Imagen generada con IA.
La Agencia Española de Protección de Datos (AEPD) había impuesto a Repsol dos sanciones distintas, por un total de 1.380.000 euros, a raíz de una reclamación en la que los datos de una clienta se mezclaron con los de otra persona que, por casualidad, tenía un nombre y apellidos casi idénticos. Repsol recurrió, y la Agencia ha terminado perdonando una de las dos multas y rebajando la otra a la mitad, hasta dejar la sanción final en 600.000 euros. El caso es una lección especialmente útil para cualquier negocio que gestione bases de datos de clientes con volúmenes altos: el principio de exactitud no es un trámite menor, es una obligación con consecuencias económicas muy reales.
El caso: los datos de un cliente se mezclan con los de otra persona
Todo arrancó de la reclamación de una usuaria que descubrió que, en Pontevedra, existía otro punto de suministro de luz y gas asociado a su nombre y a su DNI, sin que ella tuviera absolutamente nada que ver con esos contratos. Según explicó la propia Repsol, lo ocurrido fue que otra clienta, titular real de esos suministros en Pontevedra, compartía con la reclamante un nombre y dos apellidos casi idénticos, solo que en otro orden. Ese parecido bastó para que, en algún proceso interno de la compañía, los contratos de una persona terminaran asociados a la ficha de cliente de otra completamente distinta, pese a que ni el DNI ni la cuenta bancaria coincidían.
La consecuencia no fue solo un error administrativo invisible: la clienta afectada recibió facturas de suministros que nunca había contratado. Repsol corrigió la situación con facturas rectificativas y el asunto quedó resuelto a nivel interno ya en 2022. Pero la reclamación ante la AEPD siguió su curso, y la Agencia resolvió en 2025 imponer dos multas: 130.000 euros por vulnerar el principio de exactitud de los datos (artículo 5.1.d del RGPD) y 1.250.000 euros por una infracción de las medidas de seguridad del tratamiento (artículo 32 del RGPD).
Por qué la exactitud de los datos (art. 5.1.d RGPD) es tan importante como la seguridad
Es habitual pensar en la protección de datos casi exclusivamente en términos de ciberseguridad: contraseñas, cifrado, accesos no autorizados. Este caso recuerda que el RGPD protege también la calidad de la información que una empresa conserva sobre sus clientes. El artículo 5.1.d) obliga a que los datos personales sean exactos y, si es necesario, se actualicen; y obliga también a adoptar las medidas razonables para que los datos inexactos se supriman o rectifiquen sin demora.
Cuando un sistema de gestión de clientes vincula contratos, facturas o historiales a la persona equivocada por una simple coincidencia de nombre, no se trata de un fallo estético: es, literalmente, tratar datos personales inexactos, con efectos económicos y de reputación para el afectado. La AEPD remarcó, de hecho, que la propia Repsol reaccionó razonablemente bien una vez detectado el error, pero eso no elimina la infracción ya cometida mientras los datos estuvieron mal vinculados.
Lo interesante de la resolución es que la Agencia terminó absorbiendo la infracción de exactitud dentro de la de seguridad: consideró que el error de identificación se produjo, precisamente, porque fallaron las medidas técnicas y organizativas que deberían haber evitado esa confusión. En la práctica, exactitud y seguridad no son dos compartimentos estancos: una mala configuración de los controles de identificación de clientes es, a la vez, un problema de seguridad del tratamiento.
El recurso de Repsol ante la propia AEPD y la rebaja de la sanción a la mitad
Repsol no se quedó de brazos cruzados ante las dos multas. Interpuso un recurso de reposición alegando, entre otros argumentos, que el procedimiento había caducado y la infracción había prescrito, que no existía vulneración real del principio de exactitud porque corrigió el error en cuanto lo detectó, y que las multas eran desproporcionadas al tratarse de «un error involuntario humano».
La AEPD rechazó la caducidad y la prescripción: consideró que, al tratarse de una infracción continuada —las facturas y comunicaciones erróneas se prolongaron desde enero hasta julio de 2022—, el plazo para prescribir no empezaba a contar hasta que el fallo quedó corregido, no desde que se produjo. Por tanto, cuando se notificó el inicio del procedimiento en mayo de 2024, el plazo de dos años para infracciones graves aún no había transcurrido.
Donde sí dio parcialmente la razón a la energética fue en la duplicidad de sanciones: al entender que el fallo de exactitud quedaba absorbido por el de seguridad, archivó la multa de 130.000 euros. Y, como consecuencia de esa estimación parcial, redujo la segunda multa —la de 1.250.000 euros, por el artículo 32— a 600.000 euros, aunque sin anular la infracción de fondo ni dar la razón a Repsol en el resto de sus alegaciones. El resultado final: de 1.380.000 euros a 600.000 euros, una rebaja superior al 50%, pero manteniendo intacto el reproche de que los controles de identificación de clientes fallaron.
Cómo evitar errores de identificación de clientes en grandes bases de datos
Cuanto mayor es el volumen de clientes que gestiona una empresa, mayor es también la probabilidad estadística de que dos personas compartan nombres y apellidos parecidos. El caso de Repsol es extrapolable a cualquier negocio con una cartera amplia: clínicas con miles de pacientes, ecommerce con bases de datos de compradores, aseguradoras, gestorías. Algunas medidas que reducen drásticamente este riesgo:
- Usar siempre un identificador único como clave primaria. El DNI o NIF, nunca el nombre completo, debe ser el campo que determina si dos registros corresponden o no a la misma persona.
- Validar antes de fusionar o vincular fichas. Cuando un sistema detecta coincidencias de nombre, debe exigir una segunda confirmación (DNI, cuenta bancaria, dirección) antes de asociar contratos o historiales.
- Auditar periódicamente los cruces de datos. Revisar de forma recurrente si existen clientes con nombres muy similares y comprobar que no se han mezclado registros por error.
- Formar al personal que gestiona altas y modificaciones de clientes para que no asuma que un nombre coincidente implica necesariamente la misma persona.
- Documentar la corrección cuando se detecta un error, igual que hizo Repsol: tener constancia de cuándo se corrigió y cómo, porque esa diligencia posterior puede atenuar —aunque no eliminar— la responsabilidad.
El caso deja un mensaje claro para cualquier organización que trate datos de clientes a gran escala: la exactitud de la identificación no es un detalle técnico menor, sino un principio del RGPD con el mismo peso sancionador que la seguridad informática.
¿Necesitas revisar los controles de identificación de clientes en tu empresa?
En Dataibérica ayudamos a empresas y profesionales a revisar sus procesos de gestión de datos de clientes, detectar puntos débiles en la validación de identidad y diseñar protocolos que minimicen el riesgo de errores como el que ha costado a Repsol 600.000 euros. Contacta con nosotros y lo analizamos juntos.
