AI-00165-2022

1/8  Expediente N.º: EXP202202261 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 1 de febrero de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra BIROU GAS, S.L., y FENÍE ENERGÍA, S.A. Los motivos en que basa la reclamación son los siguientes: El día 10 de enero de 2020, contrató, a través de un agente comercial al que se refiere como “A.A.A.”, el suministro de electricidad con Fenie. El 27 de enero de 2022, tras percatarse de que no recibe las facturas del suministro de electricidad, contactó con Fenie. Éste le comunica que su contrato ha sido dado de baja. Que según ha podido averiguar, tras contactar con A.A.A. y con un tercero al que éste le remite de nombre “B.B.B.”, desde el mes de octubre de 2021, su suministrador de electricidad es Birou. Que niega haber realizado o consentido la utilización de sus datos personales para realizar la contratación con Birou. Documentación relevante aportada por la parte reclamante: Factura de electricidad de fecha 17 de enero de 2022 emitida por Birou a nombre del reclamante en relación con el punto de suministro XXX (Código Unificado de Punto de Suministro -CUPS). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a BIROU GAS, S.L., y a FENÍE ENERGÍA, S.A., para que procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 24 de febrero de 2022 por Birou Gas y el día 28 de febrero de 2022 por Fenie Energia, como consta en los acuses de recibo que obran en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Con fecha 25 de febrero de 2022, se recibe en esta Agencia escrito de respuesta de Birou Gas indicando que el contrato fue introducido por Multigas asesores S.L. (en adelante Multigas). Añade que accedieron a realizar el alta ya que los datos introducidos eran correctos. Señala asimismo que procede a eliminar de sus sistemas los datos relativos al reclamante. Adjunta copia del contrato de suministro eléctrico a nombre del reclamante, de fecha 24 de septiembre de 2021. Incluye los siguientes datos personales del reclamante: nombre, apellidos, número de identificación fiscal (NIF), dirección, número de teléfono, correo electrónico, CUPS de electricidad, y número de cuenta bancaria a efectos de domiciliaciones. Estos datos coinciden con los consignados en el contrato suscrito con Fenie de fecha 11 de enero de 2020 (documento 1 adjuntado por Fenie). Contiene rubricas manuscritas en los apartados dedicados a la firma del cliente. El trazo parece distinto al plasmado en el contrato con Fenie. Fenie, con fecha del 25 de marzo de 2022 realiza las siguientes manifestaciones: “Con fecha 11 de enero de 2020, el Reclamante suscribió un contrato de suministro eléctrico con Feníe Energía que estuvo vigente hasta el 4 de octubre de 2021, fecha en la que se produjo un cambio de comercializadora. […] Y en lo tocante al cambio de comercializadora, Feníe Energía no dispone de ámbito de actuación alguno […] La CNMC establece una serie de procesos y pasos de comunicación entre comercializadoras y distribuidoras para realizar diversas gestiones […] En un cambio de comercializador intervienen tres actores; la comercializadora entrante que es la empresa que solicita el cambio, la distribuidora (UFD Distribución Electricidad, S.A.) que es quien realiza operativamente dicho cambio y la comercializadora saliente siendo la empresa en el momento actual antes del cambio. La comercializadora saliente, en este caso, Feníe Energía, tiene una posición pasiva, esto es, únicamente recibe dos comunicaciones por parte de la distribuidora, el de aceptación y el de activación del cambio que se reducen coloquialmente a “este cliente se va a ir” y “este cliente se fue”, sin saber con quién. No hay, por tanto, acción alguna que pueda ejecutar para evitarlo. […] Feníe Energía no tiene modo alguno de saber cómo la comercializadora Logos Energía ha conseguido los datos personales del Reclamante, ni qué título [sic] habilitante ha utilizado para acreditar la contratación. Asimismo, informar que el citado “A.A.A.”, siendo este el nombre comercial y, D. C.C.C. el nombre real, fue agente colaborador de Feníe Energía en virtud de un acuerdo de colaboración, pero que no crea, insinúa o demuestra ninguna asociación ni empresa conjunta entre las Partes, ni