la luz de la definición realizada por el artículo 4.1. del RGPD.

(i) Por una parte, desde el canal de actualización de datos de los clientes
se han realizado operaciones de tratamiento de datos personales
consistentes en el registro de los datos de cada cliente.

(i) Y, posteriormente, desde otro departamento de la entidad reclamada
(encargado del recobro de deuda) se realizaron operaciones de
tratamiento de dichos datos personales consistentes en el acceso o
consulta/extracción de los datos personales de uno de los clientes, y la
comunicación de los mismos a un cliente diferente (el reclamante).

Por tanto, no deja lugar a dudas que resulta de aplicación la normativa de protección
de datos personales, toda vez que consta que la reclamada ha realizado operaciones
de tratamiento definidas en el artículo 4.2 del RGPD (registro, acceso, consulta,
extracción y comunicación) respecto de datos que tienen la naturaleza de datos de
carácter personal de acuerdo con lo previsto en el artículo 4.1 del RGPD (nombre,
apellidos, NIF, y número de contrato de B.B.B. así como correo electrónico del
reclamante).

La empresa reclamada, CURENERGÍA es la responsable del tratamiento de los datos
personales cuyo registro y divulgación se realizó por diversos agentes de diferentes
departamentos o áreas de actuación de la misma. Toda vez que:

- La empresa reclamada es la que de acuerdo con la política de privacidad que
ha sido diligenciada en el presente expediente, aparece como responsable del
tratamiento de los datos personales de sus clientes.

- De acuerdo con el artículo 4.7 del RGPD, es responsable porque es la entidad
reclamada la que fija los fines y medios de las operaciones de tratamiento de
datos personales contenidos en las fichas de sus clientes, y no aquellas
personas o entidades que actúan por su cuenta (ya sean como personal del
propio establecimiento, o como encargado del tratamiento contratado por el
mismo).

En este sentido, cabe señalar que, según dilatada jurisprudencia europea, se ha
consolidado el criterio en base al cual, en materia de protección de datos personales,
el que fija los fines y medios del tratamiento de los datos personales será el
responsable de las operaciones de tratamiento que realicen las personas que actúan
por su cuenta siguiendo los fines y empleando los medios determinados por el
responsable. Cabe señalar, como ejemplo de esta jurisprudencia, la Sentencia del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/56

Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, dictada en el
asunto C-683/21 (Nacionalinis visuomenès sveikatos centras), la cual indica:

“Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un
responsable del tratamiento es responsable no solo por todo tratamiento de datos
personales que efectúe él mismo, sino también por los tratamientos realizados por
su cuenta, puede imponerse a ese responsable una multa administrativa con
arreglo al artículo 83 del RGPD en una situación en la que los datos personales
son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que
ha recurrido, quien ha efectuado el tratamiento por cuenta suya”

Ello se asume por la propia entidad reclamada en su escrito de respuesta al traslado
de esta Agencia, reconociendo que la actuación fue fruto de un error humano, y que lo
ha subsanado con fecha de 6 de noviembre de 2023, tras recibir la petición del
reclamante que le informó de que estaba recibiendo correos que no eran suyos el 28
de septiembre de 2023.

En consecuencia, no cabe duda de que la entidad reclamada, CURENERGÍA, es la
presunta responsable a la que debe dirigirse el presente procedimiento sancionador de
acuerdo con lo previsto en el artículo 70. 1 a) de la Ley Orgánica 3/2018, de 5 de
diciembre, de protección de datos personales y garantía de derechos digitales (en
adelante, LOPPDD):

“Artículo 70. Sujetos responsables.

1. Están sujetos al régimen sancionador establecido en el Reglamento (UE)
2016/679 y en la presente ley orgánica: a) Los responsables de los
tratamientos. b) Los encargados de los tratamientos. c) Los representantes de
los responsables o encargados de los tratamientos no establecidos en el
territorio de la Unión Europea. d) Las entidades de certificación. e) Las
entidades acreditadas de supervisión de los códigos de conducta. (…)”.

I. Alegaciones y documentación incluidas tanto en el escrito de alegaciones al
acuerdo de inicio como en la práctica de la prueba. Contestación a las
cuestiones planteadas

.1 Alegaciones al acuerdo de inicio de procedimiento sancionador

Tras la recepción del acuerdo de inicio, CURENERGÍA presentó dos escritos de
alegaciones. Uno con fecha 13/01/2025 y posteriormente otro con fecha 31/01/2025.

El primero de los escritos no contiene alegaciones sobre el fondo del expediente, sino
que únicamente se refiere al hecho de no haberle sido notificada el escrito por el que
se admite a trámite la reclamación y, aparte, reprocha a esta Agencia haber procedido
a dicha admisión a trámite sin haber recibo la contestación de CURENERGÍA al
traslado de la misma. Aun reconociendo esta empresa que no contestó en tiempo y
forma al traslado de la reclamación, alega que,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/56

“en virtud de lo establecido por el artículo 73.3 de la LPACAP, el considerar que
la Compañía no había evacuado en plazo el trámite que se le había notificado
previo a la Admisión a Trámite, tendría que haber dado lugar a la práctica, por
parte de la AEPD, de una resolución que tuviese por transcurrido dicho plazo,
permitiéndole a esta parte poner en su conocimiento lo que se ha venido
describiendo a lo largo de este escrito, lo que permitiría una correcta valoración
de las actuaciones decaídas en el presente procedimiento.”

Alega CURENERGÍA que estos posibles defectos de tramitación del procedimiento
acarrearían indefensión y constituirían una causa de anulabilidad del artículo 48 de la
LPACAP.

Sin perjuicio de que la generalidad de alegaciones son contestadas en el apartado 3
de respuesta a las mismas, esta alegación previa, de procedimiento, se contesta a
continuación. Y es preciso afirmar que el hecho de que el acuerdo de admisión a
trámite no fuera notificado a la parte reclamada no implica ningún vicio de anulabilidad
por defecto procedimental.

La admisión a trámite de las reclamaciones está regulada en los artículos 64 y 65 de la
LOPDGDD. Y tiene como finalidad que la Agencia efectúe un primer juicio acerca de si
aquellas incluyen mínimos indicios para que pueda realizar una investigación (artículo
67 LOPDGDD); un procedimiento sancionador (art. 68) o sencillamente archivar el
procedimiento sin más trámite. Pues bien, a esos efectos, el artículo 65.4 establece lo
siguiente:

“4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia
Española de Protección de Datos podrá remitir la misma al delegado de
protección de datos que hubiera, en su caso, designado el responsable o
encargado del tratamiento, al organismo de supervisión establecido para la
aplicación de los códigos de conducta o al organismo que asuma las funciones
de resolución extrajudicial de conflictos a los efectos previstos en los artículos 37
y 38.2 de esta ley orgánica.

La Agencia Española de Protección de Datos podrá igualmente remitir la
reclamación al responsable o encargado del tratamiento cuando no se hubiera
designado un delegado de protección de datos ni estuviera adherido a
mecanismos de resolución extrajudicial de conflictos, en cuyo caso el
responsable o encargado deberá dar respuesta a la reclamación en el plazo de
un mes.”

Como fácilmente se observa, se trata de un trámite potestativo, de modo que la
Agencia “podrá” dirigirse al responsable del tratamiento si considera que este puede
aportar información que ayude a adoptar una u otra decisión. En ningún caso la ley
obliga a efectuarlo. En este caso el traslado se produjo, y la parte reclamada no
contestó en plazo, sino que lo hizo varios meses después.

Aparte, el artículo 65.5 afirma lo siguiente:

“5. La decisión sobre la admisión o inadmisión a trámite, así como la que
determine, en su caso, la remisión de la reclamación a la autoridad de control
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/56

principal que se estime competente, deberá notificarse al reclamante en el
plazo de tres meses”

Expresamente prevé la ley que la decisión sea únicamente notificada al reclamante.
Ninguna indefensión se le produce a la parte reclamada, toda vez que, en caso de que
se determinara la apertura de procedimiento sancionador, el acuerdo de inicio sería
oportunamente notificado a dicha parte (como se ha producido en este caso), con
traslado de todo el expediente. Ninguna indefensión, por lo tanto, se le produce al
interesado.

El segundo escrito de alegaciones, de 31/01/2025 contiene los siguientes argumentos
que, a juicio de la parte reclamada, deberían llevar al archivo del procedimiento. Se
sigue el orden expositivo del escrito de alegaciones. En el mismo constaba como
alegación “PRIMERA” la reiteración de lo indicado en el anterior escrito de 13/01/2025,
ya contestada.

A continuación, se reproducen las alegaciones de la parte reclamada, así como el
resultado de la prueba practicada. Todo ello será contestado posteriormente.

SEGUNDA. INEXISTENCIA DE PRUEBA QUE PERMITA APRECIAR UNA
INFRACCIÓN SISTEMÁTICA DE CURENERGÍA

Se alega que el expediente no contendría prueba alguna de que pueda calificarse el
incumplimiento como “sistémico”. Solo existiría un caso concreto comprobado, y a
partir de ahí deducir que la infracción tendría carácter sistémico vulnera, a juicio de la
parte reclamada, el principio de presunción de inocencia

Se afirma asimismo que el acuerdo de inicio contiene una imputación del artículo 5.1.f)
cuando en el mismo existen otras referencias al 5.1.d)

En desarrollo de este argumento expone CURENERGÍA lo siguiente:

1) No se trata de un canal de atención telefónica, sino del chat.

Se alega que el “error puntual”, cometido por su encargado del tratamiento, no se
habría producido en el contexto de la realización o atención de una llamada telefónica,
sino en la atención a los clientes por medio del canal de mensajería “chat” puesto a
disposición de los mismos.

A este respecto, alega, la posibilidad de atender varios chats a la vez se deriva no de
razones económicas como se afirma el Acuerdo de inicio, sino de que la característica
“asíncrona” del chat, ya que los clientes en numerosas ocasiones tardan tiempo en
contestar a los mensajes recibidos.

Asimismo, se señala en las alegaciones que el número de potenciales afectados no
podría nunca ascender a los tres millones indicados en el acuerdo de inicio. En el año
2023 las interacciones del chat fueron únicamente 15.030, lo que ni siquiera
significaría un número equivalente de clientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/56

Concluye señalando que por parte de CURENERGÍA se procedió en el año 2024 a
cerrar el canal chat como vía para la atención al cliente.

1) Procedimientos de revisión para la actualización de datos

Se señala en el escrito de alegaciones que la AEPD estaría deduciendo que el chat
constituía el medio a través del cual se actualizaban los datos de contacto de los
clientes, siendo ello “rotundamente incierto”. Dicha actualización, afirma, se llevaría a
cabo a través de la ficha cliente, siendo solamente posible tener abierta una ficha por
cliente, aunque el agente se encuentre atendiendo de forma simultánea -máximo
permitido dos conversaciones-.

Así, afirma CURENERGÍA, nada permite indicar que hay una infracción sistémica, se
estaría produciendo, en su opinión, una atribución de responsabilidad objetiva por la
infracción. Tan solo existe, insiste la parte reclamada, un error humano comprobado.

TERCERA. ACTUACIÓN DE CURENERGÍA CON RESPECTO A LA
ACTUALIZACIÓN DE LOS DATOS DE CARÁCTER PERSONAL

Se afirma que la inexactitud que se imputa en el presente procedimiento, habría sido
corregida en el mismo momento en que el reclamante la comunicó. No habría, en
consecuencia, ningún perjuicio para los datos del reclamante, aunque así lo afirme el
acuerdo de inicio

CUARTA. PROPORCIONALIDAD DE LA SANCIÓN

Efectúa alegaciones CURENERGÍA en relación con las siguientes circunstancias para
la determinación de la cuantía:

 Gravedad de la infracción (artículo 83.2.a) RGPD)

Debe tenerse en cuenta, según se alega, que se habría producido tan solo un error
puntual. Y además, manifiesta su desacuerdo con la cifra de potenciales afectados
mencionada en el acuerdo de inicio, de 3 millones de clientes, sino que la infracción
solo habría afectado a una.

 Negligencia en la infracción (artículo 83.2.b) RGPD)

Los hechos que han dado lugar a la apertura del Procedimiento Sancionador traerían
causa en un “error humano, puntual y aislado”, sin que pueda determinarse que ha
existido intencionalidad o negligencia habida cuenta que las infracciones tipificadas en
el RGPD, contemplan que para su comisión, exista, por lo menos, cierto grado de
negligencia.

 Inexistencia de sanciones anteriores

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/56

Alega que CURENERGÍA no habría sancionado por ningún incumplimiento con
anterioridad en materia de protección de datos.

 Precedentes

La parte reclamada incluye adjunta una tabla con diversos precedentes que indicarían,
a su juicio, que la sanción propuesta fuera desproporcionada

 Otras circunstancias atenuantes

En este apartado propone CURENEGÍA circunstancias que, a su juicio, deberían ser
tenidas en cuenta como atenuantes para rebajar la cuantía de la sanción.

- No haber obtenido ningún tipo de beneficio como consecuencia del error
cometido

- CURENERGÍA habría colaborado en todo momento con esta Agencia.

- No se habría causado ningún daño ni perjuicio a terceros.

1. Práctica de la prueba

Como contestación al requerimiento del instructor reflejado en los antecedentes de
esta resolución, CURENERGÍA ha aportado la siguiente documentación y
explicaciones acerca de la misma.

1. Protocolos/ procedimientos establecidos por la empresa para la gestión
del canal de actualización de las fichas de cliente. Información sobre los
mecanismos y procesos seguidos de atención telefónica y a través del
chat de forma simultánea. Indicación sobre qué pasos son automáticos y
cuáles son manuales, y en su caso el software empleado

Aporta el documento denominado “MANUAL BÁSICO IBERU”, manual de uso de la
plataforma de gestión de clientes de CURENERGÍA. Fechado el 29/05/2024 y por lo
tanto en fecha posterior a los hechos objeto de infracción. Respecto a este documento
se indica que

- Se accede por los operadores con usuario / contraseña
- Las actualizaciones de datos son manuales
- El manual de uso se facilita a los agentes
- No era posible atención simultánea telefónica y chal

1. Protocolos/ procedimientos establecidos por la empresa para la
detección, comprobación y corrección de posibles inexactitudes de
datos. Informando de cuales son manuales o automáticos, y en su caso,
el software empleado para su gestión.

Describe ciertos procedimientos automatizados para detectar errores. Se trata mayor
mente de la detección errores de formato, datos incongruentes, etc. En relación con el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/56

teléfono y el email menciona una “doble autenticación”. “se envía al cliente un código
de verificación a través de SMS o correo electrónico, que debe ser introducido para
confirmar la posesión”.

