AI-00097-2024

1/10  Expediente N.º: EXP202318949 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15/11/2023, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) una reclamación presentada por Dña. A.A.A. (en adelante, la parte reclamante) ante la Oficina Municipal de Información al Consumidor del Ayuntamiento de ***LOCALIDAD.1 el 9/11/2023. La reclamación fue remitida por el mencionado ayuntamiento en cumplimiento de la Ley 40/2015, 1 de octubre, de Régimen Jurídico del Sector Público. La reclamación se dirige contra TOTALENERGIES CLIENTES, S.A. con NIF A95000295 (en adelante, la parte reclamada). Los motivos en que los que se basa la reclamación son los siguientes: la parte reclamante manifiesta haber tenido conocimiento de la suplantación de su identidad en la contratación por la parte reclamada. Asegura que en la contratación se utilizan sus datos de filiación, siendo falsos el resto de los datos personales que se recogen en el contrato, como la cuenta bancaria, dirección de suministro, teléfono y correo electrónico. Junto a la reclamación aporta: - Comunicación postal de 24 de octubre de 2023 remitida por la parte reclamada en la que le informa de que se adjuntan dos copias de su contrato con las últimas modificaciones solicitadas. La comunicación se dirige a “A.A.A., ***DIRECCIÓN.1” En la comunicación se indica que debe verificar que todos los datos sean correctos y remitir una copia firmada. En adjunto figuran: o Formulario de solicitud de desistimiento. o Contrato de energía y/o servicios con referencia (...) a nombre de la parte reclamante, en el figuran, entre otros, los siguientes datos: “NIF: ***NIF.1 Teléfono: ***TELÉFONO.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 Email: ***EMAIL.1 Dirección de suministro: ***DIRECCIÓN.2” o Comunicación por la que se informa de la remisión de la orden de domiciliación de adeudo directo SEPA del que se indica “que es el documento que nos autoriza a realizar los cargos en la nueva cuenta corriente facilitada”. o Formulario de orden de domiciliación de adeudo directo SEPA a nombre de la parte reclamante. Se indica como número de cuenta preconfigurado (...). - Atestado de la denuncia policial presentada el 12 de otubre de 2023 por la que denuncia los hechos y asegura no tener relación alguna con la dirección de suministro que figura en el contrato. - Certificado de empadronamiento en la que se identifica el domicilio de la parte reclamante como “***DIRECCIÓN.1 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 03/01/2024 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 03/01/2024 como consta en el acuse de recibo que obra en el expediente. En respuesta al traslado, el 05/02/2024 la parte reclamada efectúa las siguientes manifestaciones: - Que la gestión de la contratación de suministros de energía, gas y otros servicios por clientes consumidores finales se lleva a cabo a través de diferentes modalidades de contratación. La incidencia reclamada tiene su origen en una contratación efectuada, a nombre de la parte reclamante, presencialmente. - Asegura que, tras la realización de las investigaciones oportunas, se ha podido comprobar que la reclamación inicialmente recibida ya estaba solventada, habiéndose realizado todas las gestiones necesarias para resolver la situación inicial con anterioridad a la recepción del presente requerimiento de información. - Señala que La reclamación trae causa en la contratación para el suministro energético —y servicios accesorios— para un punto de suministro que la reclamante no reconoce como propio y que se habría realizado sin su consentimiento. - Una vez tuvo constancia de la contratación de estos servicios a su nombre la reclamante se puso en contacto con la parte reclamada para solicitar el acceso a la copia del contrato de suministro energético suscrito con esta entidad, documentación que es remitida por esta entidad. - Como consecuencia de los hechos y previamente a la presentación de la reclamación ante la AEPD, la reclamante había presentado una reclamación ante la Oficina Municipal de Información al Consumidor del Ayuntamiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 ***LOCALIDAD.1 que fue trasladada a la parte reclamada y que fue debidamente respondida, en tiempo y forma. - Manifiesta que una vez se tuvo conocimiento de estos hechos y de que la reclamante no reconocía la contratación efectuada, la parte reclamada llevó a cabo todos los trámites necesarios para verificar los hechos y solventar la incidencia puesta de manifiesto por la parte reclamante. - A tal efecto, se realizaron todos los