← España

AI-00068-2024

1/6  Expediente N.º: EXP202401779 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21 de diciembre de 2023, se presentó reclamación ante la Agencia Española de Protección de Datos contra SERVENERGIA - BLEISOR SOLUTION.S.A.S. (en adelante, BLEISOR). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que, en fecha 21 de diciembre de 2023, recibió una llamada de teléfono de la línea ***TELÉFONO.1, en la que el interlocutor se identificaba como ***EMPRESA.1, su comercializadora de luz, en la que se le informó de todos sus datos personales (nombre, apellidos, DNI y dirección de suministro), incluso conocía el problema de no facturación de ***EMPRESA.1 en tal fecha. Señala además que, le enviaron un SMS para confirmar la política de protección de datos y que al firmar el nombre que aparecía era “SERVENERGIA”. El interlocutor le dijo que se trataba de “FACTOR X”, que en su factura aparecería ***EMPRESA.1 y debajo “FACTOR X”. Posteriormente el interlocutor le dijo el número de su cuenta bancaria y la reclamante le dijo que iba a ponerse en contacto con ***EMPRESA.

  1. Al llamar a ***EMPRESA.1 le indicaron que se trataba de un fraude y que estaban sufriendo una brecha de seguridad y posiblemente había resultado afectada. Más tarde le han vuelto a llamar desde “SERVENERGIA” y la reclamante les pidió que cancelaran cualquier tipo de operativa y borraran sus datos, a lo que le dijeron que era imposible. Junto a la reclamación se aporta:   Capturas de pantalla acreditativas de la llamada de 21/12/23 a 11:21h con 14 minutos de duración hasta las 11:35h y dos llamadas perdidas de 12:15 y 12:16h. Captura de pantalla con el texto de dos SMS recibidos el 21/12/23 a las 11:29h a nombre de BLEISOR, durante el transcurso de la llamada reclamada: - 1º SMS con el texto: “Código descuento https://servenergia.com/? numero=***TELÉFONO.2” - 2º SMS con el texto: “Contacto desde: www.servenergia.com teléfono móvil: ***TELÉFONO.2 Código de registro: ***REFERENCIA.1 IP: ***IP.1 Autorizo a contactarme con fines comerciales: Si Este es tu enlace para firmar el documento de protección de datos: ***URL.1(SMS CERTIFICADO)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 SEGUNDO: Con fecha 2 de febrero de 2024, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos:
  2. Sobre la existencia de la llamada y sus circunstancias - El operador de la línea de la reclamante confirma la recepción de cuatro llamadas el día 21/12/23 desde la línea ***TELÉFONO.1, a la línea de la parte reclamante ***TELÉFONO.2: - a las 11:21h con una duración de 840 segundos (14 minutos hasta las 11:35h) - a las 11:47:43h con una duración de 625 segundos (10 minutos y 25 segundos hasta las 11:58:8h) - a las 12:15:27h con una duración de 0 segundos. - a las 12:15:58h con una duración de 0 segundos El mismo operador indica que la titularidad de la línea de la reclamante ***TELÉFONO.2 consta a nombre de A.A.A. con DNI ***NIF.1, y dirección en ***DIRECCIÓN.
  3. La reclamante ha confirmado que la titularidad de la línea corresponde a su padre. - El operador de la línea llamante ***TELÉFONO.1 indica que: El titular de la citada línea es el revendedor de servicios de telecomunicaciones ***EMPRESA.2 (en adelante ***EMPRESA.2). Dicha línea se activó en octubre de 2023, antes estuvo activa durante un periodo de 2022, dándose de baja en mayo de
  4. ***EMPRESA.2 expone que el titular de la citada línea es BLEISOR y que no dispone de registros de SMS y tampoco de llamadas. Aporta como contrato dos Formularios de Pedido, uno de ellos válido de 21/12/2023 a 21/1/2024, que cubre la fecha de la llamada reclamada. - Los datos relativos a la línea llamante son los siguientes: o Admin: B.B.B. o Dirección 1: BLEISOR SOLUTION S.A.S. o Dirección de facturación: ***DIRECCIÓN.2, ANTIOQUIA - COLOMBIA o Dirección 2: ***DIRECCIÓN.3, ESPAÑA.
  5. Sobre la legitimación para efectuar la primera llamada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 Se solicita información a B.B.B., quien figuraba como “Admin” en los datos de titular de la línea llamante, a la dirección en España que constaba en la empresa ***EMPRESA.2, es decir, a ***DIRECCIÓN.3, ESPAÑA. Consta acuse de recibo el 2/10/24 de la administradora de ***EMPRESA.3 Se reitera el 18/10/2024 y consta devuelto a Origen por Desconocido el 24/10/
  6. No se obtuvo respuesta.
  7. Sobre la captación de los datos del reclamante: No se han podido recabar evidencias al no contestar el titular de la línea llamante.
  8. Sobre los SMS. Se requiere información a la entidad ***EMPRESA.4 respecto de los tres SMS recibidos por la reclamante, dos a nombre de BLEISOR y se recibe respuesta. En dicha respuesta manifiesta que acompaña una copia del certificado de evidencia del proceso de firma con identificador ***REFERENCIA.1, que fue remitido mediante un SMS certificado, con identificador ***REFERENCIA.2, al teléfono del reclamante el 21/12/
