← España

AI-00208-2022

1/17  Expediente N.º: EXP202202292 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 11 de febrero de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra ECOIMPERIA S.L. (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que, tras recibir una llamada de teléfono en la que se identifican como su empresa suministradora, le realizan un cambio de contrato a la entidad reclamada sin su consentimiento, teniendo la reclamada todos sus datos personales previamente. Acompaña a su escrito de reclamación contrato de 3 de noviembre de

  1. Documentación relevante aportada por la parte reclamante: - Contrato (sin firmar) con fecha 3 de noviembre de
  2. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogido por el responsable; reiterándose el traslado en fecha 7 de marzo de 2022 por correo postal certificado, fue nuevamente devuelto por ausente. TERCERO: Con fecha 11 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 niendo conocimiento de los siguientes extremos: Revisado el contrato presentado por la parte reclamante, se evidencia que la comercializadora entrante es la entidad FACTOR ENERGÍA, S.A., siendo ENCIENDE ENERGÍA el agente autorizado de ventas. Este último también actúa como proveedor de servicios de mantenimiento, tal como se especifica en el Anexo III. Servicio De Asesoría Comercial y Energética: “Adicionalmente a los contratos de servicios de suministro y mantenimiento contratados por EL Cliente a Factor Energía, El Cliente contrata con BONTECU, S.L. con CIF B069741451 en adelante “ENCIENDE ENERGÍA” alguno de los servicios descritos en la tabla anterior.” 1.- Con fecha 11 de julio de 2022, se realiza un requerimiento de información a FACTOR solicitándole, entre otros puntos, la descripción del procedimiento de cambio de comercializador a FACTOR para una persona física inicialmente titular de un contrato con otro comercializador y evidencias de la contratación con la parte reclamante. FACTOR responde a este requerimiento de información con fecha 29 de julio de 2022, proporcionando la siguiente información y manifestaciones: -. En las manifestaciones previas de su escrito, esta entidad advierte que la reclamante dirige su reclamación frente a ECO IMPERIA energía (ENCIENDE ENERGÍA) y no frente a FACTOR. -. Que, según consta en sus registros, la parte reclamante firmó un contrato de suministro de energía eléctrica con FACTOR. -. Que la mencionada contratación fue realizada a través de una empresa agente externa a la compañía denominada BONTECU que actúa bajo la marca o nombre comercial ENCIENDE ENERGÍA. BONTECU es una mercantil que actúa de agente comercial como canal de ventas para FACTOR mediante modalidad de venta telefónica (televenta). -. Que, en la llamada relativa a dicha contratación, el agente se presentó como ENCIENDE ENERGÍA, agente autorizado de FACTOR, y se recabaron por parte del agente todos los datos personales de la parte reclamante para cumplimentar el contrato de suministro. También se recabó el consentimiento de forma verbal por vía telefónica, tras lo cual se realizó la confirmación de la contratación por medios electrónicos a través de un SMS enviado a la titular del punto de suministro para confirmar la contratación, que incluye un enlace para poder visualizar el borrador del contrato en cuestión. La confirmación de la contratación se produce mediante la contestación de SMS con un SI, certificado por un tercero de confianza. -. Que dicha empresa agente es propietaria de su propia base de datos y, por tanto, responsable del tratamiento y así fue informada la reclamante en la llamada de contratación, indicándole que sus datos proceden del fichero ***FICHERO.1 y comunicándole la dirección electrónica donde puede ejercer sus derechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 -. Que FACTOR incorpora los datos personales aportados por la parte reclamante al agente a partir de que el citado canal de ventas le remite el contrato de suministro para activar el cambio de comercializador, no disponiendo de los mismos con carácter previo. -. Que, tras la correspondiente validación por parte del personal de FACTOR, se solicita a la empresa distribuidora el cambio de comercializador y se inicia la relación contractual tras la confirmación del cambio de comercializador por parte de la empresa distribuidora. -. Que la mencionada validación consistió en comprobar que el canal había puesto a disposición de FACTOR: .- Copia íntegra del contrato de suministro suscrito con el cliente, .- Audio de la llamada de contratación con toda la información precontractual necesaria, .