trámites para la desvinculación de su información personal así como gestionar la baja de cualquier servicio accesorio vinculado a los suministros contratados. - Asimismo, se procedió a la anulación de la facturación emitida resultante del periodo de tiempo en el que el contrato de suministro energético estuvo activo con esta entidad, no generando ningún cargo a la reclamante. Junto a su escrito aporta: - Comunicación enviada a la parte reclamante el 2 de febrero de 2024 a raíz del traslado de la reclamación de la AEPD en la que pone de manifiesto las actuaciones que ha llevado a cabo en relación con su caso. - Comunicación enviada a la parte reclamante el 28 de noviembre de 2023 en respuesta a la queja presentada ante la parte reclamada por esta. En la misma se indica: “hemos desvinculado a A.A.A. de la contratación sita en Calle ***DIRECCIÓN.2. Madrid y anulado la facturación emitida. Lamentamos las molestias ocasionadas. Actualmente, A.A.A. carece de vínculo contractual con esta compañía y de deuda alguna”. - Copia de la reclamación presentada ante la Oficina Municipal de Información al Consumidor del Ayuntamiento de ***LOCALIDAD.1 presentada por la parte reclamante el 9 de noviembre de 2023. - Copia de documento de certificación de (...). relativos al envío de mensajes de texto de confirmación de la contratación efectuada supuestamente por la parte reclamante. TERCERO: Con fecha 09/02/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha 03/04/2024 se solicita a la parte reclamada información adicional y el 17/04/2024 en respuesta señalaba que: 1. El proceso de tramitación de altas de forma presencial indica que se realiza a través de stands en ferias o centros comerciales, como ha sido en el caso de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 A tal efecto, en determinados centros comerciales existen stands identificados con los logos de la parte reclamada, en los que trabaja personal debidamente identificado mediante vestimenta corporativa y exhibiendo acreditación como empresa colaboradora de la parte reclamada. En el presente caso, la solicitud de contratación fue realizada a través de un stand ubicado en el centro comercial (…). Aseguran que el proceso de contratación en esta modalidad es el siguiente:     Si un consumidor, presencialmente en alguno de dichos stands, muestra su interés en los productos o servicios ofertados por la parte reclamada se recaban sus datos personales a fin de introducirlos en los sistemas y se verifica su identidad mediante la exhibición física de su DNI (o documento acreditativo equivalente). Asimismo, se solicitan al potencial cliente todos los datos necesarios para formalizar la contratación, incluidos los datos de facturación y medios de pago (número de cuenta bancaria), a efectos de domiciliación del pago de los productos o servicios a contratar. Una vez recabada toda esta información, necesaria para la contratación, y volcada en la herramienta de registro de ventas, la parte reclamada remite dos SMS al número de teléfono móvil aportado por el potencial cliente. En primer lugar, se remite un SMS para perfeccionar la contratación (en el que se incluye un link con una URL, desde la que el cliente puede visualizar todas las condiciones contractuales aplicables a su contratación) y se le solicita que confirme la contratación, mediante el envío de un SMS de respuesta. Posteriormente, se remite un segundo SMS, al mismo teléfono, a fin de solicitarle la aportación de copia de la documentación acreditativa de su identidad. Un tercero de confianza certifica el envío y recepción de todos esos SMS. Finalmente, una empresa externa colaboradora de la parte reclamada realiza una llamada de verificación al teléfono de contacto del potencial cliente, mientras continúa físicamente en el stand y se confirma con éste su voluntad de contratar y las condiciones aplicables. Finalizado este proceso de contratación, toda la información queda registrada en los sistemas internos de la parte reclamada para ser procesada, con el objetivo de activar la contratación efectuada, ya sea solicitando el cambio de comercializadora a la distribuidora o, directamente, con la activación del servicio contratado. En relación con a la existencia de informes técnicos o recomendaciones elaborados por el delegado de protección de datos o por el responsable de seguridad para evitar la suplantación de identidad en el proceso de contratación presencial de suministros los representantes de la entidad informan que la incidencia reportada por el reclamante se relaciona con la gestión de la contratación