  9. Se comprueba que dicha copia es un certificado de la entidad ***EMPRESA.4, de 21/12/2023, en calidad de prestador de servicios de confianza, que certifica:  El envío en nombre de BLEISOR SOLUTION S.A.S. (901689980-9) de un SMS de tipo inicio de proceso certificado al n.º móvil de la parte reclamante en fecha 23/12/2023 a las 11:30:46 UTC+1, con la evidencia (...),  Un enlace de clickandsign.eu con el documento bleisorwebsign.pdf para su lectura y descarga,  El acceso a la dirección web para la firma de los documentos a las 11:32:05 UTC+1  Recepción de una petición HTTPS desde una dirección IP (supuestamente del reclamante) para la firma, con la evidencia (...) a las 11:32:16 UTC+1  Firma en el entorno de Lleida.net mediante la pulsación del botón de firma. Este certificado tiene tres anexos con los documentos citados:  certificado del envío del SMS de BLEISOR SOLUTIONS SAS al teléfono de la reclamante el 23/12/2023 a 11:30:46 GMT+1 con el mensaje: “Contacto desde www.servenergia.com, Teléfono móvil: el de la parte reclamante, Código de registro, Dirección IP, Autorizo a contactarme con fines comerciales: Sí, Este es tu enlace para firmar el documento de protección de datos: ***URL.1 (SMS certificado)”.  bleisorwebsign.pdf: es un documento cuyo contenido coincide con la captura de pantalla aportada como evidencia por esta Agencia “Protección de datos de carácter personal” de BLEISOR. Se comprueba que este certificado se refiere y coincide con el 2º SMS aportado por la reclamante, no así al 1º SMS.
  10. Sobre el enlace del SMS https://www.servenergia.com y su formulario: Por parte de esta Agencia se comprobó que la dirección web www.servenergia.com no estaba accesible el 1/03/2024 a las 13:42 horas ni disponible a las 14:57h y que este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 dominio estaba a nombre de BLEISOR SOLUTION, S.A.S. cuyos servidores estaban ubicados en Berlín (Alemania). Se ha comprobado que la entidad colombiana BLEISOR informaba en su web de un contacto o DPD.
  11. Sobre las relaciones contractuales en el contexto de la promoción de servicios de energía. No se ha podido determinar la identidad de la comercializadora de energía en cuyo nombre real se realiza la llamada publicitaria, suplantando a ***EMPRESA.
  12. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo dispuesto en los art. 58.2 del RGPD y lo establecido en los art. 47, 48.1, 64.2 y 68.1 y 68.2 de la LOPDGDD es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos (AEPD). Por su parte, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” Así mismo, de conformidad con lo establecido en el art. 114.1.b) de la LGTEL, es competente para iniciar y resolver este procedimiento sancionador, la Presidencia de la AEPD:
  13. La competencia sancionadora corresponderá: (…) b) a la Agencia Española de Protección de Datos, en el caso de que se trate de las infracciones graves del artículo 107 tipificadas en el apartado 30 y de las infracciones leves del artículo 108 tipificadas en el apartado 11 cuando se vulneren los derechos de los usuarios finales sobre protección de datos y privacidad reconocidos en el art 66; II Síntesis de los hechos El operador telefónico de la reclamante confirma la recepción el 21/12/23 de dos llamadas con duración superior a 10 minutos y dos llamadas perdidas desde la línea reclamada, así como de tres SMS desde origen no identificado, que se corresponden con el primer SMS recibido. La línea llamante es titular de BLEISOR, empresa colombiana, que no contesta a los requerimientos y cuya dirección postal es la misma que la de la entidad ***EMPRESA.3 que tampoco contesta a los requerimientos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 La empresa ***EMPRESA.4 certifica el envío, recepción y firma del segundo SMS recibido, enviado por BLEISOR, pero no del primer SMS. El dominio www.servenergia.com a nombre de BLEISOR no funcionaba a fecha 1/03/2024 y tenía los servidores en Alemania. La entidad colombiana BLEISOR proporcionaba datos de contacto en dicha web como DPD. A fecha 8/11/24 se ha comprobado que el dominio www.servenergia.com expiró el 30/10/24 y se actualizó el 1/11/24, la web está operativa pero su política de privacidad no indica el nombre del responsable, solo el nombre del proveedor de la web y encargado que es una entidad Alemana. No se ha podido determinar, por tanto, la identidad de la comercializadora de energía en cuyo nombre se realizó la llamada, suplantando a ***EMPRESA.
  14. III Artículo 66.1.b) de la LGTel 11/2022 “Derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas, con los datos de tráfico y de localización y con las guías de abonados.
  15. Respecto a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas los usuarios finales de los servicios de comunicaciones interpersonales disponibles al público basados en la numeración tendrán los siguientes derechos: a) a no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de comunicación comercial sin haber prestado su consentimiento previo para ello; b) a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario para recibir este tipo de comunicaciones comerciales o salvo que la comunicación pueda ampararse en otra base de legitimación de las previstas en el artículo 6.1 del Reglamento (UE) 2016/679 de tratamiento de datos personales.” VI Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por la realización de la llamada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.