| Resolución | REPOSICION-PS-00459-2024 |
| Firmado | 2026-04-29T00:00:00Z |
| Enlace | 📋 |
Resumen de la decisión (aprox. 300 palabras):
En este caso, se denunció a Iberdrola Clientes, S.A.U. por incumplir el artículo 32 del RGPD (seguridad en el tratamiento de datos), tras permitir que un cliente actualizara su dirección de correo electrónico sin verificación suficiente, lo que facilitó un acceso no autorizado a datos personales. La reclamación surgió cuando un tercero no autorizado usó esa dirección fraudulentamente para gestionar el contrato de suministro.
La resolución inicial sancionó a la empresa con una multa de 1.000.000 de euros y ordenó implementar medidas correctivas, como protocolos robustos de verificación de identidad. La sanción se basó en que el sistema de control interno de Iberdrola (documentado en su guía de call center) permitía autenticaciones con solo cuatro de nueve datos disponibles, sin requerir métodos avanzados (como verificación multifactor) ni garantizar trazabilidad adecuada. Además, permitía actualizar datos de contacto sin confirmación expresa del titular, lo que aumentaba el riesgo de suplantación de identidad.
Motivos de la sanción:
Falta de medidas adecuadas al riesgo: El protocolo de verificación no cumplía con el principio de seguridad adecuada exigido por el RGPD, especialmente en un contexto con datos sensibles (DNI, cuentas bancarias, etc.).
Responsabilidad por diseño: La empresa no implementó controles suficientes para evitar accesos no autorizados, a pesar de ser una gran comercializadora con acceso masivo a datos personales.
Negligencia: El sistema estructuralmente deficiente demostraba una omisión de la diligencia debida, según jurisprudencia aplicable (ej. STJUE C-807/21).
Recurso de Iberdrola:
La empresa alegó:
Indefensión (por supuesta omisión de alegaciones, no constatadas).
Falta de proporcionalidad en la multa (se argumentó que otras entidades recibieron sanciones menores por infracciones similares).
Cumplimiento de estándares (como certificaciones ISO 27001), aunque no se acreditó su presentación.
Responsabilidad objetiva no aplicable, ya que cumplió con «medidas razonables».
Respuesta:
La autoridad desestimó el recurso al considerar que:
El procedimiento respetó todas las garantías (alegaciones, plazos).
La multa (1M€) se ajustó a los criterios del RGPD, valorando el volumen de negocio de Iberdrola, la gravedad de la infracción y los agravantes (repetición y alcance de afectados).
Las deficiencias del protocolo eran claras y persistentes (más de 18 meses), no un caso aislado.
Conclusión:
Se confirmaron la sanción y las medidas correctivas, al no aportarse pruebas suficientes que refutaran los hechos probados. La multa se mantuvo por ser proporcional, disuasoria y ajustada al daño causado a los derechos de los usuarios.