1/12
Expediente N.º: PS/00099/2022
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 28 de marzo de 2021
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra OES GLOBAL ENERGY S.L. con NIF B01901941 (en
adelante, OES). Los motivos en que basa la reclamación son los siguientes:
Indica que tiene contratos de suministro de gas y energía con la empresa FREE
ENERGÍA, pero ha recibido un correo electrónico de OES, cuyo domicilio coincide con
el de FREE ENERGÍA, en el que se adjuntan documentos de desistimiento de unos
contratos de electricidad firmados por otros dos clientes, identificados con su nombre y
DNI.
Aporta, junto con su escrito de reclamación:
- Impresión de correo electrónico de fecha 18 de marzo de 2021 enviado por
[email protected] (que se indica que es del Departamento de SAC e
Incidencias) a varias direcciones de correo electrónico entre las que se incluye la de
la parte reclamante. En este correo, se indica que se adjunta el email de un cliente
solicitando el desistimiento de contratos, y se aportan nombre y apellidos de un
cliente con 10 CUPS, y nombre y apellidos de otro cliente con 2 CUPS. Los nombres
de estos dos clientes son distintos al de la reclamante.
- Impresión de dos páginas del anexo al anterior correo que son la última página de
desistimientos con SUMINISTRADOR IBÉRICO DE ENERGÍA, S.L. – OES
ENERGÍA (con NIF B67421875) y los dos clientes que aparecían en el correo. De
esos dos clientes aparecen los siguientes datos: nombre, apellido, DNI, CUPS y
firma manuscrita.
- Impresión de correo electrónico de 26 de marzo de 2021 remitido por la reclamante a
[email protected] en el que solicita la supresión de sus datos debido a que
ha recibido un correo con datos de otros clientes, y adjunta el anterior correo de
fecha 18 de marzo de 2021.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/12
adelante LOPDGDD), se dio traslado de dicha reclamación a OES para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), no fue recogido por el responsable; reiterándose el
traslado en fecha 26/05/2021 por correo postal certificado, fue nuevamente devuelto
por "desconocido”.
No se ha recibido respuesta a este escrito de traslado.
TERCERO: Con fecha 28 de junio de 2021, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de los poderes de investigación otorgados a las autoridades de
control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de
Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el
Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los
siguientes extremos:
ENTIDADES INVESTIGADAS
Durante las presentes actuaciones se ha investigado la siguiente entidad:
OES GLOBAL ENERGY S.L. con NIF B01901941 con domicilio en RAMBLA DEL
GARRAF, Nº 76 - 08812 SANT PERE DE RIBES (BARCELONA)
RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
Se aporta, entre otra, la siguiente información:
1. Indicación de que el incidente descrito por la reclamante se produjo debido a un
error puntual al incluir la dirección de email de la reclamante como destinatario de
un correo interno de la compañía.
2. Indicación de que este incidente no fue comunicado a la AEPD en 72 horas porque,
al no haberse detectado la brecha de seguridad, no se contempló la posibilidad de
notificar a la AEPD ni a los afectados.
3. Indicación de que, al ser dos afectados y debido a la tipología de datos, el incidente
no implica un riesgo para los derechos y libertades de los afectados.
4. Indicación de que no consta que terceros hayan accedido a los datos, aparte de la
reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/12
5. Indicación de que no se detectó el correo enviado por la parte reclamante debido a
un error humano; por este motivo, OES no respondió a la solicitud de supresión de
la reclamante hasta que no se le envió este expediente por parte de la AEPD.
6. Impresión de correo electrónico de fecha 17 de febrero de 2022 remitido por
[email protected] hacia el email de la parte reclamante en el que se
indica que se adjunta la respuesta a su solicitud a OES. Y se adjunta también un
escrito dirigido a la reclamante con el siguiente contenido:
Atendiendo a su solicitud de protección de datos, le informamos que, de
conformidad con la misma, OES ENERGÍA ha procedido a tramitar la
supresión de sus datos personales.
