Müşteri kimliğini doğrulama önlemlerinin yetersizliği

1/27

 Expediente nº.: EXP202406239

RESOLUCIÓN DE RECURSO DE REPOSICIÓN

Examinado el recurso de reposición interpuesto por IBERDROLA CLIENTES, S.A.U.
(en lo sucesivo, IBERCLI) contra la resolución dictada por la Presidencia de la Agencia
Española de Protección de Datos de fecha 14 de enero de 2026, y en base a los
siguientes

HECHOS

PRIMERO: Con fecha 14 de enero de 2026, se dictó resolución por la Presidencia de
la Agencia Española de Protección de Datos en el expediente EXP202406239, en
virtud de la cual se decidía:

- IMPONER a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, por una
infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.a) del RGPD, una
multa de 1.000.000,00 euros (UN MILLON DE EUROS).

- ORDENAR a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, que en
virtud del artículo 58.2.d) del RGPD, en el plazo máximo de 3 meses desde que la
presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de
la medida correctiva establecida en el fundamento de derecho VII: Acreditar la
adopción de medidas de seguridad de carácter técnico y organizativo adecuadas al
riesgo del tratamiento de datos personales que se realizan, incluyendo la
implementación de protocolos que garanticen la verificación de la identidad de las
personas.

Dicha resolución, que fue notificada a la parte recurrente en fecha 15 de enero de
2026, fue dictada previa la tramitación del correspondiente procedimiento sancionador,
de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y
supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de
tramitación de procedimientos sancionadores.

SEGUNDO: Como hechos probados del citado procedimiento sancionador,
PS/00459/2024, quedó constancia de los siguientes:

“PRIMERO: El 16 de septiembre de 2024 IBERCLI, comercializadora del Grupo
Iberdrola, aportó a la Agencia una guía de 19 de marzo de 2023 que emplean
todos sus call center para la verificación de la identidad de sus clientes cuando
desean realizar alguna gestión.

SEGUNDO: El mencionado documento se titula “***DOCUMENTO.1” y, en su
contenido, se detalla el procedimiento de verificación de la identidad y el
procedimiento de actualización de las bases de datos (BBDD) que emplea
IBERCLI en los siguientes términos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/27

(…)

TERCERO: El 22 de noviembre de 2023, a las 12:08 horas, I-DE Redes
Eléctricas Inteligentes (***EMAIL.1), (…), envió un correo electrónico dirigido a
la parte reclamante a la dirección de correo electrónico ***EMAIL.2
-perteneciente a su hija- informándole de su solicitud de modificación de las
condiciones técnicas del contrato del que este era titular.

CUARTO: El 17 de enero de 2024 la distribuidora del grupo Iberdrola informó al
reclamante de que la dirección de correo electrónico ***EMAIL.2 había sido
facilitada por IBERCLI, la comercializadora del grupo.

El reclamante manifiesta no haber facilitado la dirección de correo electrónico
***EMAIL.2 a IBERCLI como dirección de contacto.

QUINTO: IBERCLI asegura, en escrito de 16 de septiembre de 2024 a esta
Agencia, que el 20 de enero de 2023, el reclamante aportó la dirección de
correo electrónico ***EMAIL.2 para solicitar una factura de suministro y que,
“como consecuencia de la llamada, el email ***EMAIL.2 quedó vinculado al
contrato de la parte reclamante”.

Asegura, asimismo, que la identidad del reclamante fue verificada en la
llamada del 20 de enero de 2023 mediante el protocolo “***DOCUMENTO.1”
de 19 de marzo de 2023, recogido en el Hecho Probado Segundo.

SEXTO: No consta grabación de la llamada de 20 de enero de 2023, ni los
datos que fueron exigidos a efectos de acreditar la identidad de la parte
reclamante”.

TERCERO: IBERCLI interpuso en fecha 16 de febrero de 2026 recurso potestativo de
reposición ante esta Agencia fundamentándolo, en síntesis, en lo siguiente:

1. Indefensión material al haberse menoscabado el derecho constitucional de
todo interesado a ser oído (artículo 105.c) de la Constitución Española) debido
a la actuación de esta Agencia que alega no constar la presentación de
alegaciones a la Propuesta de Resolución, a pesar de constar acreditada la
presentación efectiva de las mismas, ***REFERENCIA.1.

2. Vulneración del principio de presunción de inocencia derivado de la
insuficiencia en la valoración de la prueba y falta de motivación de la resolución
contraria a los principios que rigen el procedimiento administrativo sancionador.

Se insiste en que IBERCLI actuó con la diligencia debida, implementando
medidas técnicas y organizativas adecuadas para garantizar la seguridad de
los datos personales y la correcta identificación de los clientes.

3. Inadmisibilidad de la responsabilidad objetiva

4. Ausencia de proporcionalidad en la fijación de la cuantía de la sanción
impuesta y circunstancias atenuantes no consideradas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/27

FUNDAMENTOS DE DERECHO

I
Competencia

Es competente para resolver el presente recurso la Presidencia de la Agencia
Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123
de la LPACAP y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo,
LOPDGDD).

II
Contestación a las alegaciones presentadas

En relación con las manifestaciones efectuadas por IBERCLI, se procede a dar
respuesta a las mismas según el orden por ella expuesto:

PREVIA.- ANTECEDENTES

En este apartado IBERCLI realiza un resumen cronológico de las actuaciones que se
han ido sucediendo en el EXP202406239 desde que tuvo entrada en esta Agencia la
reclamación hasta que se dictó la resolución recurrida. Destaca que esta Agencia no le
notificó la resolución del recurso de reposición interpuesto por el reclamante contra la
inadmisión a trámite de su reclamación ocasionándole un grave perjuicio por cuanto
ostentaba la condición de interesado, tal y como reconoce el Tribunal Supremo (Sala
de lo Contencioso-Administrativo, Sección 4ª) en su Sentencia nº 1181/2023, de 25 de
septiembre (Rec. Nº 8072/2020).

Asimismo, expone de manera concisa lo que más adelante constituirán los
argumentos en base a los cuales fundamenta el recurso de reposición interpuesto
contra la resolución dictada por esta Agencia en el marco del procedimiento
sancionador PS/00459/2024.

Al respecto, esta Agencia se reitera en lo ya expuesto a lo largo del procedimiento
sancionador PS/00459/2024 respecto a la falta de notificación a IBERCLI de la
resolución estimatoria del recurso de reposición interpuesto por el reclamante contra la
inadmisión a trámite de su reclamación. En concreto que “la mencionada resolución
por la que se estima el recurso de reposición interpuesto por el reclamante
concluye que hay indicios suficientes que justifican la admisión a trámite de la
reclamación por la posible existencia de una infracción en materia de protección de
datos, en los términos previstos por el artículo 65 de la LOPDGDD. En este sentido,
conviene realizar una diferenciación entre las actuaciones destinadas a determinar la
admisión a trámite de una reclamación, de conformidad con el artículo 65 de la
LOPDGDD (entre las que se incluyen las actuaciones de traslado previstas en el
artículo 65.4) y la apertura de un procedimiento sancionador por medio de un acuerdo
de inicio en los términos exigidos en el artículo 68 de la LOPDGDD y conforme a lo
previsto por el artículo 64 de la misma norma.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/27

Las actuaciones de traslado son aquellas que la norma permite a esta Agencia, sin
que tengan carácter obligatorio, antes de la admisión a trámite de la reclamación.
En el presente supuesto, se llevaron a cabo actuaciones de traslado el 26 de abril de
2024, que permitieron determinar, en un primer momento, la inadmisión a trámite de la
reclamación. La resolución de inadmisión a trámite fue notificada al reclamante en
cumplimiento del artículo 65.5 de la LOPDGDD, que prevé que la decisión sobre la
admisión o inadmisión a trámite se notifique exclusivamente a este, siendo el
reclamante el único legitimado para la interposición de un recurso de reposición de
conformidad con lo previsto en el artículo 123 de la LPACAP.
Posteriormente, el reclamante presentó recurso de reposición, que fue estimado, con
la consecuente admisión a trámite de la reclamación. Dicha resolución al recurso de
reposición formulado por el reclamante fue dictada tras el trámite de alegaciones
conferido a IBERCLI, y únicamente se pronuncia sobre la admisión a trámite de la
reclamación. No fue notificada a IBERCLI dado el mencionado artículo 65.5 que
únicamente prevé la notificación al reclamante. Sin que quepa, además, afirmar, en
ningún caso, que IBERCLI era “interesado en el procedimiento” en la medida en que
no se había procedido a la apertura de procedimiento alguno.
La apertura del presente procedimiento sancionador se realizó mediante un acuerdo
de inicio de 17 de enero de 2025 que fue debidamente notificado a IBERCLI el 21 de
enero de 2025, en el que se imputaba la presunta infracción del artículo 32 del RGPD,
tipificada en el artículo 83.4 del RGPD, se fijaba una sanción inicial de 1.000.000 de
euros y se daba a IBERCLI plazo para alegaciones. Todo ello sin perjuicio de lo que se
determine durante la instrucción del mismo. En definitiva, en el marco de este
procedimiento, IBERCLI ha podido solicitar las pruebas que ha considerado oportunas
y formular alegaciones, sin que, por tanto, se aprecie la existencia de indefensión.”

