AI-00153-2024

1/8  Expediente N.º: EXP202404938 RESOLUCIÓN DE CADUCIDAD DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 22 de marzo de 2024 se presentó reclamación ante la Agencia Española de Protección de Datos contra una parte reclamada desconocida (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, diariamente, recibe varias llamadas en su línea móvil ***TELÉFONO.1 provenientes desde las líneas ***TELÉFONO.2, ***TELÉFONO.3, ***TELÉFONO.4 y ***TELÉFONO.5, siendo las últimas de fechas 16 y 21 de marzo de 2024 y que siempre se identifican como la gestoría de su comercializadora eléctrica e informan de que tiene el bono caducado para, de esta manera, realizar un cambio de contratación en el suministro eléctrico. La parte reclamante añade que conocen todos los datos relacionados con su suministro. Y aclara que en una de las llamadas recibidas fingió estar interesada en la oferta descubriendo, así, la identidad de la entidad reclamada y su sitio web: ***URL.

1. Denuncia la parte reclamante que la publicidad no se refiere a productos o servicios similares a otros adquiridos, contratados o sobre los que ha solicitado información, durante el último año a la entidad promocionada. Junto a la notificación aporta la parte reclamante la siguiente documentación relevante: - copia de factura de su operador telefónico para demostrar la titularidad de la línea llamada; - captura de llamada recibida desde la línea ***TELÉFONO.4 en fecha 16/03/24 a 13:40h y duración 33 minutos; - captura de un SMS recibido, constando llamada recibida, desde la línea ***TELÉFONO.5 el 21/03/24 a 20:41h y -captura de una comunicación recibida desde la dirección ***URL.2 (canal previsto en la política de privacidad del responsable) indicando a la parte reclamante que no constan sus datos personales en los sistemas de la entidad, de fecha 19/03/
2. SEGUNDO: Con fecha 1 de abril de 2024, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se admitió a trámite la reclamación presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 TERCERO La Subdirección General de Inspección de Datos (en adelante, la Inspección) procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. La inspección sigue 3 líneas de investigación de los hechos, en consonancia con la documentación aportada por la parte reclamante, a saber, la llamada de teléfono, el SMS y el correo electrónico, obteniéndose la siguiente información: 1) Llamada de teléfono La llamada de teléfono de 33 minutos de duración desde la línea ***TELÉFONO.4 a la línea de la parte reclamante16/3/24 entre las 13h 40´03´´ a 13h40´36´´ ha sido confirmada por el operador de la línea de la parte reclamante y su titular es ***COMPAÑÍA.1 (en lo sucesivo, ***COMPAÑÍA.1) con NIF ***NIF.1 y domicilio en ***DIRECCIÓN.
3. La línea no ha sido dada de baja o cambiada su titularidad, ni donada o revendida con anterioridad o posterioridad al periodo del del 16/3/2024 a 21/3/
4. Por la AEPD se ha solicitado información reiteradamente por vía postal a la sede de ***COMPAÑÍA.1, hasta un total de 6 comunicaciones postales y electrónicas al apoderado de ***COMPAÑÍA.1 y, por último, también una comunicación postal y otra electrónica al administrador único de ***COMPAÑÍA.1, y cuyo resultado ha sido “destinatario del envío ausente en reparto”. Consultados los precedentes sobre ***COMPAÑÍA.1 en la propia AEPD, constan realizadas actuaciones en marco de otro expediente, en el que igualmente se hicieron varios requerimientos a la misma entidad, apoderado y administrador único, también sin respuesta, así como al operador telefónico, que comunicó que la línea está registrada a nombre de ***COMPAÑÍA.2 con NIF ***NIF.2 (en lo sucesivo ***COMPAÑÍA.2) y fue activada el 30/5/2023 sin que haya sido dada de baja o cambiada su titularidad, ni donada o revendida durante el periodo desde entonces. El domicilio de ***COMPAÑÍA.2 se encuentra en ***DIRECCIÓN.2, y su email es ***EMAIL.