Sin perjuicio de lo anterior, y de conformidad con lo establecido en el artículo
17.3 RDPG, procederemos a conservar sus datos para el cumplimiento de las
obligaciones legales que puedan derivarse de su relación jurídica con la
empresa, así como en su caso, dar cumplimiento a requerimientos judiciales.
Por todo ello, y dado que OES ENERGÍA, quiere respetar escrupulosamente
el ejercicio de sus derechos, le informamos que quedamos a su disposición
para cualquier aclaración que precise.
QUINTO: Con fecha 4 de abril de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
por la presunta infracción del Artículo 5.1.f) del RGPD, tipificada en el Artículo 83.5 del
RGPD, y Artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD
Notificado el acuerdo de inicio, OES presento escrito de alegaciones en el que en
síntesis manifestaba:
-Que considera desproporcionada la propuesta de sanción económica por el presunto
incumplimiento de los preceptos normativos indicados, ya que el criterio que ha
seguido la AEPD a la hora de imponer sanciones por las presuntas infracciones de los
preceptos recogidos en los artículos 5.1.f) y 32 RGPD en otros expedientes, diverge
del establecido en el presente Procedimiento Sancionador, sufriendo OES un agravio
comparativo.
Añade OES que no acaba de entender cuál es el motivo por el que la propuesta de
sanción del presente Procedimiento Sancionador es tan elevada, máxime teniendo en
cuenta que la actividad sancionadora de la Administración está sujeta al principio de
proporcionalidad, y que entiende que la cuantía de las sanciones impuestas no se ha
visto adecuadamente modulada.
-A este respecto esta Agencia señala que, si bien la sanción inicialmente fijada
se encuentra dentro del marco establecido por los artículos 83.5 y 83.4 del
RGPD, para la infracción a los artículos 5.1.f) RGPD y 32 RGPD,
respectivamente, no es menos cierto que son varios los factores que han de
considerarse a la hora de fijar la sanción para que ésta sea proporcional y
adecuada a la infracción que se analiza en cada supuesto. Tomando, pues, en
consideración todos los factores, estudiadas las alegaciones efectuadas por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/12
OES a este respecto, cabe concluir que resultaría adecuado estimar
parcialmente las mismas en el sentido de reducir la cuantía de las multas
inicialmente propuestas.
-Que uno de los principios que rige el derecho administrativo sancionador es el
principio “non bis in idem”, que implica que no se pueden imponer dos o más
sanciones sobre los mismos hechos, y que el hecho que propicia este Procedimiento
Sancionador es el envío, debido a un error humano y puntual, de un correo interno a
un cliente al cual se puso por equivocación como destinatario del mismo.
Entiende OES que este hecho es sancionado por la AEPD dos veces, una por
infracción del artículo 5.1.f) RGPD en relación con la no observancia del principio de
confidencialidad e integridad, y otra por el incumplimiento del artículo 32 RGPD en
cuanto a la falta de adopción de medidas técnicas y organizativas que resulten
apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento,
debiendo ser sancionado por una única infracción.
-A este respecto hay que señalar que la Ley 40/2015, de 1 de octubre, de Régi-
men Jurídico del Sector Público (LRJSP) recoge el principio NON BIS IN IDEM,
al establecer en su artículo 31.1:
“No podrán sancionarse los hechos que lo hayan sido penal o administrativa-
mente, en los casos en que se aprecie identidad del sujeto, hecho y fundamen-
to”.
En el presente procedimiento sancionador no se dan los presupuestos necesa-
rios, puesto que se imputan hechos diferentes, cada uno de ellos, asimismo, ti-
pificados en diferentes artículos del RGPD. El supuesto tipificado en el artículo
5.1.f) del RGPD se refiere al hecho de que los datos personales de dos clientes
de OES fueron expuestos a un tercero. El supuesto tipificado en el artículo 32
hace referencia a que tanto el responsable como el encargado del tratamiento
deben adoptar medidas técnicas y organizativas apropiadas para garantizar un
nivel de seguridad apropiado al riesgo, concluyendo que dichas medidas no ha-
bían sido adoptadas en el presente caso.