En cuanto al resto de las cuestiones planteadas por IBERCLI, se procederá a dar
respuestas a las mismas en los siguientes apartados.

Por lo expuesto, se desestima la presente alegación.

PRIMERA.- SOBRE LA NULIDAD.

Alega IBERCLI una situación de indefensión material en los términos previstos en el
artículo 47.2 de la LPACAP, al haberse menoscabado el derecho constitucional
recogido en el artículo 105 c) de la Constitución Española de todo interesado a ser
oído. Afirma que el 14 de noviembre de 2025 presentó alegaciones a la propuesta de
resolución del procedimiento sancionador PS/00459/2024, pero que en la resolución
recurrida este organismo omitió tales alegaciones ocasionándole una indefensión real
y efectiva. En este sentido, indica que adjunta como Documento nº1 al presente
escrito de recurso potestativo de reposición la copia del justificante de presentación
con número de registro ***REFERENCIA.1.

IBERCLI indica que en sus alegaciones a la propuesta de resolución aportaba pruebas
que demostraban que el proceso de verificación de la identidad cumplía con los
requisitos de seguridad y trazabilidad. En concreto, se detallaban los datos que fueron
exigidos al reclamante a efectos de acreditar su identidad, así como las medidas de
seguridad implementadas y que acreditaban que IBERCLI disponía y dispone de un
método de identificación conforme al artículo 32 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/27

IBERCLI también alega una vulneración continuada de los principios rectores del
procedimiento administrativo a lo largo del procedimiento, culminando en una situación
de indefensión que se materializa en la privacidad efectiva del trámite de audiencia y,
en consecuencia, una vulneración del artículo 24 de la Constitución Española.

Por tanto, entiende IBERCLI que no se trata de un mero vicio o defecto formal, sino de
una infracción material que le ha generado una efectiva lesión de los derechos
reconocidos en la Constitución Española (artículos 24 y 105) y que, de acuerdo con la
sentencia del Tribunal Supremo rec. 7983/1999 de 11 de julio de 1999, la ausencia de
trámite de audiencia determina la nulidad radical del acto. Esto es, que en el presente
caso resulta plenamente aplicable el artículo 47.1 a) de la LPACAP.

Al respecto, esta Agencia desea señalar que, tras realizar las debidas
comprobaciones, no consta la presentación de ningún escrito de alegaciones a la
propuesta de resolución del procedimiento sancionador PS/00459/2024 por parte de
IBERCLI en torno a la fecha señalada —14 de noviembre de 2025— ni con el número
de registro ***REFERENCIA.1 o ningún otro. Se subraya, asimismo que, aun cuando
la ahora parte recurrente base su recurso de reposición en este hecho y sostenga que
adjunta un documento acreditativo de la presentación de dichas alegaciones, no
adjunta documentación alguna que acompañe su recurso.

Expuesto lo anterior, es indubitado el correcto proceder de esta Agencia a la hora de
dictar la resolución del procedimiento sancionador PS/00459/2024, sin que pueda ser
alegada indefensión por parte de IBERCLI.

Así, como ya se recoge en la resolución objeto de recurso y se ha reproducido en
contestación a la alegación anterior, se subraya que el presente procedimiento
sancionador se realizó mediante acuerdo de inicio de 17 de enero de 2025, notificado
el 21 de enero de 2025. Se facilitaba a IBERCLI un plazo para la presentación de
alegaciones que fueron recibidas el 11 de febrero de 2025, tras haber concedido esta
Agencia la ampliación del plazo solicitado conforme al artículo 32 de la LPACAP.
Contrariamente a lo que ahora parece hacer entender IBERCLI, no se solicitó por esta
la celebración de práctica de la prueba conforme al artículo 77 de la LPACAP. Ni se
presentaron, más allá del escrito de alegaciones al acuerdo de inicio de 11 de febrero
de 2025, otras alegaciones o documentación que hubiera de tenerse en cuenta a
efectos de dictar la propuesta de resolución conforme al artículo 53.1 e) de la LPACAP.

A la vista de lo anterior, por la instrucción del procedimiento se dictó propuesta de
resolución, debidamente motivada conforme a las exigencias de los artículos 89.3 y 35
de la LPACAP, en la se establecía un plazo de 10 días para la presentación de cuantas
alegaciones y documentación se consideraran oportunas por parte de IBERCLI. Todo
ello de conformidad con el artículo 89.2 de la LPACAP y con carácter previo a que la
AEPD dictara resolución.

Consta notificación de la mencionada propuesta de resolución a IBERCLI de 23 de
octubre de 2025. Posteriormente, el 24 de octubre de 2025 IBERCLI solicitó
ampliación del plazo de 10 días concedido para la presentación de alegaciones a la
propuesta de resolución. Dicha ampliación fue concedida y acordada el 30 de octubre
de 2025. Asimismo, consta su notificación a IBERCLI el mismo día.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/27

El 14 de enero de 2026, transcurrido ampliamente el plazo para la presentación de
alegaciones a la propuesta de resolución y sin que se hubiera recibido escrito alguno
(y sin que, a día de hoy, este conste; no habiéndose acreditado por la ahora recurrente
ni su contenido ni su presentación), la Presidencia de la AEPD dictó la resolución
ahora objeto de recurso.

En consecuencia, no cabe sino afirmar que la resolución por la que se concluye el
procedimiento sancionador resulta conforme a derecho y que en ningún caso se ha
privado a IBERCLI de su derecho a ser oído y a aportar la documentación y cuantas
alegaciones estimara oportunas en las distintas fases del procedimiento.

Por lo expuesto, se desestima la presente alegación.

SEGUNDA.- SOBRE LA VULNERACIÓN DE LA PRESUNCIÓN DE INOCENCIA Y
TUTELA JUDICIAL EFECTIVA COMO CONSECUENCIA DE LA ESCASA
VALORACIÓN DE LA PRUEBA Y LA FALTA DE MOTIVACIÓN DE LA
RESOLUCIÓN.

Alega IBERCLI que la sanción impuesta “se dicta sin contar con elemento probatorio
alguno que permita acreditar el incumplimiento apreciado ni, en ningún caso, la
existencia de una relación de causalidad entre un hecho aislado y la presunta
infracción derivada de la supuesta falta de adopción de medidas de seguridad
adecuadas” y que “la resolución impugnada adolece de un grave déficit de
motivación, derivado de la falta de un examen real y efectivo de las alegaciones y de
la documentación aportada por IBERCLI”. En este sentido, cita, respecto a la
importancia de la motivación de las sentencias —y que por extensión se aplicaría a
cualquier autoridad que ejerciera potestades públicas sancionadoras—, la Sentencia
del Tribunal Supremo 303/2015, de 25 de junio, y la Sentencia de Tribunal Supremo
421/2015, de 22 de julio.

IBERCLI entiende que ha demostrado con las pruebas aportadas en las alegaciones a
la propuesta de resolución del procedimiento sancionador PS/00459/2024 que “(i)
ninguna modificación en los datos del cliente puede llevarse a cabo sin su previa
verificación y aceptación, requisito imprescindible conforme a los procedimientos
internos vigentes; y que (ii) en los casos en los que se solicita un cambio de dirección
de correo electrónico, el proceso exige un doble nivel de seguridad, de modo que la
nueva dirección de correo electrónico debe ser verificada por el propio usuario antes
de quedar activa en el sistema”.

Respecto al procedimiento de verificación de identidad, IBERCLI alega que la Guía
aportada sí que establece criterios claros, uniformes y plenamente verificables; los
cuales se encuentran definidos con precisión en “***DOCUMENTO.1” y en el PSI en
donde se identifican de forma estructurada los datos a solicitar según el tipo de
operación, del canal de contacto y del nivel de riesgo asociado. Por tanto, “ha
quedado plenamente acreditado que la Guía identifica de forma expresa los datos
válidos para superar el procedimiento de verificación de identidad (PSI) —apellidos,
DNI, referencia de contrato, dirección completa, teléfono, correo electrónico, cuenta
corriente, número de CUPS, número de reclamación o número de SIC en el canal
email— y fija, además, umbrales mínimos de verificación en función del canales

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/27

utilizado, delimitando con precisión el estándar de identificación exigible en cada
supuesto”.