- Certificado emitido por el tercero de confianza. -. A petición de la Agencia y como respuesta al requerimiento de información, FACTOR proporciona copia del Registro de Actividades de Tratamiento de Clientes Potenciales, es decir, aquellos interesados que ya han firmado un contrato con FACTOR, pero aún no se ha iniciado el suministro al no constar activo aún el cambio de comercializador. El texto aportado contiene la información exigida: .- Información sobre el responsable y el delegado de protección de datos; .- Categorías de datos personales y de los interesados; .- Finalidad y base jurídica; .- Categorías de destinatarios a quienes se comunican los datos personales; .- Plazo de supresión. -. FACTOR también facilita copia del contenido incluido en el Análisis o Evaluación de Riesgos en cumplimiento del artículo 32 del RGPD, indicando que existe un riesgo bajo. -. La entidad prosigue describiendo el procedimiento de cambio de comercializador a FACTOR para una persona física inicialmente titular de un contrato con otro comercializador. “[…] Para que se pueda dar el cambio de comercializador debe mediar el efectivo consentimiento del titular del punto de suministro a través de la firma o confirmación de la contratación por los medios admitidos en derecho. La comercialización puede ser a cargo de personal propio o de agentes mercantiles con los que FACTOR mantenga un contrato mercantil de agencia. Tras la oportuna validación se procede a solicitar a la empresa distribuidora el cambio de comercializador […]”. En el caso de contrataciones a través de canales de venta en modalidad de televenta, como es el caso reclamado, la comercialización y contratación se lleva a cabo por la empresa externa colaboradora. Hasta que la empresa externa agente mercantil C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 de FACTOR no envía el contrato confirmado para su validación y activación con FACTOR, la entidad FACTOR no dispone de los de dichos datos. A partir de la recepción del contrato de suministro remitido por el agente a FACTOR es cuando se incorporan por primera vez dichos datos en su registro interno de clientes potenciales. La entidad continúa describiendo el proceso de validación y detallando las medidas técnicas y organizativas de FACTOR para garantizar que se sigue el procedimiento establecido. “En el proceso de validación, se comprueba que toda la documentación aportada, así como los datos personales y del punto de suministro, concuerdan con lo mencionado por el cliente en la llamada. Adicionalmente, la confirmación de la contratación realizada por el agente externo se produce mediante la contestación de dicho SMS con un SÍ, todo ello certificado por un tercero de confianza que recoge las evidencias de todo el proceso y el contenido del contrato realizado, que también es comprobado por el departamento interno de FACTOR. Concretamente, se comprueba que el agente mercantil externo ha remitido el contrato firmado, la llamada de contratación y el certificado emitido por el tercero de confianza (SMS certificado)” -. FACTOR aporta las siguientes evidencias: 1.- Copia del contrato de suministro de energía eléctrica suscrito entre FACTOR y la reclamante (este documento coincide con el contrato facilitado por la reclamante). Vigente desde el 7 de diciembre de 2021 hasta el 25 de enero de
  3. 2.- Copia del certificado de comunicación electrónica - contrato SMS, con LLEIDANETWORKS (en adelante Lleida.net) en calidad de tercero de confianza. Acredita la respuesta con un “SI” al mensaje enviado para la formalización del contrato objeto de la reclamación, mensaje que incluye un enlace a dicho contrato. El certificado indica que la respuesta está enviada con fecha 3 de noviembre de 2021 a las 18:01 desde el número de teléfono ***TELÉFONO.1, número perteneciente a la reclamante y que consta en el recibo de presentación de la reclamación. El anexo no incluye la firma electrónica del tercero de confianza (pero FACTOR lo proporcionará más adelante en su respuesta al segundo requerimiento de información). 3.- Capturas de pantalla de la fecha de alta y vigencia del contrato: activación el 07/12/2021 y baja el 25/01/
