1/9 Expediente N.º: EXP202400675 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de dos denuncias presentadas por GEO ALTERNATIVA, S.L. (en adelante, PODO), con nº de registro: ***REFERENCIA.1 y ***REFERENCIA.2 de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Con fecha 15 de enero de 2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD)) en relación con los siguientes hechos: Según los hechos denunciados por la comercializadora de energía PODO, se podría estar produciendo un caso de phishing con exclientes. La empresa tuvo conocimiento de estos hechos por una comunicación de una antigua cliente que denunciaba estar recibiendo llamadas en nombre, supuestamente, del departamento legal PODO, a pesar de que había solicitado no recibir llamadas comerciales ni comunicaciones de su antigua empresa y de que, según indica PODO, su departamento legal nunca se pone en contacto directo con los clientes para cobrar penalizaciones. Según la parte denunciante, ninguno de los números de la lista pertenece a la empresa. Por otra parte, la parte denunciante ha puesto en conocimiento de esta Agencia que, tras haberse puesto en contacto con aquellos clientes que habían contratado con PODO, vía online, para confirmar el contrato (como medida de seguridad) y detectaron que los clientes no reconocían haber realizado este trámite. Se trataba, supuestamente, de alguien ajeno a la reclamante que estaba haciendo contratos a su nombre de forma fraudulenta y sin autorización del cliente, lo que podría constituir un tratamiento ilícito de datos. Documentación relevante aportada por la parte denunciante: .- Captura de pantalla del móvil de una excliente donde se observan llamadas perdidas desde números de teléfono que presuntamente están acosando a dicha excliente. .- Listado de números de teléfono adicionales desde los cuales presuntamente se está acosando a dicha excliente. .- Información sobre tres números de teléfono adicionales que presuntamente están acosando a varios clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: .-1-. Respecto a las denuncias y las evidencias aportadas. La parte denunciante envía dos escritos informando sobre el presunto phising hacia su empresa. En el escrito con fecha de registro 11 de octubre de 2023 y número ***REFERENCIA.1 se aporta información sobre las llamadas realizadas supuestamente en nombre del departamento legal de PODO a una excliente cuyo número de teléfono es ***TELÉFONO.1: .- Listado de números de teléfono desde los cuales presuntamente se está acosando a dicha excliente, sin especificar fecha ni hora de llamada: (…) .- Captura de pantalla del móvil de la excliente donde se observan llamadas recibidas y perdidas desde varios números de teléfono. Se especifica la hora de llamada, pero no el día: (…) La parte denunciante aclara que “Desde Podo nunca se llama a nuestros clientes para cobrar penalizaciones, pues estos clientes no tienen penalizaciones; además desde Podo no se llama desde el departamento legal.” En el escrito con fecha de registro 18 de octubre de 2023 y número ***REFERENCIA.2 se amplía información sobre estos hechos, indicando que “a raíz de llamar a los clientes que contratan con Podo vía online para confirmar el contrato (como medida de seguridad) hemos detectado que los clientes no reconocen haber realizado este trámite. Se trata de alguien ajeno a Podo está haciendo contratos en nombre de Podo de forma fraudulenta sin autorización del cliente […] El fraude según nos ha contado una persona afectada es el siguiente: Llaman en nombre de la compañía “Naturgy” diciendo que mejoran el precio y tienen todos los datos de los clientes. Aquí pensamos que introducen todos los datos del cliente en nuestra web que ya tienen previamente (pensamos que tiene un base datos) y le contratan con nosotros. Desde Podo se envía automáticamente un correo electrónico al cliente para informar de este cambio de compañía. Por último, para confirmar el contrato se llama al cliente y aquí es donde vemos que el cliente realmente no sabe nada y que todo es un fraude. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 Hemos llamado al número ***TELÉFONO.2 y salta un buzón que indica “Hola te comunicas con el departamento de asesoría eléctrica”. Este teléfono no es propiedad de Podo. Facilitamos otros números que nos han informado los clientes que reciben acoso: ***TELÉFONO.3 y ***TELÉFONO.4” -.Con fecha 24 de enero de 2024 se realiza una solicitud de información adicional a la parte denunciante solicitándole ampliación de información, en particular fecha y hora de las llamadas recibidas. Una vez superado el plazo establecido sin que la notificación sea recogida por parte de PODO, se reitera dicho requerimiento de información con fecha 5 de febrero de 2024. La parte denunciante responde a este requerimiento de información con fecha de registro 20 de febrero de 2024 y número REGAGE24e00013074214 sin proporcionar dicha información: “No podemos aportar el listado de llamadas con fecha y hora porque no tenemos dicho listado. Lo que nos ha pasado la exclienta de PODO es lo que se ha puesto a disposición del Organismo. […] No tenemos conocimiento de más llamadas de otros clientes pues ninguno se ha puesto en contacto con nosotros para comunicar esta actuación. No obstante, en caso de disponer de más casos lo pondríamos automáticamente en conocimiento de la Agencia” .