Política de protección de datos personales

Política de protección de datos personales

20 de junio de 2023

El Consejo de Administración de IBERDROLA, S.A. (la "Sociedad") tiene atribuida la competencia de diseñar, evaluar y revisar con carácter permanente el Sistema de gobernanza y sostenibilidad y, específicamente, de aprobar y actualizar las políticas corporativas, las cuales contienen las pautas que rigen la actuación de la Sociedad y de las sociedades integradas en el grupo cuya entidad dominante es, en el sentido establecido por la ley, la Sociedad (el "Grupo").

En el ejercicio de estas responsabilidades, y en el marco de la ley y de los Estatutos Sociales, de las directrices de actuación en las que se concreta el Propósito y Valores del Grupo Iberdrola, así como de su estrategia de desarrollo sostenible, el Consejo de Administración aprueba esta Política de protección de datos personales (la "Política").

1. Finalidad

La finalidad de esta Política es establecer los principios y pautas comunes y generales de actuación que deben regir dentro del perímetro del Grupo en materia de protección de datos personales, garantizando, en todo caso, el cumplimiento de la legislación aplicable.

En particular, la Política garantiza el derecho a la protección de los datos de todas las personas físicas que se relacionan con las sociedades pertenecientes al Grupo, asegurando el respeto del derecho al honor y a la intimidad en el tratamiento de las diferentes tipologías de datos personales, procedentes de diferentes fuentes y con fines diversos en función de su actividad empresarial, todo ello en cumplimiento de la Política de respeto de los derechos humanos de la Sociedad.

2. Ámbito de aplicación

Esta Política es de aplicación, en todas las sociedades que integran el Grupo, así como en las sociedades participadas no integradas en el Grupo sobre las que la Sociedad tiene un control efectivo, dentro de los límites legalmente establecidos, así como a todas las personas que se relacionen con las entidades pertenecientes al Grupo.

Sin perjuicio de lo dispuesto en el párrafo anterior, las sociedades subholding cotizadas y sus filiales, al amparo de su propio marco especial de autonomía reforzada, podrán establecer una política equivalente, que deberá ser conforme con los principios recogidos en esta Política y en las demás políticas medioambientales, sociales y de gobierno corporativo y cumplimiento normativo del Sistema de gobernanza y sostenibilidad.

En aquellas sociedades participadas en las que esta Política no sea de aplicación, la Sociedad promoverá, a través de sus representantes en sus órganos de administración, el alineamiento de sus políticas propias con las de la Sociedad.

Además, esta Política es también aplicable, en lo que proceda, a las joint ventures, uniones temporales de empresas y otras asociaciones equivalentes, cuando la Sociedad asuma su gestión.

3. Principios generales relativos al tratamiento de datos personales

Las sociedades del Grupo cumplirán escrupulosamente con la legislación de su jurisdicción en materia de protección de datos, la que resulte aplicable en función del tratamiento de datos personales que lleven a cabo y la que se determine conforme a normas o acuerdos vinculantes adoptados dentro del perímetro del Grupo.

Asimismo, las sociedades del Grupo promoverán que los principios recogidos en esta Política sean tenidos en cuenta: (i) en el diseño e implementación de todos los procedimientos que impliquen el tratamiento de datos personales; (ii) en los productos y servicios ofrecidos por estas; (iii) en todos los contratos y obligaciones que formalicen con personas físicas; y (iv) en la implantación de cuantos sistemas y plataformas permitan el acceso por parte de los profesionales de las sociedades del Grupo o de terceros a datos personales y a la recogida o tratamiento de dichos datos.

4. Principios básicos relativos al tratamiento de datos personales

Los principios relativos al tratamiento de los datos personales sobre los que se fundamenta esta Política son los que se detallan a continuación:

a) Principios de legitimidad, licitud y lealtad en el tratamiento de datos personales. 

El tratamiento de datos personales será legítimo, lícito y leal, conforme a la legislación aplicable. En este sentido, los datos personales deberán ser recogidos para uno o varios fines específicos y legítimos conforme a la legislación aplicable.

En los casos en los que resulte obligatorio, conforme a la legislación aplicable, deberá obtenerse el consentimiento de los interesados antes de recabar sus datos.

Asimismo, cuando lo exija la ley, los fines del tratamiento de datos personales serán explícitos y determinados en el momento de su recogida.