-Que los hechos que han propiciado la incoación del Procedimiento Sancionador no
obedecen, en ningún caso, a un ánimo de quebrantar la confidencialidad de los datos
de los clientes de OES, ni a cualquier otro tipo de intencionalidad de OES de incumplir
con sus obligaciones en materia de protección de datos, no concurriendo la necesaria
exigencia de culpabilidad para poder imponer una sanción administrativa ya que está
asentado el criterio jurisprudencial de que debe descartarse toda sanción al margen de
una conducta culposa o negligente (principio de culpabilidad en materia sancionadora);
por lo que quieren poner de manifiesto que, en ningún caso, OES ha buscado un re-
sultado de revelación de los datos personales de sus clientes y que tan solo se ha pro-
ducido una reclamación por estos hechos, siendo, como se ha comentado anterior-
mente, debidos a un error humano y puntual.
-A este respecto esta agencia cita las Sentencias del Tribunal Supremo de 12
(rec. 388/1994) y 19 de mayo de 1998, Sección Sexta, que afirman que «en el
ámbito de la responsabilidad administrativa no basta con que la conducta sea
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/12
antijurídica y típica, sino que también es necesario que sea culpable, esto es,
consecuencia de una acción u omisión imputable a su autor por malicia o im-
prudencia, negligencia o ignorancia inexcusable (...)”
En el presente caso se aprecia que OES es responsable y, por tanto, culpable,
en el sentido apuntado por las citadas sentencias, de las infracciones imputa-
das, sin que quepa exculparse en la falta de intencionalidad, pues no cabe
duda de que su conducta ha sido cuando menos imprudente, al enviar por co-
rreo electrónico a un cliente los contratos correspondientes a otras dos perso-
nas, contratos en los que figuran datos personales.
-Que, desde el momento en que ha tenido conocimiento de la brecha de seguridad
que ha originado en un primer momento el Requerimiento Inicial y, posteriormente, el
Procedimiento Sancionador, ha aplicado las siguientes medidas técnicas y organizati-
vas (además de las indicadas en la contestación al Requerimiento Inicial):
• Implementar cursos de formación a los empleados
• Configuración del correo electrónico de todo el personal eliminando el predictivo de
autocompletar el correo.
• Estudio de la viabilidad de desvío de correo electrónico a un servidor de correo ex-
terno para realizar filtrados de destinatarios.
-A este respecto esta Agencia no tiene nada que objetar ni añadir a las medi-
das implementadas.
SEXTO: Con fecha 1 de junio de 2022 se formuló propuesta de resolución,
proponiendo Que por la Directora de la Agencia Española de Protección de Datos se
sancione a OES GLOBAL ENERGY S.L., con NIF B01901941:
-por una infracción del Artículo 5.1.f) del RGPD, tipificada en el Artículo 83.5 del
RGPD, con una multa de 25.000 € (veinticinco mil euros).
-por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD,
con una multa de 10.000€ (diez mil euros).
SEPTIMO: Notificada la propuesta de resolución, OES presenta nuevo escrito de
alegaciones en fecha 04/08/2022, en el que da por reproducidas todas las alegaciones
realizadas en los escritos previos, y añade que:
- En relación con el razonamiento expuesto por la AEPD en respuesta a la alegación
tercera en la propuesta de resolución, no comparte dicha argumentación por los
siguientes motivos:
1º. La AEPD por un lado indica que OES no puede quedar exonerada de su falta de
intencionalidad, pero justifica la misma en la existencia de una conducta que “ha sido
cuando menos imprudente”. Entiende esta parte que intencionalidad (dolo) e
imprudencia son términos opuestos no pudiendo ser una conducta dolosa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/12
consecuencia de una conducta imprudente o, dicho de otra manera, no se le puede
atribuir a OES el haber actuado intencionadamente cuando la conducta que
supuestamente origina el dolo en la actuación es calificada como culposa por la propia
AEPD.