-2-. Respecto a reclamaciones presentadas contra PODO Con fecha 23 de enero de 2024 se realiza una búsqueda en el sistema SIGRID de posibles reclamaciones presentadas contra PODO, encontrándose hasta 41 entradas Cotejando todos los números de teléfono aportados por PODO en sus denuncias respecto a la información de las reclamaciones existente en SIGRID, se observa que coinciden dos numeraciones en el AT/05805/2023, por lo que se toma información de este expediente como ampliación de la muestra de llamadas. .-3-. Respecto a evidencias de las llamadas efectuadas Se realiza una búsqueda en los Registros de Numeración y Operadores de Telecomunicaciones, en https://numeracionyoperadores.cnmc.es/portabilidad/movil y https://numeracionyoperadores.cnmc.es/portabilidad/fija. Se consigue información de las operadoras de los números de teléfono indicados tanto en la denuncia como en el expediente adicional elegido (tanto de teléfonos llamantes como de teléfonos llamados). Se graba el resultado de dichas consultas como objeto asociado en el sistema SIGRID. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 Se realizan requerimientos de información a todos los operadores obtenidos en la página de la CNMC: 1.- A los operadores de los números llamados se solicita confirmación de la recepción de las llamadas, así como su duración: ORANGE ESPAGNE, S.A.U. es el operador del número llamado ***TELÉFONO.1. DIGI SPAIN TELECOM S.A.U. es el operador del número llamado ***TELÉFONO.5. 2.- A los operadores de los números llamantes se solicita confirmación de la realización de las llamadas, así como su duración y la titularidad de las líneas de abonados de los números identificados como números llamantes. Con las respuestas aportadas por los distintos operadores se obtiene la siguiente tabla, en la que se muestra el teléfono llamado, el teléfono llamante, su operador y el titular de la línea (en el caso de haber sido recabado) y la confirmación (o
- no)de la realización de las llamadas por el operador emisor y de la recepción de las mismas por el operador receptor. Fecha Hora 03/10/2023 03/10/2023 03/10/2023 03/10/2023 03/10/2023 03/10/2023 03/10/2023 03/10/2023 03/10/2023 03/10/2023 03/10/2023 21:49 03/10/2023 20:42 03/10/2023 18:26 03/10/2023 17:56 03/10/2023 16:37 03/10/2023 Desconocido 16:13 C/ Jorge Juan, 6 28001 – Madrid Nº llamado ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 ***TELÉFO NO.1 Desconocid Nº llamante Operador (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE (…) AIRE Llamada Titular de la confirmada línea por emisor Llamada confirmada por receptor - NO NO - NO NO - NO NO - NO NO - NO NO - NO NO - NO NO - NO NO GEOLAR NO NO GEOLAR NO SI. 0 sg. GEOLAR NO NO GEOLAR NO NO GEOLAR NO NO GEOLAR NO NO GEOLAR NO NO GEOLAR GEOLAR NO NO www.aepd.es sedeaepd.gob.es 5/9 Desconocido Desconocido 27/09/2023 19:59:22 27/09/2023 22:10:14 28/09/2023 13:53:25 28/09/2023 12:53:57 28/09/2023 16:30:30 28/09/2023 19:30:24 28/09/2023 19:51:27 o Desconocid o Desconocid o ***TELÉFO NO.5 ***TELÉFO NO.5 ***TELÉFO NO.5 ***TELÉFO NO.5 ***TELÉFO NO.5 ***TELÉFO NO.5 ***TELÉFO NO.5 (…) XFERA A.A.A. COLT Activo TI SL AIRE GEOLAR SI 8 sg AIRE GEOLAR NO 0 sg AIRE GEOLAR SI 22 sg AIRE GEOLAR SI 102 sg AIRE GEOLAR SI 4 sg AIRE GEOLAR SI 197 sg AIRE GEOLAR NO 0 sg (…) (…) (…) (…) (…) (…) (…) (…) Donde: .- AIRE: AIRE NETWORKS DEL MEDITERRANEO, S.L. UNIPERSONAL .- XFERA : XFERA MÓVILES, S.A. UNIPERSONAL .- COLT: COLT TECHNOLOGY SERVICES, S.A. UNIPERSONAL .- GEOLAR: GEOLAR SOLUTIONS S.L. .- A.A.A. (Prepago) Nacionalidad: ***LOCALIDAD.1 .- Activo TI SL: Activo TI S.L. -.Por otra parte, con fecha 18 de septiembre de 2024 se realizan llamadas a los números de teléfono anteriores, obteniendo en la mayor parte de las comprobaciones la locución “El número marcado no existe” o “La persona a la que está llamando no está disponible”, salvo en la llamada a ***TELÉFONO.2 (A.A.A.) que no contestan y en la llamada a ***TELÉFONO.3 (Activo TI SL) que se escucha la locución “Su llamada es muy importante para nosotros. Rogamos se mantenga a la espera o nos vuelva a llamar en unos minutos. Sentimos no poder atender su llamada. Rogamos nos vuelva a llamar otro día.” Con fecha 17 de febrero de 2025 se realiza un requerimiento de información a GEOLAR solicitándole, entre otros puntos, acreditación documental del consentimiento otorgado por los usuarios de ambas líneas telefónicas llamadas para la recepción de estas, el motivo por el cual se realizaron estas llamadas y el origen de los datos. Una vez superado el plazo establecido sin que la notificación electrónica sea recogida por parte de GEOLAR, se reitera dicho requerimiento de información con fecha 4 de marzo de 2025, mediante notificación electrónica como reiteración postal. La notificación electrónica expira de nuevo sin ser recogida y la reiteración postal es devuelta al origen por destinatario desconocido, a pesar de haber sido enviado a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 dirección aportada por el operador y confirmar que es la dirección que tiene asociada en el servicio Monitoriza de AXESOR. .