En particular, las sociedades del Grupo no recabarán ni tratarán datos personales relativos al origen étnico o racial, a la ideología política, a las creencias, a las convicciones religiosas o filosóficas, a la vida u orientación sexual, a la afiliación sindical, a la salud, ni datos genéticos o biométricos dirigidos a identificar de manera unívoca a una persona, salvo que la recogida de los referidos datos sea necesaria, legítima y requerida o permitida por la legislación aplicable, en cuyo caso serán recabados y tratados de acuerdo con lo establecido en aquella.

b) Principio de minimización.

Solo serán objeto de tratamiento aquellos datos personales que resulten estrictamente necesarios para la finalidad para la que se recojan o traten y adecuados a tal finalidad.

c) Principio de exactitud.

Los datos personales deberán ser exactos y estar actualizados. En caso contrario, deberán suprimirse o rectificarse.

d) Principio de limitación del plazo de conservación.

Los datos personales no se conservarán más allá del plazo necesario para conseguir el fin para el cual se tratan, salvo en los supuestos previstos legalmente.

e) Principios de integridad y confidencialidad.

En el tratamiento de los datos personales se deberá garantizar, mediante medidas técnicas u organizativas, una seguridad adecuada que los proteja del tratamiento no autorizado o ilícito y que evite su pérdida, su destrucción y que sufran daños accidentales.

Los datos personales recabados y tratados por las sociedades del Grupo deberán ser conservados con la máxima confidencialidad y secreto, no pudiendo ser utilizados para otros fines distintos de los que justificaron y permitieron su recogida y sin que puedan ser comunicados o cedidos a terceros fuera de los casos permitidos por la legislación aplicable.

f) Principio de responsabilidad proactiva (rendición de cuentas).

Las sociedades del Grupo serán responsables de cumplir con los principios estipulados en esta Política y los exigidos en la legislación aplicable y deberán ser capaces de demostrarlo, cuando así lo exija la legislación aplicable.

Las sociedades del Grupo deberán hacer una evaluación del riesgo de los tratamientos que realicen, con el fin de determinar las medidas a aplicar para garantizar que los datos personales se tratan conforme a las exigencias legales. En los casos en los que la ley lo requiera, se evaluarán de forma previa los riesgos que para la protección de datos personales puedan comportar nuevos productos, servicios o sistemas de información y se adoptarán las medidas necesarias para eliminarlos o mitigarlos.

Las sociedades del Grupo deberán llevar un registro de actividades en el que se describan los tratamientos de datos personales que lleven a cabo en el marco de sus actividades.

En el caso de que se produzca un incidente que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizado a dichos datos, deberán seguirse los protocolos internos establecidos a tal efecto por la Dirección de Seguridad Corporativa de la Sociedad (o por la dirección que, en cada momento, asuma sus funciones) y por los que establezca la legislación aplicable. Dichos incidentes deberán documentarse y se adoptarán medidas para solventar y paliar los posibles efectos negativos para los interesados.  

En los casos previstos en la ley, se designará a delegados de protección de datos con el fin de garantizar el cumplimiento de la normativa de protección de datos en las sociedades del Grupo.

g) Principios de transparencia e información.

El tratamiento de datos personales será transparente en relación con el interesado, facilitándole la información sobre el tratamiento de sus datos de forma comprensible y accesible, cuando así lo exija la ley aplicable.

A fin de garantizar un tratamiento leal y transparente, la sociedad del Grupo responsable del tratamiento deberá informar a los afectados o interesados cuyos datos se pretende recabar de las circunstancias relativas al tratamiento conforme a la legislación aplicable.

h) Adquisición u obtención de datos personales.

Queda prohibida la adquisición u obtención de datos personales de fuentes ilegítimas, de fuentes que no garanticen suficientemente su legítima procedencia o de fuentes cuyos datos hayan sido recabados o cedidos contraviniendo la ley.

i) Contratación de encargados del tratamiento.

Con carácter previo a la contratación de cualquier prestador de servicios que acceda a datos personales que sean responsabilidad de las sociedades del Grupo, así como durante la vigencia de la relación contractual, estas deberán adoptar las medidas necesarias para garantizar y, cuando sea legalmente exigible, demostrar, que el tratamiento de datos por parte del encargado se lleva a cabo conforme a la normativa aplicable.

j) Transferencias internacionales de datos.

