AI-00040-2024

1/11  Expediente N.º: EXP202401199 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21/11/2023 se presentó denuncia ante la Agencia Española de Protección de Datos contra OC ELECTRICIDAD Y GAS, S.L. con NIF B86468659 (en adelante, OC EG). Los motivos en que basa la denuncia son los siguientes: Según el denunciante, la entidad OC ELECTRICIDAD Y GAS, S.L. ha sido su encargado de tratamiento, negándose a suprimir los datos personales objeto de tratamiento una vez se produjo la finalización del contrato de encargo y tras solicitud expresa y reiterada del denunciante, incumpliendo así la cláusula de devolución o destrucción explicitada en el acuerdo firmado por las partes. A juicio del denunciante, este acto constituye una transgresión directa de las obligaciones que le incumben en su calidad de encargado del tratamiento, llevándose a cabo un tratamiento de los datos sin disponer de una base legítima válida para su tratamiento y conservación, y sin cumplir con el principio de minimización, ya que mantiene todos los datos derivados de dicha relación comercial. Se señala, asimismo, en la denuncia que la entidad denunciada ha realizado acciones de fidelización y captación de sus clientes, teniendo acceso a datos personales de los que la denunciante es responsable de tratamiento y que tiene conocimiento de que actualmente la denunciada presta los mismos servicios a otra empresa (***EMPRESA.1) y que los datos tratados en el nuevo contrato provienen de la relación contractual con la denunciante, haciendo uso de estos sin suprimirlos, pese a sus reiteradas solicitudes. Junto a la denuncia se aporta la siguiente documentación: - - Documento N1: ACUERDO DE COLABORACIÓN ENTRE ***EMPRESA.2 – ENERG-MASTER 2012, S.L. REGULADOR DE LA ACTIVIDAD DE VENTA, de 1 de enero de 2021. ENERG-MASTER 2012 es la anterior denominación social de OC ELECTRICIDAD Y GAS S.L. Documentos N2 a N4: Burofaxes a ENERG MASTER: o Burofax de 15 de febrero de 2023 dirigido por ***EMPRESA.2 a ENERG-MASTER 2012, S.L. por el que se requiere a este último para que proceda a la destrucción de toda la información y documentación de las que disponen relativa a clientes de ***EMPRESA.3 y a la remisión del correspondiente certificado acreditativo de su destrucción. o Burofax de 2 de marzo de 2023 dirigido por ***EMPRESA.2 a ENERGMASTER 2012, S.L. por el que se requiere el certificado de borrado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/11 - datos incluido en el apartado I.C de la cláusula SEGUNDA del “Anexo de Políticas y Criterio de Obligado Cumplimiento” del Contrato y que según la denunciante debió haberse remitido en el momento de la terminación del servicio objeto del contrato, lo que se produjo con fecha 15 de febrero de 2023. Se adjunta el modelo de Certificado de Borrado de Datos. o Burofax de 24 de marzo de 2023 dirigido por ***EMPRESA.2 a ENERGMASTER 2012, S.L. por el que se vuelve a requerir a este último para que proceda a remitir a ***EMPRESA.3, con carácter inmediato, una copia de toda la información y documentación de la que disponen relativa a clientes de ***EMPRESA.3, así como a su posterior destrucción y remisión del correspondiente certificado. Documento N5 de Fotografías locales EnergMaster: Fotografías de los locales titularidad de E-MASTER bajo el nuevo rótulo de la otra empresa (***EMPRESA.1). SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 23 de enero de 2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 26/01/2024 se realizó requerimiento de información a la parte denunciada y se recibe escrito de respuesta el 9/2/2024, en el que el representante de OC EG (anteriormente, ENERG- MASTER 2012, S.L.) manifiesta lo siguiente: “Primera.