2. Protocolo de gestión y notificación de brechas y su comunicación a los
empleados/agentes encargados.

En este apartado se aporta el documento denominado “PROCEDIMIENTO DE
RESPUESTA ANTE VIOLACIONES DE SEGURIDAD DE DATOS PERSONALES”,
fechado el 17/09/2024 y con ello también posterior a la infracción

3. Acreditación de haber comunicado a los diversos agentes y empleados
de los canales encargados los protocolos/procedimientos de actuación a
los que se refieren los puntos anteriores.

Afirman que para los empleados afectados, esta información estaría disponible en la
intranet de que la que disponen.

4. Contrato de encargo con UNISONO del canal de cliente

Se aporta el contrato “CONTRATO ENTRE IBERDROLA COMERCIALIZACIÓN
ÚLTIMO RECURSO, S.A.U. Y UNÍSONO SOLUCIONES DE NEGOCIO PARA LA
PRESTACIÓN DE SERVICIOS MULTICANAL DEL CONTACT CENTER
(PLATAFORMA DE MADRID)”. Lleva fecha de 17/03/2022.

5. Contratos de encargo y/o subencargo del que actúe para la detección,
comprobación y corrección de posibles inexactitudes, en caso de existir,
con indicación de qué órgano se encarga de dichas tareas.

Aporta lo que denomina “***DOCUMENTO.1”, en el que se regulan las condiciones
aplicables a la prestación de los servicios contratados, así como las garantías
ofrecidas por dicha entidad en materia de protección de datos personales, de
conformidad con lo establecido en el artículo 28 del RGPD.

6. Organigrama interno de la empresa por el que se haga constar los
canales en los que está organizada la empresa, y su función principal

Aporta un documento denominado “Nuestros canales” en que de forma gráfica se
contemplan canales “Digitales”; “Presenciales” y “No presenciales”.

7. Documentación que evidencie que el correo de 6-11-23 en el que se
informaba al reclamante de la desvinculación de su dato se cursó y se
recibió por el destinatario sin incidencias en el proceso de notificación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/56

Aporta la impresión de un correo electrónico dirigido a la parte reclamante, en el que
se le indica que “Le informamos que hemos procedido a desvincular su correo
electrónico del contrato anteriormente asociado”.

CURENERGÍA afirma que “fue debidamente cursado y recibido sin incidencia técnica
alguna, procede señalar que dicho correo constituye una respuesta directa al mensaje
previamente enviado por el propio reclamante.”

8. Acreditación de haber procedido a la desvinculación del dato de la ficha
del reclamante.

Aporta un “extracto de pantalla”, en donde consta que, con fecha 16 de octubre de
2023 se habría procedido a dicha desvinculación.

9. Comunicaciones mantenidas con dicha/s compañías para la resolución
de la incidencia a la que se refiere el presente expediente.

A este respecto CURENERGÍA señala que no fueron necesarias dichas
comunicaciones al tratarse de un caso aislado.

10. Información y acreditación sobre las medidas adoptadas para evitar que
se produzcan incidencias similares, indicando fechas de implantación y
controles efectuados para comprobar su eficacia

Afirma CURENERGÍA que a fecha 3 de febrero de 2025, se procedió a la difusión
generalizada de un recordatorio interno a través de los canales corporativos

11. Acredite que ha proporcionado formación a todos los agentes
encargados del canal de actualización de datos personales, acreditando
que efectivamente se han realizado por los mismos todos o alguno de los
cursos de formación que constan en la captura de pantalla aportada. Y en
concreto, del agente que atendió al reclamante en el presente
procedimiento. Deberá constar fecha y certificado de formación

En este apartado, se aportan dos documentos, que CURENERGÍA describe como los
“documentos justificativos correspondientes, entre los que se incluye la ficha individual
del Agente y su historial formativo, en los que consta de forma expresa la realización y
superación del citado curso.”

Aparte, señala la parte reclamada que en la intranet hay acceso a contenidos
formativos y cursos. Indica asimismo que el agente que cometió el error habría
realizado un curso en la materia. Aporta a este respecto una impresión de pantalla en
que no aparece la fecha

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/56

12. Acredite qué número de clientes de CURENERGÍA tienen datos
personales registrados en las referidas fichas de clientes, en la fecha de
los hechos sobre los que versa el presente expediente, a los efectos de
concretar el número de afectados. O subsidiariamente, aporte los
informes o balances de la empresa en los que se haga constar el número
de clientes gestionados por Iberdrola en España.

Afirma la parte reclamada que el número total de interacciones registradas durante el
año en que se produjo el incidente (2023) a través del canal chat (ya deshabilitado), es
de 15.030, lo que “no representa en modo alguno el número de personas afectadas
por el mismo”. El número de interacciones antes referido tendría un valor meramente
indicativo del uso del canal, pero no permite deducir ni inferir, en ningún caso, la cifra
total de afectados, según CURENERGÍA

1. Contestación a las alegaciones y al resultado de la práctica de la prueba

Carácter “sistémico” del incumplimiento.

Alega CURENERGÍA que el incumplimiento no podría calificarse de sistémico. A este
respecto, afirma que el resultado de la vulneración del principio de exactitud
únicamente se habría producido respecto a un cliente, el que recibió el correo
electrónico con datos personales ajenos. Insiste en que no se ha llevado una
investigación que haya podido constatar otros casos y que por el mero hecho de que
se permitiera la atención a más de un cliente por el mismo teleoperador no puede
deducirse, sin más, que se haya producido una infracción generalizada.

Aporta información sobre el incumplimiento concreto. Afirma que lo que califica de
“error humano puntual” se produjo en el transcurso de la atención al cliente a través
del canal “chat”, no de llamadas telefónicas. Indica asimismo que este canal de
comunicación tendría la condición de “asíncrono”, de modo que la interacción entre la
empresa y el cliente no sería siempre inmediata, sino que en ocasiones los clientes
tardan tiempo en contestar o aportar información. De este modo, afirma, no puede
tenerse a un empleado dedicado a un solo cliente.

En todo caso, afirma CURENERGIA, la atención simultánea solo podría producirse en
este canal chat, nunca en el telefónico, y con un máximo de dos clientes a la vez.
Finalmente, el canal habría sido suprimido en 2024, de modo que no está disponible
en la actualidad. Con base en estos factores, considera que no puede declararse un
incumplimiento sistémico del principio de exactitud del dato.

En relación con este argumento, es preciso señalar que en el acuerdo de inicio del
procedimiento se señala que el carácter sistémico del incumplimiento se deduce de
dos factores concurrentes en los hechos. Por una parte, que la posible atención
simultánea de más de un cliente puede propiciar la comisión de errores a la hora de
atribuir o modificar los datos personales de los clientes. De hecho, así ha sucedido en
el supuesto que nos ocupa, conforme al propio reconocimiento de los hechos de la
parte reclamada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/56

Pero, además, existe otro factor influyente, cual es el hecho de que, pese al alto riesgo
de comisión de errores, el proceso de actualización de datos personales del cliente no
está acompañado de medidas que reduzcan su impacto y probabilidad de ocurrencia
de forma efectiva. A la vista de lo sucedido, se observa que no se han implantado
procedimientos de detección, comprobación y corrección de posibles inexactitudes de
datos, sobre todo para comprobar que el correo electrónico que se registra en los
sistemas asociado a un determinado cliente corresponde a ese cliente o que no se
corresponde con el que figura relacionado con otro cliente .Así, el sistema de registro
de datos de clientes no contenía procedimiento que advirtieran de posibles errores o
que, en definitiva, garantizaran la exactitud de los datos que estaban siendo recabados
y, por lo tanto, siendo objeto de tratamiento. Y ello por cuanto, en caso contrario, el
operador habría advertido y corregido el error cometido, asociar a la ficha de un cliente
el correo electrónico de otro cliente, antes de su uso.

En respuesta a esas alegaciones, cabe señalar que este factor se remarcaba ya en el
acuerdo de inicio, y nada de lo incluido en alegaciones o en la documentación adjunta
a la práctica de la prueba indican lo contrario. Por una parte, en el escrito de
alegaciones, la parte reclamada se limita a afirmar, en relación con este factor, que
una vez le fue notificado este hecho por el reclamante, procedió a rectificar los datos
de carácter personal tratados, solventando la incidencia que tuvo lugar.

Con ello, la parte reclamada no afirma disponer del procedimiento o mecanismos de
comprobación o corrección de posibles inexactitudes, que se establecerían en
contrapeso de la alta probabilidad de errores en un tratamiento simultáneo de dos
clientes, sino que se limita a afirmar que la inexactitud fue corregida tras la
reclamación del afectado.

De la documentación aportada en la práctica de la prueba, no se observa que en los
procedimientos aportados en relación con la atención al cliente y la toma y
modificación de sus datos, precaución alguna esté establecida en este aspecto.
Únicamente se afirma que

“En lo que respecta a los controles automáticos de detección, se aplican
validaciones técnicas inmediatas sobre los datos en el momento mismo de su
introducción en los sistemas, permitiéndose de este modo identificar
automáticamente errores de formato, valores atípicos o incoherencias en la
estructura de la información proporcionada. Por ejemplo, se comprueba que los
números de teléfono cumplen con los criterios de longitud, prefijo y sintaxis
adecuados; que las direcciones de correo electrónico presenten la estructura
formal válida; y que los códigos de identificación o números de cuenta bancaria
respeten las reglas de control, como en el caso del dígito verificador de un IBAN.
Estos controles, al estar embebidos en el sistema de captura de datos, impiden
el registro de información que no cumpla con los requisitos establecidos,
actuando como primera barrera de integridad.”

En primer lugar, esta afirmación se contiene en el escrito de contestación a la práctica
de la prueba, pero no está respaldada en ninguno de los documentos aportados. En
segundo, una medida como esta no habría detectado el error cometido en este
supuesto (atribuir a un cliente la dirección de correo de otro). Sería, por lo tanto, una
medida insuficiente y, al ser la única referenciada por la reclamada evidencia la falta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/56

de medidas eficaces para garantizar que el tratamiento de datos que se realiza cumpla
con lo requerido por e RGPD.

CURENERGÍA ha aportado también el “Manual de uso de la plataforma IBERU”. En el
mismo consta la operativa de interacción con los clientes (altas, modificaciones etc).
La modificación de datos personales de los clientes figura en la pág 56, que señala la
operativa, pero no contiene ninguna medida específica al respecto, ni siquiera
menciona el chat como canal de interacción.

Examinado asimismo el contrato de encargo del tratamiento a UNÍSONO; tampoco
figura ninguna medida que habría evitado / corregido esta inexactitud.

Con ello, debe mantenerse el criterio de que el incumplimiento tiene carácter
sistémico.

En relación con el número de clientes que debe tenerse en cuenta para la
determinación del alcance de la infracción, CURENERGÍA afirma que vendría dado por
las 15.030 interacciones realizadas a través del chat en el último año disponible
(2023). A este respecto debe precisarse que, al tener la infracción el carácter de
sistémica, los afectados no vendrían únicamente dados por los usuarios del canal
chat, sino que estarían integrados por la totalidad de clientes de la entidad (unas 3
millones de personas conforme a lo ya afirmado anteriormente). Por cuanto que es la
totalidad de los clientes de CURENERGIA los que se ven afectados por el tratamiento
consistente en la recogida y, eventualmente, actualización de sus datos personales. Y,
por ello, que pudieran verse afectados por la falta de un procedimiento que garantizara
la exactitud de sus datos que son objeto de tratamiento por CURENERGIA.

Error material en la calificación

En su escrito de alegaciones, afirma CURENERGÍA que “el Acuerdo concluye que se
ha producido una infracción de los dispuesto en el artículo 5.1 f) del RGPD, mientras
que el Fundamento de Derecho III, IV y V recoge, expresa y reiteradamente, que el
apartado supuestamente vulnerado es el d). Tal situación supone, evidentemente, una
manifiesta vulneración del artículo 53.2 a) de la LPACAP.”

Analizado el texto del acuerdo de inicio, se advierte una errata que se produce
únicamente en el fundamento jurídico VII (“Medidas correctivas”), donde se afirma que
“podrá establecer las medidas correctivas que la entidad infractora deberá adoptar
para poner fin al incumplimiento de la legislación de protección de datos personales,
en este caso del artículo 5.1.f) del RGPD,…”

Se trata de un error material que se deduce claramente de la lectura del texto íntegro
del acuerdo:

- En la parte dispositiva se contiene, tanto en el apartado primero como en el
cuarto, la imputación de la infracción del artículo 5.1.d)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/56

- Del mismo modo, los fundamentos jurídicos IV, V y VI se refieren a la
motivación, calificación y determinación de la cuantía por la vulneración del
artículo 5.1.d)

Con ello, resulta plenamente aplicable lo dispuesto en el artículo 109.2 de la Ley
39/2015, de 1 de octubre, del Procedimiento administrativo común de las
Administraciones Públicas:

“2. Las Administraciones Públicas podrán, asimismo, rectificar en cualquier
momento, de oficio o a instancia de los interesados, los errores materiales, de
hecho o aritméticos existentes en sus actos.”

A este respecto resta únicamente indicar que la cuestión ha perdido toda
trascendencia, ya que, como se indicó en la propuesta de resolución y se motiva en el
fundamento jurídico V y VI de esta resolución, la infracción que se considera que se ha
cometido por CURENERGÍA, sería la del artículo 25 del RGPD, y no la del artículo
5.1.d).

Circunstancias para la determinación de la cuantía

Se analizan las circunstancias invocadas por CURENERGÍA.

 Gravedad de la infracción y negligencia concurrente. En este apartado reitera
la escasa gravedad y falta de negligencia por tratarse de un error puntual, y no
de un fallo sistémico. A este respecto basta remitirse al anterior apartado, en
que el se ha motivado exhaustivamente el carácter sistémico del
incumplimiento.

En relación con la posible falta de negligencia, en los factores para la
determinación de la cuantía se motiva por qué se considera que no solo
concurre negligencia en la infracción, sino que revestiría la consideración de
grave. En efecto, el análisis de riesgos que debe realizarse, en relación con la
posible afectación de los derechos y libertados de los titulares de los datos
personales, debe tener en cuenta obligatoriamente los riesgos que se producen
por establecer la posibilidad de que una misma persona atienda a más de un
cliente a la vez. Y este riesgo, fácilmente deducible, no ha sido tenido en
cuenta, toda vez que CURENERGÍA no ha aportado ni una sola medida que lo
tuviera en cuenta, de cara a prevenir o descartar este tipo de errores. Ni
tampoco un documento de análisis de riesgos que contemple este.