Asimismo, alega que los datos que solicita están alineados con las exigencias
establecidas por la Comisión Nacional de los Mercados y de la Competencia (en
adelante, CNMC) en su “Guía informativa para los consumidores de electricidad”, así
como con la Resolución del Procedimiento para la adopción de una Decisión
Jurídicamente Vinculante de la CNMC relativa al incremento significativo de cambios
de comercializador sin consentimiento por errores en la selección del CUPS;
documento que “destaca, de forma expresa, la necesidad de extremar los contrastes
de datos—especialmente el binomio CUPS-dirección y la identidad del titular—con el
fin de evitar cambios indebidos y accesos no autorizados”. Por tanto, entiende que
esta Agencia erra cuando afirma que carece de un sistema de verificación multifactor
por cuanto su sistema está “basado en la combinación simultánea, coherente y
estructurada de diversos datos personales, y no en el uso aislado de un único
identificador”.

En cuanto a la actualización de las bases de datos, IBERCLI alega que no es cierto
que un agente pudiera actualizarlas sin el previo y necesario consentimiento del
interesado siendo un requisito expresamente recogido en la Guía; y que, si durante la
conversación el cliente ya ha facilitado el teléfono y/o email, pueden aprovecharse
esos datos para actualizar la base de datos “si procede” sin que ello elimine la
verificación. De este modo, afirma IBERCLI que “en ningún caso se autoriza a
prescindir del proceso de verificación de identidad; por el contrario, se contempla un
modelo de verificación dinámica basado en la información confirmada por el propio
cliente durante la interacción, (…). No obstante, la AEPD omite valorar esta obligación
—expresamente recogida en la Guía apenas un párrafo antes— de recabar la
confirmación del cliente antes de proceder a cualquier actualización de sus datos
personales”.

Con relación a la naturaleza de los datos objeto de tratamiento, alega IBERCLI una
contradicción en el razonamiento de esta Agencia cuando sostiene que determinados
datos son fácilmente accesibles o deducibles por un tercero y, a la vez, califica ese
mismo conjunto de información como especialmente sensible. Esta contradicción
“evidencia una deficiente ponderación del riesgo real y una valoración abstracta que
no atiende a las características concretas de los datos tratados un a su contexto de
uso” y, por tanto, entiende que “no puede servir de fundamento para intensificar el
reproche sancionador ni para descalificar, sin motivación suficiente, las medidas de
seguridad implantadas por IBERCLI, diseñadas precisamente atendiendo a la
relevancia y sensibilidad operativa de la información tratada”.

Por último, IBERCLI insiste en que puso en conocimiento de esta Agencia junto al
escrito de propuesta de resolución las certificaciones, entre otras, conforme a la norma
ISO 27001:2022 y la certificación EUROPRIVACY; que prueban el cumplimiento por
parte de la entidad de estándares avanzados en materia de seguridad de la
información y protección de datos personales.

Al respecto, y con carácter previo, esta Agencia se reitera en lo ya indicado con
anterioridad respecto al escrito de alegaciones a la propuesta de resolución y la
documentación adjunta, no constando su presentación ante este organismo ni en la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/27

fecha supuestamente señalada por IBERCLI de noviembre de 2025 ni ahora junto con
la presentación del recurso de reposición.

Por otra parte, se recuerda que estas alegaciones fueron realizadas ya al acuerdo de
inicio, y fueron debidamente contestadas entonces. Por ello, corresponde remitirse al
Fundamento de Derecho III de la resolución recurrida y, en particular, a la contestación
de la segunda de las alegaciones. Sin perjuicio de lo anterior, se resalta que en la
resolución sancionadora objeto del presente recurso se ha explicado y ha quedado
acreditado debidamente en base a la documentación obrante en el expediente
administrativo que el procedimiento de verificación de identidad de clientes instaurado
por IBERCLI para uso de los agentes de su “call center” no cumplía con las exigencias
del artículo 32 del RGPD. Todo ello según se recoge en los hechos probados y
fundamentos de derechos de la citada resolución sancionadora.

En ningún momento esta Agencia ha señalado que la Guía “***DOCUMENTO.1” no
contemple de manera clara los datos que el agente del “call center” puede solicitar al
cliente a fin de acreditar su identidad, sino que, de los posibles 9 datos a pedir, el
documento no concreta qué datos de esos 9 posibles debe solicitar el agente
dependiendo de la gestión a realizar por el cliente. En este sentido, se expresó este
organismo en la citada Resolución sancionadora:

“Asimismo, se recoge específicamente que “los datos válidos para pasar el PSI” son:
“(…).
Si bien en otro apartado del documento se especifica que “(…)”, no se especifica el
criterio para determinar qué datos se exigirán para cada supuesto y el motivo por el
que en una llamada se solicitara la cuenta corriente y en otra el número de teléfono.

Del mismo modo que esta Agencia se mantiene en lo ya contestado en la Resolución
sancionadora respecto a la “Guía informativa para los consumidores de electricidad”, y
la Resolución del Procedimiento para la adopción de una Decisión Jurídicamente
Vinculante de la CNMC, cuando se indica que:

“Los datos que señala el mencionado documento de la CNMC en su página 21, a los
que hace referencia IBERCLI, responden a la documentación requerida a efectos de
llevar a cabo una contratación, esto es, el código CUPS, la potencia a contratar, la di
rección del suministro, los datos del titular del contrato de suministro, datos de la
facturación, certificado de instalación o boletín eléctrico.
Estos datos, se exigen, como se ha señalado, a efectos de formalizar una
contratación, mientras que el presente procedimiento sancionador versa sobre el
sistema de IBERCLI a efectos de acreditar la identidad de sus clientes de cara a llevar
a cabo una gestión determinada.
Por otra parte, se subraya que, contrariamente a lo indicado por IBERCLI, los datos en
cuestión no son lo que figuran en su protocolo a efectos de acreditación de la
identidad, objeto del presente procedimiento, (…).”

Por tanto, lo anterior no se corresponde con que IBERCLI tenga implementado un
sistema de verificación multifactor, toda vez que este sistema exige la concurrencia de
varios factores de autenticación y no solo la comprobación de determinados datos
personales. En definitiva, el sistema instaurado por IBERCLI no combina los datos
personales del titular con otros factores de autenticación como es el uso de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/27

contraseñas o el envío de códigos temporales por mensaje a la persona que dice ser
el titular de contrato.

Asimismo, respecto a la afirmación que realiza IBERCLI cuando señala que la
actualización de los datos de sus clientes en sus bases de datos solo se realizará con
la previa confirmación del titular, se recuerda que, contrariamente a lo señalado por la
ahora recurrente, es la propia Guía “***DOCUMENTO.1” la que autoriza abiertamente
al agente a poder actualizar el dato del teléfono y/o email del cliente sin necesidad de
recabar dicha confirmación, toda vez que el agente puede realizar el cambio de esos
datos personales cuando hayan aparecido durante la conversación con el cliente. Esto
es, si de manera espontánea el cliente menciona tales datos personales, el agente
tiene la potestad para decidir si lo aprovecha y los modifica en su base de datos, pero,
en ningún caso, se establece que ha de preguntarle al cliente si desea que esos datos
personales se introduzcan en el sistema a fin de modificar los ya presentes. Y, en este
sentido ya se expresó esta Agencia en la Resolución sancionadora cuando indicó que:

“conviene hacer referencia al procedimiento de actualización de las bases de datos
(BBDD) que figura en el protocolo aportado por la parte reclamada, en el cual señala
que, durante las interacciones con el cliente, se pueden actualizar los datos de
contacto en la base de datos sin necesidad de confirmación explícita del interesado.
Así, se indica:
“Si el cliente contactó con nosotros hace más de un mes consideramos que pueden
haber cambiado en ese tiempo, confirma con él estos datos y si no están o han
cambiado, actualízalos. Al pasar la PSI puede que ya te haya facilitado teléfono y/o
email, o que hayan aparecido en la conversación sin tener que preguntar,
aprovéchalos para actualizar la BBDD si ves que procede hacerlo.”
Dicha práctica presenta varias deficiencias que implicarían igualmente el
incumplimiento del citado artículo 32, entre otros, por los siguientes motivos:

- No se garantiza que el cliente sea consciente de que un dato proporcionado
para un trámite puntual será registrado como permanente en la base de datos.
- Así, por ejemplo, si se actualizara de esta manera una dirección de correo
electrónico y esa dirección de correo actualizada se utilizase como criterio de
verificación, el cliente podría desconocerlo, pudiendo comprometer la
autenticación futura.
- Actualizar las BBDD sin un proceso de validación claro puede llevar a que se
almacenen datos incorrectos o no verificados, afectando a la exactitud y
fiabilidad de la información.”