5. El Grupo ***COMPAÑÍA.2 Barranquilla (Colombia) trabaja en el ámbito de Eficiencia Energética, a través de un Call Center en Barranquilla, Medellín y Bogotá y A.A.A. es su administrador único y solidario. Se solicitó información tanto al Grupo ***COMPAÑÍA.2 como a su administrador único, por vía postal y electrónica, sin recibir respuesta. 2) Recepción del SMS La parte reclamante manifiesta y aporta copia del SMS que recibió durante una de las llamadas desde la línea ***TELÉFONO.5 el 21/03/24 a las 20h41’; en este SMS recibió el enlace ***URL.1 al que accedió. Requerido el proveedor de la línea telefónica ***COMPAÑÍA.3, (en lo sucesivo, ***COMPAÑÍA.3) contesta que no le consta el envío C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 de ningún SMS certificado la parte reclamante entre los días 16/3/24 a 21/3/24 desde la línea número ***TELÉFONO.
6. Por su parte, el operador de la línea de la parte reclamante sí confirma la recepción de otro SMS el 21/03/24 a las 20h41’ con origen la línea ***TELÉFONO.5, cuyo titular es ***COMPAÑÍA.1, y dicha línea no ha sido dada de baja o cambiada su titularidad ni donada o revendida, ni con anterioridad, ni con posterioridad al periodo de 16/3/2024 a 21/3/
7. Por tanto, el operador telefónico confirma que la parte reclamante recibió un SMS, pero a ***COMPAÑÍA.3, proveedor de la línea ***TELÉFONO.5, no le consta el envío de un SMS certificado de fecha 21/03/2024, con el enlace a ***URL.
8. 3) Enlace ***URL.1 En cuanto al enlace ***URL.1 y su formulario: Se comprueba el contenido de la web ***URL.1, su Aviso Legal y su Política de privacidad: Contenido de ***URL.1 con el formulario de recogida de datos: teléfono y CUPS, con información de protección de datos personales indicando la finalidad del tratamiento (ofertas comerciales), la base legitimadora (consentimiento interesado) y los destinatarios, con dos casillas, una de “Entiendo y Acepto la política de privacidad”, con enlace a ella y otra casilla de “Acepto expresamente el tratamiento de mis datos personales por parte de ***CONSULTORÍA.1 para la recepción de comunicaciones comerciales por cualquier medio, incluyendo medios electrónicos (llamadas, WhatsApp, correo electrónico), sobre productos, servicios, promociones y ofertas de mi interés”, una casilla de Registro y una leyenda que indica “inscríbase en el formulario y recibirá un código para que nuestro comercial le haga una oferta con la que ahorrará en su factura energética.” Aviso legal, contenido de este apartado de la web ***URL.1 donde se indica que detrás de esta página con este dominio se encuentra la empresa: ***CONSULTORÍA.1 (…) Domicilio social: ***DIRECCIÓN.3, Bogotá D.C, (Colombia). Correo electrónico de contacto: ***EMAIL.2 Correo electrónico de protección de datos o Delegado de Protección de Datos: ***URL.2 ***CONSULTORÍA.1 tratará los datos personales como Responsable del Tratamiento de todas las páginas web que se vinculen a dicha empresa. En el aptdo. 1.2 Descripción de la Página Web y finalidad indica que se trata de “servicios que ofrece ***CONSULTORÍA.1 vinculados a la promoción de ofertas y servicios relativos a suministros de luz y gas que existen en el mercado”. En el aptdo.
