Un empleado de atención al cliente que gestiona dos conversaciones de chat a la vez asigna, por error, el correo electrónico de un cliente a la ficha de otro. La consecuencia: un cliente recibe un mensaje con el nombre, la deuda pendiente y los datos de facturación de una persona completamente ajena a él.
El incidente, aparentemente menor y reducido a un despiste puntual, ha terminado en una sanción de 500.000 euros confirmada recientemente por la Agencia Española de Protección de Datos (AEPD), tras desestimar el recurso de reposición presentado por la empresa sancionada.
Lo relevante del caso no es el importe de la multa, sino el razonamiento jurídico que la sostiene, porque pone de manifiesto una confusión muy extendida entre las organizaciones: la de creer que disponer de controles antifraude equivale a haber diseñado un tratamiento de datos seguro y respetuoso con la confidencialidad.
¿Cuál fue la causa?
La empresa sancionada, una comercializadora de energía eléctrica, atendía a sus clientes a través de un canal de chat que permitía a un mismo agente mantener abiertas al menos dos conversaciones simultáneamente. En el caso analizado, esa circunstancia provocó que se asociara la dirección de correo electrónico de un cliente a la cuenta de otro, con la consiguiente comunicación no autorizada de datos personales.
La empresa defendió que sí contaba con medidas dirigidas a evitar este tipo de errores: un sistema que emitía una alerta cuando un mismo dato de contacto aparecía repetido en el sistema. La AEPD, sin embargo, consideró que esas medidas, pensadas para detectar patrones de fraude o duplicidades masivas, no servían para evitar el riesgo concreto que se había materializado: que un error puntual en la introducción de un dato de contacto derivara en el envío de información personal a quien no era su destinatario.
La resolución de reposición, dictada en enero de 2026, confirma íntegramente esta interpretación (expediente EXP202316394).
El núcleo del caso: Una distinción que suele confundirse en la práctica
La diferencia entre el artículo 32 del RGPD (seguridad del tratamiento) y el artículo 25 (protección de datos desde el diseño y por defecto). El primero exige medidas adecuadas al riesgo de un tratamiento ya definido; el segundo obliga a incorporar, desde que se concibe un proceso, las garantías necesarias para minimizar riesgos y evitar que las inexactitudes en los datos lleguen a causar daño.
La empresa sostenía que la AEPD valoraba sus medidas con criterios de resultado, exigiendo un imposible "riesgo cero". La Agencia lo rechaza distinguiendo dos riesgos distintos: un control que detecta datos repetidos y que protege frente al fraude, pero no frente al error aislado de un agente que, pudiendo gestionar varios clientes a la vez, atribuye un dato a la persona equivocada. Esa pérdida de confidencialidad es, según la resolución, un riesgo habitual y previsible que debía haberse analizado específicamente al diseñar el canal.
De ahí una enseñanza general:
Tener medidas técnicas no acredita por sí solo el cumplimiento del artículo 25 si esas medidas no responden al riesgo realmente relevante.
Es frecuente presentar controles antifraude o de seguridad perimetral como prueba genérica de diligencia, pero la evaluación de riesgos que exige el artículo 25, debe identificar escenarios concretos de daño (aquí, la confidencialidad de datos económicos) y traducirse en medidas orientadas específicamente a evitarlos.
La resolución añade que el diseño del canal, accesible a toda la clientela y sin mecanismos que impidieran la concurrencia de conversaciones, genera un riesgo estructural y no un simple despiste. Por ello, la corrección inmediata del error o la buena fe posterior, pueden moderar la gravedad de la culpa, pero no eliminan la responsabilidad cuando el fallo procede del diseño del proceso.
El caso deja una guía práctica para cualquier organización con canales de atención o herramientas que permitan gestionar varias personas a la vez: no basta acreditar la existencia de controles técnicos, hay que comprobar que responden al riesgo real de daño para los interesados .Diseñar pensando en el fraude, no es lo mismo que diseñar pensando en la exactitud y la confidencialidad de los datos y confundir ambos objetivos, puede dejar expuestas a las organizaciones frente a incidentes que, aunque nazcan de un error individual, revelan una carencia estructural en la evaluación de riesgos del artículo 25 del RGPD.
Redactado por Carlota, a fecha 12 de octubre de 2026.