Por último, esta Agencia desea señalar que un dato sea fácilmente accesible no es
sinónimo de que sea especialmente sensible por cuanto el factor determinante es
distinto. Esto es, en el primero de los casos se refiere al modo de conocer esos datos
(bien por relación familiar o profesional, por ejemplo), mientras que los datos
especialmente sensibles desde la perspectiva de las Directrices 04/2022 sobre el
cálculo de multas se refieren a las consecuencias que tendría su difusión o las
dificultades inmediatas que su conocimiento por un tercero supondría al interesado.
Así, en las mencionadas directrices el CEPD reconoce como datos sensibles no solo a
los datos de categoría especial del artículo 9 del RGPD, sino también a los datos del
artículo 10 de la misma norma y otros tales como el DNI en atención a las
consecuencias que la pérdida de control de estos pudieran tener en el afectado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/27

Por lo expuesto, se desestima la presente alegación.

TERCERA.- SOBRE LA INADMISIBILIDAD DE LA RESPONSABILIDAD OBJETIVA:
LA INEXISTENCIA DE DOLO, CULPA O NEGLIGENCIA GRAVE Y DEL RIESGO
RESIDUAL.

Alega IBERCLI que no ha quedado acreditada la concurrencia del elemento subjetivo
de la infracción (dolo, culpa o negligencia) que permita imponer una sanción
administrativa con base en el RGPD, de conformidad con las exigencias del artículo 83
del RGPD, del artículo 28.1 de la Ley de Régimen Jurídico del Sector Público y de la
reiterada jurisprudencia del Tribunal Supremo y del Tribunal de Justicia de la Unión
Europea.

IBERCLI indica que la culpabilidad no se presume debiendo acreditarse que el
responsable incumplió el deber de diligencia exigible en el momento de los hechos,
cuestión que no queda reflejada en la Resolución sancionadora. Esta no identifica una
actuación dolosa ni una omisión negligente concreta imputable a IBERCLI y se limita a
manifestar una discrepancia técnica respecto del diseño de las medidas de seguridad
adoptadas; que, por sí sola, resulta jurídicamente insuficiente para sustentar un juicio
de culpabilidad y, en consecuencia, para fundamentar un reproche sancionador. Y cita
la Sentencia 164/2005 del Tribunal Constitucional de 20 de junio de 2005 que
establece que “no se puede por el mero resultado y mediante razonamientos
apodícticos sancionar, siendo imprescindible una motivación específica en torno a la
culpabilidad o negligencia y las pruebas de las que ésta se infiere”.

Entiende IBERCLI que, por su parte, “no se ha limitado a negar genéricamente la
culpabilidad, sino que ha acreditado de manera detallada, documentada y verificable
que desplegó la diligencia exigible mediante la implantación de medidas técnicas y
organizativas razonables, un procedimiento formalizado de verificación de identidad
basado en criterios multifactor, mecanismos de confirmación activa y procedimientos
de actualización controlada de datos”.

IBERCLI alega que la falta de diligencia debida exigible que esta Agencia le imputa no
puede justificarse en que las medidas implementadas por la entidad no alcanzaran, a
su juicio, el nivel deseado. La normativa de protección de datos de carácter personal
no exige la eliminación absoluta de cualquier riesgo, sino la adopción de medidas
apropiadas y razonables atendiendo a la naturaleza, el contexto y los fines del
tratamiento; exigencia que IBERCLI afirma que cumplió “sobradamente”. Por ello, “la
aparición de un incidente aislado, pese a la existencia de dichas medidas, no puede
convertirse automáticamente en un juicio de culpabilidad”.

Concluye IBERCLI que lo anterior es contrario a la Sentencia del Tribunal Supremo
188/2022, de 15 de febrero, que establece que la obligación de adoptar medidas de
seguridad es una obligación de medios, no exigiéndose la infalibilidad de las medidas
implementadas.

Al respecto, esta Agencia se reitera en lo ya manifestado en la Resolución
sancionadora respecto de la falta de diligencia exigible por parte de IBERCLI:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/27

“conviene señalar que el principio de responsabilidad previsto en el artículo 28.1 de la
Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que:
"Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las
personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa."

A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de
diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica:
“76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una
infracción se ha cometido de forma intencionada o negligente y, por ello, puede
sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un
responsable del tratamiento puede ser sancionado por un comportamiento
comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter
infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del
RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y
otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo
de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de
marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244,
apartado 97).”

En esta misma línea se expresan los órganos jurisdiccionales de nuestro país.

De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección
5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS
354/2023)
(…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una
exigencia de las infracciones administrativas, ínsito en el artículo 25 de la
Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del
Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia
comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que
se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se
sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a
la terminología de la Ley de Procedimiento Administrativo Común de las
Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme
al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a
conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más
o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la
ejecución del acto para evitar el efecto pernicioso.

A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone:
“La recurrente también mantiene que no concurre culpabilidad alguna en su actuación.
Es cierto que el principio de culpabilidad impide la admisión en el derecho
administrativo sancionador de la responsabilidad objetiva, también es cierto, que la
ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones
normalmente se cometen por una actuación culposa o negligente, lo que es suficiente
para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente
negligente pues… debe conocer… las obligaciones que impone la LOPD a todos
aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/27

el derecho fundamental a la protección de datos personales de sus clientes e
hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”.

Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22
de abril de 1991) considera que del elemento culpabilista se desprende “...que la
acción u omisión, calificada de infracción sancionable administrativamente, ha de ser,
en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia
inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a
un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino
que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia” (STS 23 de enero de 1998).

Además, conviene destacar que el modo de atribución de responsabilidad a las
personas jurídicas no se corresponde con las formas de culpabilidad dolosas o
imprudentes que son imputables a la conducta humana. De modo que, en el caso de
infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento
de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace
respecto de las personas físicas.

Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la
autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción
jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido
estricto, pero no la capacidad de infringir las normas a las que están sometidos.
Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona
jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24
de noviembre de 2011, Rec 258/2009).
A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcial
mente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de
octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe
también ser objeto de prueba, debe considerarse en orden a la asunción de la
correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos
necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su
exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente
normativa, que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia; no basta, en suma, para la exculpación frente a un comportamiento
típicamente antijurídico la invocación de la ausencia de culpa".

En el presente caso, los hechos imputados se han producido, al menos, de manera
negligente, en cuanto a que el protocolo de verificación de la identidad de IBERCLI
presenta carencias que le impiden cumplir con las obligaciones que le impone el
RGPD, en particular las relativas a garantizar la seguridad de los datos. La adopción e
implementación de medidas de seguridad adecuadas al riesgo. No puede obviarse
que el enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD, parte
de una doble configuración de la seguridad como un principio relativo al tratamiento y
una obligación para el responsable o el encargado del tratamiento.

En este sentido, resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec.
63/2006), la cual indica que “…el Tribunal Supremo viene entendiendo que existe
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/27

imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”.

Negar la concurrencia de una actuación negligente por parte de IBERCLI equivaldría a
reconocer que su conducta —por acción u omisión— ha sido diligente. Obviamente,
no se comparte esta perspectiva de los hechos, reiterándose esta Agencia en que el
documento “***DOCUMENTO.1” acredita que el procedimiento de verificación de
identidad y actualización de bases de datos es deficiente para garantizar un adecuado
nivel de seguridad para con los riesgos.”

Por otro lado, esta Agencia desea señalar que, si bien la obligación de implementar
medidas de seguridad del artículo 32 del RGPD se trata de una obligación de medios y
no de resultados, no es menos cierto que IBERCLI no adoptó medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo
atendiendo al “estado de la técnica, los costes de aplicación, y la naturaleza, el
alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y
gravedad variables para los derechos y libertades de las personas físicas”. No puede
entenderse que una entidad de las dimensiones de IBERCLI dispusiera de medidas de
seguridad adecuadas a los riesgos posibles cuando el procedimiento de verificación de
identidad, de trazabilidad y de actualización de bases de datos presenta claras
deficiencias; que ya fueron detalladas por esta Agencia en la Resolución
sancionadora, especialmente, en el apartado IV de Fundamentos de Derecho:

“El RGPD, en su artículo 32, exige a los responsables del tratamiento la adopción de
las correspondientes medidas de seguridad de índole técnica y organizativa
adecuadas al riesgo que garanticen que el tratamiento es conforme a la normativa
vigente.

Resulta necesario señalar que el citado precepto no establece un listado de medidas
de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que
establece la obligación de que el responsable y el encargado del tratamiento apliquen
medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el
tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad
y gravedad para los derechos y libertades de las personas interesadas.

Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al
riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas
teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la
confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la
disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no
auditoría), evaluación y valoración de la eficacia de las medidas.

En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/27

personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.

Por otra parte, el Considerando (74) del RGPD indica que: “Debe quedar establecida
la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos
personales realizado por él mismo o por su cuenta. En particular, el responsable debe
estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la
conformidad de las actividades de tratamiento con el presente Reglamento, incluida la
eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como, el riesgo para los derechos y
libertades de las personas físicas.”