 Inexistencia de infracciones anteriores. Esta circunstancia, que la parte
reclamada pretende sea aplicada como atenuante, únicamente puede ser
tenida en consideración como agravante. Así, la Sentencia de la Audiencia
Nacional, de 5 de mayo de 2021, rec. 1437/2020, indica que “

“Considera, por otro lado, que debe apreciarse como atenuante la no comisión
de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que
debe tenerse en cuenta para la imposición de la multa administrativa, entre
otras, la circunstancia "e) toda infracción anterior cometida por el responsable
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/56

o el encargado del tratamiento". Se trata de una circunstancia agravante, el
hecho de que no concurra el presupuesto para su aplicación conlleva que no
pueda ser tomada en consideración, pero no implica ni permite, como pretende
la actora, su aplicación como atenuante”.

 Precedentes invocados. CURENERGÍA menciona 6 procedimientos
sancionadores anteriores de esta Agencia para justificar la desproporcionalidad
de la sanción que se pretende imponer de la sanción propuesta en este
supuesto.
Sobre la ausencia de proporcionalidad en la fijación de la cuantía de la sanción
impuesta, debe recordarse que el artículo 83.1 RGPD establece que las multas
administrativas por las infracciones del RGPD deben ser “…en cada caso
individual efectivas, proporcionadas y disuasorias”, indicando a continuación en
el apartado 2 del citado precepto, que “Las multas administrativas se
impondrán en función de las circunstancias de cada caso individual, a título
adicional o sustitutivo de las medidas contempladas…” Estableciendo a
continuación determinadas circunstancias a tener en cuenta. (…)

Asimismo, el artículo 83.4 señala que las infracciones de las disposiciones que
indica “…se sancionarán con multas administrativas de 10.000.000 EUR, como
máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como
máximo del volumen del negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía” (el subrayado es nuestro).

Es decir, los porcentajes sobre el volumen de negocio, cuando se trata de una
empresa, no operan como límites máximos cuando la cifra que arrojan es
menor a 10 millones , sino todo lo contrario, permiten obtener un límite máximo
superior a esos 10 millones.

Por tanto, cuando el 2% del volumen de negocio total anual global de la multa
impuesta para cada infracción sea menor a los importes máximos establecidos
en los citados preceptos, 10 ó 20 millones de euros, éstos últimos serán los
límites máximos. Por el contrario, si esos porcentajes arrojan importes
superiores, serán los tenidos en cuenta como límites máximos. Y ello porque el
RGPD establece que ha de optarse por la de mayor cuantía. (…)

Así, a la hora de determinar la cuantía de las multas no sólo se tiene en cuenta
el nivel de negocio de las empresas. Ello es una circunstancia más. También se
tienen en cuenta, otras circunstancias, especialmente las circunstancias
específicas de cada caso.
Recordemos en este punto lo manifestado por el TJUE en la sentencia dictada
en el asunto C-683-21

78 La existencia de un sistema de sanciones que permita
imponer, cuando las circunstancias específicas de cada caso lo
justifiquen, una multa administrativa con arreglo al artículo 83 del
RGPD crea un incentivo para que los responsables y
encargados del tratamiento cumplan el Reglamento. Con su
efecto disuasorio, las multas administrativas contribuyen a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/56

reforzar la protección de las personas físicas en lo que respecta
al tratamiento de datos personales y constituyen, por ende, un
elemento clave para garantizar el respeto de los derechos de
dichas personas, de conformidad con la finalidad del citado
Reglamento de asegurar un elevado nivel de protección de esas
personas en lo que respecta al tratamiento de los datos
personales.

Asimismo, la reciente STJUE de 13 de febrero de 2025, en el asunto C-383/23,
dispone que la imposición de una multa exige en el examen de cada caso
particular de una serie de elementos previstos en el artículo 83 del RGPD, del
que el volumen de negocios es un elemento más (ni el único ni el
determinante), para imponer una multa que sea proporcional, disuasoria y
efectiva y se refuerce, de esta forma, la protección de las personas físicas.

25 Así, en virtud del artículo 83, apartado 1, del RGPD, cada
autoridad de control tiene que garantizar que las multas
administrativas con arreglo al referido artículo 83 por las
infracciones del RGPD indicadas en sus apartados 4 a 6 sean,
en cada caso individual, efectivas, proporcionadas y disuasorias.
26 Más allá del cumplimiento de estos tres requisitos, el
apartado 2 de dicho artículo 83 exige, para decidir la imposición
de una multa administrativa y su importe, que la autoridad de
control competente tenga debidamente en cuenta, en cada caso
individual, una serie de elementos.
27 De conformidad con esta última disposición, entre esos
elementos figuran, en particular, la naturaleza, gravedad y
duración de la infracción, el número de interesados afectados y
el nivel de los daños y perjuicios sufridos, la intencionalidad o
negligencia en la infracción, las medidas adoptadas por el
responsable o el encargado del tratamiento para paliar los daños
y perjuicios sufridos, el grado de responsabilidad del
responsable o del encargado del tratamiento y las categorías de
datos personales afectados por la infracción.
28 Los citados elementos se refieren, bien al comportamiento
de ese responsable o encargado, acusado de infringir
determinadas disposiciones del RGPD, bien a las propias
infracciones. Así pues, sirven para garantizar que cada una de
dichas infracciones se aprecie sobre la base de todas las
circunstancias individuales pertinentes y que se alcancen los
objetivos perseguidos por el régimen sancionador contemplado
en el RGPD.
29 Aunque estos elementos no hacen referencia al concepto
de empresa, en el sentido de los artículos 101 TFUE y 102
TFUE, el Tribunal de Justicia ya ha declarado que solamente
una multa que tenga en cuenta no solo todos los elementos que
caractericen las infracciones del RGPD constatadas, sino
también, en su caso, la capacidad económica real o material de
su destinatario, reúne los tres requisitos establecidos en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/56

artículo 83, apartado 1, del RGPD, a saber, ser a la vez efectiva,
proporcionada y disuasoria. Pues bien, para apreciar estos
requisitos, debe tenerse en cuenta si ese destinatario forma
parte de una empresa en el sentido de los artículos 101 TFUE y
102 TFUE (véase, en este sentido, la sentencia de 5 de
diciembre de 2023, Deutsche Wohnen, C 807/21,
EU:C:2023:950, apartado 58).

Podemos concluir, por lo tanto, que la multa ha de ser i) efectiva en el
sentido que permitir a la reclamada adoptar medidas para mejorar las
garantías de los tratamientos de datos personales que realiza ii)
proporcionada atendiendo a las circunstancias presentes en el caso
concreto iii) disuasoria en el sentido de permitir que se tomara
conciencia de la importancia de adoptar las medidas técnicas y
organizativas adecuadas al riesgo del tratamiento de datos personales
que se esté realizando.

En consecuencia, cada caso hay que analizarlo desde la perspectiva de las
circunstancias concretas presentes, de la incidencia en el tratamiento de datos
afectado así como de la existencia de una visión holística en la actuación de la entidad
reclamada que evidencie la existencia de una perspectiva de protección de datos o,
por el contrario, de la falta de la misma.

 Inexistencia de beneficios como consecuencia de la infracción. Esta posible
circunstancia atenuante no resulta de aplicación. Este criterio de graduación se
establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.k) del
RGPD, según el cual las multas administrativas se impondrán teniendo en
cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias
del caso, como los beneficios financieros obtenidos o las pérdidas evitadas,
directa o indirectamente, a través de la infracción”, entendiéndose que evitar
una pérdida tiene la misma naturaleza a estos efectos que la obtención de
beneficios.

Si a esto se añade que las sanciones deberán ser “en cada caso individual”
efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo
83.1 del RGPD, admitir la ausencia de beneficios como una atenuante, no solo
es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c),
sino también contrario a lo establecido en el artículo 83.2.k) del RGPD y a los
principios señalados.

Así, valorar la ausencia de beneficios como una atenuante anularía el efecto
disuasorio de la multa, en la medida en que minora el efecto de las
circunstancias que inciden efectivamente en su cuantificación, reportando al
responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja
artificial de la sanción que puede llevar a entender que infringir la norma sin
obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto
negativo proporcional a la gravedad del hecho infractor.

La Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/56

“Considera, por otro lado, que debe apreciarse como atenuante la no comisión
de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que
debe tenerse en cuenta para la imposición de la multa administrativa, entre
otras, la circunstancia "e) toda infracción anterior cometida por el responsable
o el encargado del tratamiento". Se trata de una circunstancia agravante, el
hecho de que no concurra el presupuesto para su aplicación conlleva que no
pueda ser tomada en consideración, pero no implica ni permite, como pretende
la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la
falta del presupuesto para su aplicación respecto del art. 76.2.c) de la
LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no
permite su aplicación como atenuante.”

 Colaboración con esta Agencia. Alega esta circunstancia CURENERGÍA como
atenuante. A este respecto, los apartados 96 y 97 de la Guía de multas
imponen un doble requisito para que esta circunstancia pueda aplicarse como
atenuante. En primer lugar, que la cooperación vaya más allá del deber
ordinario de colaboración con la autoridad de control. En efecto, la Guía señala
que debe considerarse que el deber ordinario de cooperación es obligatorio y,
por lo tanto, debe considerarse neutral (y no un factor atenuante).

En este caso, todas las actuaciones que podrían ser calificadas como
“cooperación” con la autoridad de control se enmarcan dentro del deber de
colaboración.

El segundo requisito consiste en que la colaboración haya tenido como efecto
“limitar o evitar las consecuencias negativas para los derechos de los
particulares que de otro modo podrían haberse producido”. Lo que como
hemos visto no sucede en este caso, toda vez que las actuaciones han tenido
como objetivo restaurar el dato, pero no evitar o paliar los daños sufridos por
los afectados, cuyo poder de disposición sobre sus datos personales se había
ya visto afectado.

 Inexistencia de perjuicios para terceros. A este respecto, cabe invocar la
STJUE de 4 de septiembre de 2023, en el asunto C-655/23, que determina que
la mera pérdida de control sobre los propios datos personales por los
interesados como consecuencia de una infracción del RGPD, aun cuando no
se haya producido concretamente un uso indebido de los datos en cuestión
puede bastar para causar "daños y perjuicios inmateriales": "59 En segundo
lugar, como ha señalado la Comisión Europea en sus observaciones escritas,
unas situaciones, como las que se invocan en el litigio principal, relativas a un
«daño para la reputación» como consecuencia de una violación de la seguridad
de los datos personales o a una «pérdida de control» sobre tales datos, figuran
expresamente entre los ejemplos de posibles daños y perjuicios que se
relacionan en los considerandos 75 y 85 del RGPD.

En particular, el Tribunal de Justicia ha subrayado que de la lista ilustrativa de
los «daños» o los «perjuicios» que pueden sufrir los interesados que figura en
el considerando 85, primera frase, del RGPD se desprende que el legislador de
la Unión quiso incluir en estos dos conceptos, en particular, la mera «pérdida
de control» sobre los propios datos personales de esos interesados como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/56

consecuencia de una infracción de dicho Reglamento, aun cuando no se haya
producido concretamente un uso indebido de los datos en cuestión. Tal pérdida
de control puede bastar para causar «daños y perjuicios inmateriales», en el
sentido del artículo 82, apartado 1, de dicho Reglamento, siempre que ese
interesado demuestre que ha sufrido efectivamente tales daños y perjuicios,
por mínimos que sean, sin que ese concepto de «daños y perjuicios
inmateriales» requiera la demostración de la existencia de consecuencias
negativas tangibles adicionales (véase, en este sentido, la sentencia de 4 de
octubre de 2024, Agentsia po vpisvaniyata, C 200/23, EU:C:2024:827,
apartados 145, 150 y 156 y jurisprudencia citada)".

I. Alegaciones a la propuesta de resolución y contestación a las mismas

Se contesta a continuación al documento de alegaciones a la propuesta de resolución
remitido por CURENERGÍA. Se sigue el orden expositivo del citado escrito,
contestando a continuación de cada una.

Previa. Antecedentes

En esta alegación se realizan únicamente comentarios genéricos sobre la tramitación
del expediente; se insiste en que el incumplimiento se debió únicamente a un “error
humano puntual”, y que fue subsanado antes de recibir la reclamación a través de la
AEPD.

La única observación concreta que se realiza se refiere a la tramitación inicial de este
procedimiento sancionador. Se afirma que se podría haber producido indefensión del
interesado por la presunta tardanza en la contestación a la petición de ampliación de
plazo y remisión del expediente que CURENERGÍA efectuó cuando recibió el acuerdo
de inicio del procedimiento.

Afirma a este respecto que recibió el acuerdo de inicio con fecha de 27/12/2024. Tras
ello, indica que solicitó dicha ampliación y copia del expediente en sendos escritos de
30/12/2024 y 08/01/2025, sin recibir contestación. La petición solo habría sido
atendida, afirma CURENERGÍA, en fecha de 23/01/2025. Y esta extemporánea
contestación habría afectado a su derecho a la defensa.

En relación con esta alegación, para contestarla basta con indicar que con fecha de
21/01/2025 la instrucción del expediente otorgó la ampliación de plazo y remitió copia
del expediente.

No existió menoscabo alguno del derecho a la defensa. El interesado dispuso desde la
fecha de recepción del acuerdo de inicio (27/12/2024) hasta la finalización del plazo de
ampliación (a partir del 21/01/25, sumándole el plazo restante hasta la finalización del
primer período, más la ampliación de 5 días) para la realización de alegaciones.
Asimismo, le fue trasladado el expediente otorgándosele la mencionada ampliación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/56

En todo caso, CURENERGÍA no motiva por qué esta contestación y ampliación de
plazo le habría generado indefensión. En consecuencia, debe desestimarse la
alegación.

Primera. – Error en la valoración de la prueba y falta de motivación de las conclusiones
alcanzadas

ALEGACIONES GENERALES

En este apartado, CURENERGÍA incluye una serie de comentarios acerca de la
acreditación de la comisión de una infracción del artículo 25 del RGPD.

Afirma en primer lugar que la modificación de la calificación de la infracción, pasando
de prever una posible infracción del artículo 5.1.d) del RGPD en el acuerdo de inicio a
una del artículo 25 en la propuesta de resolución, obedecería a que CURENERGÍA
habría acreditado que cumple con los principios establecidos en el artículo 5 del
RGPD.

Aparte, indica que no se habría acreditado en el procedimiento la atención
“simultánea” a más de un cliente en el canal “chat”, sino que la atención sería
“sucesiva”: se atendería a un cliente mientras otro se encuentra en situación de
espera.