de suministros de energía, por clientes consumidores finales en la modalidad de contratación presencial, así como en la gestión de la facturación por el suministro de energía y gas. Dicho tratamiento abarca la recogida y tratamiento de los datos identificativos y de contacto, así como datos relativos a medios de pago e información del punto de suministro, todos ellos necesarios para poder prestar los servicios contratados y gestionar el ciclo de facturación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 La incidencia que figura en la reclamación tiene su origen en una contratación efectuada, a nombre de la parte reclamante presencialmente, en un stand atendido por un colaborador de la parte reclamada, ubicado en centro comercial (…). La parte reclamada considera que las medidas actualmente vigentes en la modalidad de contratación presencial en stands en ferias o centros comerciales, conforme se ha descrito anteriormente, son objetivamente adecuadas para evitar actuaciones de suplantación de identidad. En particular, la exhibición del DNI o documento acreditativo del potencial cliente o solicitante de contratación permite suponer la licitud de la operación y la veracidad y exactitud de los datos aportados, que deben coincidir con los facilitados para la contratación. Asimismo, para evitar inexactitudes o posibles errores en la contratación, toda la operación de contratación es, posteriormente, verificada por teléfono por una empresa externa. En relación con las acciones posteriores adoptadas la parte reclamada tuvo conocimiento de estos hechos y de que la parte reclamante no reconocía la contratación efectuada, con anterioridad a la recepción de la Reclamación remitida por esta Agencia, la parte reclamada llevó a cabo todos los trámites necesarios para verificar los hechos y solventar la incidencia puesta de manifiesto por la Reclamante. A tal efecto, la parte reclamada realizó los trámites pertinentes para desvincular la información personal de la parte reclamante de la contratación efectuada en su nombre para el punto de suministro cuya contratación no reconoce —***DIRECCIÓN.2 —, así como proceder a la reposición de los suministros a su anterior comercializador y gestionar la baja del servicio accesorio vinculado a los suministros contratados. Asimismo, la parte reclamada procedió a la anulación de la facturación emitida resultante del periodo de tiempo en el que el contrato de suministro estuvo activo con esta entidad y vinculado a los datos de la Reclamante, verificando que ésta no hubiese abonado cantidad alguna durante el periodo de vigencia de esta contratación. La parte reclamada manifiesta que no se podía conocer que se estuviera realizando una contratación sin el consentimiento o conocimiento de la parte reclamante, puesto que en dicha contratación se aportó la información personal de la parte reclamante y se exhibió el DNI original de esta —registrando copia de este documento de identificación—, como evidencia de la verificación de identidad efectuada en el momento de la tramitación de la contratación. Por tanto, para TOTALENERGIES CLIENTES la contratación tenía apariencia de veracidad y licitud, al facilitarse los datos personales de la Reclamante y aportarse su DNI. Asegura que la persona que efectuó el trámite de contratación se identificó como la parte reclamante y facilitó copia de su documento nacional de identidad en el momento de la suscripción del contrato. Desde la entidad se considera que el DNI no es un documento al alcance de un tercero ajeno a la reclamante y que se trata de un documento con presunción de acreditación de la identidad de los ciudadanos españoles y “es el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular(…) y se trata de un documento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 personal e intransferible, por lo que corresponde a su titular la obligación de mantenerlo en vigor y conservarlo y custodiarlo con la debida diligencia. Además, con el fin de verificar la voluntad de contratación y formalizar la misma, la parte reclamada remitió, por medios telemáticos, la oferta comercial y el contrato de suministro de energía y servicios accesorios, el cual fue confirmado electrónicamente respondiendo al mensaje de texto remitido por la parte reclamada. La parte reclamada aporta junto a su escrito, la evidencia de la contratación, fechada el día 13/06/2023, certificada por (...)