Por tanto, este principio aplicado al tratamiento de los datos personales en su poder,
necesarios para poder desarrollar una actividad determinada, exige que dicho
tratamiento deba realizarse con métodos técnicos y organizativos que garanticen la
seguridad y confidencialidad de tales datos personales.

En el presente caso, IBERCLI indicó en su escrito de 16 de septiembre de 2024,
respecto de las medidas de seguridad, que (i) “se adjunta como Anexo I, la guía que
siguen desde nuestro Call Center sobre el control PSI, cuya función es garantizar la
seguridad de los datos personales y del contrato del cliente” y que (ii) “cuando se
soliciten telefónicamente gestiones, será necesario que la persona identifique al
menos 4 datos, que podrán ser los siguientes: (…)”.

El protocolo contenido en el anexo tiene fecha de 19 de marzo de 2023.

Del contenido del citado Anexo 1, cuyo contenido se desarrolla en los Hechos
Probados de este documento, se desprende que resulta posible identificarse como
titular de un contrato, pedir una copia de la factura y modificar los datos del mismo,
entre ellos el de la dirección de correo a la que enviar la factura, al conocer cuatro de
nueve categorías de datos. Esto es, resulta posible cumplir con los requisitos
utilizando únicamente datos personales fácilmente accesibles, no modificables por el
titular ni únicos para el contrato, lo que resulta ser insuficiente para acreditar la
identidad del titular.

De igual forma, en el presente caso no se desprende la existencia de un registro claro
de las comprobaciones realizadas durante el proceso de verificación de identidad.
Esto afecta directamente la trazabilidad, ya que:

- No se puede determinar cuáles fueron los datos solicitados y aportados por la
persona que solicitó el acceso a la facturación y/o una modificación (por
ejemplo, el cambio de email).

- No hay evidencia que permita verificar si los datos aportados eran correctos o
si se cometió algún error.

Como se ha indicado anteriormente, el artículo 32.1 b) exige medidas técnicas y
organizativas que garanticen la confidencialidad e integridad de los datos personales.
En este sentido, la elección de cuatro categorías de datos como criterio para verificar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/27

la identidad del cliente no puede considerarse suficiente para cumplir el objetivo que
persigue el mencionado artículo y ello, entre otras, por las siguientes razones:

- Los datos utilizados para la verificación ((…)) son información estática y, en
muchos casos, fácilmente accesible.

- El hecho de permitir la identificación del titular con 4 de 9 categorías de datos
posibles incrementa significativamente el riesgo de suplantación de identidad y
de accesos no autorizados, ya que amplía las combinaciones de información
que un tercero no autorizado puede conocer o deducir.

Asimismo, a través del canal de correo electrónico únicamente se requiere la
confirmación de dos datos adicionales, además del email, lo que reduce aún más el
nivel de seguridad, a diferencia de lo que ocurriría, por ejemplo, en el caso de un
sistema multifactor.

Por su parte, la falta de trazabilidad en el procedimiento de verificación de identidad y
modificación de datos personales implica igualmente el incumplimiento del artículo 32
del RGPD. La inexistencia de un registro claro que documente qué datos fueron
aportados por el solicitante, cómo se verificaron y qué acciones específicas se
realizaron impide reconstruir el proceso en caso de incidente o auditoría.

Sin un registro adecuado, no es posible determinar si los datos proporcionados eran
correctos, si la verificación fue efectiva ni si las gestiones realizadas fueron
autorizadas por el titular legítimo. Esto deja al responsable sin herramientas para
demostrar que se han aplicado medidas de seguridad apropiadas al nivel de riesgo en
los términos exigidos por el RGPD.

No en vano y vinculado a lo anterior, conviene remarcar que el artículo 24 del RGPD,
al hablar de la responsabilidad del responsable del tratamiento, señala que “teniendo
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los
riesgos de diversa probabilidad y gravedad para los derechos y libertades de las
personas físicas, el responsable del tratamiento aplicará medidas técnicas y
organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es
conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán
cuando sea necesario” (El subrayado es de la AEPD).

En consecuencia, la falta de un procedimiento de verificación de la identidad seguro y
de trazabilidad no solo compromete la seguridad de los datos personales, sino que
también limita la capacidad del responsable del tratamiento para garantizar la
protección efectiva de los derechos de los interesados, lo que va en contra de lo
dispuesto en el artículo 32 del RGPD.

Por otro lado, conviene hacer referencia al procedimiento de actualización de las
bases de datos (BBDD) que figura en el protocolo aportado por la parte reclamada, en
el cual señala que, durante las interacciones con el cliente, se pueden actualizar los
datos de contacto en la base de datos sin necesidad de confirmación explícita del
interesado. Así, se indica:

“(…)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/27

Dicha práctica presenta varias deficiencias que implicarían igualmente el
incumplimiento del citado artículo 32, entre otros, por los siguientes motivos:

- No se garantiza que el cliente sea consciente de que un dato proporcionado
para un trámite puntual será registrado como permanente en la base de datos.

- Así, por ejemplo, si se actualizara de esta manera una dirección de correo
electrónico y esa dirección de correo actualizada se utilizase como criterio de
verificación, el cliente podría desconocerlo, pudiendo comprometer la
autenticación futura.

- Actualizar las BBDD sin un proceso de validación claro puede llevar a que se
almacenen datos incorrectos o no verificados, afectando a la exactitud y
fiabilidad de la información.

Por último, el procedimiento descrito en el Anexo permite utilizar cualquiera de las
siguientes categorías de datos para superar la verificación PSI: (…). Sin embargo, en
el protocolo no se especifican los criterios bajo los cuales se seleccionan las cuatro
categorías de datos requeridas para la verificación, lo que implica una flexibilidad que
permite adaptar los datos de control según lo que el interesado pueda conocer.

En este sentido, la ausencia de un protocolo estandarizado para determinar qué datos
deben solicitarse en cada caso reduce significativamente la capacidad del sistema
para garantizar la confidencialidad e integridad de los datos personales, tal como
exige el artículo 32 del RGPD. Esta falta de criterios claros para la selección de datos
de control manifiesta una falta de proporcionalidad en las medidas de seguridad
implementadas y generaría un riesgo estructural que afecta a todos los clientes.

A modo meramente ilustrativo, se subraya que el caso de la parte reclamante es un
ejemplo de las deficiencias que plantea el protocolo analizado, y, en consecuencia, de
las carencias de las medidas de seguridad imputadas. Así, aun cuando IBERCLI
asegura -en contra de lo señalado por la parte reclamante- que el correo electrónico
de la hija del reclamante fue proporcionado por este el 20 de enero de 2023 al solicitar
una copia de una factura de suministro y que este pasó, a tales efectos- el proceso de
verificación de identidad contenido en el mencionado protocolo, no consta grabación
alguna de la mencionada llamada, ni acreditación de que fuera el reclamante quien
sorteó el proceso de verificación de identidad, tampoco de los datos que fueron
solicitados durante la llamada, ni cuáles fueron facilitados. Por otra parte, resulta
llamativo que, aun cuando la propia IBERCLI asegure en su escrito de 16 de
septiembre de 2024 que el correo electrónico fue aportado para solicitar un duplicado
de una factura, este se vinculara como dato de contacto permanente.

Más allá del ejemplo concreto, todo lo expuesto demuestra, en definitiva, que IBERCLI
no ha sido lo suficientemente diligente a la hora de implantar medidas de seguridad
apropiadas al riesgo para los derechos y libertades de los interesados afectados por
sus tratamientos a efectos de verificar la identidad de los mismos, tal y como consta
en su protocolo de 19 de marzo de 2023.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/27

En consecuencia, en ningún momento la fundamentación jurídica de la infracción del
artículo 32 del RGPD imputada a IBERCLI por esta Agencia se reduce a una
obligación de resultado y, mucho menos, a un hecho aislado. En todo momento se
habla de que las deficiencias de los procedimientos de verificación de identidad,
trazabilidad y actualización de bases de datos suponen un riesgo genérico para todos
aquellos clientes que se vean sometidos a los mismos.

Por lo expuesto, se desestima la presente alegación.

CUARTA.- SOBRE LA AUSENCIA DE PROPORCIONALIDAD EN LA FIJACIÓN DE
LA CUANTÍA DE LA SANCIÓN PROPUESTA.

Prosigue IBERCLI alegando que considera que esta Agencia también ha vulnerado los
principios rectores del régimen sancionador administrativo y los criterios establecidos
en las Directrices 04/2022 sobre el cálculo de las multas administrativas con arreglo al
RGPD del Comité Europeo de Protección de Datos (CEPD) y que, en consecuencia, la
infracción resulta desproporcionada.