ninguna relación entre ellas como poderdante y apoderado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 […] Es decir, de nuevo, Feníe Energía no dispone de marco de actuación alguno en la actividad de D. C.C.C.. No obstante, por si pudiera ser ayuda en el caso que no ocupa, indicarles que esta parte ha tenido conocimiento de que D. C.C.C. ha vendido al menos parte de la cartera a un tercero, aunque desconocemos en qué términos y condiciones.” Adjunta la siguiente documentación:  Documento 1: copia del contrato de suministro de energía eléctrica de fecha 11 de enero de 2020 para el CUPS XXX suscrito entre el reclamante y Fenie. Contiene rubrica manuscrita en el apartado dedicado a firma del cliente  Documento 2: copia del mensaje en formato “XML” que manifiesta haber recibido como parte del proceso de cambio de comercializadora del reclamante para la “aceptación del cambio” (“XML” es un formato que permite la definición de gramáticas para el intercambio de información entre aplicaciones). El mensaje en concreto contiene los siguientes datos: Tipo de mensaje: “MensajeAceptacionCambiodeComercializadorSaliente” Código del proceso: “C1”. Código del paso: “11” Código de solicitud: “YYY” CUPS: “XXX” Fecha de solicitud: “2021-10-04”  Referido como documento 3: copia del mensaje en formato XML que manifiesta haber recibido como parte del proceso de cambio de comercializadora del reclamante para la “activación del cambio”. El mensaje en concreto contiene los siguientes datos: Tipo de mensaje: “MensajeActivacionComercializadorSaliente” Código del proceso: “C1”. Código del paso: “06” Código de solicitud: “YYY” CUPS: “XXX” Fecha de solicitud: “2021-10-05” Fecha de activación prevista: “2021-10-04”  Referido como documento 4: extracto (págs. 53 a 64) del documento INF/DE/152/15 de la CNMC que contiene el epígrafe titulado “Formato del fichero C1: Cambio de comercializador sin modificaciones en el contrato de acceso”. En el documento no se observa que exista un proceso de verificación de la comercializadora saliente que posibilitara un rechazo por su parte de la solicitud de cambio iniciada. Incluye información sobre los mensajes intercambiados en los diferentes pasos del proceso, incluyendo un flujograma del mismo. Se extrae el siguiente texto: “El formato de los ficheros de intercambio para ejecutar un cambio de comercializador sin modificaciones en el contrato de acceso consta de los siguientes pasos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 […] Paso 06: Comunicación de la activación del cambio de comercializador del distribuidor al comercializador saliente. […] Paso 11: Comunicación por el distribuidor al comercializador saliente de la aceptación de una solicitud de cambio de comercializador.” TERCERO: Con fecha 11 de abril de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Se dirigió un requerimiento a Birou al objeto de ampliar la información sobre los hechos acaecidos en relación con los siguientes extremos: “Según ha manifestado en los escritos anteriores, la contratación se realizó el día 24 de septiembre de 2021 a través de un tercero (MULTIGAS ASESORES S.L.). En relación con estos hechos se solicita: - Copia del contrato firmado entre BIROU GAS, S.L. y MULTIGAS ASESORES S.L. en virtud del que se efectuó la contratación del reclamante. - En caso de que no se encuentre incluido en el clausulado del contrato referido en el párrafo anterior, copia del contrato o acto jurídico suscrito entre BIROU GAS, S.L. y MULTIGAS ASESORES S.L. en cumplimiento del artículo 28 del RGPD. - Indicar si BIROU GAS, S.L. ha facilitado instrucciones a MULTIGAS ASESORES S.L. para realizar las altas de productos o servicios en relación con el tratamiento de los datos personales recabados. En tal caso aportar copia de las instrucciones facilitadas y evidencias de su entrega a MULTIGAS ASESORES S.L. - Indicar si BIROU GAS, S.L. ha facilitado, en concreto, instrucciones a MULTIGAS ASESORES S.L. sobre qué información debe recabar para acreditar la identidad del cliente antes de proceder a la contratación. En tal caso aportar copia de las evidencias obtenidas para la contratación del reclamante. - Indicar si BIROU GAS, S.L. realiza controles sobre MULTIGAS ASESORES S.L. con el objeto de