9. Normativa Aplicable indica: Ley 34/2002 LSSICE y Ley 3/2018 LOPDGDD, RGPD y cuantas disposiciones legales resulten de aplicación a la Página Web y/o los productos o servicios ofrecidos. Se observa que dicha web contiene dos casillas premarcadas:  entiendo y acepto la política de privacidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8  acepto expresamente el tratamiento de datos personales por parte de ***CONSULTORÍA.1 - Tras clicar en la casilla Registro, la web informa del envío de un código de descuento: (…). - Recepción en el teléfono móvil de prueba de un SMS en la misma fecha indicada con dicho código y un enlace para la firma del documento de política de privacidad mediante un SMS certificado. En concreto, el SMS de 13/6/24 contiene el siguiente texto a nombre de ***CONSULTORÍA.1: “Contacto desde: ***URL.3, Teléfono móvil: (…), Código de registro: (…): (…) Autorizo a contactarme con fines comerciales: Sí Este es tu enlace para firmar el documento de protección de datos (…)(SMS CERTIFICADO)” El contenido del enlace a la política de privacidad coincide en su contenido con el Aviso legal. 1) Derecho de oposición En relación con a la contestación de fecha 19/03/24 recibida por la parte reclamante desde la dirección ***URL.2 indicando que no constan sus datos personales en los sistemas de la entidad, la Inspección solicitó información a ***CONSULTORÍA.1 con domicilio en ***DIRECCIÓN.3, Bogotá D.C, y consta “justificante de devolución de no reside”. Asimismo, se solicitó información a los correos electrónicos ***URL.2 y (…) sin haber obtenido respuesta hasta la fecha. Por su parte, la AEPD confirma por la Organización de Consumidores y Usuarios (OCU) mediante extracto de pantalla aportado al efecto que ***CONSULTORÍA.1 utiliza la dirección de correo electrónico ***URL.2 para responder a sus socios. 5) Titularidad de los dominios ***URL.1, ***URL.2 y ***URL.
10. La fecha de alta del dominio ***URL.1 es el 15-01-2024 y su actualización el 23-
11. La fecha de alta del dominio ***URL.2 es 30-10-2024 y su actualización el 1302-
12. Los datos de titularidad de los dominios ***URL.1 y ***URL.2 son los mismos que los del dominio ***URL.3, tal y como consta en las actuaciones de investigación n.º AI/00284/2024 de la AEPD. El titular de los dominios ***URL.1, ***URL.2 y ***URL.3 es B.B.B., NIF: ***NIF.3; con Email y teléfono de contacto siguientes: ***EMAIL.3,***TELÉFONO.
13. No constan datos de la entidad ***CONSULTORÍA.1 ni (…) en la AEAT, pero sí en el Registro Mercantil de Colombia, donde ambas empresas aparecen dedicadas a “Actividades de centros de llamadas (call center)” y B.B.B. consta como representante legal (…) y gerente general de ***CONSULTORÍA.1 y, compartiendo ambas empresas además los mismos representantes legales, gerentes y suplentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 Sin embargo, el titular del teléfono contacto.: ***TELÉFONO.6 (…) ***URL.1, ***URL.2 y ***URL.3 es la empresa ***COMPAÑÍA.4 (en lo sucesivo, ***COMPAÑÍA.4) con CIF ***NIF.4 con domicilio ***DIRECCIÓN.4, según confirma el operador de la línea telefónica. Por este motivo, se solicitó información a ***COMPAÑÍA.4 como titular del teléfono de contacto de los 3 dominios ***URL.1, ***URL.2 y ***URL.3, que en su respuesta de 28/3/2024 manifiesta que: ***COMPAÑÍA.4 no realizó las llamadas, ni envió los SMS en cuestión y que no realiza campañas publicitarias directas, ni llamadas comerciales, tampoco dispone de ficheros de exclusión, ni la información requerida sobre el origen de los datos. ***COMPAÑÍA.4 desarrolla su actividad como intermediaria comercial, por lo que contrata colaboradores externos para la captación de clientes que visiten su página web y soliciten directamente información para la contratación de una auditoría energética. ***COMPAÑÍA.4 indica que ha suscrito con ***CONSULTORÍA.1 el contrato de colaboración que adjunta. El contrato establece expresamente la obligación de los colaboradores de actuar conforme a la legalidad vigente, considerándose causa de resolución inmediata cualquier incumplimiento en este sentido una empresa colaboradora, por lo que considera que correspondería a ***CONSULTORÍA.1 la responsabilidad sobre las comunicaciones en cuestión, así como sobre el uso de bases de datos, la ejecución de