- Circunstancias de los hechos comunicados por la Agencia y el uso que de la misma parece pretender ***EMPRESA.5 (…) En julio de 2023 OC ELECTRICIDAD Y GAS S.L. interpuso demanda de procedimiento ordinario contra las entidades ***EMPRESA.2 e ***EMPRESA.4 en reclamación de ***CANTIDAD.1, en concepto de retribución de COMISIONES NO PAGADAS e INDEMNIZACIÓN POR CLIENTELA derivada de contratos de agencia. Lo primero a destacar es que mi mandante ha estado prestando servicios para ***EMPRESA.5 desde el año 2012 (…). Esta relación ha estado sometida, formalmente, a diversos documentos de naturaleza contractual que se han ido sucediendo con una vigencia anual que expiraba sin posibilidad de prórroga C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11 cada 31 de diciembre del año respectivo, de forma que cada año había que firmar un nuevo contrato con vigencia desde el 1 de enero hasta el 31 de diciembre. A finales del año 2022 OC ELECTRICIDAD Y GAS S.L. comunicó su disconformidad con las nuevas condiciones anunciadas por ***EMPRESA.5 para el ejercicio 2023, lo que finalmente dio lugar a que el contrato expirara y no se llegase a firmar nuevo acuerdo para dicho ejercicio. En definitiva, el último de los contratos aplicado por las partes fue el de 2022 (…). Al margen de las discrepancias existentes entre las partes sobre si el último de los contratos vigentes fue el de 2021 o 2022, cuestión ésta que habrá de ser resuelta por los Juzgados y Tribunales competentes, y en lo que, dicho sea en estrictos términos de defensa, entendemos la Agencia no debe pronunciarse por encontrarse sub iudice la cuestión, lo cierto es que la relación contractual entre las partes finalizó por expiración del plazo contractual desencadenando con ello una serie de consecuencias que, actualmente, se encuentran sometidas al Juzgado ***JUZGADO.1. (…) Es importante contextualizar la denuncia de ***EMPRESA.5, y también las alegaciones de esta parte, en los hechos acaecidos durante el año 2023 que han dado lugar a la interposición de demanda de procedimiento ordinario 495/2023 admitida mediante Decreto de 12 de septiembre de 2023 (…) en la que se ejercitan por OC ELECTRICIDAD dos acciones reclamando:   El pago de la indemnización por clientela derivada de la finalización del contrato de agencia, y El pago de comisiones devengadas a favor del agente y no atendidas por el empresario, ***EMPRESA.5. Pues bien, es en este contexto, en el que no ha habido más remedio para mi representada que someter a los Juzgados y Tribunales la decisión acerca de la procedencia o no del pago de comisiones y de la indemnización por clientela, en el que ***EMPRESA.5, ya desde inicio del año 2023, viene generando una serie de comunicaciones tendentes a preparar la denuncia que, presumiblemente, ha interpuesto ante esa Agencia.” (…) Segunda.- Bloqueo de datos al amparo del artículo 28.3 G) Reglamento UE/2016/679 (…) es imprescindible para la tramitación del procedimiento judicial disponer de los datos que acreditan los contratos aportados por el agente durante la relación contractual, para poder cuantificar el importe de las comisiones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11 devengadas y no pagadas, así como el incremento de clientela generado por el agente a favor del empresario a lo largo de los años. Si el agente no acredita esos extremos, las pretensiones no prosperarán. Es en este concreto supuesto en el que OC ELECTRICIDAD Y GAS S.L. en ejercicio de los derechos reconocidos tanto por la normativa aplicable como por el propio contrato suscrito en su día con ***EMPRESA.5, ha procedido a bloquear los datos una vez aportados como prueba documental a los autos del procedimiento civil. Esta postura ha sido trasladada a ***EMPRESA.5 en las numerosas comunicaciones cruzadas entre las partes (…), en las que ***EMPRESA.5 exigía la destrucción indiscriminada de todos los datos y, por nuestra parte, sosteníamos la necesidad del bloqueo, eso sí garantizando que su utilización se limitaría al estricto ejercicio ante el Juzgado de Primera Instancia del derecho de defensa de los legítimos intereses de OC. (…) la finalidad de la normativa reguladora de la protección de datos no es otra que la de salvaguardar y tutelar los derechos y libertades de los individuos, en consonancia y equilibrio con la libre circulación de datos y su tratamiento por los agentes económicos. Desde esta perspectiva, y siendo consciente OC ELECTRICIDAD Y GAS S.L. de la necesaria seguridad jurídica tanto propia, de cara al procedimiento de reclamación contra ***EMPRESA.5 evitando sufrir indefensión, como la de esa eléctrica a tener certeza de que los datos de sus clientes no son objeto de tratamiento ni transmisión al margen de la ley, mi representada procedió a consignar ante notario un dispositivo electrónico de almacenamiento donde grabó todos los datos, procediendo inmediatamente después a destruir el resto de copias. Tal y como consta en el Acta de requerimiento levantada por el Sr. Notario C.C.C., OC ELECTRICIDAD Y GAS S.L., cumpliendo con los más altos estándares de responsabilidad y seguridad, entregó copia de los datos al Sr. Notario, procediendo a destruir todas las demás copias de las que disponía tanto en papel como en dispositivos electrónicos, tal y como consta en la escritura pública que acompañamos (…).” (…) Tercera.