| Resolución | REPOSICION-PS-00190-2024 |
| Firmado | 2026-06-22T00:00:00Z |
| Enlace | 📋 |
Resumen de la decisión:
En este caso, CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO S.A.U. interpuso un recurso de reposición contra una resolución que le sancionó con 500.000 euros por una infracción del artículo 25 del RGPD (protección de datos desde el diseño y por defecto). La sanción se fundaba en que la empresa permitió la divulgación no autorizada de datos personales de un cliente a otro, debido a un error en el tratamiento de direcciones de correo electrónico vinculadas a dos clientes distintos. El incidente ocurrió cuando un empleado, al gestionar dos conversaciones simultáneas mediante un sistema de chat, atribuyó erróneamente la dirección de correo de un cliente a otro.
Reclamación y hechos probados:
La reclamación surgió porque un cliente recibió un correo con datos de otro, incluyendo su nombre, deuda pendiente y detalles de su contrato. La investigación determinó que:
El canal de chat permitía mantener múltiples conversaciones abiertas al mismo tiempo, facilitando confusiones.
CURENERGÍA no contaba con medidas adecuadas para evitar errores en la asignación de datos, como sistemas automatizados para detectar duplicidades o advertencias efectivas.
Aunque existían controles básicos (como verificaciones de duplicidad de datos tras múltiples registros), estos no prevenían el riesgo de confusión en el correo electrónico, clave para la confidencialidad.
Fundamentos para la sanción:
Infracción del artículo 25 del RGPD: La empresa no implementó medidas técnicas y organizativas proporcionadas al riesgo, especialmente para garantizar la exactitud y confidencialidad de los datos desde el diseño del tratamiento.
Negligencia en la evaluación de riesgos: No se analizó adecuadamente el peligro de atribuir erróneamente datos clave (como el correo electrónico), lo que generó una pérdida de confidencialidad.
Sanción proporcional: Se tuvo en cuenta la gravedad del incidente (afectó a derechos fundamentales como la confidencialidad y protección de datos) y que el infractor es una empresa con alto volumen de clientes y empleados, vinculada a tratamientos masivos de datos.
Conclusión:
El recurso de reposición fue desestimado, al considerar que no aportó argumentos suficientes para anular la sanción. La resolución reafirmó que la empresa actuó con negligencia sistemática, al no prevenir un riesgo evitable (la confusión de correos) pese a su capacidad operativa y sector de actividad. Además, se descartó la supuesta desproporción de la multa, destacando que la conducta afectó a múltiples clientes potencialmente, no siendo un error aislado. La sanción se mantuvo por 500.000 euros, y se advirtió a la empresa que debía pagarla en el plazo voluntario establecido.