verificar que cumple con las instrucciones citadas anteriormente. En tal caso aportar la información y documentación acreditativa de la ejecución de tales controles.” El requerimiento anterior fue realizado tanto por vía electrónica como postal. En ambos casos existe constancia de entrega al destinatario (Birou). No hay constancia de respuesta a la solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Adicionalmente se ha dirigido un requerimiento de información a Multigas en los siguientes términos: - “Copia de los datos personales asociados a D.D.D. (NIF ***NIF.1) de que disponga con indicación de la finalidad y base jurídica para su tratamiento. - Copia del contrato firmado entre BIROU GAS, S.L. y MULTIGAS ASESORES S.L. en virtud del que se efectuó el contrato adjunto. Indicar si MULTIGAS ASESORES S.L. recabó/verificó información/documentación para acreditar la identidad y consentimiento del cliente a la contratación. En tal caso aportar copia de las evidencias de que disponga. - Indicar si BIROU GAS, S.L. ha facilitado instrucciones a MULTIGAS ASESORES S.L. para realizar las altas de productos o servicios en relación con el tratamiento de los datos personales recabados. En tal caso aportar copia de las instrucciones facilitadas y evidencias de su entrega a MULTIGAS ASESORES S.L. - Indicar si BIROU GAS, S.L. realiza controles sobre MULTIGAS ASESORES S.L. con el objeto de verificar que cumple con las instrucciones citadas anteriormente. En tal caso aportar la información y documentación acreditativa de la ejecución de tales controles.” El requerimiento anterior fue realizado tanto por vía electrónica como postal. En ambos casos existe constancia de entrega al destinatario (Multigas). No hay constancia de respuesta a la solicitud. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
3. a)la seudonimización y el cifrado de datos personales;
4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Legitimación del tratamiento Por su parte, el artículo 6.1 del RGPD establece lo siguiente: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8
11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV Conclusión Refiere el reclamante que, sin su participación ni consentimiento, se suscribió un contrato con la sociedad BIROU GAS, S.L. (Birou). Según señala, un intermediario conocedor de sus datos personales -pues habría mediado en la contratación efectivamente realizada con su suministrador, FENÍE ENERGÍA, S.A. (Fenie) - podría haber efectuado el cambio en su nombre. Birou ha facilitado la copia del contrato realizado a nombre del reclamante de fecha 24 de septiembre de 2021. Se ha podido comprobar que este contrato incluye los mismos datos personales que el contrato suscrito por el reclamante con Fenie el día 11 de enero de 2020. Birou añade que la contratación fue realizada a través de MULTIGAS ASESORES, S.L. (Multigas), y como evidencia de la misma refiere documentos adicionales a la existencia del contrato. En los sistemas de información de Birou figura el día el 29 de septiembre de 2021 como fecha de firma del contrato, y el 9 de febrero de 2022 como fecha de baja del mismo. Sobre esto último Birou señala que, tras recibir el traslado de la AEPD, procedió a eliminar de sus sistemas los datos del reclamante. Gestiones posteriores realizadas por la Inspección de la AEPD no han permitido la obtención de evidencias adicionales. Por lo tanto, en base a lo indicado en los párrafos anteriores, puede considerarse que en el momento actual no existe evidencia suficiente para acreditar la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, ya que los datos personales que obraban en poder de la reclamada, aparentemente lo hacían en virtud de contrato firmado por la parte reclamante, existiendo, por tanto, legitimación para su tratamiento. En consecuencia, y en aplicación del principio de presunción de inocencia, procede acordar el archivo de actuaciones, sin perjuicio de posteriores procedimientos que, en su caso, puedan iniciarse en caso de obtención de nuevas evidencias. De acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución a BIROU GAS, S.L., a FENÍE ENERGÍA, S.A., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
14. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es