campañas publicitarias y el cumplimiento de la normativa en materia de protección de datos personales, incluyendo la legitimación del tratamiento y el consentimiento de los destinatarios de las comunicaciones comerciales. ***COMPAÑÍA.4 concluye que cualquier reclamación o aclaración debería dirigirse a ***CONSULTORÍA.1, como empresa directamente responsable de dichas acciones descritas. El objeto contrato de fecha 13/02/2024 aportado por ***COMPAÑÍA.4, es la cesión de bases de datos entre ***CONSULTORÍA.1, (E-mail es: (…) como cedente, ***COMPAÑÍA.4 como cesionario (E-mail: ***URL.2). En la cláusula primera se dice además que “ambas Partes son entidades dedicadas a la televenta en línea (“call center”) de productos y servicios, entre otros, del sector energético (electricidad y gas) y telecomunicaciones en España”. Y en el apartado 1.2 de la cláusula III se dice que” el Cedente vende y el Cesionario adquiere todos los registros (“leads”) de Bases de Datos que el Cedente obtenga por su actividad a través del formulario de contacto de la página web ***URL.1, a partir del día de hoy en adelante durante la vigencia del Contrato […]. “ En la 2ª parte del contrato, relativa a la “CESIÓN DE LAS BASES DE DATOS” apartado 2.1.: “La cesión de las Bases de Datos se producirá mediante la comunicación por el Cedente al Cesionario de los datos personales incluidos en los ficheros de datos titularidad del Cedente. El Cedente quedará obligado, con carácter previo a la comunicación de los datos cedidos al Cesionario, a recabar el consentimiento de los titulares de los mismos a la cesión, por los medios legalmente establecidos, para las condiciones y finalidades del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 Finalmente, el apartado 2.
14. del contrato dice que “Conforme a lo previsto en la cláusula 1.2, a fin de facilitar la actividad de la Cesionaria, las partes expresamente establecen que la remisión de los registros de la Base de Datos objeto de cesión se realizará en el tiempo más breve posible a contar desde el momento de la obtención de cada registro por parte del Cedente a través de la referida página web ***URL.1, para lo cual las partes habilitarán las comunicaciones y/o plataforma especialmente indicada a tal efecto, la cual deberá contar con las correspondientes medidas de seguridad”. 6) CONCLUSIÓN Por tanto, tras las actuaciones de investigación realizadas, no ha sido posible determinar la identidad de la comercializadora eléctrica en cuyo nombre actúa la gestoría que ha realizado las llamadas telefónicas de naturaleza comercial. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control, lo establecido en el artículo 114.1.b) de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones (en lo sucesivo LGTel) y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Actuaciones previas de investigación El artículo 67 de la LOPDGDD determina lo siguiente, respecto a las actuaciones previas de investigación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 “
15. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales.
16. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” III Caducidad de las actuaciones En relación con las actuaciones previas, el Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, en vigor en todo aquello que no contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la LOPDGDD, en su artículo 122.4 dispone que “El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. A tenor de lo dispuesto en los artículos transcritos, las actuaciones previas han de entenderse caducadas si, transcurridos más de dieciocho meses contados desde la fecha de admisión a trámite de la reclamación, no se ha procedido a dictar y notificar el acuerdo de inicio de procedimiento sancionador. En el presente supuesto el cómputo de los dieciocho meses de duración máxima de las actuaciones previas se inició el 1 de abril de 2024 sin que se haya iniciado un procedimiento sancionador, por lo que deben declararse caducadas. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DECLARAR la CADUCIDAD de las presentes actuaciones previas de investigación. SEGUNDO: NOTIFICAR la presente Resolución a la parte reclamante. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 907-271125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es