En relación con la modificación de la calificación de la infracción, debe contestarse
que, en primer lugar, en la propuesta de resolución (así como en la presente
resolución) se motiva extensamente que está reconocida la posibilidad jurídica de
modificar la calificación de los hechos en la mencionada propuesta. En efecto, no es
sino hasta ese momento procedimental en que se constatan los hechos probados y, a
la vista de las alegaciones y la prueba practicada, cuando la instrucción alcanza sus
conclusiones acerca de los hechos constatados, la calificación de los mismos y la
cuantía de la sanción que se propone. En el Fundamento jurídico relativo al
incumplimiento del artículo 25 del RGPD se aporta amplia jurisprudencia que reconoce
esta posibilidad.

En cuanto a si la atención al cliente por parte de CURENERGÍA se realizaba de
manera simultánea o sucesiva, nos remitimos a la contestación a la alegación que se
detalla más adelante, en que dicha entidad desarrolla más ampliamente esta
alegación.

DOCUMENTACION APORTADA POR CURENERGÍA

A continuación, CURENERGÍA realiza un amplio despliegue documental con el
objetivo de acreditar que cumpliría con el principio de privacidad desde el diseño. A
estos efectos aporta (o únicamente referencia, como se verá posteriormente en la
contestación a cada uno de ellos), los siguientes documentos:

1. En primer lugar, la “Certificación EUROPRIVACY”. Según se indica, este
documento permite “a los responsables y encargados del tratamiento
demostrar la conformidad de sus procesos, productos y servicios con los
efectos y beneficios legales de una certificación oficial del RGPD.”. Adjunta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/56

copia del mismo. Ello en conexión con el artículo 25.3 del RGPD, que
establece que “Podrá utilizarse un mecanismo de certificación aprobado con
arreglo al artículo 42 como elemento que acredite el cumplimiento de las
obligaciones establecidas en los apartados 1 y 2 del presente artículo.”

2. Documento denominado “Procedimiento para garantizar la protección de datos
desde del diseño y por defecto”. Aporta varias impresiones de pantalla de
algunas páginas documento, entre las cuales se encuentra un historial de
aprobación de versiones del documento, que comienza en abril de 2018 y
finaliza, como última versión aprobada, en septiembre de 2024.

3. Documento “Procedimiento de Privacidad y Seguridad desde el Diseño y por
Defecto de IBERDROLA”. Al igual que el anterior, aporta varias impresiones de
pantalla del documento, entre las cuales se encuentra un historial de
aprobación de versiones del documento, que comienza en mayo de 2019 y
finaliza, como última versión aprobada, en septiembre de 2023.

4. Incluye una Tabla sobre supuestos en que se han atendido los ejercicios de
derechos de sus clientes a lo largo del año 2023. El total de derechos
atendidos sería de 1.824 en ese año.

5. Referencia un documento de “Procedimiento de ejercicio de derechos”. No
incluye fecha y adjunta únicamente el índice de lo que parece tratarse de un
manual para la atención de derechos.

6. Una tabla de acciones formativas en 2023. Se indica que contiene “Píldoras y
acciones formativas en materia de protección de datos desde 2023 hasta la
fecha actual puestas a disposición de los socios colaboradores: Desde 2022
hasta la fecha actual se ha puesto a disposición de los Socios colaboradores
más de 183 acciones formativas”.

7. Aporta impresiones de pantalla de un documento denominado “Manual de
mantenimiento de clientes”, de fecha marzo 2023. Respecto al mismo,
CURENERGÍA menciona especialmente una medida concreta que se incluiría
en el mismo: la existencia de un control sobre cinco (5) concurrencias en los
datos registrados con respecto a datos obrantes en el sistema. El sistema
muestra inicialmente un mensaje emergente (aviso o “pop-up”) indicando que
el registro se encuentra repetido cinco veces. A continuación, se despliega el
listado de clientes en los que dicho dato aparece y, finalmente, se solicita
confirmación para continuar con la operación.

8. Guía informativa para el control de fraude en la dirección comercial. En este
documento se indica que el control restablecido no permite avanzar en el
proceso, entre otras circunstancias, cuando el correo electrónico figura
informado en otros siete clientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/56

9. Auditoría en materia de protección de datos realizada el 2 de agosto de 2022.

En cuanto a los documentos ahora aportados, cabe significar lo siguiente. En primer
lugar, con carácter general, se trata de documentos no aportados hasta ahora en este
procedimiento, no obstante lo cual van a ser objeto de valoración en esta resolución. Y
en segundo lugar, aclarar que únicamente se aporta íntegramente el documento nº 1
“Certificación EUROPRIVACY”, mientras que del resto de documentos referenciados
únicamente se han insertado impresiones de pantalla dentro del propio documento de
alegaciones. Esta circunstancia impide valorar el documento en su conjunto y no
permite contextualizarlo restándole, por lo tanto, fuerza probatoria. En todo caso,
pasan a examinarse:

El documento 1, relativo a la Certificación EUROPRIVACY. Se observa que el
documento aportado constituye un certificado que señala que CURENERGÍA
(traducción no oficial del idioma inglés) “cumple con los requisitos relevantes
especificados en el esquema de certificación EUROPRIVACY. El objetivo de la
evaluación es el cumplimiento del tratamiento de datos personales relativos a la
obtención de datos a través de plataformas digitales con la finalidad de la contratación
de productos y servicios de IBERDROLA, incluyendo los canales de comunicación
web, chatbox y correo electrónico”

Dicho esto, se observa que la fecha del certificado es de 24 de julio de 2025. Teniendo
en cuenta que los hechos sancionados ocurrieron en agosto de 2023, no puede
considerarse que esta certificación pueda acreditar el cumplimiento del principio de
privacidad desde el diseño en el momento en que se produjo la infracción.

En relación con el documento nº 2 “Procedimiento para garantizar la protección de
datos desde del diseño y por defecto”, y con el nº 3 “Procedimiento de Privacidad y
Seguridad desde el Diseño y por Defecto de IBERDROLA”, es importante señalar que
únicamente se aportan impresiones de pantalla del historial de versiones aprobadas y
del índice. Con ello, no resulta posible comprobar si contiene alguna medida que
pudiera haber evitado un incidente como el sucedido en este procedimiento. Por lo
demás, el documento (o las imágenes del mismo aportadas) no contienen ninguna
firma ni sello de fechas. Ni tampoco CURENERGÍA señala medidas concretas que
contuvieran dichos documentos.

Los documentos número 4, 5 y 6 (los dos primeros sobre el procedimiento de ejercicio
de derechos y el último relativo a acciones formativas) por más que pueden valorarse
positivamente, nada tienen que ver con lo que fue el origen del incidente, por lo que no
pueden tenerse en cuenta de cara a exonerar o rebajar la gravedad de la infracción
cometida. Únicamente acreditarían el establecimiento de un procedimiento para
contestar a los ejercicios de derechos y la realización de tales acciones formativas.

Mediante el documento nº7, Manual de mantenimiento de clientes, CURENERGÍA
pretende acreditar la existencia de una medida que estaría establecida para evitar
sucesos como el que nos ocupa. Recuérdese que la infracción que se imputa en el
presente procedimiento se deriva de un doble factor: por una parte, la posibilidad de
atender a dos clientes simultáneamente mediante el canal “chat” y, por otra, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/56

inexistencia de medidas que tiendan a evitar (o corregir inmediatamente) la atribución
de un determinado dato personal a quien no es su titular.

A este respecto, se indica que se trata de una medida que proporciona un aviso (tipo
ventana emergente o “pop up”) en un determinado supuesto. Se avisa sobre la
existencia de “posibles datos repetidos”. La explicación es la siguiente:

“en 2023 estaba operativo un control sobre cinco (5) concurrencias en los datos
registrados con respecto a datos obrantes en el sistema. Así, el sistema muestra
inicialmente un mensaje emergente (aviso o pop-up) indicando que el registro se
encuentra repetido cinco veces. A continuación, se despliega el listado de
clientes en los que dicho dato aparece y, finalmente, se solicita confirmación
para continuar con la operación.”

Esta AEPD valora de forma positiva esta medida, puesto que opera mediante el envío
de un aviso cuando un registro se repite cinco veces. Toda vez que en el caso que nos
ocupa el email del reclamante coincidía tanto en la información relativa al mismo como
en la relativo al tercero al que se referían las comunicaciones recibidas como el
reclamante, esta medida estaría relativamente bien enfocada, sin perjuicio de que la
repetición de cinco veces como elemento que hiciera emitir el aviso parece una
cantidad excesiva si tenemos en cuenta que, con dos repeticiones, como el caso que
nos ocupa, podría dar lugar a errores. No obstante, como decimos, esta alegación
será tenida en cuenta.

Lo mismo sucede en relación con el documento nº 8, Guía informativa para el control
de fraude en la dirección comercial. Según se indica, contiene una medida relativa a
que no se permite avanzar en el proceso de incorporación o actualización de datos,
entre otras circunstancias, cuando el correo electrónico figura informado en otros siete
clientes. Si bien esta medida merece una valoración positiva, siete clientes con un
mismo dato en común, siendo específico como el correo electrónico, no habría sido
suficiente para evitar los hechos analizados en el presente procedimiento.

Finalmente, el documento nº 9 “Auditoría en materia de protección de datos realizada
el 2 de agosto de 2022” este documento no añade nada en relación con la acreditación
de alguna medida directamente dirigida a evitar problemas como el sucedido.

Procede, por lo tanto, desestimar parcialmente esta alegación.

ALEGACIONES EN RELACIÓN CON LA PRÁCTICA DE LA PRUEBA.

En esta materia afirma CURENERGÍA que se ha implementado un software para la
actualización de fichas de clientes. Se han incorporado controles manuales y
automáticos para la detección de errores de formato, valores atípicos o incoherencias
en la estructuración de la información, así como comprobaciones de teléfono y
validación de la estructura de distintos valores, incluyendo direcciones de correo
electrónico

Aportan un Manual corporativo, que es el ya aportado como “Manuel básico iberU”
durante la práctica de la prueba, pero en esta ocasión el que se encontraba vigente en
el momento en que se produjo la infracción. Aporta varias impresiones de pantalla
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/56

relativas a la operativa de gestión de clientes, de las que deduce que “las operaciones
de “mantenimiento” o actualización de datos se llevan a cabo de manera
individualizada, en tanto que se realizan desde la propia ficha del cliente”.

Adicionalmente, insiste en lo ya comentado durante la prueba, de haberse implantado
en CURENERGÍA la herramienta “IPQuality Score”. Dicha herramienta permite
analizar y calificar el grado de riesgo o fiabilidad de determinados datos de contacto –
tales como número de teléfono móvil o direcciones de correo electrónico.

En este apartado, y en relación con la afirmación de que se ha implementado un
software para la actualización de fichas de clientes con controles manuales y
automáticos para la detección de errores, debe señalarse que, tal y como se describe,
va dirigido a la detección automática de errores evidentes a la hora de introducir
determinados datos personales. Por ejemplo, el formato que deben tener las
direcciones de correo electrónico. Por el contrario, no permitirían detectar errores
como el producido en este supuesto, sencillamente de atribuir a un cliente la dirección
de e-mail de otro, dada la simultaneidad en la atención a ambos y a la ausencia de
procedimientos que detectaran que un mismo dato- en este caso, el correo electrónico
esté siendo atribuido a dos cliente diferentes. Lo mismo sucede con el software
denominado “IPQuality Score”, respecto al cual tampoco se acredita su idoneidad para
detectar errores más allá de los evidentes de formato.

Sobre el Manual corporativo, las impresiones de pantalla aportadas se limitan a
concluir que “las operaciones de “mantenimiento” o actualización de datos se llevan a
cabo de manera individualizada, en tanto que se realizan desde la propia ficha del
cliente”. En modo alguno se explica o aclara en qué contribuye este factor a evitar
incidentes como el sucedido.

CONSIDERACIONES JURÍDICAS SOBRE LA PROPUESTA, LOS HECHOS
PROBADOS Y LAS INFRACCIONES ATRIBUIDAS.

En primer lugar, parte del deber jurídico de la Administración de motivación de sus
resoluciones. A este respecto, considera que la AEPD habría convertido lo que no es
sino un fallo humano puntual en un defecto sistémico. Esto, afirma CURENERGÍA,
serían “meras conjeturas” contraviniendo el principio de presunción de inocencia.
Considera que no existirían elementos probatorios que sustenten la concurrencia de
un fallo sistémico

Opina que la AEPD se apartaría así de su propio criterio, expresado en la Guía de
gestión de riesgo y evaluación de impacto de protección de datos de la Agencia, que
considera que el “riesgo cero no existe”. De este modo, considera, la AEPD estaría
imponiendo una obligación de resultado, esto es, una sanción por el mero hecho de
que este se produzca, sin tener en cuenta las medidas establecidas, que, a juicio de
CURENERGÍA tenderían a evitar que se produzca este tipo de sucesos. Entre ellas
enumera:

- Control de formato, para asegurar la validez de las direcciones de correo
electrónico.
- Asociación múltiple, permitiendo que un cliente vincule hasta siete contratos a
una misma dirección (bloqueando el alta si se supera este límite).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/56

- Aviso al agente, cuando la dirección aparezca en hasta cinco contratos,
preservando así la eficiencia y la experiencia del usuario.
- Denegación de alta en el supuesto de que la información se repita hasta en
siete contratos.

En este apartado, las alegaciones pueden concretarse en tres. En primer lugar,
considera CURENERGÍA que el suceso producido se circunscribió a un único caso, el
relativo al denunciado por la parte reclamante. Y, sin embargo, afirma, la AEPD estaría
deduciendo la existencia de un fallo sistémico o defecto del procedimiento, que
afectaría a la generalidad de clientes, siendo así que, a su juicio, esta afirmación
carece de sustento probatorio alguno.

La segunda alegación se refiere a que la AEPD basa la imputación de la infracción en
que esta estaría propiciada por la posibilidad de atención simultánea a dos clientes por
la empresa, siendo así que CURENERGÍA considera que tal atención no era
simultánea, sino sucesiva, ya que se atendería a un cliente no a la vez que al otro,
sino cuando este se encuentra en espera.

Finalmente, la tercera alegación reconduce a afirmar que, en materia de protección de
datos, no puede existir el “riesgo cero”. Alega que, por muchas medidas técnicas, de
seguridad u organizativas que establezca el responsable del tratamiento, no puede
garantizarse que nunca pueda producirse una pérdida de integridad o confidencialidad.
A raíz de este razonamiento, considera CURENERGÍA que en este procedimiento se
estaría realizando la imputación de una infracción “de resultado”, es decir, por el mero
hecho que la pérdida de confidencialidad se haya producido, y sin atender a si
reamente las medidas establecidas por el responsable del tratamiento eran suficientes
y adecuadas.

