1. Identificación de la resolución
- Procedimiento: PS/00627/2025 (expediente EXP202521184).
- Tipo: procedimiento sancionador; resolución de terminación por pago voluntario.
- Fecha de firma: 14 de agosto de 2026 (publicada en la web de la AEPD el 21 de septiembre de 2026).
- Órgano: Presidencia de la Agencia Española de Protección de Datos.
- Responsable: XFERA MÓVILES, S.A.U., titular de la marca comercial con la que se prestaba el servicio.
- Sentido: declaración de la infracción del artículo 5.1.d) RGPD, tipificada en el artículo 83.5.a) RGPD.
- Sanción: multa de 8.000 euros, reducida un 20 % por pago voluntario (art. 85 LPACAP) hasta 6.400 euros, sin reconocimiento de responsabilidad.
2. Objeto del procedimiento
Una clienta de servicios de telefonía fija y fibra óptica recibió por correo electrónico un contrato nuevo en el que figuraba su número de DNI junto con los datos de una tercera persona: nombre, dirección, teléfono, correo electrónico, IBAN y servicios contratados. La operadora le indicó que su DNI estaba asociado a ese otro cliente, que no constaba su contrato anterior y que debía presentar denuncia para «justificar sus datos». La reclamante denunció ese mismo día ante la Ertzaintza, pero la desvinculación no se produjo hasta febrero de 2026.
3. Doctrina establecida
La AEPD califica la asociación del DNI de una clienta a la ficha de otra persona como infracción del principio de exactitud del artículo 5.1.d) RGPD. Este principio no solo exige datos exactos, sino que se adopten todas las medidas razonables para suprimirlos o rectificarlos sin dilación.
La Agencia aprecia negligencia por dos motivos. El sistema no alertó de que el DNI ya estaba asignado a un cliente cuando se dio de alta al nuevo usuario. Y la operadora tardó casi dos años en rectificar, pese a que la afectada le comunicó el error y siguió sus instrucciones de denunciar. La rectificación posterior no elimina la infracción; solo opera como atenuante del artículo 83.2.c) RGPD.
Frente a la alegación de que el RGPD no exige infalibilidad, la resolución recuerda que el enfoque de riesgo no impone medidas infalibles, sino adecuadas al riesgo de forma constante. Las medidas técnicas y organizativas son un requisito material: deben diseñarse, implantarse y utilizarse con la diligencia razonable, sin que ello suponga una obligación de resultado.
Sobre el DNI, la Agencia sostiene que no es una categoría especial de datos, pero sí un dato de especial sensibilidad a efectos del artículo 83.2.g) RGPD. Para ello se apoya en las Directrices 04/2022 del CEPD sobre el cálculo de multas, que incluyen los números de identificación nacionales entre los datos cuya difusión causa daños o dificultades inmediatas, y en el riesgo de suplantación de identidad.
4. Fundamentos jurídicos relevantes
La operadora alegó indefensión porque no recibió el traslado previo del artículo 65.4 LOPDGDD; según el índice del expediente, el traslado se dirigió a otra sociedad del grupo. La AEPD responde que ese traslado es potestativo y previo a la admisión a trámite, y que no genera indefensión cuando el acuerdo de inicio se notificó y la entidad pudo alegar y proponer prueba.
En materia de culpabilidad, la resolución invoca la STJUE de 5 de diciembre de 2023 (C-807/21, Deutsche Wohnen): basta con que el responsable no pudiera ignorar el carácter infractor de su conducta. Cita también la STC 246/1991 sobre la imputabilidad de las personas jurídicas y la STS de 15 de febrero de 2022 (rec. 7359/2020), a través de la SAN de 29 de octubre de 2024 (rec. 1824/2021), sobre la exigencia material de las medidas.
Para graduar la multa, la Agencia sigue el esquema de las Directrices 04/2022. Parte del volumen de negocio (2.101 millones de euros en 2024), de la tipificación en el artículo 83.5 RGPD y del nivel de gravedad, que resulta de las letras a), b) y g) del artículo 83.2 RGPD. Estima en parte las alegaciones: solo resultaron afectados un dato de la reclamante y dos personas. Como agravantes aprecia la infracción anterior por exactitud (PS/00066/2024) y la vinculación de la actividad con el tratamiento de datos (art. 76.2.b LOPDGDD). Rechaza como atenuantes la mera presentación de alegaciones, la adhesión a códigos de seguridad de la información y la falta de beneficio económico.
La resolución aplica a un error de asignación de identificadores la doctrina sobre exactitud y diligencia en sectores de tratamiento masivo. La sanción se calcula con el método de las Directrices 04/2022, y la Agencia distingue expresamente las circunstancias que fijan el nivel de gravedad de las que operan como agravantes o atenuantes. Resulta de interés la calificación del DNI como dato especialmente sensible a efectos de graduación, así como el carácter potestativo del traslado previo de la reclamación. El texto contiene una discrepancia interna sobre la fecha de rectificación: los hechos probados indican el 10 de febrero de 2026 y un pasaje de los fundamentos, el 26 de febrero.
Referencias
- Texto íntegro: https://www.aepd.es/documento/ps-00627-2025.pdf
- Normativa aplicada: artículos 4.1, 4.2, 4.7, 5.1.d), 58.2, 83.1, 83.2 y 83.5.a) RGPD; artículos 63.2, 65.4, 71, 72.1.a) y 76.2 LOPDGDD; artículo 85 LPACAP; artículo 28.1 de la Ley 40/2015.
- Directrices 04/2022 del CEPD sobre el cálculo de las multas administrativas con arreglo al RGPD.