- Sobre la destrucción y/o devolución de los datos tratados por OC ELECTRICIDAD Y GAS SL en calidad de encargado del tratamiento del que es responsable ***EMPRESA.5 (…) ***EMPRESA.5 no ha definido, como exigen las previsiones contractuales, la concreta documentación que requiere sea entregada o destruida, y, de otro lado, es preciso tener en cuenta el derecho de conservación y bloqueo de los datos que necesita mi representada para defender sus legítimos derechos en el seno del procedimiento judicial abierto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 (…) el bloqueo y conservación de los datos vienen amparados por la normativa aplicable y por el propio contrato, y así se le comunicó a ***EMPRESA.5 en varias ocasiones. (…), la totalidad de los datos han sido grabados en un dispositivo y entregado a Notario para ser custodiados en sobre cerrado durante un plazo de cinco años o, hasta la finalización mediante sentencia firme del procedimiento o procedimientos judiciales que definitivamente diriman las diferencias surgidas entre ***EMPRESA.5 y OC ELECTRICIDAD Y GAS a la finalización del contrato de agencia, habiendo procedido inmediatamente después a destruir el resto de copias. Por tanto, los datos personales se han destruido salvo en lo que concierne al depósito notarial mencionado, vinculado con el procedimiento judicial que afecta a las partes. Tercera.- Sobre el origen y la base jurídica de los tratamientos efectuados con fecha posterior al 15 de febrero de 2023 El requerimiento que se contesta se supone que es sobre “información relativa a ***EMPRESA.5”. Lo primero que hay que decir es que los tratamientos llevados a cabo por esta empresa, tanto en calidad de responsable como en calidad de encargado, con fecha posterior al 15 de febrero de 2023, son cuestiones e información que no guardan relación alguna con ***EMPRESA.5, por lo que entendemos deberían quedar fuera del requerimiento efectuado por la Agencia. No obstante, con el ánimo que colaborar y cumplir en toda su extensión la comunicación recibida, se procede a informar sobre los extremos requeridos. (…), esta empresa actúa en el mercado como encargado del tratamiento de otros responsables. En esos casos, el tratamiento se efectúa conforme a las instrucciones que al efecto reciba del responsable del tratamiento, de forma que el origen y la base del tratamiento serán los que en cada caso defina su responsable (…).” Se acompaña la siguiente documentación: - documento nº 1: Decreto dictado por el Juzgado ***JUZGADO.1, de fecha 12 de septiembre de 2023, por el que se admite a trámite la demanda de procedimiento ordinario 495/2023 interpuesta por la representación procesal de OC ELECTRICIDADM Y GAS, S.L. contra ***EMPRESA.2 e ***EMPRESA.4 - documento nº 2: Acta de requerimiento y depósito levantada por el Sr. Notario C.C.C., el día 3 de noviembre de 2023, mediante la cual OC ELECTRICIDAD Y GAS S.L. entrega en depósito un disco duro portátil como única copia de la información y documentos relativos a la relación contractual mantenida con las empresas del grupo ***EMPRESA.5 que contiene datos de carácter personal. En el Acta se hacen constar los siguientes aspectos de interés: “(…) Como consecuencia de las discrepancias surgidas entre las partes, que han obligado a OC ELECTRICIDAD Y GAS S.L. a formular demanda en defensa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11 sus legítimos intereses, esta entidad se ha visto en la necesidad de bloquear y conservar información y documentación en la que constan datos que puedan tener la consideración de “datos de carácter personal” para el adecuado ejercicio de su derecho de defensa. Para ello, ha grabado en una única copia en soporte digital