2º. En cualquier caso, la conducta supuestamente infractora que indica la AEPD y
que imputa a OES como “imprudente”, entiende esta parte que solamente podría ser
achacable a una supuesta infracción de OES del artículo 32 RGPD en relación con las
medidas técnicas y organizativas aplicadas al tratamiento de datos personales ya que,
en su caso, sí correspondería al responsable del tratamiento el diseñar e implementar
aquellas que fuesen necesarias para salvaguardar la seguridad de los datos
personales tratados. No obstante, el hecho de que en el ámbito de la actividad
ordinaria de la empresa, un trabajador, de manera imprudente, haya puesto en copia a
la reclamante en un correo electrónico cuyos destinatarios deberían haber sido
únicamente personal interno de la compañía, constituye una circunstancia que, más
allá de las posibles medidas técnicas y/o organizativas que OES pudiese haber
implementado en su momento, escapa al control efectivo de la empresa en cuanto es
un error humano y puntual que ha consistido en no revisar los destinatarios de un
correo electrónico interno previo a su envío.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: Consta acreditado que la parte reclamante tenía firmados contratos de
suministro de gas y de energía con la empresa FREE ENERGÍA.
SEGUNDO: Consta acreditado que la parte reclamante recibió un correo electrónico
de OES, cuyo domicilio coincide con el de FREE ENERGÍA, en el que se adjuntan
documentos de desistimiento de unos contratos de electricidad firmados por otros dos
clientes, identificados con su nombre y DNI.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver
este procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/12
II
En relación a las alegaciones presentadas a la propuesta de resolución, OES da por
reproducidas las ya presentadas anteriormente y añade que:
1-En relación con el razonamiento expuesto por la AEPD en respuesta a la alegación
tercera en la propuesta de resolución, no comparte dicha argumentación puesto que la
AEPD por un lado indica que OES no puede quedar exonerada de su falta de
intencionalidad, pero justifica la misma en la existencia de una conducta que “ha sido
cuando menos imprudente”, y entienden que intencionalidad (dolo) e imprudencia son
términos opuestos no pudiendo ser una conducta dolosa consecuencia de una
conducta imprudente o, dicho de otra manera, no se le puede atribuir a OES el haber
actuado intencionadamente cuando la conducta que supuestamente origina el dolo en
la actuación es calificada como culposa por la propia AEPD.
-A este respecto, esta Agencia aclara que en ningún momento se ha atribuido a
OES intencionalidad en la acción, pero si responsabilidad, en el sentido dado
por las sentencias citadas, Sentencias del Tribunal Supremo de 12 (rec.
388/1994) y 19 de mayo de 1998, Sección Sexta, que afirman que «en el ámbi-
to de la responsabilidad administrativa no basta con que la conducta sea antiju-
rídica y típica, sino que también es necesario que sea culpable, esto es, conse-
cuencia de una acción u omisión imputable a su autor por malicia o impruden-
cia, negligencia o ignorancia inexcusable (...)”
2- La conducta supuestamente infractora que indica la AEPD y que imputa a OES
como “imprudente”, entienden que solamente podría ser achacable a una supuesta
infracción de OES del artículo 32 RGPD en relación con las medidas técnicas y
organizativas aplicadas al tratamiento de datos personales ya que, en su caso, sí
correspondería al responsable del tratamiento el diseñar e implementar aquellas que
fuesen necesarias para salvaguardar la seguridad de los datos personales tratados.
No obstante, el hecho de que en el ámbito de la actividad ordinaria de la empresa, un
trabajador, de manera imprudente, haya puesto en copia a la reclamante en un correo
electrónico cuyos destinatarios deberían haber sido únicamente personal interno de la
compañía, constituye una circunstancia que, más allá de las posibles medidas técnicas
y/o organizativas que OES pudiese haber implementado en su momento, escapa al
control efectivo de la empresa en cuanto es un error humano y puntual que ha
consistido en no revisar los destinatarios de un correo electrónico interno previo a su
envío.