En relación con la primera de las consideraciones, esta debe analizarse a la luz del
principio de responsabilidad proactiva consagrado en el artículo 5.2 del RGPD:

“El responsable del tratamiento será responsable del cumplimiento de lo
dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad
proactiva»).”

Adicionalmente, la política de protección de datos de toda organización debe partir,
ineludiblemente, de un análisis de riesgos que pueden concurrir en el tratamiento. Y
los riesgos están en función de los datos tratados, de las operaciones de tratamiento
que concurren y de las técnicas que se emplean para el mismo. Refiriéndonos al caso
que nos ocupa, la posibilidad de atender simultáneamente a más de un cliente a través
del canal “chat” conlleva un riesgo evidente, y es el de propiciar errores al estar
atendiendo a dos clientes a la vez. De hecho, en este supuesto se asignó a un cliente
la dirección de correo electrónico de otro. Y este riesgo sin duda podría calificarse
como alto.

Concurre una ausencia, por lo tanto, de un adecuado análisis de riesgos y, con ello, de
la adopción de medidas que los eviten o subsanen.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/56

Es objeto de este expediente valorar la inexistencia de medidas en el momento de los
hechos, con carácter general y partiendo de la aplicación del principio de protección de
datos desde el diseño y por defecto, que garanticen que sucesos como este no se
produzcan. Y ello sin perjuicio de que se valoren positivamente las medidas adoptadas
con posterioridad para evitar que puedan producirse hechos similares en el futuro. Tal
y como se tendrá en cuenta en la presente resolución.

En relación con la segunda de las alegaciones, no puede coincidirse con
CURENERGÍA en que, ni en el supuesto que nos ocupa ni en su sistema de atención
al cliente mediante el “chat”, la atención a los clientes sea “sucesiva” y no “simultánea”.
Precisamente en sus alegaciones al acuerdo de inicio, la empresa justifica la
posibilidad de atención de más de un cliente a la vez en el hecho de que, en
numerosas ocasiones, estos tardan mucho en contestar a través del “chat” a
determinada información solicitada por el operador.

La única manera en que la atención podría considerarse sucesiva sería si, mientras el
agente atiende a un cliente, la conversación con otro cliente estuviera totalmente
cerrada con el otro. Y esto no es así. La propia CURENERGÍA afirmaba en sus
alegaciones al acuerdo de inicio:

“En consecuencia, el Canal no tenía como objeto ahorrar costes, sino ser un
medio más al que el cliente podría recurrir, justificándose esta simultaneidad
limitada ya no solo en la pérdida de productividad que tendría el medio si solo se
pudiera atender una conversación a la vez, sino que también en la calidad en la
atención al cliente ofrecida ya que, de lo contrario, se tendrían que cerrar
constantemente las conversaciones entabladas y los nuevos mensajes del
cliente entrarían muy posiblemente a otro agente distinto al que le atendió en
primera instancia. Esto, sin lugar a duda, es motivo de descontento en el cliente,
quien tendría que invertir indudablemente el doble de tiempo para solucionar su
incidencia o plantear su cuestión.”

Resta únicamente aclarar que esta Agencia no prejuzga cuáles deben ser los canales
de atención al cliente, sino que debe quedar claro que, en función de los utilizados por
cada empresa, deben analizarse los riesgos intrínsecos y establecer las medidas
necesarias para paliarlos. No obstante lo anterior, cabe valorar de forma positiva que
CUENERGÍA cerrada el chat como canal de atención a los clientes. Una medida que,
a nuestro juicio, pone de manifiesto las deficiencias derivadas de este sistema en lo
que a la protección de datos de los clientes se refiere.

Finalmente, en su tercera alegación dentro de este apartado, afirma CURENERGÍA
que se estaría imponiendo una sanción por la mera producción de un resultado. Añade
que, conforme declara la propia AEPD, el “riesgo cero” no existe. En relación con este
comentario, y conforme a todo lo explicado anteriormente, queda claro que no se está
sancionando por el mero hecho de que se haya producido una pérdida de
confidencialidad de unos datos personales. Como se ha repetido, la infracción consiste
en, en aplicación del principio de protección de datos desde el diseño y por defecto, no
tener establecidas las medidas técnicas y organizativas necesarias para evitar, o
subsanar, un riesgo evidente en la utilización de un canal de atención al cliente que
tiene riesgos evidentes de cometer inexactitudes en los datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/56

A este respecto, como ya se ha indicado, el resultado producido es lo que ha permitido
indagar sobre la inexistencia de este procedimiento y medidas, y solo por esto último
se sanciona.

VALORACIONES SOBRE LA INFRACCIÓN INCLUIDAS EN LA DETERMINACIÓN DE
LA CUANTÍA

En este apartado CURENERGÍA llama la atención sobre algunos factores que se
señalan como concurrentes en la infracción a la hora de determinar la cuantía de la
sanción.

Por una parte, se señala que la AEPD tiene en cuenta para dicha determinación el
hecho de que el filtrado de información sobre impagos de la persona afectada suponga
una mayor intrusión en la intimidad de la misma. Por otra parte, también se toma en
consideración en la propuesta de resolución que con la infracción se produce el
perjuicio consistente a dar información relativa a la solvencia económica del afectado.

A este respecto, CURENERGÍA considera que los datos filtrados no estarían dando
información sobre solvencia económica. Además, opina que no se puede deducirse
que el riesgo de filtrar datos de solvencia se proyecte potencialmente sobre 3 millones
de clientes de la empresa.

En relación con la mayor intrusión por suministrar datos sobre impagos, entiende que
este factor podría considerarse en casos de accesos a los datos por un gran número
de personas, pero no en un caso como este en que solo habría accedido una.

En primer lugar, considera que los datos filtrados no darían información sobre la
solvencia económica. No puede sino discreparse de esta consideración. Con
independencia de la cuantía de la deuda comunicada, lo cierto es que quien recibió la
información pudo deducir la situación de impago de la deuda y, con ello, datos sobre
solvencia.

En segundo, alega que no se puede deducir que el riesgo de filtrar datos de solvencia
se proyecte sobre 3 millones de clientes de la empresa. En relación con esta
observación, es preciso aclarar que la propuesta de resolución ni dice ni permite
deducir tal conclusión. Lo que hace, dentro del apartado mencionado de determinación
de la cuantía de la sanción, es considerar que, con independencia de la constatación
de la afectación del incidente de confidencialidad a un sujeto, dado que no existía un
procedimiento ni medidas establecidas para evitar este tipo de incidentes, los 3
millones de clientes de CURENERGÍA se encontraban potencialmente afectados por la
infracción, ya que, con dicha falta de medidas, cualquiera podía sufrir este tipo
incidentes. Es decir, no se realizaba afirmación alguna de que los 3 millones
estuvieran expuestos justo en lo relativo a información sobre la solvencia.

Finalmente, en relación con la información sobre impagos, la mayor intrusión en la
intimidad por suministrar dichos datos, a juicio de CURENERGÍA solo devendría de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/56

casos de accesos por un gran número de personas, pero no en un caso como este en
que solo accedió una.

Realmente ello no es así. La indicación que efectúa la propuesta de resolución de
concurrencia de una mayor intrusión lo es en función de la cualidad del dato filtrado
(información sobre la existencia de una deuda impagada), con independencia del
número de personas que hubieran accedido a la misma.

MOTIVACIÓN

En este apartado, y como conclusión de los anteriores, considera CURENERGÍA que
la resolución no está suficientemente motivada. La motivación, afirma, debe “permitir al
interesado conocer los fundamentos de la resolución, posibilitar el ejercicio de su
derecho de defensa y permitir el control jurisdiccional por parte de los tribunales”. En
relación con este aspecto, no bastaría con “afirmaciones genéricas o valoraciones
apodícticas”; es necesario que la Administración exponga de forma razonada los
hechos y fundamentos jurídicos que sustentan su actuación.

Como corolario de lo anterior, afirma que en este procedimiento se produce una “falta
de hechos probados y la sustitución de estos por simples apreciaciones vulnera la
presunción de inocencia”. Aporta jurisprudencia al respecto.

En relación a esta alegación debe señalarse que a lo largo de todo este apartado de
contestación a las alegaciones (y en los sucesivos) se contesta exhaustivamente a
todas las cuestiones planteadas por la parte reclamada. A todo ello nos remitimos para
considerar que todos y cada uno de los aspectos planteados se encuentran
correctamente reflejados en esta resolución.

En relación genérica con la necesidad de motivación de los actos administrativos,
conforme al artículo 35 de la Ley 39/2015, de 1 de octubre, del Procedimiento
administrativo común de las Administraciones Públicas, los actos “Serán motivados,
con sucinta referencia de hechos y fundamentos de derecho”. Así se hace en la
presente resolución y se ha hecho en los documentos procedimentales precedentes.

Así, en el acuerdo de inicio se contenían todos y cada uno de los extremos previstos
en su artículo 64 de dicha ley. En la propuesta se incluía todo lo indicado en el artículo
89 y en la presente resolución lo establecido en su artículo 90.

En relación con el aspecto más señalado por CURENERGÍA, como es la presunta
inexistencia de elementos probatorios para la determinación de la infracción, tanto en
la propuesta como en la presente resolución se contiene una relación de hechos
probados y los fundamentos jurídicos oportunos que establecen la correlación entre
los mismos y el régimen jurídico aplicable.

En cuanto a los elementos probatorios necesarios para acreditar cada uno de los
hechos probados y su incardinación en la calificación sancionadora, son los que se
detallan a lo largo de la presente resolución. No cabe entender vulnerado el principio
de necesidad de motivación ni el de presunción de inocencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/56

Segunda. Sobre el error en la tipificación de la infracción

En relación con este aspecto, incluye CURENERGÍA una serie de consideraciones.
Comienza señalando lo que podría ser una errata, en el Fundamento jurídico relativo a
las medidas correctivas que podrían imponerse en la resolución. En este apartado se
menciona que las medidas se impondrían para garantizar el cumplimiento tanto del
artículo 25 como del artículo 5 del RGPD. Sin embargo, se propone solo sancionar por
el incumplimiento del primero.

A continuación incluye consideraciones acerca del alcance del principio de privacidad
desde el diseño y por defecto. Considera que, en el marco de este principio, no solo
deben adoptarse las medidas oportunas para poder demostrar la conformidad de las
actividades de tratamiento con el presente Reglamento, sino también para acreditar la
eficacia de las medidas. A este respecto, afirma que CURENERGÍA habría adoptado
dichas medidas en dos momentos diferentes: en primer lugar, cuando se procedió a la
corrección de los datos de los clientes afectados, tras recibir la reclamación. Y en
segundo, cuando se realizó la implementación de medidas de control para la
verificación de datos repetidos

Continúa argumentando que el principio de privacidad desde el diseño es aplicable a
la totalidad de los tratamientos realizados por la entidad, y no únicamente al canal de
atención al cliente. Por ello, alega que la realización de un tratamiento irregular en un
caso puntual —como la comunicación derivada del error involuntario del agente— no
permite fundamentar la conclusión de incumplimiento del principio de protección de
datos desde el diseño y por defecto. En relación con este aspecto, señala que el único
elemento de riesgo susceptible de consideración sería, como máximo, el relativo a las
15.030 interacciones realizadas a través del canal chat en 2023

Añade CURENERGÍA que el RGPD atribuye a las autoridades de control unos amplios
poderes de investigación, que en este caso la AEPD no ejerció, al no realizar un
trámite de actuaciones previas de investigación. Por el contrario, se habría limitado a
extrapolar un supuesto concreto para determinar la existencia de un fallo sistémico.

De este modo, continúa en sus alegaciones, los hechos concretos imputados a
CURENERGÍA en este procedimiento no se encuentran tipificados como infracción
administrativa en el marco conjunto de los artículos 83.4 y 25 del RGPD, ni en norma
con rango de ley alguna. A este respecto, señala que el artículo 27 LRJSP recoge el
principio de tipicidad o predeterminación normativa (“lex certa”). Para poder sancionar,
se exige esa predeterminación y descripción de las conductas sancionables sin que
quepan cláusulas generales

Así, señala CURENERGÍA que los tipos sancionadores abiertos como el que nos
ocupa, que requieren de una concreción para el caso concreto de la que su enunciado
general carece, han sido admitidos por el Tribunal Constitucional siempre que esa
concreción para el caso concreto pueda hacerse en virtud de criterios lógicos, técnicos
o de experiencia, convirtiéndose esta concreción para el caso concreto en una carga
para el aplicador del Derecho. Por ello se exige que la Administración sancionadora
lleve a cabo un razonamiento “en virtud de criterios técnicos, lógicos o de experiencia”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/56

y una “valoración sistemática de todos los elementos que integran la norma,
atendiendo a la finalidad y fundamento de la misma”

En relación con estas alegaciones, debe aclararse, en primer lugar, que lo que
CURENERGÍA señala como un error en el fundamento jurídico relativo a las medidas
correctivas no es tal. Recordemos que el procedimiento sancionador se inició con la
imputación el artículo 5.1.d) del RGPD, siendo así que en la propuesta de resolución
se modificó la calificación de la infracción por el artículo 25 RGPD. En la medida en
que pudiera subsistir alguna inexactitud en los datos denunciados por la parte
reclamación, podría haber tenido que imponerse una medida correctiva también con
base en ese artículo. Una vez constatado que los datos fueron corregidos, la mención
al artículo 5 se suprime de las medidas que se imponen en esta resolución.

En relación con la tipificación de los hechos y la imputación de la correspondiente
infracción, son varias las alegaciones realizadas por CURENERGÍA. Afirma en primer
lugar que el principio de privacidad desde el diseño implica que no solo el responsable
del tratamiento debe estar en condiciones de acreditar el cumplimiento de las
obligaciones del RGPD, sino también la eficacia de dichas medidas. Y para ello alude
a la corrección que se efectuó en la ficha de cliente, así como, en momento posterior,
la implementación de medidas de control para la verificación de datos repetidos.