-4-. Información adicional aportada por la parte denunciante Con fecha 16 de septiembre de 2024 se realiza una nueva solicitud de información adicional a la parte denunciante solicitándole ampliación de información, en particular información detallada sobre el procedimiento de contratación, tanto telefónica como online y el listado de empresas subcontratadas para realizar las llamadas de captación de clientes y formalización de los contratos. La parte denunciante responde a este requerimiento de información con fecha de registro 8 de octubre de 2024 y números ***REFERENCIA.3 y ***REFERENCIA.4 facilitando la siguiente información y manifestaciones: 1.- PODO aporta todas las comunicaciones realizadas desde el 23 de septiembre de 2023 hasta el 11 de octubre de 2024 con su excliente motivo de la denuncia, donde se constata la queja de su excliente y la respuesta por parte de PODO, en línea con la denuncia presentada. 2.- PODO facilita información detallada sobre el procedimiento de contratación, tanto telefónica (la contratación telefónica se hace mediante un canal de ventas) como online (en la web www.mipodo.com). 3.- Respecto al listado de empresas subcontratadas para realizar las llamadas de captación de clientes y formalización de los contratos, PODO manifiesta que: “tiene subcontratada a distintas empresas para la activación de CUPS y para la obtención de clientes. Esto se realiza mediante publicidad digital y mediante canales de venta. Alguna de las empresas con las que se trabajó en la época de la denuncia ante la AEPD fueron JJR CASAS S.L. y ENERGIA FR CÓRDOBA S.L. empresas con las que actualmente no hay actividad puesto que surgieron, disconformidades comerciales y se está en litigios en la actualidad. PODO también trabaja con la empresa PROFIELECTRA S.L. que se configura como canal de ventas que realiza las labores de activación de clientes para PODO.” Conforme a lo anterior, no existen evidencias de que GEOLAR sea empresa subcontratada directamente por PODO. Tampoco se ha podido constatar la subcontratación (o
- no)de GEOLAR a través de los canales de venta contratados a su vez por PODO. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Presunción de inocencia En el presente caso, se denuncia por la comercializadora de energía PODO que una de sus exclientes está recibiendo llamadas en las que se suplanta la identidad de la empresa, con el objetivo de cobrar una penalización que, en realidad, la empresa no cobra a sus exclientes. Concretamente, la parte denunciante aclara que “Desde Podo nunca se llama a nuestros clientes para cobrar penalizaciones, pues estos clientes no tienen penalizaciones; además desde Podo no se llama desde el departamento legal.” A la vista de las actuaciones realizadas, se ha podido constatar que algunas de las llamadas denunciadas fueron emitidas desde líneas telefónicas cuya titularidad corresponde a GEOLAR SOLUTIONS, S.L. No obstante, esta circunstancia, por sí sola, no permite establecer que dichas llamadas hayan dado lugar a la formalización efectiva de contratos en nombre de PODO ni que hayan supuesto un tratamiento ilícito de datos personales imputable a la entidad investigada. De hecho, a lo largo de la investigación no se ha podido determinar el contenido concreto de las llamadas ni obtener prueba directa sobre el uso de datos personales de antiguos clientes de PODO en dichas comunicaciones, ni sobre su empleo con fines contractuales sin consentimiento. La investigación no ha podido confirmar el contenido de las llamadas ni vincularlas de forma directa con un uso no autorizado de datos personales. Además, no se ha constatado que GEOLAR fuera subcontratada directamente por PODO ni que formara parte de la cadena de comercialización autorizada por esta. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990 (STC) considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: “
- a)(…)
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997, que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar a GEOLAR una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En este caso, como se ha expuesto, no existen esos indicios racionales que permitirían imputar a GEOLAR la comisión de las infracciones de la normativa de protección de datos personales denunciadas, por lo que, no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a GEO ALTERNATIVA, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es