  4. 4.- Información de dos facturas emitidas, constando ambas impagadas. Se confirma que el contrato que se puede descargar del enlace de Lleida.net proporcionado por FACTOR es el mismo documento que el presentado en la reclamación. Con fecha 22 de noviembre de 2022, se comprueba que Lleida.net es una operadora de telecomunicaciones en varios países, entre ellos España, donde cuenta con licencia de la CNMC para operar como tal. Es un prestador de servicios electrónicos de confianza cualificado conforme lo establecido en el Reglamento eIDAS para toda la Unión Europea y proporciona el Servicio cualificado de entrega electrónica certificada, según consta publicado en la web del Ministerio de Asuntos Económicos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Transformación Digital. Se confirma pues que, tal como certifica Lleida,net, la reclamante ha expresado su consentimiento para formalizar el contrato objeto de la reclamación. 2.- Con fecha 23 de noviembre de 2022, se busca información en el servicio Monitoriza de https://www.axesor.es/ sobre las tres empresas involucradas en esta reclamación. Se observa que ECOIMPERIA pertenece al grupo económico VISALIA ENERGIA SL y tiene como presidente a A.A.A. desde la fecha 08 de junio de 2021, mientras que BONTECU tiene a esta misma persona como accionista, socio único y administrador único desde la fecha 19 de julio de
  5. Es destacable que el CIF de ECOIMPERIA obtenido en AXESOR es el mismo CIF que el que aparece en el enlace de aviso legal de ENCIENDE ENERGIA. 3.- Con fecha 23 de noviembre de 2022, se realiza un segundo requerimiento de ampliación de información a FACTOR solicitándole, entre otros puntos, copia del contrato entre FACTOR y BONTECU, copia de la grabación de la llamada telefónica donde la reclamante expresa consentimiento para la realización del contrato y documentación acreditativa del consentimiento otorgado por la reclamante para ser contactada por motivos comerciales en nombre de FACTOR. FACTOR responde a este requerimiento de información, con fecha 23 de diciembre de 2022, aportando la siguiente información: -. Copia del contrato entre las entidades DOC#Contrato, contrato de agencia de televenta. FACTOR y BONTECU: -. Archivo de audio ***AUDIO.1con la grabación de la llamada de contratación realizada en fecha 3 de noviembre de 2021 a la reclamante, relativa a la contratación de suministro de energía eléctrica con FACTOR por parte de la empresa agente BONTECU. -. Copia del certificado del tercero de confianza que acredita la confirmación de la contratación, similar al entregado en la respuesta al primer requerimiento. Este certificado del tercero de confianza tiene fecha de firma 3 de noviembre de 2021, que coincide con la fecha de realización de la llamada, es decir, es justo posterior a la llamada realizada en esa fecha, lo que acredita el consentimiento de la reclamante para el tratamiento de sus datos a la hora de formalizar el cambio de comercializadora, pero no acredita su consentimiento para ser contactada por motivos comerciales. Respecto al contrato de agencia de televenta ***CONTRATO.1 facilitado por FACTOR, intervienen BONTECU como el Agente y FACTOR como la empresa, cuya actividad principal consiste en la comercialización de energía eléctrica y gas natural. En EXPONEN II, se informa de que “el agente es una compañía totalmente ajena a la empresa […] que se dedica a la actividad de promoción de la comercialización de productos diversos […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 En EXPONEN III, se indica que “el agente colaborará con la empresa para llevar a cabo su estrategia comercial, dar cobertura comercial y realizar determinadas campañas.” En la cláusula PRIMERA, Objeto y alcance, se establece que el agente se obliga ante la empresa a realizar los siguientes trabajos y servicios necesarios para la realización de campañas de venta telefónica: *. Prospección comercial *. Presentación de ofertas a través de emisión de llamadas *. Captura de información *. Grabación de voz del proceso de contratación *. Cierre de venta *. Validación telefónica y validación del consentimiento con medios electrónicos (SMS) *. Registro del contrato en la plataforma de la empresa En la cláusula VIGESIMOSEGUNDA, Protección de datos de carácter personal, se anuncia: “Para cumplir con la actividad de agencia objeto del presente Contrato, el AGENTE declara que es titular de un fichero con datos de contacto de potenciales clientes en el mercado que ha sido obtenido de forma lícita, estando legitimado para realizar el tratamiento de los datos en los términos de la prestación de servicios de captación de clientes que le ha sido encomendada por LA EMPRESA. Para ello, EL AGENTE deberá especificar en el Anexo7 relativo a la protección de datos el origen del cual ha obtenido dichos datos. EL AGENTE actuará como Encargado del Tratamiento para la recogida y registro de los datos personales del interesado en suscribir un contrato de suministro de energía, siendo la EMPRESA el Responsable del Tratamiento, quien manifiesta y garantiza que todo tratamiento de datos de carácter personal se realizará cumpliendo con lo previsto en el RGPD y la LOPDGDD. Respecto de los datos de carácter personal obtenidos como resultado de la ejecución de este Contrato, EL AGENTE se obliga a utilizar o