En relación con esta alegación, es preciso señalar que la imputación de la infracción
del mencionado principio de privacidad desde el diseño, parte del hecho de que
precisamente no estaban implantadas medidas eficaces para evitar el riesgo de que el
tratamiento simultáneo de los datos de dos clientes a la vez pudiera ocasionar
inexactitudes en los mismos, y, derivada de ella, pérdidas de confidencialidad en el
tratamiento. CURENERGÍA ahora alude en primer lugar a que los datos quedaron
corregidos tras la reclamación de quien recibió los del otro cliente.Si bien ello no
implica que los hechos- y, por lo tanto, la infracción- no se hubieran producido, se
valora positivamente que se haya subsanado el error en el tratamiento de los datos
personales puestos de manifiesto en el presente procedimiento. Y en segundo lugar
indica, de modo genérico e impreciso que se llevó a cabo posteriormente una
“implementación de medidas de control para la verificación de datos repetidos”. Si bien
no aclara qué medidas son estas, el aspecto definitivo consiste en que, en el año 2024
CURENERGÍA habría eliminado el canal “chat” para relacionarse con sus clientes.
Toda vez que este era el único que permitía la atención simultánea de dos clientes.

A continuación CURENERGÍA intenta relativizar la vulneración del principio de
privacidad desde el diseño. Indica que este implica a todos los procesos de
tratamiento de datos personales realizados por una empresa, siendo así que el
presente procedimiento se refiere únicamente a la atención al cliente realizado a
través de un canal que en el año 2023 utilizaron únicamente 15.030 clientes (o para
ser más precisos, incluyó ese número de interacciones).

A este respecto, debe contestarse que en el presente procedimiento no se ha
afirmado, ni mucho menos considerado hecho probado, que el incumplimiento del
principio afecte a todos los tratamientos o procesos de la empresa. Ni tampoco es
necesario que para que pueda entenderse vulnerado dicho principio se vean afectados
todos los procesos. Lo que ha quedado constatado en este procedimiento es que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/56

atención al cliente mediante el canal “chat” adolecía de una importante falta de
medidas técnicas y organizativas que garantizasen el cumplimiento del principio de
integridad y confidencialidad. Siendo así que dicho canal permitía la atención
simultánea a dos clientes, ni siquiera se había previsto el riesgo que ello conlleva de
que se puedan producir errores. Una vez omitido dicho riesgo, esto trae como
consecuencia que no se arbitraran medidas para evitarlo o subsanarlo. Ninguna ha
sido aportada al presente procedimiento.

Con ello, se ha producido una vulneración del principio de privacidad desde el diseño
porque se trataba de un defecto de procedimiento, de carácter general y podía afectar
a cualquier cliente que utilizara el canal “chat”. Dicho esto, la naturaleza y dimensión
del defecto es tenida en consideración de cara a determinar la cuantía de la sanción.

Señala asimismo CURENERGÍA que la AEPD no habría ejercido los “amplios poderes
de investigación” que le confiere el RGPD. En su lugar, arguye, se habría limitado a
extrapolar un supuesto concreto para determinar la existencia de un fallo sistémico.

Ello no es así. En la tramitación del procedimiento, y de cara a la adopción de la
decisión sobre admisión a trámite, se recabó de CURENERGÍA la oportuna
documentación a información acerca del caso que nos ocupa. Con base en su
contestación, por parte de esta Agencia se consideró que existían indicios más que
suficientes para la apertura de un procedimiento sancionador. En efecto, en dicho
escrito se ponía de manifiesto que el incidente se había producido debido a “un error
humano en el que un agente de dicho canal colaborador de CURENERGÍA actualizó
erróneamente la ficha de otro cliente con el correo electrónico del Reclamante, al
encontrarse atendiendo a ambos usuarios simultáneamente por canales distintos”.

Y lo cierto es que tanto tras el acuerdo de inicio como tras la propuesta de resolución,
CURENERGÍA ha tenido oportunidad de alegar todo lo que ha considerado
conveniente en su defensa y de aportar toda la documentación que le pudiera
convenir. En este sentido, en el expediente obra documentación más que suficiente
para, como extensamente se motiva en esta resolución, considerar acreditado que
CURENERGÍA ha cometido una infracción del artículo 25 del RGPD.

En este apartado de alegaciones CURENERGÍA concluye afirmando que no se ha
concretado de manera efectiva el motivo por el cual dicha empresa estaría
contraviniendo el principio de privacidad desde el diseño. Argumenta que nuestro
Ordenamiento trata de evitar los tipos sancionadores genéricos y, si bien no los
proscribe totalmente, la imposición de este tipo de sanciones exige un plus de
motivación para que se determine de manera concreta el incumplimiento producido y
la infracción cometida.

En contestación a esta alegación debe partirse de la regulación a nivel europeo de la
normativa de protección de datos. Como es sabido, tanto el régimen sustantivo
(derechos y obligaciones) como el sancionador se encuentran en el RGPD, una norma
europea que, debido a su rango de Reglamento, resulta directa e inmediatamente
aplicable en todos los Estados miembros. Y ello sin necesidad de normativa interna
alguna que la incorpore o desarrolle.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/56

Y a este respecto, debe recordarse que el régimen sancionador, como decimos
aplicable directamente por los Estados miembros, se encuentra establecido en el
artículo 83 del mencionado RGPD. Y este régimen sancionador califica como
infracción el incumplimiento prácticamente de cualquiera de los preceptos del
Reglamento. En el caso que nos ocupa, su apartado 4 establece:

“4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo
o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo
del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43;”

Como puede observarse, se considera infracción el incumplimiento de lo dispuesto en
el artículo 25 del RGPD. Dicho esto, la resolución que imponga una sanción por este
incumplimiento debe motivar de manera exhaustiva por qué los hechos constatados
constituyen un incumplimiento del principio de privacidad desde el diseño. Y en este
aspecto se coincide con CURENERGÍA que el incumplimiento de principios generales,
como este, del RGPD exige una motivación más rigurosa que el incumplimiento de
una obligación muy concreta, como podría ser la necesidad de disponer de un
Registro de actividades de tratamiento.

En todo caso, tanto en la contestación a las alegaciones como en los fundamentos
jurídicos de esta resolución se contiene una extensa motivación de por qué se
considera incumplido el principio de privacidad desde el diseño. Y ello no es, como
trata de insistir desacertadamente CURENERGÍA, por el mero hecho de que en un
caso concreto se haya producido la pérdida de confidencialidad de datos personales
de un sujeto, sino, como se ha repetido en esta resolución, por la inexistencia de un
procedimiento con medidas adecuadas para que esto no sucediera, dadas las
peculiaridades de gestión del canal “chat”, que permitía la atención simultánea de dos
clientes.

Tercera. Sobre la inadmisibilidad de la responsabilidad objetiva. Vulneración del
principio de culpabilidad

Esta alegación versa sobre el principio de culpabilidad. Recuerda CURENERGÍA que
la exigencia de responsabilidad administrativa implica la necesaria concurrencia de
dolo o culpa en la infracción. Nuestro ordenamiento, afirma, proscribe la existencia de
una “responsabilidad objetiva”, esto es, por la mera producción de un resultado y
obviando la necesidad de que se produzca como mínimo una negligencia por parte del
responsable.

Llama la atención CURENERGÍA sobre el hecho de que la motivación de por qué
concurre negligencia sea la misma tanto en el acuerdo de inicio como en la propuesta
de resolución, siendo así que se modificó la calificación de la infracción, pasando del
artículo 5.1.d) al artículo 25 del RGPD. De este modo, alega, la negligencia no puede
“trasladarse” de una infracción a otra. Con ello, no existiría una fundamentación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/56

específica de la misma para el artículo 25. Concluye afirmando que no estaría probada
la culpa y recuerda que esta debe probarse para enervar la presunción de inocencia.

Alega asimismo que en la propuesta de resolución se considera que los hechos
acreditados son constitutivos de una infracción de procedimiento, que excede del caso
concreto, imputable a la parte reclamada, por vulneración del artículo 25 del RGPD.
Pero esta consideración la basaría la AEPD únicamente en afirmaciones genéricas
como “Los procedimientos implantados no fueron efectivos pues de lo contrario el
operador habría advertido y corregido el error cometido”. Alega en consecuencia que
la propuesta incurre en una actuación que el TJUE proscribe, al basarse únicamente
en conjeturas o hipótesis.

Finaliza afirmando que la Propuesta parece confundir el concepto de responsabilidad
proactiva con la obligación de resultado que impone la responsabilidad objetiva.

En relación con el principio de culpabilidad, las alegaciones de CURENERGÍA se
concretan en dos consideraciones. La primera, que en el presente procedimiento se
estaría incurriendo en un supuesto de imputación de responsabilidad objetiva. Es
decir, la AEPD estaría sancionado a CURENERGÍA únicamente por la constatación de
la producción de un resultado, pero sin acreditar la concurrencia de dolo o negligencia
por su parte.

En relación con esta alegación, no cabe sino remitirse a las anteriores contestaciones
a las alegaciones. Como se ha explicado, CURENERGÍA insiste en intentar reconducir
el expediente a la existencia de un caso concreto de pérdida de confidencialidad de los
datos de solo una persona. Y, a partir de ahí, decir que esto sería lo único acreditado y
que la AEPD realiza una extrapolación, de que dicho incidente sería aplicable a la
generalidad de clientes o que constituye un fallo sistémico.

Como se ha indicado ya en numerosas ocasiones, esto no es así. El caso concreto fue
la reclamación recibida en la AEPD y que determinó la existencia de indicios de
infracción del RGPD, lo que dio lugar a la apertura de expediente sancionador. Sin
embargo, tras la recepción de alegaciones al acuerdo de inicio y la práctica de la
prueba, se ha considerado acreditado un fallo de procedimiento. Y es que
CURENERGÍA no tenía establecidas medidas técnicas u organizativas para evitar que
se produjeran inexactitudes en los datos, y la probable consecuencia de pérdida de
confidencialidad, en el procedimiento de atención al cliente mediante el canal chat.

Y como ya ha quedado dicho, el procedimiento no estaba previsto, ni las
correspondientes medidas establecidas debido a que no se había realizado un
adecuado análisis de riesgos. En efecto, CURENERGÍA no ha presentado ni un solo
documento con un análisis de riesgos de los diferentes tratamientos. Y es que un mero
análisis del canal “chat” y su operativa habrían hecho detectar el riesgo evidente que
se produce cuando se atiende a dos clientes simultáneamente.

Recordemos lo que ordena el artículo 25 ahora infringido:

“Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la
naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/56

diversa probabilidad y gravedad que entraña el tratamiento para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará, tanto
en el momento de determinar los medios de tratamiento como en el momento
del propio tratamiento, medidas técnicas y organizativas apropiadas”

Y es que el análisis de riesgo es la base sobre la que pivota la política de protección
de datos del todo responsable del tratamiento. Sin un adecuado análisis de riesgos, es
difícil que se establezcan medidas adecuadas para salvaguardar los principios
establecidos en el artículo 5 del RGPD (entre ellos, algunos tan importantes como el
de minimización, limitación de la finalidad o exactitud).

Ahí se encuentra la negligencia. CURENERGÍA no analizó los riesgos
adecuadamente. Con ello no detectó el riesgo de inexactitudes en la incorporación o
modificación de datos personales a través de la atención mediante el canal “chat”. Y
de ello se deriva la inexistencia de medidas adecuadas para evitar o subsanar esos
riesgos. Y está obligado a todo ello conforme a los preceptos del RGPD.

Y, como conclusión, la inexistencia de medidas afectaba a los datos de cualquier
cliente de CURENERGÍA que utilizara el chat, que estaba a disposición de todos. Con
ello, el incumplimiento reviste un carácter general, y no se refiere, como pretender
hacer creer la parte reclamada, al caso concreto que dio lugar al inicio del expediente.

Como complemento a esta alegación, afirma CURENERGÍA que la concurrencia de la
culpa no estaría motivada adecuadamente en la propuesta de resolución, dado que,
afirma, esta se habría limitado a reproducir la justificación incluida en el acuerdo de
inicio. Esto invalidaría la motivación, ya que, recuerda CURENERGÍA, el acuerdo de
inicio se basaba en la imputación de un artículo distinto al de la propuesta.

En relación con esta alegación, comete CURENERGÍA el error de considerar que la
motivación de la concurrencia de la culpa se contiene en el fundamento jurídico
relativo a la determinación de la cuantía de la sanción. Y ello no es así. La
concurrencia de negligencia se detalla de manera directa y exhaustiva en el
fundamento jurídico V (“Obligación incumplida. Infracción del artículo 25 del RGPD”).
En efecto, en este fundamento jurídico, al que nos remitimos, se motiva la comisión de
la infracción y la motivación de por qué debió exigirse una mayor diligencia a
CURENERGÍA en el establecimiento del procedimiento de atención al cliente mediante
el canal “chat”.

Por el contrario, el Fundamento jurídico cuyo texto reproduce CURENERGÍA en sus
alegaciones, es el dedicado a justificar la cuantía de la sanción impuesta. Y a esos
efectos, debe declararse, tal y como exige el artículo 83.2.b), si concurre
intencionalidad o negligencia en los hechos. Y se incluye una breve argumentación de
por qué se considera que media culpa en la infracción.

Ateniéndonos a la motivación que en este apartado se contiene en la propuesta de
resolución se contienen factores como:

- El alto riesgo existente en el tratamiento de estos datos personales
- La inexistencia de procedimientos efectivos de detección, comprobación y
corrección de posibles discrepancias cometidas por los agentes al atender
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/56

simultáneamente a varios clientes (como se observa, se refiere a los
procedimientos, y no a un solo caso concreto)
- La omisión de los deberes de comprobación que son medidas básicas a
adoptar por todo responsable de tratamiento de datos personales, máxime
cuando maneja tal elevado volumen de datos personales.

Factores perfectamente aplicables al caso que nos ocupa en este procedimiento, por
lo que no puede afirmarse que esté motivada ni acreditada la existencia de culpa.
Primero, porque la motivación esencial se encuentra en otro fundamento jurídico.
Segundo, porque en el fundamento al que se refiere CURENERGÍA también incluye
los rasgos básicos de la negligencia concurrente en la infracción.
No obstante lo anterior, se tiene en cuenta el número de usuarios del chat indicado por
CURENERGIA que, sin perjuicio de que cho cana de comunicación estuviera a
disposición de todos sus clientes, permite dimensionar su uso.

Cuarta. Vulneración del principio de proporcionalidad

En relación con esta alegación, algunos de sus comentarios fueron ya realizados al
alegar sobre el acuerdo de inicio y a su contestación nos remitimos. En relación con el
resto de alegaciones, CURENERGÍA indica que la cuantía de la sanción no superaría
el “test tridimensional de proporcionalidad —idoneidad, necesidad y proporcionalidad
en sentido estricto—“, que contempla la STC 2596/2025.

Afirma asimismo que la cuantía del volumen de negocio no justifica sanción que
supere la cuantía adecuada según estos juicios. Concluye alegando que la cuantía
impuesta por lo que considera hechos no probados “vulnera de forma manifiesta los
principios de proporcionalidad y seguridad jurídica, tal y como ha reiterado la
jurisprudencia nacional y europea.”