., en su condición de tercero de confianza y copia impresa del DNI de la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Análisis del supuesto El artículo 6 del RGPD, Licitud del tratamiento, establece en su apartado 1: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el presente caso, la cuestión fundamental radica en determinar si la parte reclamada contaba con alguna de las bases que legitiman el tratamiento de los datos de carácter personal d conformidad con el artículo 6.1 del RGPD o si adoptó las medidas que la diligencia exige a fin de acreditar que la persona de quien recabó y obtuvo los datos para llevar a cabo la contratación del correspondiente suministro era su titular. En relación con la contratación, la parte reclamante ha manifestado que tuvo conocimiento de la suplantación de su identidad en la contratación con la parte reclamada, al ser utilizados sus datos de filiación, no correspondiéndole el resto de los datos personales que se contenían en el contrato, tales como la cuenta bancaria, domicilio, teléfono y correo electrónico. Por su parte, la parte reclamada ha informado llevar a cabo operaciones de contratación presencial del suministro de energía electica y gas a través de sus colaboradores informando a los posibles clientes y consumidores finales en esta modalidad. Para ello, trata todos los datos necesarios para poder prestar los servicios contratados y gestionar el ciclo de facturación, entre ellos los datos identificativos, de contacto, los relativos a medios de pago, información del punto de suministro, etc. Asegura que, para evitar inexactitudes o errores en la contratación, la contratación es posteriormente objeto de verificación por teléfono por una empresa externa. os hechos reclamados tienen su origen en la contratación efectuada a nombre de la parte reclamante en un stand atendido por un colaborador de la parte reclamada, es decir de manera presencial, en centro comercial (…). En el transcurso de las actuaciones previas de investigación llevadas a cabo por la Subdirección General de Inspección de Datos, la parte reclamada ha aportado información donde constan los datos del denunciante vinculados a un contrato de suministro eléctrico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 La solicitud de la contratación se realizó de manera presencial en stand de la entidad situado en centro comercial a través de colaboradores de la misma tal como se describe en epígrafe Cuarto de los Hechos. Como se ha señalado, se realizó aportando el DNI de la parte reclamante y remitiéndose confirmación de aceptación de la contratación, al número de teléfono facilitado por la persona que efectúo la contratación aportando el DNI de la parte reclamante. En definitiva, fue aportado como documento acreditativo de la identidad de la contratante la copia del DNI de la parte reclamante, que la parte reclamada ha aportado en respuesta al requerimiento de información realizado por la AEPD. La parte reclamada tras ser informada por la parte reclamante de la posibilidad de haber sido víctima de una suplantación de su identidad procedió de inmediato a clasificar la operación como fraudulenta, llevando a cabo todos los trámites necesarios para verificar los hechos y solventar la incidencia, procediéndose asimismo a la desvinculación de los datos personales de la reclamante de la dirección del punto de suministro recogida en la contratación. Asimismo, se procedió a la anulación de la facturación emitida correspondiente a los consumos realizados durante el tiempo en el que el contrato a nombre de la parte reclamante estuvo activo. A la luz de la documentación aportada, no se aprecian elementos que permitan afirmar que se ha producido una infracción de la normativa de protección de datos por la parte reclamada, pues la presencia del elemento subjetivo de la infracción es esencial para exigir responsabilidad en el marco del derecho administrativo sancionador. Se hace necesario señalar que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. El Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos reclamados y de las actuaciones llevadas a cabo por esta Agencia, no se han acreditado elementos de juicio suficientes que permitan atribuir a la parte reclamada la vulneración de la normativa en materia de protección de datos, además de haber procedido dicha entidad en su actuación, con una razonable diligencia a la hora de acreditar la identidad de la parte reclamante V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a TOTALENERGIES CLIENTES, S.A. con NIF A95000295 y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Olga Pérez Sanjuán Subdirectora de General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía de la AEPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es