Así, IBERCLI alega que la imposición de una sanción en un procedimiento
sancionador administrativo ha de ajustarse a lo dispuesto en el artículo 29 de la Ley
40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante,
LRJSP) a fin de respetar los principios de idoneidad y necesidad en la elección de la
medida sancionadora; y que, sin embargo, esta Agencia se limita a citar el artículo 83
del RGPD para justificar la sanción por la infracción del artículo 32 del RGPD. En este
sentido, el artículo 83 del RGPD prevé que las multas administrativas que impongan
las autoridades de control serán, en cada caso individual, efectivas, proporcionadas y
disuasorias; sin que la Resolución sancionadora justifique la necesidad y
proporcionalidad de la sanción impuesta.

En relación con las afirmaciones anteriores, conviene realizar una serie de precisiones:

- La falta de proporcionalidad de la sanción ya fue alegada frente al acuerdo de
inicio, siendo esta alegación debidamente contestada en su momento, que
consta en la resolución recurrida, a la que se remite sin perjuicio de que se
estima conveniente remarcar algunos aspectos a continuación.

- En relación con la supuesta falta de motivación de la resolución, se subraya
que la motivación relativa a la sanción impuesta se encuentra en el
Fundamento de Derecho VI en el que tras exponer lo previsto en los artículos
83.1 y 83.2 del RGPD, así como el artículo 76 de la LOPDGDD, determinar los
elementos que han de servir como punto de partida para determinar el nivel de
gravedad de la infracción conforme a lo previsto en las Directrices 04/2022 y
determinar las diferencias en la apreciación de las circunstancias respecto a la
instrucción del procedimiento; se procede a analizar las circunstancias de los
artículos 83.2 a), b) y g) y, posteriormente, determinar los agravantes aplicables
al caso. Se reitera el contenido de la resolución cuando, en contestación a las
alegaciones al acuerdo de inicio señala:

“Además, es preciso subrayar que, tal y como señalan las Directrices 04/2022
sobre el cálculo de las multas bajo el RGPD, existen tres elementos como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/27

punto de partida para la imposición de una multa: el volumen de negocios, la
categorización de las infracciones según su propia naturaleza (es decir, si son
infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la
infracción en cada caso concreto. Este nivel de gravedad no debe confundirse
con el término “gravedad” utilizado tradicionalmente en la jurisprudencia
española a efectos de calificación de una infracción entre muy grave, grave y
leve. El nivel de gravedad al que se refiere el RGPD debe determinarse
atendiendo a las circunstancias del artículo 83.2 a) naturaleza, gravedad y
duración de la infracción, teniendo en cuenta la naturaleza, el alcance o
propósito de la operación de tratamiento, el número de afectados y el nivel de
daños y perjuicios que hayan producido; del artículo 83.2 b) intencionalidad o
negligencia de la infracción (que no debe confundirse con el requisito de
culpabilidad objetiva y subjetiva propia del derecho español) y del artículo 83.2
g) las categorías de los datos de carácter personal afectados.
Sobre ese punto de partida determinado por esos tres elementos, se podrán
aplicar circunstancias agravantes o atenuantes (el resto de los elementos del
artículo 83.2 del RGPD en relación con el artículo 76.2 de la LOPDGDD)”.

- Sobre estos elementos, el acuerdo de inicio fijó una sanción inicial de
1.000.000 euros, que fue aumentada sustancialmente durante la instrucción del
procedimiento tal y como se fundamentaba en el Fundamento de Derecho III
de la resolución. Finalmente, en la resolución se acuerda fijar la cuantía
inicialmente prevista en el acuerdo de inicio, al entender que sin perjuicio de la
adecuada valoración realizada por el instructor en la propuesta de resolución,
era necesario tener en cuenta (i) la disminución del volumen de negocio de
IBERCLI, (ii) que únicamente constaba a efectos del artículo 83.2 e) del RGPD
una infracción a diferencia de en el acuerdo de inicio y (iii) que el número
máximo de potenciales afectados era considerablemente inferior al valorado
durante la instrucción. Así consta en el Fundamento de Derecho VI de la
resolución recurrida.

- En relación con las afirmaciones relativas a la necesidad de aplicar el artículo
29 de la LRJSP, debe remarcarse que el artículo 63.2 de la LOPDGDD prevé lo
siguiente: “los procedimientos tramitados por la Agencia Española de
Protección de Datos se regirán por lo dispuesto en el Reglamento (UE)
2016/679, en la presente ley orgánica, por las disposiciones reglamentarias
dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos
administrativos”. El RGPD establece su propio sistema sancionador y de
determinación de la cuantía de la multa en el artículo 83, sin perjuicio de que
prevea la aplicación subsidiaria de los principios básicos del derecho
sancionador. Por tanto, de acuerdo con el principio de especialidad normativa
(lex specialis derogat legi generali), es de aplicación preferente la ley especial
(esto es, lo contenido en el RGPD y en la LOPDGDD) sobre la ley general, que
tendrá aplicación subsidiaria. Así las cosas, los criterios de graduación que han
de aplicarse son los expresamente previstos por el RGPD.

- Por tanto, a la vista de lo anterior, la resolución parte a la hora de fijar la
sanción, tal y como se recoge expresamente en la misma, de un volumen de
negocio de 11.353.755.000 euros. En relación con la categorización de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/27

infracción, esta se encuentra tipificada en el 83.4 del RGPD, que prevé que la
sanción que se imponga pueda alcanzar como máximo la cuantía más elevada
entre 10.000.000 euros o el 2% del volumen de negocio del sujeto infractor. Por
tanto, en el caso objeto del procedimiento sancionador, la multa habría de
situarse forzosamente entre los 0 y 227.075.100 euros.

A continuación, analiza las circunstancias del artículo 83.2 a), b) y g) a los
efectos de determinar el nivel de gravedad, pudiendo subrayarse, sin perjuicio
de que se remita a este apartado de la resolución, los siguientes aspectos:

o En relación con el artículo 83.2 a) del RGPD: La resolución incide en la
afectación a la totalidad de los clientes de IBERCLI, precisamente
porque se trata de una infracción de procedimiento. Se hace especial
hincapié en que, cuando se ven afectadas las medidas de seguridad del
artículo 32 el control de los interesados sobre sus datos se ve afectado.
Asimismo, se valora la duración de la infracción en el tiempo, que
supera los 18 meses.
o Respecto al artículo 83. b) del RGPD: no fue tenido en cuenta a la hora
de determinar la cuantía de la sanción precisamente por considerar que
no existencia mayor nivel de negligencia que el mínimo exigible para
que se encuentre presente el principio de culpabilidad o
responsabilidad. En estos casos las Directrices 04/2022 hablan de una
valoración “neutra” a efectos de la determinación de la cuantía de la
multa.
o En relación con el artículo 83.2 g) del RGPD: se tiene en cuenta la
afectación de datos sensibles en términos de lo previsto en las
Directrices 04/2022.
o Por otra parte, en calidad de agravantes se tiene en cuenta lo previsto
en el artículo 83.2 e) del RGPD y una infracción anterior en el
PS/000398/2021, así como lo señalado en el artículo 76.2 b) de la
LOPDGDD (en relación con el artículo 83.2 k) del RGPD).

A la vista de todas las circunstancias anteriores, la fijación de la multa en 1.000.000
euros. Teniendo en cuenta el porcentaje que dicha cuantía supone respecto al
volumen de negocios de IBERCLI, no puede ser valorada como desproporcionada.

Por otra parte, IBERCLI trae a colación el expediente nº EXP202500113 de esta
Agencia que, según IBERCLI, avalaría la desproporcionalidad en base a que en la
resolución se impuso a ING una sanción de 500.000 euros por infracción del artículo
32 del RGPD “pese a que el alcance del incidente era muy superior: las deficiencias
identificadas eran estructurales, afectaban a los mecanismos de control de accesos y
comprometían datos de naturaleza financiera y bancaria, tales como información
identificativas de clientes, datos de contacto y datos relativos a productos y servicios
financieros. El nivel de sensibilidad y el riesgo asociado a dichos datos es,
objetivamente, muy superior al concurrente en el presente supuesto”.