En relación con esta alegación sobre la proporcionalidad de la sanción es preciso
contestar lo que sigue: la propuesta de resolución indica lo siguiente:

“La multa que se imponga deberá ser, en cada caso individual, efectiva,
proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del
RGPD. Para garantizar estos principios, se considera, con carácter previo, la
condición de gran empresa, y el volumen de negocio de la parte reclamada
1.339.789.000 euros en el año 2024. El importe máximo de la multa podría
ascender a 26.780.000 euros.”

Aplicando los intervalos de cuantías aplicables en función del volumen de negocio, el
máximo de la cuantía sería de 26,7 millones de euros. Con ello, no puede afirmarse
que la cuantía sea excesiva, teniendo en cuenta que el volumen de negocio de
CURENERGÍA es de 1.339 millones de euros. Y recordemos que el RGPD habilita
para la imposición de multas, en este caso, de hasta el 2% de los ingresos.

Conforme a reiterada jurisprudencia del Tribunal Supremo, no puede considerarse
desproporcionada una sanción cuando claramente se impone en el tramo mínimo de lo
previsto por la normativa. Y teniendo que en cuenta que el RGPD permite la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/56

imposición de sanciones de hasta el 2% de los ingresos de la empresa, una sanción
que tan solo supone el 0,07% en modo alguno podría considerarse desproporcionada.

No obstante, atendiendo a la estimación parcial de las alegaciones presentadas por
CURENERGÍA, el importe de la sanción es reevaluada en la presente resolución.

Quinta. Concurrencia de factores atenuantes no considerados

Propone CURENERGÍA la toma en consideración de circunstancias que actuaría como
atenuantes de la cuantía de la sanción (se omiten las que se repiten y están ya
contestadas con el acuerdo de inicio):

- No se habrían visto afectadas categorías especiales de datos personales del
artículo 9.1 RGPD
- No se le habrían impuesto sanciones previas en materia de protección de
datos.
- Se encuentra adherida a mecanismos de certificación: ISO 27001:2022,
relativa a la seguridad de la información en las organizaciones; la ya
comentada certificación EVPRIVACY; y la adhesión al Esquema nacional de
seguridad

Se contesta a continuación a cada una de ellas.

- No se habrían visto afectadas categorías especiales de datos personales del
artículo 9.1 RGPD

No cabe apreciar esta circunstancia como atenuante. El hecho de que no se
hayan visto afectado tales datos no puede reducir la responsabilidad del
interesado. Por el contrario, podría agravarla en caso de concurrir. En todo
caso, aun sin la concurrencia de tales categorías de datos, como esta
resolución expone, se han visto afectados datos importantes como los relativos
a la solvencia o los impagos de la parte afectada.

- No se le habrían impuesto sanciones previas en materia de protección de
datos.

En relación con esta circunstancia, en primer lugar, indicar que únicamente
puede funcionar como agravante en caso de concurrir. La Sentencia de la
Audiencia Nacional, de 5 de mayo de 2021, rec. 1437/2020, indica que
“Considera, por otro lado, que debe apreciarse como atenuante la no comisión
de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que
debe tenerse en cuenta para la imposición de la multa administrativa, entre
otras, la circunstancia "e) toda infracción anterior cometida por el responsable o
el encargado del tratamiento". Se trata de una circunstancia agravante, el
hecho de que no concurra el presupuesto para su aplicación conlleva que no
pueda ser tomada en consideración, pero no implica ni permite, como pretende
la actora, su aplicación como atenuante”.

- Se encuentra adherida a mecanismos de certificación: ISO 27001:2022,
relativa a la seguridad de la información en las organizaciones; la ya
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/56

comentada certificación EPRIVACY; y la adhesión al Esquema nacional de
seguridad

En relación con esta alegación, ya anteriormente se ha indicado que la
certificación EPRIVACY aportada lleva fecha de julio de 2025, siendo así que
los hechos sancionados acaecieron en agosto de 2023.

En relación con la norma ISO:27001 cabe afirmar en primer lugar que la mera
posesión de una certificación de la certificación de cumplimiento de la norma
ISO 27001 no implica el adecuado cumplimiento de la normativa de protección
de datos. Se trata de un estándar de cumplimiento de la normativa de gestión
de seguridad de la información, lo que no implica un enfoque en la gestión para
la garantía de los derechos y libertades de los titulares de los datos, sino para
la seguridad de la información dentro de una organización.

Lo mismo puede aplicarse al Esquema Nacional de Seguridad. Conforme
establece su artículo 1 (Real Decreto 311/2022, de 3 de mayo), “El ENS está
constituido por los principios básicos y requisitos mínimos necesarios para una
protección adecuada de la información tratada y los servicios prestados por las
entidades de su ámbito de aplicación, con objeto de asegurar el acceso, la
confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad
y la conservación de los datos, la información y los servicios utilizados por
medios electrónicos que gestionen en el ejercicio de sus competencias.”. Esto
es, se implanta con la óptica de la seguridad de la información, y no la
protección de datos personales.

Sexta.- Medidas correctivas

En relación con las medidas correctivas, opina CURENERGÍA que su redacción sería
demasiado genérica, solicitando que, en caso de que se mantengan, se concrete en el
sentido de indicar qué medida deberían adoptarse.

Al respecto es preciso indicar que esta Agencia no puede determinar el modo o
medidas concretas que deban utilizarse para cumplir con las obligaciones del RGPD.
Aparte, es el responsable del tratamiento el que conoce su operativa de
funcionamiento, sus sistemas de información y con ello el modo de adaptarlos para el
cumplimiento de las citadas obligaciones.

De este modo, lo que se incorpora en la resolución debe mantenerse, como así se
hace, en la necesidad de cumplir un objetivo, en este caso la obligación de establecer
los procedimientos necesarios que garanticen la exactitud de datos personales de sus
clientes en la entidad para evitar que se asocien datos de un cliente en la ficha de otro
cliente, y que se dirijan a detectar, comprobar y, en su caso, corregir las posibles
inexactitudes cometidas de forma efectiva, para evitar que las posibles inexactitudes
cometidas produzcan un impacto en los interesados, y/o reparar los posibles daños y
perjuicios cometidos

I. Obligación incumplida: infracción del artículo 25 del RGPD

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/56

El cumplimiento de la protección de datos por diseño y por defecto, obligaciones
impuestas por el RGPD, desempeña un papel crucial en la promoción de la privacidad
y la protección de datos en la sociedad. El artículo 25 del RGPD, en relación con la
Protección de datos desde el diseño y por defecto, establece lo siguiente:

“1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la
naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de
diversa probabilidad y gravedad que entraña el tratamiento para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará, tanto
en el momento de determinar los medios de tratamiento como en el momento
del propio tratamiento, medidas técnicas y organizativas apropiadas, como la
seudonimización, concebidas para aplicar de forma efectiva los principios de
protección de datos, como la minimización de datos, e integrar las garantías
necesarias en el tratamiento, a fin de cumplir los requisitos del presente
Reglamento y proteger los derechos de los interesados.

2. El responsable del tratamiento aplicará las medidas técnicas y organizativas
apropiadas con miras a garantizar que, por defecto, solo sean objeto de
tratamiento los datos personales que sean necesarios para cada uno de los fines
específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos
personales recogidos, a la extensión de su tratamiento, a su plazo de
conservación y a su accesibilidad. Tales medidas garantizarán en particular que,
por defecto, los datos personales no sean accesibles, sin la intervención de la
persona, a un número indeterminado de personas físicas.

3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al
artículo 42 como elemento que acredite el cumplimiento de las obligaciones
establecidas en los apartados 1 y 2 del presente artículo.”

En consonancia con estas previsiones, el considerando 78 del RGPD dispone:

“La protección de los derechos y libertades de las personas físicas con respecto
al tratamiento de datos personales exige la adopción de medidas técnicas y
organizativas apropiadas con el fin de garantizar el cumplimiento de los
requisitos del presente Reglamento.

A fin de poder demostrar la conformidad con el presente Reglamento, el
responsable del tratamiento debe adoptar políticas internas y aplicar medidas
que cumplan en particular los principios de protección de datos desde el diseño
y por defecto.

Dichas medidas podrían consistir, entre otras, en reducir al máximo el
tratamiento de datos personales, seudonimizar lo antes posible los datos
personales, dar transparencia a las funciones y el tratamiento de datos
personales, permitiendo a los interesados supervisar el tratamiento de datos y al
responsable del tratamiento crear y mejorar elementos de seguridad.

Al desarrollar, diseñar, seleccionar y usar aplicaciones, servicios y productos que
están basados en el tratamiento de datos personales o que tratan datos
personales para cumplir su función, ha de alentarse a los productores de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/56

productos, servicios y aplicaciones a que tengan en cuenta el derecho a la
protección de datos cuando desarrollan y diseñen estos productos, servicios y
aplicaciones, y que se aseguren, con la debida atención al estado de la técnica,
de que los responsables y los encargados del tratamiento están en condiciones
de cumplir sus obligaciones en materia de protección de datos.

Los principios de la protección de datos desde el diseño y por defecto también
deben tenerse en cuenta en el contexto de los contratos públicos.”

El principio de privacidad desde el diseño es una muestra del paso de la reactividad a
la proactividad y manifestación directa del enfoque de riesgos que impone el RGPD.

Parte de la responsabilidad proactiva, impone que, desde los estadios más iniciales de
planificación de un tratamiento debe de ser considerado este principio: el responsable
del tratamiento desde el momento en que se diseña y planifica un eventual tratamiento
de datos personales deberá determinar todos los elementos que conforman el
tratamiento, a los efectos de aplicar de forma efectiva los principios de protección de
datos, integrando las garantías necesarias en el tratamiento con la finalidad última de,
cumpliendo con las previsiones del RGPD, proteger los derechos de los interesados.

Así, y respecto de los riesgos que pueden estar presentes en el tratamiento, el
responsable del tratamiento llevará a cabo un ejercicio de análisis y detección de los
riesgos durante todo el ciclo de tratamiento de los datos, con la finalidad primera y
última de proteger los derechos y libertades de los interesados, y no sólo cuando
efectivamente se produce el tratamiento.

Así se expresa en las Directrices 4/2019 del CEPD relativas al artículo 25 Protección
de datos desde el diseño y por defecto, adoptadas el 20 de octubre de 2020. En las
citadas Directrices se indica al respecto que:

“35. El «momento de determinar los medios de tratamiento» hace referencia al
período de tiempo en que el responsable está decidiendo de qué forma llevará a
cabo el tratamiento y cómo se producirá este, así como los mecanismos que se
utilizarán para llevar a cabo dicho tratamiento. En el proceso de adopción de
tales decisiones, el responsable del tratamiento debe evaluar las medidas y
garantías adecuadas para aplicar de forma efectiva los principios y derechos de
los interesados en el tratamiento, y tener en cuenta elementos como los riesgos,
el estado de la técnica y el coste de aplicación, así como la naturaleza, el
ámbito, el contexto y los fines. Esto incluye el momento de la adquisición y la
implementación del software y hardware y los servicios de tratamiento de datos.

36. Tomar en consideración la PDDD desde un principio es crucial para la
correcta aplicación de los principios y para la protección de los derechos de los
interesados. Además, desde el punto de vista de la rentabilidad, también
interesa a los responsables del tratamiento tomar la PDDD en consideración
cuanto antes, ya que más tarde podría resultar difícil y costoso introducir
cambios en planes ya formulados y operaciones de tratamiento ya diseñadas”.

Para ello, debe recurrir al diseñar el tratamiento a los principios recogidos en el artículo
5 del RGPD, que servirán para aquilatar el efectivo cumplimiento del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/56

Así, las citadas Directrices 4/2019 del CEPD disponen que para hacer efectiva la
PDDD, los responsables del tratamiento han de aplicar los principios de transparencia,
licitud, lealtad, limitación de la finalidad, minimización de datos, exactitud, limitación del
plazo de conservación, integridad y confidencialidad, y responsabilidad proactiva.
Estos principios están recogidos en el artículo 5 y el considerando 39 del RGPD.

La Guía de Privacidad desde el Diseño de la AEPD afirma que “La privacidad desde el
diseño (en adelante, PbD) implica utilizar un enfoque orientado a la gestión del riesgo
y de responsabilidad proactiva para establecer estrategias que incorporen la
protección de la privacidad a lo largo de todo el ciclo de vida del objeto (ya sea este un
sistema, un producto hardware o software, un servicio o un proceso). Por ciclo de vida
del objeto se entiende todas las etapas por las que atraviesa este, desde su
concepción hasta su retirada, pasando por las fases de desarrollo, puesta en
producción, operación, mantenimiento y retirada”.

La Guía dispone que “La privacidad debe formar parte integral e indisoluble de los
sistemas, aplicaciones, productos y servicios, así como de las prácticas de negocio y
procesos de la organización. No es una capa adicional o módulo que se añade a algo
preexistente, sino que debe estar integrada en el conjunto de requisitos no funcionales
desde el mismo momento en el que se concibe y diseña (…) La privacidad nace en el
diseño, antes de que el sistema esté en funcionamiento y debe garantizarse a lo largo
de todo el ciclo de vida de los datos”.

Una verdadera cultura de protección de datos en la organización implica la capacidad
de documentar todas las decisiones que se adopten con un enfoque global de la
privacidad, demostrando el cumplimiento del RGPD también en este aspecto.

Se pretende proteger a las personas de los riesgos derivados del tratamiento de datos
personales para sus derechos y libertades. Estos riesgos pueden ser de gravedad y
probabilidad variables y provocar daños y perjuicios físicos, materiales o inmateriales,
consecuencias tangibles o intangibles.

En el presente supuesto, de la documentación obrante en el expediente se evidencia
que la parte reclamada no ha aplicado el principio de protección de datos desde el
diseño. En primer lugar, de la información facilitada en su escrito de contestación al
traslado de la reclamación reconoce que hubo un error de uno de sus agentes,
encargado del canal de actualización de datos, que solicitó y actualizó los datos
personales de dos clientes a los que estaba atendiendo simultáneamente y registró
erróneamente los datos del del reclamante (A.A.A.) y los de otro cliente (B.B.B.). En
concreto, la reclamada manifiesta lo siguiente: “Concretamente, se trató de un error
humano en el que un agente de dicho canal colaborador de CURENERGÍA actualizó
erróneamente la ficha de otro cliente con el correo electrónico del Reclamante, al
encontrarse atendiendo a ambos usuarios simultáneamente por canales distintos”.