la totalidad de la información y documentos relativos a la relación contractual con las empresas del grupo ***EMPRESA.5 que contienen datos de carácter personal, habiendo procedido a destruir todas las demás copias de las que disponía tanto en soporte digital como en papel. Quedan a salvo de esa destrucción los documentos que se han adjuntado al escrito de demanda que serán destruidos una vez finalice el procedimiento mediante sentencia firme. (…) Siendo la única finalidad de conservación de los datos el ejercicio del derecho fundamental de defensa y para garantizar de una manera plena los derechos de ***EMPRESA.2 e ***EMPRESA.4 en su condición de Responsable del Tratamiento y/o propietario de los documentos donde se contienen dichos datos, OC ELECTRICIDAD Y GAS S.L, el compareciente, en la representación que ostenta, me requiere para que RECIBA EN DEPÓSITO un soporte digital (disco duro cuyas características se identificarán en la correspondiente diligencia) con toda la documentación a que antes se ha hecho referencia, incorporando a este instrumento, como anexo, una relación genérica de dicha documentación. El depósito permanecerá bajo custodia del notario autorizante o su sucesor, por un plazo de cinco años, prorrogable a instancia del depositante y se realizará introduciendo el objeto depositado en un sobre al efecto, cerrado en presencia del depositante y sellado con sellos de seguridad, (…). El compareciente me requiere asimismo para que comunique mediante carta certificada con acuse de recibo a ***EMPRESA.2 e ***EMPRESA.4 la existencia y características de este depósito, mediante el envío de copia simple de esta acta a su domicilio social (…).” - documentos nº 3 a 10: Relación de comunicaciones intercambiadas entre las partes en las que constan los requerimientos formulados por ***EMPRESA.5 a OC EG para la destrucción de la información y documentación correspondiente a los clientes de aquella, así como la remisión del correspondiente certificado acreditativo de dicha destrucción, y las respuestas emitidas al respecto por la parte requerida. o documento nº 3: Carta de ***EMPRESA.5 a Energ-Master 2012 SL de 15/2/23 (aportada también en la denuncia). o documento nº 4: Burofax de Energ-Master 2012 SL a ***EMPRESA.5 de 17/2/23. o documento nº 5: Burofax de ***EMPRESA.5 a Energy-Master 2012 SL de 2/3/23 (aportado también en la denuncia). o documento nº 6: Burofax de Energy-Master 2012 SL a ***EMPRESA.5 de 3/3/23. o documento nº 7: Burofax de ***EMPRESA.5 a Energy-Master 2012 SL de 24/3/23 (aportado también en la denuncia). o documento nº 8: Burofax de Energy-Master 2012 SL a ***EMPRESA.5 de 27/3/23. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/11 o o documento nº 9: Carta de ***EMPRESA.5 a Energy-Master 2012 SL de 31/5/23. documento nº 10: Carta de Energy-Master 2012 SL a ***EMPRESA.5 de 23/6/23. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Valoración jurídica de los hechos denunciados El art. 5.1, letra
3. e)RGPD, dentro de los principios relativos al tratamiento, establece lo siguiente: "1. Los datos personales serán:
4. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);” No obstante lo anterior, hay excepciones en las que es posible mantener y tratar los datos por más tiempo del necesario para la consecución de la finalidad originariamente perseguida. Específicamente, en relación con el encargado del tratamiento, el artículo 33.3 de la LOPDGDD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/11 “3. El responsable del tratamiento determinará si, cuando finalice la prestación de los servicios del encargado, los datos personales deben ser destruidos, devueltos al responsable o entregados, en su caso, a un nuevo encargado. No procederá la destrucción de los datos cuando exista una previsión legal que obligue a su conservación, en cuyo caso deberán ser devueltos al responsable, que garantizará su conservación mientras tal obligación persista.” A continuación, el apartado 4 del referido artículo 33, prevé: “4. El encargado del tratamiento podrá conservar, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento.” A este respecto, en el informe del gabinete jurídico de la AEPD N/REF 00148/2019 se precisa que esta especialidad se cohonesta con el artículo 28.3.