Al respecto debe señalarse que la doctrina jurisprudencial del TS y del TC en relación
con la igualdad en la aplicación de la ley, sostiene que esta tiene un carácter formal y
que persigue que no se realicen pronunciamientos arbitrarios, de manera que se
interprete la ley de forma igual para todos. Asimismo, la jurisprudencia ha precisado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/27

perfectamente sus características y delimitación, señalando al efecto que el mismo
encierra y presta contenido a una prohibición o discriminación de tal manera que ante
situaciones iguales deban darse tratamientos iguales, por lo que sólo podrá aducirse
ese principio de igualdad como violado cuando, dándose los requisitos previos de una
igualdad de situaciones entre los objetos afectados por la norma, se produce un
tratamiento diferenciado de los mismos en virtud de una conducta arbitraria no
justificada de los poderes públicos quedando “enmarcados con rigurosa precisión los
perfiles dentro de los cuales ha de desenvolverse la acción promovida en defensa de
ese derecho fundamental de igualdad, que ha de entenderse entre iguales, es decir,
entre aquellos que tiene circunstancias de todo tipo iguales ...” (STS 23 de junio.1989),
pues “no toda disparidad de trato significa discriminación, sino que es necesario que la
disparidad de soluciones sea ante situaciones absolutamente iguales” (STS 15 de
octubre de 1986). En consecuencia “tal principio ha de requerir... una identidad
absoluta de presupuestos fácticos ...” (STS 28 de marzo de 1989).

Además de esa identidad absoluta de esos presupuestos fácticos, lo que no existe en
los supuestos planteados, la aplicación de este principio “igualdad en la aplicación de
la ley”, “es necesario acreditar que tal actuación fue arbitraria y discriminatoria” (STS
13 de julio de 1989), pues el artículo 14 CE excluye que “la resolución finalmente
dictada aparezca como fruto de un mero voluntarismo selectivo frente a casos
anteriores resueltos de modo diverso” (STC 55/1988, de 24 de marzo; 181/4987, de 13
de noviembre; y 1/1990, de 15 de enero). Requisito que tampoco se encuentra
presente en el caso que nos ocupa

Teniendo esto en cuenta, se subraya que las circunstancias que concurrieron en el
expediente nº EXP202500113 difieren de las acaecidas en el presente caso. Así, a
modo de ejemplo, se subraya lo siguiente: (i) el volumen de negocio de ING tomado en
consideración en la resolución es más de diez veces inferior al de IBERCLI, (ii) la
duración de la infracción no superó los 6 meses frente a los, como mínimo, casi 18
meses en el caso de IBERCLI y (iii) ING no había sido sancionada previamente en
materia de protección de datos al contrario que IBERCLI.

Por otra parte, alega IBERCLI las siguientes cuestiones respecto a los “factores
agravantes” invocados por esta Agencia en la resolución sancionadora:

- Naturaleza y gravedad de la infracción (artículo 83.2, letra a) del RGPD): reitera
IBERCLI que no ha quedado acreditado que la infracción tuviera carácter
general, ni que careciera de medidas de seguridad adecuadas al riesgo. Insiste
en la ausencia de una prueba de cargo sobre esta materia. A este respecto no
cabe sino aclarar, una vez más, que la resolución recurrida imputa un artículo
32 RGPD en relación con ausencia de medidas de seguridad adecuadas al
riesgo en relación con un protocolo por el que se buscaba verificar la identidad
de sus clientes y se remite al Fundamento de Derecho III y IV de la resolución
en los que fundamenta extensamente la existencia de la infracción.

- Número de interesados afectados: señala IBERCLI que la consideración un
total de 7.146.778 suministros no es correcta, por cuanto no diferencia entre
personas físicas y jurídicas y porque, considera que en ningún caso la totalidad
de sus clientes hacen uso del call center.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/27

Al respecto deben aclararse dos aspectos:

o En primer lugar, tal y como señalan las Directrices 04/2022, al hablar de
afectados han de contabilizarse tanto los afectados concretos como los
afectados potenciales. En el presente caso, resultan afectados
potenciales en materia de protección de datos la totalidad de los
clientes de IBERCLI, en tanto que cualquier de ello puede hacer uso del
call center.

o Por otra parte, respecto a las afirmaciones de IBERCLI sobre que la
cifra de 7.146.778 no sería adecuada, resulta llamativo que IBERCLI ni
determine ni acredite el número de clientes correcto. En cualquier caso,
se resalta que la resolución señala que la totalidad de los clientes de
IBERDROLA resultan afectados potenciales en las circunstancias del
artículo 83.2 a) del RGPD. Se hace referencia a estos efectos para
contextualizar el potencial número de afectados a la cifra máxima de
7.146.778 personas en tanto que es el número de suministros contenido
en el Anexo 3 del informe del Consejo de la CNMC (Comisión Nacional
de los Mercados y la Competencia) con título Informe minorista gas y
electricidad 2024 (IS/DE/027/25 - IS MERCADO MINORISTA DE GAS
Y ELECTRICIDAD. 2024 | CNMC. A este respecto se subraya que la
propuesta de resolución contenía una cifra máxima de más de 11
millones de clientes (esto es, superior a la que figura contenida en la
resolución). Esta diferencia fue uno de los factores que se tuvo en
cuenta para minorar la cuantía de la sanción en la resolución recurrida
respecto a la contenida en la propuesta de resolución. Se subraya, por
tanto, que en la propuesta de resolución se hacía referencia a un
número máximo de potenciales afectados superior al contenido
finalmente en la resolución, sin que consten alegaciones a dicha
cuantía, por cuanto no constan alegaciones a la propuesta de
resolución. A este respecto debe hacerse referencia a lo previsto en el
artículo 118 de la LPACAP cuando señala: “No se tendrán en cuenta en
la resolución de los recursos, hechos, documentos o alegaciones del
recurrente, cuando habiendo podido aportarlos en el trámite de
alegaciones no lo haya hecho”.

o Insiste IBERCLI en que no se han producido daños y perjuicios, por lo
que debe remitirse a lo contenido en la resolución: “Por otra parte, en
relación con la aseveración de que no se ha producido, “daño a
terceros” conviene señalar el derecho a la protección de datos es un
derecho fundamental constitucionalmente reconocido en el artículo 18.4
de la CE. Este derecho fundamental reconoce el derecho de los
ciudadanos al control sobre sus datos, tengan estos datos o no
dimensión constitucional. La ausencia de medidas imputada afecta a la
esfera del derecho fundamental de protección de datos de todos los
clientes de IBERCLI”.

o Respecto a la duración de la infracción, considera IBERCLI que la
AEPD no puede tener en consideración como fecha de inicio de la
infracción la fecha de un documento que es meramente orientativo para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/27

los agentes. No obstante, omite que fue IBERCLI quien aportó el
documento “***DOCUMENTO.1” junto a su escrito de respuesta de 16
de septiembre de 2024, indicando que “Se adjuntan como Anexo I, la
guía que siguen nuestro CALL CENTER sobre el control PSI (…)” y
quien incorporó la fecha 19 de marzo de 2023 en el propio documento.
En ningún momento del procedimiento sancionador, IBERCLI ha tratado
esa fecha como meramente orientativo.

o En relación con el artículo 83.2 b) del RGPD, IBERCLI sostiene que no
se encuentra presente en el presente caso el principio de culpabilidad
por cuanto no existe negligencia ni intencionalidad por parte de
IBERCLI. Al respecto se señala que, como ya ha sido explicado a lo
largo de esta resolución de recurso, en el presente caso se aprecia la
existencia de las condiciones necesarias para la presencia del principio
de culpabilidad que permitieron la tramitación del correspondiente
procedimiento sancionador. No obstante, en lo que se refiere a la
apreciación de una especial negligencia o intencionalidad que hayan de
ser tenidas en cuenta a los efectos de fijar la cuantía de la sanción, se
reitera que esto no se ha realizado en la resolución sancionadora,
siguiendo lo señalado por las Directrices 04/2022 que señalan el
carácter neutro de esta circunstancia cuando no se aprecie especial
negligencia o intencionalidad.

o En lo que respecta a la circunstancia del artículo 76.2 b) de la
LOPDGDD en relación con el artículo 83.2 k) del RGPD, sostiene
IBERCLI que esta circunstancia no guarda una relación directa con el
caso y que el incidente analizado responde a un error humano aislado.
Al respecto, conviene recordar, una vez más, que la resolución recurrida
imputa un artículo 32 del RGPD por la ausencia de medidas de
seguridad ligadas a un protocolo de la ahora parte recurrente, del que
se tuvo conocimiento a raíz de una reclamación. Por tanto, no cabe
hablar, como se ha sostenido extensamente en la resolución
sancionadora, de un hecho aislado. De la misma manera, tampoco
cabe negar la alta vinculación de la actividad del infractor con la
realización de tratamiento de personales, dada la propia naturaleza de
los productos ofertados y, además, que el mencionado protocolo
permite verificar la identidad de los clientes a efectos, por ejemplo, de
modificar sus datos personales que obren en poder de IBERCLI.

o En lo que se refiere a las circunstancias del artículo 83.2 g) del RGPD,
alega IBERCLI que su apreciación en la resolución es errónea, por
cuanto un dato sensible es un dato de categoría especial, sin que en el
presente caso se tratara esa tipología de datos. Al respecto, no cabe
sino reincidir en lo expresamente indicado en la resolución recurrida:

“Las categorías de los datos de carácter personal afectados por la
infracción (artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del
Comité Europeo de Protección de Datos, sobre el cálculo de las multas
bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57,
señalan lo siguiente en cuanto al requisito de tener en cuenta las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/27

categorías de los datos personales afectados: “(…)el RGPD destaca
claramente los tipos de datos que merecen una protección especial y,
por tanto, una respuesta más estricta en lo que respecta a las multas.
Esto se refiere, como mínimo, a los tipos de datos a que se refieren los
artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación
de estos artículos cuya difusión provoque daños y perjuicios inmediatos
al interesado (por ejemplo, datos de localización, datos sobre
comunicación privada, números de identificación nacionales o datos
financieros, como resúmenes de transacciones o números de tarjetas
de crédito”). En el presente caso, los datos personales tratados que se
verían afectados por la falta de medidas incluyen desde el DNI, hasta el
número de la cuenta corriente”.

