| Resolución | REPOSICION-AI-00115-2023 |
| Firmado | 2026-07-23T00:00:00Z |
| Enlace | 📋 |
Resumen de la decisión:
La resolución analizada resuelve un recurso de reposición interpuesto por Repsol Comercializadora de Electricidad y Gas S.L.U. contra una sanción impuesta por la Agencia Española de Protección de Datos (en adelante, la autoridad competente).
Hechos denunciados y reclamación:
Se imputó a Repsol la infracción de dos artículos del Reglamento General de Protección de Datos (RGPD):
Artículo 5.1.d) RGPD (principio de exactitud): Tratar datos personales inexactos al asociar erróneamente los datos de un cliente (nombre, apellidos y DNI) a contratos de suministro de gas y electricidad que este no había suscrito, generando facturas y comunicaciones a su nombre sin su consentimiento. La entidad no verificó adecuadamente la identidad del solicitante, limitándose a un cruce de nombres y apellidos casi idénticos.
Artículo 32 RGPD (seguridad del tratamiento): Incumplimentar medidas técnicas y organizativas para garantizar la seguridad de los datos, ya que el procedimiento interno de cambio de titularidad permitía errores de identificación sin controles suficientes (como la verificación por DNI).
La autoridad sancionadora determinó que:
La infracción del artículo 5.1.d) no estaba suficientemente probada, por lo que se archivó.
La infracción del artículo 32) se consideró probada, al constatar que el sistema de verificación era insuficiente y permitió un error con impacto en los derechos de un cliente.
Sanción y modificación:
La resolución inicial impuso:
130.000 euros por infringir el artículo 5.1.d).
1.250.000 euros por infringir el artículo 32).
Tras el recurso de reposición, se modificó parcialmente:
Se archivó la sanción de 130.000 euros por el principio de exactitud, al no considerarse suficientemente probada la infracción.
Se redujo la sanción del artículo 32 de 1.250.000 euros a 600.000 euros, reconociendo parcialmente las alegaciones de la recurrente (como la adopción posterior de medidas correctivas) y ajustando la cuantía a los criterios de proporcionalidad y graduación de sanciones del RGPD.
Motivación de la sanción:
El error no fue puntual: Se mantuvo durante meses, generando facturas, comunicaciones y vinculando erróneamente al cliente con contratos ajenos.
Falta de diligencia: No se implementaron controles básicos (como la verificación por DNI) pese a ser un riesgo previsible en procesos masivos de contratación.
Gravedad: La infracción afectó a los derechos del cliente (protección de datos, intimidad y esfera jurídica).
Contexto: La sanción se redujo por la adopción posterior de medidas (como reforzar el protocolo de cambio de titularidad) y la ausencia de daño económico directo, pero se mantuvo la cuantía dentro de lo proporcional, considerando el carácter disuasorio y la condición de gran empresa de Repsol.
Conclusión:
La decisión final estimó parcialmente el recurso, archivando una de las infracciones y reduciendo la sanción de la otra, pero manteniendo la obligación de pago por la infracción de seguridad (600.000 euros). La autoridad destacó que, aunque no hubo dolo, la negligencia en los procedimientos internos justificó una respuesta sancionadora ajustada a la normativa.