aplicar los datos de carácter personal obtenidos en ejecución de Contrato de acuerdo con las instrucciones impartidas por LA EMPRESA y únicamente con la finalidad de cumplimiento del Objeto del presente Contrato, asegurándose de que los datos objeto de tratamiento sean manejados Únicamente por aquellos empleados cuya intervención sea precisa para la finalidad contractual.” (Nota: el subrayado ha sido incorporado por la Agencia) Se continúa aportando la siguiente comunicación en el Anexo 7, Protección de datos de carácter personal: “[..] el AGENTE declara que es titular de un fichero con datos de contacto de potenciales clientes. […] Para ello, EL AGENTE declara mediante las presentes cláusulas que los datos de contacto de los potenciales clientes que serán los destinatarios de su actividad de captación se han obtenido por proceder de una cesión legítima o de fuentes de acceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 público disponibles sin restricciones y se efectúa según los requisitos admisibles en el RGPD. EL AGENTE realizará la emisión de llamadas actuando como Responsable del Tratamiento en su calidad de titular de la base de datos y bajo su cuenta y responsabilidad. Que la legitimación para el tratamiento del fichero de datos personales de contacto procede de (marcar opción según corresponda): Una cesión legítima: (especificar)_____________________________ Fuentes accesibles al público: (especificar) _____________________ El consentimiento del Interesado (Adjuntar modelo donde se recaba el consentimiento del interesado para ofrecer el servicio/producto objeto de este contrato) Ejecución de un contrato (Adjuntar modelo de contrato que legitima el tratamiento para la emisión de llamadas comerciales) Otras circunstancias: (especificar) _________________________ […] A partir del momento en que el potencial cliente acepte la finalidad comercial de la llamada, en caso de que el mismo otorgue su consentimiento a la contratación del producto de LA EMPRESA mediante la suscripción del correspondiente contrato, EL AGENTE actuará como Encargado del tratamiento para la recogida y registro de los datos personales del interesado, siendo LA EMPRESA el Responsable del Tratamiento.” (Nota: el subrayado ha sido incorporado por la Agencia) A partir de aquí se especifica el contrato de encargo del tratamiento, estableciendo el objeto, identificación de información afectada, duración y obligaciones tanto del encargado del tratamiento como del responsable. En cuanto al archivo de audio ***AUDIO.1 facilitado por FACTOR, se aprecia que el discurso del Agente que realiza la llamada coincide con lo especificado en el Anexo 8 del contrato ***CONTRATO.1 aportado por FACTOR. El Agente comienza identificándose con su nombre y prosigue informando que “le llamo de ENCIENDE ENERGÍA, agente autorizado de FACTOR ENERGÍA para ofrecerle una oferta […] Sus datos proceden del fichero ***FICHERO.1S.L. con la titularidad de ENCIENDE ENERGÍA. En cualquier momento puede ejercer sus derechos dirigiéndose a la dirección electrónica […]” El Agente continúa describiendo la Oferta y solicita los datos. La reclamante proporciona en ese momento los siguientes datos: Nombre completo, DNI, Fecha de nacimiento, teléfono móvil, correo electrónico, dirección del punto de suministro. Autoriza el pago por cuenta bancaria y proporciona el número de cuenta bancaria, del banco XXXX. 4.- Con fecha 23 de noviembre de 2022, se realiza un requerimiento de información a BONTECU solicitándole, entre otros puntos, documentación acreditativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 del consentimiento otorgado por la reclamante para ser contactada por motivos comerciales en nombre de FACTOR, origen de todos los datos personales de la reclamante y modo de obtención de dichos datos. BONTECU responde a este requerimiento de información con fecha 9 de diciembre de 2022 facilitando la siguiente documentación a petición de la Agencia: *. ***DOCUMENTO.1- Registro de Actividad de Tratamiento (RAT) de la Organización. *. B#DOC#2- Análisis de Riesgos (AR). *. B#DOC#3 - Contrato de prestación de servicio entre BONTECU y FACTOR. *. B#DOC#4 – Contrato de Agencia (Televenta) entre BONTECU y un AGENTE EXTERNO. *. B#DOC#5 – Disolución en Junta General de la sociedad ECOIMPERIA S.L. *. B#DOC#6 - Contrato de suministro que los clientes firman. *. B#DOC#7 – Email contestación por parte de FACTOR ENERGÍA, de no colaboración con la entidad. *. B#DOC#8 - Captura de pantalla de sus sistemas con ningún dato asociado a la reclamante. BONTECU, en su escrito de respuesta, remite a esta Agencia la siguiente información y manifestaciones: -. BONTECU anexa el documento ***DOCUMENTO.1 (RAT), que contiene el Nombre y datos de contacto del Responsable del tratamiento, del Representante del Responsable y del Delegado de protección de datos (DPO), y, para cada tratamiento: *. Fines del tratamiento. *. Descripción de las categorías de interesados. *. Descripción de las categorías de datos. *. Categorías de Destinatarios. *. Transferencias de datos a terceros países, con la identificación de estos. *. Plazos previstos para la supresión de las diferentes categorías de datos. *. Descripción general de las medidas técnicas y organizativas de seguridad. El fichero relativo a esta reclamación sería el N.º 4, CONTACTOS, con la siguiente información:
  6. CONTACTOS Tratamiento *. Descripción: Comunicación, información y gestión sobre productos y servicios. Incluye contactos web y redes sociales *. Finalidades: Publicidad y prospección comercial *. Legitimación: Consentimiento EXPLÍCITO para fines determinados (artículo 6.1.a GDPR) *. Origen de los datos: El mismo interesado o su representante legal *. Categorías de interesados: Clientes y usuarios, Personas de contacto, Solicitantes *. Criterios de conservación: Conservados durante no más tiempo del necesario para mantener el fin del tratamiento o mientras existan prescripciones legales que dicC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 taminen su custodia *. Sistema de tratamiento: Parcialmente Automatizado Categorías de datos *. Datos identificativos: DNI o NIF, Nombre y apellidos, Dirección postal o electrónica, Teléfono *. Categorías de datos especiales o penales: No existen *. Otro tipo de datos: Información comercial Categorías de destinatarios *. Cesiones: No existen *. Transferencias internacionales: No existen -. BONTECU anexa el documento ***DOCUMENTO.2 (Análisis de riesgos). En él se estudian las operaciones de tratamiento llevadas a cabo con los datos con el fin de diagnosticar si existen riesgos para la protección de los derechos y libertades de los interesados y se implementan medidas técnicas y organizativas para cada uno. -. BONTECU anexa el documento ***DOCUMENTO.3 (Contrato de prestación de servicio entre BONTECU y FACTOR), cuyo objeto es prestar servicios de asesoramiento energético por parte de BONTECU (el proveedor) a FACTOR. Firmado en septiembre de
  7. En la cláusula NOVENA, Protección de datos personales, se especifica que: “[…] la prestación del servicio objeto del presente contrato por parte de El proveedor implicará el acceso de ésta a la información sobre datos de carácter personal titularidad de FACTOR […] El acceso a los datos personales titularidad de FACTOR por parte de El proveedor no tendrá la consideración legal de comunicación o cesión de datos, sino de simple acceso a los mismos como elemento necesario para la realización del servicio contratado […] En el servicio contratado el proveedor actuará como encargado del tratamiento, siendo FACTOR el responsable de los datos, que manifiesta y garantiza que todos los datos personales objeto de tratamiento han sido obtenidos de forma legítima y conforme a lo establecido en la normativa de Protección de Datos (concretamente, a través de la suscripción del correspondiente contrato de suministro y, en su caso, servicios adicionales).” En relación con estos datos personales, el proveedor se obliga (entre otros) a: *. Utilizarlos exclusivamente para la realización del servicio contractualmente pactado. *. No comunicarlos. *. Destruir los datos de carácter personal una vez finalizada la prestación contractual que motivó el acceso de El proveedor a los ficheros de FACTOR. En la cláusula UNDÉCIMA, Subcontratación, se establece que el proveedor podrá subcontratar con terceros la ejecución de los trabajos. -. BONTECU anexa el documento ***DOCUMENTO.4 (Contrato de Agencia (Televenta) entre BONTECU y un AGENTE EXTERNO) firmado 10 de agosto de 2021, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 aunque en la cabecera pone 14 julio de
  8. Este documento es idéntico al contrato de agencia de televenta ***CONTRATO.1 firmado entre FACTOR y BONTECU, salvo que el documento ***DOCUMENTO.5 no contiene la cláusula VIGESIMO PRIMERA, Uso de marca del Agente ni el Anexo 8, Argumentario, y se ha modificado el Anexo II, Condiciones económicas para el cliente residencial. En este caso, el contrato lo firma B.B.B. DNI: ***NIF.21 con domicilio en ***DIRECCIÓN.1 como Agente (“que se dedica a la actividad de promoción de la comercialización de productos diversos”) y BONTECU como empresa, cuya actividad principal consiste en la comercialización de energía eléctrica y gas natural. Al igual que se especificaba en el contrato ***CONTRATO.1entre FACTOR y BONTECU, en la cláusula VIGÉSIMOSEGUNDA, Protección de