Todo tratamiento de datos personales sujeto a la normativa de la Unión Europea que implique una transferencia de datos fuera del Espacio Económico Europeo deberá llevarse a cabo con estricto cumplimiento de los requisitos establecidos en la ley aplicable en la jurisdicción de origen. Asimismo, las sociedades del Grupo ubicadas fuera de la Unión Europea deberán cumplir con los requisitos establecidos para las transferencias internacionales de datos personales que sean, en su caso, de aplicación en su jurisdicción.

k) Derechos de los interesados.

Las sociedades del Grupo deberán permitir que los interesados puedan ejercitar los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición que sean de aplicación en cada jurisdicción, estableciendo, a tal efecto, los procedimientos internos que resulten necesarios para satisfacer, al menos, los requisitos legales aplicables en cada caso.

5. Implementación

La Dirección de Seguridad Corporativa, conjuntamente con los Servicios Jurídicos de la Sociedad (o las direcciones que, en cada momento, asuman sus funciones) desarrollarán y mantendrán actualizada, conforme a lo dispuesto en esta Política, la normativa interna de gestión global de la protección de datos a nivel de Grupo, que se implementará por la citada dirección y será de obligado cumplimiento para todos los miembros del equipo directivo y profesionales de la Sociedad.

Igualmente, la Dirección de Seguridad Corporativa y la Dirección de Servicios Jurídicos de cada país (o las direcciones que, en cada momento, asuman sus funciones) establecerán procedimientos internos de carácter local que desarrollen los principios recogidos en esta Política y que concreten su contenido en función de la ley aplicable en sus respectivas jurisdicciones.

La Dirección de Servicios Jurídicos de cada país (o la dirección que, en cada momento, asuma sus funciones) será responsable de reportar a la Dirección de Seguridad Corporativa de la Sociedad los desarrollos y novedades normativas que se produzcan en el ámbito de la protección de datos personales.

La Dirección de Sistemas de la Sociedad (o la dirección que, en cada momento, asuma sus funciones) será la encargada de implementar en los sistemas de información de las sociedades del Grupo, los controles y desarrollos informáticos que sean adecuados para garantizar el cumplimiento de la normativa interna de gestión global de la protección de datos y velará por que dichos desarrollos estén actualizados en cada momento.

Adicionalmente, los negocios y direcciones corporativas deberán: (i) designar, sujeto a lo que establezca la legislación aplicable en cada caso, a las personas responsables de los datos, que actuarán coordinadamente y bajo la supervisión de la Dirección de Seguridad Corporativa de la Sociedad Sociedad (o de la dirección que, en cada momento, asuma sus funciones); y (ii) coordinar con la Dirección de Seguridad Corporativa (o con la dirección que, en cada momento, asuma sus funciones) cualquier actividad que implique o conlleve la gestión de datos personales, respetando en todo caso el marco especial de autonomía reforzada de las sociedades subholding cotizadas.

Finalmente, el Comité de Ciberseguridad, constituido conforme a lo dispuesto en la Política de riesgos de ciberseguridad, hará seguimiento del estado general de la protección de datos personales en las sociedades del Grupo y velará por la adecuada coordinación, a nivel de Grupo, de las prácticas y la gestión de los riesgos en el ámbito de la protección de los datos personales, asistiendo a la Dirección de Seguridad Corporativa (o a la dirección que, en cada momento, asuma sus funciones) en la aprobación de normativa en materia de ciberseguridad y protección de datos.

6. Control y evaluación

a) Control

Corresponde a la Dirección de Seguridad Corporativa (o a la dirección que, en cada momento, asuma sus funciones) supervisar el cumplimiento de lo dispuesto en esta Política por parte de la Sociedad y las demás entidades del Grupo. Lo anterior se entenderá, en todo caso, sin perjuicio de las responsabilidades que correspondan a otros órganos y direcciones de la Sociedad y, en su caso, a los órganos de administración y de dirección de las sociedades del Grupo.

Para verificar el cumplimiento de esta Política se realizarán auditorías periódicas con auditores internos o externos.

b) Evaluación

La Dirección de Seguridad Corporativa (o a la dirección que, en cada momento, asuma sus funciones) evaluará, al menos una vez al año, el cumplimiento y la eficacia de esta Política e informará del resultado a la Dirección de Finanzas, Control y Desarrollo Corporativo, o a la dirección que asuma dichas funciones en cada momento.

Esta Política fue aprobada inicialmente por el Consejo de Administración el 21 de julio de 2015 y modificada por última vez el 20 de junio de 2023.