5. g)del RGPD, que -al regular el contrato o acto jurídico en virtud del cual se opera el encargo del tratamiento- establece la posibilidad de que, a la finalización de la prestación de los servicios de tratamiento, se conserven los datos personales cuando así se disponga en el Derecho de la Unión o de los Estados miembros. El bloqueo de los datos se encuentra regulado en el artículo 32 de la LOPDGDD en los siguientes términos: “1. El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión. 2. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos. 3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior. 4. Cuando para el cumplimiento de esta obligación, la configuración del sistema de información no permita el bloqueo o se requiera una adaptación que implique un esfuerzo desproporcionado, se procederá a un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no manipulación de los datos durante el mismo. 5. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, dentro del ámbito de sus respectivas competencias, podrán fijar excepciones a la obligación de bloqueo establecida en este artículo, en los supuestos en que, atendida la naturaleza de los datos o el hecho de que se refieran a un número particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera generar un riesgo elevado para los derechos de los afectados, así como en aquellos casos en los que la conservación de los datos bloqueados pudiera implicar un coste desproporcionado para el responsable del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/11 Por otro lado, el artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el presente caso, OC EG, como encargado del tratamiento, una vez finalizado el contrato de encargo y tras la solicitud expresa y reiterada del responsable, no procedió a la supresión de los datos personales objeto de tratamiento, sino que optó por su bloqueo y conservación, invocando para ello la necesidad de garantizar el adecuado ejercicio del derecho de defensa de sus intereses legítimos en el marco de una controversia en la que se encuentran inmersas ambas partes. En particular, OC EG se ampara en la demanda de procedimiento ordinario interpuesta contra las entidades ***EMPRESA.2 e ***EMPRESA.4 en reclamación de retribuciones e indemnización por clientela. Dicho extremo queda debidamente evidenciado en el Decreto dictado por el Juzgado ***JUZGADO.1, de fecha 12 de septiembre de 2023, por el que se admite a trámite la citada demanda junto con la documentación presentada por el representante de OC EG. (el subrayado es nuestro). En este sentido, en su escrito de respuesta a requerimiento de información de esta Agencia, OC EG declara: “¿Cómo justificar su derecho a percibir una indemnización por clientela prevista en la ley reguladora del Contrato de Agencia si no puede poner a disposición del juez los servicios prestados a lo largo de los años, el número de clientes con que ha incrementado la cartera de ***EMPRESA.5, o la trascendencia de su aportación al crecimiento económico de ***EMPRESA.5?” Por tanto, existe un asunto litigioso pendiente que justificaría la necesidad de no suprimir la información y documentación relativa a la relación contractual entre las partes, al tratarse de un elemento relevante para la adecuada defensa de OC EG en el marco del procedimiento judicial en curso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/11 Así, con la única finalidad de posibilitar el ejercicio de su derecho a la tutela judicial efectiva, OC EG indica que procedió al bloqueo de la totalidad de la información y documentación relativa a la citada relación contractual, en la que se incluyen datos de carácter personal, aportando copia del acta de requerimiento y depósito autorizada por el Notario C.C.C., el día 3 de marzo de 2023, protocolo ***REFERENCIA.1. Esta acta notarial sería el instrumento elegido por OC EG como medio para salvaguardar la seguridad de la información mediante el depósito, en sobre cerrado y bajo custodia notarial, de un disco duro portátil con toda la documentación en la que constan datos personales de clientes. Y ello, por un plazo de cinco años o, hasta la finalización mediante sentencia firme del procedimiento judicial del procedimiento o procedimientos judiciales que definitivamente diriman las diferencias surgidas entre ***EMPRESA.5 y OC EG. En el acta, OC EG expone que ha grabado en esta única copia en soporte digital la totalidad de la información y documentos relativos a la relación contractual con las empresas del grupo ***EMPRESA.5, habiendo procedido a destruir todas las demás copias de las que disponía, tanto en soporte digital como en papel, excepto la que adjuntó al escrito de la demanda interpuesta en sede judicial contra ***EMPRESA.5. Conforme a lo expuesto anteriormente, la previsión del artículo 33.4 de la LOPDGDD ampara esta actuación, lo que debe ponerse en relación con el derecho a la tutela judicial efectiva del artículo 24 de la Constitución Española y el artículo 6.1.
13. f)del RGPD. Además, examinado el Acuerdo de colaboración suscrito por ambas partes, se advierte que el Anexo “Políticas y Criterios de obligado cumplimiento” prevé, en el segundo párrafo del punto 3 de las “A) Normas de Protección de Datos Personales para Encargados de Tratamiento”, que: “Estos datos serán conservados durante todo el plazo que se mantenga tal relación, momento a partir del cual los datos serán bloqueados siendo únicamente conservados por el período necesario para el ejercicio o defensa de posibles reclamaciones.” (el subrayado es nuestro) III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, debe destacarse que la información y documentación relativa a la relación contractual entre ***EMPRESA.5 y OC EG, en la que se incluyen datos de carácter personal, ha sido presentada, junto a la demanda interpuesta por la entidad OC EG, ante el Juzgado ***JUZGADO.1 sin que haya sido objeto de exclusión ni haya sido declarada ilegal, por lo que no corresponde a esta Agencia pronunciarse al respecto. A mayor abundamiento, no se han encontrado evidencias que acrediten que OC EG no estaba legitimado para conservar, bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento al existir una habilitación legal para ello, a tenor del artículo 33.4 de la LOPDGDD en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/11 combinación con el artículo 24 de la Constitución Española y el artículo 6.1.
14. f)del RGPD. Por tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a OC ELECTRICIDAD Y GAS, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es