1/6 Expediente N.º: EXP202303139 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28/01/2023, se presentó reclamación con número de registro de entrada REGAGE23e00005713112 ante la Agencia Española de Protección de Datos contra SPOCK P2P, S.L. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: el responsable del sitio web spock.es promueve la realización de compras colectivas de energía eléctrica; que a tales efectos se recaban datos personales de consumidores que estén interesados en participar en un proceso de compra colectiva gestionado por el responsable; entre los datos solicitados se incluye una copia del DNI del titular del punto de suministro. SEGUNDO: SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), 26/04/2024 se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 07/05/2024, como consta en el certificado que obra en el expediente. TERCERO: Con fecha 28/04/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - Con fecha 21/06/2023 se accede al enlace facilitado por el reclamante https://app.spock.es/register? invitecode=60f7a7eba0dafb286bb8d772&_adin=132415900 y se ha verificado que contiene un apartado de política de privacidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Del análisis de la información que se facilita en dicho apartado se desprende que se aportan datos relativos a: Identidad del Responsable del tratamiento Finalidad del tratamiento Origen de los datos personales Criterios para determinar el plazo de conservación de los datos legitimación para el tratamiento Medidas de Seguridad Ejercicio de derechos Indica el procedimiento para solicitar el acceso, rectificación o supresión, la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos. Así como el derecho a retirar el consentimiento en cualquiera de sus finalidades También informa del derecho a presentar una reclamación ante la autoridad de control competente (Agencia Española de Protección de Datos) En el apartado de Aviso Legal, informa de las cesiones de datos. - Con fecha 11/09/2023 se solicita a la parte reclamada información relativa a su portal de internet. - En fecha 26/10/2023 se simula el proceso de alta verificando que solicita los siguientes datos: En un primer paso pide un número de teléfono móvil, un correo electrónico y una contraseña Seguidamente se recibe un código en el móvil y continúa solicitando los siguientes datos personales: Nombre Apellidos Dni Dirección del suministro Código CUPS No ha sido posible continuar con la simulación puesto que la página da el mensaje de que el formato de CUPS es inválido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 - Con fecha 18/01/2024 la parte reclamada responde al requerimiento de información de fecha 11/09/2023 y en su escrito manifiesta: - Que Spock.es es una plataforma cuya misión es la de poner en manos del pequeño consumidor herramientas que de forma fácil, transparente e imparcial les permita gestionar y reducir su coste energético. - Que el funcionamiento de las compras colectivas está totalmente detallado en el apartado Términos y condiciones de uso no obstante destacamos varios puntos: • Los titulares de los Suministros o sus representantes se inscriben a la compra colectiva que en cada momento esté vigente. • Spock valida que el usuario es el titular del suministro y le solicita autorización para acceder a las características y los datos técnicos de su consumo eléctrico a través de la plataforma Datadis del que formamos parte de su programa de Partners (ver anexo). • Los datos agregados y anonimizados de los participantes a una compra colectiva son suministrados a las Comercializadoras para que puedan dimensionar y realizar su mejor oferta. • La Comercializadora ganadora recibe la información de los participantes a fin generar los contratos y realizar la firma. - Que en el alta del usuario a la plataforma se le solicita la siguiente información: • Correo electrónico • y teléfono móvil. Y ambos datos son obligatorios y se validan vía email de confirmación y SMS de confirmación. - Que en el alta de un suministro solicitamos nombre y apellidos del titular, nº DNI del titular del suministro, dirección del suministro y nº de CUPS del suministro el email y teléfono móvil de la persona que firmara el contrato, así como el IBAN de la cuenta donde se domiciliaran los cargos. En el caso de empresa solicitamos el domicilio fiscal. No requerimos la copia del DNI. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. Hay que señalar que “spock.es es una plataforma cuya misión es la de poner en manos del pequeño consumidor herramientas que de forma fácil, transparente e imparcial les permita gestionar y reducir su coste energético. Actualmente realiza compras colectivas de luz y gas, esto es, facilita a sus usuarios el unirse para negociar de forma agregada sus tarifas de luz y de gas. Al hacerlo de forma totalmente automatizada gracias al uso intensivo de las tecnologías de información se logran importantes ahorros administrativos/operativos lo cual redunda en beneficio del usuario”. III De la documentación obrante en el expediente se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación del reclamado para ejercer la potestad sancionadora. El reclamante en su escrito manifiesta que en la plataforma spock.es se promueve la realización de compras colectivas de energía eléctrica y los interesados en participar deben aportar sus datos personales; entre los datos solicitados se incluye una copia del DNI del titular del punto de suministro (CUPS) y aunque existe casilla acerca de la política de privacidad, pero no se puede enlazar a ella, considerando que podría vulnerar la normativa en materia de protección de datos personales. De la documentación obrante en el expediente debe de concluirse que no existen elementos de juicio suficientes para proceder a la apertura de expediente sancionador. Así, en contra de los manifestado por la parte reclamante se ha comprobado que el enlace facilitado por el mismo suministra información relativa a política de seguridad y aviso legal. Y simulado el proceso de alta se ha verificado que el formulario solicita los siguientes datos: nombre, apellidos, DNI (no copia), dirección del suministro, código CUPS, además del número de móvil y dirección de correo electrónico que solicita con anterioridad al proceso de toma de datos. Por lo tanto, no ha podido constatarse que en el proceso se exija aportar copia del DNI, tal y como manifiesta el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 No obstante, en la respuesta ofrecida en fecha 18/01/2024 al requerimiento de información efectuado por el inspector actuante, en el punto 2.2 En el alta de un Suministro (electricidad o gas) solicitamos la siguiente información, se señala que “No requerimos la copia del DNI”, pero como se indicaba anteriormente esto no ha podido ser verificado. En este punto se hace necesario indicar que el Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: “No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible entre las infracciones previstas y sancionadas en el RGPD. IV Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER al ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a SPOCK P2P, S.L. con NIF ***NIF.1 y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es