Así pues, la reclamada reconoce que se registraron mal los datos de B.B.B., al incluir
la dirección de correo electrónico del reclamante en su ficha en lugar del correo
electrónico de éste, y como consecuencia de ello, se remitió al reclamante el correo
electrónico de 2 de agosto de 2023 dirigido a B.B.B., que consta aportado al

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/56

procedimiento, dando además a conocer al reclamante el nombre, apellidos, número
de contrato de B.B.B., así como el hecho de que éste tenía pendiente una deuda.

De los correos aportados por el reclamante, consta que el correo electrónico de 2 de
agosto de 2023, remitido desde la dirección de correo electrónico ***EMAIL.1, a la
dirección de correo electrónico del reclamante, iba dirigido a B.B.B. con el siguiente
contenido:

“Señor/a: B.B.B.
En calidad de prestador de servicios de nuestro cliente CURENERGÍA
COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U.,le informamos desde
nuestro Departamento de Recobros, que dispone de un saldo deudor a su
nombre, cuyo importe total asciende a la fecha de ***CANTIDAD.1 euros, en
base al contrato ***REFERENCIA.1.

A continuación le facilitamos los detalles de la deuda y las distintas modalidas
de pago:

Mediante Bizum o tarjeta de crédito/débito haciendo clik en "PAGUE AQUÍ (….)
Para cualquier duda o aclaración, rogamos llame al teléfono ***TELÉFONO.1.
También puede realizar cualquier gestión de su contrato dándose del alta en la
APP o desde www.curenergia.es .
Atentamente
Konecta Legal & Collections”

En consecuencia, de todo lo expuesto se desprende que el agente de la entidad
reclamada trató erróneamente los datos de un cliente (correo electrónico), al cruzarlos
con los del reclamante, pero no podemos limitar este supuesto a un simple “error
humano” aislado -como señala la reclamada-, dado las evidencias de un error
sistémico de procedimiento, que se ha puesto de manifiesto a través de esta
reclamación. Y decimos sistémico toda vez que la causa principal de que se generen
inexactitudes como la presente son los procedimientos implantados para la
actualización de datos de los clientes:

(i) Por una parte, porque la empresa reconoce que el proceso de actualización
de datos seguido en la empresa permite la atención simultánea de más de
un cliente por diversos canales, lo que puede generar beneficios de ahorro
de tiempo/costes a la empresa, pero desde el punto de vista de los
derechos de los interesados genera un alto riesgo de vulneración del
principio de exactitud de los datos de los mismos, pues la probabilidad de
error crece exponencialmente si se atiende simultáneamente a varios
clientes de forma masiva, en empresas del tamaño y volumen de clientes
de CURENERGÍA, cuyos agentes realizan llamadas a múltiples clientes
diariamente.

Recordemos que el considerando 71 del RGPD señala que el responsable
del tratamiento deberá, entre otras cosas: “aplicar medidas técnicas y
organizativas apropiadas para garantizar, en particular, que se corrigen los
factores que introducen inexactitudes en los datos personales y se reduce
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/56

al máximo el riesgo de error” y “asegurar los datos personales de forma
que se tengan en cuenta los posibles riesgos para los intereses y derechos
del interesado”. Y en el presente supuesto, la atención simultánea de
varios clientes no parece la medida más apropiada para reducir al máximo
el riesgo de error, sino que, más bien al contrario, parece más propensa a
aumentarlo.

(i) En segundo lugar, hay que señalar además que, pese al alto riesgo de
comisión de errores, este proceso de actualización no parece estar
acompañado de medidas que reduzcan su impacto y probabilidad de
ocurrencia de forma efectiva. A la vista de lo sucedido, queda expuesto que
no se han implantado procedimientos de detección, comprobación y
corrección de posibles inexactitudes de datos, sobre todo para comprobar
que el correo electrónico que se registra en los sistemas asociado a un
determinado cliente corresponde a ese cliente o que no se trata de datos
que corresponde a otro cliente y que ya figuran asociados al mismo .Los
procedimientos implantados no fueron efectivos pues de lo contrario el
operador habría advertido y corregido el error cometido, asociar a la ficha
de un cliente el correo electrónico de otro cliente, antes de su uso.

Así pues, estamos ante una infracción sistémica de los procedimientos de registro y
actualización de los datos de contacto implantados por CURENERGÍA, de los que se
deriva un alto riesgo de generar inexactitudes cometidas por los agentes que registren
los datos personales de más de un cliente al mismo tiempo (denominadas como “error
humano” por la misma), como el acaecido en el presente supuesto. Riesgo que no
viene acompañado de procedimientos efectivos que permitan detectar y corregir las
inexactitudes antes de que produzcan un mayor impacto en los interesados, siendo
altamente susceptibles de derivar en posibles comunicaciones de datos personales no
autorizadas a otros clientes, como ha sucedido en el supuesto presente.

A mayor abundamiento, debe considerarse que una vulneración de la aplicación de
una protección de datos desde el diseño de estas características es susceptible de
producir impacto en más de un cliente, como ha sucedido en el presente supuesto, en
el que se han visto afectadas dos personas: (i) por una parte, aquella cuyos datos no
se han registrado correctamente, que no recibe las comunicaciones que le conciernen,
y cuyos datos personales e información quedan ilícitamente revelados a un tercero
que no tiene acceso legítimo a los mismos, (ii) y por otra parte, el cliente que recibe las
comunicaciones sin haberlo solicitado ni estar autorizado para conocer esta
información dirigida a un tercero.

En conclusión, se considera que los hechos acreditados son constitutivos de una
infracción de procedimiento, que excede del caso concreto, imputable a la parte
reclamada, por vulneración del artículo 25 del RGPD reproducido más arriba.

En el acuerdo de inicio de este procedimiento sancionador se consideró (inicialmente y
sin perjuicio de lo que resultara de la instrucción) que los hechos podrían constituir una
infracción del artículo 5.1.d) del RGPD (principio de exactitud de los datos personales).
No obstante, una vez concluida la instrucción y a la vista conjunta de toda la
documentación obrante en el expediente en este momento procedimental de
propuesta de resolución, se considera que los hechos se ajustan a la vulneración del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/56

artículo 25 del RGPD (principio de protección de datos desde el diseño) tal y como se
fundamenta en el presente apartado.

El cambio de calificación de los hechos en el momento de propuesta de resolución
está avalado ampliamente por la jurisprudencia. Esta se pronuncia por considerar que
no puede exigirse que desde el inicio del procedimiento la información sobre la
imputación sea absolutamente completa y exhaustiva, en este sentido se ha
pronunciado el Tribunal Constitucional en su sentencia 129/2006, de 24 de abril, que
determina que “En efecto, de la jurisprudencia constitucional sobre dicha cuestión
deriva, de un lado, que el derecho a conocer la acusación no implica que en la fase de
inicio del procedimiento exista obligación de precisar de forma absoluta los hechos y la
calificación jurídica correspondiente, sino que la acusación va precisándose de forma
gradual al desarrollo del procedimiento (por todas SSTC 41/1998, de 24 de febrero, FJ
15). De otra parte, a los efectos de considerar salvaguardado el derecho de defensa
resulta suficiente con que el acusado haya tenido ocasión de defenderse de la
acusación de forma plena desde el momento en que la conoce de forma plena (SSTC
41/1998, de 24 de febrero, FJ 27; 87/2001, de 2 de abril, FJ 3).

En idéntico sentido la STC 116/2007, de 21 de marzo, establece que “En cuanto a la
primera cuestión, este Tribunal ha reiterado que el derecho a ser informado de la
acusación implica la necesidad de dar a conocer al sometido a procedimiento la
imputación formulada de forma expresa y en términos que no sean absolutamente
vagos o indeterminados, con el fin de posibilitar el ejercicio del derecho de defensa,
pues mal puede defenderse de algo quien no sabe qué hechos en concreto se le
imputan (por todas, STC 299/2006, de 23 de octubre, FJ 2). Igualmente, se ha
destacado que este derecho, en su proyección en el ámbito administrativo
sancionador, no implica que en la fase de inicio del procedimiento disciplinario exista
obligación de precisar de forma absoluta los hechos y la calificación jurídica
correspondiente, sino que la imputación puede ir precisándose de forma gradual al
desarrollo del procedimiento siempre que se dé “ocasión de defenderse de la
acusación de forma plena desde el momento en que la conoce de forma plena” (por
todas, STC 129/2006, de 24 de abril, FJ 7)”.

La SAN de 29 de octubre de 2024, rec. 1824/2021, al examinar el artículo 64.2.b) de la
Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Publicas, que regula el acuerdo de inicio, determina la posibilidad
cierta de que en la propuesta de resolución se realice una imputación formal de una
infracción, incluso si no se hubiera imputado expresamente en el acuerdo de inicio,
pues el citado artículo contempla dicha posibilidad al indicar de forma expresa “… sin
perjuicio de lo que resulte de la instrucción”. Añade que el precepto «se complementa
con lo dispuesto en el artículo 89.3 de dicha norma cuando señala que “En la
propuesta de resolución se fijarán de forma motivada los hechos que se consideren
probados y su exacta calificación jurídica, se determinará la infracción que, en su caso,
aquéllos constituyan, la persona o personas responsables y la sanción que se
proponga, la valoración de las pruebas practicadas, en especial aquellas que
constituyan los fundamentos básicos de la decisión, así como las medidas
provisionales que, en su caso, se hubieran adoptado…”.

Téngase en cuenta que sobre la propuesta de resolución, la Sala 3ª del Tribunal
Supremo (véase STS de 16 de noviembre de 2021), ha ido construyendo una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/56

jurisprudencia consolidada, en la que tras analizar la STC 29/1989, se dice que “"el
derecho a ser informado de la acusación, que con la categoría de fundamental se
garantiza en el artículo 24.2 de la Constitución, se satisface normalmente en el
procedimiento administrativo sancionador a través de la notificación de la propuesta de
resolución, pues es en ésta donde se contiene un pronunciamiento preciso acerca de
la responsabilidad que se imputa, integrado, cuando menos, por la definición de la
conducta infractora que se aprecia, y su subsunción en un concreto tipo infractor, y por
la consecuencia punitiva que a aquélla se liga en el caso de que se trata.»

I. Tipificación y calificación de la infracción del artículo 25 del RGPD

De conformidad con las evidencias de las que se dispone, se considera que los
hechos conocidos son constitutivos de una infracción, imputable al reclamado, por
vulneración del Principio de protección de datos desde el diseño previsto en el artículo
25 del RGPD.

La citada infracción del artículo 25 del RGPD supone la comisión de la infracción
tipificada en el artículo 83.4.a) del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con
el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose
por la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11,
25 a 39, 42 y 43;”

A efectos del plazo de prescripción de las infracciones, cabe aplicar el artículo 73
“Infracciones consideradas graves” de la LOPDGDD, que indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular,
las siguientes (…)

d) La falta de adopción de aquellas medidas técnicas y organizativas que resulten
apropiadas para aplicar de forma efectiva los principios de protección de datos
desde el diseño, así como la no integración de las garantías necesarias en el
tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE)
2016/679.”

II. Sanción por la infracción del artículo 25 del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone, procede graduar la sanción a
imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del
RGPD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/56

“2. Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en
el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en
cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a
la infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en
qué medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42.

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas”
de la LOPDGDD: “De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

53/56

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier interesado.”

En este caso, considerando la gravedad de la infracción constatada respecto a la
vulneración del artículo 25 del RGPD, atendiendo especialmente a las consecuencias
que su comisión provoca en los interesados clientes de la entidad, procede la
imposición de una sanción de multa, además de la adopción de medidas correctivas.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, la condición de gran empresa, y el
volumen de negocio de la parte reclamada 1.339.789.000 euros en el año 2024. El
importe máximo de la multa podría ascender a 26.780.000 euros.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone, se considera que procede graduar
la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en
los preceptos antes citados.

En el supuesto presente, procede considerar las circunstancias de graduación de la
sanción siguientes:

• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD):

La conducta en la que se concreta la naturaleza de infracción atribuida al
reclamado afecta a un aspecto básico en materia de protección de datos como es
la privacidad por diseño y por defecto y que está sancionado como se ha dicho,
con multa de hasta 10 millones de euros o el 2% del volumen de negocios de la
reclamada.

Se tienen en consideración para determinar el grado de vulneración del principio
de protección de los datos personales del diseño, que estamos en presencia de
una infracción que afectaría canal de comunicación con clientes a través de chat
de CURENERGÍA, que permitía la atención simultánea de varios clientes por
cada agente, lo que generaba un alto riesgo/probabilidad de que se generen
errores que deriven en la inexactitud de los datos recabados por los agentes; y
que no se habían previsto medidas que reduzcan el impacto y la probabilidad de
ocurrencia de los posibles errores en los clientes.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

54/56

Así mismo, se valora el número de potenciales afectados por la infracción que se
extiende a todos los clientes de CURENERGÍA que podrían estar afectados por la
utilización del canal chat de atención al cliente. Y como ya se ha explicado
anteriormente, el número de potenciales afectados viene marcado por el total de
clientes (3 millones), al tratarse de una infracción sistémica o de procedimiento. Y
ello sin perjuicio de que esta cifra ha de tener en cuenta, a los efectos de
dimensionar los potenciales usuarios, que el canal de chat fue utilizado por poco
más de 15.000 personas según los últimos datos aportados por CURENERGIA.

En calidad de atenuantes, se tiene en cuenta la siguiente circunstancia:

• Cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados; (art. 83.2 c). A este
respecto, se tiene en cuenta la adopción de medidas por parte de CURENERGÍA
al objeto de corregir los errores en la información relativa al tercero cuyos datos
fueron conocidos por el reclamante, así como la eliminación del chat como medio
de comunicación con los clientes.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

• La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD), en
relación con el artículo 83.2.k), dado que la entidad reclamada por su actividad es
una gran empresa dedicada al comercio de energía eléctrica, y por tanto, está
vinculada con la realización de un elevadísimo volumen de tratamientos de datos
de carácter personal, dado que en abril del año 2022 contaba con al menos 3
millones de clientes y según el Informe diligenciado en este expediente tiene más
de 1000 empleados, y 1.339.789.000 euros de volumen de negocios en el año
2024.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 25 del RGPD, permite fijar una sanción de multa administrativa de
QUINIENTOS MIL EUROS (500.000 €)

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO
S.A.U., con NIF A95554630, por una infracción del artículo 25 del RGPD, tipificada en
el artículo 83.4 del RGPD, una multa de 500.000 euros (QUINIENTOS MIL euros).

SEGUNDO: NOTIFICAR la presente resolución a CURENERGÍA
COMERCIALIZADOR DE ÚLTIMO RECURSO S.A.U..

TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

55/56

la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

56/56

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es