datos de carácter personal, se anuncia: “Para cumplir con la actividad de agencia objeto del presente Contrato, el AGENTE declara que es titular de un fichero con datos de contacto de potenciales clientes […] Para ello, EL AGENTE deberá especificar en el Anexo7 relativo a la protección de datos el origen del cual ha obtenido dichos datos.” En este Anexo 7 también se comunica que “A partir del momento en que el potencial cliente acepte la finalidad comercial de la llamada, en caso de que el mismo otorgue su consentimiento a la contratación del producto de LA EMPRESA mediante la suscripción del correspondiente contrato, EL AGENTE actuará como Encargado del tratamiento para la recogida y registro de los datos personales del interesado, siendo LA EMPRESA el Responsable del Tratamiento.” y se prosigue con la especificación del contrato de encargo del tratamiento. -. Respecto a la información solicitada sobre la relación entre las entidades BONTECU y ECOIMPERIA, se informa de que ECOIMPERIA es una sociedad disuelta, sin actividad y se anexa B#DOC#5, Disolución en Junta General de la sociedad ECOIMPERIA con fecha 22 de febrero de
  9. BONTECU aclara que la relación entre ambas entidades es que A.A.A. era uno de los socios administradores de ECOIMPERIA y lo es actualmente de BONTECU. -. BONTECU señala que ENCIENDE ENERGIA es el nombre comercial de BONTECU, Marca registrada por la sociedad. -. En relación con la solicitud de la Agencia de información sobre el procedimiento de BONTECU establecido para la captación de nuevos clientes, origen de los datos de carácter personal que se utilizan como base para dicha campaña comercial y modo de obtención de dichos datos, BONTECU facilita el documento ***DOCUMENTO.6, Contrato de suministro que los clientes firman, y añade que “En el anexo I de dicho contrato de prestación se da el consentimiento expreso en materia de protección de datos. El cliente autoriza expresamente a FACTOR ENERGIA S.A para que, actuando en calidad de sustituto del cliente, suscriba con la empresa distribuidora el contrato de acceso a la red de distribución y para el tratamiento de sus datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 personales y comunicaciones por medios electrónicos, conforme al art. 4 RGPD.” BONTECU también proporciona ***DOCUMENTO.7, copia del email contestación de FACTOR de no colaboración puesto que ya había aportado directamente a la Agencia la documentación solicitada por BONTECU sobre la contratación por parte de la reclamante. -. Respecto a la petición de capturas de pantalla de todos los datos obrantes en BONTECU asociados a la reclamante y origen de dichos datos, BONTECU aporta ***DOCUMENTO.8, captura de pantalla de sus sistemas con ningún dato asociado a la reclamante, y explica que: “Una vez el contrato es subido a la plataforma (software) de FACTOR ENERGÍA y tras la formalización del contrato, tras la captación del cliente por parte de BONTECU DISTRIBUCIONES S.L. el contrato de suministro desaparece de los sistemas accesibles de BONTECU DISTRIBUCIONES S.L. tras un mes. BONTECU promociona los suministros comercializados por FACTOR ENERGÍA, conforme a las instrucciones y programas de actuación determinados por FACTOR ENERGÍA, contenidos en los contratos de los DOC. 4 y
  10. La obtención de los datos como se observa en el contrato consiste en que la entidad BONTECU DISTRIBUCIONES S.L. es una sociedad ajena a FACTOR ENERGÍA, especializada en comercialización de servicios.” (Nota: el subrayado ha sido incorporado por la Agencia) -. Con relación a la solicitud de documentación acreditativa del consentimiento otorgado por la reclamante para ser contactada por motivos comerciales en nombre de FACTOR, BONTECU de nuevo se basa en el documento ***DOCUMENTO.6, en el que se concede consentimiento posteriormente, una vez se ha aceptado el contrato, pero BONTECU no aporta el consentimiento otorgado previamente a la realización de la llamada. 5.- Con fecha 6 de febrero de 2023 se realiza un segundo requerimiento de información a BONTECU solicitándole documentación acreditativa del consentimiento otorgado por la reclamante previo a la realización de la llamada de contratación, el Anexo 7 completado del contrato entre la entidad BONTECU y B.B.B.. (es decir, anexo que incluya la información sobre la legitimación para el tratamiento del fichero de datos personales de contacto proporcionado por B.B.B.) y copia del contrato suscrito con XXXX o cualquier otro documento acreditativo de la compra del fichero del cual se han obtenido los datos personales de la reclamante. BONTECU responde a este requerimiento de información en la fecha 13 de febrero de 2023 proporcionando un único documento en el que se