-A este respecto, esta Agencia cita la Sentencia 188/2022 de la Sección Tercera Sala
de lo Contencioso Administrativo del Tribunal Supremo, de fecha 15/02/2022, que en
su fundamento de Derecho Tercero indica:
(…) Por último, resulta oportuno recordar que las personas jurídicas responden por la
actuación de sus empleados o trabajadores. No se establece por ello una
responsabilidad objetiva, pero si es trasladable a la persona jurídica la falta de
diligencia de sus empleados, en tal sentido STC 246/1991, de 19 de diciembre f.j 2.
(…)
III
El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/12
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o
ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación
de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»).”
En el presente caso, consta que hubo una indebida exposición de datos personales de
clientes, obrantes en la base de datos de OES, puesto que se enviaron por correo
electrónico documentos firmados y en los que constaban datos personales como
nombre, apellidos y DNI, a una tercera persona ajena.
IV
El artículo 83.5 del RGPD bajo la rúbrica “Condiciones generales para la imposición de
multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”
V
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se
considera que la infracción en cuestión es grave a los efectos del RGPD y que
procede graduar la sanción a imponer de acuerdo con los siguientes criterios que
establece el artículo 83.2 del RGPD:
Como atenuantes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/12
-El incidente afectó únicamente a tres personas, sin que a fecha actual se
haya constatado que sufrieran algún perjuicio derivado del mismo. (Artículo
83.2.a)
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:
Como agravantes:
- La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales, pues tratándose de una empresa
suministradora de energía, con numerosos clientes con los que se
suscriben contratos, tratan un elevado número de datos personales.
(Artículo 76.2.b)
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 5.1.f) del RGPD, una vez examinadas, asimismo, las
alegaciones de OES, permiten fijar una sanción de 25.000 € (VEINTICINCO MIL
EUROS).
VI
El Artículo 32 “Seguridad del tratamiento” del RGPD establece:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a)la seudonimización y el cifrado de datos personales;
b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales
de forma rápida en caso de incidente físico o técnico;
d)un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/12
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.
En el presente caso, en el momento de producirse la brecha, OES no adopto un
mínimo de medidas tendentes a evitar que, junto con las direcciones de correo
electrónico de personas pertenecientes a su propia organización, a quienes iban
destinados los documentos de desistimiento de varios CUPS de dos clientes, se
incluyera la dirección de correo de la parte reclamante, motivo por el que ésta acabó
recibiendo documentos no destinados a ella en un principio, con datos personales de
otras personas.
VII
El artículo 83.4 del RGPD bajo la rúbrica “Condiciones generales para la imposición de
multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al
riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del
Reglamento (UE) 2016/679.
(…)
VIII
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se
considera que la infracción en cuestión es grave a los efectos del RGPD y que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/12
procede graduar la sanción a imponer de acuerdo con los siguientes criterios que
establece el artículo 83.2 del RGPD:
Como atenuantes:
-El incidente afectó únicamente a tres personas, sin que a fecha actual se
haya constatado que sufrieran algún perjuicio derivado del mismo. (Artículo
83.2.a)
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:
Como agravantes:
- La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales, pues tratándose de una empresa
suministradora de energía, con numerosos clientes con los que se
suscriben contratos, tratan un elevado número de datos personales.
(Artículo 76.2.b)
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el
artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 32 del RGPD, una vez analizadas, asimismo, las alegaciones
presentadas por OES, permiten fijar una sanción de 10.000 € (DIEZ MIL EUROS).
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a OES GLOBAL ENERGY S.L., con NIF B01901941, por una
infracción del Artículo 5.1.f) del RGPD tipificada en el Artículo 83.5 del RGPD, una
multa de 25.000 € (VEINTICINCO MIL EUROS)
IMPONER a OES GLOBAL ENERGY S.L., con NIF B01901941, por una infracción del
Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa DE 10.000 €
(DIEZ MIL EUROS)
SEGUNDO: NOTIFICAR la presente resolución a OES GLOBAL ENERGY S.L.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/12
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-120722
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es