AI-00149-2024

1/6  Expediente N.º: EXP202313221 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 de agosto de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00055538344 ante la Agencia Española de Protección de Datos contra ARYSER CONSULTING, S.L. y IBERDROLA CLIENTES, S.A.U. (en adelante, ARYSER E IBERCLI) con NIF (…) y NIF (…) respectivamente. Los motivos en que basa la reclamación son los siguientes: PRIMERO: La parte reclamante manifiesta que se ha llevado a cabo la suplantación de su identidad en la contratación con IBERDROLA CLIENTES de Gas y Electricidad, de forma fraudulenta, sin su consentimiento. Junto a su reclamación aporta la siguiente documentación: 1) Copia del contrato presuntamente fraudulento asociado a un domicilio en el que no residiría. 2) Copia del atestado de 03/06/2022 ante la Policía Nacional, en el que declara que el 03/06/2022 se ha cargado en su cuenta bancaria un recibo en concepto de consumo de luz de IBERCLI, sin que haya contratado ningún servicio de suministro con dicha compañía. IBERCLI le ha facilitado copia del contrato de suministro y de la documentación aportada para la contratación que aporta a la denuncia policial. Afirma no conocer a las otras dos personas que constan en la autorización para la contratación de los suministros de luz y electricidad, pero reconoce que uno de los teléfonos de contacto es el de su (...). Declara la parte reclamante que en el mes de enero accedió a una solicitud de su (...) de la copia de sus nóminas, vida laboral, contrato de trabajo y copia del NIE para poder facilitarle el alquiler de una vivienda. La parte reclamante es titular de cuenta corriente autorizada para la domiciliación de los recibos 3) Copia de un segundo atestado policial de fecha 08/08/2023, en el que se recoge que la parte reclamante formuló una ampliación de la denuncia en la que declara, entre otros, que se puso en contacto con IBERCLI en la que le C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 informaban que el día 27/06/2022 fue abonada la deuda mediante tarjeta de crédito por una tercera persona. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29/9/2023 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 14/11/2023 tuvo entrada en la AEPD escrito de la parte reclamada, de respuesta al traslado de la reclamación, en la que se indica que la reclamante, acudió en agosto de 2022 a una oficina de IBERCLI para reclamar una supuesta suplantación de identidad en la contratación de un suministro de electricidad y gas. En la contestación a su reclamación, IBERCLI informó mediante escrito de fecha 9 de agosto de 2022 que según la información de la que se dispone, la contratación es correcta. Le adjunta el contrato firmado, donde se recoge su NIE, nombre apellidos y firma, lo que supone prueba suficiente para acreditar el consentimiento de esta para la contratación. Aportan copia de la contestación, del contrato de suministros y la de la documentación aportada en el momento de la contratación, que acredita la identidad del contratante (NIE), la autorización para contratar a empresa tercera (documento de autorización) así como su condición de usuaria efectiva de la energía (contrato de arrendamiento). Afirma que posteriormente, en agosto de 2023 la parte reclamante se pone de nuevo en contacto con el servicio de atención al cliente de IBERCLI, a través de un asesor legal, donde reitera la parte reclamante la suplantación de su identidad para los dos contratos de suministro de gas y electricidad. El asesor legal solicitó revisar de nuevo el caso y envía información de su demanda judicial sobre la supuesta suplantación que indica ya ha interpuesto. IBERCLI revisó de nuevo la reclamación y, si bien entiende que la contratación se hizo de forma correcta, en aras de dar una respuesta a las continuadas reclamaciones interpuestas por la reclamante, se optó por dar una solución favorable a la cliente, anulando todas las facturas emitidas y la contratación. TERCERO: Con fecha 15/02/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada, al haber transcurrido tres meses desde que la reclamación tuvo entrada en la AEPD. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: La contratación con IBERCLI en este caso requirió de la presencia representante del cliente, que facilitó sus datos identificativos (nombre, apellidos, DNI), datos de contacto (número de teléfono, correo electrónico y dirección postal), y el número de CUPS, así como la documentación acreditativa. Tras la aceptación de las condiciones de contratación, se lleva a cabo un proceso de verificación automatizado en el que el cliente acepta y ratifica las condiciones tratadas con el agente de IBERCLI, a través de un SMS o llamada telefónica (en el caso de la llamada telefónica se graba la llamada y se revisan para evitar fraude). Una vez finalizado, se le asigna un número de pedido y se envía un correo electrónico al interesado indicando la documentación que debe aportar para activar el servicio. Tras la activación, el interesado puede acceder a la información completa vinculada al contrato. (…) fue el socio colaborador a través del que se realizó la contratación e IBERCLI aporta copia del contrato de prestación de servicios y encargado del tratamiento, así como los anexos de las especificaciones que IBERCLI traslada a sus socios para la realización de las