facilita la siguiente información y manifestaciones: -. Que el consentimiento otorgado por la reclamante es recabado por B.B.B., como Responsable del tratamiento de los datos, que realiza campañas de venta telefónica para la contratación de suministros energéticos a potenciales clientes. BONTECU continúa explicando que en el anexo 7 del contrato de Agencia facilitado (B#DOC#4) se detalla el procesamiento de datos que se realiza. El Agente “declara ser titular del fichero con los datos de los potenciales clientes y Responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 del tratamiento, así se declara de forma expresa en dicho anexo. El Agente realiza la emisión de llamadas actuando como Responsable del Tratamiento en calidad de titular de dicha base de datos. En cumplimiento de la normativa en materia de Protección de Datos, como obligación del RGPD, tiene el deber de informar al cliente/usuario sobre los datos que se recaban: con qué finalidad, durante cuánto tiempo, si se van a ceder a terceros, o las vías para ejercer sus derechos. De él depende la licitud del tratamiento y el respeto a la ley. Por lo tanto, es el Responsable quien debe probar en todo momento que ha obtenido el consentimiento, documentación que no es accesible por BONTECU y que deberá ser solicitado a dicho Responsable a fin de acreditarlo.” -. A la petición de la Agencia del Anexo 7 completado del contrato entre la entidad BONTECU y B.B.B.., es decir, anexo que incluya la información sobre la legitimación para el tratamiento del fichero de datos personales de contacto proporcionado por, BONTECU responde: “Se adjunta - Contrato de Agencia con B.B.B. con el anexo 7 “completado” sobre el procesamiento de datos llevado a cabo entre ambas entidades. El Agente en párrafo segundo declara:” que los datos de contacto de los potenciales clientes que serán los destinatarios de su actividad de captación se han obtenido de una cesión legítima o de fuentes de acceso público disponibles sin restricciones y se efectúa según los requisitos del RGPD”. El Agente expone que dicha base de datos es un fichero de titularidad propia. Así mismo, como Responsable del Tratamiento, el Agente declara y asegura que ha filtrado su base de datos con listas de exclusión publicitaria (“Lista Robinson”) en su acción comercial. Como Responsable de los datos, el Agente debe informar en la acción comercial a los usuarios sobre la cesión de datos que se va a llevar a cabo e informar sobre quien va a ser el prestador del servicio. Es decir, en el momento que el potencial cliente acepta la finalidad comercial de la llamada y da el consentimiento para la contratación del producto, el Agente actuará a partir de entonces como Encargado del Tratamiento para la recogida y registro del resto de datos personales del interesado. “ (Nota: el subrayado ha sido incorporado por la Agencia) -. Respecto a la solicitud de copia del contrato suscrito con XXXX o cualquier otro documento acreditativo de la compra del fichero del cual se han obtenido los datos personales de la reclamante, BONTECU informa de que: “Z99M Digital Consulting, S.L. es una empresa que suministra base de datos con licencia de uso temporal. Es una entidad dedicada a la comercialización y promoción de sus propias Bases de Datos. Es un Agente, RESPONSABLE DEL TRATAMIENTO, que pone a disposición de BONTECU Distribuciones S.L., unas bases de datos y le cede temporalmente su licencia de uso para la realización de campañas de televenta. Como se reitera en numerosas ocasionados, los datos obtenidos de la reclamante forman parte de ficheros de B.B.B., con la que se mantiene un contrato de Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 Tras revisión de los protocolos establecidos por la Empresa, en la locución de la llamada que se establece con el usuario, este tiene una locución donde aparece XXXX como Responsable. Esto se debe a un error administrativo de forma en dicha locución, que va a ser subsanado. En la locución de llamada de BONTECU Distribuciones S.L. aparece un aviso legal, que se utiliza para verificar la conformidad del cliente del contrato de suministro, donde se dice de forma errónea que el responsable del fichero es de XXXX, no es real, error que no está perjudicando y se va a proceder a su corrección.” 6.