Esto es, el concepto de dato sensible utilizado en la resolución
responde a la definición contenida en las Directrices 04/2022.

Por último, respecto a las circunstancias que concurren en el presente caso, esta
Agencia desea reiterar una vez más, tal y como se contenía en la resolución objeto de
recurso que, al contrario de lo señalado por IBERCLI no se han considerado todas las
circunstancias como “factores agravantes”. Se recuerda a estos afectos las
explicaciones ya facilitadas relativas a que las circunstancias del artículo 83.2, letra a),
b) y g) del RGPD, de acuerdo con lo dispuesto en las Directrices 04/2022, son
circunstancias a los efectos de determinar el nivel de gravedad de la infracción. Una
vez determinado el nivel de gravedad, se aplicarían las atenuantes y agravantes que
correspondan y que contemplan el artículo 83.2 c), e), f), h), i) j) y k) del RGPD; estas
últimas en relación con lo previsto en el artículo 76.2 de la LOPDGDD.

Por lo expuesto, se desestiman las presentes alegaciones.

QUINTA.- SOBRE LA CONCURRENCIA DE FACTORES ATENUANTES NO
CONSIDERADOS.

IBERCLI alega que “En aras de la economía procedimental, esta parte trae
nuevamente a colación todas las alegaciones formuladas a lo largo del procedimiento
sancionador y reitera la plena aplicabilidad de los atenuantes expuestos de manera
reiterada, los cuales concurren de forma evidente en el presente caso y deben ser
valorados conforme a lo dispuesto en el artículo 83.2 del RGPD y en las Directrices
04/2022 del CEPD”.

Al respecto, esta Agencia se reitera en lo ya expuesto en la Resolución sancionadora
en la que se contestaban las alegaciones referidas al acuerdo de inicio sobre esta
materia:

“En lo referente a las afirmaciones sobre que no se han aplicado atenuantes. Se
reitera, como se ha señalado que la aplicación de atenuantes y agravantes se realiza,
de acuerdo con las Directrices 04/2022 una vez determinado el nivel de gravedad de
la multa, pudiendo aplicarse las circunstancias del artículo 83.2 c), e), f), h), i) j) y k);
estas últimas en relación con lo previsto en el artículo 76.2 de la LOPDGDD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/27

En cuanto a la alegación de que se deberían haber valorado como atenuantes las
circunstancias de los artículos 83.2 k), en relación con el artículo 76.2 c), del RGPD,
se hace notar, que, tal y como señala la sentencia de la Audiencia Nacional, de
05/05/2021, rec. 1437/2020, no puede ser valoradas como atenuantes, circunstancias
que la norma prevé como agravantes. En concreto, señala: “la falta del presupuesto
para su aplicación respecto del art. 76.2.c) de la LOPDGDD, esto es, obtener
beneficios consecuencia de la infracción, no permite su aplicación como atenuante.”
Lo mismo ocurre en relación con el artículo 83.2 f), sin olvidar, además, que la
cooperación con la autoridad de control por parte del responsable es una obligación
prevista por el RGPD. En este sentido, la misma sentencia señala: “respecto de la
propugnada aplicación como atenuante de la circunstancia f) del artículo 83.2 del
RGPD ' el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción’, basta
remitirnos a lo expuesto en el Fundamento de Derecho para rechazar la aplicación de
dicha atenuante”.

Por otra parte, en relación con la aseveración de que no se ha producido, “daño a
terceros” conviene señalar el derecho a la protección de datos es un derecho
fundamental constitucionalmente reconocido en el artículo 18.4 de la CE. Este
derecho fundamental reconoce el derecho de los ciudadanos al control sobre sus
datos, tengan estos datos o no dimensión constitucional. La ausencia de medidas
imputada afecta a la esfera del derecho fundamental de protección de datos de todos
los clientes de IBERCLI”.

Por lo expuesto, se desestima la presente alegación.

SEXTA.- SOBRE LA ADOPCIÓN DE MEDIDAS.

Entiende IBERCLI que las medidas correctivas propuestas en la Propuesta de
resolución “han quedado sin efecto y carecen de aplicabilidad, al no haber sido
finalmente recogidas ni acordadas en la Resolución. Esta omisión resulta
especialmente relevante, en la medida en que pone de manifiesto que la propia
Administración no ha considerado necesario imponer medida adicional alguna al
momento de resolver, lo que únicamente puede interpretarse como un reconocimiento
implícito de que IBERCLI ya disponía de medidas técnicas y organizativas suficientes
y adecuadas para garantizar el correcto tratamiento de los datos personales”.

Al respecto, esta Agencia muestra su sorpresa respecto a la afirmación realizada por
parte de IBERCLI respecto de las medidas correctivas por cuanto consta un apartado
específico sobre su adopción en el Fundamento de Derecho Séptimo de la Resolución
sancionadora:

“VII Medidas correctivas

El artículo 58.2 d) del RGPD, determina que cada autoridad de control podrá “ordenar
al responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/27

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

En el presente acto se establece cuál es la infracción cometida y los hechos que han
dado lugar a esa vulneración de la normativa de protección de datos, de lo que se in
fiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de
procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte sancionada, pues es el responsable del tratamiento quien
conoce plenamente su organización y ha de decidir, en base a la responsabilidad
proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de resolución de procedimiento
sancionador, se requiere a IBERCLI para que, en el plazo de TRES MESES a contar
desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento,
adopte las medidas siguientes:

- Acreditar la adopción de medidas de seguridad de carácter técnico y
organizativo adecuadas al riesgo del tratamiento de datos personales que se
realizan, incluyendo la implementación de protocolos que garanticen la
verificación de la identidad de las personas.

Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.”

Asimismo, en la parte dispositiva de la Resolución sancionadora también figura
expresamente como apartado segundo lo siguiente para con las medidas correctivas:

“SEGUNDO: ORDENAR a IBERDROLA CLIENTES, S.A.U., con NIF A95758389, que
en virtud del artículo 58.2.d) del RGPD, en el plazo máximo de 3 meses desde que la
presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de
la medida correctiva establecida en el fundamento de derecho VII:

- Acreditar la adopción de medidas de seguridad de carácter técnico y
organizativo adecuadas al riesgo del tratamiento de datos personales que se
realizan, incluyendo la implementación de protocolos que garanticen la
verificación de la identidad de las personas.”

Por lo expuesto, se desestiman las presentes alegaciones.

III
Conclusión

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/27

En consecuencia, en el presente recurso de reposición, la parte recurrente no ha
aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la
resolución impugnada.

IV
Obligación de dictar resolución expresa

De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio
administrativo en los procedimientos de impugnación de actos y disposiciones es
desestimatorio.

No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para
resolver, la Administración mantiene la obligación de dictar resolución expresa y de
notificarla en todos los procedimientos cualquiera que sea su forma de iniciación,
incluidos los recursos administrativos que se hayan podido interponer, según dispone
el artículo 21.1 de la citada LPACAP.

En los casos de desestimación por silencio administrativo, la resolución expresa
posterior al vencimiento del plazo se adoptará por la Administración sin vinculación
alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley.

Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución
expresa que lo finalice.

Vistos los preceptos citados y demás de general aplicación,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DESESTIMAR el recurso de reposición interpuesto por IBERDROLA
CLIENTES, S.A.U. contra la resolución de esta Agencia Española de Protección de
Datos dictada con fecha 14 de enero de 2026, en el expediente EXP202406239.

SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA CLIENTES, S.A.U.

TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva
una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el
artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el
artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto
939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000
0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco
CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período
ejecutivo.

Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos
inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes
siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de
cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes
siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/27

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas
(LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante
la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo
dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la
Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada
LPACAP. También deberá trasladar a la Agencia la documentación que acredite la
interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese
conocimiento de la interposición del recurso contencioso-administrativo en el plazo de
dos meses desde el día siguiente a la notificación de la presente resolución, daría por
finalizada la suspensión cautelar.
180-071125
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es