contrataciones. La contratación la solicitó el administrador de ARYSER, que aporta copia del NIF de la reclamante, así como dos documentos fechados el 11/02/2022, la copia del contrato de arrendamiento de vivienda y una autorización de los arrendatarios (la parte reclamante con otras dos personas) para el cambio de titularidad de suministro de luz, gas y agua, cambio de domiciliación bancaria, cambio de dirección de correspondencia y solicitud de duplicado de facturas. Coinciden los datos personales del contrato de arrendamiento con los de la autorización, así como las tres firmas, pero el número la cuenta bancaria que aparece en la autorización es el de la parte reclamante. IBERCLI manifiesta que la contratación de suministro de gas y de electricidad se realizó de forma correcta ya que la parte reclamante es parte del contrato de arrendamiento presentado en el canal presencial y la contratación se llevó a cabo por ARYSER en su nombre, previa autorización. En su denuncia policial por suplantación de identidad, expone la parte reclamante que facilitó a su (...) su documentación (copia del NIE, cuenta bancaria, etc.) para ayudarla con la contratación de una vivienda y que reconoce el número de su (...) como uno de los números de teléfonos de contacto asociados a los contratos de IBERCLI. A La vista de la denuncia policial interpuesta por la parte reclamante, y de que los contratos sólo estuvieron de alta un mes, IBERCLI comunicó mediante carta a la parte reclamante de 16/08/2023 la baja de todos los contratos con IBERCLI, así como la anulación de las facturas emitidas durante el periodo que los contratos estuvieron activos. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " Para que esta Agencia pueda apreciar la existencia de una infracción del RGPD, es imprescindible que concurran dos elementos esenciales: por un lado, que se haya producido un tratamiento de datos personales; y, por otro, que dicho tratamiento resulte ilícito por carecer de base jurídica, infringir principios del RGPD o vulnerar derechos del interesado, entre otras obligaciones del responsable del tratamiento. La responsabilidad debe ser atribuible a una persona física o jurídica identificada que actúe como responsable o encargado del tratamiento. En el caso que nos ocupa, la parte reclamante ha tenido conocimiento de la contratación el 01/06/2024, debido al cargo de un recibo en su cuenta corriente y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 manifiesta que ella no ha contratado ningún servicio con IBERCLI y que la contratación se ha llevado a cabo de forma fraudulenta y sin su consentimiento, mediata la suplantación de su identidad. A este respecto IBERCLI manifestó inicialmente que la contratación de suministro de gas y de electricidad se realizó de forma correcta, ya que la parte reclamante es parte del contrato de arrendamiento presentado en el canal presencial y la contratación se llevó a cabo por ARYSER en su nombre, previa autorización. IBERCLI ha aportado copia del contrato de suministro, en el que constan los datos personales de la reclamante, así como una autorización firmada para actuar en su nombre en la gestión del alta de los servicios de luz y gas. También aportó documentación relativa al contrato de arrendamiento de la vivienda asociada al punto de suministro, en el que figura la reclamante como arrendataria junto a otras dos personas, cuyas firmas coinciden con las que figuran en la autorización. Además, la contratación se realizó a través de un socio colaborador conforme al procedimiento establecido por Ia parte reclamada, que incluye verificación automatizada mediante SMS o llamada grabada, así como la aportación presencial de documentación en una oficina comercial. Por tanto, la autenticidad de este documento de representación en favor de ARYSER es básico para determinar si la parte reclamante ha dado su consentimiento en verdad o no. En este contexto, se ha verificado que el procedimiento de contratación seguido por la entidad reclamada incluía controles suficientes para acreditar la legitimidad del consentimiento, así como la documentación necesaria para vincular al contratante con el suministro solicitado. Asimismo, la propia reclamante reconoció haber facilitado voluntariamente su documentación personal y bancaria a un familiar, lo cual supone una cesión consciente que habría posibilitado el uso posterior de dichos datos. Aunque la parte reclamante afirma no haber consentido específicamente la contratación, no se han presentado elementos probatorios suficientes que permitan concluir que la entidad reclamada actuó de forma negligente o que tuviera conocimiento de la ausencia de consentimiento real. Cabe señalar, además, que la entidad reclamada, tras recibir las reclamaciones reiteradas de la interesada, mediante carta de 16/08/2023 comunica a la parte reclamante, la baja los contratos en cuestión y la anulación de las facturas emitidas durante el periodo en el que los contratos estuvieron activos, que fue sólo durante un mes, pese a considerar inicialmente que la contratación se realizó correctamente, lo que evidencia una actuación proactiva y cooperativa para evitar perjuicios mayores al interesado. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ARYSER CONSULTING, S.L. e IBERDROLA CLIENTES, S.A.U. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es