- Con fecha 6 de febrero de 2023 se requiere de nuevo a FACTOR la documentación acreditativa del consentimiento otorgado por la reclamante para ser contactada por motivos comerciales en nombre de FACTOR previamente a la realización de la llamada y Anexo 7 completado del contrato entre las entidades BONTECU y FACTOR, es decir, anexo que incluya la información sobre la legitimación para el tratamiento del fichero de datos personales de contacto proporcionado por BONTECU. FACTOR envía su escrito de respuesta en la fecha 22 de febrero de 2023, indicando que, tras recibir el requerimiento de información, se puso en contacto con ENCIENDE ENERGIA para que facilitara la información y/o documentación requerida. FACTOR recuerda que la contratación fue realizada a través de BONTECU, que utilizó sus propias bases de datos (de BONTECU) para la realización de la llamada “en atención a que ENCIENDE ENERGIA no está realizando una prestación de servicios (tales como compaña de telemárketing) para FACTOR ENERGIA, S.A. con base de datos de esta última sino realizando actividad comercial con el ánimo de promover las ventas en su calidad de agente para FACTOR”. Y, “por tanto, es la empresa agente la que, al tiempo de la emisión de la llamada, es la responsable del tratamiento de los datos de la reclamante y no FACTOR”. FACTOR continúa explicando de nuevo que FACTOR incorporó los datos personales de la reclamante a raíz de la confirmación del contrato de suministro, pasando FACTOR a ser responsable del tratamiento en ese momento. Prosigue informando que, al tiempo de enviar el presente escrito de contestación al requerimiento, aún no dispone de respuesta por parte de ENCIENDE ENERGIA a las cuestiones solicitadas (habiéndole indicado que se le dará respuesta a la mayor brevedad), por lo que solicita una ampliación de plazo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "
  11. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
  12. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
  13. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por: a) el Derecho de la Unión, o b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 deres públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
  14. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas: a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto; b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento; c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10; d) las posibles consecuencias para los interesados del tratamiento ulterior previsto; e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." III Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "
  15. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17
  16. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
  17. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
  18. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." IV Conclusión Los hechos objeto de reclamación se dirigen contra “ECO IMPERIA ENERGIA (ENCIENDE ENERGÍA)” por haber dado de alta al reclamante, alta no solicitada, en una compañía eléctrica. La reclamante manifiesta que, tras recibir una llamada de teléfono en la que se identifican como su empresa suministradora, le realizan un cambio de contrato a la entidad reclamada sin su consentimiento, teniendo la reclamada todos sus datos personales previamente. La comercializadora entrante es la entidad FACTOR, siendo ENCIENDE ENERGÍA (marca comercial de BONTECU) el agente autorizado de ventas que realizó la llamada. Durante las actuaciones previas de investigación se han recabado las evidencias siguientes de que la reclamante expresó su consentimiento para formalizar el contrato objeto de la reclamación: - La confirmación de la contratación se produce mediante la contestación de SMS con un SI, certificado por un tercero de confianza - Se ha aportado el certificado de dicho SMS emitido por el tercero de confianza. Se ha comprobado que el certificador realmente puede certificar en ese ámbito y está registrado para ello. - Se ha confirmado que el contrato que se puede descargar del enlace que aparece en el mensaje SMS (certificado por el tercero de confianza) es el mismo documento que el presentado en la reclamación - FACTOR ha proporcionado copia de la grabación de la llamada durante la cual se formalizó el contrato. Se concluye que FACTOR ha verificado el consentimiento otorgado por la parte reclamante para la realización del contrato. Se han evaluado los mecanismos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 comprobación de que el contrato se ha formalizado adecuadamente y son correctos. En síntesis, la empresa de energía entrante demuestra que remitió SMS con contrato y un tercero certificado que se contestó a ese mail otorgando consentimiento al cambio de compañía. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a FACTOR ENERGÍA, S.A., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la LPACAP, y de conformidad con lo establecido en los arts. 112 y 123 de la citada LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolu ción o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.